1/5 Procedimiento Nº: PS/00173/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 24 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D. B.B.B., con NIF ***NIF.1 (en adelante, el reclamado). La Fiscalía Provincial de Ourense da traslado a esta Agencia las Diligencias de Investigación Penal 91/20, de fecha 16 de marzo de 2021, remitiendo testimonio íntegro de las mismas, de cuyo análisis se desprende la posible utilización fraudulenta de los datos personales del reclamante (el cual posee una gran discapacidad intelectual que ha derivado en una incapacitación total), por parte del reclamado, puesto que este, en su declaraciones de retenciones e ingresos a cuenta del IRPF del ejercicio 2018, imputó al reclamante retribuciones dinerarias procedentes de supuestas actividades agrícolas y empresariales que no fueron realizadas ni retribuidas al mismo, para justificar así facturaciones irreales. Y, entre otra, aporta la siguiente documentación: Diligencias de Investigación Penal 91/20, entre otros, el resultado de la consulta de datos fiscales y retenciones e ingresos a cuenta del IRPF del ejercicio fiscal
- Resolución del Equipo de Valoración de Incapacidades con reconocimiento de Incapacidad Permanente Absoluta del reclamante. Dictamen Técnico Facultativo de fecha 31 de junio de
- Valoración cognitiva emitida por el Centro Asistencial “AS Burgas” de Ourense. Decreto de Conclusión y Archivo de la Fiscalía al entender que los hechos no son constitutivos de delito en el ámbito penal por tratarse de una conducta atípica, indicando que de los mismos podría derivarse una infracción tributaria, así como una infracción de la normativa de protección de datos por tratamiento de datos sin consentimiento. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia: Queda probado, según se recoge en el Decreto de Conclusión y Archivo de la Fiscalía Provincial de Ourense, con número de procedimiento 91/2020, de fecha 11 de marzo de 2021: “que el reclamado faltó a la verdad en su declaración de retenciones e ingresos a cuenta del IRPF (modelo 190) del ejercicio 2018 al imputar al reclamante retenciones dinerarias por importe de ***CANTIDAD.1 euros procedentes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 actividades agrícolas y empresariales que no fueron realizadas ni retribuidas por el mismo” que el reclamado utilizó datos del reclamante para la realización de la declaración de retenciones e ingresos a cuenta del IRPF (modelo 190) del ejercicio 2018, sin legitimación para ello. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, la Directora de la Agencia Española de Protección de Datos acuerda con fecha 15 de abril de 2021 la admisión a trámite de la presente reclamación. CUARTO: Con fecha 17 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado, mediante escrito de fecha 6 de julio de este año, formuló, en síntesis, las siguientes alegaciones: ”Que estoy dado de alta en la AEAT en una actividad agrícola, específicamente me dedico a la compra-venta de castañas. De forma que en el ejercicio 2018 le he comprado a D. A.A.A., una cantidad de castañas realizando las facturas correspondientes, para ello, el mismo me ha facilitado sus datos identificativos. La única relación que he mantenido con esta persona ha sido simplemente por la actividad económica y sus datos sólo han sido utilizados para la realización de facturas. Para poder cumplir mis obligaciones fiscales también han sido incorporados dichos datos en los impuestos que me corresponden presentar. Adjunto para su comprobación las facturas referentes al ejercicio 2018” SEXTO: Con fecha 21 de julio de 2021, se notificó al reclamado la apertura del período de pruebas, teniéndose por incorporadas todas las actuaciones previas, así como los documentos aportados por el reclamado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes. HECHOS PROBADOS 1º. La Fiscalía Provincial de Ourense da traslado a esta Agencia las Diligencias de Investigación Penal 91/20, de fecha 16 de marzo de 2021, remitiendo testimonio íntegro de las mismas, de cuyo análisis se desprende la posible utilización fraudulenta de los datos personales del reclamante (el cual posee una gran discapacidad intelectual que ha derivado en una incapacitación total), por parte del reclamado, puesto que este, en su declaraciones de retenciones e ingresos a cuenta del IRPF del ejercicio 2018, imputó al reclamante retribuciones dinerarias procedentes de supuestas actividades agrícolas y empresariales que no fueron realizadas ni retribuidas al mismo, para justificar así facturaciones irreales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 2º. EL reclamado aporta, en fecha 6 de julio de 2021 que está dado de alta en la AEAT en una actividad agrícola, específicamente se dedica a la compraventa de castañas. De forma que en el ejercicio 2018 le compró al reclamante, una cantidad de castañas realizando las facturas correspondientes, para ello, él le facilitó sus datos identificativos. 3º. Adjunta el reclamado las facturas referentes al ejercicio
- FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes: a) La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
- El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “
- Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “
- En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…) b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, tras el estudio pormenorizado de los documentos obrantes en el presente procedimiento, y las alegaciones del reclamado, debemos señalar que el reclamado está dado de alta en la AEAT en una actividad agrícola, específicamente se dedica a la compraventa de castañas. De forma que en el ejercicio 2018 le compró al reclamante, una cantidad de castañas realizando las facturas correspondientes, para ello, él le facilitó sus datos identificativos, por lo que dicho tratamiento estaría amparado por el artículo 6.1 b) del RGPD. Por lo tanto, procede el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00173/2021, instruido a D. B.B.B., con NIF ***NIF.1, por haber acreditado que el reclamante formalizo facturas de compraventa. SEGUNDO: NOTIFICAR la presente resolución a B.B.B., con NIF ***NIF.
- De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es