1/6 Procedimiento nº.: E/04344/2016 ASUNTO: Recurso de Reposición Nº RR/00663/2017 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04344/2016 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 27 de junio de 2017 se dictó resolución por la Directora de la Agencia Española de Protección de Datos (AEPD) en el expediente de actuaciones previas de inspección E/04344/2016, procediéndose al archivo de actuaciones por estimar que de los hechos denunciados no se derivaba responsabilidad sancionadora. Dicha resolución fue notificada al recurrente en fecha 06/07/2017 como lo acredita el acuse de recibo de la notificación que obra en el expediente. SEGUNDO: D. A.A.A. (en lo sucesivo, el recurrente) ha presentado por correo administrativo en fecha 05/08/2017 escrito de recurso de reposición, que tuvo entrada en el Registro de la AEPD el 11/08/
- Como fundamento de su recurso invoca en esencia l os mismos argumentos expuestos en la denuncia. Alega también que la resolución que impugna vulnera los artículos 82.1 y 87, en relación con los artículos 47 y 48, de la Ley 39/2015, del Procedimiento Administrativo Común de las Administraciones Pública (LPACAP). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II A. Por lo que atañe a las cuestiones planteadas en el escrito de recurso que no son sino una reiteración de los argumentos invocados en la denuncia, habida cuenta de que ya fueron analizadas y respondidas en la resolución dictada en el E/4344/2016 que se impugna, la AEPD se ratifica en las consideraciones efectuadas en su día y da por reproducidos los Fundamentos de Derecho II a IV de la citada resolución: C.C.C. La LOPD dedica el artículo 6 al “Consentimiento del afectado” y dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El artículo 10 de la LOPD, bajo la rúbrica “Deber de secreto” establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. III En el asunto que nos ocupa está acreditado, a tenor de la documentación que obra en el expediente, que cuando acontecieron los hechos objeto de la denuncia el denunciante no era cliente de BANCO POPULAR y sus datos personales no se encontraban registrados en los “sistemas de datos” de la entidad financiera. No obstante, su dirección de correo electrónico sí figuraba entre los registros de la aplicación Outlook que utiliza el Servicio de Atención al Cliente (en adelante SAC) de BANCO POPULAR, tal y como la entidad financiera ha reconocido en su respuesta al requerimiento informativo de la Inspección En contra de lo que el denunciante sugiere en la reclamación que por estos hechos presentó en el BANCO POPULAR el 23/06/2016 su dirección electrónica no había sido facilitada a la denunciada por ningún tercero y tiene origen en un email que él mismo envió al SAC el 07/08/2014 –email en el que pedía que se le hiciera entrega de una copia de la transferencia bancaria en la que, según decía, “consta mi nombre en calidad de generador-receptor de la citada transferencia” y al que la entidad financiera respondió el 11/08/2014 denegando la solicitud pues él no figuraba ni como ordenante ni como beneficiario de la transferencia-. A la reclamación que el denunciante presentó por los hechos objeto de la presente denuncia ante el SAC de la entidad financiera el 23/06/2016 se le respondió al día siguiente. En la respuesta el BANCO POPULAR le pide disculpas por las molestias ocasionadas; le comunica que “tal y como se indica en la advertencia legal al pie de los correos que ha recibido, se trata de un error derivado de la inclusión de su dirección de correo electrónico por similitud con la del destinatario correcto”; le ruega que “proceda a eliminar la comunicación recibida por contener información confidencial” y, tras explicarle el origen del dato de su dirección electrónica le comunican que han eliminado de Outlook el registro de su dirección email para que no figure por defecto. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 En la valoración de la conducta que se somete a nuestra consideración ha de tenerse en cuenta el carácter restrictivo y nunca expansivo del Derecho Administrativo Sancionador. A ese respecto, la Audiencia Nacional, ante hechos similares a los que ahora examinamos, ha manifestado en sus SSAN de 16/03/2004, de 03/03/2004 y 02/03/2005 lo siguiente: “De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier error de anotación, por mínimo que fuese, en los movimientos de cualquier cuenta corriente constituiría una infracción grave de la Ley Orgánica 1571999, conclusión ésta que por su misma desproporción resulta inaceptable”. “…lo acontecido es resultado de un simple error cuya imputación de carga infractora de algún