1/14
Procedimiento Nº: PS/00459/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 10/06/2020 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra MALAGATROM, S.L.U. con NIF B93178614 (en adelante,
MALAGATROM o la reclamada), que opera bajo la marca comercial “Mercatron”. Los
motivos en que basa la reclamación son: la reclamada ha tratado y divulgado en
“Amazon” sus datos personales relativos a nombre y apellidos, domicilio, número de
telefonía móvil, nombre de su cónyuge y número de telefonía móvil de éste. Advierte
que el tratamiento de datos denunciado se realiza sin su consentimiento y sin una
finalidad legítima.
En esta reclamación se pone de manifiesto que, a través de la plataforma “Amazon”, la
reclamante adquirió a la reclamada un producto comercializado por esta empresa,
resultando defectuoso el envío y dando lugar a diversas reclamaciones, alguna con la
intermediación de “Amazon”. La reclamante añade que optó por insertar un comentario
con una valoración negativa de la tienda de la reclamada junto a una reseña del
producto, recibiendo una respuesta en la que la reclamada amenaza con publicar sus
datos, lo que posteriormente cumplió con la incorporación de un comentario que
detalla los datos personales antes indicados.
Adjunta las siguientes imágenes escaneadas de la cuenta de usuario de “Amazon”:
1. Mensaje de “Amazon” de fecha 15/05/2020 referente a un pedido.
2. Mensaje de 02/06/2020 enviado por <[email protected]> a la reclamante
sobre devolución.
3. Mensaje de 02/06/2020 de “Amazon” para “Mercatron” acerca de la solicitud de
devolución del pedido por parte de la reclamante.
4. Mensaje de 03/06/2020 enviado por “Mercatron” a la reclamante acerca de la
devolución, con el texto siguiente:
“Sr. Cliente, le aconsejo que devuelva el equipo, para que nuestra relación comercial
quede anulada, un voto negativo por un caso como el suyo, solo demuestra…
Además, no creo que a usted le guste que todos los vendedores, vean todos sus
datos en la contestación al comentario, pero si le da igual, ya no volveremos a
escribirle. Usted es el que se la juega…”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
5. Mensaje de 03/06/2020 enviado por el Servicio de Atención al Cliente de “Amazon”
al reclamante.
6. Comentarios publicados en la página de escaparate de “Mercatron”, entre los que
figura uno insertado por la propia entidad reclamada, de fecha 03/06/2020, con el texto
siguiente:
“Mucho cuidado con esta cuenta… (nombre y apellidos, domicilio y número de
telefonía móvil de la reclamante). El marido se llama… (nombre del cónyuge de la
reclamante) y es el que lleva la cuenta… (número de telefonía móvil del cónyuge de la
reclamante)”.
La reclamante hace referencia a la posible incorporación de sus datos personales y los
de su cónyuge a anuncios publicados en los portales “Milanuncios” y “Tripadvisor”, y
añade que en la misma fecha del 03/06/2020 comenzaron a recibir llamadas de
personas interesadas, alguna de las cuales conocían el domicilio de la reclamante. No
obstante, la reclamación no acompaña ninguna prueba al respecto.
SEGUNDO: La reclamación fue admitida a trámite en fecha 22/06/2020.
TERCERO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por la reclamante, la Subdirección General de Inspección de
Datos procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
Como resultado de las actuaciones de investigación practicadas, el informe elaborado
por el inspector actuante pone de manifiesto lo siguiente:
“[…]
Se comprueba que los hechos reclamados son ciertos, encontrándose no solo los
datos personales de la reclamante y su marido publicados en la respuesta
proporcionada por la reclamada a la valoración realizada por la reclamante, sino que
se han encontrado otros tres casos de revelación de datos personales en respuestas a
valoraciones en los últimos seis meses en el perfil del reclamado en el sitio web de
venta online https://www.amazon.es.
[…]
Realizada una búsqueda en los sitios web https://milanuncios.es y
https://www.tripadvisor.es en los que la reclamante manifiesta que se han publicado
también sus datos personales por los han recibido llamadas telefónicas, no
encontramos ninguna referencia al teléfono de la reclamante ni al de su marido.
