E-04678-2013

1/7 Expediente Nº: E/04678/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en el expediente de actuaciones previas de investigación número E/04678/2013 y teniendo como base los siguientes ANTECEDENTES DE HECHO PRIMERO: Con fecha 05/12/2011 se recibe en el registro de la Agencia Española de Protección de Datos escrito de denuncia de Dª A.A.A. (en lo sucesivo la denunciante) donde se pone de manifiesto que es cliente de FRANCE TELECOM ESPAÑA, S.A y titular de varias líneas, entre otras, la línea telefónica número ***TEL.1, y que a través de la web del operador y utilizando su código de usuario y contraseña accede a datos de una tercera persona que figuran asociados a la citada línea. SEGUNDO: Con fecha 3 de junio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00637/2012, en virtud de la cual se imponía a la entidad FRANCE TELECOM ESPAÑA S.A., una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 03/06/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. TERCERO: FRANCE TELECOM ESPAÑA S.A. ha presentado en fecha 03/07/2013 en el servicio de Correos, con fecha de entrada 05/07/2013 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas en el procedimiento sancionador, añadiendo la de la caducidad del procedimiento sancionador. CUARTO: Con fecha 2 de agosto de 2013 el Director de la Agencia Española de Protección de Datos acordó la siguiente resolución en el recurso de reposición nº RR/00559/2013: << ESTIMAR el recurso de reposición interpuesto por FRANCE TELECOM ESPAÑA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 3 de junio de 2013, en el procedimiento sancionador PS/00637/2012, e iniciar el expediente de actuaciones previas E/4678/2013..>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo RDLOPD) dispone que: “Artículo 1. Objeto. 1. El presente reglamento tiene por objeto el desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal. 2. Asimismo, el capítulo III del título IX de este reglamento desarrolla las disposiciones relativas al ejercicio por la Agencia Española de Protección de Datos de la potestad sancionadora, en aplicación de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, en el título VII de la Ley 34/2002, de 11 de julio, de Servicios de la sociedad de la información y de comercio electrónico, y en el título VIII de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones. “ A su vez, el artículo 122 del RDLOPD establece en relación con la iniciación de las “Actuaciones Previas” de investigación, lo siguiente: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. “ III Examinado el expediente de actuaciones previas de investigación tramitado bajo la referencia número E/02791/2012, al haber transcurrido más de doce meses desde el día 5 de diciembre de 2011 en que se registró de entrada en esta Agencia la mencionada denuncia sin dictarse acuerdo de inicio de procedimiento sancionador, conforme a lo dispuesto en el artículo 122.4 del citado RDLOPD, deben declararse caducadas las actuaciones previas de investigación practicadas en el mismos. Dicho criterio se ajusta al mantenido por la Audiencia Nacional en la Sentencia dictada el 19 de julio de 2013, Recurso nº 233/2012, al considerar en un supuesto similar al que nos ocupa lo siguiente: “Pues bien, existiendo en el presente supuesto denuncia del afectado que dio origen a las actuaciones administrativas que desembocaron en la incoación del expediente sancionador PS/00441/2011 contra B****, S.A. y, finalmente, en la resolución sancionadora recurrida, resulta evidente que el “dies a quo” para el cómputo del plazo de caducidad de las actuaciones previas de investigación, viene determinado por la fecha de presentación de tal denuncia, con independencia de que no fuera atendida inicialmente. El hecho de que tras la denuncia se acordara por el Director de la Agencia Española de Protección de Datos no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, para a continuación, en respuesta al recurso de reposición formalizado por el denunciante contra tal acuerdo, resolver su estimación y la ordenar a la Subdirección General de Inspección de Datos que se procediera a realizar actuaciones de inspección, no enerva aquella conclusión. Sentado lo anterior y no existiendo controversia acerca de la fecha que debe operar como “dies ad quem” en este caso, el 17 de octubre de 2011, fecha de notificación al denunciando de la resolución que acordó iniciar procedimiento sancionador a B****, S.A. resulta patente que las actuaciones previas de investigación habían caducado ya en esta fecha, por lo que debieron ser archivadas y no resultaban susceptibles de sustentar la incoación del citado procedimiento sancionador.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 IV Establecido lo anterior el artículo 92.3 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, establece que: "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. El artículo 47 de la LOPD, establece en cuanto a la prescripción de las infracciones que: ”Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.” Dicho precepto, ha de ponerse en relación con lo dispuesto en el artículo 132.2 de la citada Ley 30/1992, de 26 de noviembre, que dispone que: “2. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, (…)” En el presente caso, los hechos denunciados han supuesto, a la vista de la información disponible en la actualidad por esta Agencia, la comisión por parte de la entidad denunciada de una infracción del artículo 10 de la LOPD, que señala lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, infracción tipificada como grave en el artículo 44.3.
