PS-00584-2017

1/12 Procedimiento Nº PS/00584/2017 RESOLUCIÓN: R/00918/2018 En el procedimiento sancionador PS/584/2017, instruido por la Agencia Española de Protección de Datos, a la entidad AVON COSMETICS SAU. (AVON), vista la denuncia presentada por D. C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 09/05/17, tiene entrada en esta Agencia, escrito de C.C.C., donde denuncia que: “AVON, con la que jamás ha tenido contacto alguno y nunca le han requerido ningún pago, ni se han puesto en contacto con él por ningún motivo, le han incluido en el fichero de solvencia y crédito. Ha tenido conocimiento de todo ello cuando he ido a contratar un seguro”. Aporta, entre otra, la documentación ya expuesta en el acuerdo de incoación del expediente y en la propuesta de resolución. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa AVON, remite, entre otras, la información ya indicada en el acuerdo de incoación del expediente y la propuesta de resolución. TERCERO: Con fecha 19/12/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad AVON, por presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), tipificadas como grave en los artículos 44.3.b y

1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica, argumentando, esencialmente, en que: Respecto de la infracción del artículo 6.1 de la LOPD: “la empresa AVON, en su escrito de información, NO aporta ningún documento que acredite que el SR. C.C.C. realizó el proceso de alta; NO aporta ningún formulario o contrato suscrito por el denunciante con la compañía y avalado por las Delegada de Ventas tal y como se indica en el escrito de alegaciones; NO aporta fotocopia de DNI o documento que acredite la identidad del contratante; NO se aporta correo electrónico enviado al distribuidor para darse de alta ni la aceptación de las condiciones del contrato mercantil. Solamente se trascribe el “log de aceptación” realizado por web, pero incluso en éste, NO se incluyen datos esenciales, como puede ser el DNI. Además se puede comprobar que ni la fecha de nacimiento ni la dirección ni el número de teléfono concuerdan con los aportados por el denunciante”. Respecto de la infracción del artículo 4.3 de la LOPD: “la inclusión de los datos personales del denunciante, en el fichero ASNEF, fue realizada el 07/03/16 y dados de baja el 27/07/17, (15 meses y 20 días después), sin que la empresa haya justificado que dicha inclusión cumpla los requisitos marcados anteriormente, ya que se incluyen los datos de una persona en ASNEF, que no tiene ninguna relación con la empresa, y por tanto, por una deuda que no es cierta.” CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia, mediante escrito de fecha 08/02/18, formuló, en síntesis las alegaciones ya expuestas en la propuesta de resolución. QUINTO: Con fecha 14/02/18, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/3233/2017 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/584/2017, presentadas por la representación de la entidad denunciada. SEXTO: Con fecha 27/03/18, se notifica la propuesta de resolución sancionadora consistente en que, primero, por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad AVON COSMETICS SAU, por infracción del artículo 6.1) de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma, con una multa de 32.000 (treinta y dos mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Segundo, que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad AVON COSMETICS SAU, por infracción del artículo 4.3) de la LOPD, en relación con el artículo 38.1.
3. a)del RLOPD, tipificada como grave en el artículo 44.3.
