PS-00284-2023

(28001)Madrid, CIF A87407243. Adjunto captura de la publicación de mis datos en mi antiguo domicilio.” Aporta una captura de pantalla obtenida el 21/11/2022 a las 18.15 horas en la que se ve la página de una aplicación informática en la que aparece en la parte superior el nombre de “INGLOBALY”. Al pie de la página figura también el nombre de “INGLOBALY” y junto a él la leyenda “Quality Provider, S.A. Calle Goya 18, 5º izq. 28001 Madrid Tel (+34)910 052 833 email: support@inglobaly.com”. En la captura de pantalla de la aplicación de Inglobaly se ven cinco pestañas: de izquierda a derecha, “Inicio”, “Domicilios”, “Autónomos”, “Multas”, “Boletines”, “BORME”, “Teléfonos”, “Vinculaciones” y “Consumos”. En la imagen aportada la pestaña “Domicilios” aparece activada y muestra el resultado de una búsqueda efectuada por el dato de la dirección, ***DIRECCIÓN.1. La información que arroja es la siguiente: “***DIRECCIÓN.1 Personas conviviendo en este domicilio:” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/52 En el epígrafe destinado a las personas que conviven en el domicilio la pantalla ofrece diversa información que agrupa en estas columnas: “Apellidos, nombre”, “Población de nacimiento”; “Provincia de nacimiento”; “NIF” y “Año de nacimiento”. En particular, la captura de pantalla muestra estos resultados: -En la primera línea consta: “B.B.B.”; “(…)”; “***NIF.1”; ***FECHA.1. -En la segunda línea: “A.A.A.”; “(…)”; “***NIF.2”; “***FECHA.2”. Al final de la pantalla una leyenda dice: “Teléfonos en domicilio No se han encontrado teléfonos en este domicilio a nombre de las personas que conviven en él”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a QUALITY para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó según las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se efectuó en fecha 30/12/2022 ( a las 09:35 horas) y fue recogido en fecha 30/12/2022 (a las 09:54 horas), como consta en el acuse de recibo que obra en el expediente (folios 11 y 12). En fecha 03/01/2023 se recibe la respuesta de la parte reclamada al traslado en la que manifiesta que para contestar a la solicitud de información se le deberá aportar la copia del DNI de la parte reclamante a fin de poder identificarla, por lo que requiere a la Agencia Española de Protección de Datos para que solicite la citada documentación a la parte reclamante y así proceder a la supresión de sus datos. Reproducimos los siguientes fragmentos de la respuesta al traslado presentada por la parte reclamada: “Pues bien, esta parte se encuentra imposibilitada para aportar información relativa a este expediente toda vez que la reclamante no aporta fotocopia del documento nacional de identidad a los efectos de poder identificarla, lo que impide a esta parte conocer e identificar fehacientemente de qué persona física se trata y, por tanto, impide conocer de qué datos se trata.” “Pero es más, hallándose esta parte en una posición de imposibilidad probatoria debemos recordar que el propio artículo 12.2 del Reglamento (UE) 2016/679 (RGPD), impone una cláusula de exención de responsabilidad a mi favor por no atender a la petición de la persona interesada relativa a sus derechos derivados del RGPD. En este sentido, el artículo 12.2 del RGPD estipula que el responsable del tratamiento no podrá negarse a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.” “Pero existe, un factor determinante más, está denunciante nunca se ha dirigido personalmente para ejercer sus derechos a esta empresa, por consiguiente, es imposible que sus datos puedan ser cancelados.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/52 A la vista de la respuesta de QUALITY cabe precisar lo siguiente: La información que la Subdirección General de Inspección de Datos (SGID) le solicitó con ocasión del traslado de la reclamación versó exclusivamente sobre el tratamiento de los datos de la parte reclamante efectuado sin su consentimiento, sin que se hiciera mención alguna a la supresión de datos a la que alude la parte reclamada en su respuesta. La persona sobre la que se solicitaba la información -la parte reclamante- estaba plenamente identificada por el nombre, dos apellidos y NIF en la documentación que le trasladó la SGID. TERCERO: En fecha 21/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La SGID procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1, ambos del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y de acuerdo con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Entre los documentos generados durante las Actuaciones Previas de Investigación figuran:

1. a)Una Diligencia firmada el día 15/03/2023 por el inspector actuante 1 en la que consta que en esa fecha <<a las10.00 horas se han personado los inspectores [1 y 2] en la sede social de la entidad QUALITY PROVIDER S.A. ubicada en la Calle Goya 18 5º izquierda al objeto de realizar una inspección. Se consulta previamente por dos ocasiones al portero de la finca que informa a los inspectores que la entidad QUALITY PROVIDER se ubica en el piso 5º izquierda. […] En el mostrador de la recepción figura el nombre D.D.D. y la referida persona informa que no tiene nada que ver con QUALITY PROVIDER […] Se consulta cada cuanto tiempo mantienen reuniones en estas salas informando de forma imprecisa que cada varios meses. Se comunica al interlocutor que la entidad QUALITY PROVIDER ha sido notificada en fecha 8 de marzo a las 11:44 mediante una llamada telefónica al número ***TELÉFONO.1, como respuesta indica que QUALITY PROVIDER le han comunicado que se han puesto en contacto con la Agencia Española de Protección de Datos para cancelar la inspección, sin que conste llamada ni correo alguno. […] Ante la negativa a facilitar ningún tipo de información ni identificar la empresa cuya sede social está en la dirección Goya 18 5º izquierda los inspectores actuantes abandonan el local.>>
2. b)Un escrito dirigido a la parte reclamada y firmado por el inspector actuante 1 en fecha 15/03/2023 a las 11.19.07 horas, cuya notificación electrónica es aceptada el mismo día (folios 26 y 27 del expediente) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/52 En el escrito, el inspector comunica a QUALITY que, en el marco de las actuaciones practicadas por la SGID y en uso de las facultades que le confiere el artículo 58.1 del RGPD, <<El día 27 de marzo de 2022, lunes, a las 10 horas se personarán Inspectores de la Agencia Española de Protección de Datos con el objeto de realizar una visita de inspección a la entidad Quality- Provider SA., considerándose imprescindible la presencia de representantes de la entidad, con la finalidad de colaborar en la inspección así como facilitar el acceso a sus ficheros. Esta visita de inspección se llevará a cabo en la sede social de Quality-Provider SA ubicada en Calle Goya 18, 5º Izquierda, Madrid.>> Además, el escrito facilita una dirección de correo electrónico y un teléfono a través de los cuales la parte reclamada deberá contactar para cualquier aclaración y recuerda que el responsable y el encargado del tratamiento de los datos de carácter personal tienen la obligación de facilitar los documentos, informaciones y cualquier otra colaboración que se precise para realizar la función de Inspección. Añade que, el incumplimiento de esa obligación podría comportar la comisión de la infracción tipificada en el art. 72.1.ñ) de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD.
3. c)Un escrito de la parte reclamada, con fecha de entrada en el registro de la AEPD el 22/03/2023, mediante el que responde al que le remitió la Inspección de Datos de fecha 15/03/2023 (folios 31 a 35). En síntesis, la parte reclamada hace las siguientes manifestaciones: -Que el Administrador de la sociedad, cuyos datos constan en el encabezamiento del escrito, se acoge al derecho a no declarar. Invoca los artículo 17.3. y 24.2 de la C.E.; el artículo 14 del Pacto Internacional de Derechos Civiles y Políticos y el artículo 6 del Convenio Europeo de Derechos Humanos. -Que “tanto el Administrador de la sociedad, como el Dpto. Jurídico de esa empresa procederán a asistir a la convocatoria del día 27 de Marzo del 2023 a las 10h., […] NO PERMITIREMOS LA ENTRADA AL DOMICILIO A LOS INSPECTORES DE LA AEPD, por los siguientes y claros motivos” (Epígrafe primero del escrito) - “Advierto, no van [a] acceder a ningún dato, tampoco les proporcionaré información alguna. NO ESTÁN AUTORIZADOS POR EL REAL DECRETO MENCIONADO. Toda la colaboración la expondremos en SEDE JUDICIAL. Advierto con antelación, que dichos Inspectores, no se les permitirá el acceso a la sede social de la empresa y serán grabados, por si vuelven a difamar o insultar. Estaré presente con mi Asesor Jurídico, el cuál actuara en mi representación y hablara en mi propio nombre y derecho.” (Epígrafe sexto del escrito) - La parte reclamada afirma que no puede fiarse de la AEPD y que no se le ofrece seguridad jurídica. (Epígrafe tercero) -Critica que el “Gobierno y ese Organismo” no hayan transpuesto la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019 relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/52 “que es de aplicación directa y prevalece sobre cualquier Ley y Real Decreto Nacional.” (Epígrafe cuarto) -Que “El día 15 de marzo, los inspectores de la AEPD, se han permitido el lujo de amenazar y coaccionar en nuestra sede social, al dueño del CLUB RAHEEM, hay testigos y grabaciones”. (Epígrafe quinto) d)El Informe de Actuaciones de Inspección, firmado por el inspector actuante en fecha 22/03/2023, que pasamos a reproducir dice: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 15 de marzo de 2023 se han personado dos inspectores de la Agencia Española de Protección de Datos la sede social de la entidad QUALITY PROVIDER S.A. ubicada en la Calle Goya 18 5º izquierda al objeto de realizar una inspección. Se consulta previamente por dos ocasiones al portero de la finca que informa a los inspectores que la entidad QUALITY PROVIDER se ubica en el piso 5º izquierda. Una vez en la citada dirección se encuentran con dos recepcionistas y una persona que no se identifica ante los inspectores. En el mostrador de la recepción figura el nombre D.D.D. y la referida persona informa que no tiene nada que ver con QUALITY PROVIDER, aunque el lugar en que se encuentran los inspectores alquila oficinas para eventos a diferentes empresas, entre las que se encuentra QUALITY PROVIDER Se consulta cada cuanto tiempo mantienen reuniones en estas salas informando de forma imprecisa que cada varios meses. Se comunica al interlocutor que la entidad QUALITY PROVIDER ha sido notificada en fecha 8 de marzo a las 11:44 mediante una llamada telefónica al número ***TELÉFONO.1, como respuesta indica que QUALITY PROVIDER le han comunicado que se han puesto en contacto con la Agencia Española de Protección de Datos para cancelar la inspección, sin que conste llamada ni correo alguno. Se solicita un teléfono de contacto y una sede social de la entidad QUALITY PROVIDER negándose a dar ningún dato para no perjudicar a su supuesto cliente, tan solo se limita a informar que están en Alicante, pero sin precisar municipio ni domicilio. Ante la negativa a facilitar ningún tipo de información ni identificar la empresa cuya sede social está en la dirección Goya 18 5º izquierda los inspectores actuantes abandonan el local. Se ha enviado por correo certificado a la dirección Goya 18 5º izquierda un aviso de inspección con el objeto de que representantes de la entidad atiendan apropiadamente a los inspectores de la Agencia, habiendo recibido como respuesta: “Por consiguiente, tanto el Administrador de la sociedad, como el Dpto. Jurídico de esta empresa procederán a asistir a la convocatoria del día 27 de Marzo del 2023 a las 10h., en nuestro domicilio social de Calle Goya 18, NO PERMITIREMOS LA ENTRADA AL DOMICILIO LOS INSPECTORES DE LA AEPD” Obstruyendo claramente a la acción inspectora de la Agencia.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/52 QUINTO: Información económica de la entidad reclamada De acuerdo con el informe recogido de la herramienta AXESOR, la entidad QUALITYPROVIDER S.A., es una microempresa. La sociedad se constituyó en noviembre de 2015. La cifra de negocio en el ejercicio 2021 ascendió a 558.381€. Se estima que cuenta con (…) empleados. SEXTO: Acuerdo de iniciación En fecha 20/02/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP por la presunta infracción del artículo 6.1 del RGPD, infracción tipificada en el artículo 83.5.
