1/8 Procedimiento nº.: E/05284/2013 ASUNTO: Recurso de Reposición Nº RR/00550/2014 Examinado el recurso de reposición interpuesto por Dña. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/05284/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de mayo de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/05284/2013, procediéndose al archivo de las mismas por prescripción de la infracción que pudiera derivarse de la posible vulneración del principio de calidad de datos objeto de denuncia contra TELEFÓNICA MÓVILES ESPAÑA, S.A.U., en lo sucesivo TME. Dicha resolución, fue notificada al recurrente en fecha 4 de junio de 2014, según aviso de recibo que figura en el expediente. SEGUNDO: Con fecha 3 de julio de 2014 Dña. A.A.A. , en adelante la recurrente, ha interpuesto recurso de reposición contra dicha resolución, el cual ha tenido entrada en esta Agencia con fecha 9 de julio de 2014, que fundamenta, básicamente, en los siguientes extremos: - Primero: Incumplimiento de la resolución acordada por la Agencia Española de protección de Datos, en adelante AEPD, que estimaba el recurso de reposición RR/00750/2012 interpuesto contra la resolución del archivo de las actuaciones E/05032/2012, al no haberse procedido, como parece deducirse de la resolución ahora recurrida, a la incoación de actuaciones disciplinarias sino a unas actuaciones de investigación. Se añade que de la documentación adjuntada a la denuncia inicial se deducían suficientes indicios de vulneración a la normativa de protección de datos que justificaban la apertura de “procedimiento disciplinario” a raíz de la misma o de la resolución estimatoria de 02/11/2012 del recurso de reposición antes citado. - Segundo: Se invoca que se ha producido un error en el cómputo de los plazos de prescripción contenidos en la resolución ahora recurrida respecto de las infracciones que han quedado acreditadas en la misma, por lo que resulta factible la prosecución de las actuaciones incoadas o, en su caso, la notificación de las mismas a TME con imposición de las sanciones que corresponda. Según la recurrente “ tomando como dies a quo para el cómputo del plazo de prescripción la fecha del 09/05/2012, y considerando que el error en la calificación de las actuaciones no impide que las incoadas gocen del carácter de procedimiento sancionador de los regulados en el artículo 48 LOPD y en el reglamento de su desarrollo, es lo cierto que desde aquélla fecha, descontados seis meses de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 plazo máximo de tramitación de tal procedimiento —desde la resolución del Director AEPD de 18/09/2013 a 18/03/2014-, y hasta el dictado de la resolución ahora recurrida no han transcurrido sino 1 año, 6 meses y 14 días.” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En los Fundamentos de Derecho II y D.D.D. de la resolución impugnada se argumentaban los motivos que sustentaban el acuerdo de archivo de las actuaciones de inspección practicadas en el expediente E/05284/2013 en relación con el posible incumplimiento por parte de TME de lo previsto en el artículo 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), y que se transcriben a continuación: III En el presente procedimiento la cuestión a dilucidar radica en establecer si la inclusión de los datos de la denunciante en los ficheros ASNEF y BADEXCUG por parte de TME se realizó conforme determina la normativa de protección de datos. El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 actual de aquellos.” Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, (en adelante RDLOPD), en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. (El subrayado es de la AEPD) Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. El acreedor es, por tanto, responsable de que los datos cumplan los requisitos establecidos en el artículo 4.3 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o ha sido saldada. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
