REPOSICION-A-00022-2013

1/5 Procedimiento nº: A/00022/2013 Recurso de Reposición Nº RR/00536/2013 Examinado el recurso de reposición interpuesto por D. A.A.A. en representación de la entidad FOTOPRIX S.A. con CIF nº: ********** (en lo sucesivo el recurrente) contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00022/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 9 de mayo de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento A/00022/2013, en virtud de la cual se acordaba apercibir a la entidad FOTOPRIX S.A., por la vulneración de lo dispuesto en el artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. d)de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 23 de mayo de 2013, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD (RLOPD). SEGUNDO: Como hechos del citado procedimiento A/00022/2013, quedó constancia de los siguientes: “PRIMERO: El denunciante contrató la elaboración de cinco fotolibros con la entidad FOTOPRIX S.A. con CIF nº: ********** tal y como se desprende de la copia de la factura del servicio contratado el 15 de noviembre de 2012. SEGUNDO: De los cinco fotolibros contratados, uno de ellos no se correspondía con el encargo realizado por el denunciante, puesto que incluía las fotografías de otra familia. Adjunta fotocopias de algunas de las fotos del libro equivocado. TERCERO: El denunciante aporta pantallazo de 3 de diciembre de 2012, del apartado “Mis incidencias y consultas” en la siguiente dirección electrónica: http://www.fotoprix........................... En esta página se incluyen tres comentarios/quejas del denunciante de 23, 26 y 27 de noviembre de 2012 con la referencia: “***REF.1Pedido Erróneo”. La contestación de la entidad denunciada el día 27 de noviembre de 2012, es la siguiente: “buenas tardes: ante todo disculparnos por la demora en atenderle debidamente. Le informamos que deberá entregar su pedido para que sea enviado a nuestro laboratorio y procedan inmediatamente a solventar la incidencia producida…” CUARTO: Le entidad denunciada junto a su escrito de alegaciones, durante el trámite de audiencia aporta dos certificados de destrucción de documentos realizada por la empresa RECOGIDA DE CHATARRA Y PAPEL XXXXXXXXXXXXXX, de 31 de diciembre de 2012 y 28 de febrero de 2013.” TERCERO: El recurrente en fecha 28 de junio de 2013 ha registrado en esta Agencia, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 recurso de reposición fundamentándolo, básicamente, en la reiteración de los argumentos expuestos en su escrito de 21 de marzo de 2013 (registrado en esta Agencia el 5 de abril). De hecho la alegación PREVIA del recurso señala que “damos por reproducido, en aras a la brevedad, todo lo manifestado en nuestro escrito de alegaciones de fecha 21 de marzo de 2013.” El recurrente fundamenta su recurso en la falta de legitimación activa del denunciante en el procedimiento nº: A/00022/2013, D. B.B.B., entiende que no estaba legitimado activamente para presentar la denuncia pues sus derechos no se habían visto conculcados ya que sus datos (fotografías) permanecieron custodiados en el laboratorio de la entidad denunciada. Invoca el artículo 18 de la LOPD que en relación con la tutela de derechos establece en su punto 1: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los interesados ante la Agencia de Protección de Datos, en la forma que reglamentariamente se determine.” Para saber que se entiende por interesado, el recurrente acude al artículo 3 de la LOPD que define en su letra
2. e)lo que se entiende por afectado o interesado: “persona física titular de los datos que sean objeto del tratamiento…”. Relacionando ambos artículos, el recurrente afirma que el denunciante no tiene legitimación activa porque no es el titular de los datos (fotografías) que por error le llegaron a su domicilio y por tanto no puede ser considerado como interesado para poder interponer una reclamación ante la Agencia de Protección de Datos. Como segundo motivo de su recurso, el recurrente manifiesta que su empresa maneja miles de ficheros diariamente con la máxima diligencia sin que se produzca ningún error. Sin embargo ocurren fallos técnicos imprevisibles de los que pueden derivar situaciones como la aquí analizada. En esos casos la política de la empresa es solucionar cualquier incidencia tal y como ha ocurrido en este supuesto con la destrucción de documentos por la empresa Recogida de Chatarra y Papel XXXXXXXXXXXXXX. Aunque la resolución que se recurre ya contempla estos extremos para no aplicar el procedimiento sancionador, el recurrente cree que con base en estas motivaciones debe revocarse el apercibimiento y acordarse el archivo de las actuaciones. Para la entidad recurrente es un asunto importante pues al haber sido apercibida si se produjera otro fallo técnico parecido dejarían de reunir los requisitos legales establecidos para la aplicación del apercibimiento, tramitándose en cambio un procedimiento sancionador. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos (AEPD), de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El recurrente alega falta de legitimación activa del denunciante en el procedimiento nº: A/00022/2013 que conllevaría la nulidad del procedimiento y el archivo del mismo. Para ello aplica la definición de afectado o interesado recogida en el artículo 3.
3. e)de la LOPD a la que aparece respecto de la tutela de derechos, en el artículo 18 de la misma norma legal, entendiendo que sólo el interesado (titular de los datos que se tratan) puede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 interponer reclamación ante esta Agencia. No obstante, hay que informar a la entidad recurrente que la motivación que realiza es errónea pues aplica especialidades procedimentales de la tutela de derechos al régimen sancionador. La AEPD, lleva a cabo distintos procedimientos administrativos, uno de ellos es el de la tutela de los derechos reconocidos en la LOPD: acceso, rectificación, cancelación y oposición y otro diferente es el procedimiento administrativo sancionador derivado del ejercicio de la potestad sancionadora reconocida al Director de la AEPD en el artículo 37.1.