4. a)del RGPD. El acuerdo de inicio se notificó a la parte reclamada electrónicamente, conforme a las normas establecidas en la LPACAP, siendo la fecha de puesta a disposición de la notificación el 20/02/2024 y la fecha de aceptación de la notificación el mismo día 20/02/2024, tal y como queda acreditado en el expediente. SÉPTIMO: Alegaciones al acuerdo de inicio La parte reclamada presenta sus alegaciones al acuerdo de inicio en fecha 21/02/2024. Solicita que la Agencia “le facilite la copia del documento de identificación de la parte reclamante”. Solicita asimismo que se proceda al archivo del expediente sancionador y aduce en defensa de esta pretensión, en síntesis, los argumentos siguientes: 1.-Mantiene la tesis de que la parte reclamante solicitó ante la AEPD una tutela de derechos. Dice en ese sentido: “La denunciante en ningún momento se ha dirigido QUALITY PARA REALIZAR SU TUTELA DE DERECHOS, no consta en nuestro BUZÓN DE DENUNCIAS reclamación alguna.” (Cláusula primera. El subrayado es nuestro) 2.-Respecto a la normativa aplicable a los hechos examinados considera que no es aplicable el RGPD sino la Directiva 2019/1937. En tal sentido afirma que “el RGPD ha sido modificado por la extraordinaria Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión” y añade “que es una Directiva que cambia de arriba abajo el RGPD, y por tanto convierte también la LOPDGDD en algo desactualizado por diez razones”. Indica, además, que “se regulan por esa directiva la “protección de la privacidad y de los datos personales, y seguridad de las redes y los sistemas de información”; no por el RGPD, sino por esta Directiva. Sólo en lo que no esté previsto en esta Directiva o posteriores, será válido el RGPD, y por tanto su transposición, la LOPDGDD.” Expone que “Es una directiva de nueva generación, que permite la denuncia anónima e invierte la carga de la prueba delante del canal. Es el denunciado el que debe probar en el canal de denuncias, dentro de un procedimiento con todas las garantías, que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/52 es responsable de los hechos que se imputan. Repetimos, se invierte la carga de la prueba, es el denunciado el que tiene la obligación de justificar su conducta en la tramitación del canal.” “Esa Directiva crea una nueva “autoridad estatal de control para tratar lo dispuesto en el artículo 2 ” y “un procedimiento” que nada tienen que ver ni con las Agencias de Protección de Datos, ni con el Procedimiento Administrativo Español. El RGPD ya estaba redactado en ese sentido, aunque nadie le hizo caso, ni tan siquiera, el legislador español. La norma recoge que la protección se extiende a todos los denunciantes que trabajen en el sector privado o público (funcionarios, interinos, contratados laborales, asesores becarios, aspirantes a, miembros del Consejo de Administración, gestores, abogados...) y que hayan obtenido información sobre infracciones en un contexto laboral, de relaciones personales o de asesoramiento, presente o pasado, De ello que el Instructor y los funcionarios que intervengan en el presente expediente quedan personalmente obligados.” (Epígrafes octavo y noveno) “Analizando propio relato del instructor del expediente, hablamos sencillamente de un derecho de cancelación de datos personales, que se intenta ejercer de forma anónima. Por los mecanismos de la Directiva, el administrador del canal, que recordemos, por mor de esta es externo, independiente y autónomo, tal y como al mismo ha comunicado la propia Unión europea, pide al denunciante que se identifique para proceder a la cancelación. El administrador del canal es independiente y sujeto a secreto profesional, secreto que alcanza a las comunicaciones entre el denunciante y el propio canal, quedando excluido del mismo la empresa sobre la que el canal trata. Es decir, Inglobaly no accede a dato alguno facilitado por el denunciante, más que aquellos que por su resolución sean de forzoso cumplimiento. En ese caso, desconociendo la norma, el denunciante decidió traspasar su denuncia a la Autoridad de Control española, la AEPD. De lo anterior, entiende esta parte que procedía de entrada, una inadmisión de la denuncia, ya que el Art. 65 de la LOPDGDD debe ser, desde Octubre de 2019 interpretado conforme a la Directiva 2019/1937 y respetar la existencia del canal. De ello que la Admisión a trámite debe ser revocada, pues el procedimiento se ha seguido puntualmente, el procedimiento que a partir de esa fecha deben seguirse los conflictos de protección de datos; el establecido por la Directiva. Vulnerando el procedimiento que debería haberse seguido, la Directora de la Agencia Española abrió procedimiento sancionador, pero no lo abrió por el procedimiento establecido en la Directiva. Sino en por el propio de la Agencia, procedimiento que, como hemos visto, ha sido sustituido por otro cuando la empresa cuenta con canal de Denuncias. Sorpresivamente, en los fundamentos de Derecho la Directora, hace referencia al artículo 58,2 del RGPD, sin tener en cuenta la modificación antes señalada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/52 efectuando una serie de calificaciones jurídicas que a efectos del presente informe no son de utilidad. ASPERTIC / VIADENUNCIA es un buzón de denuncias adaptado a la normativa europea con procedimiento investigador integrado, que cumple con los requisitos establecidos por la Directiva Whistleblowers https://www.boe.es/doue/2019/305/L00017-00056.pdf”. (Epígrafes decimoprimero a decimocuarto del escrito de alegaciones) 3.-Sostiene que, en ningún momento, se ha negado a colaborar con la Agencia y que los inspectores no se presentaron el día 27/03/2023 a la cita que ellos mismos habían fijado. 4.-Considera “nulo de pleno derecho” el acuerdo de admisión a trámite de la reclamación. Afirma en tal sentido que la Administración no se puede escudar en el silencio administrativo para incumplir una obligación, refiriéndose a que pasados seis meses sin respuesta desde la recepción de la reclamación se entiende admitida a trámite por silencio administrativo. 5.- Bajo la rúbrica “Incoación del expediente fuera de plazo” hace, entre otras, estas afirmaciones: “La denuncia tiene fecha de 21/11/2022 ante la AEPD, ésta, da trámite al Expediente Sancionador en fecha 20 de febrero de 2024, por consiguiente, nos encontramos que ha transcurrido más de un AÑO, qué significado tiene que dicho procedimiento se encuentra CADUCADO cuando se inicia el EXPEDIENTE SANCIONADOR.” Menciona los artículos artículo 21.1 LPACAP - “La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación”- y 25.1: “en los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver. Y dentro de su apartado b), agrega: “En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95”. 6.- Considera que la Agencia va “contra el Reglamento Europeo de Protección de Datos y su propia Ley. Cómo podemos identificar a alguien, cuando no se dirige a nosotros por escrito y tampoco aporta ninguna acreditación.” Seguidamente menciona “el artículo 12 del Reglamento General de Protección de datos Europeo. - Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado.” 7.-Sobre la documentación aportada por la parte reclamante en la que, dice, se basa la “Instructora” -capturas de pantalla obtenidas de la página web- alega que su “teoría acaba desmontada por una Sentencia de la Audiencia Provincial de Madrid de fecha 11 de Noviembre de 2022 que dice lo siguiente: “No es suficiente para acreditar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/52 pago de una indemnización a un asegurado el “pantallazo” aportado por la compañía aseguradora”. “Los pantallazos carecen de valor probatorios, son manipulables y no son considerados pruebas fehacientes, en los tribunales españoles y europeos.” 8.- “Respecto de la Agencia Española y su vigencia”, manifiesta que la Directora de la Agencia firmó el acuerdo de inicio de este procedimiento “de forma ilegal e irregular.” Expone: Que el “cargo de directora de la Agencia Española de Protección de Datos, desaparece de forma irreversible con el Real Decreto 389/2021, de 1 de Junio, por el que se aprueba el Estatuto de la AEPD”. Cita la Disposición Adicional única, “Supresión de órganos directivos”, del Real Decreto 389/2021: “Quedan suprimidos los siguientes órganos directivos:
5. a)El director de la Agencia Española de Protección de Datos.
6. b)El Registro General de Protección de Datos.
7. c)La Inspección de Datos.” De forma irregular porque su cargo está caducado. Fue nombrada en fecha 15/07/2015 por el Real Decreto 715/2015 (BOE de 25/07/2015). Dice que su cargo tiene una duración de 5 años y su terminación fue el día 24/07/2020 por lo que “al no haberse producido ninguna reelección o publicación en el BOE, está ejerciendo su cargo en fraude de Ley.” Tampoco, existe un Real Decreto que haya reelegido/ampliado a la directora en su cargo que es lo que debía haber realizado el Gobierno. Afirma que “Su cese y eliminación de su cargo se produce en dicho Real Decreto 389/2021, por consiguiente, no hace falta ningún Real Decreto, no nos consta el mismo.” 9.- Bajo la rúbrica “Duración de los procedimientos” “Artículo 30. Procedimiento sancionador”, sin detallar a qué norma pertenece el artículo 30 citado, incluye varios párrafos cuyo texto en algunos casos corresponde con otros preceptos de la LPACAP. En particular dice lo siguiente: “Artículo 30. Procedimiento sancionador. 1. El ejercicio de la potestad sancionadora a la que se refiere este título, se regirá por lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y sus disposiciones de desarrollo, sin perjuicio de las especialidades que se regulan en este título. 2. El procedimiento caducará transcurridos seis meses desde su incoación sin que se haya notificado la resolución, debiendo, no obstante, tenerse en cuenta en el cómputo las posibles paralizaciones por causas imputables al interesado o la suspensión que debiera acordarse por la existencia de un procedimiento judicial penal, cuando concurra identidad de sujeto, hecho y fundamento, hasta la finalización de éste.» Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca uno mayor o así venga previsto en el Derecho de la Unión Europea. Asimismo, cuando las normas reguladoras de los procedimientos no fijen el plazo máximo, éste será de tres meses. Este plazo y los previstos en líneas anteriores se computarán: 1. En los procedimientos iniciados de oficio, desde la fecha del acuerdo de iniciación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/52 2. En los iniciados a solicitud del interesado, desde la fecha en que la solicitud haya tenido entrada en el registro electrónico de la Administración u Organismo competente para su tramitación. A mayor abundamiento, y a modo de ejemplo, encontramos en el artículo 106.5 de la LPAC en lo referente a la revisión de disposiciones y actos nulos que, cuando el procedimiento se hubiera iniciado de oficio, el transcurso del plazo de seis meses desde su inicio sin dictarse resolución producirá la caducidad del mismo. Si el procedimiento se hubiera iniciado a solicitud de interesado, se podrá entender la misma desestimada por silencio administrativo. Concatenado con lo anterior, el artículo 107.3 del mismo ordenamiento establece que en lo relativo a la declaración de lesividad de actos anulables, transcurrido el plazo de seis meses desde la iniciación del procedimiento sin que se hubiera declarado la lesividad, se producirá la caducidad de éste. En los procedimientos iniciados de oficio, los requisitos que han de concurrir, básicamente, se traducen en que haya transcurrido el plazo legalmente estipulado para resolver y notificar el procedimiento. Dicho espacio temporal será computado desde que se acuerde el inicio del procedimiento hasta la notificación de su resolución.” 10.-Bajo la rúbrica “Tutela judicial efectiva” dice: “Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada (Art. 78.2 Reglamento 2016/679/UE, de 27 de abril).” 11.-Bajo la rúbrica “Falta de motivación por parte de la AEPD en su resolución”, alega que el presente procedimiento “carece de motivación por parte de la AEPD, tal y como marca la” LPACAP en el artículo 35. 12.- Bajo la rúbrica “[…] valoración a la hora de determinar la sanción administrativa”, hace, entre otras, estas consideraciones: Comienza refiriéndose a las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, versión 2.0, adoptadas por el Comité Europeo de Protección de Datos (CEPD) el 24/05/2023. Expone los antecedentes de la versión 2.0 adoptada y se centra después en la “Metodología para el cálculo de las multas”. Hace estas consideraciones generales: “al fijar el importe de la multa, las autoridades de control tendrán debidamente en cuenta una lista de circunstancias que se refieran a las características de la infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación específica realizada en cada caso, teniendo en cuenta los parámetros incluidos en el RGPD”. “El RGPD no prevé multas mínimas”. “Las multas deben ser efectivas, proporcionales y disuasorias”. Que “[…] el importe final de la multa resultante de esta evaluación debe ser efectivo, proporcionado y disuasorio en cada caso concreto (artículo 83, apartado 1, del RGPD). Cualquier multa impuesta debe tener suficientemente en cuenta todos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/52 estos parámetros, sin sobrepasar al mismo tiempo el máximo legal previsto en el artículo 83, apartados 4 a 6, del RGPD.” Expone después la “metodología para calcular las multas administrativas por infracciones del RGPD” elaborada por el CEPD y explica cada uno de los cinco pasos que se distinguen en el método referido. Se refiere a continuación al “caso concreto”, esto es, al supuesto que nos ocupa, y dice que los datos tratados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere el consentimiento del afectado: “Primero. - Qué los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado. Por consiguiente, la valoración realizada por este Organismo, para la imposición de la sanción, NO TIENE EN CUENTA LOS DAÑOS CAUSADOS (NINGUNO) ASÍ COMO LA CATEGORÍA Y OBTENCIÓN DE LOS DATOS DEL DENUNCIANTE (PUBLICOS), están realizando una pésima valoración de los presentes Artículos 82.1 y 83.2 del Reglamento General de Protección de Datos Europeo.” Añade que la conducta podría ser constitutiva de una infracción leve, pero nunca grave: “Artículo 83.2 Condiciones generales para la imposición de multas administrativas:
8. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
9. g)las categorías de los datos de carácter personal afectados por la infracción; Artículo 74. Infracciones consideradas leves.
10. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
11. k)de esta ley orgánica. (SE HAN ATENDIDO Y SOLICITADO LA ACREDITACIÓN)
12. d)No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 73
13. c)de esta ley orgánica. Por consiguiente, nos encontramos ante una FALTA LEVE. JAMAS ANTE UNA FALTA MUY GRAVE, le ruego al Instructor se repase su propia Ley y Reglamento.” Indica que la sanción por una infracción administrativa requiere que intervenga culpabilidad en el sujeto infractor y dice a tal efecto: “La UE pone coto a las multas por protección de datos: la administración solo puede sancionar si existe culpa.” Alude a una sentencia del Tribunal de Justicia de la Unión (STJUE), de la que no facilita la fecha, que “declara que el art. 83 RGPD debe interpretarse en el sentido de que solo puede imponerse una multa administrativa con arreglo a esa disposición si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/52 demuestra que el responsable del tratamiento, que es a la vez una persona jurídica y una empresa, cometió, de forma intencionada o negligente, una infracción contemplada en los aps. 4 a 6 de dicho artículo.” Advierte que de los artículos 64.2, en conexión con el artículo 65, ambos de la LOPDGDD, resulta que “exigen como requisito preceptivo la reclamación previa al responsable de la publicación, constituyendo tal reclamación previa un imprescindible requisito de admisibilidad de la reclamación efectuada.” 13.-Afirma que “resulta curioso, que acuerdan inicio de procedimiento sancionador, y sin escuchar a esta parte, estén acordando la sanción que van a imponer. Esto se llama falta de tutela administrativa efectiva”. OCTAVO: Fase de prueba 1.- En fecha 03/12/2024, de conformidad con lo previsto en el artículo 77 de la LPACAP, el órgano instructor acuerda abrir un periodo de práctica de prueba y realizar las siguientes actuaciones probatorias: 1.1.- Dar por reproducidos a efectos de prueba: a. La reclamación presentada por la parte reclamante y sus documentos anexos. b. Los escritos y documentos generados y obtenidos por la AEPD con ocasión del traslado de la reclamación y solicitud de información que la SGID dirigió a QUALITY. c. Las alegaciones al acuerdo de inicio del procedimiento sancionador de referencia presentadas por la entidad reclamada en fecha 21/02/2024. 1.2.-Solicitar a la parte reclamante determinada documentación e información. 2.- Mediante escrito firmado por el órgano instructor el 04/12/2024, cuya notificación es aceptada en la misma fecha según consta acreditado en el expediente, se solicita a la parte reclamante que aporte esta documentación e información: a. Copia (anverso y reverso) de su documento nacional de identidad. b. Capturas de pantalla relativas a las conversaciones a las que alude en su reclamación que habría mantenido a través de una red social con la empleada de una inmobiliaria. c. Documentación relativa a cualesquiera otras comunicaciones distintas de las mencionadas en su reclamación que, eventualmente, hubiera mantenido con la inmobiliaria que contactó con usted, ya sea a través de la red social o ya sea por otro medio (p.ej. email, SMS, correo postal, etc.) d. Si hubiera ejercido ante la inmobiliaria los derechos de acceso, supresión, rectificación u oposición al tratamiento de sus datos, se solicita que aporte la documentación que lo demuestre, incluida la que haga prueba del envío y recepción de su solicitud. También la respuesta al ejercicio de derechos que eventualmente hubiera recibido de la inmobiliaria. e. Si no dispusiera de la documentación solicitada o, teniéndola, en ella no figure el nombre de la inmobiliaria que contactó con usted, se solicita que informe del nombre de la citada inmobiliaria y de cualquier otra información adicional de la que disponga relacionada con ella, como por ejemplo el nombre del empleado que contactó con usted. f. Si ha ejercitado ante la parte reclamada -QUALITY - los derechos de acceso, rectificación, supresión u oposición, aporte copia del documento a través del cual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/52 ejercitó sus derechos, así como el documento que acredite el envío y la recepción. Igualmente, deberá facilitar la respuesta que hubiera recibido de la parte reclamada. g. Documentación relativa a cualquier contacto o comunicación que hubiera mantenido con QUALITY, sea a través de internet, SMS, correo postal o por otro medio del que conserve soporte documental. h. Cualesquiera otras capturas de pantalla con sus datos personales -como la remitida a esta Agencia anexa a su reclamación- o documento relacionado con el tratamiento de sus datos personales efectuado por la parte reclamada. i. Cualquier otra información y documentación que considere oportuno facilitarnos, distinta de la que refieren los apartados precedentes, que obre en su poder y esté relacionada con los hechos sobre los que versa la reclamación. El escrito de solicitud de prueba dirigido a la parte reclamante se notifica siendo la fecha de puesta a disposición el 04/12/2024 y la fecha de aceptación el 06/12/2024 (folio 196). En fecha 20/01/2025 no se ha recibido una respuesta de la reclamante a las pruebas solicitadas. 3.-Mediante Diligencia firmada por el órgano instructor el 04/12/2024 se incorporan al expediente administrativo diversas capturas de pantalla relativas a la inscripción de QUALITY en el Registro Mercantil. Según la información que consta en ellas el domicilio social de la parte reclamada es calle Goya número 18, planta 5ª, Madrid. Como Administrador único de la mercantil figura “Lotengotodo, S.L.” El CNAE en el que está inscrita es el 6209 “Los servicios relacionados con las tecnologías de la información y la informática”. 4.-Mediante Diligencia firmada por el órgano instructor el 04/12/2024 se incorporan al expediente administrativo diversas capturas de pantalla obtenidas en fecha 03/12/2024 desde la página web “inglobaly.com/index.jsf”. De la información que consta en ellas destacamos la siguiente: Bajo el nombre comercial de Inglobaly la página web informa de la prestación de un servicio de información de datos: “Todos los datos que necesitas cuando lo necesitas”, “Busca, encuentra y conoce”. Informa de la prestación de servicios tanto en línea como fuera de línea. Entre los primeros menciona los siguientes: (
14. i)“Seguimiento”, “Servicio de seguimiento y contacto on-line”; (
15. ii)“Apariciones”, “Servicio on-line de apariciones de boletines públicos”; (iii) “Antifraude”, “Validación de identidad en línea para comprobar la autenticidad de los datos”. Para acceder a la información de datos que ofrece Inglobaly es preciso identificarse mediante usuario y contraseña. El “Aviso Legal” de la página web, epígrafe 1, “Datos identificativos”, indica que la empresa titular de ese sitio web es QUALITY PROVIDER, S.A., con NIF A87407243. Tanto en este epígrafe como como directamente en una de las capturas de pantalla obtenidas consta como domicilio social la dirección de calle Goya número 18, planta 5ª, Madrid; (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/52 OCTAVO: Solicitud de copia del expediente En sus alegaciones al acuerdo de inicio QUALITY solicita que se le entreguen todos los documentos del presente expediente sancionador y que se le haga entrega además de todos los documentos que en el futuro se generen. Mediante escrito firmado por el órgano instructor en fecha 23/02/2024, notificado el mismo día, notificación que consta aceptada por la reclamada en la misma fecha, se le da traslado de la copia del expediente. NOVENO: Propuesta de resolución La propuesta de resolución se firma por el órgano instructor en fecha 29/01/2025 y se formula en estos términos: “1.- Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a QUALITY-PROVIDER S.A., con NIF A87407243, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
16. a)del RGPD, con una multa de 30.000€ (treinta mil euros). 2.- Que, por la Presidencia de la Agencia Española de Protección de Datos, se ordene a QUALITY-PROVIDER S.A., con NIF A87407243, que, en virtud del artículo 58.2.
17. d)del RGPD, en el plazo de un mes desde que la resolución sancionadora que se dicte fuera ejecutiva, acredite ante esta Agencia que ha procedido a la supresión de los datos personales de la parte reclamante. “ La notificación de la propuesta de resolución, efectuada el 29/01/2025, es aceptada por QUALITY el mismo día. DÉCIMO: Entrega a QUALITY de la documentación del expediente administrativo Mediante escrito de fecha 30/01/2025, cuya notificación consta aceptada por la parte reclamada el mismo día, se remite a QUALITY (ex artículo 53.1.a, LPACAP) una copia de los documentos que integran el expediente generados con posterioridad al primer traslado de la documentación, que se efectuó el 23/02/2024, habida cuenta de que en su escrito de alegaciones al acuerdo de inicio solicitó que se le hiciera entrega de toda la documentación que se generase en el futuro en el curso del procedimiento. UNDÉCIMO: Alegaciones a la propuesta de resolución Habiendo sido notificada la propuesta de resolución en fecha 29/01/2025, el plazo de diez días hábiles que se otorgó para formular alegaciones finalizó el 12/02/2025. Cumplido sobradamente el plazo para evacuar el trámite, la parte reclamada presenta sus alegaciones a la propuesta de resolución en fecha 17/02/2024. En ellas manifiesta expresamente que reitera y se ratifica “en los anteriores escritos presentados”. Las únicas novedades que incorporan sus alegaciones a la propuesta en relación con las alegaciones al acuerdo de inicio son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/52 -Dice que “Han pasado desde 23/02/2024 hasta la fecha 25/01/2025 casi un año sin realizar nada, ni solicitar pruebas, ni contactar con la demandante, etc., solo consultar el registradores.org que es ONLINE”. -Menciona la página 22 del expediente administrativo -en la que consta el justificante del registro de salida de la AEPD de un escrito dirigido a la reclamante comunicándole la admisión a trámite de su reclamación- del que dice recoge el certificado expedido por el servicio de Soporte del Servicio de Notificación Electrónica y Dirección Electrónica Habilitadas de la FNMT (documento que realmente figura en la página 23) que certifica que la comunicación remitida por la AEPD a la parte reclamante con fecha de puesta a disposición el 23/02/2023 ha sido rechazado automáticamente el 06/03/2023. -Menciona el Real Decreto 389/2021, de 1 de julio, por el que se aprueba el Estatuto de la AEPD, y en particular su Disposición Adicional única “Supresión de órganos directivos” y dice seguidamente: “Por consiguiente; los cargos referenciados no existen, quedan suprimidos. Carecen de validez de Inspección de Datos y el cargo de Directora deja de existir. Nos encontramos ante un fraude Ley.” - Se refiere a la medida correctiva que se propuso imponer a esa parte en aplicación del artículo 58.2.
