← España

PS-00084-2014

1/16 Procedimiento Nº PS/00084/2014 RESOLUCIÓN: R/01747/2014 En el procedimiento sancionador PS/00084/2014, instruido por la Agencia Española de Protección de Datos a la entidad UNIGES ASEMTYA S.L., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 4/03/2013, tiene entrada en esta Agencia una denuncia de Dña. A.A.A., representada por B.B.B. manifestando que el 31/01/2013 recibió factura girada por la mercantil UNIGES ASEMTYA, S.L., haciendo constar unos honorarios en concepto de “RENTA NO RESIDENTES”, la cual fue girada a su cuenta bancaria. La denunciante manifiesta no mantener ningún tipo de relación con dicha entidad. Aporta copia de factura emitida con el logotipo UNIGES ASEMTYA SL “Asesores de empresas trabajadores y autónomos” con los datos de la denunciante, así como en domicilio de cobro, el de la entidad bancaria que comienza por 2080, por importe de 38,72 €. Aporta copia de pantalla de una aplicación de gestión bancaria, en la que se aprecia que el 7/02/2013 se cargan los 38,72 euros, y el 13 del mismo mes se produce la devolución. Con fecha de entrada 15/03/2013 se recibe el traslado de una reclamación interpuesta el 20/02/2013 por el representante de la denunciante en el INSTITUTO GALEGO DE CONSUMO poniendo de manifiesto la carencia de autorización para manejar los datos de la denunciante. El sobre que contiene la denuncia porta el logo de Asesoría de Empresas “EXPERTIA”. SEGUNDO: Con fechas 19/07, y 19/08/2013, respectivamente, tienen entrada en esta Agencia dos escritos de C.C.C., Administrador de ASESORIA ALFA TRES SL, ahora también de la entidad UNIGES ASEMTYA, S.AL., en los que pone de manifiesto: 1.1. El representante de la denunciante tiene suscrito en nombre de su representada, denunciante, un contrato de servicios desde 2/01/1997. Manifiesta que en agosto 2012, su otro socio y Administrador, D.D.D. le comunicó que él y dos empleados de ALFA TRES E.E.E., y F.F.F., iban a forman otra empresa del mismo objeto social, Asesoría, con otros socios entre los que se hallaban el representante de la denunciante. B.B.B. le entregó un sobre con la rescisión del contrato de servicios pero no se hallaba la rescisión de su poderdante. 1.2. Declara que esta nueva empresa formada por su ex socio, D.D.D., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 denominada EXPERTIA ASESORIA FINANCIERA Y DE EMPRESAS SL le ha sustraído documentación que pertenecía a ALFA TRES, se han hecho copias de información del servidor de la empresa y de los ordenadores personales, han hecho un volcado de datos de todos los clientes de ASESORÍA ALFA TRES. También solicitaron la renovación del certificado digital en nombre de ASESORÍA ALFA TRES y han entrado en la información de la AEAT de los clientes. Manifiesta que han llegado a presentar indebidamente liquidaciones de impuestos de nuestros clientes. Todo ello, continuando D.D.D. siendo socio de ALFA TRES y Administrador solidario, junto con C.C.C.. Para evitar injerencias por su parte, se decidió crear en diciembre 2012 la entidad UNIGES ASEMTYA SL, informándose a todos los clientes mediante una circular que se les remite todos los meses. Declara que se produjo una sucesión de empresas pasando todos los clientes que no han rescindido su contrato a UNIGES, y especifica que la denunciante no manifestó la opción de rescisión en su momento. Se aporta copia de anuncio publicitario en el diario LA VOZ DE GALICIA de 14/09/2012 referido a la Asesoría Laboral, fiscal, contable denominada EXPERTIA, conformada por los Sres. D.D.D., B.B.B., E.E.E. y F.F.F.. ESTA PROBLEMÁTICA NO DA LUGAR PER SE A UNA FUSION DE EMPRESAS 1.3. Aporta copia de contrato de 2/01/1997 entre el representante de la denunciante en nombre de esta, y ASESORIA ALFA TRES SL para la prestación de servicios en materia fiscal, presentando las liquidaciones trimestrales de renta para no residentes, servicio de arrendamiento de viviendas, estableciéndose unos honorarios a pagar trimestralmente. 