İspanya Veri Koruma Otoritesi (AEPD) — PS/00332/2020

1/14

 Procedimiento Nº: PS/00332/2020

RESOLUCIÓN R/00618/2020 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

En el procedimiento sancionador PS/00332/2020, instruido por la Agencia Española de
Protección de Datos a BORJAMOTOR, S.A., vista la denuncia presentada por A.A.A.,
y en base a los siguientes,

ANTECEDENTES

PRIMERO: Con fecha 10 de noviembre de 2020, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a BORJAMOTOR,
S.A. (en adelante, el reclamado), mediante el Acuerdo que se transcribe:

<<
Procedimiento Nº: PS/00332/2020
935-240719
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
la entidad, BORJAMOTOR, S.A. con CIF.: A53429403 (en adelante, “la entidad
reclamada”), en virtud de denuncia presentada por D. A.A.A., (en adelante, “el
reclamante”), y teniendo como base los siguientes:

HECHOS

PRIMERO: Con fecha 10/06/20, tiene entrada en esta Agencia, denuncia presentada
por el reclamante en la que indicaba, entre otras, lo siguiente:

“El 12/09/19 puse una reclamación por spam de correo electrónico (n.º 043160/2019).
Con salida n.º 090520/2019 se me comunica el acuerdo de no admisión de trámite de
la reclamación (expediente n.º E/09997/2019). Ayer recibí un SMS de Borjamotor en el
teléfono móvil ***TELEFONO.1, cuya captura de pantalla adjunto. Parece que la
remisión de contenido comercial, esta vez a través de SMS, está en contradición con
las medidas internas que la empresa Borjamotor comunicó que había adoptado en el
escrito contestación al requerimiento por parte de la AEPD, dentro de las actuaciones
del expediente citado, motivo por el cual no me he puesto en contacto con la
empresa.”.

SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos
aportados por el reclamante, la SG de Inspección de Datos procedió a realizar
actuaciones para su esclarecimiento, de conformidad con el artículo 65.4 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (LOPDGDD). Así, con fecha 19/06/20 y número de referencia
E/05058/2020, se dirigió escrito de requerimiento de información a la entidad
reclamada.

TERCERO: Con fecha 27/07/20, se recibe en esta Agencia, escrito de contestación al
requerimiento, por parte de la entidad reclamada, en el cual se informa, entre otras,
de:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/14

“Tras la primera reclamación Borjamotor decidió suprimir los datos del cliente en su
DMS, ya que su única operación fue la compra de un vehículo en 2012, y así lo
hicimos saber en nuestro escrito de alegaciones solicitado en el expediente
9997/2020. Documento 1: Sus datos no aparecen en el DMS buscando por nombre,
móvil o correo electrónico Documento 2: Bloqueo para recibir email en nuestra
herramienta de mailmarketing (proveedor Sender Grobal)

No se ha ejercido formalmente por parte del reclamante ningún derecho, propiamente
dicho, regulado en los artículos 15 a 22 de RGPD por lo que no se ha enviado
respuesta al reclamante en este sentido.

La incidencia en el envío se debe a su última comunicación vía formulario de contacto.
Tras darse de baja en la herramienta de mailmk (11-09-2019), en la misma fecha, y
unos minutos después de darse de baja, rellenó un formulario de contacto comercial
(WEB) para comunicarnos su reclamación aceptando de nuevo nuestra política de
privacidad y otorgando de nuevo su consentimiento, entre otras finalidades, a envíos
comerciales.
Dichos datos se recogen automáticamente en la base de datos para envíos
comerciales (herramienta gestionada por nuestro proveedor de servicios digitales
Sender Global, esta herramienta solo bloquea el dato del cual se solicita la baja, en
este caso el correo, dejando activo el dato del teléfono móvil facilitado por el
reclamante). Es en este punto donde está la cuestión, a pesar de mantener
bloqueado el envío de mail, activó su número de móvil como contacto. Borjamotor no
suele utilizar la herramienta de SMS para envíos comerciales, pero en este caso, se
utilizó para enviar un evento, y fue el que recibió el reclamante (UN SOLO SMS
remitido por BORJAMOTOR el 9/06/2020 a las 13.39). OPEL no envió ningún SMS al
cliente.