18. d)RGPD, consistente en acreditar en el plazo de un mes que ha procedido a la supresión de los datos personales de la parte reclamante. En relación con ella alude a un correo electrónico que, según manifiesta, QUALITY habría enviado a la parte reclamante y al inspector actuante 1 (…). Correo electrónico sobre el cual no se dice nada en el Informe de Investigación Previa, ni figura incluido entre los documentos generados en el curso de las actuaciones de inspección, ni hasta el momento la reclamada había hecho mención a él en ninguno de sus escritos precedentes. Transcribe el texto de ese mensaje electrónico, que no aporta y sobre el cual comenta que lo aportará en el recurso contencioso administrativo. QUALITY manifiesta: “Respecto de la medida propuesta por la Instructora, debe desconocer que este e-mail con su contenido y una vez conocidos sus datos proporcionados por la AEPD, procedimos a su baja en la fecha indicada 27 de Febrero de 2024, con copia a R.R.R.. Su medida está fuera de lugar. Debe informarse bien y documentarse mejor. -Debería conocer que existen Indicaciones de la Comisión Europea, donde les obliga a la AEPD a la colaboración con el responsable del fichero, no a la ocultación de datos. Estos documentos los aportaremos en el Recurso de Contencioso Administrativo. De: DPO Quality-Provider <dpo@qualityprovider.net> Date: mar, 27 feb 2024, 16:54 Subject: TUTELA DE DERECHOS To: <***EMAIL.2> QUALITY PROVIDER SA, C/ Goya número 18 5 planta izqda. 28001 – Madrid. Madrid, 27 de Febrero de 2024 Estimada Señora: Es una pena el tiempo perdido por Usted, ante la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/52 Si se hubiera dirigido a nosotros directamente con su identificación, INDICANDO su número de DNI, se hubiera procedido a LA CANCELACIÓN DE SUS DATOS PERSONALES. Nos hemos enterado de sus datos, porque vienen expuestos, en el Expediente Sancionador de la AEPD. Por ello, hemos procedido a identificarla y una vez realizada la comprobación procederemos a la cancelación de los mismos. No consta ningún requerimiento por su parte en nuestro buzón de denuncias. Estos son los datos facilitados por la AEPD. Un saludo. Dpto. Jurídico. ***EMAIL.2 PERSONA FÍSICA Nombre A.A.A. Apellidos A.A.A. Documento Identificativo **NIF.2 País (…)”. -Indica que la parte reclamante no se ha dirigido a QUALITY como tampoco ha respondido a esta Agencia y, a fin de ilustrar su comentario, reproduce de nuevo la mención incluida en el certificado expedido por el servicio de Soporte del Servicio de Notificación Electrónica y Dirección Electrónica Habilitadas de la FNMT -relativa a la comunicación que la AEPD hizo a la parte reclamante de la admisión a trámite de la reclamación- en la que consta como fecha de puesta a disposición el 23/02/2023 y el rechazo automático el 06/03/2023. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante manifiesta en la reclamación presentada en la Agencia Española de Protección de Datos (AEPD) el 21/11/2022 que QUALITY PROVIDER, S.A., con NIF A87407243, utiliza y hace públicos sin su consentimiento sus datos personales: nombre, dos apellidos, NIF y su antiguo domicilio. Añade que este tratamiento ha permitido que acceda a sus datos personales la empleada de una inmobiliaria, quien ha contactado con ella a través de una red social personal. (Folios 1 a 3) SEGUNDO: Queda acreditado que los datos personales de la parte reclamante figuran en la captura de pantalla obtenida el 21/11/2022, a las 18.15 horas desde “inglobaly.com”, que obra en el expediente. (Folio 4) Queda acreditado que la información que consta en la captura de pantalla aportada es la siguiente: -Aparece como “usuario activo” de la citada aplicación de Inglobaly “***EMAIL.1”. -En la línea superior de la imagen capturada de la página de la aplicación figura la indicación “INGLOBALY”. -Al pie aparece “INGLOBALY” y junto a ella la leyenda “Quality Provider, S.A. Calle Goya 18, 5º izq. 28001 Madrid Tel (+34)910 052 833 I email: support@inglobaly.com”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/52 -En la página de la aplicación cuya imagen se captura se visualizan cinco pestañas, de izquierda a derecha: “Inicio”, “Domicilios”, “Autónomos”, “Multas”, “Boletines”, “BORME”, “Teléfonos”, “Vinculaciones” y “Consumos”. -Está activada la pestaña “Domicilios” y muestra el resultado de una búsqueda efectuada por el dato de la dirección de ***DIRECCIÓN.1. La información que arroja es la siguiente: “***DIRECCIÓN.1 Personas conviviendo en este domicilio:” - En el epígrafe destinado a las “personas que conviven en el domicilio” la captura ofrece diversa información que agrupa en estas columnas: “Apellidos, nombre”, “Población de nacimiento”; “Provincia de nacimiento”; “NIF” y “Año de nacimiento”. -La imagen de la página de la aplicación muestra estos resultados de la búsqueda: -En la primera línea consta: “B.B.B.”; “(…)”; “***NIF.1”; ***FECHA.1. -En la segunda línea: “A.A.A.”; “(…)”; “***NIF.2”; “***FECHA.2”. - Al final de la captura de pantalla consta una leyenda con esta indicación: “Teléfonos en domicilio No se han encontrado teléfonos en este domicilio a nombre de las personas que conviven en él”. TERCERO: Queda acreditado que el titular del sitio web Inglobaly es QUALITY PROVIDER, S.A.; que ese sitio web presta servicios de información de datos y que para acceder a la información de datos que ofrece Inglobaly es preciso identificarse mediante usuario y contraseña. - Obran en el expediente capturas de pantalla obtenidas en fecha 03/12/2024 desde la página web “inglobaly.com/index.jsf”, entre ellas la relativa al “Aviso Legal” de la página web que, en su epígrafe 1, “Datos identificativos”, indica que la empresa titular de ese sitio web es QUALITY PROVIDER, S.A., con NIF A87407243 y domicilio social en la calle Goya número 18, planta 5ª, Madrid. (Folios 207 a 210) -Las capturas muestran que en la página web de Inglobaly se informa de la prestación de un servicio de información de datos. Que consta la leyenda “Todos los datos que necesitas cuando lo necesitas”, “Busca, encuentra y conoce”. Que informa de la prestación de servicios tanto en línea como fuera de línea. Entre los primeros menciona los siguientes: (
19. i)“Seguimiento”, “Servicio de seguimiento y contacto online”; (
20. ii)“Apariciones”, “Servicio on-line de apariciones de boletines públicos”; (iii) “Antifraude”, “Validación de identidad en línea para comprobar la autenticidad de los datos”. -En las capturas de pantalla obtenidas desde el portal Inglobaly.com aparece una leyenda resaltada en rojo que dice “El campo usuario no puede estar vacío”, seguida de dos campos en blanco precedidos, respectivamente, de estas indicaciones “Acceso” y “Contraseña”. CUARTO: Queda acreditado que en la captura de la aplicación de Inglobaly remitida por la parte reclamante, descrita en el Hecho Probado primero, el campo “usuario activo” incluye este dato: “***EMAIL.1”. (Folio 4) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/52 El dominio “***DOMINIO.1” se utiliza por ***EMPRESA.1, con NIF ***NIF.3, una empresa inmobiliaria con domicilio social en Madrid, calle Castelló número 41. QUINTO: QUALITY no respondió a ninguna de las preguntas que le formuló la Subdirección General de Inspección de Datos (SGID) de la AEPD con ocasión del traslado de la reclamación (Folios 5 y 6). En su respuesta (folios 15 a 18) QUALITY exigió que la AEPD le facilitara una copia del DNI de la parte reclamante, argumentando que sin ese documento no podía identificarla, pese a que en la documentación remitida se incluía su nombre, dos apellidos y NIF. En su escrito de respuesta hizo, además, estas manifestaciones: -Que “se encuentra imposibilitada para aportar información relativa a este expediente toda vez que la reclamante no aporta fotocopia del documento nacional de identidad a los efectos de poder identificarla, lo que impide a esta parte conocer e identificar fehacientemente de qué persona física se trata y, por tanto, impide conocer de qué datos se trata.” -Invocó los artículos: (
21. i)12.2 del RGPD que, según dice, “estipula que el responsable del tratamiento no podrá negarse a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado”. (
22. ii)12.6 del RGPG que, según dice, recoge que “cuando el responsable del tratamiento tenga dudas razonables en relación a la identidad de la persona física solicitante o reclamante, podrá solicitarle que facilite la información adicional necesaria para confirmar la identidad del interesado.” -Que “no tiene ningún inconveniente en colaborar con dicho Organismo [la AEPD] y se pone a su disposición, pero siempre que se cumpla con el Reglamento Europeo de Protección de Datos y LOPDGDD.” - Que la parte reclamante nunca se dirigió a ella para ejercer sus derechos de protección de datos, de lo que concluye que “por consiguiente, es imposible que sus datos puedan ser cancelados.” -Que QUALITY “no es ningún portal” sino una “empresa de servicios comerciales” y que “tampoco cualquier persona puede acceder a él, si no utiliza usuario y contraseña y por contrato le queda prohibido a cualquier inmobiliaria ceder datos a terceros, sólo pueden visualizarlos.” -Que “Los datos que presuntamente figuran en nuestra web, son públicos y por tanto, no REQUIEREN CONSENTIMIENTO ALGUNO.” (El subrayado es nuestro) SEXTO: Queda acreditado que en la inscripción en el Registro Mercantil de QUALITYPROVIDER, S.A., con NIF A87407243, consta como domicilio social la calle Goya número 18, planta 5ª, Madrid y como CNAE el 6209, “Los servicios relacionados con las tecnologías de la información y la informática”. (Folios 201 y 202) SÉPTIMO: El Informe de Actuaciones Previas de Investigación acredita que en fecha 15/03/2023, a las 10:00 horas, se personan dos inspectores de la AEPD en la sede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/52 social de QUALITY, ubicada en la Calle Goya 18, 5º izquierda, al objeto de realizar una inspección. Consta en dicho Informe que la persona situada en el mostrador de la recepción declaró que no tenía nada que ver con QUALITY. Que en el lugar se alquilan oficinas para eventos a diferentes empresas entre las que se encuentra QUALITY. Consultado cada cuanto tiempo mantiene la empresa QUALITY reuniones en estas salas, el interlocutor informó de forma imprecisa que cada varios meses. Consta que los inspectores comunicaron a su interlocutor que la entidad QUALITY fue informada de la visita de inspección en fecha 08/3/2023, a las 11:44, mediante una llamada telefónica al número ***TELÉFONO.1, respondiendo el interlocutor que QUALITY le había comunicado que se había puesto en contacto con la AEPD para cancelar la inspección. Consta en el Informe que los inspectores no tenían noticia de llamada ni correo alguno en tal sentido. (Folios 36 y 37) OCTAVO: Queda acreditado que QUALITY manifestó su intención de negar a los inspectores el acceso a su sede social con ocasión de la cita de inspección a la que fue convocada para el día 27/03/2023. -Obra en el expediente un escrito presentado por QUALITY en fecha 22/03/2023 (folios 33 a 35) mediante el que responde a otro de fecha 15/03/2023 en el que la Inspección de Datos le comunica una próxima inspección en su sede social que se efectuaría el 27 de marzo a las 10 horas y en la que debía estar presente el representante legal de la entidad. - QUALITY hace en él, entre otras, estas manifestaciones: * Que el Administrador de la sociedad se acoge al derecho a no declarar. * Que “tanto el Administrador de la sociedad, como el Dpto. Jurídico de esa empresa procederán a asistir a la convocatoria del día 27 de Marzo del 2023 a las 10h., […] NO PERMITIREMOS LA ENTRADA AL DOMICILIO A LOS INSPECTORES DE LA AEPD, por los siguientes y claros motivos”. * “Advierto, no van [a] acceder a ningún dato, tampoco les proporcionaré información alguna. NO ESTÁN AUTORIZADOS POR EL REAL DECRETO MENCIONADO. Toda la colaboración la expondremos en SEDE JUDICIAL. Advierto con antelación, que dichos Inspectores, no se les permitirá el acceso a la sede social de la empresa y serán grabados, por si vuelven a difamar o insultar.” NOVENO: Queda acreditada que, respecto al origen de los datos tratados, QUALITY ha manifestado en sus alegaciones al acuerdo de inicio (folio 86 del expediente): “La fijación individual de una multa debe basarse siempre en una evaluación humana de todas las circunstancias pertinentes del caso y debe ser eficaz, proporcionada y disuasoria en relación con ese caso concreto. Primero. - Qué los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/52 Por consiguiente, la valoración realizada por este Organismo, para la imposición de la sanción, NO TIENE EN CUENTA LOS DAÑOS CAUSADOS (NINGUNO) ASÍ COMO LA CATEGORÍA Y OBTENCIÓN DE LOS DATOS DEL DENUNCIANTE (PUBLICOS), están realizando una pésima valoración de los presentes Artículos 82.1 y 83.2 del Reglamento General de Protección de Datos Europeo.” (El subrayado es nuestro) DÉCIMO: En sus alegaciones al acuerdo de inicio QUALITY afirma sobre las capturas de pantalla (folios 71 y 72): “Respecto de los pantallazos, que la Instructora, se basa sobre un supuestos, pero su teoría acaba desmontada por una Sentencia de la Audiencia Provincial de Madrid de fecha 11 de Noviembre de 2022 que dice lo siguiente: “No es suficiente para acreditar el pago de una indemnización a un asegurado el “pantallazo” aportado por la compañía aseguradora”. “*Los pantallazos carecen de valor probatorios, son manipulables y no son considerados pruebas fehacientes, en los tribunales españoles y