1/8 Expediente N.º: EXP202309320 - RESOLUCIÓN DE ARCHIVO DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 26 de mayo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a RUSTINMSOL 3000 S.L. con NIF B86622479 (en adelante, RUSTINMSOL). Los hechos que se pone en conocimiento de esta autoridad son: Quien reclama manifiesta que la representante legal de la entidad reclamada ha incluido indebidamente sus datos en una comunicación dirigida a una persona física y a una sociedad con las que no guarda relación. En dicha misiva se reclaman unas cantidades presuntamente adeudadas a la parte reclamada. Según afirma, no tiene ninguna relación con la parte reclamada ni con la persona física y jurídica que reclama la deuda. Junto a la reclamación aporta copia del burofax controvertido, de fecha 2 de mayo de 2023, enviado por ***EMPRESA.1 (Abogados), en nombre de sus clientes, RUSTINMSOL y una persona física, con el propósito de reclamar el pago de unas cantidades adeudadas detallando, a tal efecto, el importe y la naturaleza de las deudas. En el campo destinatario consta el nombre y los apellidos de quien reclama, así como el nombre y apellidos de otra persona física y la razón social de una persona jurídica. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ***EMPRESA.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La actuación de traslado y solicitud de información, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el artículo 43.2 de la LPACAP en fecha 15/07/2023, según certificado que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 Practicada la notificación, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se realizaron dos intentos adicionales de notificación por correo postal en dos direcciones postales de la parte reclamada, conforme a lo dispuesto en el artículo 42 de la LPACAP. La primera a la dirección ***DIRECCIÓN.1 y la segunda a la dirección ***DIRECCIÓN.2, tras realizar las oportunas averiguaciones con la Agencia Estatal de Administración Tributaria para obtener el domicilio fiscal de ***EMPRESA.1 Ambos envíos resultaron "Devuelto a Origen por Desconocido" en fechas 07/08/23 y 25/08/23, respectivamente. La parte reclamada no ha dado repuesta a la actuación de traslado y solicitud de información notificada. TERCERO: Con fecha 26 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: El 09/05/2024, en el marco de las actuaciones previas de investigación, se remitió comunicación electrónica de requerimiento de información a ***EMPRESA.1, habiendo expirado por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 20/05/2024. El 22/05/2024 se reiteró la remisión de la comunicación electrónica de requerimiento de información a ***EMPRESA.1, habiendo expirado por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 02/06/2024. El 05/06/2024 se remitió postalmente la comunicación de requerimiento de información a ***EMPRESA.1 a la dirección ***DIRECCIÓN.2. Habiendo sido devuelta esta comunicación por Desconocido el 12/06/2024 según consta en certificado de Correos de fecha 12/06/2024. El 04/12/2024 se remitió requerimiento de información a la entidad RUSTINMSOL 3000, S.L. El 17/12/2024 presentó escrito de contestación al requerimiento en el que manifestó entre otros aspectos lo siguiente: 1. En fecha 1 de diciembre de 2017 A.A.A., actuando en representación de RUSTINMSOL 3000, S.L., y B.B.B., actuando en nombre de ***EMPRESA.2, suscribieron un contrato por el que A.A.A. salía completamente de la sociedad ***EMPRESA.3 de la que ambos comparecientes ostentaban el 50% del capital C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 social y además ambos eran administradores solidarios. Dicho contrato, que regulaba los términos y condiciones económicas de la salida de A.A.A., las partes lo denominaron “Contrato marco de acuerdos societarios para la salida de A.A.A. de la sociedad mercantil ***EMPRESA.3” 2. Aunque en la estipulación primera de dicho contrato las partes acordaron que B.B.B. ostentará el 100% del capital social de ***EMPRESA.3, el 31 de enero de 2018 acordaron que C.C.C. adquiriera las acciones números 219 a 228, ambos incluidos, de la entidad ***EMPRESA.3 y el resto de las acciones las adquiriera B.B.B.. 3. A tal efecto y en unidad de acto, se firmó el 31 de enero de 2018 en las escrituras públicas ante el Notario, D.D.D., por la que en la primera y con el número ***REFERENCIA.1 de su orden de protocolo se elevó a público el Contrato marco de acuerdos societarios para la salida de la E.E.E. de la sociedad mercantil ***EMPRESA.3, citado en el epígrafe 1, y en la segunda y con el número ***REFERENCIA.2 de su orden de protocolo se suscribió el contrato de venta de las 1000 acciones cuya titularidad ostentaba A.A.A. en el que, podrá verificarse que se aplazó el precio. Procede destacar aquí la estipulación primer apartado dos por la que A.A.A. vende y transmite las acciones 219 a 228, ambas inclusive, a C.C.C. que las adquiere por su valor nominal y la estipulación Segunda por la que se aplaza el precio. 