1/18
Procedimiento Nº: PS/00335/2020
RESOLUCIÓN R/00066/2021 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
En el procedimiento sancionador PS/00335/2020, instruido por la Agencia Española de
Protección de Datos a IDFINANCE SPAIN, S.L., vista la denuncia presentada por
A.A.A., y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 14 de enero de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a IDFINANCE SPAIN,
S.L. (en adelante, el reclamado), mediante el Acuerdo que se transcribe:
<<
Procedimiento Nº: PS/00335/2020
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes
HECHOS
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 11 de mayo de 2020
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra IDFINANCE SPAIN, S.L. con NIF B66487190 (en
adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes:
“La empresa IDFINANCE SPAIN (MoneyMan), ha enviado un correo electrónico de
recuperación de deuda en el que ofrece un enlace para realizar el pago en su web, el
enlace(***URL.1), no me da acceso a mi cuenta, si no a la de otro cliente, pudiendo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
solicitar préstamos, consultar todos sus datos personales e información relativa a
préstamos de la entidad en cuestión.
Adjunto captura de los datos a los que tengo acceso, además del mail que he recibido,
mi mayor preocupación es que al igual de que yo tengo acceso a esta información que
no debo de poder ver tan libremente, suceda lo mismo con mis datos personales y la
de otros clientes.”
Junto a la reclamación aporta los siguientes documentos:
1. Correo enviado el 11 de mayo de 2020 a las 17:22 desde la cuenta <***EMAIL.1> a
<***EMAIL.2> donde se le informa de un saldo a favor de MoneyMan y se ofrecen
diversas modalidades de pago entre las que se encuentra el servicio de pago on line
accediendo al enlace objeto de la reclamación.
2. Captura de pantalla de la página “Historial de préstamos” del contrato
***CONTRATO.1 donde figura un enlace de descarga del contrato.
3. Captura de pantalla de la página “Mis tarjetas” donde figuran enmascarados los
números centrales de una tarjeta de débito.
4. Captura de pantalla de la página “Información de contacto” donde figuran el NIE,
fecha de nacimiento y de correo electrónico de una persona con nombre y apellidos
B.B.B.
5. Captura de pantalla de la página “Dirección y empleo” donde figuran dirección,
situación laboral e información sobre ingresos netos mensuales.
SEGUNDO: Con fecha 13 de mayo de 2020, la Subdirección General de Inspección de
Datos llevó a cabo una comprobación del enlace objeto de la reclamación, recogiendo
las siguientes evidencias:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
1. Descarga de documento que contiene los Términos y Condiciones por el que se rige
el contrato de préstamo suscrito entre IDFINANCE SPAIN, S.L. y B.B.B..
2. Impresión de página que avisa de que “[…] tu cuenta ha sido bloqueada porque no
cumples con los requisitos para poder obtener un préstamo en Moneyman […]”
3. Impresión de la página “Historial de préstamos” del contrato ***CONTRATO.1.
4. Impresión de la página “Mis tarjetas” donde figuran números enmascarados (salvo
los últimos 4 dígitos) de una tarjeta de débito.
TERCERO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante, la Subdirección General de Inspección de
Datos procedió, el día 3 de junio de 2020, a efectuar traslado de la reclamación, de
conformidad con los dispuesto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD). En este escrito se solicitaba al reclamado que, en el plazo de
un mes analizase la reclamación e informase acerca de las causas que han motivado
la incidencia que ha originado la reclamación, informe sobre las medidas adoptadas
para evitar que se produzcan incidencias similares, fechas de implantación y controles
efectuados para comprobar su eficacia.
El reclamado presentó escrito de contestación el día 12 de julio de 2020 en el que
manifiesta los siguiente:
“[…] PRIMERO. - Recibida la reclamación de esa Agencia, esta entidad inició la
investigación de los hechos, en primer lugar, verificando que en los sistemas no se
hubiera producido ningún tipo de brecha de seguridad que hubiese dado acceso a
datos personales de la base de datos.
Dicha verificación fue negativa y se constató que no se produjo ningún fallo en el
sistema que permitiera una difusión general de los datos personales de los clientes.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
SEGUNDO. - […]
Una vez que un cliente se registra en la página web se crea automáticamente su Área
de Usuario, a la que únicamente puede acceder mediante su usuario y contraseña
únicos. [...]
[…] cuando los clientes entran en situación de impago, los agentes del Departamento
de recobro inician las diferentes acciones para que los clientes cumplan con el pago
del préstamo.
