1/7
Procedimiento Nº: PS/00351/2019
938-051119
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y
en base a los siguientes:
ANTECEDENTES
PRIMERO: La Agencia Española de Protección de Datos procedió a la apertura de la
tutela de derecho, TD/00127/2019, al tener conocimiento de los siguientes hechos:
Con fecha 27 de julio de 2018, D. A.A.A. (en adelante, el reclamante) ejercitó
los derechos de acceso y supresión ante la entidad Telefónica Móviles España, S.A.U.
con NIF A78923125 (en adelante, la parte reclamada). En concreto, solicitaba
protección de datos (derechos de acceso y supresión).
SEGUNDO: La Directora de la Agencia Española de Protección de Datos, dictó el 4 de
junio de 2019, resolución de tutela de derecho TD/00127/2019, procediéndose a estimar la
reclamación formulada por D. A.A.A. e instar a la parte reclamada para que, en el plazo
de los diez días hábiles siguientes a la notificación de la presente resolución, remita al
reclamante certificación en la que se haga constar que ha atendido el derecho de acceso
ejercido por éste o se deniegue motivadamente indicando las causas por las que no
procede atender su petición.
Dicho acuerdo fue notificado a la parte reclamada el 10 de junio de 2019.
TERCERO: El 20 de junio de 2019, se recibió en esta Agencia escrito del reclamante en el
cual manifiesta que trascurridos los plazos concedidos a la parte reclamada ésta
incumplió la citada resolución.
A pesar de haberse estimado la resolución respecto al derecho de acceso que
no fue atendido, la parte reclamada sigue sin atenderlo.
El recurrente solicitó el derecho de acceso y supresión y solo fue atendido el de
supresión por tanto reclama a esta Agencia que actúe en consecuencia.
CUARTO: Se dio traslado del recurso de reposición al reclamado para que aportase las
alegaciones que estimase convenientes y, con fecha 1 de agosto de 2019, en dichas
alegaciones manifiesta haber atendido el derecho solicitado y considera que solo se
solicitó la supresión de los datos.
Transcurrido en exceso el plazo otorgado para el cumplimiento de la citada
Resolución, no consta en esta Agencia su cumplimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
QUINTO: Con fecha 19 de noviembre de 2019, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el
Artículo 83.5 del RGPD.
SEXTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, en síntesis, manifestaba la remisión al reclamante de
certificación con la información sobre la causa por la que no resultaba posible atender
el acceso a sus datos, fundamentándolo en la solicitud y gestión de la supresión de los
mismos, y que en atención a las circunstancias del caso, se proponga el archivo del
procedimiento.
SÉPTIMO: Con fecha 10 de enero de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, TD/00127/2019, así como los documentos
aportados por el reclamado.
OCTAVO: El 5 de febrero de 2020, se dictó y se notificó el día 10 del mismo mes y
año a la parte reclamada la Propuesta de Resolución, por presunta infracción del
Artículo 58.2 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 30.000
euros.
La parte reclamada presentó alegaciones a la Propuesta de Resolución en el
que, en síntesis, manifiesta los mismos hechos y argumentos expuestos en las
alegaciones al acuerdo de inicio.
Añade, que sólo cabe apreciar que esta parte si dio adecuado cumplimiento a
la resolución de la tutela de derechos TD/00127/2019, en la medida que se respondió
al reclamante denegando la solicitud.
En consecuencia, la reclamada solicita que se tengan en cuenta las
circunstancias que han concurrido en los hechos objeto del procedimiento, que se
resuelva el archivo del procedimiento o reduzca la cuantía de la sanción establecida
en la Propuesta de resolución
HECHOS PROBADOS
ÚNICO: La entidad Telefónica Móviles España, S.A.U., no ha remitido al reclamante
certificación en la se facilitase el acceso completo a sus datos, pese a la resolución de
tutela de derecho TD/00127/2019 dictada por la Directora de la Agencia Española de
Protección de Datos.
En consecuencia, por el incumplimiento de dicha resolución, y tal y como se le
notificó a la entidad reclamada, tales hechos pueden entenderse como la comisión de
la infracción tipificada en el artículo 83.5 e) del RGPD, que se sancionará de acuerdo
con el artículo 58.2 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la
Directora de la Agencia Española de Protección de Datos es competente para resolver
este procedimiento.
II
Se imputa al reclamado la comisión de una infracción por vulneración del
artículo 58.2 del RGPD, que señala que
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
c) ordenar al responsable o encargado del tratamiento que atiendan las
solicitudes de ejercicio de los derechos del interesado en virtud del presente
Reglamento.”
La infracción de la que se responsabiliza a la entidad responsable de
IBERDROLA, S.A., se encuentra tipificada en el artículo 83 del RGPD que, bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas”, señala:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 Euros como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
e) el incumplimiento de una resolución o de una limitación temporal o definitiva
del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de
control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento
del artículo 58, apartado 1.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72.1 m), bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquél y, en
particular, las siguientes:
(…)
m) El incumplimiento de las resoluciones dictadas por la autoridad de protección
de datos competente en ejercicio de los poderes que le confiere el artículo 58.2
del Reglamento (UE) 2016/679.”
.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
III
En el caso que nos ocupa, l a Directora de la Agencia Española de Protección de
Datos, dictó el 4 de junio de 2019, resolución de tutela de derecho TD/00127/2019,
procediéndose a estimar la reclamación formulada por D. A.A.A. e instar a la parte
reclamada para que, en el plazo de los diez días hábiles siguientes a la notificación de la
presente resolución, remita al reclamante certificación en la que se haga constar que ha
atendido el derecho de acceso ejercido por éste o se deniegue motivadamente indicando
las causas por las que no procede atender su petición.
Así las cosas, está claro que la reclamada no cumplió la resolución de tutela de
derecho TD/00127/2019, en la cual se instaba a la parte reclamada que atendiera
dicho derecho.
IV
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier interesado.”
A tenor de lo dispuesto por el RGPD en su art. 83.2, al decidir la imposición de
una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los
factores agravantes y atenuantes que se relacionan en el artículo señalado, así como
cualquier otro que pueda resultar aplicable a las circunstancias del caso.
- En consecuencia, se han tenido en cuenta, como agravantes:
- La entidad reclamada tiene la consideración de gran empresa.
- Por otra parte, se han tomado en consideración, como atenuantes:
- No ha obtenido beneficios directos (83.2 k) RGPD y 76.2.c) LOPDGDD).
Procede graduar la sanción a imponer a TELEFONICA MÓVILES ESPAÑA,
S.A.U., y fijarla en la cuantía de 30.000 € por la infracción del artículo 58.2 del RGPD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a TELEFONICA MÓVILES ESPAÑA, S.A.U. con NIF
A78923125, por una infracción del artículo 58.2 del RGPD, tipificada en el artículo 83.5
e) del RGPD, una multa de 30.000,00 € (treinta mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
SEGUNDO: NOTIFICAR la presente resolución a TELEFONICA MÓVILES ESPAÑA,
S.A.U. con NIF A78923125.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario,
se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es