REPOSICION-E-02522-2013

1/6 Procedimiento nº.: E/02522/2013 ASUNTO: Recurso de Reposición Nº RR/ 00164/2014 Examinado el recurso de reposición interpuesto por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02522/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 16 de enero de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/02522/2013, en virtud de la cual se acuerda no iniciar un procedimiento sancionador. Dicha resolución, que fue notificada a la entidad recurrente en fecha 22 de enero de 2014, según aviso de recibo que figura en el expediente. SEGUNDO La ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓNFACUA (en lo sucesivo la entidad recurrente) presentó, en fecha 21 de febrero de 2014 en la correspondiente oficina de Correos y Telégrafos, recurso de reposición, siendo registrada su entrada en esta Agencia el 25 de febrero de 2014, y fundamentándolo por un lado, en que la infracción no había prescrito en la fecha de entrada de la denuncia interpuesta y, por otro, en la falta de inscripción de fichero que se ajuste al tratamiento de las imágenes obtenidas en la realización de la actividad “bocata sano”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II La primera de las manifestaciones realizada por la entidad recurrente hace referencia a que consideran que la infracción no estaba prescrita en la fecha de entrada de su denuncia, y ello en la medida en que los formularios objeto de denuncia fueron C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 entregados a los padres de los alumnos participantes en el último trimestre de 2012, y la denuncia en enero de

1. Sobre este particular cabe señalar que la entidad recurrente no aporta junto con su recurso documentación que avale tal afirmación (que fueron entregados en el último trimestre del 2012) y, por tanto, tal y como se indica en la resolución recurrida, “En el otro formulario se solicita la autorización de los padres para que sus hijos participen en el evento junto con la autorización para que puedan captarse imágenes de los niños y para la cesión de los derechos de explotación a Carrefour. En este formulario las autorizaciones se encuentran sin individualizar, es decir, sin casilla o distintivo en el que se pueda autorizar la participación en la actividad sin autorizar la cesión de imágenes. Así no permite a los padres manifestar expresamente su negativa al tratamiento y cesión de las imágenes de sus hijos. Ahora bien ha de tenerse en cuenta que éste último se utilizó conjuntamente con el anterior en el año 2012, tal y como se desprende del formulario-modelo aportado por FACUA y de los formularios cumplimentados por los padres y aportados por CARREFOUR, que en ninguno de ellos consta la fecha exacta de su utilización y que dicha indeterminación ha de favorecer al presunto infractor en aplicación del principio “indubio pro reo” Por ello, de acuerdo con lo dispuesto en el artículo 47.1 de la LOPD, que establece que “
2. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.”, cabe considerar que la presunta infracción leve denunciada se encontraba prescrita en la fecha de interposición de la denuncia en mayo de
3. “ Por tanto, no hay evidencias que permitan señalar que CENTROS COMERCIALES CARREFOUR S.A. haya infringido el artículo 5 de la LOPD, y ello se deduce de las actuaciones de inspección practicadas por esta Agencia, así como por el hecho de que no se hayan obtenido evidencias o indicios de los que se derive la existencia de la infracción. III La segunda manifestación realizada por la entidad recurrente hace referencia a la inexistencia de fichero registrado en el Registro General de Protección de Datos de esta Agencia por parte de Carrefour que haga referencia al tratamiento de imágenes obtenidas en la actividad objeto de denuncia. En este sentido, cabe destacar que con fecha 30 de enero de 2014, la Subdirección General del Registro General de Protección de Datos procedió a remitir requerimiento a Carrefour para que procediera a notificar a dicha Subdirección aquellos ficheros de los que fuera responsable en relación con la actividad “bocata sano” objeto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 de denuncia. En fecha 18 de febrero de 2014 se recibe escrito de la citada entidad en el que se señala que “en el momento en que se hayan realizado todos los trámites internos para la inscripción de este fichero, se notificará a la AEPD con el fin de que se inscriba el citado fichero”, motivo por el que puede deducir que existen suficientes indicios que motivan la estimación del recurso planteado. No obstante a lo anterior y en la medida en que la denuncia fue presentada en esta Agencia en fecha 26 de febrero de 2013 procede declarar la caducidad de las actuaciones previas a tenor del artículo 122 del Reglamento de desarrollo de la LOPD: “
4. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación… 4.Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas” , y conforme a la Sentencia de la Audiencia nacional de 19 de julio de 2013 que señala: “Pues bien, existiendo en el presente supuesto denuncia del afectado que dio origen a las actuaciones administrativas que desembocaron en la incoación del expediente sancionador PS/00441/2011 contra BANCO SANTANDER, S.A. y, finalmente, en la resolución sancionadora recurrida, resulta evidente que el “dies a quo” para el cómputo del plazo de caducidad de las actuaciones previas de investigación, viene determinado por la fecha de presentación de tal denuncia, con independencia de que no fuera atendida inicialmente. El hecho de que tras la denuncia se acordara por el Director de la Agencia Española de Protección de Datos no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, para a continuación, en respuesta al recurso de reposición formalizado por el denunciante contra tal acuerdo, resolver su estimación y la ordenar a la Subdirección General de Inspección de Datos que se procediera a realizar actuaciones de inspección, no enerva aquella conclusión. Sentado lo anterior y no existiendo controversia acerca de la fecha que debe operar como “dies ad quem” en este caso, el 17 de octubre de 2011, fecha de notificación al denunciado de la resolución que acordó iniciar procedimiento sancionador a BANCO SANTANDER, S.A., resulta patente que las actuaciones previas de investigación habían caducado ya en esta fecha, por lo que debieron ser archivadas y no resultaban susceptibles de sustentar la incoación del citado procedimiento sancionador.” Así las cosas, procede declarar la caducidad de las actuaciones de inspección iniciadas tras la denuncia y acordar el inicio de nuevas actuaciones, en aplicación a la doctrina recogida en la Sentencia de la Audiencia Nacional de fecha 10 de julio de 2013, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 que dispone: “ TERCERO.- Alega, en segundo lugar, la parte demandante que se produjo la caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de investigación con número E/03901/2010 por los mismos hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD. Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso. Recordemos que el procedimiento sancionador PS/00527/2011 trae causa de las actuaciones previas de investigación E/03901/2010, iniciadas por orden del Director de la Agencia Española de Protección de Datos, en la que dio instrucciones el 17 de noviembre de 2010 a la Subdirección General de Inspección de Datos para que procediera a realizar actuaciones de inspección, en relación con un escrito presentado por don Juan Manuel Medina Soto en fecha 10 de noviembre de 2009, en el que manifestaba que “FENIX CARTERA (COLLE)” había incluido sus datos de carácter personal en el fichero de solvencia patrimonial y crédito ASNEF en fecha 7 de marzo de 2008 sin requerimiento de pago, practicándose diversas actuaciones para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 esclarecimiento de los hechos denunciados. Practicadas las actuaciones de investigación, mediante resolución de 7 de noviembre de 2011 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador PS/00527/2011 a COLLECTA SERVICIOS DE GESTIÓN DE COBROS S.A. por la posible infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y los artículos 38 y 39 del Reglamento de desarrollo de la LOPD, tipificada como grave en el articulo 44.3.c) de la LOPD, siendo notificado tal acuerdo a esta entidad el 11 de noviembre siguiente. Por consiguiente, no se incurrió en caducidad en estas últimas actuaciones previas de investigación, pues no se rebasó el plazo de duración máxima de doce meses que para las mismas establece el artículo 122 del Reglamento del la LOPD Por lo expuesto, procede rechazar este motivo de impugnación.” En el supuesto presente, dado que conforme al artículo 47 de la LOPD “las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año” la infracción no ha prescrito, por lo que se procede a iniciar nuevas actuaciones previas de investigación en el marco del expediente E/01679/
5. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA contra la resolución de esta Agencia dictada con 16 de enero de 2014, en el expediente de actuaciones previas de inspección E/02522/2013,en lo relativo a la falta de inscripción de fichero por Carrefour, declarar caducadas las actuaciones previas que se tramitaron bajo el expediente E/02522/2013 y proceder por parte de la Subdirección General de Inspección de esta Agencia a realizar actuaciones de investigación en el marco del expediente de actuaciones previas E/01679/
6. SEGUNDO: NOTIFICAR la presente resolución CONSUMIDORES Y USUARIOS EN ACCIÓN-FACUA. a la ASOCIACIÓN DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es