Se han bloqueado los datos del móvil para no recibir SMS, con esto el reclamante no
será contactado por ningún canal. Adicionalmente SENDERGLOBAL bajo la petición
del BORJAMOTOR, ha realizado un sistema de baja total y no diferenciada por las
diferentes vías de comunicación que puede recibir un usuario a través de
SenderGlobal. Este procedimiento, actúa cuando un usuario realiza la petición de baja
por alguna de las comunicaciones solamente enviadas desde la plataforma
SenderGlobal y a través del enlace correcto procederá a dar de baja sin poder recibir
de nuevo notificaciones

Documentos adjuntos: Documento 1: Sus datos se suprimieron en nuestro DMS (base
de datos principal de gestión) el 11/11/2019. Aportamos captura de pantalla de la ficha
de cliente. Documento 2: Bloqueo para recibir email en nuestra herramienta de
mailmarketing (proveedor Sender Grobal). Dicho bloqueo se aplicó en la fecha previa
a la primera reclamación. Documento 3: Bloqueo SMS / email Sender Global (en la
segunda página del PDF se observa que el contacto a quedado totalmente bloqueado,
sin posibilidad de recibir más envíos, una vez se resuelva este expediente
procederemos a la supresión de los datos en nuestra herramienta de Sender Global”.

CUARTO: En el expediente E/0997/2019, cuya resolución fue notificada al reclamante
el día 16/12/19, se indicaba, entre otras, lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/14

“(…)En el presente caso, se ha recibido en esta Agencia la reclamación presentada
por A.A.A., con fecha 12 de septiembre de 2019 y con número de registro de entrada
043160/2019, contra BORJAMOTOR, S.A., por una presunta vulneración del Artículo
17 del RGPD. En particular por las siguientes circunstancias:

Se manifiesta por el reclamante que ha recibido correos comerciales pese a haber
solicitado con anterioridad la baja vía email el 12/11/18. El 11/09/19 recibe un nuevo
correo, presentando una queja a través del formulario de su página web,
contestándose al mismo, pero sin embargo el 12 de septiembre recibió un nuevo
correo.

De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite
de esta reclamación, se dio traslado de la misma a BORJAMOTOR, S.A. para que
procediese a su análisis y diera respuesta a esta Agencia en el plazo de un mes.
Asimismo, se solicitó al reclamado: acreditación de la respuesta facilitada al
reclamante, en el supuesto de ejercicio de los derechos regulados en los artículos 15
a 22 del RGPD; informe sobre las causas que motivaron la incidencia producida; y
detalle de las medidas adoptadas para evitar situaciones similares.

En respuesta a dicho requerimiento, se ha recibido en esta Agencia escrito de
BORJAMOTOR, S.A. que por lo que aquí interesa manifiesta lo siguiente: Se ha
procedido a la supresión total de los datos del reclamante . Se manifiesta que el
correo remitido con fecha 12/09/19 no fue un correo comercial sino un escrito
disculpatorio. Se ha adoptado medidas internas para canalizar todas las peticiones de
derechos que se reciban aunque lleguen a la entidad por otros canales distintos a la
dirección de email habilitada. Una vez analizadas las razones expuestas por
BORJAMOTOR, S.A., que obran en el expediente, esta Agencia considera que el
responsable ha atendido la reclamación presentada.

Por este motivo, de conformidad con lo establecido en el art. 65.4 de la LOPDGDD, la
Directora de la AEPD acuerda no admitir a trámite la reclamación presentada por
A.A.A. contra BORJAMOTOR, S.A. (…)”.

QUINTO: A la vista de los hechos denunciados, de conformidad con las evidencias de
que se dispone, la Inspección de Datos de esta Agencia Española de Protección de
Datos considera lo indicado anteriormente, no cumple con la normativa vigente, por lo
que procede la apertura del presente procedimiento sancionador.