europeos.” UNDÉCIMO: En sus alegaciones al acuerdo de inicio QUALITY afirma que: -La normativa aplicable no es el RGPD ni la LOPDGDD sino la Directiva 2019/1937. (Folio 62 y 63) -“La denunciante en ningún momento se ha dirigido QUALITY PARA REALIZAR SU TUTELA DE DERECHOS, no consta en nuestro BUZÓN DE DENUNCIAS reclamación alguna.” (Folio 61) -“Analizando propio relato del instructor del expediente, hablamos sencillamente de un derecho de cancelación de datos personales, que se intenta ejercer de forma anónima. Por los mecanismos de la Directiva, el administrador del canal, que recordemos, por mor de esta es externo, independiente y autónomo, tal y como al mismo ha comunicado la propia Unión europea, pide al denunciante que se identifique para proceder a la cancelación.” (Folio 65) - “En ese caso, desconociendo la norma, el denunciante decidió traspasar su denuncia a la Autoridad de Control española, la AEPD.” (Folio 65) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/52 II Cuestiones previas En el supuesto de hecho analizado, a tenor de lo establecido en los artículos 4.1 y 4.2 del RGPD, consta que QUALITY, en el desarrollo de su actividad empresarial, trata datos de carácter personal y que en ese marco ha llevado a cabo un tratamiento de datos personales que conciernen a la parte reclamante: nombre y apellidos, NIF, fecha y lugar de nacimiento y antiguo domicilio. El artículo 4.2. del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El artículo 4.7 del RGPD define al responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En virtud del artículo 4.7 del RGPD QUALITY tiene la condición de responsable del tratamiento de datos de la parte reclamante que es objeto de valoración, pues es esta entidad quien determinó los fines y los medios de la operación de tratamiento. La condición de responsable obliga a QUALITY a cumplir los principios que presiden todo tratamiento de datos personales y a adecuar su actuación a las obligaciones que le imponen el RGPD y la LOPDGDD. III Sobre las alegaciones de QUALITY al acuerdo de inicio y a la propuesta de resolución A.-En respuesta a las alegaciones presentadas por la entidad reclamada en el trámite de alegaciones al acuerdo de inicio se debe señalar lo siguiente: QUALITY ha invocado en su escrito de alegaciones múltiples objeciones frente al acuerdo de inicio, tanto de carácter formal como de carácter material, algunas de las cuales, de prosperar, podrían llegar a determinar la nulidad o anulabilidad del procedimiento a tenor de los artículos 47.1., letras
23. a)
24. b)y
25. e)y 48 de la LPACAP. En el Antecedente séptimo de esta resolución se reproduce lo esencial de las alegaciones formuladas. Nos remitimos a él para evitar reiteraciones innecesarias, de modo que en el presente Fundamento de Derecho se transcriben sus alegaciones sólo en la media indispensable para poder responder a ellas. 1.- QUALITY plantea, bajo la rúbrica “Respecto de la Agencia Española y su vigencia”, que la Directora de la Agencia firmó el acuerdo de inicio del expediente sancionador “de forma ilegal e irregular.” Sostiene que el “cargo de directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/52 Española de Protección de Datos, desaparece de forma irreversible con el Real Decreto 389/2021, de 1 de Junio, por el que se aprueba el Estatuto de la AEPD”. Considera que la firma fue irregular porque su cargo estaba caducado, ya que fue nombrada en fecha 15/07/2015 por el Real Decreto 715/2015 (BOE de 25/07/2015), por lo que, teniendo su cargo una duración de 5 años -dice la reclamada-, terminó el día 24/07/2020 y “al no haberse producido ninguna reelección o publicación en el BOE, está ejerciendo su cargo en fraude de Ley.” En definitiva, la cuestión que aduce QUALITY es la falta de competencia de la Directora de la Agencia; falta de competencia que de llegar a concurrir determinaría la nulidad del acuerdo de inicio a tenor del artículo 48.1.
26. b)de la LPACAP que dispone que son nulos de pleno Derecho los actos “dictados por órgano manifiestamente incompetente por razón de la materia o del territorio.” Ahora bien, sobre este asunto se ha pronunciado en diversas ocasiones la Audiencia Nacional, Sala de lo Contencioso-Administrativo, que en respuesta a argumentos idénticos a los que aquí se invocan de contrario ha considerado que la Directora de la Agencia era plenamente competente para dictar el acuerdo de inicio y la resolución recaída en el procedimiento sancionador cuya validez se cuestionaba habida cuenta de que, el hecho de que hubiera sido nombrada por un periodo de cuatro años, no implicaba que cuando se cumpliera tal plazo su cargo dejase automáticamente de tener efectividad y de tener funciones o competencia alguna, pues eso no se desprende ni de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), vigente cuando fue nombrada, ni de la LOPDGDD. La SAN de 15/10/2024, Rec.796/2022, dice en su Fundamento Jurídico segundo: “Cuestión cuya resolución exige partir del artículo 53. 3 del RGPD, en cuanto indica que los miembros de la autoridad de control “darán por concluidas sus funciones en caso de terminación del mandato, dimisión o jubilación obligatoria, de conformidad con el Derecho del Estado miembro de que se trate”. En el ámbito interno, el artículo 36.1 de la Ley Orgánica 15/1999, de 13 de diciembre (LOPD), que es la normativa vigente cuando se efectúa el nombramiento de la Directora de la AEPD, establece que el Director de la AEPD será nombrado mediante Real Decreto, por un periodo de cuatro años y el apartado 3 del mismo precepto, que antes de la expiración de dicho plazo, el Director de la AEPD solo cesará, a petición propia o por separación acordada por el Gobierno por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso. Es decir, transcurrido ese término de cuatro años, el Gobierno puede cesar al Director sin necesidad de causa, pero ello no implica que cuando se cumpla tal plazo, su cargo deje automáticamente de tener efectividad y de tener funciones o competencia alguna, pues eso no se desprende ni de la citada LOPD, ni tampoco de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de Derechos Digitales, cuyo artículo 48 regula la Presidencia de la AEPD. Así se ha entendido y se ha venido haciendo por todos los Gobiernos que expresamente cesan a los Directores de la AEPD mediante Real Decreto, aun cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/52 su nombramiento hubiera expirado por transcurso del plazo de cuatro años, sin que sus cargos dejasen de tener efectividad, en funciones, hasta sus respectivos ceses y los coetáneos nombramientos de sus sucesores en el cargo, para evitar vacíos en la institución. Ello de conformidad con los principios de responsabilidad y continuidad de las instituciones, para evitar que las mismas queden inoperativa cuando no se ha producido el nombramiento en el cargo de una nueva persona. El legislador podía haber establecido expresamente la previsión automática de decaimiento del cargo en el momento del cumplimiento del plazo, pero no lo ha hecho así ni en la LOPD ni en la vigente LOPDGDD, ni tampoco en el RD 389/2021, de 1 de junio de 2021, por el que se aprueba el Estatuto de la AEPD, que precisamente en el artículo 12.3 dispone que “la persona titular de la Presidencia cesante continuará en funciones hasta la toma de posesión de la nueva persona titular de la Presidencia”, sin establecer limitación alguna en cuanto al ejercicio de sus competencias durante el periodo en funciones. Por lo que, no habiéndose fijado limitaciones a la actuación del Director de la AEPD en funciones, a diferencia de lo que, a título de ejemplo, sucede en el artículo 21.2 de la Ley 50/1997, de 27 de noviembre, del Gobierno, que establece que el Gobierno “continúa en funciones hasta la toma de posesión del nuevo Gobierno, con las limitaciones establecidas en esta Ley”, la Directora de la AEPD ostenta competencia para dictar la resolución impugnada, así como el acuerdo de inicio del procedimiento sancionador. Por lo que no cabe tildar de inexistente la condición en virtud de la cual la Directora de la AEPD dictó el acto recurrido.” (El subrayado es nuestro) Por tanto, el argumento invocado debe rechazarse. 2.-QUALITY formula sus alegaciones frente al acuerdo de inicio partiendo de dos presupuestos erróneos, relativos a (
27. i)la normativa aplicable y (
28. ii)a la calificación jurídica de los hechos. (
29. i)Sostiene que la normativa aplicable a los hechos sobre los que versa el presente expediente sancionador está constituida por la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23/10/2019, “relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión” (D.O.U.E.L. de 26/11/2019), conocida popularmente como Directiva whistleblowing. Es llamativo que la reclamada no mencione en sus alegaciones la ley nacional de transposición, toda vez que la Directiva, como regla general, no es directamente aplicable en los Estados miembros de la Unión. La norma que transpuso al Derecho interno español la Directiva mencionada es la Ley 2/2023, de 20 de febrero, “reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción”, publicada en el BOE el 13/03/2023. Frente a la tesis que la parte reclamada defiende insistentemente debemos subrayar que la Directiva (UE) 2019/1937 no “cambia de arriba abajo el RGPD, y por tanto convierte también la LOPDGDD en algo desactualizado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/52 La Ley de transposición 2/2023 afecta a la LOPDGDD únicamente en uno de sus artículos (a través de su Disposición Final séptima), el artículo 24, “Tratamiento de datos para la protección de las personas que informen sobre infracciones normativas”. Así pues, el tratamiento de datos sobre el que versa el presente procedimiento se rige por el RGPD y la LOPDGDD y no resulta de aplicación la Directiva (UE) 2019/1937 ni la ley nacional de transposición. (
30. ii)El segundo punto de partida erróneo en el que incurre QUALITY es obviar la calificación jurídica de los hechos incluida en el acuerdo de inicio, que apreció una presunta infracción del artículo 6.1. del RGPD. La entidad sostiene que la parte reclamante, a través de su reclamación, pretendió una suerte de cancelación de datos de la que dice “que se intenta ejercer de forma anónima” y que considera que se rige por la Directiva (UE) 2019/1937. Dice sobre ese particular en sus alegaciones al acuerdo de inicio: “Analizando propio relato del instructor del expediente, hablamos sencillamente de un derecho de cancelación de datos personales, que se intenta ejercer de forma anónima. Por los mecanismos de la Directiva, el administrador del canal, que recordemos, por mor de esta es externo, independiente y autónomo, tal y como al mismo ha comunicado la propia Unión europea, pide al denunciante que se identifique para proceder a la cancelación.” (El subrayado es nuestro) Indica también que “En ese caso, desconociendo la norma, el denunciante decidió traspasar su denuncia a la Autoridad de Control española, la AEPD.” Alega además que “La denunciante en ningún momento se ha dirigido QUALITY PARA REALIZAR SU TUTELA DE DERECHOS, no consta en nuestro BUZÓN DE DENUNCIAS reclamación alguna.” La tesis de la reclamada de que la parte reclamante solicitó a través de su escrito de reclamación una tutela de derechos, en particular la “cancelación” de sus datos, es la misma que QUALITY mantuvo en un escrito anterior: en la respuesta al traslado de la reclamación que le dirigió la SGID. En tal escrito justificó en el hecho de que la AEPD no le hiciera entrega de la copia del DNI de la parte reclamante su negativa a responder a las cuestiones que la SGID le planteó, argumentando que la reclamante no estaba identificada; eso pese a que se le proporcionaron en el traslado los datos de nombre, apellidos y NIF. Pese a las objeciones de la parte reclamada, los términos de la reclamación presentada son muy claros y no se refieren ni directa ni indirectamente a una solicitud de cancelación de datos. La parte reclamante se limita a afirmar que QUALITY trató sus datos sin contar con su consentimiento y a aportar un documento que así lo acredita. Cabe añadir que el acuerdo de inicio del procedimiento no dice nada, en ninguno de sus párrafos, que pudiera inducir a confusión en el sentido invocado por QUALITY, esto es, que la reclamante hubiera solicitado la cancelación (actualmente “supresión”) de sus datos. La calificación de los hechos como una presunta infracción del artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/52 6.1 RGPD se explica en el Fundamento jurídico III y así consta en la parte dispositiva del acuerdo de apertura. De lo anterior resulta que carece de trascendencia el argumento que la parte reclamada ha invocado numerosas veces a tenor del cual la reclamante no se dirigió a ella ejercitando los derechos reconocidos en los artículos 15 a 22 de la LOPDGDD, pues, dice, no consta en su “buzón de denuncias” ninguna reclamación. La parte reclamante se dirigió a la AEPD que es la autoridad competente para conocer de los hechos objeto de su reclamación: el tratamiento de sus datos personales sin un fundamento jurídico adecuado conforme al RGPD y no, como sostiene QUALITY, la cancelación/ supresión de sus datos. Cuestión distinta, y que nada tiene que ver con la pretendida solicitud de tutela de derechos (la cancelación de datos invocada) es que el acuerdo de inicio -Fundamento IV, “Adopción de medidas”- mencione como medidas correctivas que podrían imponerse a QUALITY a tenor del artículo 58.2.
