Sanción a mercantil por uso indebido de datos personales en procedimiento sancionador


AEPD 21/02/2022

Se interpone por un particular reclamación contra una mercantil por realizar un uso indebido de sus datos personales al haberle identificado ante la Policía Local con ocasión de una infracción de tráfico como conductor de un vehículo titularidad de la reclamada.

La AEPD señala que los hechos puestos de manifiesto en la reclamación no suponen un error por parte de la reclamada por cuanto ésta mantuvo en el traslado y en el procedimiento su ausencia de responsabilidad, pretendiendo obtener la ventaja de ser exculpado de la infracción de tráfico. Por ello, la AEPD le impone una multa de 4.000 euros por la infracción del art. 5.1.d) RGPD.

Agencia Española de Protección de Datos, Resolución, 21-02-2022

ANTECEDENTES 

 

PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 25/11/2020 interpuso reclamación ante la Agencia Española de Protección de Datos.

Manifiesta que recibió una notificación de denuncia del Ayuntamiento de ***LOCALIDAD.1, expediente acabado en XX, "conducir sin hacer uso del cinturón de seguridad varón no se notifica por agente a pie", turismo matricula ***MATRÍCULA.1, Honda CR-V, el 1/09/2020 a 10:16 que "le era desconocido".

Se personó en la sede de la Policía y se le informó de los datos correspondientes del dueño del vehículo. "Al comprobar los datos recordé que hace dos años solicité en la dirección que figura en dichos datos un presupuesto para el cual yo tuve que facilitar mis datos personales, los cuales fueron comunicados cuando se solicitaron los datos del conductor del vehículo por no haber sido identificado en el momento de la denuncia. Y con los datos que se me facilitaron me personé junto a dos agentes en la dirección indicada para solicitar explicaciones de porque había falseado los datos del conductor de la denuncia, implicándome en un acto que yo no había cometido".

"Se abrió expediente correspondiente por parte de la Policía Local al haberme yo presentado y denunciar por mi parte la falsedad de los datos que figuran en la denuncia".

Adjunta:

1- Copia del boletín de denuncia, fecha 1/09/2020, en el que figura como asociado a los datos del vehículo "MACASVER S.L., C/ ***DIRECCIÓN.1, ***LOCALIDAD.1" y el resto de los datos señalados al día, modelo y circunstancias ya expresados.

Se añade "la obligación legal de identificar verazmente al conductor del vehículo en el momento de cometerse la infracción. Con la obligación de indicar el número de permiso o licencia de conducción que permita la identificación de aquel en el registro de conductores". Se añade que "no cumplir tal obligación se califica en el artículo 77.j) LTSV como infracción muy grave, lo que supondrá el inicio de un nuevo expediente sancionador por no identificar al conductor responsable art 11.1 LTSV, correspondiéndole a tal hecho una multa económica por importe del doble de la prevista para la infracción originaria, si es infracción leve, y del triple, si es grave o muy grave (art 80.2 b) LTSV)"

La parte del boletín a cumplimentar con los datos del conductor identificado, aparece con los datos manuscritos del reclamante, fecha 1/10/2020, y una firma.

2-Un segundo documento, "notificación de denuncia", fecha incoación: 16/10/2020, firmado ese mismo día, con los datos del reclamante y los hechos imputados: "no utilizar el conductor del vehículo el cinturón de seguridad, correctamente abrochado". A diferencia de lo reflejado en el punto anterior, se le indica que "en el supuesto de que en el momento de la infracción no fuera el conductor del vehículo, se le requiere para que en el plazo de 20 días naturales a partir del recibo de esta notificación, identifique verazmente al conductor del vehículo responsable de la infracción -nombre y apellidos DNI domicilio completo-acompañando fotocopia de su permiso de conducción. Tratándose de empresas de alquiler de vehículos deberá remitirse copia del contrato de alquiler. Se le apercibe que si incumple esta obligación sin causa justificada, será sancionado como infractor de una infracción muy grave cuya cuantía será del doble de la prevista para la infracción qué la motivó..."

SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante el 4/01/2021 se traslada la reclamación a MACASVER S.L. (la reclamada) por vía telemática, resultando expirada, al transcurrir el plazo sin acceder a su contenido.

