PS-00042-2020

1/8  Procedimiento Nº: PS/00042/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 18 de septiembre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra JESCATH CONTRATAS S.L. con CIF B76330364 (en adelante, el reclamado) y dirección en ***DIRECCIÓN.1. Los motivos en que basa la reclamación son que la empresa habría recabado datos personales del reclamante en el seno de una prestación de servicios sin haber facilitado la información prevista en la normativa de protección de datos y sin responder a la petición efectuada por el reclamante en el citado sentido de solicitud de información. Junto a la reclamación aporta una copia del presunto contrato firmado con el reclamado en fecha 27 de febrero de 2019 constando en el mismo la firma y el sello de la empresa, así como del presupuesto presentado al cliente. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), siendo notificada el 18 de octubre de 2019. No se ha recibido contestación alguna por parte del reclamado. TERCERO: El 19 de febrero de 2019 se obtiene la información del Registro Mercantil Central en el que consta como domicilio social la dirección indicada en el antecedente primero. CUARTO: Con fecha 24 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 de la citada norma. QUINTO: Intentada la notificación del acuerdo de inicio, esta fue devuelta por “desconocido” el 2 de marzo de 2020, por lo que se reiteró la misma, siendo de nuevo devuelta por “desconocido” el día 10 de marzo. Al haber resultado infructuosa la notificación del acuerdo de inicio, se procedió a publicar un anuncio de notificación en el Tablón Edictal Único del Boletín Oficial del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Estado en fecha 5 de junio de 2020, de acuerdo con lo establecido en el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). SEXTO: Se solicita a la Agencia Estatal de Administración Tributaria el domicilio fiscal del reclamado, siendo proporcionado el 31 de julio de 2020 y coincidiendo con aquel al que se ha dirigido la notificación. SÉPTIMO: El día 3 de agosto de 2020, el instructor del procedimiento dirigió una solicitud de colaboración al Ayuntamiento de ***LOCALIDAD.1 para que informara acerca de la actual situación de dicha entidad en el domicilio referido, así como que aportara cualquier información de contacto de que pudiera disponer. Anta la expiración de la comunicación electrónica de la mencionada solicitud de colaboración, el día 31 de agosto de 2020 se dirige una reiteración de esta por correo postal. El día 13 de noviembre de 2020 se recibe contestación del Ayuntamiento de ***LOCALIDAD.1 donde se informa de lo siguiente: “[…] Consultados los ficheros de este Ayuntamiento, la entidad aparece registrada, en el fichero de Tributos, con domicilio en la calle ***DIRECCIÓN.1 sin que exista referencia de número de teléfono, correo electrónico o fax. En informe de la policía local, de fecha 27 de octubre de 2020, se recoge que personados en el lugar, varios vecinos manifiestan que en dicho inmueble había una familia que se dedicaba a la reforma y limpieza de edificios, pero que hace más de un año que abandonaron el lugar.” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El reclamante dirige una reclamación a esta Agencia informando acerca de que, en la contratación de una prestación de servicios, el reclamado ha recopilado datos personales suyos sin haber facilitado la información prevista en la normativa de protección de datos y sin haber respondido a una solicitud de información al respecto. SEGUNDO: El reclamante aporta dos documentos: 1. Contrato de fecha 27 de febrero de 2019 con el sello y firma de la empresa (aunque sin rellenar el espacio de conformidad del cliente): en él constan algunos datos personales del reclamante (nombre y apellidos y dirección) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 2- Presupuesto con una fecha supuestamente provisional (01/01/1900) y que carece de algunos conceptos económicos, que cuenta asimismo con el sello y firma de la empresa. En este documento aparece el nombre de pila del reclamante y su dirección. TERCERO: A la vista de la información aportada por el Ayuntamiento de Las Palmas en su escrito de 13 de noviembre de 2020, el reclamado ha cesado su actividad en el domicilio obrante en las bases de datos oficiales sin que conste una modificación de este. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 13 del RGPD, relativo a la información que deberá facilitarse cuando los datos se obtengan del interesado, que establece que: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

1. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
2. b)los datos de contacto del delegado de protección de datos, en su caso;
3. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
4. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
5. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
6. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
7. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
8. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
9. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
10. d)el derecho a presentar una reclamación ante una autoridad de control;
11. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
12. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” La vulneración de este artículo se tipifica como infracción en el artículo 83.5 del RGPD, que considera como tal: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: […]
13. b)los derechos de los interesados a tenor de los artículos 12 a 22; […].” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 A efectos del plazo de prescripción de la infracción, el artículo 72.1 de la LOPDGDD establece: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel, y, en particular, las siguientes: […]
14. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679. […]”. III El presente procedimiento sancionador tiene su origen la presunta ausencia de información relativa al tratamiento de datos personales que el reclamado, como responsable del tratamiento debió haber proporcionado al reclamante en el marco de una relación contractual entablada entre ambos. El artículo 5.1.
15. a)del RGPD enuncia el principio de «licitud, lealtad y transparencia», principio en el que incide el Considerando 39: “Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fác8il de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. […]” Por su parte, el Considerando 60 vincula el deber de información con el principio de transparencia, al establecer que “Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les deben informar si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran […]”. En este orden, el artículo 12.1 del RGPD regula las condiciones para asegurar su eficaz C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 materialización y el artículo 13 concreta qué información debe facilitarse cuando los datos se obtengan del interesado. Y en la normativa española, a su vez, el artículo 11 LOPDGDD introduce la regla de información por capas cuando dispone: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
16. a)La identidad del responsable del tratamiento y de su representante, en su caso.
17. b)La finalidad del tratamiento.
18. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. […]” Analizando, en relación con lo expuesto, los hechos probados en el procedimiento sancionador, se observa que estos suponen unos indicios fundamentados de la facilitación de datos por parte del reclamante al reclamado con el objetivo de proceder a la celebración de un contrato de servicios a la vez que en los documentos aportados por el reclamante (contrato y presupuesto) no figura ningún apartado relativo a la información que el reclamado, como responsable, debía haber proporcionado en virtud de la aplicación del artículo 13 del RGPD. Ahora bien, no obstante lo expuesto en el párrafo anterior, ha de señalarse que la obligación de proporcionar la información dispuesta en el artículo 13 del RGPD no tiene por qué figurar, de manera imprescindible, en los documentos aportados por el reclamante, pudiendo ser proporcionada por otros medios, extremo que no ha podido ser comprobado en este procedimiento. Asimismo, por lo que se refiere a la falta de respuesta a la solicitud de información del reclamante, la ausencia de contradicción en la tramitación procedimental ha impedido obtener una prueba de cargo en relación con este aspecto. IV El principio del derecho a la presunción de inocencia, reconocido como derecho subjetivo fundamental en el artículo 24 de la Constitución Española, impide imponer una sanción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor y aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 El derecho mencionado a la presunción de inocencia se recoge asimismo de manera expresa en el artículo 53.2.
19. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), que establece que: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: […]
20. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En este sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” V De acuerdo con lo expuesto, al no haber sido posible concluir la existencia de infracción, concurre motivo suficiente para proceder al archivo del presente procedimiento. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada infracción administrativa alguna. SEGUNDO: NOTIFICAR la presente resolución a JESCATH CONTRATAS S.L. con CIF B76330364 e informar a A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es