1.4. Aporta copias de facturas emitidas por ASESORIA ALFA TRES SL de 31/01/2012 de “Renta no residentes”, y de 30/04/2012, y 31/07/2012 con los mismos datos de la denunciante que los que obran en la emitida por UNIGES. Igualmente, aporta copia idéntica a la presentada por la denunciante, y de impresión de que dicha factura ha sido devuelta el 15/02/2013. 1.5. Copia de escrito firmado por B.B.B. como Administrador de KELIAM Y FINCAS INVERSIONES SL de 27/07/2012, dirigido a ASESORIA ALFA TRES, en el que rescinde el contrato de prestación de servicios profesionales correspondientes al área de asesoría fiscal y contable que se prestaba a la empresa. En el mismo sentido se aportan otros escritos firmados por B.B.B. como Administrador de otras sociedades. 1.6. Copia de escrito de Banco Santander de 11/10/2012 precisando que el socio D.D.D. detrajo una cantidad de la cuenta de titularidad indistinta con C.C.C., Ingresándola en una cuenta propia. 1.7. Copia de escrito con logos de ASESORIA ALFA TRAS SL y UNIGES ASEMTYA SL “DICIEMBRE 2012”. En el pie del mismo, se indica que “Desde el próximo mes de enero tendremos operativa nuestra nueva empresa. Esta se subroga en todos los derechos y obligaciones de la anterior, por lo que su relación se mantiene en las mismas condiciones, salvo comunicación suya en sentido contrario en el plazo de quinces C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 días”. Dispone de otra nota con fecha enero 2013. Respecto de la acreditación del envío a la denunciante, y su recepción, no se aporta nada. 1.8. Copia de escrito de C.C.C. de 27/03/2013 en el que dirigiéndose a la Xunta Arbitral de Consumo de Galicia propone que B.B.B. reconozca que firmó en nombre y representación de la denunciante un contrato de prestación de servicios, que conocía la sucesión de empresas y no solicitó el cese de la prestación del servicio. El denunciado declara que se compromete a no utilizar los datos de la DENUNCIANTE entendiendo rescindido el contrato de PRESTACIÓN de servicios. TERCERO: Con fecha 19/08/2013, C.C.C. amplía sus manifestaciones, añadiendo que la circular de subrogación de empresas se remitió al domicilio de la denunciante, al mismo al que se envió la factura, el designado en su momento, conociendo las circunstancias B.B.B.. Concreta que de la reclamación ante el INSTITUTO GALEGO DE CONSUMO, el mismo B.B.B. les envió por fax la misma, el 20/02/2013 y desde entonces se destruyeron los datos. Se contempla que para la aplicación del artículo 19 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), si este fuera alguno de los casos de creación de UNIGES, y no se considere cesión de datos, debería concurrir información a los afectados, según lo dispuesto en el artículo 5 de la LOPD, y en el presente caso no se acredita ni una cosa ni otra. CUARTO: Con fecha 23/08/2013 se recibe escrito de B.B.B. en el que manifiesta que ha tenido constancia por terceras personas que el titular de UNIGES ha estado enviando desde el 16/07/2013 unas notas a clientes y exclientes, adjuntando parte de copia de su respuesta a esa Agencia. Aporta copia de hoja de UNIGES de 16/07/2013 que no porta persona destinataria e informa de los contenciosos con el Sr. D.D.D. y B.B.B., citándolos con sus nombres y apellidos. Adjunta además la petición de información que esta Agencia dirigió a UNIGES el 1/07/2013, “petición de información número de salida 185509/2013” donde figura el dato de la denunciante: nombre y apellidos, así como copia del escrito con su respuesta de C.C.C., que son tres folios que figuran con entrada en la Agencia el 19/07/2013, y en el que se contienen los datos de la denunciante, y su representante. Esto supondría haber dado a conocer parte de las actuaciones previas del procedimiento que por su propia naturaleza tienen QUINTO: Con fecha 18/02/2014 se acordó por el Director de la Agencia Española de Protección de Datos iniciar procedimiento sancionador a UNIGES ASEMTYA S.L. por la infracción de los artículos 6.1 y 10 de la LOPD, tipificados como graves en los artículos 44.3.

  1. b)y 44.3.