Se reitera la petición esta vez por correo postal, figurando entregada el 1/02/2021. Se recibe respuesta de la reclamada, manifestando:

- Su entidad cesó en el ejercicio de la actividad en fecha 31/03/2018 (adjunta declaración censal de la baja en el Censo presentada por internet el 3/04/2018 y copia del modelo 036, figurando marcada la opción 140: "dejar de ejercer todas las actividades empresariales y o profesionales, personas jurídicas y entidades sin liquidación. Entidades inactivas", "fecha efectiva del cese 31/03/2018."

- "No siendo cierto que esta empresa tenga los datos personales del reclamante ni haya hecho uso indebido de los mismos, no teniendo nada que ver con la notificación de sus datos al Ayuntamiento de ***LOCALIDAD.1 por una infracción de tráfico realizada en fecha 1/10/2020, que al parecer debió hacerla la persona ajena a esta empresa que cometió la infracción con el vehículo cuando fue a probarlo porque afirmó estar interesando en su compra."

Hay que señalar que la infracción se comete el 1/09/2020 y no ha aportado documento alguno que pueda acreditar que fuera el conductor del vehículo, figurando en el boletín de denuncia que se envió a la reclamada, que figura como titular del vehículo a la fecha de los hechos, y a cuyo titular, corresponde identificar al conductor, y en el boletín constan los datos completos del reclamante.

TERCERO: Con fecha 8-04-2021, la reclamación fue admitida a tramite.

CUARTO: De acuerdo con el Registro Mercantil, la reclamada tiene como objeto social:

"comercio menor de muebles, maquinas y equipos de oficina. todo lo relacionado con la copistería, escáner e impresión grafica., con la informatica, tanto distribución como enseñanza y asesoramiento. actividades de consultoría empresarial. y lo relacionado con la distribución de telefonía CNAE: 4651 comercio al por mayor de ordenadores, equipos periféricos y programas informáticos, figurando B.B.B. como administrador único"

En informe extraído de AXESOR, a 19/05/2021, algunos datos de la reclamada son:

Tamaño: Microempresa

Actividad: 4741 - Comercio al por menor de ordenadores, equipos periféricos y programas informáticos en establecimientos especializados

Constitución: 08/08/2003

Última Publicación BORME: 29/06/2015 (Cambio de Domicilio Social)

Estado: activa

Media de empleados en 2016, uno

Las ultimas cuentas que figuran son de 2016.

QUINTO: Con fecha 24/05/2021, la Directora de la AEPD acordó:

"INICIAR PROCEDIMIENTO SANCIONADOR a MACASVER S.L., con CIF B09416306, por la presunta infracción del artículo 5.1.d) del RGPD, conforme señala el artículo 83.5.a) del RGPD.

A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP) la sanción que pudiera corresponder sería multa de 8.000 euros, sin perjuicio de lo que resulte de la instrucción."

SEXTO: El mismo día de la puesta a disposición de la notificación electrónica, 24/05/2021 se accede por la reclamada a la notificación.

Con fecha 11/06/2021, efectúa las siguientes alegaciones:

- Su empresa cesó en ejercicio de su actividad el 31/03/2018, "no siendo cierto que tengan los datos personales del reclamante ni haya hecho uso indebido de los mismos no teniendo nada que ver con la notificación de sus datos al Ayuntamiento por una infracción de tráfico realizada el 1/10/2020."

- La imputación se basa solo en manifestaciones del reclamante.

SÉPTIMO: Con fecha 14/06/2021, se inicia un periodo de pruebas, practicándose las siguientes:

- Al reclamante, si interpuso denuncia policial contra el reclamado por haber dado sus datos en la denuncia de tráfico, motivo de su reclamación ante esa AEPD, copia de la misma e información del tramite en que se encuentra la misma. En su reclamación manifiesta que conoce a la empresa reclamada porque pidió o encargó al reclamante unos productos, se solicita que informe de que tipo de productos se trataba en que fecha, cuantos empleados había , quien fue el que le recogió los datos, si fue por escrito, y si dispone de algún documento de ello. También se usted probó algún vehículo que le vendía o se vendía en dicho establecimiento el 1-09-2020.

