1/5 E/03167/2014 Recurso de Reposición Nº RR/00417/2015 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos, de fecha 27 de marzo de 2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de marzo de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos, acordando el archivo por caducidad de la denuncia nº E/03167/2014, presentada por D. A.A.A., e instando la apertura del expediente B.B.B., puesto que, a pesar de declarar caducadas las actuaciones previas, la posible infracción grave objeto de denuncia (incumplimiento del artículo 4 de la LOPD) no había prescrito. Dicha resolución, fue notificada al recurrente en fecha 14 de abril de 2015, según aviso de recibo que figura en el expediente. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) presentó en la oficina de correos de Jerez de la Frontera, en fecha 12 de mayo de 2015, recurso de reposición, teniendo entrada en el Registro de esta Agencia Española de Protección de Datos, en fecha 20 de mayo de 2015, fundamentándolo, básicamente, en la reiteración de los argumentos expuestos en su escrito de denuncia de 22 de abril de 2013 y sucesivos, indicando su disconformidad con el cómputo de la caducidad de las actuaciones previas. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por el recurrente, que reiteran básicamente las ya realizadas en el escrito de denuncia, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, basada en los fundamentos jurídicos que se trascriben a continuación: “El artículo 4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) bajo la rúbrica “calidad de datos” recoge el principio de calidad de datos y dispone, en sus apartados 3 y 4, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 “
- Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. “
- Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16” Añade el artículo 8 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, en su apartado 5: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento específico para ello. Cuando los datos hubieren sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviere el tratamiento de los datos deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de las interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este Reglamento.” Así las cosas el responsable del fichero o tratamiento tiene la obligación de actualizar o cancelar de oficio los datos inexactos en el plazo de diez días a contar desde que tuviese conocimiento de la inexactitud. Si no se realizan las rectificaciones que procedan, con motivo de la inexactitud de los datos, se estaría infringiendo el principio de calidad de datos que prohíbe mantener en los ficheros datos inexactos y no actuales. En el caso que nos ocupa, de la documentación obrante en el expediente se desprende que, un tercero cuyo nombre y apellidos coinciden con los del denunciante, no ya su DNI, solicitó a través de una sucursal de BANCO POPULAR ESPAÑOL S.A un seguro de vida, formalizándose la correspondiente póliza en fecha 05/03/2009 pero, por error de la citada sucursal, dicho contrato se vinculó al denunciante, arrastrándose todos los datos de éste. No obstante lo anterior, en fecha 16/04/2009 la sucursal de BANCO POPULAR comunicó a la aseguradora ALLIANZ POPULAR VIDA S.A.U el error cometido (se aporta al expediente copia de la citada comunicación) pero, a pesar de las alegaciones de dicha aseguradora afirmando que, tras la comunicación de BANCO POPULAR ESPAÑOL S.A, procedió a la subsanación del error en la póliza del seguro, debemos señalar que ALLIANZ POPULAR VIDA S.A.U remitió escrito informativo asociado a la citada póliza en fecha 22/01/2014 (fecha posterior a haber tenido conocimiento de la inexactitud de los datos) dirigido a la dirección del denunciante (no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 siendo éste el titular de dicha póliza). No obstante, de conformidad con el art. 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en el Agencia Española de Protección de Datos (en este caso su denuncia tuvo entrada en fecha 22/04/2013) o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. No obstante lo anterior, el art. 92.3 de la Ley 30/1992 de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) establece que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. En el presente caso, estamos ante una posible infracción grave que si bien han de declararse caducadas las actuaciones previas, debemos destacar que ésta no ha prescrito, puesto que el plazo de prescripción de las infracciones graves es de 2 años, de conformidad con lo establecido en el artículo 44.3.c) y el artículo 47.1 de la LOPD, por lo que no existirá impedimento alguno para la apertura de un nuevo procedimiento dentro del citado plazo. En este mismo sentido se ha pronunciado el Tribunal Supremo en su Sentencia de 12 de junio de 2003 (RJ 2003, 4602) al determinar que “La declaración de caducidad y