Volver a página de inicio

I En virtud de los poderes que el artículo 58.2 del RGPD (LA LEY 6637/2016) reconoce a cada autoridad de control y según lo establecido en los artículos 47 (LA LEY 19303/2018), 48.1 (LA LEY 19303/2018), 64.2 (LA LEY 19303/2018) y 68.1 de la LOPDGDD (LA LEY 19303/2018), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD (LA LEY 19303/2018) determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679 (LA LEY 6637/2016), en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos."

El artículo 3.2 del RGPD (LA LEY 6637/2016) señala que "El presente Reglamento se aplica al tratamiento de datos personales de interesados que se encuentren en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:

a) la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, b) el control de su comportamiento, en la medida en que este tenga lugar en la Unión"

En el presente caso, la parte reclamada, si bien no está establecida en la Unión, ofrece un servicio de alquiler de apartamentos vacacionales dentro de la misma, por lo que la Agencia es competente para tramitar el presente expediente.

II Todo responsable del tratamiento ha de respetar los principios recogidos en el artículo 5 del RGPD (LA LEY 6637/2016). Destacaremos el artículo 5.1.c) del RGPD (LA LEY 6637/2016) que establece que:

"1. Los datos personales serán

c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);"

Hay que aclarar que este artículo no limita el exceso de datos, sino la necesidad. Es decir, los datos personales serán, "adecuados, pertinentes y limitados a la necesidad" para la que fueron recabados, de tal manera que si el objetivo perseguido puede alcanzarse sin realizar un tratamiento excesivo de datos, así debe hacerse en todo caso.

Igualmente, el considerando 39 del RGPD indica que: "Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios." Por tanto, únicamente se tratarán los datos que sean, "adecuados, pertinentes y no excesivos en relación con el fin para el que se obtienen o tratan".

Las categorías de datos seleccionados para su tratamiento deben ser los estrictamente necesarios para lograr el objetivo declarado y el responsable del tratamiento debe limitar estrictamente la recogida de datos a aquella información que esté directamente relacionada con el fin específico que se intenta alcanzar.

En el presente caso la parte reclamada realiza un tratamiento de diversos datos personales como el nombre, apellidos, número de teléfono, dirección de correo electrónico, dirección postal, imagen del D.N.I. por los dos lados. Y no todos ellos son necesarios ni para prestar el servicio de alquiler de apartamentos vacacionales ni para dar cumplimiento a la obligación de registrar a las personas que se alojan en los establecimientos de hospedaje de Cataluña que exige el artículo 2 de la Orden IRP/418/2010, de 5 de agosto (LA LEY 17193/2010), sobre la obligación de registro y comunicación a la Dirección General de Policía de las personas que se alojan en los establecimientos de hospedaje ubicados en Cataluña.

Es en el anexo I de la citada Orden donde se indican qué datos son necesarios para tal registro: número del documento de identidad, tipo de documento, fecha de expedición del mismo (si consta), apellidos, nombre, sexo, nacionalidad, fecha de entrada, domicilio, número de teléfono y días previstos de estancia.

De la documentación obrante en el expediente hay evidencias de que la parte reclamada ha vulnerado el artículo 5.1.c) del RGPD (LA LEY 6637/2016), al haber exigido la imagen del D.N.I. por los dos lados, a efectos de poder obtener éstas las llaves del alojamiento que han reservado, pues tales datos no son necesarios para el tratamiento que realiza la parte reclamada.

Por otro lado, hay que indicar que, si bien la parte reclamante indicó que la parte reclamada también la exigió un selfie de las personas que se iban a alojar en el apartamento, este extremo no ha sido debidamente probado.

III En el presente caso, la parte reclamada no ha presentado alegaciones ni pruebas que contradigan los hechos denunciados en el plazo dado para ello.

De conformidad con las evidencias de las que se dispone y que no han sido desvirtuadas durante el procedimiento sancionador, se considera que la parte reclamada ha tratado datos que eran excesivos al no ser necesarios para la finalidad para la que se trataban.

Atendiendo a lo expuesto, los hechos suponen una vulneración de lo establecido en el artículo 5.1.c) del RGPD (LA LEY 6637/2016), lo que supone la comisión de una infracción tipificada en el artículo 83.5, apartado a) del RGPD (LA LEY 6637/2016), que bajo la rúbrica "Condiciones generales para la imposición de multas administrativas" dispone que:

"Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;"

A este respecto, la LOPDGDD, en su artículo 71 (LA LEY 19303/2018) establece que "Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 (LA LEY 6637/2016), así como las que resulten contrarias a la presente ley orgánica".

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD (LA LEY 19303/2018) indica:

Artículo 72. Infracciones consideradas muy graves.

"1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 (LA LEY 6637/2016) se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679 (LA LEY 6637/2016)."

IV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 (LA LEY 6637/2016) y 83.2 del RGPD (LA LEY 6637/2016), preceptos que señalan:

"1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturale- za, alcance o propósito de la operación de tratamiento de que se trate así como el nú- mero de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para pa- liar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento, habi- da cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción."

