1/7 Expediente nº.: EXP202307863 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 20 de enero de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 20 de enero de 2025, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202307863, procediéndose al archivo de las actuaciones previas de investigación. Dicha resolución fue notificada a la parte recurrente en fecha según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 11 de febrero de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, aportando la siguiente documentación: Entrada número REGAGE(...), en la que se adjuntan los siguientes documentos: - DOCUMENTO_N_1__(...)_229.pdf DOCUMENTO_N_2__(...)_259.pdf DOCUMENTO_N_3__(...)_262.pdf DOCUMENTO_N_4__(...)_2312025.jpeg Entrada número REGAGE(…), en la que se adjuntan los siguientes documentos: - DOCUMENTO_N_5__(...)_2612025.jpeg - DOCUMENTO_N_6__(...)_2912025.jpeg DOCUMENTO_N_7__(...)_2912025.jpeg - DOCUMENTO_N_8__(...)_319.pdf Entrada número REGAGE(…), en la que se adjuntan los siguientes documentos: - DOCUMENTO_N_9__ (…) pdf DOCUMENTO_N_10__ (…).xlsx DOCUMENTO_N_11__ (…).pdf DOCUMENTO_N_12__ (…).xlsx C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 Entrada número REGAGE(…), en la que se adjuntan los siguientes documentos: - DOCUMENTO_N_13__(...)_321.pdf DOCUMENTO_N_14__ (…).pdf - DOCUMENTO_N_15__ (…).pdf DOCUMENTO_N_16__ (…).pdf Entrada número REGAGE(…), en la que se adjunta el siguiente documento: - DOCUMENTO_N_17__(…) Con fecha 12 de febrero de 2025, en la entrada número REGAGE(…), se aportan los siguientes documentos: - DOCUMENTO_N_18__ (…).pdf DOCUMENTO_N_19__ (…).pdf DOCUMENTO_N_20__ (…).pdf Con fecha 13 de febrero de 2025, en la entrada número REGAGE(…), se aporta el siguiente documento: - DOCUMENTO_N_21__(…).pdf Con fecha 17 de febrero de 2025, en la entrada número REGAGE(…), se aportan los siguientes documentos: - Recurso_de_reposicin_2.pdf - ESCRITO DIRIGIDO A PRESIDENCIA DE LA AEPD DOCUMENTO_N_22__ (…).pdf DOCUMENTO_N_23__ (…).pdf DOCUMENTO_N_24__ (…). FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 II Contestación a las alegaciones presentadas 1. Alegaciones y documentos nuevos Conforme a los artículos 118.1 y 123.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), el objeto del recurso potestativo de reposición es la revisión de los actos en vía administrativa por los mismos órganos que los dictaron, a partir de los hechos y pruebas ya incorporados al expediente. En este caso, la parte recurrente aporta en su escrito de recurso documentación nueva que no fue aportada en su denuncia inicial. Esta actuación impidió a esta Agencia su valoración en las actuaciones previas de investigación. La LOPDGDD regula las especialidades del procedimiento sancionador en materia de protección de datos, en la cual cada fase tiene su función y finalidad, correspondiendo en las actuaciones previas de investigación la determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La aportación tardía de prueba solo se justifica si se trata de hechos nuevos o de imposible conocimiento anterior, lo que no se alega ni acredita en este caso, máxime, tal y como se razona en la alegación anterior, los documentos aportados son de los años 2018 a 2021. Por lo tanto, no puede tenerse en cuenta la documentación aportada extemporáneamente en el recurso, por ser contraria a lo dispuesto en el artículo 118.1 LPACAP, en tanto que no concurre ninguna circunstancia excepcional que justifique su admisión en esta fase. 2. Prescripción de los hechos objeto de recurso Aunque los documentos se hubieran aportado junto a la reclamación, las presuntas infracciones estarían prescritas. Con relación a la documentación aportada en los días 11, 12 y 13 de febrero de 2025 por la parte recurrente como evidencias de la posible comisión de infracciones por parte de NATIONALE NEDERLANDEN GENERALES COMPAÑÍA DE SEGUROS Y REASEGUROS, S.A. (en adelante, NATIONALE NEDERLANDEN), es preciso señalar que se presentan documentos internos de NATIONALE NEDERLANDEN, correos electrónicos y un contrato de agencia de fechas comprendidas entre los años 2018 y 2021. Por tanto, los hechos a los que alude dicha documentación habrían tenido lugar, como mínimo, hace más de tres años. De conformidad con lo establecido en la normativa vigente, en particular el artículo 72 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el plazo de prescripción de las infracciones leves es de un año, el de las graves es de dos años y el de las muy graves es de tres años, contados