- a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. Por tanto, el acreedor o quien actúe por su cuenta o interés, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud de los datos personales. En el presente caso, de las actuaciones practicadas se desprende que los datos personales del denunciante se incluyeron por una deuda de 88,50 €, a instancias de TME, en los ficheros de solvencia patrimonial y crédito ASNEF y BADEXCUG con fechas 10 y 11 de abril de 2012, respectivamente, siendo excluidos de los mismos con fecha 9 de mayo de 2012. Dicho saldo se correspondía con el importe total de las facturas emitidas por dicha compañía entre el 1 de enero y el 1 de marzo de 2012 por el servicio de la línea B.B.B., cuya baja había sido solicitada por la afectada mediante escrito de fecha 26 de enero de 2012, y contestada por TME mediante escrito fechado en febrero de 2012 en el que se le indicaba que “Desde el pasado 02/02/2012 ya no está operativa, ni genera gastos la siguiente línea B.B.B.”. Es decir, TME instó el alta de las reseñadas incidencias deudoras en los mencionados ficheros tres meses después de la fecha en que la afectada solicitó la baja del citado servicio y recibió la confirmación de la misma, produciéndose, a su vez, la rectificación de las reseñadas facturas, en las que no figuraba consumo, hasta el 16/05/2012 conforme prueba la documentación aportada por dicha entidad. Por lo tanto, de los elementos fácticos obrantes en el expediente se evidencia que la inclusión de los datos personales de la denunciante se llevó a cabo de forma automatizada por la entidad informante sin tratarse de una deuda cierta, vencida y exigible a la afectada, ya que el saldo deudor no resultaba imputable a la misma al asociarse a una facturación correspondiente a un servicio dado de baja. En conclusión, tal tratamiento podría suponer la vulneración del principio de calidad de datos por parte de TME, habida cuenta que dicha compañía resulta responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan en los ficheros de solvencia patrimonial y crédito. Estos hechos, supondrían una vulneración por TME de lo dispuesto en el artículo 4.3 de la LOPD en relación con el artículo 29.4 de la misma norma y el artículo 38.1.
- a)del RDLOPD, tipificada como infracción grave en el artículo 44.3.
- c)de la LOPD, el cual dispone como tal “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. IV Sin embargo, a la vista de las fechas en que se llevó a cabo el tratamiento de los datos en cuestión, hay que analizar si en el presente supuesto los hechos analizados no estarían prescritos. Para ello hay que tener en cuenta que la Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común (en adelante LRJPAC), que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan.” Por su parte, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal en lo sucesivo LOPD), establece en el artículo 47, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, el procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor. ” Por otra parte, de conformidad con lo dispuesto en el apartado 3 del precepto antes citado, así como en el artículo 132.2 de la LRJPAC, el único modo de interrumpir el cómputo del plazo de prescripción es la iniciación, con conocimiento del interesado, del oportuno procedimiento sancionador. En este caso concreto, ha podido constatarse que el tratamiento irregular de los datos de la afectada finalizó con fecha 9 de mayo de 2012, momento en que a instancias de TME se anotó la baja de las operaciones deudoras registradas en los ficheros ASNEF y BADEXCUG a nombre de la afectada. De esta forma, y de conformidad con lo dispuesto en el mencionado artículo 47.1 de la LOPD, al haber transcurrido más de dos años entre el 9 de mayo de 2012, fecha en que finalizó el tratamiento indebido de los datos de la afectada asociados a una deuda incierta, y la fecha de la adopción de la presente resolución sin que se haya iniciado procedimiento sancionador a TME por la posible vulneración del principio de calidad de datos contemplado en el artículo 4.3 de la LOPD, cabe concluir que la infracción grave que podría imputarse a dicha compañía por los hechos constatados durante las actuaciones practicadas en el expediente de actuaciones previas de inspección nº E/05284/2013 ha prescrito, procediendo, por tanto, declarar la prescripción de la presunta infracción.>> IV En relación con las manifestaciones efectuadas por la recurrente conviene realizar las siguientes consideraciones: En primer lugar debe indicarse que la mera interposición de una denuncia por infracción a la normativa de protección de datos no obliga a la AEPD a incoar procedimiento sancionador contra la persona física o jurídica objeto de denuncia, ya que para ello resulta necesario determinar si concurren circunstancias suficientes que justifiquen tal iniciación que no se desprenden, en la mayoría de las ocasiones, de la documentación que haya podido aportar el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Atendido que el artículo 48.1 de la LOPD, establece respecto del “Procedimiento sancionador” que: “1. Por vía reglamentaria se establecerá el procedimiento a seguir para la determinación de las infracciones y la imposición de las sanciones a que hace