FUNDAMENTOS DE DERECHO
I
Competencia:

A).- Sobre el consentimiento para recibir comunicaciones de la entidad reclamada:

En virtud de los poderes que el art 58.2 del Reglamento (UE) 2016/679, del
Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las
Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre
Circulación de estos Datos (RGPD) reconoce a cada Autoridad de Control y, según lo
establecido en los arts. 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD),
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/14

la Directora de la Agencia Española de Protección de Datos es competente para iniciar
este procedimiento.

Los apartados 1) y 2), del artículo 58 el RGPD, enumeran, respectivamente, los
poderes de investigación y correctivos que la autoridad de control puede disponer al
efecto, mencionando en el punto 1.d), el de: “notificar al responsable o encargo del
tratamiento las presuntas infracciones del presente Reglamento” y en el 2.i), el de:
“imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada
caso.”.

B).- Sobre el envío de comunicaciones comerciales de la entidad reclamada:

De conformidad con lo establecido en el art. 43.1, párrafo segundo, de la de la Ley
34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio
Electrónico (LSSI), es competente para iniciar y resolver este Procedimiento
Sancionador, la Directora de la Agencia Española de Protección de Datos.

II
1º.- En el presente caso, se debe atender, como cuestión previa, a los hechos
acaecidos bajo el expediente E/0997/2019. Así, con fecha 12/09/19, el reclamante
presentó ante esta Agencia, denuncia contra la entidad reclamada en la que indicaba
que desde el año 2016 decidió no recibir más correos publicitarios del concesionario y
así se lo hizo llegar a través del acceso directo de su web
www.opelborjamotor.es/es/contacto. Sin embargo, seguía recibiendo correos con
ofertas, aunque con menor frecuencia. En noviembre de 2018 volvió a solicitar la baja
por correo electrónico y el último intento fue el 11/09/19 volviendo a utilizar el acceso
directo de la página web de la entidad reclamada, www.opelborjamotor.es/es/contacto

Al escrito de denuncia, se acompañó entonces, la siguiente documentación:

a).- Copia de un correo electrónico, fechado el 11/09/19, enviado desde la dirección
Opel Borjamotor <[email protected]> a la dirección de correo electrónico del
reclamante, con información comercial del concesionario.

b).-Pantallazo de la página web de contacto del concesionario,
www.opelborjamotor.es/es/contacto , con los datos del reclamante en la sección de
“remitente” y con el siguiente mensaje en el campo “motivo”:

“En varias ocasiones he realizado el trámite de baja para no recibir
comunicaciones de esa empresa. Al parecer hacen caso omiso a los deseos de
los clientes, al menos en mi caso. Como conservo la última petición de baja de
fecha 12/11/18 voy a remitirlo, junto con la captura del correo que me han
enviado hoy, para que tenga conocimiento de ello, la Agencia Española de
Protección de Datos”.

c).- Existe en esta página de contacto, www.opelborjamotor.es/es/contacto , un banner
con la siguiente información, sin opción de rechazo:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/14

- “Al hacer clic en el botón “Enviar", el usuario acepta que sus datos personales
sarán tratados y utilizados por las partes que figuran en la <<Declaración de
Privacidad>>, para los fines mencionados. Por lo tanto, por la presente Usted
acepta que se pongan en contacto con Usted a los fines de recibir más
información sobre productos y servicios Opel por parte de un Concesionario
Opel.”

- Acepto el tratamiento de datos descrito en la <<Declaración de
Consentimiento>>.

d).- Si se accede a la “Declaración de Consentimiento”, a través del link
correspondiente, se despliega una página con la siguiente información:

“Acepto que mis datos personales proporcionados en relación a la información
que remito como parte de esta solicitud, sean procesados para propósitos de
marketing personalizado y estudios de mercado por Borjamotor S.A, Carretera
de Ocaña, 56 03006 Alicante, [email protected], 965113465
por Opel España S.L.U.con C.I.F. nº B-50629187 y con sede social en Polígono
Industrial Entrerríos, s/n, 50639 Figueruelas, Zaragoza, y Opel Automobile
GmbH, con sede social en Bahnhofsplatz, D-65423 Rüsselsheim, Alemania”.