  2. c)de dicha norma. SEXTO: Con fecha 12/03/2014 UNIGES manifiesta:
  3. a)Se reitera en alegaciones precedentes evidenciando un clima de relaciones mercantiles y personales conflictivas que nada tienen que ver con el tratamiento de datos que se usa como instrumento para poner en marcha un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16
  4. b)No le consta la representación de la denunciante al poderdante.
  5. c)La denunciante mantenía relación contractual con ALFA TRES, y sus datos se trataron posteriormente en los mismos términos y condiciones solo que el desarrollo de la prestación a efectos de facturación se traslada a “ALFA TRES INYCIA SL,” tal como se constata en las facturas. Aporta copia de factura con logo de dicha entidad con los datos de facturación de la denunciante de 31/10/2012, lógicamente distinta a la aportada por la denunciante que era de 31/01/2013, figurando distintos CIF. Precisa que anteriormente hubo un cambio de ALFA TRES SL a ALFA TRES INYCIA SL, que se comunicó también a la denunciante en una circular informativa, aportando copia de circular informativa ENERO 2012 y no figura destinatario, figurando en AVISO, que “Desde este mes su relación como cliente será con ALFA TRES INYCIA SL manteniendo las mismas condiciones que hasta el presente , salvo comunicación suya en contrario en el plazo de 15 días.”, asegurando que actuó de la misma forma cuando se creó UNIGES ASEMTEYA SL. La relación entonces también se mantuvo pues nada manifestó la denunciante con la creación y sustitución de UNIGES ASEMTYA SL. También envió la citada Circular, si bien en este caso, la denunciante devolvió la factura 2/2012, entendiéndose rescindida la relación contractual mantenida y no vuelve a pasar recibo.
  6. d)Al haber consentido tácitamente entre el cambio habido de ALFA TRES a ALFA TRES INYCIA, no manifestar nada la denunciante y continuarse trabajando con sus datos, también cabía esperar dicho consentimiento frente al cambio a UNIGES, máxime teniendo en cuenta que antes de la revocación, el tratamiento era necesario para mantener la relación.
  7. e)Vulneración de la presunción de inocencia al no acreditarse que UNIGES actuara en la comisión de los hechos imputados, pues de la documentación del expediente, solo figura una relación contractual de la denunciante con ALFA TRES. Se debería acreditar que no ha habido consentimiento al tratamiento de los datos, y al haber una relación contractual previa, el único modo de acreditarlo sería con la aportación de algún tipo de rescisión contractual previo al cargo de la factura de 15/02/2013 (se referiría a la factura de 31/01/2013).
  8. f)Se subsanó la situación en sin tratar de volver a pasar el recibo. cuanto se tuvo conocimiento,
  9. g)Respecto a la imputación del artículo 10, falta de legitimación del representante de la denunciante pues la presente procede de A.A.A., no puede arrogarse como defensor de derechos de terceros que no son parte en este procedimiento. En la hoja copia de UNIGES de 16/07/2013 se informa de los contenciosos con el Sr. D.D.D. y B.B.B.. En este procedimiento la interesada es A.A.A. y es esta la que debe haber tenido conocimiento de estas notas y debe denunciar en nombre propio o mediante representación.
  10. h)Vulneración de presunción de inocencia, debiéndose acreditar que hubo envío y recepción de la circular de la que aporta copia, pues por otro lado la mera declaración de haber tenido conocimiento por terceras personas de un hecho no es motivo suficiente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 para considerar una posible infracción dela artículo 10 de la LOPD. Sin embargo la aportación documental del que suscribe en relación al envío de circulares informativas a sus clientes no es tenida en cuenta. SÉPTIMO: Con fecha 29/04/2014 el representante de la denunciante dice que como parte interesada, alega: Solicita que se considere agravante la actitud de envío de circulares a clientes en los que se predican datos suyos y de terceras personas relacionadas con el funcionamiento de la Asesoría ALFA TRES. Dado que el Administrador de la denunciada, C.C.C. ha remitido masivamente cartas con “mis datos personales”, solicita la derivación subsidiaria de la sanción interpuesta a dicha persona. 1) Aporta carta de 16/07/2013 con el logo UNIGES, firmada por Administrador de Asesoría Alfa Tres SL y UNIGES, C.C.C.. En la misma explica las vicisitudes de la Asesoría Alfa Tres SL indicando que su socio D.D.D. le quiso cortar la luz y otros suministros, las denuncias de B.B.B. ante consumo y la AEPD, invitando a los clientes a recoger su documentación por no disponer de local de archivo. Esta carta se reitera en sus argumentos portando fecha de 6/08/2013. 2) Aporta impresión de diario de 14/09/2012 en el que aparece un anuncio de la Asesoría EXPERTIA, figurando los nombres de B.B.B., D.D.D., F.F.F., y E.E.E., así como su comienzo de operaciones el 10/07/2012, según reza en el ejemplar del BOE aportado. OCTAVO: Con fecha 16/06/2014 se imprimen los resultados extraídos de la web del Registro Mercantil de las entidades UNIGES ASEMTYA SA, ASESORIA ALFA TRES AL, y ALFA TRES INYCIA SL. NOVENO: Con fecha 1/07/2014 se emite la siguiente propuesta de resolución:
  11. a)Se propone una sanción de 6.000 euros a UNIGES ASEMTYA SA por la infracción del artículo 6.1 de la LOPD. tipificada como grave en el artículo 44.3.