Una de ellas es enviar, a través de SMS, nunca por correo electrónico, un enlace para
realizar el pago directamente a su Área de Usuario, que es lo que el reclamante aporta
en la reclamación.
TERCERO. - Recibida la reclamación del Sr. A.A.A. se procedió a realizar, como se ha
explicado anteriormente, una exhaustiva investigación-
Descartada la brecha de seguridad, se inició la investigación de los hechos descritos
en la reclamación del Sr. A.A.A..
[…]
Dicho enlace se genera de forma manual en el sistema, en el CRM donde se
gestionan los préstamos de los clientes hay la opción de enviar el SMS con dicho
enlace.
Desconocemos como el reclamante pudo recibir ese enlace por correo electrónico
dado que únicamente se genera para ser enviado a través de SMS. Tampoco hemos
podido realizar la investigación de dicho correo dado que el reclamante no lo aportó en
la reclamación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
Sin embargo, se ha procedido a realizar una búsqueda en los buzones de correo
electrónico desde los que se envían las notificaciones a los clientes y no hay ningún
correo electrónico enviado ni al reclamante, ni al Sr. B.B.B.
Asimismo, se ha procedido a realizar una búsqueda de todos los SMS enviados por el
sistema en el expediente del Sr. B.B.B. y el único número de teléfono que aparece es
el que pertenece a dicho cliente, por lo que es técnicamente imposible que ese SMS
se haya enviado a otro número de teléfono.
Asimismo, se ha procedido a extraer de la base de datos todos los accesos que se
realizaron a dicho enlace, con las direcciones IP, el navegador y demás datos, en los
que se aprecia que, a pesar de que el enlace tiene una caducidad de 7 días, se
accedió un número elevado de veces al mismo, siendo incluso abierto desde el
aplicativo WhatsApp.
CUARTO.- A tenor de lo anterior en cuanto a los hechos descritos por el Sr. A.A.A. en
su reclamación, efectivamente tuvo acceso al enlace enviado a través de SMS al
número de teléfono del Sr. B.B.B. y a su Área de Usuario, y dado que IDFinance
Spain S.L.U. escrupulosamente vela por los derechos de protección de datos de los
interesados, procedió a tomar las medidas en aras a proteger los derechos del Sr.
B.B.B., esto es, bloquear sus datos en los sistemas hasta que se pueda conocer
cómo el Sr. A.A.A. tuvo acceso a dicho enlace.
[…] se solicita a esa Agencia para que requiera al Sr. A.A.A. que aporte el correo
electrónico que recibió con dicho enlace.
[…]”
El reclamado anexa a este escrito un documento donde se relacionan los accesos al
enlace efectuados entre los días 24 de abril de 2020 hasta el 14 de mayo de 2020.
CUARTO: La reclamación fue admitida a trámite mediante resolución de la Directora
de la Agencia Española de Protección de Datos de fecha 25 de septiembre de 2020.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
El artículo 5 del RGPD, cuya rúbrica lleva por título Principios relativos al tratamiento
establece en la letra f) de su apartado 1 que los datos personales serán “tratados de
tal manera que se garantice una seguridad adecuada, incluida la protección contra el
tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental,
mediante la aplicación de medidas técnicas u organizativas apropiadas (“integridad y
confidencialidad”)”.
Por su parte, la LOPDGDD, en su artículo 5 dispone que:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria de los
deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun
cuando hubiese finalizado la relación del obligado con el responsable o encargado del
tratamiento”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
En relación con las medidas mencionadas en el artículo 5.1.f) del RGPD antes
transcrito, el artículo 32 de la misma norma dispone que:
“1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la
naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de
probabilidad y gravedad variables para los derechos y libertades de las personas
físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y
organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo,
que en su caso incluya, entre otros:
a) la seudonimización y el cifrado de datos personales;
b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia
permanentes de los sistemas y servicios de tratamiento;
c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de
forma rápida en caso de incidente físico o técnico;
d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las
medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en
cuenta los riesgos que presente el tratamiento de datos, en particular como
consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos
personales transmitidos, conservados o tratados de otra forma, o la comunicación o
acceso no autorizados a dichos datos.
