1/7 Procedimiento Nº: E/07247/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, la reclamante), tiene entrada con fecha 08/03/2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN, FACUA ALMERÍA - FEDERACIÓN DE ASOCIACIONES DE CONSUMIDORES Y USUARIOS EN ACCIÓN DE ALMERÍA, con NIF G04455341 (en adelante el reclamado). Los motivos en que basa la reclamación son: que FACUA da de alta como socios a personas sin su autorización, indicando que pertenecen a la unidad familiar y añade que B.B.B. (en lo sucesivo, B.B.B.), socio número ***SOCIO.1 de FACUA, ha podido dar de alta como socios de pleno derecho, a través de FACUA Almería, a la Directora de esa Agencia y a la propia reclamante sin recabar su consentimiento. Que según la reclamante los hechos tuvieron lugar el 24/01/2019. Y, entre otra, anexa la siguiente documentación: Correo electrónico procedente de FACUA reenviado por B.B.B. donde FACUA ***LOCALIDAD.1 da la confirmación de nuevo socio número ***SOCIO.2 a la reclamante. Correo electrónico procedente de FACUA reenviado por B.B.B. donde FACUA ***LOCALIDAD.1 da la confirmación de nuevo socio número ***SOCIO.3 a la Directora de esta Agencia. Con fecha de 01/08/2019, se recibe en esta Agencia nuevo escrito remitido por la reclamante manifestando que ha solicitado al colegio de abogados justicia gratuita para la Audiencia Nacional, que solicita copia del expediente y que presentará en esta Agencia nueva reclamación acreditando que los hechos continúan con posterioridad a la denuncia. Y adjunta la siguiente documentación: - Solicitud al colegio de abogados solicitando justicia gratuita para la Audiencia Nacional Con fecha de 8 de agosto de 2019 se remite a la reclamante copia del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Con fecha de 17 de octubre de 2019, se recibe en esta Agencia nuevo escrito remitido por la reclamante manifestando que, a través de una publicación en el sitio web de FACUA, que posteriormente fue eliminada, ha tenido conocimiento de que la Agencia está investigando a ella por utilizar un nombre ficticio para dar de alta sin consentimiento a las dos personas señaladas en la reclamación, y que FACUA indica que el número de teléfono móvil que facilitó en el alta la persona con nombre ficticio, pertenece a la Asociación que ella preside. La reclamante finaliza exponiendo que, dado que este teléfono es de carácter privado, sospecha que FACUA ha tenido acceso a ficheros de datos de Movistar. Y adjunta: - Contenido de la publicación de FACUA obtenida del cache web de Google y certificada por EGARANTE S.L. con CIF B-86669819. - Documento de migración de la República de ***PAIS.1 de C.C.C. de nacionalidad venezolana. - Autorización de representación de C.C.C. ante FACUA por la reclamante aportando documento de identidad venezolano. Los antecedentes que constan son los siguientes: SEGUNDO: Con fecha 28/03/2019, la Directora de esta Agencia acuerda, conforme a lo dispuesto en el artículo 23.2.
- a)de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en la medida en que en los hechos expuestos en la reclamación planteada se comunica la existencia de un tratamiento de datos de Dª MAR ESPAÑA MARTÍ, abstenerme del ejercicio de mis funciones como directora de la agencia española de protección de datos en las actuaciones que dentro de su competencia, le corresponda desarrollar a esta Agencia Española de Protección de Datos a partir de dicha reclamación.” TERCERO: Con fecha de 05/04/2019 se da traslado de la reclamación a FACUA solicitando aclaraciones sobre la veracidad de los hechos denunciados y adjuntando los correos electrónicos aportados por la reclamante. Con fecha de 23/07/2017, considerando que cabe imputar a un error humano el alta como socios a dos personas sin haber recabado su consentimiento previa identificación y que ha sido atendida la reclamación, se acordaba archivar la reclamación presentada por la reclamante y en lo que se refería a FACUA y admitir a trámite la reclamación presentada, a fin de que se analice si constituye infracción del RGPD la posible intervención de otras personas en la realización de los hechos. CUARTO: Con fecha de 10 de septiembre de 2019 se recibe en esta Agencia nuevo escrito remitido por la reclamante denunciando los mismos hechos según conversaciones telefónicas mantenidas con FACUA ***LOCALIDAD.1 Y anexa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 - 2 grabaciones telefónicas solicitando información sobre el procedimiento de alta de nuevos socios. Con fecha de 05/12/2019 se da traslado de la nueva reclamación a FACUA. Con fecha de 02/01/2020 se recibe en esta Agencia escrito de alegaciones remitido por FACUA manifestando, además de los aspectos ya recogidos en su escrito de 26/04/2019, que se han revisado dichos procedimientos y comprobado el protocolo del alta vía web y no se ha producido ningún tratamiento de datos no