[…]
Se ha comprobado que existen otros casos en los que, al recibir una valoración
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
negativa, el reclamado hace públicos los datos personales de los clientes no
conformes con la compra y/o el servicio. El caso más reciente de los encontrados ha
sido en una respuesta al comentario de un cliente con fecha de 17 de agosto de
2020”.
Mediante Diligencia de Inspección de fecha 03/12/2020, se incorpora a las actuaciones
impresión de pantalla con algunas respuestas de la reclamada a comentarios
insertados en el sitio web de compras de “Amazon” por sus clientes, en los que se
revelan datos personales de éstos. Las páginas que contienen estos comentarios,
incluidos los relativos a la reclamante, se obtuvieron del perfil de la reclamada en dicho
sitio web.
Se incorporan tres comentarios, todos ellos con un contenido similar al que ha
motivado la reclamación, según el detalle que consta reseñado en el Hecho Probado
Quinto.
CUARTO: Con fecha 25/05/2021, por la Subdirección General de Inspección de Datos
se accede a la información disponible sobre la entidad reclamada en “Axesor”. En
dicha web consta que dicha entidad se constituye en 2012, con un capital social de
3.000 euros. (…).
(…).
QUINTO: Con fecha 01/06/2021, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a La entidad MAGALATROM, por la
presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.a) del mismo
Reglamento; señalando en dicho acuerdo que la sanción que pudiera corresponder
asciende a 4.000 euros (cuatro mil euros), sin perjuicio de lo que resulte de la
instrucción.
SEXTO: Notificado el citado acuerdo de inicio, el plazo concedido a la reclamada para
formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito
alguno.
SÉPTIMO: Con fecha 28/06/2021 se formuló propuesta de resolución en el sentido de
que por la Directora de la Agencia Española de Protección de Datos se sancione a la
entidad reclamada con multa por importe de 4.000 euros (cuatro mil euros), por una
infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD.
Asimismo, se propuso que por la Directora de la Agencia Española de Protección de
Datos se requiera a la reclamada para que, en el plazo que se determine, adopte las
medidas necesarias para adecuar su actuación a la normativa de protección de datos
personales, con el alcance expresado en los Fundamentos de Derechos de la citada
propuesta de resolución.
OCTAVO: Notificada a la entidad reclamada la propuesta de resolución, con fecha
30/06/2021 se recibió en esta Agencia escrito de alegaciones, en el que manifiesta que
no se produce divulgación de datos, al tratarse de un chat interno de la web al que no
puede tener acceso ninguna otra persona.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
Alega indefensión, ante la imposibilidad de demostrar su inocencia, y añade que los
bajos rendimientos que obtiene no le permiten soportar sanciones por hechos ajenos a
su voluntad, por lo que se verá obligado a no continuar con la actividad empresarial.
Con su escrito, la reclamada no aporta documentación alguna.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: la entidad reclamada figura registrada como “vendedor” en el Portal
“Amazon”. A través de este sitio web, la reclamante adquirió uno de los productos
comercializados por la reclamada.
SEGUNDO: El envío del producto que la reclamante adquirió de la reclamada resultó
defectuosos, dando lugar a la formulación de diversas reclamaciones por parte de la
cliente. La reclamante, además, insertó un comentario en la página escaparate de la
reclamada en “Amazon” con una valoración negativa de la tienda y una reseña del
producto.
TERCERO: Como respuesta al comentario de la reclamante, reseñado en el Hecho
Probado Segundo, la reclamada, con fecha 03/06/2020, insertó un comentario acerca
de la devolución, con el texto siguiente:
“Sr. Cliente, le aconsejo que devuelva el equipo, para que nuestra relación comercial
quede anulada, un voto negativo por un caso como el suyo, solo demuestra…
Además, no creo que a usted le guste que todos los vendedores, vean todos sus
datos en la contestación al comentario, pero si le da igual, ya no volveremos a
escribirle. Usted es el que se la juega…”.
CUARTO: Con fecha 03/06/2020, la reclamada insertó un comentario en la plataforma
de compras “Amazon”, en su propia página escaparate, en el que divulga los datos
personales de la reclamante relativos a nombre y apellidos, domicilio, número de
telefonía móvil, nombre de su cónyuge y número de telefonía móvil de éste. El texto de
este comentario es el siguiente:
“Mucho cuidado con esta cuenta… (nombre y apellidos, domicilio y número de
telefonía móvil de la reclamante). El marido se llama… (nombre del cónyuge de la
reclamante) y es el que lleva la cuenta… (número de telefonía móvil del cónyuge de la
reclamante)”.