2. d)de la LOPD. V Respecto de la apertura de nuevas actuaciones de inspección en relación con una infracción no prescrita, conviene citar la doctrina jurisprudencial sentada al respecto por el Tribunal Supremo en Sentencia de 12 de junio de 2003, ( RJ 2003, 4602), dictada en un recurso de casación en interés de ley en la que se fijó la siguiente doctrina legal :”La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en ese precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito (STS 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 A mayor abundamiento, en este mismo sentido se expresa la Audiencia Nacional en Sentencia 3312/2013 de fecha 10 de julio de 2012, Recurso nº 323/2012, en un caso en que la supuesta infracción a la normativa de protección de datos no había prescrito con posterioridad a la adopción, por el Director de la Agencia de protección de Datos, de una resolución de archivo por caducidad de las actuaciones previas de inspección practicadas. Consta en la reseñada Sentencia de la Audiencia Nacional 3312/2013 lo siguiente: “TERCERO.- Alega, en segundo lugar, la parte demandante que se produjo la caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de investigación con número E/03901/2010 por los mismos hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD. Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso. Recordemos que el procedimiento sancionador PS/00527/2011 trae causa de las actuaciones previas de investigación E/03901/2010, iniciadas por orden del Director de la Agencia Española de Protección de Datos, en la que dio instrucciones el 17 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 noviembre de 2010 a la Subdirección General de Inspección de Datos para que procediera a realizar actuaciones de inspección, en relación con un escrito presentado por don J**** en fecha 10 de noviembre de 2009, en el que manifestaba que “F****” había incluido sus datos de carácter personal en el fichero de solvencia patrimonial y crédito ASNEF en fecha 7 de marzo de 2008 sin requerimiento de pago, practicándose diversas actuaciones para el esclarecimiento de los hechos denunciados. Practicadas las actuaciones de investigación, mediante resolución de 7 de noviembre de 2011 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador PS/00527/2011 a C**** S.A. por la posible infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y los artículos 38 y 39 del Reglamento de desarrollo de la LOPD, tipificada como grave en el articulo 44.3.
3. c)de la LOPD, siendo notificado tal acuerdo a esta entidad el 11 de noviembre siguiente. Por consiguiente, no se incurrió en caducidad en estas últimas actuaciones previas de investigación, pues no se rebasó el plazo de duración máxima de doce meses que para las mismas establece el artículo 122 del Reglamento del la LOPD Por lo expuesto, procede rechazar este motivo de impugnación” (El subrayado es de la AEPD) No obstante, en el supuesto presente no se puede iniciar nuevas actuaciones previas de investigación dado que la infracción ha prescrito, conforme al artículo 47.1 de la LOPD:” las infracciones muy graves prescriben a los tres años, las graves a los dos y las leves al año” Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO por caducidad de las actuaciones previas de investigación de los expedientes números E/02791/2012 y E/04678/2013. 2. NOTIFICAR la presente Resolución a FRANCE TELECOM ESPAÑA S.A y a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es