consentido. Que entre las medidas preventivas que han implantado se encuentra la de formación del personal tanto de FACUA como de las asociaciones que integran FACUA. En este sentido informan de que el 28/05/2019 se impartió un curso dirigido a directivos y responsables de las diferentes asociaciones que integran FACUA, y el pasado 28 de junio se dirigió este mismo curso al personal técnico. Además, tras reunión de la directiva en diciembre de 2019, se remitió una comunicación vía email a todas las asociaciones de consumidores y usuarios vinculadas a FACUA las obligaciones legales en materia de protección de datos personales. Analizadas las conversaciones telefónicas trasladadas por esta Agencia, vuelven a reiterar que se trata de un error/imprecisión puntual de la información facilitada supuestamente por una empleada de FACUA ***LOCALIDAD.1. Añaden que estas imprecisiones no han dado lugar a ninguna alta efectiva sin consentimiento. Y adjuntan, entre otros, los siguientes documentos adicionales a los aportados en sus escritos anteriores: - Capturas de pantalla del procedimiento de alta en la web con el procedimiento de validación/confirmación que debe realizar el solicitante de nuevo socio de pleno derecho como requisito previo para que dicha alta web se lleve a cabo de forma efectiva. - Capturas de pantalla del procedimiento de alta en la web (zona privada de un asociado de pleno derecho) con el procedimiento de validación/confirmación que debe realizar el solicitante de nuevo socio beneficiario de un asociado de pleno derecho, como requisito previo para que dicha alta web se lleve a cabo de forma efectiva. - Comunicación remitida vía email a todas las asociaciones de recordando a todas las asociaciones territoriales las obligaciones legales en materia de protección de datos personales de fecha 23/12/2019. QUINTO: A la vista de los hechos y de los documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión. La investigación realizada se centra en la identificación del autor de las afiliaciones sin consentimiento y, cabe destacar, que en el protocolo de gestión de los asociados presentado por FACUA, en su página 3, que en el apartado correspondiente a “nuevas afiliaciones”, subepígrafe “afiliación y recogida de datos”, se establece: “En todo caso se requiere el consentimiento expreso de la persona que se afilia, bien C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 mediante la firma del impreso o bien mediante el procedimiento de validación que incorpora la página web de FACUA”. Requerida a FACUA por la inspección de esta Agencia información sobre todos los datos que obrasen en su poder del socio C.C.C.; con fecha de 31/06/2019, se recibe en esta Agencia escrito de alegaciones remitido por FACUA manifestando que los datos de que disponen son: o Fecha de alta: 28 de diciembre de 2018 o Procedimiento: WEB o Nombre: C.C.C. o Dirección de correo: ***EMAIL.1 o Teléfonos: ***TELÉFONO.1/***TELÉFONO.2 o Dirección: ***DIRECCIÓN.1, ***LOCALIDAD.1 o Cuenta bancaria: ESXX XXXX XXXX XXXX XXXX XXXX Como ya habían señalado en el escrito de fecha de 26/04/2019, han podido determinar que la dirección y el teléfono fijo facilitados son falsos y que el número de la línea móvil corresponde a la Asociación Española para la Enseñanza de la que es presidenta la reclamante, según se puede comprobar en el procedimiento sancionador que fue iniciado contra esta asociación, PS/00575/2017, y en el que estuvieron implicados los interesados de esta investigación. Contrastados los datos aportados por las partes, se constata que los datos aportados a FACUA por el socio que realizó la filiación sin consentimiento de las dos personas indicadas en la reclamación coinciden en gran medida con los de la persona que confirmó a la reclamante la facilidad para dar de alta a personas sin comprobación alguna (correos aportados por la propia reclamante, y en los que figura el nombre de C.C.C. y dirección de correo ***EMAIL.1). Con fecha de 30/12/2019 se recibe en esta Agencia escrito procedente de la Audiencia Nacional – Sala de lo Contencioso-Administrativo – Sección 001, en el que se indica que ante ese tribunal se ha interpuesto por la reclamante ContenciosoAdministrativo contra la resolución de esta Agencia por el archivo de su reclamación contra FACUA, y solicitando copia del expediente, índice de documentos y justificante del emplazamiento a los interesados. Realizado requerimiento a la reclamante para que aportara datos complementarios de C.C.C., a quien representa, con fecha de 04/03/2020, se recibe en esta Agencia escrito remitido por la reclamante manifestando que la información de que dispone de su representado ya consta en el expediente. No se ha podido por tanto determinar el documento nacional de identidad o tarjeta de residencia, ni domicilio a efectos de notificaciones. SEXTO: Se recibe nuevo escrito de la reclamante en el que indica que el teléfono móvil que FACUA tiene asociado a B.B.B. corresponde a una Asociación creada por ella y que figura como privado, y duda mucho que fuese facilitado por dicho asociado, sino que a su criterio es una maniobra de FACUA para demostrar que hay mala fe por su parte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 428/1993, de 23 de marzo, en su artículo 13 bis, añadido por Real Decreto 1665/2008, de 17 de octubre, por el que se modifica el citado Estatuto, establece lo siguiente: “Artículo 13 bis. Régimen de suplencia. 