Mis datos serán procesados para los fines enumerados a continuación y
compartidos con los siguientes destinatarios:

Datos Finalidad Destinatarios
Datos de identificación y Servicio al cliente: por ejemplo, El Concesionario Opel, Opel Automobile GmbH,
contacto (nombre y invitaciones a eventos, información sobre Opel España S.L.U., y filiales del grupo Opel
apellidos, dirección de correo actualizaciones (técnicas) de mi vehículo comparten mis datos personales con los
electrónico, número de actual/vehículo de mi interés, información respectivos responsables de su tratamiento para
teléfono), e información sobre cualquier servicio para vehículos, fines de marketing / investigación de mercado,
relacionada remitida por notificación de fecha de mantenimiento / servicios IT relacionados, administración y
usted (como parte de/en inspección / servicio / reparación. apoyo.
relación con sus solicitudes) Información al cliente: Contacto para El Concesionario Opel, Opel Automobile GmbH y
comunicarme, por ejemplo, la Opel España S.L.U., y filiales del grupo Opel
disponibilidad de vehículos nuevos o de también comparten mis datos personales con el
ocasión, ofertas de financiación y leasing, correspondiente proveedor de servicios IT (GM
servicios del concesionario, ofertas de Holdings LLC, Michigan, EE.UU.) con sede fuera
revisiones y taller, finalización de mi del Espacio Económico Europeo (EEE) y, por
contrato de financiación o leasing o tanto, en un país sin el adecuado nivel de
medidas de mejora para mi vehículo. protección de los datos. No existe una decisión
Publicidad: Publicidad individual o de conformidad de la Comisión Europea, pero sí
personalizada de ofertas, productos y los mecanismos de seguridad adecuados, en este
servicios. caso las Cláusulas Contractuales Estándar de la
Encuestas de satisfacción del UE (SCC). Si deseo obtener una copia, puedo
cliente: Contacto después de la compra o enviar un correo electrónico a :
servicio, para conocer mi satisfacción con [email protected]
mi vehículo o el servicio recibido.
Nombre, apellidos, dirección Para llevar a cabo la financiación / Opel Financial Services España, S.A., con
–y si es requerido – año y prestamos, servicios de leasing y otras domicilio en Figueruelas, Zaragoza, Polígono
mes de nacimiento, solicitudes de Oferta. Entrerríos s/n, código postal 50639, España).
Identificación y detalles de No existe una decisión de adecuación de la
contacto (nombre*, email*, Comisión Europea, pero se cuenta con
dirección*, teléfono*, código protecciones adecuadas, ya que la recogida y
postal), tratamiento de datos se realiza bajo niveles de
seguridad que impedirán su pérdida o
manipulación por parte de terceros. Con el fin de
ofrecer una protección adecuada a los datos
personales transferidos, el Concesionario Opel
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/14

ha celebrado un contrato de procesamiento de
datos con la entidad prestadora de servicios
utilizando las cláusulas contractuales tipo
aprobadas por las autoridades de la Unión
Europea. Asimismo, queda entendido que
algunos de los datos personales reflejados en
este formulario podrán ser transferidos a otros
países fuera de la Unión Europea, a efectos de
servicios de almacenamiento y conservación de
la información.

Acepto que el Concesionario Opel, Opel España S.L.U.y Opel Automobile
GmbH utilicen mis datos definidos anteriormente para permitir la exacta
identificación, para ofrecerme mejores servicios y experiencias y para evitar
posibles inconsistencias en relación con las finalidades anteriormente
definidas. Ambas sociedades emplean reglas empresariales en procesos de
combinación y fusión para detectar potenciales coincidencias entre dos o más
registros provenientes de diferentes fuentes y sistemas (por ejemplo, a través
de solicitudes online enviadas a Opel, participación en eventos de marketing de
Opel, utilización de myOpel) para así crear un registro único de clientes.

Mis datos personales serán almacenados, para las finalidades anteriormente
descritas, durante el plazo de tres años desde mi último contacto con Opel
(…)”.

e).- El reclamante presentó copia del correo electrónico, fechado el 12/09/19, enviado
desde la dirección ventas internet <[email protected]>, con el siguiente
mensaje:

“Buenos días: Juan Faus. En primer lugar, pedirle disculpas si le ha podido
llegar alguna comunicación que no ha sido de su agrado. No volverá a
ocurrir(…)”.