4. c)de dicha norma, con una multa de 32.000 (treinta y dos mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Ambas infracciones dan como resultado una sanción conjunta de 64.000 (sesenta y cuatro mil eros) SÉPTIMO: Notificada la propuesta de resolución, AVON, con fecha 12/04/18, formuló en síntesis las siguientes alegaciones: “AVON solicitaba el sobreseimiento del procedimiento sancionador, declarando además, en su caso, la nulidad de lo hasta ahora actuado en base a los siguientes fundamentos de hecho: a).- el Denunciante mantenía una relación de distribución mercantil con AVON al haber formalizado y aceptado un contrato de distribución con la misma. b).- el Denunciante adquirió de AVON una serie de productos que fueron enviados a la dirección postal por él indicada. Dichos productos fueran correctamente entregados, el albarán de entrega firmado, no recibiendo AVON aviso alguno que la dirección de envío era incorrecta o que no correspondía con la del Distribuidor. c).- La existencia de una deuda liquida, vencida y exigible correspondiente a una factura emitida por AVON al Denunciante por los productos adquiridos y entregados y que ascendía a ciento quince euros con veinte nueve céntimos de euro (115,29 €). d).- El envío por parte de AVON de una notificación escrita al Denunciante previa y personalizada (que fue correctamente recepcionada) informando de la existencia de una deuda líquida vencida y exigible, así como de las consecuencias de su impago y potencial inclusión en un fichero de morosos. e).- La realización de dicha notificación a través de un servicio de SMS certificado al número de teléfono móvil proporcionado por el Denunciante a AVON. En base a los fundamentos de Derecho: a).- La condición de empresario individual del Denunciante, que hace que el régimen jurídico de protección de datos personales contenido en la LOPD no resulte de aplicación al tratamiento de datos efectuado por AVON. Se recuerda que la relación del Distribuidor con AVON era estrictamente mercantil, en calidad de distribuidor empresario individual y que por tanto los datos e informaciones relativos al Denunciante a los que ha tenido acceso AVON y que ha podido tratar, se han circunscrito exclusivamente al ámbito de su actividad mercantil como comerciante distribuidor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 b).- Subsidiariamente, en caso de que el Denunciante no hubiera sido la persona que formalizó el contrato de distribución, AVON habría sido objeto de un engaño, y estaríamos por tanto ante una estafa, de la que tanto el Denunciante como AVON serían víctimas. c).- Si finalmente en el seno del procedimiento penal no resultara probado la existencia de una estafa, ni la suplantación de la identidad del Denunciante al formalizar el contrato de distribución con AVON, no podría derivarse ninguna responsabilidad administrativa para AVON, al haber respetado escrupulosamente los requisitos de la LOPD en relación con la inclusión de los datos del Denunciante en un ficheros de morosos pese a no resultarle dicha normativa de aplicación. Con fecha 27 de marzo de 2018, AVON recibió notificación de Propuesta de Resolución, que estima que los hechos denunciados en este procedimiento e investigados por la AEPD no versan sobre una presunta infracción de AVON en materia de protección de datos en relación al tratamiento de los datos personales de uno de sus distribuidores, si no, sobre el tratamiento que ha realizado AVON sobre los datos de una persona totalmente ajena a ellos, que denuncia que nunca ha tenido contacto con AVON. Sentado por la PR en el argumento anterior que la LOPD es de aplicación al caso, la PR estima que AVON no ha aportado documentación que acredite que el Denunciante realizó el proceso de alta como distribuidor, así como tampoco que AVON recabara el consentimiento del Distribuidor para el tratamiento de sus datos personales. Según lo establecido en la PR, se habrían incluido los datos personales en ASNEF de una persona que presumiblemente no ha tenido ni tiene ninguna relación con la AVON y que, por consiguiente, no habría consentido que sus datos personales fueran tratados por AVON. Finalmente, la PR reconoce como hecho probado que en vía judicial se está investigando un posible caso de “falsedad y estafa” en relación con la presunta suplantación de la identidad del Distribuidor al registrarse como distribuidor de AVON y realizar pedidos. Procedimiento penal iniciado precisamente a resultas de la denuncia presentada por el propio Denunciante, tal y como el mismo indicó en su denuncia ante la AEPD, y de la cual AVON tuvo precisamente conocimiento a través del presente procedimiento. Pese a ello, la AEPD recrimina a AVON en la PR por no aportar ningún documento que haga prueba del estado en el que se encuentran en la actualidad las diligencias previas. Quinto. Que en virtud de las alegaciones contenidas en el presente escrito y por considerarlo conforme a Derecho, AVON solicita nuevamente al Instructor que, una vez valoradas las mismas, proceda a acordar el sobreseimiento y cierre del presente procedimiento sancionador, declarando además, en su caso, la nulidad de lo hasta ahora actuado y todo ello con arreglo a las siguientes: PRIMERA.