4. En fecha 2 de mayo de 2023 los adquirientes de las acciones, C.C.C. y B.B.B. no habían abonado el precio de las acciones de la entidad ***EMPRESA.2, y por tal razón, fueron requeridos, mediante una única misiva, a fin de que cumplieran todo lo acordado. 5. Que se requirió a la parte reclamante el precio adeudado a A.A.A. que se deriva de las acciones adquiridas de ***EMPRESA.3, mediante escritura suscrita ante el Notario, D.D.D., de fecha 31 de enero de 2018, con el número ***REFERENCIA.2 de su orden de protocolo. Junto con el citado escrito de contestación al requerimiento aporta la siguiente documentación: - - Documento nº 1: Escritura pública suscrita ante el notario D.D.D., de fecha 31 de enero de 2018, con el número ***REFERENCIA.1 de su propio orden de protocolo por el que se elevó a público y protocolizó el Contrato marco de acuerdos societarios para la salida de A.A.A. de la sociedad mercantil ***EMPRESA.3, suscrito el 1 de diciembre de 2017. Documento nº 2 escritura pública suscrita ante el notario D.D.D., en fecha 31 de enero de 2018, con el número ***REFERENCIA.2 de su protocolo por el que se formalizó la venta de 1000 acciones de la entidad ***EMPRESA.3 QUINTO: Con fecha 14 de febrero de 2025, la Subdirectora General de Inspección de la Agencia Española de Protección de Datos, por vacancia del cargo de Presidencia y Adjuntía de la AEPD, acordó iniciar procedimiento sancionador a la parte reclamada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó el 14 de marzo de 2025 escrito de alegaciones en el que, entre otras cosas, manifestaba lo siguiente: “A.A.A., mayor de edad, actuando en su calidad de ***PUESTO.1 de la entidad mercantil RUSTINMSOL 3000. S.L. con domicilio en la Avda. del Mediterráneo, núm. 43, posterior, C.P. 28007 Madrid y CIF B-86622469 a la Agencia de Protección de Datos se dirige y, como mejor proceda en Derecho, DICE: (…) la denunciante y promotora de este expediente, C.C.C., (…) ostenta la condición de compradora o adquirente de determinadas acciones de una Sociedad Anónima, igual que las otras dos personas a quienes va dirigida la misiva y que, por el contrario, quien reclama es el vendedor o transmitente de esas acciones sociales. En efecto, lo sucedido es resumidamente lo siguiente, ya puesto de manifiesto el 17 de diciembre de 2024: 1º) En fecha 1 de diciembre de 2017 quien suscribe, actuando en nombre propio y en representación de RUSTNMSOL 3000, S.L. (VENDEDOR) y B.B.B., actuando en nombre propio y de ***EMPRESA.2 (COMPRADOR) suscribimos un contrato de compraventa sobre todas las acciones de la mercantil ***EMPRESA.3 2º) Aunque en la estipulación primera de dicho acuerdo inicial las partes acordaron que B.B.B. ostentaría el 100% del capital social de ***EMPRESA.3, el 31 de enero de 2018 acordamos sobrevenidamente y junto con la promotora de este expediente y denunciante que ésta adquiriera las acciones, números 219 a 228, ambos incluidos, y el resto de las acciones las adquiriera B.B.B.. 3º) En cumplimiento de dicho acuerdo posterior y definitivo, se firmó el 31 de enero de 2018 las citadas escrituras públicas en unidad de acto ante el Notario, D.D.D., resultando de la segunda escritura que C.C.C. firma la escritura y comparece en la misma ostentando la condición de COMPRADORA de 10 acciones de la mercantil ***EMPRESA.3 (escritura pública de compraventa de acciones referencia como documento 2). (…).” HECHOS PROBADOS PRIMERO: Con fecha 1 de diciembre de 2017 A.A.A. actuando en representación de RUSTINMSOL 3000, S.L., y B.B.B., actuando en nombre de ***EMPRESA.2, suscribieron un contrato por el que A.A.A. salía completamente de la sociedad ***EMPRESA.3 de la que ambos comparecientes ostentaban el 50% del capital social y además ambos eran administradores solidarios. Aunque en la estipulación primera de dicho contrato las partes acordaron que B.B.B. ostentará el 100% del capital social de ***EMPRESA.3, el 31 de enero de 2018 