1/9 Expediente N.º: EXP202211747 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de un escrito remitido por el Gobierno de Canarias de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. En dicho escrito, con fecha de entrada en el registro de esta Agencia de 23 de septiembre de 2022, se da traslado de una reclamación presentada por D. A.A.A. (en adelante la parte reclamante). La parte reclamante manifiesta que, al ir a hospedarse en el establecimiento de la parte reclamada, OMEGA RESORT, S.L. con NIF B35609031 (en adelante, OMEGA RESORT), en fecha 25 de agosto de 2022, en el momento de realizar el check in de entrada al mismo, le solicitaron su documento de identificación y lo fotocopiaron, pese a su oposición y sin ser informado del tratamiento a realizar. Junto a la notificación se aporta la hoja de reclamaciones. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a OMEGA RESORT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de noviembre de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 5 de diciembre de 2022 se recibe en esta Agencia escrito de respuesta indicando: Con relación a “los informes técnicos y recomendaciones elaboradas por el delegado de Protección de Datos o por el responsable de seguridad”, OMEGA RESORT pone de manifiesto que cuenta con asesoramiento de una empresa líder del sector. Asimismo, adjunta los siguientes documentos: - Análisis de riesgos, conforme a las indicaciones del artículo 25 y 32 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. - Cálculo de riesgos avanzados, donde se detalla de forma particularizada los activos de la empresa. - Análisis de necesidad de la evaluación de impacto, a tenor de lo dispuesto en el artículo 35 RGPD. - Manual de seguridad. En relación con los hechos que han motivado la reclamación presentada por la parte reclamante, OMEGA RESORT manifiesta que dio una respuesta adecuada a la parte reclamante en todo momento. OMEGA RESORT hace constar en este escrito que la parte reclamante “reconoce que se le informa en el momento en que se recoge su documento identificativo que es obligatorio conforme a la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana para los establecimientos hosteleros.” Asimismo, OMEGA RESORT manifiesta que la parte reclamante fue informada por una triple vía, que serían: -mediante las cláusulas informativas puestas a disposición de los huéspedes donde serían informados debidamente de los aspectos detallados en el artículo 13 RGPD y 11 LOPD y RGDD. -mediante un cartel expuesto en la recepción, del que adjuntan fotografía. -de forma oral, cuando puso impedimentos a la presentación de su documento identificativo. TERCERO: Con fecha 23 de diciembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad OMEGA RESORT, S.L. es una empresa de tipo autónoma, constituida en el año 2000, y con un volumen de negocios de ***CANTIDAD.1 euros en el año 2021. QUINTO: Con fecha 10 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), OMEGA RESORT presentó escrito de alegaciones en el que, en síntesis, manifestaba: 1.- Ausencia total de infracción. OMEGA RESORT manifiesta que en ningún momento habrían infringido el artículo 5.1.
- c)del RGPD al no haber realizado ninguna fotocopia al DNI o pasaporte o documento oficial identificativo perteneciente a la parte reclamante. Añade que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 únicamente se habrían recogido el número de documento de identidad, tipo de documento, fecha de expedición, primer y segundo apellido, nombre, sexo, fecha de nacimiento, país de nacionalidad y fecha de entrada, conforme se exige en el modelo de parte de entrada de viajeros que establece la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos. Asimismo, manifiesta que se proporcionó a la parte reclamante información oral, y que el establecimiento cuenta con las cláusulas informativas puestas a disposición de los clientes, donde se les informa debidamente de los aspectos del artículo 13 del RGPD y 11 de la LOPDGDD. 2.- De manera subsidiaria, alegan nulidad del procedimiento sancionador por causar indefensión. OMEGA RESORT alega la existencia de indefensión al no haberse facilitado el texto de la reclamación de la parte reclamante, traducido al castellano, en atención al derecho de defensa amparado en el artículo 24.1 de la CE. Para ello, OMEGA RESORT cita la sentencia de la Sala Tercera del Tribunal Supremo, de 30 de junio de 2011 (Rec. Casación nº 2682/2009, EDJ 2011/147438), y que recoge la doctrina del Tribunal Constitucional acerca de la indefensión en los procedimientos administrativos, y en la que se afirmaría la exigencia de que el implicado disfrute de una posibilidad de defensa previa a la toma de decisión. Al no tener posibilidad de conocer exactamente el contenido de la reclamación de la parte reclamante, OMEGA RESORT tendría limitado el ejercicio de su derecho de defensa. De este modo, OMEGA RESORT considera que el acuerdo de inicio sería nulo de pleno derecho, de conformidad con lo dispuesto en el artículo 47.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que establece que “los actos de las Administraciones Públicas son nulos de pleno derecho en los casos siguientes:
- a)Los que lesionen los derechos y libertades susceptibles de amparo constitucional.