desde la fecha en que la infracción se hubiera cometido. En este sentido, al haber transcurrido con creces los plazos anteriormente indicados desde la fecha de los hechos a los que se refiere la parte recurrente, resulta evidente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 que dichos hechos se encuentran prescritos y, por tanto, no pueden ser objeto de procedimiento sancionador alguno. Por ello, procede declarar la prescripción de las supuestas infracciones alegadas, y, en consecuencia, no pueden aceptarse las alegaciones presentadas en base a hechos ya prescritos. Concretamente, respecto a la posible existencia de la comisión de una infracción del artículo 32 del RGPD atribuible a NATIONALE-NEDERLANDEN ESPAÑA, cabe reproducir lo razonado en la resolución recurrida: A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- f)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679. La parte reclamante señala en su escrito dirigido al Juzgado (...) lo siguiente: “A inicios de 2018, me entero que el Sr. A.A.A. se ha marchado de NATIONALENEDERLANDEN ESPAÑA (VIDA Y GENERALES) a la EMPRESA.1 y que parece además que está muy enfadado porque se le adeudan comisiones además de haber estado trabajando como “falso autónomo”. Según el rumor que se escucha entonces y al que no le doy más importancia, un cliente del Sr. A.A.A. que sería B.B.B., se lo ha llevado a la meritada Compañía con contrato laboral. Recupero como agente a C.C.C. y a toda su cartera en lo que parecía una reparación del anterior perjuicio sufrido. Unos meses después, D.D.D. y amigo del Sr. A.A.A. comunica su marcha a la EMPRESA.1. En esos momentos ya existe el rumor de que el Sr. A.A.A. se ha llevado datos personales de los clientes con objeto de que cancelen sus productos en NATIONALE NEDERLANDEN ESPAÑA (VIDA Y GENERALES) y contraten los de la EMPRESA.1 en beneficio económico y profesional del Sr. A.A.A. y de (…).” […] “Durante los años 2019 y 2020 siguen saliendo agentes de NATIONALE NEDERLANDEN ESPAÑA (VIDA Y GENERALES) con destino a la EMPRESA.1, y en ese proceso sigo perdiendo cartera y comisiones de mi cartera propia (…)” En consecuencia, de haberse producido una brecha de datos personales en la base de datos de NATIONALE NEDERLANDEN, la infracción atribuible a la reclamada por la falta de adopción de medidas de seguridad se encontraría prescrita, ya que habrían transcurrido más de dos años desde la última ocasión (año 2020) que la parte reclamante manifiesta que se habría producido la brecha en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 3. Presunción de inocencia En el presente caso, la documentación aportada en el recurso no acredita la supuesta sustracción de datos personales de clientes de la parte reclamada por parte de antiguos agentes trabajadores de NATIONALE NEDERLANDEN, así como su posterior cesión a otra entidad, concretamente, ***EMPRESA.1. En las actuaciones previas de investigación llevadas a cabo por esta Agencia de conformidad con el artículo 67 de la LOPDPGDD, se analizaron las medidas de seguridad con las que cuenta NATIONALE NEDERLANDEN, sin que pudiera acreditarse que se hubieran visto vulneradas o que se hubiese producido una brecha de seguridad en materia de protección de datos personales. Tampoco que las medidas existentes no sean adecuadas al riesgo derivado del tratamiento. De acuerdo con las medidas de seguridad de los sistemas de alojamiento aportadas por NATIONALE NEDERLANDEN, consistentes en el control de acceso de usuario y la identidad vinculada, el agente sólo puede visualizar información asociada a su cartera de clientes. Asimismo, quedó acreditado que los sistemas no permiten la descarga de listados completos de clientes, al no ser posible el acceso a información que exceda de la de sus propios clientes. Además, la baja de un agente supone su baja como usuario del sistema, lo que conlleva de forma automática la denegación de cualquier acceso a los sistemas de NATIONALE NEDERLANDEN. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 (STC) considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- a)(…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997, que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitan imputar a la parte reclamada la comisión de las infracciones de la normativa de protección de datos personales denunciadas, por lo que, no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 20 de enero de 2025, en el expediente EXP202307863. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es