2º.- Con fecha 16/12/19, una vez analizadas las razones expuestas por la entidad
reclamada en el expediente de referencia y de conformidad con lo establecido en el
art. 65.4 de la LOPDGDD, la Directora de la AEPD acordó no admitir a trámite la
reclamación presentada al considerar que la situación denunciada estaba subsanada
por parte de la entidad reclamada.

3º.- No obstante, con fecha 10/06/20, tuvo entrada en esta Agencia, una nueva
denuncia presentada por el reclamante en la que indicaba que había vuelto a recibir
una comunicación comercial de la entidad reclamada, en esta ocasión, vía SMS.

4º.- Según las alegaciones presentadas por la entidad reclamada ante esta nueva
denuncia, se indicó que:

“La incidencia en el envío se debe a su última comunicación vía formulario de
contacto. Tras darse de baja en la herramienta de mailmk (11-09-2019), en la
misma fecha, y unos minutos después de darse de baja, rellenó un formulario
de contacto comercial (WEB) para comunicarnos su reclamación aceptando de
nuevo nuestra política de privacidad y otorgando de nuevo su consentimiento,
entre otras finalidades, a envíos comerciales”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/14

5º.- No obstante, según la documentación presentada por el reclamante, en relación
con el expediente E/09997/2019, la entidad reclamada envió un correo electrónico un
día después, el 12/09/19 con el mensaje: “En primer lugar pedirle disculpas si le ha
podido llegar alguna comunicación que no ha sido de su agrado. No volverá a ocurrir.
Un saludo y otra vez, disculpe las molestias”.
III

En el presente caso, el reclamante solicitó a la entidad reclamada, el 11/09/19, a
través de su página de contacto, www.opelborjamotor.es/es/contacto , que no deseaba
recibir más comunicaciones comerciales del concesionario. Un día después, la entidad
reclamada responde que no “volverá a ocurrir” y pidiendo disculpas por los perjuicios
causados. No obstante, nueve meses después, el 10/06/20, el reclamante volvió a
recibir una nueva comunicación comercial del reclamado a través de un SMS.

Los hechos expuestos, sin perjuicio de lo que resulte de la instrucción, consistentes en
la remisión de comunicaciones comerciales no consentidas, podrían constituir
infracción, por parte del reclamado según establece lo dispuesto en el artículo 21 de la
LSSI, donde se establece que:

“1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por
correo electrónico u otro medio de comunicación electrónica equivalente que
previamente no hubieran sido solicitadas o expresamente autorizadas por los
destinatarios de las mismas.

2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una
relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita
los datos de contacto del destinatario y los empleara para el envío de comunicaciones
comerciales referentes a productos o servicios de su propia empresa que sean
similares a los que inicialmente fueron objeto de contratación con el cliente.

En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al
tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo
y gratuito, tanto en el momento de recogida de los datos como en cada una de las
comunicaciones comerciales que le dirija.

Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho
medio deberá consistir necesariamente en la inclusión de una dirección de correo
electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho,
quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.”

La citada infracción se encuentra tipificada como leve en el art. 38.4.d) de dicha
norma, que califica como tal, “El envío de comunicaciones comerciales por correo
electrónico u otro medio de comunicación electrónica equivalente cuando en dichos
envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya
infracción grave”.

A tenor de lo establecido en el artículo 39.1.c) de la LSSI, las infracciones leves podrán
sancionarse con multa de hasta 30.000 €, estableciéndose los criterios para su
graduación en el artículo 40 de la misma norma.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/14

Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de
lo que resulte de la instrucción, se considera que procede graduar la sanción a
imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 40 de
la LSSI:

La existencia de intencionalidad, expresión que ha de interpretarse como equivalente a
grado de culpabilidad de acuerdo con la Sentencia de la Audiencia Nacional de
12/11/07 recaída en el Recurso núm. 351/2006, correspondiendo a la entidad
denunciada la determinación de un sistema de obtención del consentimiento informado
que se adecue al mandato de la LSSI.