tipo implicaría una interpretación forzada de la legislación de protección de datos de carácter personal, teniendo en cuenta el carácter restrictivo y nunca expansivo que debe presidir toda acción administrativa sancionadora incluida claro está, le regulada en la Ley Orgánica 15/1999, de 13 de Diciembre. De mantenerse la interpretación que subyace en la resolución recurrida resultaría que cualquier equivocación en el envío de correspondencia a la dirección de una persona, aun tratándose de un domicilio que figura como tal en el fichero de clientes de cualquier empresa, o entidad, constituiría una infracción grave de la Ley de Protección de Datos, conclusión que consideramos no guarda la necesaria proporción con los hechos enjuiciados”. Sobre este particular procede añadir que cuando el ordenamiento jurídico admite varias soluciones para poner fin a la vulneración de sus disposiciones resulta más adecuado antes de iniciar actuaciones sancionadoras el agotamiento de otras fórmulas procedimentales alternativas. Tal conclusión resulta de la aplicación de los principios de intervención mínima y proporcionalidad: el primero, porque impone que el mecanismo sancionador entre en juego cuando ésta sea la única solución posible, cuando ya no exista otra actuación alternativa que sea menos restrictiva a los derechos individuales; y el de proporcionalidad porque impone que la sanción sea ponderada, razonable y adecuada a la defensa del bien jurídico que se pretende proteger. En el supuesto examinado, de la documentación aportada al expediente y de las manifestaciones de la entidad financiera denunciada se desprende que la dirección electrónica del denunciante, que no es ni ha sido cliente de BANCO POPULAR, fue facilitada por él ya que se había dirigido dos años antes al SAC de la entidad por ese medio; que el dato en cuestión no se incorporó al sistema de datos del Banco sino que permaneció guardado en la aplicación Outlook del Servicio de Atención al cliente; que BANCO POPULAR, al día siguiente de que el denunciante presentara su reclamara ante el Banco (el 23/06/2016), con gran rapidez, le respondió, le pidió disculpas y eliminó del registro de direcciones de Outlook el único dato personal del denunciante que ha sido objeto de tratamiento. Por tanto, podríamos encontrarnos ante un tratamiento poco diligente de BANCO POPULAR concretado en la confusión entre la dirección electrónica de D. B.B.B. y la del denunciante. Sin embargo, el hecho de que todo se debiera a un error; el origen del dato del email del denunciante; el hecho de que la entidad denunciada reaccionara con gran rapidez –pues detectó el error cometido en veinte minutos, y envió al denunciante un nuevo email con el fin de recuperar los documentos incorporados como archivo adjunto; que todas las personas a la que se envió el email dirigido a la dirección electrónica del denunciante fueran empleados del BANCO POPULAR –como lo evidencia el dominio al que pertenece su dirección- por lo que accedieron a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 información en el marco de su actividad profesional y, finalmente, el hecho de que la entidad financiera denunciada hubiera informado al titular de los datos y cliente suyo de lo acaecido y que éste hubiera declarado en escrito firmado el 25/06/2016 –documento que BANCO POPULAR ha remitido a esta Agencia- que la información comunicada era de escasa entidad y que era posible acceder a esos mismos datos a través del Registro de la Propiedad, permite considerar que, en cierto modo, se excluye la culpabilidad de la actuación de la entidad denunciada. En el presente caso, los hechos acaecidos implicarían un resultado no perseguido y, por tanto, la comisión de un error. Hemos de tener en cuenta que como pone de manifiesto la Audiencia Nacional, y en la medida en que no consta la falta de cuidado en sus funciones en la actuación generalizada de la empresa denunciada y no se ha producido un resultado especialmente lesivo, sería contrario a la naturaleza del Derecho Administrativo sancionador, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción respecto de la conducta analizada, que puede resumirse en un mero error no merecedor de actuación sancionadora. En este mismo sentido, la Sentencia de la Audiencia Nacional de 14/12/2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre , que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida en el sentido de que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho".>> B. Se invoca también como fundamento del recurso que nos ocupa que la resolución impugnada infringe los artículos 82.1 y 87 de la LPACAP, preceptos que disponen: - - Artículo 82.1, “Trámite de audiencia”. “Instruidos los procedimientos e inmediatamente antes de redactar la propuesta de resolución, se pondrán de manifiesto a los interesados o, en su caso, a sus representantes, para lo que se tendrán en cuenta las limitaciones previstas en su caso en la Ley 19/2013, de 9 de diciembre” Artículo 87, “Actuaciones complementarias”. “Antes de dictar resolución, el órgano competente para resolver podrá decidir, mediante acuerdo motivado, la realización de las actuaciones complementarias indispensables para resolver el procedimiento. No tendrán la consideración de actuaciones complementarias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 los informes que preceden inmediatamente a la resolución final del procedimiento. El acuerdo de realización de actuaciones complementarias se notificará a los interesados, concediéndosele un plazo de siete días para formular las alegaciones que tengan por pertinentes para la finalización de las mismas. Las actuaciones complementarias deberán practicarse en un plazo no superior a quince días. El plazo para resolver el procedimiento quedará suspendido hasta la terminación de las actuaciones complementarias”. Las disposiciones de la LPACAP que a juicio del recurrente han sido incumplidas por la AEPD, lo que en su opinión determina la nulidad o anulabilidad de la resolución dictada, hacen mención a trámites del “procedimiento administrativo” que se efectúan durante la fase de instrucción del procedimiento y en la de finalización de aquél. Dicho lo cual hay que advertir que la resolución de archivo de actuaciones que es objeto de impugnación no se dictó en el marco de un procedimiento administrativo ni es el resultado de aquél. Como reconoce la doctrina y la jurisprudencia las actuaciones previas no forman parte del procedimiento administrativo sancionador. Así las cosas, en tanto que los preceptos supuestamente vulnerados tienen por objeto regular trámites que integran el procedimiento administrativo en sentido técnico y que han de practicarse en el curso de aquél, es evidente que tales normas no son de aplicación a las actuaciones previas llevadas a cabo por esta Agencia a raíz de la denuncia del ahora recurrente, pues son sólo el precedente del procedimiento administrativo sancionador y no forman parte de él. El Reglamento de desarrollo de la LOPD (RLOPD), al referirse a las actuaciones previas, en su artículo 122.1., señala: “Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen la iniciación…”. (El subrayado es de la AEPD) El artículo 126 del RLOPD advierte que finalizadas las actuaciones previas se someterán a la decisión del Director de la AEPD. Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna se dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. El apartado 2 del artículo 126 RLOPD, por el contrario, señala que en caso de existir indicios que justifiquen la imputación al denunciado de una infracción administrativa, el Director de la AEPD dictará acuerdo de inicio de procedimiento sancionador o de infracción de Administraciones Públicas. Pues bien, sólo en esos dos últimos supuestos se iniciaría un procedimiento administrativo al que sí serían de aplicación las normas de la LPACAP que el recurrente estima infringidas. A sensu contrario, no puede sostenerse que la Agencia haya incumplido unas disposiciones que no son aplicables a las actuaciones de investigación previa efectuadas ya que tales actuaciones finalizaron con la decisión de archivo de la denuncia al no existir motivos para exigir responsabilidad administrativa sancionadora. Sobre la naturaleza de las actuaciones de investigación previa se ha pronunciado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 reiteradamente el Tribunal Supremo señalando que no forman parte del expediente sancionador ya que no son propiamente expediente administrativo sino antecedente del mismo ( por todas STS de 22/02/1985, RJ 1985,502). En definitiva, las actuaciones previas no forman parte del procedimiento administrativo sancionador siendo este hecho el que marca su régimen jurídico. En consecuencia las actuaciones de investigación previa que la AEPD efectuó en el marco del expediente E/4344/2016 no estaban sujetas a las disposiciones de la LPACAP cuya infracción se invoca por el recurrente. III A tenor de la exposición precedente se evidencia que el recurrente no ha aportado hechos y/o fundamentos jurídicos que justifiquen la estimación del recurso interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 27 de junio de 2017, en el expediente de actuaciones previas de inspección E/04344/
- SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es