4. g)de la LOPD. En el título IX del RLOPD aparecen con mayor detalle que en la LOPD, todos los procedimientos tramitados por la AEPD, regulándose en su Capítulo II el “Procedimiento de tutela de los derechos de acceso, rectificación, cancelación y oposición”, en cuyo artículo 117.1 efectivamente se dispone que “el procedimiento se iniciará a instancia del afectado o afectados…., pero es un procedimiento específico que se inicia tal y como señala el artículo 18.2 de la LOPD cuando “…se deniegue, total o parcialmente, el ejercicio de los derechos de oposición, acceso, rectificación o cancelación….”. El caso que nos ocupa es diferente no se solicita la tutela de la AEPD en relación con los derechos reconocidos en la LOPD, sino que ha ingresado una denuncia que comunica una posible infracción de los preceptos de la LOPD y su normativa de desarrollo. El análisis de los hechos comunicados concluye en una imputación por infracción del artículo 10 de la LOPD (vulneración del deber de secreto) tipificada como grave en el artículo 44.3.
5. d)de la misma norma legal y sancionada en el artículo 45.2 de la LOPD con multa de 40.001 a 300.000 euros. La articulación jurídica de la imputación hasta la sanción se realiza a través de un procedimiento administrativo, el sancionador que puede finalizar con sanción económica, archivo de las actuaciones o apercibimiento si se reúnen los requisitos del artículo 45.6 de la LOPD. A través del procedimiento administrativo sancionador se ejercita la potestad sancionadora reconocida en el artículo 37 de la LOPD al Director de esta Agencia. El artículo 48.1 de la LOPD establece que: “Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título.” En la práctica no hay un procedimiento administrativo sancionador propio aplicable a las infracciones reconocidas en la LOPD (salvo alguna especialidad reconocida en la ley) por ello se aplica el procedimiento sancionador general establecido en el Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora (RD 1398/93), en cuyo artículo 1 regula su objeto y ámbito de aplicación en los siguientes términos: “La potestad sancionadora se ejercerá mediante el procedimiento establecido en este Reglamento, en defecto total o parcial de procedimientos previstos en las correspondientes normas…” El artículo 11.1 de este Real Decreto, respecto a la forma de iniciación del procedimiento sancionador señala: “Los procedimientos sancionadores se iniciarán siempre de oficio, por acuerdo del órgano competente, bien por propia iniciativa o como consecuencia de orden superior, petición razonada de otros órganos o denuncia….
6. d)Denuncia: El acto por el que cualquier persona, en cumplimiento o no de una obligación legal, pone en conocimiento de un órgano administrativo la existencia de un determinado hecho que pudiera constituir infracción administrativa. Las denuncias deberán expresar la identidad de la persona o personas que las presentan, el relato de los hechos que pudieran constituir infracción y la fecha de su comisión y, cuando sea posible, la identificación de los presuntos responsables.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Con base en lo hasta aquí expuesto la alegación de falta de legitimación activa del denunciante, realizada por la entidad recurrente, no puede tenerse en cuenta, pues al tratarse del ejercicio de la potestad sancionadora, se inicia de oficio por una denuncia. El denunciante no tiene porqué ser el titular de los datos, puede ser cualquier persona. En cuanto a la segunda alegación de la entidad recurrente, en relación con que la vulneración del deber de secreto se produjo como consecuencia de un fallo técnico imprevisible, conforma el fondo del análisis realizado en la resolución que se recurre y a la que, para evitar repeticiones inútiles se remite al recurrente. Precisamente el propio recurrente en su escrito señala que estas circunstancias se han tenido en cuenta por el órgano instructor a la hora aplicar no la sanción económica establecida por una infracción grave sino el apercibimiento. En cuanto a la posibilidad de futuros fallos técnicos que dieran lugar a la incoación de un procedimiento sancionador que finalizaría en la imposición de una sanción económica, cabe señalar, que en la resolución recurrida se analizan y califican hechos ya ocurridos, los que están por venir se analizarán y calificarán conforme la regulación vigente en el momento de producirse teniéndose en cuenta todas las circunstancias (diligencia, rigor, etc.) que puedan favorecer la gradación de la multa e incluso el archivo del procedimiento. III Por tanto, dado que, en el presente recurso de reposición, la entidad FOTOPRIX S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por la entidad FOTOPRIX S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 9 de mayo de 2013, en el procedimiento A/00022/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad FOTOPRIX S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos En cumplimiento del artículo 5 de la Ley Orgánica 15/1999, se le informa de que los datos de carácter personal se incluyen en el fichero denominado “Expedientes de la Inspección de Datos”, creado por Resolución de 27 de julio de 2001. La finalidad del fichero es la gestión y tramitación de expedientes de la Inspección de Datos. Pueden ser destinatarios de la información los interesados en los procedimientos, los órganos jurisdiccionales, el Ministerio Fiscal, el Defensor del Pueblo, otras Autoridades de Control, las Administraciones Públicas y las Cortes Generales. El afectado podrá ejercitar los derechos de acceso, rectificación, cancelación y oposición ante el responsable del tratamiento, la Agencia Española de Protección de Datos, calle Jorge Juan nº 6, 28001 Madrid. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es