31. d)del RGPD, en caso de confirmarse la infracción del principio de licitud, la obligación de proceder a la supresión de los datos personales respecto de los que no estuviera en condiciones de poder acreditar que el tratamiento estaba fundado en alguna de las bases de licitud que taxativamente establece el artículo 6.1 del RGPD. Recordamos que el artículo 17 del RGPD, “Derecho de supresión («el derecho al olvido»)”, dispone: “1.El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: […]
32. d)los datos personales hayan sido tratados ilícitamente”. (El subrayado es nuestro) Por las razones expuestas, el planteamiento que la parte reclamada defiende sobre la norma jurídica aplicable y sobre el objeto de la reclamación no puede prosperar. 3.- Considera “nulo de pleno derecho” el acuerdo de admisión a trámite de la reclamación. En tal sentido, QUALITY ha manifestado: “La Administración no se puede escudar en el silencio administrativo para incumplir una obligación, como es en el caso de la denunciante, donde se le dice, QUE PASADOS SEIS MESES SIN RESPUETA DE LA AEPD a su denuncia, se entiende por ADMITIDA A TRAMITE, por SILENCIO ADMINISTRATIVO. Dicho ACTO ES NULO DE PLENO DE DERECHO y más cuando luego produce una UN EXPEDIENTE SANCIONADOR. (REMITIMOS RESUMEN DE SENTENCIA DEL TRIBUNAL SUPREMO ESPAÑOL)” Sobre esa cuestión, y en contra de lo invocado de contrario, debemos subrayar que la AEPD “no se escuda en el silencio administrativo para incumplir una obligación”. De escudarse en algo es en la Ley, pues no hace sino cumplir las previsiones legales sobre la materia, en particular la previsión del artículo 65 de la LOPDGDD. Este precepto, que lleva por rúbrica “Admisión a trámite de las reclamaciones”, contempla expresamente en su apartado 5 que la AEPD deberá proseguir la tramitación del expediente si no se hubiera notificado a la parte reclamante la admisión a trámite de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/52 reclamación transcurridos tres meses desde que la reclamación entró en el registro de la AEPD: “5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” (Redacción vigente en la fecha de los hechos, anterior a la reforma operada por la Ley 11/2023, de 8 de mayo, (BOE de 9 de mayo) (El subrayado es nuestro) Así pues, tampoco la objeción analizada en este epígrafe puede prosperar. 4. Bajo la rúbrica “Incoación del expediente fuera de plazo” QUALITY hace, entre otras, estas afirmaciones: “La denuncia tiene fecha de 21/11/2022 ante la AEPD, ésta, da trámite al Expediente Sancionador en fecha 20 de febrero de 2024, por consiguiente, nos encontramos que ha transcurrido más de un AÑO, qué significado tiene que dicho procedimiento se encuentra CADUCADO cuando se inicia el EXPEDIENTE SANCIONADOR.” (El subrayado es nuestro) Menciona los artículos artículo 21.1 de la LPACAP - “La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación”- y 25.1.b -“En los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver. […] b: “En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95”. Aunque la parte reclamada ha invocado en apoyo de esta pretensión los artículos 21.1 y 25.1.
33. b)de la LPACAP, tales disposiciones no resultan de aplicación a la caducidad que pretende hacer valer. Esto, porque resulta obvio que no se está refiriendo a una “caducidad del procedimiento” por cuanto la alegación se hace en el trámite de alegaciones al acuerdo de inicio y la caducidad del procedimiento se origina cuando, iniciado éste, la Administración no dicta una resolución expresa dentro del plazo máximo de duración establecido. Ese y no otro es el supuesto de hecho contemplado en los preceptos de la LPACAP que la reclamada menciona (artículos 21.1 y 25.1.
34. b)La “caducidad” que la reclamada invoca en sus alegaciones al acuerdo de inicio es la que, a su entender, habría impedido que se iniciara el procedimiento sancionador; una suerte de caducidad de la acción. En palabras del artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (RLOPD),que no ha sido derogado y que continúa vigente en todo lo que no contradiga al RGPD o a la LOPDGDD, la “caducidad de las actuaciones previas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/52 El artículo 122 del RLOPD, bajo la rúbrica “Iniciación”, dice: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. […] 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” (El subrayado es nuestro) Sin embargo, a diferencia de lo que QUALITY sostiene, cuando se dictó y notificó el acuerdo de inicio del procedimiento sancionador que examinamos -el 20/11/2022- no se había producido la caducidad que impidiera su apertura. A ese respecto son de aplicación las siguientes disposiciones de la LOPDGDD, en la redacción vigente en esa fecha, antes de la reforma operada por la Ley 11/2023, de 8 de mayo, (BOE de 9 de mayo): -El artículo 65 de la LOPDGDD, “Admisión a trámite de las reclamaciones”, dice en el punto 5 que: “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” (El subrayado es nuestro) -El artículo 67 de la LOPDGDD, “Actuaciones previas de investigación”, en la redacción vigente en esa fecha -antes de la reforma operada por la Ley 11/2023, que amplió de 12 a 18 meses el plazo máximo para practicar las actuaciones de investigación- establecía que: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/52 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” (El subrayado es nuestro) Del juego de los artículos de la LOPDGDD 63.2, 65.5. y 67 resulta que, el acuerdo de inicio del procedimiento debía dictarse y notificarse a la parte reclamada dentro de los doce meses concedidos para practicar las actuaciones de investigación previa -reiteramos, plazo vigente antes de la reforma operada a través de la Ley 11/2023 de 8 de mayo-. Plazo cuyo cómputo, a su vez, se inicia en la fecha en la que se acuerda la admisión a trámite de la reclamación. La reclamación tuvo entrada en la AEPD, el 21/11/2023 y la admisión a trámite el 21/02/2023. A partir de esa fecha se abre el plazo de doce meses para realizar las actuaciones de investigación y dentro de dicho plazo debía dictarse y notificarse el acuerdo de inicio. En el supuesto de hecho analizado, la AEPD debía dictar y notificar el acuerdo de inicio del expediente antes del día 21/02/2024; lo que efectivamente sucedió. El acuerdo se firmó por la Directora y se notificó el 20/02/2024 y la notificación fue aceptada por la parte reclamada en esa misma fecha, el 20/02/2024. En consecuencia, tampoco puede prosperar el argumento de la “Incoación del expediente fuera de plazo”. 5. QUALITY considera que el plazo máximo de duración del presente procedimiento -doce meses- del que se le informó en el acuerdo de inicio no es ajustado a Derecho. En defensa de esa posición reproduce en sus alegaciones el que denomina “Artículo 30. Procedimiento sancionador”, del que no específica a qué cuerpo legal pertenece. El artículo 30 citado en sus alegaciones no coincide con el artículo 30 de ninguno de los textos legales que se vienen mencionando: la LPACAP, la LOPDGDD o la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). Tampoco al RGPD. El “Artículo 30” que invoca -para cuya lectura nos remitimos al Antecedente séptimo de esta propuesta- sí incluye mezclados varios párrafos que corresponden a otros artículos de la LPACAP, entre ellos de su artículo 21. La LPACAP dispone en su artículo 21, con carácter general, que el plazo máximo de duración del procedimiento -plazo máximo en el que debe de notificarse la resolución expresa- es el que fije la norma reguladora del procedimiento y añade que no podrá exceder de seis meses. No obstante, la LPACAP prevé, entre otra, la siguiente excepción a esa regla general: que una norma con rango de Ley establezca un plazo mayor. Y eso es lo que hace el artículo 64.2 de la LOPDGDD, fijar un plazo de doce meses. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/52 La LOPDGDD establece en su artículo 63.2 que los procedimientos tramitados por la AEPD se rigen por el RGPD, por la LOPDGDD, por las disposiciones reglamentarias dictadas en su desarrollo y, “en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” En consecuencia, en lo que concierne al plazo de duración máxima del procedimiento tramitado frente a QUALITY, procedimiento que se encuentra regulado en la LOPDGDD, habrá que atenerse al plazo que señala esa Ley Orgánica 3/2018. En el presente caso el acuerdo de inicio se dictó y notificó el 20/02/2024, por tanto, cuando ya estaba vigente la reforma introducida en la LOPDGDD por la Ley 11/2023, de 8 de mayo. La redacción actual del artículo 64.2. de la LOPDGDD, párrafo cuarto, establece: “El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” A esos efectos debe tenerse en cuenta que la LOPDGDD regula dos tipos de procedimientos: (i)El que tiene por objeto exclusivamente la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, cuyo plazo máximo de duración es de seis meses (artículo 64.1 de la LOPDGDD) (ii)El que tiene por objeto determinar la posible existencia de una infracción del RGPD y de la LOPDGDD, cuyo plazo máximo de duración es de doce meses computados desde la fecha del acuerdo de inicio. Es este el procedimiento seguido frente a QUALITY a quien se atribuyó en el acuerdo de apertura una presunta infracción del artículo 6.1. del RGPD. Así las cosas, ninguna duda existe acerca de que el plazo máximo de duración del presente procedimiento es de doce meses computados desde la fecha de la firma del acuerdo de inicio, razón por la cual también este alegato de la reclamada debe rechazarse. 6. En defensa de su pretensión de archivo de este procedimiento la parte reclamada ha alegado la “Falta de motivación por parte de la AEPD en su resolución” (el subrayado es nuestro). Aduce que el presente procedimiento “carece de motivación por parte de la AEPD, tal y como marca la” LPACAP en su artículo 35, precepto que establece: “1. Serán motivados, con sucinta referencia de hechos y fundamentos de derecho:
35. a)Los actos que limiten derechos subjetivos o intereses legítimos.
36. b)Los actos que resuelvan procedimientos de revisión de oficio de disposiciones o actos administrativos, recursos administrativos y procedimientos de arbitraje y los que declaren su inadmisión.
37. c)Los actos que se separen del criterio seguido en actuaciones precedentes o del dictamen de órganos consultivos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/52
38. d)Los acuerdos de suspensión de actos, cualquiera que sea el motivo de ésta, así como la adopción de medidas provisionales previstas en el artículo 56.
39. e)Los acuerdos de aplicación de la tramitación de urgencia, de ampliación de plazos y de realización de actuaciones complementarias.
40. f)Los actos que rechacen pruebas propuestas por los interesados.
41. g)Los actos que acuerden la terminación del procedimiento por la imposibilidad material de continuarlo por causas sobrevenidas, así como los que acuerden el desistimiento por la Administración en procedimientos iniciados de oficio.
42. h)Las propuestas de resolución en los procedimientos de carácter sancionador, así como los actos que resuelvan procedimientos de carácter sancionador o de responsabilidad patrimonial.
43. i)Los actos que se dicten en el ejercicio de potestades discrecionales, así como los que deban serlo en virtud de disposición legal o reglamentaria expresa.” (El subrayado es nuestro) Del precepto transcrito resulta que la exigencia de motivación en el procedimiento sancionador se refiere a la propuesta de resolución y al acto que resuelve el procedimiento. Sin embargo, QUALITY ha invocado en el trámite de alegaciones al acuerdo de inicio, como un supuesto defecto de procedimiento en el que habría incurrido esta Agencia, la falta de motivación en la “resolución” dictada cuando aún no se ha llegado ese trámite procesal. Por tanto, resulta materialmente imposible que en la fase del procedimiento en la que formula tal alegación se hubiera podido vulnerar el artículo 35 de la LPACAP invocado, ya que el único trámite del procedimiento efectuado por esta Agencia era entonces el acuerdo de iniciación. Cabe añadir, por otra parte, que el contenido del acuerdo de inicio del procedimiento sancionador viene regulado en el artículo 64 de la LPACAP - Acuerdo de iniciación en los procedimientos de naturaleza sancionadora- y ,como puede comprobarse a la luz de esa disposición, el contenido del acuerdo que fue notificado a la parte reclamada cumplía las exigencias de ese precepto. El articulo 64 LPACAP dice: “1. El acuerdo de iniciación se comunicará al instructor del procedimiento, con traslado de cuantas actuaciones existan al respecto, y se notificará a los interesados, entendiendo en todo caso por tal al inculpado. Asimismo, la incoación se comunicará al denunciante cuando las normas reguladoras del procedimiento así lo prevean. 2. El acuerdo de iniciación deberá contener al menos:
44. a)Identificación de la persona o personas presuntamente responsables.
