1/4 Expediente N.º: EXP202404642 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en adelante, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. con fecha 27 de diciembre de 2022 interpuso denuncia ante la AEPD en relación a unos hechos que, a su juicio, podían ser susceptibles de infracción en materia de protección datos. En la denuncia se afirmaba que, para poder darse de alta como autónomos en el censo de actividades económicas de la Agencia Estatal de Administración Tributaria (en adelante, AEAT), se exige que los interesados proporcionen el nombre, DNI, teléfono, correo electrónico y dirección, los cuales son tratados como información de interés profesional y que también deben facilitar los datos al Registro Mercantil. Los citados datos, en el caso de trabajadores autónomos que no poseen un domicilio profesional específico, pueden coincidir con datos personales como el domicilio habitual de dichos trabajadores. Dichos datos son posteriormente tratados por consultoras privadas para publicarlos, indexarlos y realizar campañas de marketing con ellos, siendo utilizados para finalidades para las que no se ha recibido información en el momento de proporcionarlos a la AEAT. SEGUNDO: El 13 de abril de 2023 la Directora de la AEPD acordó iniciar actuaciones previas de investigación para el esclarecimiento de dichos hechos, en virtud de las funciones asignadas y los poderes otorgados a las autoridades de control en los artículos 57.1 y 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: Con fecha 11 de abril de 2024 la Directora de la AEPD acordó iniciar procedimiento sancionador a AXESOR CONOCER PARA DECIDIR S.A.U., con NIF A18413302, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por las presuntas infracciones de los artículos 6.1 y 14 del RGPD, tipificadas en los artículos 83.5 y 83.5.
- b)del RGPD, respectivamente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento el Presidente de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/4 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Caducidad del procedimiento El artículo 64.2 de la LOPDGDD, con relación a la duración de los procedimientos establece lo siguiente (el subrayado es nuestro): “(…) El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones”. Por otro lado, el artículo 25.1.
- b)de la LPACAP establece que: “En los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver, produciendo los siguientes efectos: (…)
- b)En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95.”. El artículo 21.1 de la LPACAP, después de establecer la obligación de la Administración de dictar resolución expresa y notificarla en todos los procedimientos, añade que en los casos de caducidad del procedimiento, la resolución consistirá en la declaración de caducidad, con indicación de los hechos producidos y las normas aplicables. Y el artículo 95.3 de la LPACAP se ocupa de los efectos de la caducidad y la posibilidad de reabrir otro nuevo expediente si no ha prescrito la acción de la Administración, indicando lo siguiente: "3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/4 Al respecto la Audiencia Nacional viene estableciendo (por ejemplo en su Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. Dado que el acuerdo de inicio del presente procedimiento sancionador fue dictado el 11 de abril de 2024, y de conformidad con el artículo 64.2 de la LPDGDD, el procedimiento tiene una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio, y una vez transcurrido ese plazo se produce su caducidad, el 11 de abril de 2025 se ha producido la caducidad del presente procedimiento. Señalar, no obstante, la posible apertura de un nuevo expediente, toda vez que los hechos objeto de denuncia y susceptibles de infracción administrativa no se encuentren prescritos. Por lo tanto, de acuerdo con lo señalado, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador y proceder al ARCHIVO de actuaciones. SEGUNDO: NOTIFICAR la presente resolución a AXESOR CONOCER PARA DECIDIR S.A.U., con NIF A18413302. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la AEPD en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3.
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica web/], o a través de alguno de los restantes registros previstos en el artículo 16.4 de la citada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/4 Ley. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250625 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es