- Prejudicialidad penal. Suspensión del procedimiento administrativo ante la concurrencia de una posible infracción penal por falsedad documental, suplantación de personalidad y estafa. Error invencible de tipo. Del análisis de los hechos y manifestaciones realizados por el propio Denunciante en su denuncia ante la AEPD, y trasladados a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 AVON, parece que podríamos encontramos ante un caso de infracción penal por falsedad documental, suplantación de personalidad y estafa. De acuerdo con los hechos descritos por el Denunciante y aceptados como hechos probados, el Denunciante interpuso denuncia penal por suplantación de identidad ante la Policía Local de Aguilar (Córdoba) que dieron lugar a la incoación de las correspondientes diligencias previas. El asunto en la actualidad estaría siendo investigado por la Guardia Civil. Ante dichas circunstancias, AVON se encuentra en estos momentos, como no podía ser de otra manera, a la espera de recibir el correspondiente ofrecimiento de acciones que le permita personarse como afectado en las correspondientes dichas diligencias previas y proporcionar la información oportuna a los efectos de que se puedan esclarecerse los hechos y dirimirse las correspondientes responsabilidades. En particular, deberá aclararse en el procedimiento penal si efectivamente existió la estafa que el Denunciante alega y en virtud de la cual un tercero habría suplantado la identidad del Denunciante, en cuyo caso tanto el Distribuidor como AVON serían victimas del ilícito penal. Pese a ser conocedora de las anteriores circunstancias, la AEPD rechaza la existencia de una posible prejudicialidad penal y la necesidad de suspender el procedimiento administrativo que nos ocupa hasta que se aclaren los hechos, limitándose a recriminar a AVON la falta de aportación de pruebas del estado actual de la tramitación de las diligencias previas, cuando ello es imposible en tanto en cuanto no se realice el oportuno ofrecimiento de acciones y se le permita AVON personarse el procedimiento. AVON no puede en ningún caso ser responsable por no aportar información de un procedimiento penal no iniciado por ella, y por tanto del que no ha tenido aun oportunidad de participar. No puede ser tampoco AVON responsable de no denunciar en la vía penal unos hechos que ya están, por otro lado, y tal y como admite la propia AEPD siendo objeto de unas diligencias previas. Por supuesto, y sin perjuicio de lo anterior, el compromiso de AVON es claro a este respecto. Tan pronto reciba el correspondiente ofrecimiento de acciones, y tenga oportunidad de personarse en el procedimiento y por tanto la autoridad judicial le permita acceder a la información contenida en el procedimiento, gustosamente compartirá dicha información con la AEPD. Sin perjuicio de ello, y siendo en el interés de todas las partes que se esclarezcan los hechos en la vía penal con la mayor celeridad posible, AVON solicita a la AEPD que requiere al Denunciante para que aporte toda aquella información que le conste respecto a las actuaciones derivadas como consecuencia de su denuncia ante la Policía Local de Aguilar (Córdoba). Nadie mejor que el propio Denunciante que tire quien interpuso la denuncia penal puede aportar dicha información. Además, esto permitiría a AVON personarse en dicho procedimiento sin tener que esperar a recibir el correspondiente ofrecimiento de alegaciones. Ahora bien, en tanto en cuanto los hechos denunciados por el Denunciante estén siendo objeto de investigación penal, la AEPD no puede sin más obviar esta circunstancia y declarar a AVON responsable de una infracción de la LOPD, cuando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 podría ser también igual de víctima de dicha infracción penal y haber sido su actuación escrupulosamente respetuosa con la LOPD (pese a no resultarle de aplicación). Por un lado la AEPD valida sin más la versión de los hechos narrada por el Denunciante, aceptando sin más que hubo una estafa y que fue un tercero, quien suplantando la responsabilidad del Denunciante, formalizó el contrato de distribución de con AVON. Por otro lado, acepta como hecho probado la existencia de un procedimiento penal pendiente, pero a pesar de todo ello, descarta esperar a conocer el resultado de dicho procedimiento, y sanciona a AVON por una supuesta mala praxis. Dicha interpretación y modo de actuar de la AEPD condena irremediablemente a AVON a la más absoluta indefensión. Si hubo estafa, AVON es tan víctima como el Denunciante. Pero, ahora bien si no hubo estafa, el Denunciante estaría faltando a la verdad, en contra de las pruebas documentales aportadas, para eximirse de la responsabilidad que le corresponde. Así y a la espera de que se dirima la existencia penal, la actuación de AVON se habría basado en un error invencible de tipo, en la conciencia de que el Distribuidor era quien decía ser. SEGUNDA.