1. En los supuestos de ausencia, vacante o enfermedad del Director de la Agencia Española de Protección de Datos, el ejercicio de las competencias previstas en los artículos 12.2 y 13.1 del presente Estatuto, así como las que le correspondieran en aplicación de lo previsto en el artículo 37 de la Ley Orgánica 5/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, será asumido por el Subdirector General de la Inspección de Datos. En el supuesto de que cualquiera de las circunstancias mencionadas concurriera igualmente en él, el ejercicio de las competencias afectadas será asumido por el Subdirector General del Registro General de Protección de Datos y, en su defecto, por el Secretario General. 2. Cuando, conforme a lo previsto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, concurriera en el Director de la Agencia Española de Protección de Datos alguna causa de abstención o recusación, el ejercicio de las competencias a las que se refiere el apartado anterior, será asumido por el Subdirector General de la Inspección de Datos. En el supuesto de que cualquiera de las causas mencionadas concurriera igualmente en él, el ejercicio de las competencias afectadas será asumido por el Subdirector General del Registro General de Protección de Datos y, en su defecto, por el Secretario General”. Con fecha 28 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos se abstuvo de intervenir en los procedimientos que resultasen como consecuencia de esta reclamación. III Hay que señalar, que las actuaciones de investigación previas destinadas a determinar las posibles responsabilidades de FACUA, en materia de protección de datos de carácter personal, ya fueron archivadas en su momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 En el caso presente, el expediente se halla destinado a investigar las posibles responsabilidades de la persona que incluyó los datos de terceros como solicitantes de inscripción en FACUA sin su consentimiento. Por tanto, los hechos puestos de manifiesto se concretan en que FACUA ha dado de alta como socios de su organización a personas sin su consentimiento ni autorización indicando que B.B.B., ha podido dar de alta como socios de pleno derecho, a través de FACUA Almería, a la Directora de esta Agencia y a la propia reclamante sin recabar el consentimiento de ambas. La reclamante ha puesto en conocimiento de la Agencia unos hechos que pudieran ser constitutivos de infracción de la normativa de protección de datos, vinculados a la actuación de B.B.B., quien ha podido dar de alta como socios de pleno derecho, a través de FACUA Almería, a la Directora de esta Agencia y a la propia reclamante sin recabar su consentimiento. Hay que señalar, que a pesar de los esfuerzos realizados por los servicios de inspección de este centro directivo en aclarar los términos de esta reclamación planteada no ha dado los resultados esperados, pues tanto las investigaciones, consultas y requerimientos efectuados han sido infructuosas no logrando identificar de forma indubitada al posible responsable de las altas inconsentidas. En definitiva, pese a las investigaciones realizadas por la Inspección de Datos de la AEPD no se ha logrado contactar con la persona responsable. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” A la luz de lo expuesto se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención del presunto infractor. Trasladando los razonamientos precedentes al supuesto que nos ocupa, habida cuenta de que no se ha podido identificar al responsable, conducta que pudiera ser constitutiva de una infracción del RGPD, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Subdirectora General de la Inspección de Datos SE ACUERDA: PRIMERO: ARCHIVAR las presentes actuaciones de investigación al no haber podido determinar de forma indubitada al autor de las afiliaciones sin consentimiento de Dña. A.A.A. y de la Directora de la Agencia Española de Protección de Datos. SEGUNDO: NOTIFICAR el presente Acuerdo a FACUA - ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN, FACUA ALMERÍA - FEDERACIÓN DE ASOCIACIONES DE CONSUMIDORES Y USUARIOS EN ACCIÓN DE ALMERÍA, con NIF G04455341 y a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Olga Pérez Sanjuan Subdirectora General de Inspección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es