archivo de actuaciones establecidas para los procedimientos en que la administración ejercite potestades sancionadoras, art. 44.2 LRJPAC no extinguen la acción de la administración para ejercitar las potestades aludidas en ese precepto, siéndoles plenamente aplicable el art. 92.3 de la misma ley”. Con anterioridad a esta sentencia, la jurisprudencia del alto Tribunal, se había ya mostrado decididamente partidaria de la posibilidad de reinicio de un nuevo expediente sancionador para el caso de que la infracción no haya prescrito (STS de 16 de julio de 2001, 29 de octubre de 2001, 5 de noviembre de 2001, o 5 de diciembre de 2001). Sobre la base de lo expuesto, se dan instrucciones a la Subdirección General de Inspección de Datos para que, de oficio, se realicen las actuaciones oportunas, al objeto de determinar los extremos objeto de denuncia, para lo que se abre el expediente B.B.B.. III No obstante lo anterior, usted manifiesta estar de acuerdo con que la Subdirección General de Datos realice las actuaciones oportunas para determinar los extremos objeto de denuncia mediante la apertura del expediente B.B.B. pero, asimismo solicita que el E/03167/2014 objeto del presente recurso siga su curso, puesto que no está conforme con el cómputo de la caducidad de las actuaciones previas. A este respecto debemos señalar que, usted manifiesta que el cómputo para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 declarar la caducidad de las actuaciones previas se inicia el 22/04/2013, fecha en la que tuvo entrada su denuncia en el Registro de esta Agencia, pero usted considera que el cómputo de dicho plazo debe iniciarse con posterioridad, puesto que en fecha 03/04/2014 usted envió a esta Agencia una nueva denuncia al respecto. En primer lugar debemos indicar que no es posible la existencia de dos procedimientos abiertos en relación con los mismos hechos. No obstante lo anterior conviene aclarar los antecedentes que han dado lugar al recurso presentado: Con fecha 22 de abril de 2013 tuvo entrada en esta Agencia escrito del denunciante en el que manifestaba que la entidad BANCO POPULAR ESPAÑOL, S.A le había imputado una deuda que no era suya, al atribuirle contratos de otro cliente con el mismo nombre y apellidos que él, pero cuyo DNI era distinto. No obstante, tras la recepción del escrito del denunciante de fecha 20/11/2013 en el que éste solicitaba retirar su denuncia ante las explicaciones dadas por Banco Popular, se procedió al archivo de las actuaciones en fecha 07/04/
- No obstante lo anterior, en fecha 22 de abril de 2014 el denunciante presentó recurso de reposición, manifestando que, pese a las explicaciones dadas, BANCO POPULAR ESPAÑOL, S.A había vuelto a asociarle a otro producto no contratado por él, al recibir un escrito en el que la entidad ALLIANZ POPULAR VIDA SAU, perteneciente al grupo Banco Popular, le comunicaba que disponía de un seguro de amortización de créditos contratado con ellos, coincidiendo la numeración de dicha póliza con el último contrato asignado por error a su persona por Banco Popular, error que ya fue reconocido en su momento por dicha entidad, por lo que se procedió a la estimación del recurso de reposición instándose la apertura de nuevas actuaciones de inspección (E/03167/2014), expediente actual objeto del presente recurso. Volviendo a las manifestaciones realizadas en su escrito de recurso (en el que manifiesta su disconformidad con el cómputo de la caducidad de las actuaciones previas) debemos señalar que, su escrito de denuncia tuvo entrada en esta Agencia en fecha 22/04/2013, procediéndose al archivo de las actuaciones en fecha 07/04/2014, tras su solicitud de retirar la denuncia. Si bien, en fecha 8 de abril de 2014 tuvo entrada en esta Agencia escrito de reapertura de expediente (habiéndose ya dictado resolución de archivo con anterioridad), siendo reproducido el contenido de dicho escrito en el recurso de reposición presentado en fecha 22 de abril de 2014 y que fue estimado, instándose la apertura de nuevas actuaciones de inspección. Por tanto, sobre la base de lo expuesto debemos concluir que, tal y como ya se expuso en la resolución objeto de recurso, de conformidad con el art. 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en el Agencia Española de Protección de Datos (en este caso su denuncia tuvo entrada en fecha 22/04/2013) o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas, como ocurre en el caso que nos ocupa. Si bien, en caso de que el cómputo debiera iniciarse con posterioridad (esto es, el 8 de abril de 2014) tal y como usted así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 manifiesta, procedería asimismo declarar la caducidad de las actuaciones previas. IV Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de marzo de 2015, acordando el archivo de la denuncia nº E/03167/
- SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es