QUINTO: Por los Servicios de Inspección de la Agencia se comprobó que existen otros
casos en los que, al recibir una valoración negativa, la entidad reclamada hace
públicos los datos personales de los clientes no conformes con la compra y/o el
servicio. Las páginas que contienen estos comentarios, incluidos los relativos a la
reclamante, se obtuvieron del perfil de la reclamada en “Amazon”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
El texto de estos comentarios es el siguiente:
. Comentario insertado el 29/05/2020: “Mucho cuidado con este comprador… (nombre
y apellidos del cliente, domicilio y número de telefonía móvil)”.
. Comentario insertado el 03/06/2020: “Cuidado con este cliente… (nombre del cliente,
ciudad u código postal). Es un manipulador”.
. Comentario insertado el 19/08/2020: “Cuidado con este cliente… (nombre y apellidos
del cliente, domicilio y número de telefonía móvil). Se dedica a comprar cosas y por el
hecho de ser prime se cree que no tiene que pagar. Ojo con este tipejo por llamarlo
algo”.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el RGPD, en
la presente ley orgánica, por las disposiciones reglamentarias dictadas en su
desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas
generales sobre los procedimientos administrativos”.
II
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.
2. Los Estados miembros podrán mantener o introducir disposiciones más específicas
a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al
tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más
precisa requisitos específicos de tratamiento y otras medidas que garanticen un
tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de
tratamiento a tenor del capítulo IX.
3. La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser
establecida por:
a) el Derecho de la Unión, o
b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento.
La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo
relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener
disposiciones específicas para adaptar la aplicación de normas del presente
Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento
por parte del responsable; los tipos de datos objeto de tratamiento; los interesados
afectados; las entidades a las que se pueden comunicar datos personales y los fines
de tal comunicación; la limitación de la finalidad; los plazos de conservación de los
datos, así como las operaciones y los procedimientos del tratamiento, incluidas las
medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras
situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión
o de los Estados miembros cumplirá un objetivo de interés público y será proporcional
al fin legítimo perseguido.
4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los
datos personales no esté basado en el consentimiento del interesado o en el Derecho
de la Unión o de los Estados miembros que constituya una medida necesaria y
proporcional en una sociedad democrática para salvaguardar los objetivos indicados
en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar
si el tratamiento con otro fin es compatible con el fin para el cual se recogieron
inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a) cualquier relación entre los fines para los cuales se hayan recogido los datos
personales y los fines del tratamiento ulterior previsto;
b) el contexto en que se hayan recogido los datos personales, en particular por lo que
respecta a la relación entre los interesados y el responsable del tratamiento;
c) la naturaleza de los datos personales, en concreto cuando se traten categorías
especiales de datos personales, de conformidad con el artículo 9, o datos personales
relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d) las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la
seudonimización”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
Se tiene en cuenta lo expresado en los considerandos 40 a 45 y 47 del RGPD.
En el presente caso, la entidad reclamada figura registrada como “vendedor” en el
Portal “Amazon”. A través de este sitio web, la reclamante adquirió uno de los
productos comercializados por la reclamada.
Por virtud de dicha compra, la reclamada recabó los datos personales de la
reclamante y quedaba legitimada para someterlos a tratamiento con la finalidad de dar
cumplimiento a la citada relación comercial.
No obstante, la reclamada realizó un tratamiento de tales datos que no resultaba
necesario para el cumplimiento o ejecución de dicha relación, consistente en insertar
un comentario en su propia página escaparate en “Amazon” en el que se detallaron los
datos personales de la reclamante relativos a nombre y apellidos, domicilio, número de
telefonía móvil, nombre de su cónyuge y número de telefonía móvil de éste. El texto
del comentario en cuestión es el siguiente:
“Mucho cuidado con esta cuenta… (nombre y apellidos, domicilio y número de
telefonía móvil de la reclamante). El marido se llama… (nombre del cónyuge de la
reclamante) y es el que lleva la cuenta… (número de telefonía móvil del cónyuge de la
reclamante)”.
Por otra parte, las actuaciones de investigación desarrolladas por los Servicios de
Inspección de esta Agencia han comprobado la existencia de comentarios similares
relativos a otros clientes, cuyos datos personales han sido utilizados en igual forma.
