1/5 Procedimiento Nº: PS/00174/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 24 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra D. B.B.B., con NIF ***NIF.1 (en adelante, el reclamado). La Fiscalía Provincial de Ourense da traslado a esta Agencia las Diligencias de Investigación Penal 91/20, de fecha 16 de marzo de 2021, remitiendo testimonio íntegro de las mismas, de cuyo análisis se desprende la posible utilización fraudulenta de los datos personales del reclamante (el cual posee una gran discapacidad intelectual que ha derivado en una incapacitación total), por parte del reclamado, puesto que este, en su declaraciones de retenciones e ingresos a cuenta del IRPF del ejercicio 2018, imputó al reclamante retribuciones dinerarias procedentes de supuestas actividades agrícolas y empresariales que no fueron realizadas ni retribuidas al mismo, para justificar así facturaciones irreales. Y, entre otra, aporta la siguiente documentación: Diligencias de Investigación Penal 91/20, entre otros, el resultado de la consulta de datos fiscales y retenciones e ingresos a cuenta del IRPF del ejercicio fiscal
- Resolución del Equipo de Valoración de Incapacidades con reconocimiento de Incapacidad Permanente Absoluta del reclamante. Dictamen Técnico Facultativo de fecha 31 de junio de
- Valoración cognitiva emitida por el Centro Asistencial “AS Burgas” de Ourense. Decreto de Conclusión y Archivo de la Fiscalía al entender que los hechos no son constitutivos de delito en el ámbito penal por tratarse de una conducta atípica, indicando que de los mismos podría derivarse una infracción tributaria, así como una infracción de la normativa de protección de datos por tratamiento de datos sin consentimiento. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia: Queda probado, según se recoge en el Decreto de Conclusión y Archivo de la Fiscalía Provincial de Ourense, con número de procedimiento 91/2020, de fecha 11 de marzo de 2021: “que el reclamado faltó a la verdad en su declaración de retenciones e ingresos a cuenta del IRPF (modelo 190) del ejercicio 2018 al imputar al reclamante retenciones dinerarias por importe de XXXX,XX euros procedentes de actividades agrícolas y empresariales que no fueron realizadas ni retribuidas por el mismo” que el reclamado utilizó datos del reclamante para la realización de la declaración de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 retenciones e ingresos a cuenta del IRPF (modelo 190) del ejercicio 2018, sin legitimación para ello. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, la Directora de la Agencia Española de Protección de Datos acuerda con fecha 15 de abril de 2021 la admisión a trámite de la presente reclamación. CUARTO: Con fecha 17 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado, mediante escrito de fecha 12 de julio de este año, formuló, en síntesis, las siguientes alegaciones: ”Que esta parte no tiene conocimiento alguno, al no haber sido comunicado, advertido, ni mucho menos llamar a declarar en dicho procedimiento penal; porque, se deduce de lo manifestado que se procedió al archivo de las mismas al no ser considerados los hechos relatados (que se desconocen) como delictivos. El reclamante acudió a las dependencias de esta parte para proceder a la venta de castañas; procediéndose de forma totalmente transparente a realizar la factura correspondiente por dichas castañas, con datos facilitados por el propio reclamante, y con facturas firmadas por el mismo; en todo caso se aporta como anexo II facturas firmadas por el ahora reclamante, donde se comprueba la relación comercial”. SEXTO: Con fecha 16 de julio de 2021, se notificó al reclamado la apertura del período de pruebas, teniéndose por incorporadas todas las actuaciones previas, así como los documentos aportados por el reclamado. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes. HECHOS PROBADOS 1º. La Fiscalía Provincial de Ourense da traslado a esta Agencia las Diligencias de Investigación Penal 91/20, de fecha 16 de marzo de 2021, remitiendo testimonio íntegro de las mismas, de cuyo análisis se desprende la posible utilización fraudulenta de los datos personales del reclamante (el cual posee una gran discapacidad intelectual que ha derivado en una incapacitación total), por parte del reclamado, puesto que este, en su declaraciones de retenciones e ingresos a cuenta del IRPF del ejercicio 2018, imputó al reclamante retribuciones dinerarias procedentes de supuestas actividades agrícolas y empresariales que no fueron realizadas ni retribuidas al mismo, para justificar así facturaciones irreales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 2º. Adjunta el reclamado las facturas de venta de castañas por parte del reclamante correspondientes al ejercicio 2018, constando los datos del reclamante y su firma. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes: a) La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “
- El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “
- Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “
- En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…) b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, tras el estudio pormenorizado de los documentos obrantes en el presente procedimiento, y las alegaciones del reclamado, debemos manifestar que se han aportado las facturas correspondientes a la venta de castañas por parte del reclamante respecto al ejercicio 2018, constando sus datos identificativos por lo que dicho tratamiento estaría amparado por el artículo 6.1 b) del RGPD. Por lo tanto, procede el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00174/2021, instruido a D. B.B.B., con NIF ***NIF.1, por haber acreditado que el reclamante formalizo facturas de compraventa. SEGUNDO: NOTIFICAR la presente resolución a D. B.B.B., con NIF ***NIF.
- De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es