No respondió a ninguna cuestión planteada. -A la Policía Local de ***LOCALIDAD.1:

a) Indicándole el boletín de denuncia de tráfico, nº expediente ***EXPEDIENTE.1, fecha denuncia 1/09/2020, hora 10:16 hecho "Conducir sin hacer uso del cinturón de seguridad-varón- no se notifica por agente a ir a pie", datos de vehículo ***MATRÍCULA.1 , turismo, HONDA CR-V, datos titular MACASVER S.L., C/ ***DIRECCIÓN.1, ***LOCALIDAD.1, con la salvedad de que podría ser MASCAVER SL en realidad. Se identifica como conductor a la persona de A.A.A.. Se le solicita información sobre si le consta incidencia en la identificación veraz notificación de la sanción, al presentarse reclamación ante esta Agencia por la persona identificada como tal por, presuntamente la entidad MASCAVER S.L., titular del vehículo, ya que además, A.A.A. manifiesta que la policía instruyó expediente por falta de veracidad en la identificación del dicha sanción. Si así fuera, copia de tal inicio y si existen consecuencias que hayan recaído sobre el responsable en la actualidad.

b) Se le solicita que informe cuando se identifica como conductor de un vehículo que motiva una infracción, que clase de documentos de representación se piden que aporte a la empresa o persona que efectúa dicha identificación para dar credibilidad y autenticidad al real titular del vehículo. A titulo de ejemplo, en la identificación que se envía- copia que origina la presente reclamación- solo figura una firma, sin conocer quien, que persona o cargo de la empresa efectúa la identificación, ni siquiera sus datos e identificación. Si les consta que la normativa exija dicho tipo de autenticación en la voluntad del que identifica a dicho infractor, y el motivo por el que en la denuncia que recibe el conductor identificado no le consta cuando la recibe la entidad que le identifica como conductor del vehículo el día y hora de la infracción, ya que al proceder los datos de otra entidad, persona, se debe informar al interesado de dicho extremo (articulo 14 del RGPD).

Con fecha 18/06/2021 respondieron, manifestando:

- "La denuncia por la infracción se envió a MACASVER SL el 9/09/2020 con petición de datos al titular para la identificación del conductor, titular del vehículo en la fecha de la denuncia. "Dicha petición fue recogida el 14/09/2020 por el Gerente de la empresa D. B.B.B." (XX), "quien nos comunicó el día 1/10/2020 los datos" que figuran cumplimentados a mano en el boletín de denuncia. "Al aparecer los datos del reclamante en el Registro de conductores e infractores, no se solicitó a B.B.B. ninguna documentación adicional."

- El día 16/10/2020, se envió a la persona identificada como conductor, el reclamante, la notificación de denuncia, que fue recogida el 20/10/2020, persona que se puso en contacto con la oficina de denuncias manifestando que el no era la persona que conducía el vehículo, y que había acudido a esa empresa tiempo atrás porque les había solicitado un presupuesto, indicando que quería hablar con el Gerente de dicha empresa. Quedaron con el reclamante y el mismo día 20 acompañado por agentes, acudieron a la empresa, manifestándole a B.B.B. su descontento con la identificación.

Por la oficina de gestión de multas se han anulado todas las acciones contra el reclamante y se retrotrajeron las acciones llevadas a cabo, iniciando de nuevo el procedimiento a B.B.B., en el que el mismo se identificó como conductor del vehículo, abonando la sanción y la retirada de los puntos.

- Al reclamado,

a) En la web figura en la dirección de su domicilio social, una tienda de informatica MICROSSHOP Informatica, MICROSSHOP TIENDAS S.L., señale que relación guarda con esta entidad, que tipo de negocio es y que posición jurídica tiene en el mismo, y si es titular de la citada tienda en ***LOCALIDAD.1, que tipo de titularidad ostenta (sociedad, autónomo etc.).

b) Cuantos empleados tenía cuando cursó la baja censal en el establecimiento.

c) Si el negocio titularidad de MACASVER está de baja censal, razón por la que es posible enviar y que se recojan cartas en dicho domicilio social de la actividad.

d) Cuando se envía el boletín de denuncia a titular del vehículo para que se identifique al conductor-MACASVER S.L.- de ese día el 1/09/2020, el 1/10/2020 alguien de esa entidad, usted, o una persona en nombre de dicha entidad rellena los datos del reclamante. Se le envía copia de la identificación del conductor que se hace al reclamante para que manifieste lo que considere al respecto.

El reclamado, al que se envía por notificación electrónica la petición, no atendió la misma, figurando en la notificación "expirada", por rechazo automático el 27/06/2021. El rechazo automático se produce "de forma general, tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Y de forma particular, superado el plazo establecido por la Administración actuante de acuerdo a la normativa jurídica específica que sea de aplicación".