  12. b)de dicha norma, de acuerdo con los artículos 45.4 y 5 de la LOPD.
  13. b)Se propone una sanción de 10.000 euros a UNIGES ASEMTYA SA por la infracción del artículo 10 de la LOPD. tipificada como grave en el artículo 44.3.
  14. d)de dicha norma, de acuerdo con los artículos 45.4 y 5 de la LOPD. DÉCIMO: Con fecha 18/07/2014 se recibe correo electrónico con fecha de registro de 25 en la que el denunciante solicita copia parcial del expediente, figurando entre otras, la petición de los folios en que se encuentra la escritura de representación de la denunciante, remitiéndose el mismo 25, si bien de los folios 2 al 10, solo el folio 2 pues del folio 3 a 10 son parte de la escritura de representación de la denunciante al denunciado, y parece que no es precisa para su defensa. Mediante correo electrónico de 26/08/2014, el denunciante incide en que solicita la copia de los folios 3 a 10, y declara que el 22/07 puso en Correos las alegaciones a la propuesta reservándose ampliarlas con lo que reciba de los folios 3 a 10. El 29/07/2014 por correo electrónico se contesta por el Instructor que se envían C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 los folios 3 a 8 (el folio 9 y 10 no se le envía por ser la copia del DNI del denunciante) reiterando que la representación no está en entredicho pues el procedimiento se sigue de oficio. La denuncia es solo el material que incita la acción del Director de la Agencia, y el procedimiento se inicia no por la denuncia sino por Acuerdo del Director, y ello ya se indicaba en la propuesta en la contestación a sus alegaciones. El denunciante responde por la misma vía el mismo día que “quedo a la espera de que se me responda a la solicitud de ampliación de plazo para completar las alegaciones una vez reciba la copia solicitada.” DÉCIMO PRIMERO: Con fecha 25/07/2014 se registran alegaciones del denunciante presentadas en Correos el 22. En las mismas indica:
  15. a)Reitera que informó y recabó el consentimiento de los clientes de ALFA TRES, luego ALFA TRES INYCIA SL y luego la denunciada mediante el envío de la circular, indicando que no puede certificar su envío.
  16. b)Indica ahora que se ha producido una modificación del contrato de entidad jurídica a la que la denunciante dio en su momento los datos, produciéndose una subrogación del acreedor previsto en el artículo 1203, 1209 y 1210 del Código Civil.
  17. c)Detalla la naturaleza de los servicios prestados a la denunciante que por residir en el extranjero desde 1997 hasta 2012 se le ha prestado el servicio fiscal global para el cumplimiento de sus obligaciones tributarias en España recibiendo un pago anual con independencia de la complejidad o asuntos despachados (iguala de servicios). El abono anual de los servicios se fraccionaba en periodos trimestrales, el primer recibo en abril , julio, octubre y el ultimo en enero del año siguiente. El recibo objeto de denuncia era el último de la anualidad de 2012. Precisa los dos primeros abonos de 2012 se hizo constar como emisor prestador y acreedor a ALFA TRES, el tercero prestador ALFA TRES, acreedor ALTA TRES INYCIA SL y el ultimo objeto de la denuncia, prestador ALFA TRES, acreedor UNIGES ASEMTYA SL.