Las presentes actuaciones incorporan tres comentarios de este tipo, además del
correspondiente a la reclamante, en los cuales figuran datos personales de clientes de
la reclamada.
No consta, en el caso de la reclamada ni en relación con los demás clientes aludidos,
que los respectivos tratamientos de datos personales por parte de la reclamada se
llevasen a cabo al amparo de una base jurídica que los legitime, no eran necesarios
para el cumplimiento de la relación comercial, como se ha dicho, y la finalidad para la
que se llevan a cabo no es una finalidad compatible con las que determinaron la
recogida de tales datos personales por parte de la reclamada.
En consecuencia, los citados hechos vulneran lo dispuesto en el artículo 6 del RGPD,
que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado
Reglamento otorga a la Agencia Española de Protección de datos.
Sobre esta utilización de los datos personales de los clientes, la entidad reclamada no
ha efectuado manifestación alguna en su escrito de alegaciones a la propuesta.
III
El artículo 5 del RGPD establece los principios que han de regir el tratamiento de los
datos personales y menciona entre ellos el de “integridad y confidencialidad”. Este
artículo, en su apartado 1.f), señala lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
“1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los datos
personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra
su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas
u organizativas apropiadas («integridad y confidencialidad»)”.
El artículo 5 de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de
Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se
refiere al “Deber de confidencialidad” en los términos siguientes:
“1. Los responsables y encargados del tratamiento de datos así como todas las
personas que intervengan en cualquier fase de este estarán sujetas al deber de
confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.
2. La obligación general señalada en el apartado anterior será complementaria de los
deberes de secreto profesional de conformidad con su normativa aplicable.
3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun
cuando hubiese finalizado la relación del obligado con el responsable o encargado del
tratamiento”.
Los comentarios realizados por la reclamada sobre la reclamante y otros clientes, en
los que se detallan datos personales relativos a los mismos, los cuales se insertaron
en el portal de ventas “Amazon”, en la página escaparate de la propia reclamada, que
está registrada como entidad vendedora en dicho portal, supone la difusión a terceros
de aquellos datos personales sin ningún tipo de restricción, considerando que dicho
sitio web es de libre acceso para cualquier usuario de internet.
Así, por parte de la reclamada se llevó a cabo una difusión de datos personales, que
constituye una infracción por incumplimiento de lo establecido en el artículo 5
“Principios relativos al tratamiento” del RGPD, apartado 1.f), en relación con el artículo
5 “Deber de confidencialidad” de la LOPDGDD.
Este deber de confidencialidad, con anterioridad deber de secreto, tiene como finalidad
evitar esas difusiones de los datos no consentidas por los titulares de los mismos. Se
trata de una obligación que incumbe al responsable y encargado del tratamiento, así
como a todo aquel que intervenga en cualquier fase del tratamiento; y que es
complementaria del deber de secreto profesional.
En sus alegaciones a la propuesta de resolución, la entidad reclamada niega esta
divulgación de datos personales, señalando que los comentarios en cuestión se
realizaron en un chat interno de la web al que no puede tener acceso ninguna otra
persona. Sin embargo, las actuaciones desarrolladas por los Servicios de Inspección
de la Agencia han permitido constatar que los comentarios son públicos, dado que
puede accederse al sitio sin ninguna restricción, sin siquiera estar registrado en la
plataforma de ventas.
En el mismo escrito ha alegado indefensión, pero sin expresar ninguna causa o
circunstancia que la determine.
IV
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
Los hechos constatados, consistentes en utilizar los datos personales de los
interesados para realizar unos comentarios que fueron insertados en un sitio web de
libre acceso, constituyen la base fáctica para fundamentar la imputación a la
reclamada de las infracciones de los artículos 6 y 5.1 de la LOPDGDD.
Nos encontramos ante un supuesto de concurso medial, en el que un mismo hecho
podría derivar en dos infracciones, dándose la circunstancia que la comisión de una
implica, necesariamente, la comisión de la otra. Esto es, el tratamiento de datos
personales en un sitio web de libre acceso deriva, a su vez, en una vulneración del
deber de confidencialidad.