Respecto al apartado k) del artículo 83.2 del RGPD (LA LEY 6637/2016), la LOPDGDD, artículo 76 (LA LEY 19303/2018), "Sanciones y medidas correctivas", dispone:

"2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 (LA LEY 6637/2016) también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado."

Atendiendo a los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) del RGPD (LA LEY 6637/2016), procede graduarla de acuerdo con las siguientes circunstancias:

Como agravantes:

• - En la actividad de la parte reclamada es imprescindible el tratamiento de datos de carácter personal de las personas que se alojan en sus apartamentos vacacionales (artículo 76.2.b) de la LOPDGDD (LA LEY 19303/2018) en relación con el artículo 83.2.k) del RGPD (LA LEY 6637/2016)).
• - La intencionalidad o negligencia en la infracción, puesto que la parte reclamada era plenamente consciente del procedimiento implantado (artículo 83.2.b) del RGPD (LA LEY 6637/2016)). Conectada con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la Sentencia de la Audiencia Nacional de 17 de 10 de 2007 (rec. 63/2006), la cual, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que "(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto" (artículo 83.2.b) del RGPD (LA LEY 6637/2016)).

El acuerdo de inicio del presente procedimiento sancionador indicó que "La cuantía de la multa que correspondería, sin perjuicio de lo que resulte de la instrucción del procedimiento, es de 50.000 € (cincuenta mil euros)."

No obstante, a la vista de no haberse acreditado que la parte reclamada exija un selfie de las personas que se van a alojar en sus apartamentos a la hora de hacer el chek-in online, así como por el balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.c) del RGPD (LA LEY 6637/2016), se fija una multa de 25.000 € (veinticinco mil euros).

V El artículo 13 del RGPD (LA LEY 6637/2016) regula la información que se debe facilitar al interesado cuando los datos son recogidos directamente de él, estableciéndose lo siguiente:

"1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

a) la identidad y los datos de contacto del responsable y, en su caso, de su representante;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;

d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;

e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso;

f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:

a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;

b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;

d) el derecho a presentar una reclamación ante una autoridad de control;

e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;

f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado."

La información que remite la parte reclamada a las personas que han realizado la reserva de uno de sus apartamentos vacacionales es la siguiente:

"Su información acaba de ser introducida en la base de datos. Le informamos que los datos proporcionados solo se utilizarán para cumplir con las reservas, así como para mantenerlo actualizado de nuestras noticias, promociones y ofertas.

Asimismo, nos gustaría informarle que la empresa guarda la información personal que usted proporcionó con su última reserva, con el fin de gestionar sus futuras reservas con la mejor comodidad para usted y su familia. Todos los datos que nos ha proporcionado se mantienen seguros y no se transferirán a terceros, excepto en los casos en los que realicemos una reserva o tengamos que cumplir con una obligación legal.

En cualquier caso, si no desea recibir nuestras novedades, ofertas y promociones, no dude en contactarnos por correo electrónico: hello@***URL.1

Finalmente, le informamos que de acuerdo con la nueva regulación, puede ejercer sus derechos de acceso, rectificación, oposición, cancelación o eliminación y limitación de datos; así como solicitar no ser sujeto de decisiones individualizadas o la entrega de sus datos a través del derecho de portabilidad, siguiendo los siguientes pasos:

- En persona en las oficinas de la compañía.

- A través del correo electrónico con una copia escaneada de su pasaporte o DNI

enviada al correo electrónico:***EMAIL.1"

Por tanto, la parte reclamada no envía a los interesados toda la información que exige el artículo 13 del RGPD (LA LEY 6637/2016), en concreto faltaría remitirles:

• - La identidad y los datos de contacto del responsable y, en su caso, de su representante.
• - Los datos de contacto del delegado de protección de datos, en su caso.
• - La base jurídica del tratamiento de datos.
• - Los destinatarios o las categorías de destinatarios de los datos personales, en su caso.
• - El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo.
• - El derecho a presentar una reclamación ante una autoridad de control.
• - Si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos.

A mayor abundamiento, la "Política de Privacidad" de la parte reclamada señala lo siguiente:

"MARKETING ACCOMMODATION SOLUTIONS FZ-LLC, con identificador fiscal 45000501 y dirección en: Business Park, PO Box 10055, Ras Al Khaimah UAE, no puede asumir ninguna responsabilidad derivada del uso incorrecto, inapropiado o ilícito de la información aparecida en las páginas web de:***URL.1

Que MARKETING ACCOMMODATION SOLUTIONS FZ-LLC consta inscrita en el

Registro Mercantil de EAU

Con los límites establecidos en la ley, MARKETING ACCOMMODATION SOLUTIONS FZ-LLC no asume ninguna responsabilidad derivada de la falta de veracidad, integridad, actualización y precisión de los datos o informaciones que contienen sus páginas web.

Los contenidos e información no vinculan a MARKETING ACCOMMODATION SOLUTIONS FZ-LLC ni constituyen opiniones, consejos o asesoramiento legal de ningún tipo pues se trata meramente de un servicio ofrecido con carácter informativo y divulgativo.