  18. d)Reitera la falta de representación para la presentación de la denuncia. Presupone que la denunciante no está enterada de la presentación de su denuncia, pues lo que existe es un poder general en Derecho para bienes y derechos y que su representante ha instrumentalizado la denuncia para sus propios fines e incurre en abuso de derecho
  19. e)Solicita que se rebajen las sanciones teniendo en cuenta que las propuestas implicarían el abandono de su actividad por la añadidura a las vicisitudes en su negocio durante 2012, se perseguía el abono del último plazo de 38,78 euros sin que existiera intencionalidad. En 6 días se reparó el hecho pues fue devuelto. En concreto para el artículo 10 manifiesta que solo se predicó el dato de la denunciante como accesorio y que los otros datos pertenecen al ámbito mercantil y son públicos figurando en fuentes de acceso público. HECHOS PROBADOS 1. La denunciante proporciona sus datos a ASESORIA ALFA TRES SL, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 contrato suscrito el 2/01/1997, para la prestación de servicios fiscales, y en tal sentido era la que le facturaba (24 a 31) aportándose copia de las de los meses 1, 4 Y 7/2012. Entre los elementos en que se materializaba el servicio, figuraba la realización de la RENTA NO RESIDENTES como concepto facturado (28, 30). 2. La denunciante denuncia a UNIGES ASEMTYA SL por haberle facturado el 31/01/2013 la RENTA NO RESIDENTES, precisando que no dio el consentimiento para ello (1-12). 3. C.C.C. es Administrador de la denunciada UNIGES ASEMTYA SL, y, además, junto a D.D.D., lo son de ASESORIA ALFA TRES SL. Entre esta persona y Cándido surgieron problemas y desavenencias que afectaron a la gestión de ASESORIA ALFA TRES SL a partir de agosto 2012 (22,42). En paralelo, D.D.D. y dos empleados de ASESORIA ALFA TRES SL junto con el representante de la denunciante, constituyen la ASESORIA EXPERTIA (21 a 23, 39, 42,48-49 149 a 161). Además, C.C.C. es desde 10/10/2013, Administrador de ALFA TRES INYCIA SL (152, 154, 156) habiendo iniciado sus operaciones el 18/10/2007 de acuerdo con el Registro Mercantil

(154)y según C.C.C., D.D.D. fue también Administrador hasta 23/08/2012
(57). 4. La razón que esgrime C.C.C. para facturar a la denunciante utilizando sus datos por UNIGES ASEMTYA SL, fue la sucesión de empresas y la subrogación como acreedora de ALFA TRES, si bien se trata de tres empresas diferentes, según impresión del Registro Mercantil, con similar objeto social. 5. C.C.C. en nombre de la denunciada manifiesta que comunicó a los clientes en una circular informativa que les remitía todos los meses, que UNIGES se hacía cargo de las funciones y labores antes desarrolladas por ASESORIA ALFA TRES, proporcionando la opción de rescindir el contrato. Aporta copia de la circular que no lleva destinatario, figura “Diciembre 2012” con los logos de ASESORIA ALFA TRES y UNIGES (22, 23,60, 61) y la información a pie de página: “Desde el próximo mes de enero tendremos operativa nuestra nueva empresa. Esta se subroga en todos los derechos y obligaciones de la anterior, por lo que su relación se mantiene en las mismas condiciones, salvo comunicación suya en sentido contrario en el plazo de quince días.” No se acredita el envío ni recepción de dicha circular. (21 a 23, 43). 6. UNIGES ASEMTYA SL figura en el Registro Mercantil que comenzó sus operaciones el 1/01/2013, y desde 11/02/2013 figura como Administrador C.C.C.. Tiene la misma sede que ASESORIA ALFA TRES SL (149, 153,155, 157). 7. También se acredita que ALFA TRES INYCIA S.L. entidad diferente a ASESORIA ALFA TRES SL, facturó a la denunciante, y en tal sentido figura al menos la de 31/10/2012 por el mismo asunto RENTA NO RESIDENTES (107, 108). 