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 acordaron que C.C.C. adquiriera las acciones números 219 a 228, ambos incluidos, de la entidad ***EMPRESA.3 y el resto de las acciones las adquiriera B.B.B.. SEGUNDO: Con fecha 31 de enero de 2018, el referido contrato privado de acuerdos societarios para la salida de la E.E.E. de la sociedad mercantil ***EMPRESA.3 fue elevado a escritura pública ante el Notario, D.D.D., quedando constancia del mismo en ***REFERENCIA.1 de su protocolo. En ese mismo acto, se suscribió la escritura pública de compraventa de acciones de la sociedad mercantil ***EMPRESA.3 otorgada por A.A.A. a favor de B.B.B. y C.C.C., quedando constancia de la misma en ***REFERENCIA.2 del protocolo notarial. En la estipulación primera de la escritura de compraventa se establece la distribución de las acciones objeto de la operación entre las partes intervinientes. En la estipulación segunda, se fija el precio global de la compraventa, dejando constancia que el precio queda aplazado de pago. TERCERO: Con fecha 2 de mayo de 2023, se efectuó requerimiento de pago a los adquirientes de las acciones, C.C.C. y B.B.B., mediante un único burofax remitido por ***EMPRESA.1 (Abogados) en nombre de dos clientes, RUSTINMSOL 3000 S.L. y A.A.A., instándoles al cumplimiento de la obligación de abonar la deuda derivada del precio aplazado de la operación de compraventa. En el campo destinatario consta el nombre y los apellidos de quien reclama, así como el nombre y apellidos de otra persona física y la razón social de una persona jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A., realiza, entre otros tratamientos, la recogida, registro y comunicación de datos personales de personas físicas: nombre y apellidos. A.A.A., como acreedor de la deuda objeto de la comunicación controvertida, ostenta la condición de responsable del tratamiento de los datos de la reclamante, dado que como acreedor es quien puede encomendar la realización de las actuaciones de recobro, determinando fines y medios. III Falta de legitimación pasiva De la documentación obrante en el expediente, se desprende que RUSTINMSOL no ostenta la condición de sujeto responsable de los hechos imputados y, en consecuencia, carece de legitimación pasiva. En efecto, el burofax de reclamación de deuda que ha dado lugar al presente procedimiento, si bien fue remitido por ***EMPRESA.1 (Abogados) en nombre de dos clientes, RUSTINMSOL 3000 S.L. y A.A.A., se refiere exclusivamente a una deuda cuyo único acreedor es este último. Por tanto, RUSTINMSOL 3000 S.L. no tiene, en este caso, la condición de responsable del tratamiento y por ello no cabe imputarle la conducta presuntamente infractora. A este respecto, ha de tenerse en cuenta lo dispuesto en el artículo 25.1 de la LPACAP, que establece lo siguiente: “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas o jurídicas que resulten responsables de los mismos, aun a título de simple inobservancia.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 Este principio básico de nuestro ordenamiento sancionador impide imponer una sanción a quien no haya incurrido en una conducta constitutiva de infracción, y, en consecuencia, el procedimiento no puede válidamente dirigirse contra esta parte. Por otro lado, el artículo 70 de la LOPDGDD, bajo la rúbrica “Sujetos responsables”, dispone: “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
- a)Los responsables de los tratamientos.
- b)Los encargados de los tratamientos.
- c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
- d)Las entidades de certificación.
- e)Las entidades acreditadas de supervisión de los códigos de conducta. 2. No será de aplicación al delegado de protección de datos el régimen sancionador establecido en este Título.” En el caso que nos ocupa, el hecho de que el procedimiento haya sido incoado inicialmente contra RUSTINMSOL, sin que ostente la condición de responsable del tratamiento, determina la existencia de un vicio sustancial por falta de legitimación pasiva, que incide directamente en la validez del procedimiento sancionador. Esta circunstancia, advertida en el curso de la instrucción, impide la continuación del procedimiento respecto de esta parte, sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta, contra el responsable del tratamiento objeto de reclamación. Por tanto, en base a lo indicado en los párrafos anteriores, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a RUSTINMSOL 3000 S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es