E-01953-2015

1/7 Expediente Nº: E/01953/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASEDEL 2012, S.L., en virtud de denuncia presentada por Doña B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de febrero de 2015, tuvo entrada en esta Agencia un escrito remitido por Doña B.B.B. (en adelante denunciante) en el que manifiesta lo siguiente: Que suscribió un contrato con Doña A.A.A., en calidad de representante y administradora de la compañía ASEDEL 2012, S.L., con fecha de 1 de abril de 2012, con objeto de la prestación de servicios profesionales para el asesoramiento laboral, fiscal y contable de la clínica dental cuya titular es la denunciante. Que la relación mercantil fue resuelta mediante conversación telefónica, el 7 de mayo de 2014 y mediante burofax, el día 22 de mayo de 2014, que fue rechazado por la Sra. A.A.A., reiterándole que cesaba en la autorización desde dicha fecha de utilización de todos los datos o soportes informáticos que pudieran estar en su poder en razón del encargo profesional y solicitándole, de nuevo, de acuerdo al art. 22 del Reglamento de desarrollo de la Ley Orgánica 15/1999, la remisión de la documentación de carácter fiscal y contable, así como la cancelación y borrado de dichos datos. La documentación solicitada, entre otros, consistía en: cierres de balances, certificados digitales, declaraciones del impuesto sobre el valor añadido, extractos del banco, facturas y escrituras. Se adjunta con el escrito de denuncia diversa documentación entre la que se encuentra la siguiente:  Contrato suscrito entre la denunciante y la denunciada de fecha 1 de abril de

1.  Impresión de diversos escritos, remitidos por correo electrónico, intercambiados entre la denunciante y la denunciada con los que se adjuntan archivos con denominación “facturas” y “liquidación”.  Detalle de movimientos de cuentas corrientes de la denunciante.  Burofax remitido por la denunciante a la denunciada que ha resultado no entregado dejado aviso el día 22 de mayo de
2.  Impresión de mensajes “chats” intercambiados entre la denunciante y la denunciada, en los que la primera reitera la solicitud de la documentación y la segunda le comunica que parte la tiene la denunciante y el resto un tercero al que debe solicitarla. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
3. La Inspección de Datos ha requerido a la denunciante diversa información y documentación con objeto de que concretara los hechos denunciados, entre otros, que acreditara la información con datos personales facilitada a la empresa ASEDEL 2012, S.L., acreditación de la entrega de la misma, especificando la persona que la había recibido, así como si le habían devuelto la documentación, no habiéndose recibido respuesta. El primer escrito fue entregado en destino el día 2 de octubre y el segundo el día 13 de noviembre, ambos de
5. La Inspección de Datos ha remitido sendos requerimientos a la denunciada, a la dirección facilitada por la denunciante que coincide con la que consta en el Registro Mercantil, habiendo sido devueltos a su origen con fecha de 7 de octubre y de 24 de noviembre ambos de 2015 por sobrante no retirado FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denunciante manifiesta que ella y la entidad denunciada suscribieron un contrato para la prestación de servicios profesionales de asesoramiento laboral, fiscal y contable de una clínica dental de la que la Sra. B.B.B. es la titular. Dicha relación mercantil fue resuelta en fecha 7 de mayo de 2014, por lo que solicitó la restitución de toda documentación financiera de su clínica y la prohibición de utilización de datos mediante mensajes remitidos entre el 8 de mayo de 2014 y el 20 de mayo de 2014, sin que fueran atendidos; por lo que, en fecha 22 de mayo de 2014, remitió burofax a la denunciada a tales efectos. Señala que fue objeto de un requerimiento de Hacienda de Inspección para aportar datos de 2013, no pudiendo aportar parte de la misma, al no ser entregada por la denunciada. A partir de todo lo anterior, debe señalarse lo siguiente: En primer lugar, debe ponerse de manifiesto que, de acuerdo con la documentación facilitada por la denunciante, existe una contradicción entre las partes en torno a la ubicación de la documentación reclamada. La denunciante solicita a la denunciada la misma, dado que entiende que lo reclamado está en posesión de la denunciada y ésta manifiesta que parte de la documentación la tiene la propia denunciante y otra parte está en manos de D. B.B.B., que colaboró con la denunciada, autorizada por la denunciante, en los trabajos realizados por ésta como asesora. No existe acreditación de la ubicación de la documentación requerida, del contenido de la misma, ni que, por tanto, se encuentre bajo custodia de Dª A.A.A., más aún cuando no existen recibís de la entrega a la denunciada de la documentación controvertida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Por otro lado debe tenerse en cuenta que la documentación aludida se refiere a documentación contable y fiscal de una empresa. A partir de lo anterior debe estudiarse si, al respecto del tratamiento de datos denunciado, cabe la aplicación de la normativa en materia de protección de datos. Así, el artículo 3 de la Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal (en adelante la LOPD) nos define datos de carácter personal como: “cualquier información concerniente a identificables.” personas físicas identificadas o Por su parte, el artículo 2.3 del Real Decreto 1720/2007, de 21 de Diciembre por el que se aprueba el Reglamento de Desarrollo de la LOPD, que completa la dimensión de dato personal sobre la que puede aplicarse la normativa en materia de protección de datos de carácter personal y que nos dice: “
6. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal.” Por otro lado ha de acudirse a lo establecido por el gabinete jurídico de esta AEPD que en informe publicado en 2008 referido al “Ámbito de aplicación de la legislación de protección de datos Aplicación a empresarios individuales y “personas de contacto”(arts. 2.2 y 2.3 del Reglamento).”, ha dicho lo siguiente: “Así, la resolución de 19 de julio de 2005 se refiere a la grabación de una conversación telefónica en la que participan como interlocutores el denunciante, en su calidad de administrador único de una sociedad y el administrador de la empresa imputada, referida exclusivamente a la adquisición de una finca, indicándose lo siguiente: “(...) ambos interlocutores intervienen en el presente supuesto, como ha quedado acreditado, en el desempeño de las funciones de apoderamiento que le son propias como representantes de las citadas entidades, desarrollando, en todo momento, una actividad mercantil claramente separada de sus respectivas actividades privadas. (...) los hechos expuestos se circunscriben a unas actuaciones desarrolladas, por los representantes de las sociedades implicadas, exclusivamente en el ámbito de actuación de las mismas, y en concreto en el desarrollo de la actividad inmobiliaria que constituye su objeto social, que, como ha quedado señalado, comprende la construcción, promoción, adquisición y venta de inmuebles. En consecuencia, el tratamiento de los datos de que traen causa las presentes actuaciones de inspección no se encuentra incluido dentro del ámbito de aplicación establecido en la LOPD”.(…)” A partir de lo anterior, debe señalarse que queda fuera del ámbito de aplicación de la LOPD y, por tanto, del ámbito de actuación de esta AEPD, aquellos tratamientos de datos que se refieran, por un lado a personas jurídicas, a empresarios individuales y de sus representantes cuando actúen como tales, por lo que los hechos denunciados, que se refieren a documentación fiscal y contable de una entidad jurídica como la empresa que la denunciante representa, quedarían fuera de las competencias de esta AEPD. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 No obstante lo señalado en el Fundamento anterior, se iniciaron actuaciones previas de investigación. El Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el Ejercicio de la Potestad sancionadora, establece en el artículo 12, las actuaciones previas, en el sentido siguiente: “
7. Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas con objeto de determinar con carácter preliminar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros.
8. Las actuaciones previas serán realizadas por los órganos que tengan atribuidas funciones de investigación, averiguación e inspección en la materia y, en defecto de éstos, por la persona u órgano administrativo que se determine por el órgano competente para la iniciación o resolución del procedimiento”. En el mismo sentido, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en su artículo 122 indica: “
9. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso.
10. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.
11. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador.
12. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. IV El artículo 12 de la LOPD, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “Artículo
13. Acceso a los datos por cuenta de terceros
14. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.
15. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar.
16. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento.
17. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente. El citado artículo 12 de la LOPD establece la obligación de devolver los ficheros cuando finalice la prestación de servicios. En el caso denunciado, tras solicitar información a la denunciante y a la denunciada acerca del contrato de prestación de servicios suscrito entre ambas, así como el tipo de datos que facilitaba a la misma, no se ha obtenido la documentación solicitada, entre otras cosas para determinar si la denunciada trataba datos personales por cuenta del denunciante. Todo ello, en cumplimiento de lo establecido reglamentariamente, y con la finalidad de determinar, con la mayor precisión posible, la identidad de la persona que pudiera resultar responsable de los hechos denunciados y fijar las circunstancias relevantes que pudieran concurrir en el caso, resultando infructuosa la investigación. IV No puede obviarse que al Derecho administrativo sancionador le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de los principios de presunción de inocencia e “in dubio pro reo” en el ámbito de la potestad sancionadora, que desplazan a quien acusa la carga de probar los hechos y su autoría. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del “ius puniendi”, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Asimismo, el mismo Tribunal Constitucional, en Sentencia 44/1989, de 20 de febrero, indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurrente aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate”. En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya practicado una mínima prueba de cargo acreditativa de los hechos que motivan esta imputación o de la intervención en los mismos del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. En atención a lo expuesto, teniendo en cuenta que en el presente caso se observa una falta de acreditación en los hechos atribuidos a Dª A.A.A. - al no haber sido posible comprobar las circunstancias relevantes así como su autoría, en cuanto al tratamiento de datos por cuenta de terceros cuando media un contrato de prestación de servicios, frente a la certeza y concreción exigida en estos supuestos para poder calificar la conducta como sancionable, debe concluirse que no existe prueba de cargo suficiente contra la Sra. A.A.A., por lo que procede acordar el archivo del presente expediente de actuaciones previas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASEDEL 2012, S.L., y a Doña B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es