- b)Los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio.
- c)Los que tengan un contenido imposible.
- d)Los que sean constitutivos de infracción penal o se dicten como consecuencia de ésta.
- e)Los dictados prescindiendo total y absolutamente del procedimiento legalmente establecido o de las normas que contienen las reglas esenciales para la formación de la voluntad de los órganos colegiados.
- f)Los actos expresos o presuntos contrarios al ordenamiento jurídico por los que se adquieren facultades o derechos cuando se carezca de los requisitos esenciales para su adquisición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9
- g)Cualquier otro que se establezca expresamente en una disposición con rango de ley. También serán nulas de pleno derecho las disposiciones administrativas que vulneren la Constitución, las leyes u otras disposiciones administrativas de rango superior, las que regulen materias reservadas a la Ley, y las que establezcan la retroactividad de disposiciones sancionadoras no favorables o restrictivas de derechos individuales.” OMEGA RESORT considera que, al no tener la traducción de la denuncia, no habría tenido la oportunidad de defenderse, vulnerándose así el principio acusatorio. De este modo, afirma que el proceso se desenvuelve sin las garantías del artículo 24 CE, causando indefensión, que conllevaría una nulidad absoluta del acuerdo de inicio de fecha 10 de julio de 2023. 3.- Violación del principio de tipicidad. OMEGA RESORT manifiesta que la imputación del artículo 5.1.
- c)del RGPD vulneraría el principio de tipicidad, que se encontraría ligado al principio de seguridad jurídica del artículo 9.3 CE, y artículo 27 de la Ley 40/2015, de 1 de octubre, ya que se estaría proponiendo la imposición de una sanción por un hecho no constitutivo de infracción administrativa, infringiendo la regla “nullum crimen, nulla poena sine lege”. En este sentido cita la Sentencia del Tribunal Constitucional de 8 de julio de 1996 (Sala segunda), fundamento de derecho octavo. 4.- Violación del principio de presunción de inocencia. OMEGA RESORT manifiesta que si no se archiva el procedimiento se estaría produciendo una infracción del principio de presunción de inocencia previsto en el artículo 24.2 CE. OMEGA RESORT considera a este principio como complementario del principio de culpabilidad o responsabilidad, y manifiesta que se produce dicha vulneración en la medida en que se le ha considerado como responsable sin haberse aportado y practicado suficiente prueba de cargo para concretar la responsabilidad de la presunta violación cometida. Añade que al derecho administrativo sancionador le es de aplicación, con matices, pero sin excepciones, los principios inspiradores del orden penal, y adquiere plena virtualidad el principio de presunción de inocencia. Cita en este sentido la sentencia del Tribunal Constitucional 76/1990, de 26 de abril, que considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponde a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” Asimismo, considera que la presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Para ello, OMEGA RESORT vuelve a citar la sentencia del Tribunal Constitucional 76/1990, de 26 de abril, así como la sentencia del Tribunal Supremo (STS 26/10/1998) el derecho a la presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados -no se puede tratar de meras sospechas -y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En consecuencia, OMEGA RESORT entiende que, imponer una sanción únicamente con la denuncia de la parte reclamante, supondría una vulneración del principio de in dubio pro reo, o más concretamente en este caso concreto el principio de in dubio pro actione, y del principio de presunción de inocencia, en la medida en que OMEGA RESORT manifiesta que no se hizo fotocopia alguna del documento de identidad de la parte reclamante. 5.- Violación del principio de exigencia de culpabilidad. OMEGA RESORT considera que se viola el principio de culpabilidad o responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, que establece que “solo pueden ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos.” OMEGA RESORT manifiesta que este principio se encuentra reconocido por el Tribunal Constitucional en algunas de sus sentencias, y cita la STC 219/1988, de 22 de noviembre, que señala que no existe responsabilidad sin culpa o responsabilidad objetiva en el ius puniendi y la potestad sancionadora y ello conlleva la necesidad de determinar la autoría de la acción o de la omisión sancionable, debiendo realzarse una interpretación favorable a los derechos fundamentales en juego con el fin de evitar que la interpretación y aplicación de la norma llegue a una conclusión lesiva de aquellos derechos, es decir, a un indebido traslado de la responsabilidad personal. SÉPTIMO: Con fecha 16 de enero de 2024 se formuló propuesta de resolución proponiendo que por la Directora de la Agencia Española de Protección de Datos se archive el procedimiento sancionador abierto a OMEGA RESORT S.L., con NIF B35609031, por la presunta infracción del artículo 5.1.