Plazo de tiempo durante el que ha venido cometiendo la infracción, al ser la primera
reclamación de septiembre de 2019, (apartado b).

Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada
una sanción de 4.000 euros (dos mil euros), por la infracción del artículo 21 de la LSSI,
respecto del envío de comunicaciones comerciales al reclamante sin el consentimiento
expreso del mismo
IV

Por otra parte, por parte de esta Agencia se ha constatado que, cuando el usuario de
la página web www.opelborjamotor.es, hace uso del formulario existente en la página
www.opelborjamotor.es/es/contacto, si desea ponerse en contacto con el
concesionario, debe aceptar tanto la “declaración de privacidad”, donde el usuario
acepta obligatoriamente que, “se pongan en contacto a los fines de recibir más
información sobre productos y servicios Opel por parte de un Concesionario Opel.”,
como la “declaración de consentimiento”, donde el usuario debe aceptar
obligatoriamente, entre otras que, “los datos personales proporcionados en relación a
la información, sean procesados para propósitos de marketing personalizado y
estudios de mercado (…)”.

El artículo 6.1. del RGPD, establece que el tratamiento de los datos personales solo
será lícito si se cumple al menos una de las condiciones que se indican en el mismo,
entre las que se encuentra, en su apartado b), si el tratamiento es “necesario para la
ejecución de un contrato en el que el interesado es parte o para la aplicación a
petición de este de medidas precontractuales”, en cuyo caso, el envío de
comunicaciones que guarden íntima relación con el fin del contrato firmado, estaría
avalado por este precepto, como sería en el presente caso, mantener la comunicación
entre ambas partes, para la resolución de la cuestiones planteadas por el usuario.

No obstante, para cualquier otro tipo de comunicación con el usuario, como en este
caso, para, “(…) recibir más información sobre productos y servicios Opel por parte de
un Concesionario Opel.”, o para que, “los datos personales proporcionados en relación
a la información, sean procesados para propósitos de marketing personalizado y
estudios de mercado (…)”, se debe aplicar lo dispuesto en el apartado a) del artículo
6.1 del RGPD, donde se indica que: “el tratamiento solo será lícito si el interesado dio
su consentimiento para el tratamiento de sus datos personales para uno o varios fines
específicos”.

El artículo 7 del RGPD, establece por su parte, en relación con el consentimiento, que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/14

“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de
datos personales que no son necesarios para la ejecución de dicho contrato”.

En relación con estos dos artículos citados, se debe tener también en cuenta el
considerando (32) del RGPD, pues indica que:

“El consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para cada uno de ellos, de forma libre y no obligada.

Por su parte, el art 6.2 de la LOPDGDD establece, sobre el tratamiento basado en el
consentimiento, que: “Cuando se pretenda fundar el tratamiento de los datos en el
consentimiento del afectado para una pluralidad de finalidades será preciso que
conste de manera específica e inequívoca que dicho consentimiento se otorga para
todas ellas”.

Pues bien, de acuerdo con todo lo indicado, el tratamiento de datos requiere la
existencia de una base legal que lo legitime, como en este caso, la ejecución de un
contrato en el que el interesado es parte (la realización de una petición, una consulta o
un comentario) a través de su página web, en cuyo caso, la respuesta a la cuestión
planteada estaría avalada por este precepto. No así, cuando el envío sea
comunicaciones que no tengan la misma finalidad que la incluida en la petición
realizada, en cuyo caso es necesario el consentimiento del interesado prestado
libremente para cada una de las demás finalidades, como pudiera ser, por ejemplo, el
envío de comunicaciones publicitarias. Situación que no se cumple en el presente
caso, pues para enviar la solicitud o consulta a la entidad, se debe aceptar sin opción
a rechazo que el usuario reciba comunicaciones comerciales de la entidad reclamada.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/14

Así las cosas, los hechos conocidos podrían ser constitutivos de una infracción,
imputable al reclamado, por vulneración del artículo 7 del RGPD mencionado, al
realizar la recogida del consentimiento mediante una acción obligatoria para recibir
cualquier tipo de comunicación, incluso si es diferente a la finalidad para la que se han
obtenido los datos personales.