8. C.C.C. presentó un escrito sellado en Correos el 16/07/2013, entrada en esta Agencia el 19, conteniendo su respuesta a esta AEPD sobre lo solicitado en actuaciones previas. En el mismo ofrecía información sobre personas y sus datos (21 y ss.). B.B.B. presenta el 23/08/2013, en actuaciones previas, un escrito en que se revela que había llegado a su poder ese documento de respuesta a lo solicitado y evacuado por C.C.C., por entregárselo terceras personas. (54,58, 59 a 64). Ese escrito de respuesta a la petición en actuaciones previas hechas por C.C.C. va acompañado de una circular informativa enviada a clientes, fechada el 16/07/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 En dicha circular, con el logo de UNIGES ASEMTYA SL, explica los problemas de ASESORIA ALFA TRES, e invita a los clientes a recoger su documentación, conteniendo también la información y datos de B.B.B. y de la denunciante (21 y ss.). 9. De acuerdo con la manifestación de la denunciada, los datos de la denunciante se cancelaron de UNIGES el 20/02/2013, al recibir el traslado de la reclamación de la denunciante ante el Instituto Galego de Consumo (23, 45, 46) y así lo comunicaba en escrito sellado en Correos el 1/04/2013 a dicho Instituto. El recibo emitido por UNIGES ASEMTYA a la denunciante el 7/02/2013 se devolvió en la cuenta de la denunciante el 13, según copia que se aporta en su denuncia, sin que figure algún otro recibo emitido (11, 33). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Sobre la falta de representación y de legitimidad del representante de la denunciante, obra en la denuncia poder para pleitos de la denunciante a B.B.B.. Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) indica en su artículo 32: “1. Los interesados con capacidad de obrar podrán actuar por medio de representante, entendiéndose con éste las actuaciones administrativas, salvo manifestación expresa en contra del interesado. 2. Cualquier persona con capacidad de obrar podrá actuar en representación de otra ante las Administraciones Públicas. 3. Para formular solicitudes, entablar recursos, desistir de acciones y renunciar a derechos en nombre de otra persona, deberá acreditarse la representación por cualquier medio válido en Derecho que deje constancia fidedigna, o mediante declaración en comparecencia personal del interesado. Para los actos y gestiones de mero trámite se presumirá aquella representación. 4. La falta o insuficiente acreditación de la representación no impedirá que se tenga por realizado el acto de que se trate, siempre que se aporte aquélla o se subsane el defecto dentro del plazo de diez días que deberá conceder al efecto el órgano administrativo, o de un plazo superior cuando las circunstancias del caso así lo requieran.” Las alegaciones efectuadas por B.B.B. se entienden hechas por la denunciante. Por otro lado, respecto de la apertura del hecho no denunciado, por la infracción del artículo 10 de la LOPD, se precisa que ese hecho fue advertido claramente infractor con independencia de la denuncia, pues la Agencia puede ampliar su potestad a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 demás infracciones que considere cometidas con independencia de las incluidas en la denuncia. Se tiene en cuenta que la denuncia origina el procedimiento, pero se sigue de oficio en todos sus trámites, debiendo entrar a valorar cualquier infracción apreciada. En las circulares enviadas conteniendo los datos no solo de B.B.B. y de terceros sino también de la denunciante se produce una revelación de estos a personas sin identificar, pero el caso es que B.B.B. disponía de dicho escrito de la respuesta en actuaciones previas que dio C.C.C., lo que supone que no ha mantenido el deber de secreto de los datos que el mismo proporciona. Así pues, estas alegaciones deben ser desestimadas. III El artículo 6.1 de la Ley Orgánica dispone que "El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa". Del mismo modo, en cuanto a la cesión, el artículo 11.1 dispone que "Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado". No obstante este consentimiento no será necesario " Cuando la cesión está autorizada en una Ley" (artículo 11.2 a). La LOPD define en su artículo 3: “
  2. h)Consentimiento del interesado: toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.