45. b)Los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción.
46. c)Identificación del instructor y, en su caso, Secretario del procedimiento, con expresa indicación del régimen de recusación de los mismos.
47. d)Órgano competente para la resolución del procedimiento y norma que le atribuya tal competencia, indicando la posibilidad de que el presunto responsable pueda reconocer voluntariamente su responsabilidad, con los efectos previstos en el artículo 85. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/52
48. e)Medidas de carácter provisional que se hayan acordado por el órgano competente para iniciar el procedimiento sancionador, sin perjuicio de las que se puedan adoptar durante el mismo de conformidad con el artículo 56.
49. f)Indicación del derecho a formular alegaciones y a la audiencia en el procedimiento y de los plazos para su ejercicio, así como indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada.” 7. Sostiene también QUALITY que en ningún caso se negó a colaborar con la AEPD y que los inspectores no acudieron a la cita de inspección que ellos mismos fijaron para el día 27/03/2023. Sobre ese particular basta hacer dos consideraciones: La primera, remitirnos al Informe de la Inspección de Datos, que refleja el resultado de la visita de inspección que llevaron a cabo en su sede social el 15/03/2023. La segunda, remitirnos al escrito que la parte reclamada dirigió a la Inspección en fecha 22/03/2023, en respuesta a una citación que le dirigieron el día 15/03/2023 -el mismo día y poco tiempo después del intento fallido de inspección a la que QUALITY había sido convocada- en la que se le informaba de una próxima visita de inspección a realizar en su sede social el 27/03/2023 a las 10 horas y se advertía que debía estar presente el representante legal de la entidad y que no atender los requerimientos de la Inspección podría constituir una infracción del RGPD. Nos remitimos al Hecho Probado octavo. Pues bien, QUALITY responde a la convocatoria de los inspectores en escrito de fecha 22/03/2023 en el que manifiesta que se acoge a su derecho a no declarar, que “Toda la colaboración la expondremos en SEDE JUDICIAL” y que no permitirá la entrada al domicilio a los inspectores de la AEPD. Por ello no puede aceptarse el alegato de la reclamada según el cual en ningún caso se negó a colaborar con los inspectores y que éstos no acudieron a la cita del 27/03/2023. 8. QUALITY sostiene que se ha incumplido “un imprescindible requisito de admisibilidad de la reclamación efectuada”. Expone que, del artículo 64.2, en conexión con el artículo 65, ambos de la LOPDGDD, resulta que “exigen como requisito preceptivo la reclamación previa al responsable de la publicación, constituyendo tal reclamación previa un imprescindible requisito de admisibilidad de la reclamación efectuada.” El artículo 64.2 de la LOPDGDD, en la redacción anterior a la reforma operada en mayo de 2023, decía: “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/52 Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.[..].” El artículo 65, “Admisión a trámite de las reclamaciones”, establece: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
50. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
51. b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” (El subrayado es nuestro) En el presente caso, puesto que la Agencia ha considerado en todo momento que era aplicable el artículo 64.2 de la LOPDGDD -por cuanto, como se ha venido señalando, los hechos reclamados versaron sobre una presunta infracción del RGPD y no sobre una solicitud de tutela de derechos- procedió a evaluar la admisibilidad a trámite de la reclamación de conformidad con las previsiones del artículo 65 LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/52 Pese a que, a tenor del artículo 65 LOPDGDD, es potestativo y no preceptivo el traslado de la reclamación al Delegado de Protección de Datos de la parte reclamada o, si no se hubiera designado, al responsable del tratamiento, en el presente caso, la AEPD, antes de resolver sobre la admisión a trámite, dio traslado a QUALITY de la reclamación en fecha 30/12/2022 (a las 09:35 horas). La notificación del escrito de traslado fue aceptada por QUALITY en la misma fecha, 30/12/2022 (a las 09:54 horas) y respondió mediante escrito de fecha 03/01/2023 en el que no contestó a las cuestiones planteadas por la SGID, sino que requirió que se le remitiera por la Agencia un documento identificativo de la parte reclamante como condición para poder responder a la solicitud de información. Nos remitimos al Antecedente segundo de esta resolución. Por tanto, tampoco esta objeción puede ser tomada en consideración. 9. Respecto al derecho a la tutela judicial efectiva reconocido en el artículo 78 del RGPD cuya supuesta vulneración invoca QUALITY, son muchas las razones para rechazar esa objeción. Nos limitamos a señalar que, en el presente caso, resulta imposible que se haya podido vulnerar su derecho a “la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna” (artículo 78.1 RGPD) cuando el procedimiento aún no ha llegado al trámite de la propuesta de resolución ni se ha dictado resolución alguna por la AEPD. La reclamada invoca este argumento en su escrito de alegaciones al acuerdo de inicio del expediente sancionador que es el único trámite del expediente sancionador realizado hasta que se reciben sus alegaciones. 10. Bajo la rúbrica “[…] valoración a la hora de determinar la sanción administrativa” la reclamada afirma que su conducta podría ser constitutiva de una infracción leve, pero nunca grave. Cita el artículo 74 de la LOPDGDD, Infracciones consideradas leves, y transcribe los apartados siguientes: “
52. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
53. k)de esta ley orgánica.
54. d)No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 73
55. c)de esta ley orgánica.” Las disposiciones que reproduce describen infracciones del RGPD que nada tienen que ver con la conducta que constituye el objeto de este procedimiento y de la que se responsabiliza a QUALITY. Como reiteradamente se ha advertido tanto en el acuerdo de inicio como en la propuesta de resolución, los hechos sobre los que versa la reclamación y que determinaron la apertura del expediente sancionador que nos ocupa son distintos de la pretendida solicitud de cancelación de datos. En atención a los argumentos expuestos –que reiteran los que se hicieron constar en la propuesta- deben rechazarse las objeciones que la reclamada adujo en su escrito de alegaciones frente al acuerdo de apertura del expediente sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/52 B. Respuesta a las alegaciones formuladas por QUALITY en el trámite de alegaciones a la propuesta de resolución En primer término, habida cuenta de que la reclamada da por reproducidas sus alegaciones frente al acuerdo de inicio, esta Agencia, asimismo, reitera la respuesta que se dio a sus objeciones. Respuesta que se recoge en el epígrafe A de este mismo Fundamento jurídico. Por lo que atañe a los nuevos argumentos esgrimidos -muy escasos, como consta en el Antecedente undécimo de esta resolución- se hacen las siguientes precisiones: -Sostiene la reclamada que ha transcurrido “casi un año sin realizar nada, ni solicitar pruebas, ni contactar con la demandante, etc., solo consultar el registradores.org que es ONLINE”. Ante ello, se recuerda que como consta en el Antecedente octavo de esta resolución se abrió una fase de prueba y se solicitaron a la parte reclamante diversas pruebas, si bien esa parte no respondió a la solicitud. Se dio traslado a esa parte de la documentación que integra el expediente administrativo y se formuló y notificó la propuesta de resolución. Se han seguido por tanto la tramitación procesal pertinente con respeto escrupuloso de las garantías procesales que la normativa vigente otorga al reclamado en un expediente sancionador. -Sobre la invocada Disposición adicional única del Real Decreto 389/2021, de 1 de julio, por el que se aprueba el Estatuto de la AEPD, “Supresión de órganos directivos” , que le lleva a concluir que “Carecen de validez de Inspección de Datos y el cargo de Directora deja de existir. Nos encontramos ante un fraude Ley.”, nos remitimos a lo expuesto en el epígrafe A, punto 1 de este Fundamento jurídico, en particular, a modo de conclusión, a la SAN de 15/10/2024, Rec.796/2022, Fundamento Jurídico segundo parcialmente transcrito. - Sobre el correo electrónico que -dice QUALITY- envió a la parte reclamante con copia al inspector actuante 1 (R.R.R. ), llama la atención ni en el Informe de Investigación Previa se menciona que QUALITY hubiera remitido copia al inspector actuante 1 de dicho email; ni figura incluido entre los documentos generados en el curso de las actuaciones de inspección, ni la parte reclamada lo haya mencionado hasta este trámite procesal. Por otra parte, carece de sentido que invoque la existencia de un mensaje que dirige a la reclamante si no tiene voluntad de aportar pruebas de su envío, pues eso es lo que hace, ya que no acredita su existencia y anuncia que aportará las prueba en vía contenciosa. No se entiende tampoco que -si como dice en el texto transcrito que supuestamente pertenece a un email enviado a la reclamante- QUALITY ha podido identificarla con los datos que le facilitó la AEPD, no haya podido hacer esa identificación cuando se le dio traslado de la reclamación a fin de que informara de los hechos acaecidos, pues recordemos que en ese trámite previo al inicio del expediente sancionador se negó a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/52 responder al traslado de la SGID con el argumento de que la reclamante no podía ser identificada en tanto no se le facilitara la copia de un documento de identificación. El texto del supuesto mensaje electrónico que QUALITY afirma haber enviado a la parte reclamante pero que no aporta es el siguiente: De: DPO Quality-Provider <dpo@qualityprovider.net> Date: mar, 27 feb 2024, 16:54 Subject: TUTELA DE DERECHOS To: <***EMAIL.2> QUALITY PROVIDER SA, C/ Goya número 18 5 planta izqda. 28001 – Madrid. Madrid, 27 de Febrero de 2024 Estimada Señora: Es una pena el tiempo perdido por Usted, ante la AEPD. Si se hubiera dirigido a nosotros directamente con su identificación, INDICANDO su número de DNI, se hubiera procedido a LA CANCELACIÓN DE SUS DATOS PERSONALES. Nos hemos enterado de sus datos, porque vienen expuestos, en el Expediente Sancionador de la AEPD. Por ello, hemos procedido a identificarla y una vez realizada la comprobación procederemos a la cancelación de los mismos. No consta ningún requerimiento por su parte en nuestro buzón de denuncias. Estos son los datos facilitados por la AEPD. Un saludo. Dpto. Jurídico. IV Infracción del artículo 6.1. RGPD 1. Se atribuye a QUALITY en la presente resolución una infracción del artículo 6.1 del RGPD materializada en el tratamiento sin una base jurídica adecuada conforme al RGPD de los datos de la parte reclamante: nombre, apellidos, NIF, localidad, fecha de nacimiento y antiguo domicilio. El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, dispone: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
56. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
57. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
58. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
59. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
60. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
61. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/52 interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
62. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 5.1 del RGPD se ocupa de los principios que rigen todo tratamiento de datos de carácter personal y, bajo la rúbrica “Principios relativos al tratamiento”, establece: “Los datos personales serán:
63. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); [...]”. A su vez, el apartado 2 ,el artículo 5 del RGPD introduce el principio de responsabilidad proactiva conforme al cual “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”. 2. Consta acreditado en el expediente que QUALITY es titular del sitio web Inglobaly.com. Esta información aparece en el Aviso Legal de la página web Inglobaly.com, del cual obra en el expediente administrativo una captura de pantalla obtenida durante el periodo de prueba. Igualmente, consta acreditado - tal y como se recoge en el Hecho Probado terceroque la página web Inglobaly.com presta un servicio de información de datos. También lo evidencian con nitidez las expresiones con las que publicita sus servicios: “Todos los datos que necesitas cuando lo necesitas”, “Busca, encuentra y conoce”. La página web Inglobaly.com informa de la prestación de servicios en línea y fuera de línea y entre los primeros menciona los siguientes: (
64. i)“Seguimiento”, “Servicio de seguimiento y contacto on-line”; (