Las páginas de Internet de MARKETING ACCOMMODATION SOLUTIONS FZ-LLC pueden contener enlaces (links) a otras páginas de terceras partes que MARKETING ACCOMMODATION SOLUTIONS FZ-LLC. no puede controlar. Por lo tanto, MARKETING ACCOMMODATION SOLUTIONS FZ-LLC no puede asumir responsabilidades por el contenido que pueda aparecer en páginas de terceros.

Los textos, imágenes, sonidos, animaciones, software y el resto de contenidos incluidos en este website son propiedad exclusiva de MARKETING ACCOMMODATION SOLUTIONS FZ-LLC o sus licenciantes. Cualquier acto de transmisión, distribución, cesión, reproducción, almacenamiento o comunicación pública total o parcial, deberá contar con el consentimiento expreso de MARKETING ACCOMMODATION SOLUTIONS FZ-LLC Asimismo, para acceder a algunos de los servicios que MARKETING ACCOMMODATION SOLUTIONS FZ-LLC ofrece a través del sitio web, deberá proporcionar algunos datos de carácter personal. En cumplimiento de lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (LA LEY 6637/2016), relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos le informamos que, mediante la cumplimentación de los presentes formularios, sus datos personales quedarán incorporados y serán tratados en los ficheros de MARKETING ACCOMMODATION SOLUTIONS FZ-LLC con el fin de poderle prestar y ofrecer nuestros servicios así como para informarle de las mejoras del sitio Web.

Le informamos también de que tendrá la posibilidad en todo momento de ejercer los derechos de acceso, rectificación, cancelación, oposición, limitación y portabilidad de sus datos de carácter personal, de manera gratuita mediante email a:***EMAIL.3"

Esto es, la política de privacidad de la parte reclamada tampoco está adaptada a lo establecido en el artículo 13 del RGPD (LA LEY 6637/2016), pues faltaría incluir la siguiente información:

• - La identidad y los datos de contacto del responsable y, en su caso, de su representante.
• - Los datos de contacto del delegado de protección de datos, en su caso.
• - La base jurídica del tratamiento de datos.
• - Los destinatarios o las categorías de destinatarios de los datos personales, en su caso.
• - El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo.
• - El derecho a presentar una reclamación ante una autoridad de control.
• - Si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos.

De la documentación obrante en el expediente hay evidencias de que la parte reclamada ha vulnerado el artículo 13 del RGPD (LA LEY 6637/2016), al no haber remitido a las personas que han realizado la reserva de uno de sus apartamentos vacacionales toda la información que exige el mencionado precepto, ni tiene adaptada su política de privacidad a lo establecido en el precitado artículo.

VI En el presente caso, la parte reclamada no ha presentado alegaciones ni pruebas que contradigan los hechos denunciados en el plazo dado para ello.

De conformidad con las evidencias de las que se dispone y que no han sido desvirtuadas durante el procedimiento sancionador, se considera que la parte reclamada no ha cumplido con la obligación de remitir al interesado toda la información que recoge el artículo 13 del RGPD (LA LEY 6637/2016).

Atendiendo a lo expuesto, los hechos suponen una vulneración de lo establecido en el artículo 13 del RGPD (LA LEY 6637/2016), lo que supone la comisión de una infracción tipificada en el artículo 83.5, apartado b) del RGPD (LA LEY 6637/2016), que bajo la rúbrica "Condiciones generales para la imposición de multas administrativas" dispone que:

"Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

b) los derechos de los interesados a tenor de los artículos 12 a 22;"

A este respecto, la LOPDGDD, en su artículo 71 (LA LEY 19303/2018) establece que "Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 (LA LEY 6637/2016), así como las que resulten contrarias a la presente ley orgánica".

A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD (LA LEY 19303/2018) indica:

Artículo 72. Infracciones consideradas muy graves.

"1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 (LA LEY 6637/2016) se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

(...) h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE)

2016/679 y 12 de esta ley orgánica."

VII A efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.b) del RGPD (LA LEY 6637/2016), procede graduarla de acuerdo con las siguientes circunstancias:

Como agravantes:

• - En la actividad de la parte reclamada es imprescindible el tratamiento de datos de carácter personal de las personas que se alojan en sus apartamentos vacacionales (artículo 76.2.b) de la LOPDGDD (LA LEY 19303/2018) en relación con el artículo 83.2.k) del RGPD (LA LEY 6637/2016)).
• - La intencionalidad o negligencia en la infracción, puesto que la parte reclamada es plenamente consciente de su política de privacidad. Conectada con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la Sentencia de la Audiencia Nacional de 17 de 10 de 2007 (rec.

63/2006), la cual, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que "(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto" (artículo 83.2.b) del RGPD (LA LEY 6637/2016)).

El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD (LA LEY 6637/2016), permite fijar una multa 50.000 € (cincuenta mil euros).

VIII

En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD (LA LEY 19303/2018).