  3. i)Cesión o comunicación de datos: toda revelación de datos realizada a una persona distinta del interesado.” En el presente caso, las alegaciones de C.C.C. de que ante la problemática con su socio decidió crear una nueva Sociedad, produciéndose una sucesión de empresas pasando todos los clientes que no habían rescindido su contrato a UNIGES, no puede prosperar. En términos mercantiles, según el Código de Comercio, o las leyes laborales, en concreto el Estatuto de los Trabajadores, no se cumplen los requisitos para ello, entre los que destaca que se hubiese producido la compra de la empresa. Aquí se trata de constitución de otra entidad, nacida a consecuencia parece ser de las desavenencias entre sus integrantes. Tampoco se deriva que concurran los requisitos que el artículo 19 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD) que considera como necesarios para no tratarse de cesión de datos: “En los supuestos en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la LOPD.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 En el presente caso se descarta como creadora de la entidad denunciada alguno de los procesos mencionados que supondría una subrogación en el tratamiento. Así, el tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” En lo que respecta a la alegación formulada en la propuesta y que no se hizo al acuerdo de inicio, las razones del tratamiento sin consentimiento y en concreto la de subrogación interna en la posición acreedora de la denunciada es indiferente, pues a efectos del tratamiento de datos es una entidad jurídica diferenciada de aquella a la que se proporcionaron los datos, y además no existe contrato alguno que justifique dicha alegación, ni acreditación de haberse informado de dicha cesión. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El artículo 6 de la LOPD requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal para la finalidad convenida. Se trata de una garantía fundamental que sólo encuentra como excepciones aquellos supuestos que establece la ley, excepciones que no concurren en este supuesto. Corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 3/05/ 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 UNIGES debía acreditar que contaba con el consentimiento de la denunciante para el tratamiento de sus datos personales asociados al servicio contratado. Respecto a que no se da credibilidad al envío de la circular de UNIGES a la denunciante, y si a la aportada por el representante de la denunciante, se debe indicar que el representante de la denunciante no tiene que acreditar el tratamiento de dato alguno, y aporta prueba palpable y concreta de que ha recibido o le han entregado la circular. Parece lógico que terceros ajenos al representante de la denunciante le hayan entregado la citada nota, pues no parecería lógico que se le hubiera enviado a él directamente. Por otro lado, el procedimiento se inicia de oficio, no siendo la denuncia ni sus términos vinculantes para iniciar solo por lo denunciado, sino que esta Agencia puede apreciar los hechos que considere pueden constituir infracción. Asimismo, no solo existen datos afectados de la denunciante, sino también de su representante, razones por las que esas alegaciones no pueden ser consideradas. En tal sentido, la denunciada no dispone de copia del contrato del servicio ni de su consentimiento. UNIGES se limita a perfilar una sucesión de empresas, y un envío de una circular que no se acredita se hubiera producido, cuando lo cierto es que de UNIGES es el Administrador único y entidad diferente de la originaria ASESORIA ALFA TRES SL a quien proporciona los datos. En el presente caso, los datos de la denunciante se trataron por ASESORIA ALFA TRES SL, entidad que es diferente a UNIGES y a ALFA TRES INICYA SL, como se puede comprobar de su denominación, también de los CIFS. Manifiesta la denunciada que por la problemática que tuvo, creó UNIGES, pero que antes, ALFA TRES INICYA SL emitió facturas a la denunciante, según consta en la emisión de una, todavía de 2012. Manifiesta la denunciada que con ambas entidades se han tratado los datos de la denunciante que los otorgó a una entidad en concreto y esta fue ASESORIA ALFA TRES SL., suponiendo una aceptación tácita por el hecho de que ante ALFA TRES INICYA SL no hubiera obstado dicho tratamiento. Sin embargo, se aprecia que ALFA TRES INICYA SL, figuraba ya constituida desde mucho tiempo antes de los sucesos de agosto 2012, y no se comprende porque hasta julio 2012 figuran las facturas emitidas por ASESORIA ALFA TRES y esta de 31/10/2012 por ALFA TRES INICYA SL (32, 107). De cualquier modo, no resulta relevante que la denuncia no se haya interpuesto contra ALFA TRES INICYA SL pues ello no significa aquiescencia en el consentimiento del tratamiento llevado a cabo que no se está analizando aquí. De ASESORIA ALFA TRES con la que la denunciante suscribió el contrato y a la que dio sus datos, se produce la cesión a UNIGES, y derivando el tratamiento de datos sin consentimiento por parte de UNIGES. Dicho tratamiento de datos vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD, por cuanto la denunciante no consintió sobre los datos de que dispone UNIGES. IV La infracción del artículo 6.1 de la LOPD figura tipificada como grave en el artículo 44.3.