- Si la normativa de protección de datos fuera de aplicación. En caso de que finalmente la autoridad penal resolviese que no existe estafa, y que por tanto el Denunciante falta a la verdad cuando manifiesta que no tuvo relación mercantil de distribución alguna con AVON, en un ejercicio puramente teórico de aplicación de la LOPD, AVON habría adoptado todas y cada una de las medidas que dicha norma exige respecto al tratamiento de los datos personales del Denunciante. Recordemos que ha quedado acreditado que AVON en un ejercicio de transparencia y diligencia máxima, recabó preventivamente y pese a no ser necesario, el consentimiento previo e informado del Distribuidor para el tratamiento de sus datos personales en el momento de darle de alta como distribuidor. Recordemos igualmente que, el Distribuidor recibió un e-mail para darse de alta como distribuidor y se registró en la web de AVON España, aceptando los términos y condiciones del contrato mercantil de distribución que preventivamente incluye un cometimiento informado de tratamiento de datos para aquellos casos en los que pudiera ser aplicable. La aceptación de dichas condiciones mediante el log de aceptación del Distribuidor ha quedado debidamente acreditada, habiéndose aportado prueba documental de la misma durante el procedimiento, la cual damos por reproducida a todos los efectos oportunos. Posteriormente, y ante la existencia de dicha deuda líquida, vencida y exigible, AVON no solo trató de contactar en reiteradas ocasiones por teléfono con el Distribuidor (tal y como quedó acreditado en nuestro EPA), sino que además envió una notificación escrita previa, personalizada y específica al distribuidor, informándole de la existencia de la deuda y de las consecuencias del impago. Dicha notificación, tal y como queda probado en el expediente a través de la prueba documental ya aportada por AVON y que damos aquí por reproducida, fue enviada a través de un sistema de SMS certificado al número de teléfono móvil proporcionado a AVON por el propio Distribuidor. Cabe recordar que el sistema de SMS certificado es un sistema válido y reconocido por la propia AEPD que permite acreditar el envío y recepción de dichas notificaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 De igual modo, cabe destacar que la propia AEPD en la PR establece como hecho probado el correcto envío y recepción de dicha notificación por SMS certificado al número de teléfono móvil proporcionado por el Distribuidora a AVON. Por tanto, y en tanto en cuanto no ha podido ser de momento esclarecido la existencia o no una estafa (en cuyo caso, recordemos AVON seria victima también y no responsable) queda acreditado que AVON actuó diligentemente conforme a la información que en ese momento contaba, y en aplicación preventiva de una norma que no le resulta de aplicación. No pueden por tanto derivarse responsabilidad administrativa alguna para AVON por infracción de una norma, que se ha sido cumplida respetuosamente, pese a no resultarle de aplicación. TERCERA.— De la inaplicabilidad de la normativa de protección de datos. Todo lo anterior sin perjuicio de que nos sorprende de sobremanera encontramos de nuevo ante un caso en que la AEPD insiste de manera inexplicable, en aplicar la LOPD a un supuesto claramente excluido, esto es al tratamiento de los datos de su base de distribuidoras realizada por AVON para la gestión de la actividad empresarial que les une. A los efectos de justificar la inaplicabilidad de la normativa de protección de datos nos remitimos a los indicado en nuestro EPA y, en aras a la claridad, reiteramos sucintamente a continuación. AVON mantiene que el tratamiento de los datos que realiza de sus distribuidores, y por supuesto también del Distribuidor, está fuera del ámbito de aplicación de la LOPD y así lo ha reconocido expresamente la Audiencia Nacional en las sentencias 401/2016 de 23 de marzo (JUR/2016/170196) y número 157/2016 de 4 de marzo (JURA2016/72710). La relación jurídica entre el Denunciante y AVON ha de calificarse como