- c)del RGPD. Esta propuesta de resolución, que se notificó a OMEGA RESORT conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 22 de enero de 2024, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de OMEGA RESORT. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante se hospedó en el alojamiento titularidad de OMEGA RESORT en fecha 25 de agosto de 2022. SEGUNDO: Consta que la parte reclamante interpuso una hoja de reclamación en fecha 30 de agosto de 2022, en la que ponía de manifiesto que el día 25 de agosto de 2022, al realizar el check in en dicho establecimiento, hicieron una fotocopia de su DNI. TERCERO: Consta que OMEGA RESORT ha manifestado que no se habría realizado dicha fotocopia del documento de identidad, sino que se habrían recogido únicamente los datos estrictamente necesarios para dar cumplimiento a la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, y a la Orden INT/321/2021, de 31 de marzo, por la que se modifica la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos, que exige que se recoja el número de documento de identidad, tipo de documento, fecha de expedición del documento, primer apellido, segundo apellido, nombre, sexo, fecha de nacimiento, país de nacionalidad y fecha de entrada. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que OMEGA RESORT, realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, DNI/CIF, dirección, teléfono, entre otros tratamientos. OMEGA RESORT realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, el artículo 5.1.
- c)del RGPD regula los “principios relativos al tratamiento”. III Principios relativos al tratamiento El Artículo 5.1.
- c)“Principios relativos al tratamiento” del RGPD establece: “1. Los datos personales serán:
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)” Este artículo pone de manifiesto que los datos personales serán “adecuados, pertinentes y limitados a la necesidad” para la que fueron recabados, de tal manera que, si el objetivo perseguido puede alcanzarse sin realizar un tratamiento excesivo de datos, así es como debe realizarse. A su vez, el considerando 39 del RGPD indica que: “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Por tanto, únicamente se tratarán los datos que sean, “adecuados, pertinentes y no excesivos en relación con el fin para el que se obtienen o tratan”. En el caso que nos ocupa, la parte reclamante se había alojado en un establecimiento de OMEGA RESORT en fecha 25 de agosto de 2022. En fecha 30 de agosto de 2022 había presentado una hoja de reclamaciones ante la Consejería de Turismo del Gobierno de Canarias, en la que ponía de manifiesto que, al realizar el check in en dicho establecimiento, le habrían hecho una fotocopia a su documento de identificación. Por su parte, OMEGA RESORT ha puesto de manifiesto, en su escrito de fecha 17 de julio de 2023, que no habría realizado tal fotocopia al documento de identificación de la parte reclamante, sino que únicamente habrían tomado los datos que exige la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, y a la Orden INT/321/2021, de 31 de marzo, por la que se modifica la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos, en cuanto a las obligaciones de registro documental. De esta manera, manifiestan que solo habrían tomado del documento de identidad de la parte reclamante los siguientes datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 - número de documento de identidad - tipo de documento - fecha de expedición -primer apellido, segundo apellido, nombre - sexo - fecha de nacimiento - país de nacionalidad - fecha de entrada Por tanto, no ha quedado acreditado en el presente procedimiento que OMEGA RESORT haya efectuado una fotocopia del documento de identidad de la parte reclamante. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad” y determina al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, el cual establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. De este modo, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. En consecuencia, no procede analizar el resto de las alegaciones presentadas por OMEGA RESORT, en la medida en que no se ha podido constatar que se haya efectuado la fotocopia del documento de identificación de la parte reclamante. Por lo tanto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Archivar el presente procedimiento sancionador contra OMEGA RESORT, S.L., con NIF B35609031. SEGUNDO: NOTIFICAR la presente resolución a OMEGA RESORT, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es