referencia el presente Título”, los expedientes de actuaciones previas de investigación de referencia E/06799/2012 y E/05284/2013 se han tramitado de conformidad con lo previsto en el artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, en adelante RDLOPD, que establece lo siguiente en relación con la iniciación de las “Actuaciones Previas” de investigación: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. “ De conformidad con dicho precepto, en la resolución de fecha 02/11/2012 adoptada en el recurso RR/00750/2012, por el que se estimaba el recurso de reposición interpuesto por la denunciante contra la resolución del archivo de la denuncia nº E/05053/2012, también se acordó “ordenar a la Subdirección General de Inspección de Datos de esta Agencia que proceda a realizar la correspondiente investigación en el marco del expediente de actuaciones previas E/06799/202”. Asimismo, en la resolución de fecha 18/09/2013 se acordó declarar el archivo por caducidad de las actuaciones previas E/06799/202 en virtud de lo dispuesto en el artículo 122.4 del RDLOPD y “ordenar el inicio de una nueva fase de investigación para el esclarecimiento de los hechos denunciados en el marco del E/05284/2013”, tratándose de una resolución firme en vía administrativa al no haber sido recurrida en tiempo y forma por la ahora recurrente. Por lo tanto, las actuaciones practicadas se han realizado por personal adscrito a la Subdirección General de Inspección de Datos de esta Agencia con arreglo a lo acordado, de oficio, por el Director de la AEPD en las citadas resoluciones, en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 que no se hace mención alguna a “actuaciones disciplinarias”, sino a actuaciones previas de investigación, las cuales, una vez finalizadas deben someterse “a la decisión del Director de la Agencia Española de Protección de Datos”, conforme lo previsto en el artículo 126 del mencionado RDLOPD a fin de acordar el archivo de las mismas o la incoación de acuerdo de inicio de procedimiento sancionador, según se deriven, o no, de las mismas hechos susceptibles de motivar la imputación de infracción . En segundo lugar, y dado que ha existido ningún error en la calificación de las actuaciones practicadas, esta Agencia se reitera en la afirmación relativa a que no procede incoar procedimiento sancionador por posible infracción a lo previsto en el artículo 4.3 en relación con el 29.4 de la LOPD, toda vez que los hechos objeto de imputación que sustentarían la comisión de la misma han prescrito en virtud de lo previsto en el artículo 47.1 de la LOPD. Sobre este particular se recuerda que, en virtud de lo previsto tanto en el artículo 47.3 de la citada norma y el artículo 132.2 de la Ley 30/1992, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común (LRJPAC), las actuaciones previas de investigación practicadas no interrumpen el plazo de prescripción al ser anteriores a la iniciación de procedimiento sancionador, lo que ya se justificó en el Fundamento de Derecho II de la resolución ahora recurrida. En consecuencia, con independencia de que los hechos averiguados a raíz de las actuaciones practicadas en el expediente de investigación E/05284/2013, no cabe iniciar procedimiento sancionador a TME por posible vulneración del principio de calidad de datos frente a unos hechos ya prescritos, circunstancia que, a la vista de la cronología de las diversas actuaciones practicadas por esta Agencia desde la presentación de la denuncia no supone una vulneración del principio general de eficacia contemplado en el artículo 3.1 de la LRJPAC ni una actuación al margen del criterio de eficiencia y servicio a los ciudadanos recogido en el artículo 3.2 de la misma Ley. En cuarto lugar, conviene recordar la Sentencia dictada por el Tribunal Supremo con fecha 6 de octubre de 2009 (Rec. 4712/2005) en materia de protección de datos en la que se señala “El poder punitivo pertenece únicamente a la Administración que tiene encomendada la potestad sancionadora –en este caso la Agencia Española de Protección de Datos- y por consiguiente sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”, indicándose también en la misma que “el denunciante de una infracción de la legislación de protección de datos carece de legitimación para impugnar el resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación etc)” . Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dña. A.A.A. contra la resolución de esta Agencia dictada con fecha 23 de mayo de 2014, en el expediente de actuaciones previas de inspección E/05284/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es