Por su parte, el artículo 72.1.c) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “El incumplimiento de los requisitos exigidos por el artículo 7 del RGPD”.

Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5.b) del RGPD.

De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en
el presente caso, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios que establece el artículo 83.2 del RGPD:

- La intencionalidad o negligencia en la infracción. En el presente caso estamos
ante acción negligente no intencional, (apartado b).

- Las categorías de los datos de carácter personal afectados por la infracción
(apartado g).

- La forma en que la autoridad de control tuvo conocimiento de la infracción. La
forma en que esta AEPD ha tenido conocimiento ha sido por la interposición de
dos denuncias por parte del reclamante, (apartado h).

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales, (apartado b).

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 13, permite
fijar una sanción de 4.000 euros, (cuatro mil euros).

Por tanto, la sanción total a imponer, por las infracciones en la política de cookies en
las cuatro páginas web de su titularidad, sería de 8.000 euros (ocho mil euros).

A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de
Protección de Datos,
SE ACUERDA:

INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad BORJAMOTOR, S.A. con
CIF.: A53429403 por infracción de:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/14

- Artículo 21 de la LSSI, sancionable conforme a lo dispuesto en los art. 39) y 40)
de la citada Ley, respecto del envío de comunicaciones comerciales sin el
consentimiento expreso para ello.

- Artículo 7 del RGPD, al no recabar, de forma individualizada, el consentimiento
del cliente, para el tratamiento de sus datos personales, cuando su fin sea
distinto al perseguido en la ejecución de la solicitud realizada.

NOMBRAR: como Instructor a D. R.R.R., y Secretaria, en su caso, a Dª S.S.S.,
indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo
establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público (LRJSP).

INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación
interpuesta por el reclamante y su documentación, los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos durante la fase de
investigaciones, todos ellos parte del presente expediente administrativo.

QUE: a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de: 8.000 euros (ocho mil euros), por las infracciones:

- 4.000 euros, (cuatro mil euros), por la infracción del artículo 21 de la LSSI,
respecto del envío de comunicaciones comerciales sin el consentimiento
expreso para ello, sin perjuicio de lo que resulte de la instrucción del presente
expediente.

- 4.000 euros, (cuatro mil euros), por la infracción del artículo 7 del RGPD,
respecto a la recogida del consentimiento de los clientes para el tratamiento de
sus datos personales cuando dicho tratamiento es para fines diferentes a la
ejecución la solicitud realizada, sin perjuicio de lo que resulte de la instrucción
del presente expediente.

QUE: de conformidad con el artículo 58.2 del RGPD, la medida correctiva que podría
imponerse a la entidad BORJAMOTOR, S.A. consistiría en ORDENARLE que tomase
las medidas necesarias sobre:

- Tomase las medidas necesarias para recabar el consentimiento del cliente para
el tratamiento de sus datos personales cuando el fin sea diferentes a la gestión
de la consulta indicada en el “motivo” del contacto.

NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad
BORJAMOTOR, S.A, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/14

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento, equivalente en este caso a 1.600 euros. Con la aplicación
de esta reducción, la sanción quedaría establecida en 6.400 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de esta, equivalente en este caso a
1.600 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en
6.400 euros y su pago implicará la terminación del procedimiento.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 4.800 euros (cuatro mil ochocientos euros).

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas
anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00
0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.

El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/14

Mar España Martí
Directora de la Agencia Española de Protección de Datos.

SEGUNDO: En fecha 4 de diciembre de 2020, el reclamado ha procedido al pago de
la sanción en la cuantía de 4800 euros haciendo uso de las dos reducciones previstas
en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.

TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.

FUNDAMENTOS DE DERECHO

En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/14

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.

De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la terminación del procedimiento PS/00332/2020, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

SEGUNDO: NOTIFICAR la presente resolución a BORJAMOTOR, S.A..

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

936-031219
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

AEPD (Spain) - PS/00332/2020

Karar metni