Las dos posibles infracciones son consideradas muy graves a efectos de prescripción
en el artículo 72 de la LOPDGDD y ambas están tipificadas en el artículo 83.5 del
RGPD.
A este respecto, el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen
Jurídico del Sector Público, establece lo siguiente:
“Cuando de la comisión de una infracción derive necesariamente la comisión de otra u
otras, se deberá imponer únicamente la sanción correspondiente a la infracción más
grave cometida”.
Por tanto, procede subsumir ambas infracciones en una, procediendo imponer
únicamente la sanción prevista para la infracción del artículo 6 del RGPD, que se trata
de la infracción originaria que ha implicado la comisión de la otra.
V
Para el caso de que concurra una infracción de los preceptos del RGPD, entre los
poderes correctivos de los que dispone la Agencia Española de Protección de Datos,
como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los
siguientes:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las
operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada
caso particular;”.
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra d)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
anterior es compatible con la sanción consistente en multa administrativa.
VI
El incumplimiento de lo establecido en el artículo 6 del RGPD supone la comisión de
una infracción tipificada en el apartado 5.a) del artículo 83 del RGPD, que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone
lo siguiente:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9”.
A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica:
“Artículo 72. Infracciones consideradas muy graves.
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”.
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a
imponer en el presente caso, se estima que concurren como agravantes los criterios
de graduación siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
- La intencionalidad apreciada en la comisión de la infracción. En este caso, que
resulta de la incorporación de un comentario relativo a la reclamante, insertado
en un sitio web de acceso público, consta un comentario previo en el que la
misma reclamada amenazó con esa divulgación de datos personales.
- La naturaleza de la infracción, teniendo en cuenta el alcance o propósito de las
operaciones de tratamiento de que se trata, respecto de la privacidad de la
reclamante.
- La naturaleza de los perjuicios causados a las personas interesadas.
- El medio a través del cual se difunden los datos personales objeto de las
actuaciones (sitio web de libre acceso para cualquier usuario de internet).
- Las categorías de los datos de carácter personal afectados por la infracción,
considerando que el comentario en cuestión detalla los datos identificativos y
de contacto de sus clientes y terceros.
Se considera, asimismo, que concurren como atenuantes las circunstancias
siguientes:
- La condición de pequeña empresa de la entidad responsable.
Considerando los factores expuestos, se estima procedente la imposición de una
multa por importe de 4.000 euros (cuatro mil euros), por la Infracción del artículo 6 del
RGPD.
La reclamada ha formulado alegaciones a la propuesta de resolución indicando que
los bajos rendimientos que obtiene no le permiten soportar la sanción, por lo que se
verá obligado a no continuar con la actividad empresarial. Sin embargo, no ha
aportado documentación alguna que respalde estas manifestaciones, o que pudiera
dar a entender que la cuantía señalada resulta desproporcionada. De hecho, no ha
realizado manifestación alguna sobre los criterios de graduación tenidos en cuenta.
VII
De conformidad con lo establecido en el artículo 58.2.d) del RGPD, la comisión de una
infracción podrá conllevar la imposición al responsable de la obligación de adoptar
medidas adecuadas para ajustar su actuación a la normativa de protección de datos
personales. Según este artículo, cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.
Por tanto, en este caso, procede requerir a la reclamada para que, en el plazo que se
determine, suprima de su página en la plataforma “Amazon” todos los comentarios
insertados por la propia reclamada en los que se detallen datos personales de sus
clientes o terceros; y adopte las medidas oportunas para evitar que hechos similares
puedan repetirse en el futuro, advirtiendo a todas las personas de su organización
sobre la ilicitud de esta conducta.
Se advierte que no atender los requerimientos de este organismo puede ser
considerado como una infracción administrativa grave al “no cooperar con la Autoridad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la
hora de la apertura de un procedimiento administrativo sancionador con multa
pecuniaria.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a la entidad MALAGATROM, S.L.U., con NIF B93178614, por
una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una
multa de 4.000 euros (cuatro mil euros).
SEGUNDO: REQUERIR a la entidad MALAGATROM, S.L.U. que, en el plazo de un
mes, adopte de las medidas necesarias para adecuar su actuación a la normativa de
protección de datos personales, con el alcance expresado en el Fundamento de
Derecho VII de esta resolución.
TERCERO: NOTIFICAR la presente resolución a MALAGATROM, S.L.U.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es