1/7 Procedimiento nº.: E/01377/2014 ASUNTO: Recurso de Reposición Nº RR/00106/2015 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01377/2014 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2014, se dictó resolución por el Director de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/01377/2014, en la que se acordó el archivo de las actuaciones al amparo del principio de presunción de inocencia y a la vista del resultado de las investigaciones practicadas por la Inspección de Datos de la AEPD que desvirtuaron la eficacia probatoria de los documentos aportados por el denunciante. Dicha resolución fue notificada a A.A.A. en fecha 26 de diciembre de 2014, como lo acredita el acuse de recibo que obra en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 23 de enero de 2015, recurso de reposición, fundamentándolo, en esencia, en los argumentos que expuso en su día en el RR/691/2013, del que trae causa la presente resolución. Los antecedentes de la resolución que ahora se impugna se remontan a la denuncia que el recurrente presentó contra CABLEUROPA, S.A.U., (ONO) el 14/01/2013, que dio lugar a la tramitación del E/01789/2013 en cuya resolución se acordaba el archivo de la denuncia sin incoar actuaciones de investigación previa. El denunciante recurrió entonces tal resolución (RR/691/2013) invocando que no se había practicado ni una sola diligencia de investigación ante los hechos que había denunciado, que a su juicio, eran constitutivos de una infracción grave del artículo 10 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). Adujo como fundamento de tal recurso (RR/691/2013) que la omisión de la actividad investigadora por parte de la AEPD vulneraba el Reglamento de Desarrollo de la LOPD (RLOPD) y los artículos 89 y 78 de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas (LRJPAC). El Director de la AEPD estimó el RR/691/2013 en resolución de fecha 13/10/2013, declaró que existían “indicios que podrían demostrar la vulneración de la Ley Orgánica 15/1999” y ordenó a la Subdirección de Inspección de la AEPD que iniciara las actuaciones de investigación pertinentes en el marco del E/6584/2013. El E/6584/2013 se archivó por caducidad de las actuaciones previas al haber transcurrido el plazo fijado por el artículo 122 del RLOPD sin que recayera resolución y, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 en tanto no había prescrito la presunta infracción denunciada, el Director de la AEPD acordó, además, la apertura del E/1377/2014, en cuyo marco se efectuaron las correspondientes investigaciones y se dictó, en fecha 22/12/2014, la resolución que ahora se impugna Los argumentos que el recurrente esgrime son, en síntesis, que la Inspección de la AEPD no ha centrado su investigación en las cuestiones que a su juicio eran determinantes para acreditar que ONO vulneró la LOPD. En particular, dice, no se ha pedido a ONO que verifique que el tercero, el señor B.B.B., cliente de ONO que presuntamente tuvo acceso a sus datos personales a raíz de recibir un mail de la operadora que le permitía visualizarlos, efectivamente introdujo en el sistema de la entidad el número de teléfono inexistente ***TEL.1 asociado a sus datos personales y a los efectos de que sirviera de prueba de que había podido acceder a sus datos que obran en los sistemas de ONO. A juicio del recurrente, esta omisión en la investigación efectuada por la Inspección de Datos de la AEPD vulnera lo acordado por el Director de la Agencia en su resolución de 31/10/2013. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El Real Decreto 1720/2007 por el que se aprueba el Reglamento de Desarrollo de la LOPD, a propósito del procedimiento para el ejercicio de la potestad sancionadora, establece en su artículo 122: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano.(…).” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Aduce el recurrente como fundamento del recurso de reposición que la investigación llevada a cabo por la Inspección de Datos de la AEPD vulnera lo acordado por el Director de la Agencia en su resolución de 31/10/2013, pues tal investigación no se ha centrado en las cuestiones que –a su juicio- eran determinantes para acreditar que ONO vulneró la LOPD, en particular que fue el tercero, el Sr. B.B.B., quien efectivamente introdujo en el sistema de la entidad el número de teléfono inexistente ***TEL.1 asociado a sus datos personales y a los efectos de que sirviera de prueba de que había podido acceder a éstos. En respuesta al alegato del recurrente debe indicarse que la decisión del Director de la AEPD recaída en el RR/00691/2013 consistió en ordenar a la Subdirección que llevara a cabo actuaciones de investigación a fin de determinar la presunta vulneración de la normativa de protección de datos. Las actuaciones de investigación deben efectuarse de conformidad con lo prevenido en el artículo 122 del RLOPD, por tanto con la finalidad de determinar si los hechos acaecidos justifican la apertura de un expediente sancionador, identificar al responsable y delimitar aquellas circunstancias concurrentes que sean relevantes. En el asunto que nos ocupa, a la luz del Informe de Actuaciones Previas de Inspección y de los argumentos expuestos en la Resolución que se impugna se evidencia que tales investigaciones fueron exhaustivas y que cumplieron las finalidades que, conforme al artículo 122 del RLPD, deben perseguir las actuaciones de investigación. Así, a tenor tanto del Informe de Actuaciones de Inspección como del texto de la resolución impugnada, se evidencia que en ningún caso se ha vulnerado el acuerdo adoptado por el Director de la AEPD en el RR/00691/2013. A mayor abundamiento debe indicarse que, como resultado de las investigaciones efectuadas, quedó desvirtuada la fuerza probatoria que, a priori, se había otorgado a algunos de los documentos adjuntos a la denuncia y que justificaron la decisión adoptada por el Director de la AEPD en el RR/00691/2013 de estimar el recurso, al ver en ellos indicios razonables de la presunta comisión de los hechos denunciados. A tal fin, reproducimos los Fundamentos II y III de la resolución impugnada: << II El artículo 10 de la LOPD regula el “Deber de secreto” y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Este precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por los titulares de los datos. Así, el Tribunal Superior de Justicia de Madrid manifestó en su sentencia de 19/07/01 que “El deber de guardar secreto del artículo 10 queda definido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. La Audiencia Nacional de manera reiterada viene entendiendo que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero “sin que pueda presumirse tal revelación” (por todas SAN de 11 de junio de 2009) La infracción del artículo 10 LOPD se tipifica en el artículo 44.3.