una relación mercantil de distribución en forma de “venta multinivel” a través de distribuidores independientes que asumen el riesgo y ventura del negocio de compra y reventa de productos y, por lo tanto, la calificación jurídica del Denunciante en su relación con AVON no puede ser otra que la de DISTRIBUIDOR—COMERCIANTE— EMPRESARIO INDIVIDUAL. De acuerdo con el artículo 2.3 del RLOPD los datos de impago de suministro de mercancías al por mayor de los distribuidores de AVON, como empresarios individuales, deben siempre entenderse expresamente excluidos del ámbito de aplicación del régimen previsto para los datos de carácter personal en España, en la medida en que los mismos no corresponden exclusivamente a la esfera íntima o la vida como ciudadano privado del Distribuidor. Insistimos una vez más en que seguir este planteamiento cuando la AEPD sabe de su evidente antijuridicidad, resulta, dicho sea con el mayor respeto, temerario y perjudica, no solo a AVON, sino también al erario público y al interés público, reservándose AVON en este sentido el ejercicio de las acciones legales que legítimamente le pudieran corresponder con objeto de defender sus propios intereses y el interés general. Por todo lo anterior SOLICITA proceda al sobreseimiento y archivo del presente expediente sancionador contra AVON COSMETICS, S.AU., sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad por parte de AVON COSMETICS, S.AU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Todo ello por haber sido la actuación de AVON escrupulosamente respetuosa con el derecho a la privacidad y al respecto a los datos personales del Denunciante, por haber sido el tratamiento de los datos del Denunciante realizado por AVON en todo momento conforme a la LOPD y RLOPD pese a no resultarle de aplicación, o bien y en su caso, haberse basado dicha actuación en un error invencible de tipo, en la conciencia de que el Distribuidor era quien decía ser, así como todo lo demás que en Derecho proceda. Subsidiariamente se solicita se suspenda provisionalmente el presente procedimiento administrativo a la espera de que se esclarezcan los hechos objeto de investigación penal. A esto efectos, se solicita se requiera al Denunciante a que aporte toda aquella información que le conste respecto a las actuaciones derivadas como consecuencia de su Denuncia ante la Policía Local de Aguilar (Córdoba) a los efectos de que AVON pueda personarse en dicho procedimiento sin tener que esperar a recibir el correspondiente ofrecimiento de alegaciones”. HECHOS PROBADOS a).- Según AVON, la fecha de alta del empresa fue realizada el 11/11/15. SR. C.C.C. en los ficheros de la b).- Existe una factura de 18/11/15, a nombre del SR. C.C.C. de 115,29 euros. c).- Existe albarán de entrega, fechado el 19/11/15, siendo el ordenante AVON y el destinatario es el denunciante. La dirección de entrega no coincide con la dirección aportada por el afectado en su denuncia. La recepción del paquete está firmada por una persona desconocida: B.B.B.). d).- Existe certificado de DIDIMO, del envío de un SMS el 10/02/16 a un número de teléfono que concuerda con el indicado en el log aportado por AVON. En dicho SMS certificado se informaba de la deuda existente y de las consecuencias de no realizar el pago. Se adjunta contrato con Vodafone en el que se establece la prestación de servicios de envío de SMS certificados. El control de devoluciones, se realiza a través de Vodafone. En este sentido, el SMS certificado que se adjunta al presente, la comunicación resultó: “Finalizado en Destinatario”. e).- Figura inscrita una deuda asociada al denunciante en el fichero ASNEF, informada por AVON, con fecha de alta el 07/03/16 y por importe de 115,29 euros. f).- Existe una carta del denunciante dirigida a AVON, el 15/05/17, donde denuncia su inclusión en los ficheros de solvencia y acompaña la denuncia interpuesta ante la Policía Local de Aguilar (Córdoba). g).- Los datos fueron dados de baja del fichero ASNEF el 27/07/17. h).- No consta acreditado que el denunciante mantuviera relación alguna con la empresa AVON, ni en calidad de distribuidor ni en calidad de cliente. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a AVON, que ha quedado reflejada en los hechos declarados probados arriba relatados. AVON es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia relacionados con los art. 6.1 y 4.3, LOPD, Sobre las cuestiones alegadas a la propuesta de resolución, por la representación de AVON, indicar, respecto a las puntualizaciones iniciales que, en ningún momento la propuesta de resolución recrimina a AVON la no aportación de documentación que pruebe el estado en que se encuentra en la actualidad las diligencias previas, ya que, a causa de un error de hecho, donde se dice: “…que la denunciada…” debería haber indicado: “…que en la denuncia…” haciendo referencia a que el SR. C.C.C. no había aportado, hasta el momento, ninguna prueba del estado de tramitación en vía judicial de su denuncia, limitándose a indicar en su escrito de denuncia que “existen diligencias previas en el Juzgado de Aguilar y que el asunto lo está investigando la Guardia Civil”. Por lo que, entre la infracción administrativa que se valora en este expediente sancionador y la posible infracción penal que se pudieran derivar de las Diligencias Previas practicadas por el órgano jurisdiccional, situación alegada solamente por el SR. C.C.C. en su escrito de denuncia. No obstante, en este caso, como ya se expuso en la propuesta de resolución, el sujeto infractor no sería el mismo ya que, respecto a las infracciones administrativas de la LOPD el responsable es la entidad AVON, en tanto que el hipotético responsable penal de un eventual delito de usurpación de estado civil o estafa seria el tercero que se hubiera hecho pasar por el denunciante. Por otra parte, el bien jurídico protegido por la LOPD es el derecho fundamental a la protección de datos personales y el bien jurídico que se protege en los tipos penales cuya comisión, alega el denunciante, investiga el Juzgado de Instrucción serían el estado civil y el patrimonio, respectivamente. En este sentido, se vuelve a recordar la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010). En consideración a lo expuesto no puede prosperar la cuestión planteada por la representación de AVON y debe ser rechazada Sobre que la normativa de protección de datos no fuera de aplicación en este caso, indicar que, aunque la compañía denunciada asegura que el SR. C.C.C. era distribuidor de AVON por lo que actuó como empresario individual, más aún, como distribuidor puro, pero AVON no ha demostrado a lo largo de este procedimiento, mediante la aportación de alguna prueba la veracidad de esta afirmación. En este punto, hay que recordar una vez más, doctrina consolidada de la AN, (SAN 23/04/2015, Rec. 97/2014): “la concurrencia del consentimiento inequívoco del artículo 6.1 LOPD exigido para el tratamiento de datos personales por parte de un tercero, en el caso de que el titular de los datos niegue haberlo otorgado, corresponde acreditarlo a quien realiza el referido tratamiento”. Pues bien, incumbe a la empresa denunciada la carga de acreditar que ha recabado el consentimiento inequívoco del titular de los datos objeto de tratamiento o, al menos, que ha adoptado las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD, tanto en el tratamiento de los datos personales C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 como en el hecho de incluir esos datos en el fichero de solvencia y crédito. Situación que no se ha producido hasta el momento, en este procedimiento. AVON, NO aporta ningún documento que acredite que el SR. C.C.C. realizó el proceso de alta como distribuidor; NO aporta ningún formulario o contrato suscrito por el denunciante con la compañía y “avalado por las Delegada de Ventas” tal y como se indica la compañía en su escrito de alegaciones; NO aporta fotocopia de DNI o documento que acredite la identidad del contratante; NO se aporta correo electrónico enviado al presunto distribuidor para darse de alta ni la aceptación de las condiciones del contrato mercantil. Solamente se trascribe un “log de aceptación” realizado por web con algunos datos que concuerdan con los del denunciante, pero incluso en este caso, NO se incluyen datos esenciales, como puede ser su DNI. Además, ni la fecha de nacimiento ni la dirección ni el número de teléfono concuerdan con los aportados por el denunciante a esta Agencia. Por último, sobre la inaplicabilidad de la normativa de protección de datos en este caso, indicar que los hechos denunciados en este procedimiento, no versan sobre una presunta infracción de AVON en materia de protección de datos, en relación al tratamiento de los datos personales de uno de sus distribuidores, si no, sobre el tratamiento que ha realizado AVON sobre los datos de una persona totalmente ajena a ellos, que denuncia que nunca ha tenido contacto con AVON, ni para comprar producto ni para hacerse distribuidor de sus productos, ni para cualquier otro asunto en el que pueda existir una relación contractual o mercantil, denunciando a esta Agencia que fue fruto de un fraude y que AVON trató sus datos personales sin su consentimiento. Es más, esos datos han sido incluidos en ficheros de solvencia patrimonial y de crédito sin cumplir el requisito previo de deuda cierta veraz y exigible, sin entrar a valorar el procedimiento seguido para el requerimiento previo de la