3.La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un
mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento
para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del
presente artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que
cualquier persona que actúe bajo la autoridad del responsable o del encargado y
tenga acceso a datos personales solo pueda tratar dichos datos siguiendo
instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de
la Unión o de los Estados miembros.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
III
La reclamación se basa en la presunta brecha de seguridad en los sistemas del
reclamado que se habría traducido en la puesta a disposición de un tercero de un
enlace que habría permitido libremente el acceso a datos personales de carácter
identificativo, de localización y económicos y contractuales de otro usuario cliente y por
lo tanto una vulneración del principio de confidencialidad en el tratamiento de datos
personales por parte del responsable de dicho tratamiento.
Como prueba de estas manifestaciones el reclamante aportó los documentos a que se
ha hecho referencia en el hecho primero de este acuerdo.
De esta manera, el correo aportado mostraría que, a pesar de los manifestado por el
reclamado en su escrito de fecha 12 de julio de 2020 en el sentido de que el enlace
únicamente se genera para ser enviado por SMS, el día 11 de mayo de 2020 a las
17:22 horas se habría enviado un correo electrónico desde la cuenta <***EMAIL.1> a
<***EMAIL.2>. En este correo aparece el enlace ***URL.1 como acceso al servicio de
pago on line de una cantidad dineraria a favor del reclamado.
Asimismo, el reclamante aporta capturas de pantalla de la cuenta de usuario a la que
proporciona acceso el enlace referido en el párrafo anterior y que no corresponde con
la suya, sino de otra persona y que permite accede a datos personales de carácter
identificativo, de localización y económicos, así como a un vínculo que permite
descargar el contrato suscrito del cliente con el reclamado. El acceso libre al contenido
de diversas páginas de la cuenta de usuario a partir del enlace referido, así como la
posibilidad de descarga del contrato, fueron confirmados por las comprobaciones
efectuadas a que se ha hecho referencia en el hecho segundo y que fueron remitidas
como documentación anexa al traslado de la reclamación enviada al reclamado el día
3 de junio de 2020.
Por otra parte, se señala que, de acuerdo con el listado de accesos al enlace referido
aportado por el reclamado, se habría accedido al mismo entre el 24 de abril de 2020 y
el 14 de mayo de 2020, período de tiempo claramente superior a los 7 días de
caducidad establecido para dichos enlaces que señala el reclamado en su escrito.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
Teniendo en cuenta que el artículo 4.12) del RGPD define las violaciones de seguridad
de los datos personales como “todas aquellas violaciones de la seguridad que
ocasionen la destrucción, perdida o alteración accidental o ilícita de datos personales
trasmitidos, conservados o tratados de otra forma, o la comunicación o acceso no
autorizados a dichos datos”, los expuesto en los párrafos anteriores mostraría que se
habría producido una violación de las medidas de seguridad que habría permitido:
1º Que el enlace se hubiera comunicado por una vía (correo electrónico) distinta al
SMS enviado al teléfono móvil del cliente que, de acuerdo con lo manifestado por el
reclamado constituye el procedimiento de actuación.
2º Que el enlace hubiera estado activo durante un tiempo superior a los 7 días de
caducidad que declara el reclamado en su escrito de contestación.
3º Que se haya podido acceder libremente, a través del referido enlace, al área de
usuario sin que mediase la introducción de usuario y contraseña, forma que el
reclamado señala como única manera de acceder a dicha área de usuario
IV
De conformidad con los indicios de las que se dispone en el presente momento de
acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que los hechos expuestos incumplen lo establecido en los
artículos 5.1.f) y 32 del RGPD, por lo que podrían suponer la comisión de sendas
infracciones. La infracción tipificada en el artículo 5.1.f) se tipifica en el artículo 83.5 del
RGPD, que dispone lo siguiente:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; […]”
Por su parte, la infracción del artículo 32 del RGPD se tipifica en el artículo 83.4 de la
citada norma, donde se determina que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43; […]”
A efectos del plazo de prescripción de las infracciones, el artículo 72.1 de la
LOPDGDD, señala:
“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679. […]
Y por su parte el artículo 73 de la LOPDGDD, que:
“En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…] g) El quebrantamiento, como consecuencia de la falta de la debida diligencia, de
las medidas técnicas y organizativas que se hubiesen implantado conforme a lo
exigido por el artículo 32.1 del Reglamento (UE) 2016/679. […]”
V
Los poderes correctivos de los que dispone la Agencia Española de Protección de
Datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre
ellos se encuentran la potestad de sancionar con apercibimiento -artículo 58.2 b)-, la
potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD
-artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando
proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2
d)-.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2
d) del citado Reglamento es compatible con la sanción consistente en multa
administrativa.
Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento
dispone en su art. 58.2 b) la posibilidad de sancionar con apercibimiento, en relación
con lo señalado en el Considerando 148:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
VI
En el presente caso, sin perjuicio de lo que resulte de la instrucción, se han tenido en
cuenta, en especial, los siguientes elementos.
1. Como circunstancia agravante, se toma en consideración la vinculación de la
actividad del reclamado con la realización de tratamientos de datos personales puesto
que su actividad conlleva necesariamente el tratamiento de datos personales de los
clientes (artículo 76.2.b) del LOPDGDD).
2. Como circunstancia atenuante, se considera la cooperación mostrada por el
reclamado con la Agencia Española de Protección de Datos en la fase de traslado de
la reclamación (artículo 83.2.f del RGPD).
Por todo ello, se considera que las sanciones que correspondería imponer serían las
siguientes:
Por la infracción del artículo 5.1.f) se considera que la sanción adecuada es la de
multa administrativa. A este respecto, La multa que se imponga deberá ser, en cada
caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el
artículo 83.1 del RGPD. Por tanto, procede graduar la sanción a imponer de acuerdo
con los criterios que establece el artículo 83.2 del RGPD, y con lo dispuesto en el
artículo 76 de la LOPDGDD, respecto al apartado k) del citado artículo 83.2 RGPD. En
base a lo anterior, se considera proporcional fijar la sanción a imponer en la cuantía de
cinco mil euros (5.000,00 €).
Por la infracción del artículo 32, una sanción de apercibimiento, de acuerdo con lo
establecido en el artículo 58.2 b) del RGPD, en relación con lo señalado en el
Considerando 148, antes citados.
Por otra parte, de confirmarse la existencia de conducta infractora, podría acordarse
imponer al responsable la adopción de medidas adecuadas para ajustar su actuación
a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado […]”.
En tal caso, en la resolución que se adopte, esta Agencia podrá requerir al
responsable para que en el plazo que se determine:
Acredite que ha verificado y corregido la implementación de las medidas de
seguridad técnicas, organizativas o ambas, que eviten la vulneración del principio de
confidencialidad y la puesta a disposición de terceros de datos personales de los
clientes.
Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia
Española de Protección de Datos, SE ACUERDA:
PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a IDFINANCE SPAIN, S.L.,
con NIF B66487190, por las presuntas infracciones de los artículos 5.1.f) y 32 del
RGPD, tipificadas en los artículos 83.5 y 83.4, respectivamente, de la citada norma.
SEGUNDO: NOMBRAR instructora a C.C.C. y secretaria a D.D.D., indicando que
cualquiera de ellas podrá ser recusado, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).
TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la
reclamación interpuesta por el reclamante y su documentación, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), la sanción que pudiera corresponder por la infracción del artículo
5.1.f) del RGPD sería de CINCO MIL EUROS (5.000,00 €), y por la del artículo 32 de
la misma norma, un APERCIBIMIENTO. Todo ello sin perjuicio de lo que resulte de la
instrucción.
Asimismo, la confirmación de la conducta infractora podrá conllevar la imposición de
medidas de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD.
QUINTO: NOTIFICAR el presente acuerdo a IDFINANCE SPAIN, S.L., con NIF
B66487190, otorgándole un plazo de audiencia de diez días hábiles para que formule
las alegaciones y presente las pruebas que considere convenientes. En su escrito de
alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el
encabezamiento de este documento.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la LPACAP.
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría
establecida en CUATRO MIL EUROS (4.000,00 €), resolviéndose el procedimiento con
la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en CUATRO MIL EUROS (4.000,00 €) y su pago
implicará la terminación del procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en TRES MIL EUROS (3.000,00 €).
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente CUATRO MIL EUROS (4.000,00 €) o TRES MIL EUROS
(3.000,00 €), deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000
0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número
de referencia del procedimiento que figura en el encabezamiento de este documento y
la causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
935-200320
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
Mar España Martí
Directora de la Agencia Española de Protección de Datos
>>
SEGUNDO: En fecha 23 de enero de 2021, el reclamado ha procedido al pago de la
sanción en la cuantía de 3.000 euros haciendo uso de las dos reducciones previstas
en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.
De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00335/2020, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a IDFINANCE SPAIN, S.L..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
936-031219
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es