65. ii)“Apariciones”, “Servicio on-line de apariciones de boletines públicos”; (iii) “Antifraude”, “Validación de identidad en línea para comprobar la autenticidad de los datos”. Consta acreditado, también, a través de las capturas de pantalla obtenidas en fase de prueba desde Inglobaly.com que, para poder acceder a los servicios de Inglobaly.com online, el solicitante debe identificarse mediante usuario y contraseña (Hecho Probado tercero). En las capturas de pantalla obtenidas desde el portal Inglobaly.com aparece una leyenda resaltada en rojo que dice “El campo usuario no puede estar vacío”, seguida de dos campos en blanco precedidos, respectivamente, de las indicaciones “Acceso” y “Contraseña”. Cabe añadir a ese respecto que la parte reclamada manifiesta en su respuesta al traslado de la reclamación que “tampoco cualquier persona puede acceder a él [el portal Inglobaly] si no utiliza usuario y contraseña y por contrato le queda prohibido a cualquier inmobiliaria ceder datos a terceros, solo pueden visualizarlos” (Hecho Probado quinto, último párrafo) 3.Sobre la existencia de un tratamiento de datos de la parte reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/52 Centrándonos en el tratamiento de datos personales de la parte reclamante del que se responsabiliza a QUALITY, obra en el expediente una captura de pantalla aportada por la reclamante que muestra el contenido de una página de la aplicación de Inglobaly con el resultado de una búsqueda de datos que le conciernen efectuada por el criterio “Domicilios”. La imagen que recoge la captura que se ha aportado muestra este contenido (Hecho Probado segundo): En la línea superior de la página de la aplicación que se capta figura la indicación “INGLOBALY”. Al pie de la página de la aplicación captada aparece “INGLOBALY” y junto a ella la leyenda “Quality Provider, S.A. Calle Goya 18, 5º izq. 28001 Madrid Tel (+34)910 052 833 I email: support@inglobaly.com”. Se visualizan cinco pestañas que son, de izquierda a derecha, “Inicio”, “Domicilios”, “Autónomos”, “Multas”, “Boletines”, “BORME”, “Teléfonos”, “Vinculaciones” y “Consumos”. Aparece activada la pestaña “Domicilios”. Se muestra el resultado de una búsqueda efectuada por el dato de la dirección de ***DIRECCIÓN.1. La información que arroja es la siguiente: “***DIRECCIÓN.1 Personas conviviendo en este domicilio:” En el epígrafe destinado a las “personas que conviven en el domicilio” la captura ofrece diversa información que aparece agrupada en estas columnas: “Apellidos, nombre”, “Población de nacimiento”; “Provincia de nacimiento”; “NIF” y “Año de nacimiento”. La captura de pantalla muestra estos resultados de la búsqueda: -En la primera línea consta: “B.B.B.”; “(…)”; “***NIF.1”; ***FECHA.1. -En la segunda línea: “A.A.A.”; “(…)”; “***NIF.2”; “***FECHA.2”. - Al final de la captura de pantalla consta una leyenda con esta indicación: “Teléfonos en domicilio No se han encontrado teléfonos en este domicilio a nombre de las personas que conviven en él”. En sus alegaciones al acuerdo de inicio QUALITY cuestiona la validez de la captura de pantalla que la reclamante aporta como medio idóneo para acreditar que ha efectuado un tratamiento de sus datos personales. Es digno de mención que, como puede constatarse al examinar el documento controvertido, no lo obtuvo la parte reclamante accediendo directamente al sitio Inglobaly.com. Al contrario, el examen de esa captura de pantalla revela que en el campo “usuario activo” figura el dato ***EMAIL.1. Esa circunstancia demuestra que el acceso a la página de Inglobaly.com y al resultado que arroja la búsqueda -los datos que conciernen a la parte reclamante- se hizo por un usuario que se autentica correctamente ante la aplicación y accede a la información que obra en los sistemas de Inglobaly. El “usuario activo” que accede a la información -como lo acredita la captura facilitada- se compone de un nombre de mujer -C.C.C.- y de un dominio -***DOMINIO.1- que, como puede verificarse a través de Internet, es el que usa la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/52 inmobiliaria ***EMPRESA.1, cuyo domicilio social y una de sus oficinas está en el mismo distrito de la ciudad que el antiguo domicilio de la parte reclamante. Indica también QUALITY en sus alegaciones al acuerdo de inicio a fin de poner en tela de juicio el valor de la captura de pantalla aportada por la reclamante como prueba del tratamiento de sus datos: “Respecto de los pantallazos, que la Instructora, se basa sobre un supuestos, pero su teoría acaba desmontada por una Sentencia de la Audiencia Provincial de Madrid de fecha 11 de Noviembre de 2022 que dice lo siguiente: “No es suficiente para acreditar el pago de una indemnización a un asegurado el “pantallazo” aportado por la compañía aseguradora”. “Los pantallazos carecen de valor probatorios, son manipulables y no son considerados pruebas fehacientes, en los tribunales españoles y europeos.” Y añade sobre la aportación de pruebas digitales en juicio que éstas deben pasar por un proceso de validación mediante el cual se demuestre su autenticidad. Frente a tal alegato cabe señalar que la sentencia de la Audiencia Provincial de Madrid de 11/11/2022 alegada de contrario (SAP Madrid, sec. 8ª, nº 431/2022, Rec. 344/2022) dice que, como ha señalado reiteradamente la Audiencia Provincial, “este documento por sí solo, el llamado pantallazo, no es suficiente prueba del pago por parte de la entidad aseguradora”. Igualmente debemos señalar frente a lo invocado de contrario que en el asunto resuelto por la precitada sentencia de la Audiencia Provincial existe un pantallazo unilateral, un pantallazo que aporta la entidad aseguradora -a quien corresponde la carga de la prueba como condición para ejercitar la acción subrogatoria de resarcimiento del daño- que ha obtenido de sus propios sistemas con la finalidad de acreditar que ha pagado al asegurado el importe de la indemnización. No puede asimilarse ese supuesto de hecho con el que aquí se plantea. En el caso analizado por la SAP precitada la entidad aseguradora tenía la obligación de acreditar el pago de la indemnización al asegurado como presupuesto para ejercitar la acción de resarcimiento, y para ello recurrió a una captura de pantalla de sus propios sistemas. En el asunto que nos ocupa la prueba del tratamiento efectuado es una captura de pantalla de los propios sistemas de la entidad reclamada en la que quien se identifica en la casilla de usuario activo de esa aplicación lo hace mediante una dirección de correo electrónico en el que el dominio utilizado es usado por una inmobiliaria de la zona. Además, las características que presenta la aplicación a tenor de lo que se puede ver a través de la imagen capturada evidencia que no estamos ante una falsificación. Se trae a colación la sentencia de la Audiencia Provincial de Madrid, secc. 10, de 29/06/2022 (Rec. 775/2021) que dice: "El Tribunal Supremo tiene dicho que nada impide dar relevancia a un documento privado no reconocido, conjugando su valor con el resto de las pruebas (STS 29-1092, 18-11-94 y 19-7-95) pero, solo cuando no existe ninguna otra prueba, ni directa ni indiciaria, que permita en su conjunto dar plena validez a los documentos impugnados, aceptar por sí la validez de los mismos supondría una alteración de la carga de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/52 prueba, desplazando hacia el demandado la carga de probar que los hechos constitutivos de la pretensión no son ciertos". (El subrayado es nuestro) Asimismo, cabe recordar el criterio mantenido por el Tribunal Supremo (TS) en distintas sentencias, particularmente las STS 300/2015, de 19 de mayo, o 375/2018, de 19 de julio, acerca de los documentos impresos que muestran conversaciones mantenidas a través de aplicaciones móviles de mensajería instantánea, considerando que, ante una posible impugnación de su autenticidad y en ausencia de elementos probatorios adicionales, es precisa la práctica de una prueba pericial que identifique el verdadero origen de esa comunicación, la identidad de los interlocutores y, en fin, la integridad de su contenido. El escrito de propuesta de resolución, en consideración a las manifestaciones de la parte reclamada y a los documentos que obraban en el procedimiento en ese momento procesal, concluyó que existían indicios suficientes para admitir la validez de la captura de pantalla de la aplicación de Inglobaly -que la reclamante aportó con su reclamación- como medio de prueba del tratamiento de sus datos efectuado por QUALITY y menciono entre ellos los siguientes indicios que ahora se reiteran: (
66. i)La entidad reclamada no niega expresamente ni en sus alegaciones al acuerdo de inicio ni en la respuesta al traslado de la reclamación efectuada por la SGID, que haya tratado los datos personales de la parte reclamante que constan en la captura de pantalla de la aplicación Inglobaly aportada. (
67. ii)La entidad reclamada parece reconocer de manera indirecta el tratamiento de los datos de la parte reclamante cuando, en sus alegaciones al acuerdo de inicio, se refiere al origen de los datos y dice, entre otras cosas, que “los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado. Por consiguiente, la valoración realizada por este Organismo, para la imposición de la sanción, NO TIENE EN CUENTA LOS DAÑOS CAUSADOS (NINGUNO) ASÍ COMO LA CATEGORÍA Y OBTENCIÓN DE LOS DATOS DEL DENUNCIANTE (PUBLICOS)”. (Hecho Probado noveno, folio 86) (iii) El documento aportado no es un pantallazo unilateral de la reclamante. Tampoco versa sobre la comunicación mantenida a través de una aplicación de mensajería instantánea fácilmente reproducible. La imagen captada y aportada muestra información detallada y completa de una aplicación informática de Inglobaly que es la utilizada por la mercantil QUALITY. Esto es, la captura que la reclamante aporta corresponde a una aplicación informática que utiliza la propia parte reclamada -QUALITY- y para acceder a la información registrada en ella -coincidiendo así con las manifestaciones de QUALITY en su escrito de alegaciones- es necesario autenticarse mediante usuario y contraseña. La captura que la reclamante facilita a esta Agencia con su reclamación no se obtuvo por ella directamente mediante el acceso a Inglobaly.com, dado que en el campo “usuario activo” consta el dato ***EMAIL.1. Lo que evidencia que el acceso a Inglobaly y el resultado de la búsqueda de datos efectuada por el criterio “Domicilios” (que es la pestaña que en la imagen se ve activada) se hizo por un usuario que pudo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/52 autenticarse correctamente ante la aplicación y acceder así a la información que obraba en los sistemas de Inglobaly. (
68. iv)El “usuario activo” que accedió a la información, según muestra la captura facilitada por la reclamante se compone de un nombre de mujer -C.C.C. y de un dominio -***DOMINIO.1- que es el que usa la inmobiliaria ***EMPRESA.1, cuyo domicilio social y una de sus oficinas está en el mismo distrito de la ciudad que el antiguo domicilio de la parte reclamante. Por todo ello, la propuesta de resolución consdieró que, frente a la tesis de la reclamada que ponía en tela de juicio la validez de la captura de pantalla aportada por la reclamante, los elementos indicados conformaban una prueba indiciaria de la validez de ese documento como prueba de cargo del tratamiento efectuado. La admisibilidad de la prueba indiciaria en el procedimiento administrativo sancionador y su fuerza para enervar la presunción de inocencia es una cuestión pacífica. La Jurisprudencia pone el acento en las cualidades o requisitos que debe reunir para producir dicho efecto. A tales requisitos se refiere la STC 116/2007 de 21 de mayo: “[…] a falta de prueba directa, la prueba de cargo puede ser indiciaria, siempre que se parta de hechos plenamente probados y que los hechos constitutivos de delito se deduzcan de esos indicios a través de un proceso mental razonado y acorde con las reglas del criterio humano… y que el control de la solidez de la inferencia pueda llevarse a acabo tanto desde el canon de su lógica o coherencia, siendo razonable cuando los indicios constatados excluyan el hecho que de ellos se hace derivar o no conduzcan naturalmente a él, como desde el de su suficiencia o carácter concluyente, excluyéndose la razonabilidad por el carácter excesivamente abierto, débil o indeterminado de la inferencia”. La STC citada menciona los requisitos que la jurisprudencia suele exigir para que la prueba indiciaria pueda desvirtuar la presunción de inocencia: que el indicio o hecho sobre el que se monta la presunción esté plenamente probado; que entre dicho indicio y el hecho del que se acusa al imputado exista un enlace preciso y directo, según las reglas propias del criterio humano y que este razonamiento luzca en la resolución (“puesto de manifiesto en la Sentencia”).Los indicios han de estar plenamente probados –no puede tratarse de meras sospechas– y se debe explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, se ha llegado a la conclusión de que el imputado realizó la conducta infractora. A la vista de la documentación que obra en el expediente y en consideración a lo expuesto, esta Agenc