deuda. Nada tiene que ver, por tanto, el tratamiento de los datos personales de esta persona con el tratamiento de los datos personales de sus distribuidores. Así, las sentencias de la Audiencia Nacional 401/2016 de 23 de marzo (JUR/2016/170196) y número 157/2016 de 4 de marzo (JURA2016/72710), que la compañía intenta relacionar con este caso, hacen referencia al tratamiento de los datos de carácter personal realizados por AVON respecto a personas que tuvieron alguna relación contractual con la compañía (distribuidores). Situación que no se da en este caso, por lo que no procede considerar aquí, las alegaciones de la representación de AVON que hacen referencia sobre este asunto. III Infracción del artículo 6.1 de la LOPD: La entidad denunciada no ha presentado ninguna prueba del consentimiento inequívoco del denunciante en la contratación, ni ha aportado tampoco prueba alguna que demuestre que articuló los mecanismos necesarios que evitaran el fraude en dicha contratación, se concluye, por tanto, que la conducta descrita vulnera el principio que proclama el artículo 6.1 de la LOPD. Esta infracción se encuentra tipificada como "GRAVE" en el artículo 44.3.
5. b)de la LOPD, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.3 de la citada Ley. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 No obstante, se atiende a lo estipulado en el artículo 45.5.
6. b)de la LOPD, donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el 27/07/17, la empresa procede a dar de baja la deuda y los datos del denunciante del fichero de solvencia y crédito ASNEF. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: a).- El carácter continuado de la infracción, al estar los datos del denunciante gestionado por la empresa desde el 18/11/15 hasta el 27/07/17 (20 meses y 9 días), sin su consentimiento, (apartado 4.a agravado). b).- Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c). c).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d), Como criterios atenuantes, se deben considerar la NO reincidencia por comisión de infracciones de la misma naturaleza de la entidad denunciada (apartado 4.
7. g)del mismo artículo 45.4 de la LOPD. El balance de las circunstancias contempladas en el artículo 45 de la LOPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 de la LOPD, permite fijar una sanción de 32.000 (treinta y dos mil euros). V Infracción del artículo 4.3 de la LOPD: En cuento a la inclusión de los datos personales en el fichero ASNEF, los mismos fueron incluidos el 07/03/16 y dados de baja el 27/07/17, (15 meses y 20 días después), sin que la empresa haya justificado que dicha inclusión cumpla los requisitos marcados en la LOPD y en el RLOPD, ya que se incluyen los datos de una persona en ASNEF, que no tiene ninguna relación con la empresa, por una deuda no cierta, y por lo tanto que no se le puede exigir. Esta infracción se encuentra tipificada como "GRAVE" en el artículo 44.3.
8. c)de la LOPD, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.3 de la citada Ley. VI No obstante se atiende a lo estipulado en el artículo 45.5.
9. b)de la LOPD, donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el 27/07/17, la empresa procede a dar de baja los datos del denunciante del fichero ASNEF. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: a).-El carácter continuado de la infracción, al estar los datos incluidos en ASNEF desde el 07/03/16 y hasta el 27/07/17, (15 meses y 20 días), (apartado 4.a agravado). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 b).- Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c). c).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d). Como criterios atenuantes, se deben considerar la NO reincidencia por comisión de infracciones de la misma naturaleza de la entidad denunciada (apartado 4.
10. g)del mismo artículo 45.4 de la LOPD. El balance de las circunstancias contempladas en el artículo 45 de la LOPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 4.3 de la LOPD, en relación con el artículo 38.1.
11. a)del RLOPD, permite fijar una sanción de 32.000 (treinta y dos mil euros). VII El balance conjunto de las circunstancias contempladas anteriormente, permite fijar una sanción total de 64.000 (sesenta y cuatro mil euros). Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, VIII Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad AVON COSMETICS SAU., una sanción total de 64.000 (sesenta y cuatro mil euros), por la infracción de los artículos 6.1 y 4.3) de la LOPD, de conformidad con lo establecido en el artículo 45 de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a AVON COSMETICS SAU. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
12. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es