  4. b)de dicha norma, que considera como tal: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 La otra infracción imputada a UNIGES ASEMTYA S.L., es la del artículo 10 de la LOPD, que indica que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” En este caso, se aprecia que durante la fase de actuaciones previas el Administrador de UNIGES remite a terceros o clientes el contenido de su respuesta informativa a esta Agencia que efectuó en escrito sellado en Correos el 16/07/2013. Es indiferente que no se acredite en concreto a quien lo envió, pues de ese escrito tiene una copia el representante de la denunciante, contenido que coincide con lo en su día presentado por el denunciado, siendo probable que un tercero receptor se lo enviara a B.B.B., teniendo en cuenta que ese era solo un ejemplar entre otros, y que dicha circular no llevaba nombre de los destinatarios. Alega la denunciada que dicha revelación no afecta a los datos de la denunciante, pero se aprecia que sí que va relacionada en dicha respuesta, figurando su nombre y apellidos, siendo identificada por dicho medio. También la Agencia se puede pronunciar en el acuerdo de inicio por las infracciones que aprecie con independencia de la denuncia, conexas con esta, y en la misma el representante de la denuncia pone de manifiesto dicha infracción. Dado el contenido del citado artículo 10 de la LOPD, ha de entenderse que el mismo tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su Sentencia n. 361, de 19/07/2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este mismo sentido, la Sentencia de la Audiencia Nacional de fecha 18/01/2002, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: <<El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados – en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto>>. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. En el presente caso, la denunciada hace cesión de sus alegaciones a esta Agencia a través del documento correspondiente elaborado por C.C.C., y que alguien entregó al representante de la denunciante. C.C.C. que confeccionó las alegaciones es responsable de no dar a conocer a terceros datos de la denunciante y de su representante, lo que supone la infracción del artículo 10 de la LOPD. VI El deber de secreto se tipifica como grave en el artículo 44.3.
  5. d)de dicha norma, que considera como tal “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley. “. VII El artículo 45 de la LOPD, establece, en sus apartados 2 y 4 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Solicita la denunciada la aplicación de la reducción de las sanciones teniendo en cuenta la rápida reacción al conocer la reclamación ante el Instituto Galego de Consumo, que el recibo fue devuelto, no produciéndose perjuicio económico, y el volumen de negocio o actividad de la denunciada en las circunstancias de su Sociedad, la falta de intencionalidad. Para el artículo 10 manifiesta que solo se predicó el dato de la denunciante como accesorio y que los otros datos pertenecen al ámbito mercantil y son públicos figurando en fuentes de acceso público. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló respecto del artículo 45.5 de la LOPD, que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos.” En el presente caso concurren elementos para la aplicación del artículo 45.5 en concreto referido a su párrafo
  21. a)teniendo en cuenta los siguientes parámetros
  22. a)El carácter no continuado de la infracción, entendiéndose que la factura emitida el 31/01/2013 fue la primera y última emitida por UNIGES, procediendo del abono anual del servicio de 2012
  23. b)El volumen de los tratamientos efectuados respecto de la denunciante que se limita a la emisión de dicha factura.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción, habiéndose comprobado que se devolvió el recibo por la entidad bancaria.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. En este sentido se aprecia que el mismo servicio contratado por la denunciante en su día con ASESORIA FISCAL ALFA TRES se le prestó por UNIGES, siendo el Administrador de aquella también de esta, no acreditándose que se han causado perjuicios a la denunciante. Por estas circunstancias, teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD y además las circunstancias anómalas que se producen en la Sociedad, se impone una sanción de 1.000 euros por la infracción del artículo 6.1 de la LOPD. En cuanto a la infracción del artículo 10 de la LOPD, a efectos del artículo 45.4 de la LOPD, teniendo en cuenta que se pretendía informar a los clientes y advertir ante la situación anómala a sus clientes que su documentación podría ser retirada en septiembre ante el peligro que podrían correr en el local del archivo. Por otro lado, los datos de algunas personas referidas se contienen en el Registro Mercantil como Administradores de las Gestorías creadas, así como en la prensa en septiembre de 2012 como integrantes de una nueva Gestoría y la naturaleza de los datos revelados relacionados con la información anómala en el funcionamiento de la Asesoría se impone una sanción de 1.500 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad UNIGES ASEMTYA S.L., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  26. b)de dicha norma, una multa de 1.000 €, de conformidad con lo establecido en el artículo 45.1,2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad UNIGES ASEMTYA S.L., por una infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  27. d)de dicha norma, una multa de 1.500 €, de conformidad con lo establecido en el artículo 45.1,2, 4 y 5 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 TERCERO: NOTIFICAR la presente resolución a UNIGES ASEMTYA S.L. y a B.B.B. representante de A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.