- d)de la Ley Orgánica como infracción grave, precepto que dispone: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. III La denuncia que examinamos versa sobre la supuesta revelación de los datos personales del denunciante -nombre y apellidos, domicilio, DNI, dirección de correo electrónico, datos bancarios, la posibilidad de modificar esos datos, y la contraseña- que ONO habría hecho a una tercera persona (B.B.B.) a través del correo electrónico que le dirigió y que le habría permitido acceder a los datos del denunciante que figuran en los ficheros de la operadora. A fin de acreditar la realidad de la conducta sobre la que versa la denuncia, la Inspección de Datos de la AEPD solicitó a B.B.B. una copia del correo electrónico que dice haber recibido de ONO. De la respuesta ofrecida y de la documentación que aporta se evidencian los siguientes extremos relevantes: El correo electrónico que está en el origen de la presente denuncia consta recibido el 30/11/2013. En él ONO comunicaba: “Tu factura ya está disponible” y figura como “Fecha factura” el “26/11/2013”. Además incluye un enlace, “Consulta tu factura” que remite a la URL <https://www.ono.es................... Examinada esta URL la Inspección de la AEPD comprobó que en ella no se identifica al usuario; esto es, al denunciante. Se aprecia una importante discrepancia entre los hechos relatados por el denunciante y la documentación facilitada por el Sr. B.B.B.. Mientras el denunciante declaró que fue el 04/01/2013 cuando recibió un correo electrónico del Sr. B.B.B. informándole de que ONO le había revelado sus datos personales, hecho que le llevó a presentar denuncia ante la AEPD en fecha 14/01/2013, el correo electrónico aportado por el Sr. B.B.B. -que supuestamente fue el elemento que le permitió conocer los datos personales del denunciante- se envió a su dirección electrónica, ...........@gmail.com, desde ONO, ....@ono.com, el 30/11/2013. En otros términos, los hechos que se denuncian habrían acontecido más de diez meses antes de que ONO enviara al Sr. B.B.B. el correo electrónico que le permitió, supuestamente, acceder a información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 personal del denunciante. La inspección practicada en la sede de ONO puso de manifiesto otras circunstancias relevantes a los efectos que nos ocupan. Así, se accedió por los inspectores actuantes a los sistemas de información de la operadora, realizando una consulta por el NIF del denunciante y comprobándose que entre sus números de teléfono de contacto figura el ***TEL.1. Se accedió a los contactos que este cliente mantuvo con la operadora, observando que no aparecía rastro alguno de la queja número ******** que, conforme a la documentación facilitada por el denunciante es la que planteó a ONO en relación con los hechos que denuncia y que según el documento que aporta se abrió el día 04/01/2013 y se cerró el 07/01/2013. La investigación se dirigió, asimismo, hacia el “supuesto” cliente de ONO, el Sr. B.B.B.. Se comprobó que el único cliente con estos apellidos es **** C***** ***APELLIDO-B.B.B. cuya dirección electrónica es ....@hotmail.com., que nada tiene que ver con aquella otra en la que, supuestamente, recibió un correo electrónico de la operadora ONO: ...........@gmail.com. Los inspectores accedieron también desde los sistemas de ONO a las modificaciones de los datos de este cliente (**** C***** ***APELLIDO-B.B.B.) verificando que no había constancia de que su dirección electrónica se hubiera modificado. En esa misma línea se comprobó que las facturas del cliente **** C***** ***APELLIDO-B.B.B. están emitidas el 01/10/, 01/11/, y 01/12 y que no tiene emitida ninguna factura de fecha 26/11/2013. Así las cosas debemos concluir que habiendo quedado desvirtuada, como consecuencia del resultado de las investigaciones llevadas a cabo por la Inspección de la AEPD, la eficacia probatoria que el denunciante atribuía a los documentos adjuntos con su denuncia, el único elemento en el que se sustenta la conducta infractora atribuida a ONO es su manifestación, insuficiente por sí sola para enervar el principio de presunción de inocencia. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento el artículo 137 de la Ley 30/1992, de 26 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en STS de 26/10/1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por su parte el Tribunal Constitucional en STC 24/1997 ha manifestado que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, en el presente caso, a la luz del principio de presunción de inocencia -que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor- corresponde acordar el archivo de las actuaciones de investigación practicadas.>> III Dado que en el presente recurso de reposición no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 22 de diciembre de 2014, en el expediente de actuaciones previas de inspección E/01377/2014. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es