OCTAVO: Con fecha 10/01/2022 se emite propuesta de resolución del literal:

"Que por la Directora de la Agencia Española de Protección de Datos se sancione a MACASVER S.L., con CIF B09416306, por una infracción del artículo 5.1.d) del RGPD, tipificada en el artículo 83.5 a) del RGPD, y en el 72.1.a) de la LOPDGDD, con una multa de 8.000 euros."

El envío telemático dio como resultado "expirado", fecha de rechazo automático 21/01/2022. A pesar de estar obligado a relacionarse telemáticamente con la administración, de haber recepcionado el acuerdo de inicio por dicho medio, la propuesta también resultó enviada por notificación postal el 13/01/2022. Esta fue devuelta a origen por "no retirada en oficina el 31/01/2022, con gestión de primer intento de entrega 20/01/2002, "ausente, y segundo el 21/01/2022, ausente "se dejó aviso en buzón".

NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

1- La Policía municipal de ***LOCALIDAD.1 impone una denuncia por infracción de trafico por que el conductor del vehículo no llevaba el cinturón de seguridad, el 1/09/2020 a las 10 h 16, en el vehículo matricula ***MATRÍCULA.1 marca y modelo que figura en el boletín de denuncia, y que les figura asociado a la titularidad de la empresa MASCAVER S.L., enviando el boletín para que en su caso identifique al conductor. Con fecha 1/10/202, se presentó cumplimentado a mano y firmado el citado boletín, en el que figuran los datos del reclamante: el nombre y apellido, NIE, y dirección.

2- El reclamante recibió "notificación de denuncia", de XXX euros y tres puntos detraídos, fecha incoación: 16/10/2020, y los hechos imputados: "no utilizar el conductor del vehículo el cinturón de seguridad, correctamente abrochado". En la reclamación, el reclamante mantiene que no era el conductor y que acudió a la policía local con el fin de averiguar por quien había sido identificado. Al informarle la Policía Local que había sido por la empresa titular del vehículo MACASVER, el reclamante negando ser el conductor añadió que tiempo atrás había proporcionado sus datos con el fin de adquirir un producto de dicha entidad.

3- La reclamada tiene como objeto social "Comercio al por menor de ordenadores, equipos periféricos y programas informáticos en establecimientos especializados", microempresa. La reclamada, MACASVER S.L. aportó antes del acuerdo de inicio declaración censal de la baja en el Censo presentada por internet el 3/04/2018 y copia del modelo 036, figurando marcada la opción 140: "dejar de ejercer todas las actividades empresariales y o profesionales, personas jurídicas y entidades sin liquidación. Entidades inactivas", "fecha efectiva del cese 31/03/2018". Sin embargo los datos del vehículo causante de la infracción, a fecha de la comisión de la misma, 1/09/2019, continuaban bajo titularidad de MACASVER S.L., según le figuraba en el registro de vehículos que la policía local consultó cuando impuso la sanción.

4- Solicitada por el instructor en pruebas, a la Policía Local, explicaciones sobre lo acontecido, manifestó que efectivamente, acompañaron al reclamante a la empresa del reclamado y ante las manifestaciones en su presencia sobre el asunto, anularon la sanción al reclamante, retrotrayendo actuaciones e iniciando el mismo procedimiento contra el reclamado, que se autoidentificó el 5/11/2020 como el conductor del vehículo en el momento de la infracción, abonando la sanción el 25/11/2020, que coincide con la fecha en que el reclamante presenta su reclamación a la AEPD.

FUNDAMENTOS DE DERECHO  

 

I

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

II

Producido como queda acreditado un tratamiento de datos por parte de la reclamada al enviar unos datos no correctos para la identificación del conductor del vehículo el día de la infracción, 1/09/2020, se considera que la reclamada ha cometido una infracción del artículo 5.1 d) del RGPD, que establece:

"Los datos personales serán:

c) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);"

El vehículo es el nexo que motiva la identificación del reclamante, ya que es el denunciado en un día y una fecha concreta en el que según los datos recabados y contenidos en el boletín de denuncia, aparece MACASVER SL, que si bien el apoderado VJ en sus alegaciones indica que dejó de ejercer la actividad, el vehículo continuaba bajo dicha titularidad, recordando que incluso ello no fue óbice para que el abonase la sanción impuesta por la Policía Local, que previamente se habían presentado en el establecimiento, localizando a VJ.

Debe tenerse en cuenta que en el registro de vehículos al que acceden las Fuerzas y Cuerpos de Seguridad del Estado, entre ellas, la Policía Local con competencias en tráfico urbano en la localidad de que se trata, figuraba el vehículo con la titularidad de la reclamada, entidad de la que forma parte B.B.B. (XX) como administrador único, la persona que identifica al reclamante. Lo cierto es que a fecha de comisión de la infracción, el vehículo continuaba bajo esa titularidad y la tienda estaba abierta pues acudieron los policías a ese establecimiento.

Se acredita la falta de exactitud de datos aportada al boletín de denuncia por parte de la reclamada, anotando en el boletín de denuncia los datos del reclamante. Aparentemente los datos los tenía de una ocasión en que el reclamante acudió a pedir un presupuesto, sino no se explican que se pusieran todos ellos, que coincidían con el registro de conductores e infractores, eran lógicos, y a pesar de que la reclamada no ha ofrecido una explicación plausible defendiendo en todo momento que ni tenia los daos ni ha hecho un uso indebido , aunque añade que "cometió la infracción cuando fua a probar el vehículo en el cual estaba interesado en su copra", versión que se contradice con lo manifestado ante la policía local al ser inquirido. Además, es al que afirma un hecho al que corresponde acreditar su veracidad, completar el boletín de denuncia sin título jurídico que soporte esa identificación con esos datos, supone como se ha acreditado, que la misma no fue basada en el principio de veracidad de datos, cuando disponía de posibilidades de identificar realmente a un conductor, o si no disponía de esa posibilidad no debió completar los datos con los de un tercero. Se acredita así, la comisión de esta infracción.

III

El artículo 58. 2.i) del RGPD indica:

"2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;"

Los hechos puestos de manifiesto en la reclamación no suponen un error por parte del reclamado por cuanto este mantuvo en el traslado y en el procedimiento su ausencia de responsabilidad, pretendiendo obtener la ventaja de ser exculpado de la infracción de tráfico, razón por la que se inicia el procedimiento sancionador con multa administrativa.

IV

El artículo 83.5 a) del RGPD, considera que la infracción de "los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9" es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 Eur. como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía."

La LOPGDD en su artículo 72.1.a) indica: "Infracciones consideradas muy graves

"1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679".

V

La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente:

"1 Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias."

"2 Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción."

Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado "Sanciones y medidas correctivas":

"1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.

3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679."

De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) del RGPD, de la que se responsabiliza al reclamado, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado:

- Artículo 83.2.b) RGPD. "Intencionalidad o negligencia en la infracción": Aspecto que se pone de manifiesto con las respuestas de la policía local en pruebas, y que relaciona la ejecución de la acción con el sujeto, en el sentido de no solo imputabilidad de la infracción a su responsable, sino el hecho de poder agravar o reducir la sanción según el grado de culpabilidad. En este caso concreto, el reclamado ha negado a esta AEPD ser el autor de la identificación, pero al serle pedidas explicaciones por los agentes, se anuló la sanción al reclamante y se inició de nuevo el procedimiento en el que se identificó a si mismo como conductor del vehículo en el momento de la infracción, lo que denota una abierta intencionalidad en dar esos datos consistente en que no tenía titulo habilitante para designar los datos del reclamante como conductor del vehículo y autor de la infracción al proporcionar sus datos a la Policía para gestionar la multa.

Como atenuante:

- Artículo 76.2.b) de la LOPDGDD: "La vinculación de la actividad del infractor con la realización de tratamientos de datos personales", ya que por el objeto social de la reclamada no se le presupone tratamientos habituales, continuos o de importancia por cantidad o tipo de datos que maneje.

Como balance de las circunstancias, se considera que la cuantía de la sanción es de 4.000 euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos

RESUELVE: 

 

PRIMERO: IMPONER a MACASVER S.L., con CIF B09416306, por una infracción del artículo 5.1.d) del RGPD, tipificada en el artículo 83.5 a) del RGPD, y en el 72.1.a) de la LOPDGDD, una multa de 4.000 euros.

SEGUNDO: NOTIFICAR la presente resolución a MACASVER S.L.

TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], <https://sedeagpd.gob.es/sede-electronica-web/%5D,> o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPCAPAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar.