← España

REPOSICION-PS-00030-2016

1/18 Procedimiento nº.: PS/00030/2016 ASUNTO: Recurso de Reposición Nº RR/00599/2016 Examinado el recurso de reposición interpuesto por la entidad ENTEMANSER, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00030/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 22 de julio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00030/2016 , en virtud de la cual se imponía a la entidad ENTEMANSER, S.A., una sanción de 20.000 €, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada a la mencionada entidad, en adelante la recurrente, en fecha 28 de julio de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00030/2016, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fecha 9 de marzo de 2015 se registra de entrada en esta Agencia denuncia de Don B.B.B., (en lo sucesivo el denunciante) contra ENTEMANSER, S.A. por haberle cargado en su cuenta corriente dos recibos por un suministro de aguas en Tenerife, ello a pesar de que no mantiene ningún tipo de relación contractual con dicha entidad ni tiene ninguna propiedad en Tenerife. (folios 1 y 2). SEGUNDO: El denunciante, que es titular de la cuenta nº C.C.C. abierta inicialmente en BARCLAYS BANK, SAU, entidad posteriormente absorbida por CAIXABANK, S.A., ha indicado que mantiene relación contractual con AQUALIAVILLAVICIOSA, entidad que le factura el suministro de agua de una propiedad que tiene en esa localidad de Asturias . (folios 1, 2, 3, 13, 255 y 256) TERCERO: ENTEMANSER, S.A., empresa que presta servicio de gestión del suministro de agua en las Islas Canarias, no mantiene relación contractual con el denunciante. (folios 10 al 12) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 CUARTO: Con fechas 23 de diciembre de 2014 y 23 de febrero de 2015 ENTEMANSER, S.A. expidió a nombre de un tercero, con domicilio en la localidad de Adeje (Sta Cruz de Tenerife), dos facturas por importe total de 61,05 € y 61,84 €, respectivamente, por el servicio correspondiente al contrato nº E.E.E., En ambas facturas se reseñaba que la factura se había enviado para su cargo en la cuenta nº F.F.F. del Banco BARCLAYS BANK, S.A , Sucursal 1103 ( folios 231 y 233). QUINTO: ENTEMANSER, S.A., empresa del grupo FCC AQUALIA, figura como emisor de dos recibos por “adeudo por domiciliación SEPA” , de fechas 2 de enero y 2 de marzo de 2015, cargados en la cuenta del denunciante de BARCLAYS BANK, SAU, actualmente CAIXABANK, S.A., por importes de 61,05 € y 61,84 €, correspondientes a las facturas números 146 y 151, respectivamente. (folios 2, 3,, 14 , 252, 255 y 256) SEXTO: Según grabación aportada, el denunciante contactó telefónicamente con el Servicio de Call Centrer de FCC AQUALIA con fecha 3 de diciembre de 2014 para modificar la cuenta bancaria del servicio contratado y con ENTEMANSER el 2 de marzo de 2015 con motivo de la ordenación de dichos cargos. (folios 1 y 12 ) SÉPTIMO: Con fecha 4 de marzo de 2015 el denunciante presento escrito ante AQUALIA, A.A.A.), ejerciendo su derecho de cancelación de datos personales, excepto los relacionados con el consumo de agua en D.D.D. .(folio 13) OCTAVO: La solicitud de cancelación del denunciante de fecha 4 de marzo de 2015, recibida con esa misma fecha, fue contestada el 10 de marzo de 2015 indicando que ”por parte de FCC Aqualia, S.A. se ha procedido a la cancelación de la información solicitada, en tanto que se había domiciliado erróneamente en su cuenta bancaria los recibos correspondientes a un contrato de otro Servicio. Se ha corregido eliminando los datos de su cuenta bancaria de la base de datos errónea y manteniendo la domiciliación correcta de los recibos de su contrato nº H.H.H. del Servicio de Argüero-Villaviciosa” (folios 13 y 16) NOVENO: Con fechas 3 y 27 de marzo de 2015 ENTEMANSER, S.A. procedió a devolver al denunciante los dos cargos (folio 17) DÉCIMO: ENTEMANSER, S.A.. es una de las empresas adheridas al “Convenio para el Tratamiento de Datos Personales en el Grupo FCC Servicios Aguas” de fecha 7 de julio de 2010, que tiene por objeto regular de forma global y para el conjunto de las empresas del GRUPO FCC SERVICIOS AGUAS a quienes AQUALIA GESTIÓN INTEGRAL DEL AGUA, SA presta alguno de los Servicios detallados en el Anexo I del Convenio, las relaciones de Encargado del Tratamiento derivadas de dicha prestación de servicios, dando cumplimiento a la normativa de Protección de Datos Personales y, en particular, al art. 12 LOPD. (folios 102 al 128). UNDÉCIMO: ENTEMANSER, S.A.. es una de las empresas adheridas al “Convenio para el Tratamiento de Datos Personales en Aqualia Contact” de fecha 12 de julio de 2010, que tiene por objeto regular de forma global y para el conjunto de las empresas integradas en Aqualia Contact, (Centro de Atención al Cliente de las empresas del Grupo FCC Servicios-Aguas), los servicios de Encargado del Tratamiento detallados en el Anexo I de dicho Convenio, en cumplimiento a la normativa de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 Personales y, en particular, al art. 12 LOPD. Entre dichos Servicios se encuentra la “Gestión de Contact Center” para la prestación de servicios de atención al cliente de entidades de gestión integral del agua (personal, instalaciones servicio de grabación de llamadas, etc). Dicho servicio se prestó como encargado de tratamiento por la mercantil TRATAMIENTO INDUSTRIAL DEL AGUA, S.A., (TRAINASA) hasta 31 de diciembre de 2014 y por la mercantil HIDROTEC TECNOLOGIA DEL AGUA, S.L. UNIPERSONAL, (HIDROTEC), a partir de esa fecha. (folios 61 al 84) >> TERCERO: ENTEMANSER, S.A. ha presentado en fecha 29 de agosto de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición solicitando el archivo del procedimiento y la revocación de la sanción impuesta por haber actuado conforme a Derecho. A tales efectos reitera que el tratamiento de los datos del denunciante se debió a una incidencia involuntaria durante la toma de datos por parte de su Encargado de tratamiento HIDROTEC. Aduce que el cargo de los dos recibos en la cuenta del afectado fue automático y que, en cuanto conoció el incidente provocado por dicho encargado, llevó a cabo con la mayor celeridad posible las acciones necesarias para su corrección, devolviendo los cargos cobrados. Por lo que rechaza que no desplegara toda la diligencia que le era exigible. Incide en su actuación de buena fe, la falta de perjuicios sufridos por el denunciante y la ausencia de beneficios u obtención de algún tipo de ventaja por la recurrente con la situación analizada. Subsidiariamente, y sin que suponga reconocimiento de actuación infractora, la recurrente, solicita se aplique la sanción de apercibimiento al concurrir todos los requisitos fijados en el artículo 45.6 de la LOPD para ello. Se justifica tal petición aduciendo que el apercibimiento es un tipo más de sanción de los recogidos en el artículo 45 de dicha Ley bajo la rúbrica de “Tipos de sanciones”, en apoyo de lo cual se cita la Sentencia de 17 de junio de 2011, Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional en la que, según alega la recurrente, se declaró de manera rotunda el carácter sancionador del apercibimiento, anulándose la sanción económica impuesta por la AEPD en sustitución de la sanción de apercibimiento. Asimismo, añade que a partir de los hechos que originaron la apertura del expediente se procedió a reforzar los controles periódicos implantados para seguir la domiciliación de los recibos a los clientes al objeto de optimizar el nivel de cumplimiento de la normativa aplicable. Finalmente, con carácter subsidiario a la anterior petición, la recurrente solicita se imponga la sanción mínima dentro de la escala de las infracciones leves al producirse los supuestos

  1. a)y
  2. b)del artículo 45.5 de la LOPD (cualificada disminución de la culpabilidad y antijuridicidad y existir actuaciones de regularización de la situación). Manifiesta su disconformidad con la valoración efectuada por la AEPD como agravantes de los criterios a),
  3. c)
  4. f)y
  5. h)del artículo 45.4 a los efectos de fijar la cuantía de la sanción , ya que considera que en el expediente ha quedado acreditado la diligencia debida y voluntad permanente de cumplir con la normativa de protección de datos, como prueba que a partir de los resultados obtenidos de la aplicación de los procedimientos corporativos nunca antes haya sido sancionada por infracción a la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la recurrente reiterándose, básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador en cuanto a la inexistencia de responsabilidad subjetiva en su conducta respecto del incumplimiento del principio del consentimiento que se le imputa y la procedencia de reducir la sanción impuesta en aplicación de los apartados
  6. a)y
  7. b)del artículo 45.5 dela LOPD , debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho III al I.I.I., ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: << III (…) En el presente caso ENTEMANSER no ha acreditado que contase con el consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal, materializado en la inclusión del dato de la cuenta bancaria del denunciante en sus propios ficheros y en el uso del mismo tanto para generar las facturas números 146 NOV-DIC/2014 y 151 ENE-FEB//2015, en las que aparecía el dato parcial de dicha cuenta, emitidas con fechas 23/12/2014 y 23/02/2015, por importes de 61,05 € y 61,84 €, como par realizar los cargos correspondientes a las mismas en la mencionada cuenta nº C.C.C. de su titularidad, abierta en la entidad BARCLAYS BANK, SAU, en la actualidad CAIXABANK, S.A., correspondientes a los recibos SEPA de las referidas facturas (folios 2,3, 14, 230, 231, 257) Tal y como se desprende de los elementos fácticos y documentación obrante en el expediente, el mencionado tratamiento no estaría amparado por disposición legal alguna ni por la contratación del servicio de gestión de suministro de agua objeto de facturación. De hecho, ambas partes han indicado a esta Agencia que no había ningún tipo de vínculo contractual entre ellos, circunstancia que hubiera eximido a ENTEMANSER del cumplimiento del requisito del consentimiento en el marco del desarrollo y mantenimiento de la relación contractual. La inexistencia de tal consentimiento también se prueba a través de las manifestaciones efectuadas por la denunciada al señalar, tanto en su contestación al requerimiento de información que le fue dirigido por esta Agencia durante las actuaciones previas de inspección del expediente E/ G.G.G. como en el escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 alegaciones al acuerdo de inicio, que “el motivo del cargo realizado en la cuenta del afectado se debe a una incidencia en la toma de datos del número de cuenta bancaria, lo que originó el cargo de dos recibos en su cuenta en los meses de enero y febrero de 2015 de importes de 61,05 € y 61,84 €, respectivamente.” (folios 11 y 27) Consecuentemente, ENTEMANSER no ha acreditado en el procedimiento que contase con el consentimiento inequívoco del denunciante para el tratamiento de sus datos de carácter personal, en concreto, para tratar su cuenta bancaria a los efectos de la domiciliación bancaria de dos facturas del servicio de gestión en el suministro de agua en las Islas Canarias contratado por un tercero. Por lo que el tratamiento efectuado con los datos de carácter personal del denunciante, en concreto su número de cuenta bancaria, vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a ENTEMANSER tratar los datos de la denunciante sin su consentimiento. IV Respecto de la imputación efectuada por esta Agencia, la representación de ENTEMANSER mantiene que del análisis de los hechos no cabe inferir la existencia de conducta infractora alguna imputable a dicha empresa, ya que lo ocurrido tiene origen en una incidencia involuntaria por parte de HIDROTEC, que en condición de encargada de tratamiento presta el servicio de “Atención al Cliente” a diversas empresas del grupo FCC SERVICIOS AGUAS, entre las que se encuentra ENTEMANSER y AQUALIA GESTIÓN INTEGRAL DEL AGUA, SA,, tratando por ello los datos personales de las distintas entidades a las que presta dicho Servicio. Sin embargo, en este caso ENTEMANSER no ha aportado ningún indicio del que se infiera que el origen del dato del número de cuenta bancaria del denunciante fuera un error de HIDROTEC. ENTEMANSER, como responsable del tratamiento, se adhirió tanto al “Convenio para el tratamiento de datos personales en el Grupo FCC Servicios Aguas” de fecha 07/07/2010 (folios 103 al 127), como al “Convenio para el Tratamiento de Datos Personales en Aqualia Contact” de fecha 12/07/2010 (folios 130 al 149), ambos a fin de dar cumplimiento al artículo 12 de la LOPD. A través del Convenio de fecha 07/07/2010 se regula de forma global y para el conjunto de las empresas del Grupo FCC Servicios Aguas a quienes AQUALIA GESTIÓN INTEGRAL DEL AGUA, SA, en adelante AQUALI, preste alguno de los servicios detallados en el Anexo I del mismo, las relaciones de Encargado de Tratamiento derivadas de dicha prestación de servicios, como encargado de tratamiento (folio 105). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 A su vez, mediante del Convenio de fecha 12/07/2010 se regula de forma global y para el conjunto de las empresas integradas en Aqualia Contact, los servicios de Encargado del Tratamiento detallados en el Anexo I del mismo, derivadas de las prestaciones de servicios definidas en el mismo (folio 133) . En dicho Anexo I consta que TRAINASA declara, y la entidad adherente acepta expresamente, la subcontratación con AQUALIA de los servicios de “Gestión Contac Center”, gestión de pago por tarjeta y servicio técnico e informático, (folio 140), funciones posteriormente traspasadas a HIDROTEC en virtud de las estipulaciones de fecha 31/12/2014, empresa, que a su vez, desde el 2 de enero de 2014 prestaba servicios de “Centro de Atención al Cliente” a AQUALIA en virtud de “Contrato de prestación de Servicios” (folios 153 al 164), y que comprendían la resolución de consultas, gestiones de contratación, resolución de reclamaciones, modificación de datos de clientes, gestión de domiciliación de recibos, cobros a través de tarjeta y otros medios telemáticos (folio 155). Para dilucidar la cuestión alegada por ENTEMANSER resulta ilustrativo el informe 0227/2010, emitido por el Gabinete Jurídico de la AEPD, en el que se expone: <<El artículo 3
  8. d)de la Ley Orgánica 15/1999, define al responsable del fichero como la "persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento". Por su parte, el artículo 3.
  9. g)de la misma Ley define al encargado del tratamiento como "la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento." En consecuencia, la condición de responsable o encargado del tratamiento se delimita en virtud de la capacidad de decisión sobre la finalidad, contenido o uso del tratamiento que ostentará el responsable, no correspondiendo dicha potestad al encargado, habida cuenta del hecho de que el mismo se limitará a actuar en virtud de las instrucciones conferidas por el responsable del tratamiento. El artículo 5.1.
  10. i)del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, precisa así que será encargado de tratamiento "La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio." La figura del encargado del tratamiento responde a la necesidad de dar respuesta a fenómenos como la externalización de servicios por parte de las empresas y otras entidades, de manera que en aquellos supuestos en que el responsable del tratamiento encomiende a un tercero la prestación de un servicio que requiera el acceso a datos de carácter personal por éste, dicho acceso no pueda considerarse como una cesión de datos. Es así que el artículo 12.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal, establece que "no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento" En este sentido, tal y como señala el informe de esta Agencia de 27 de julio de 2006 "Para delimitar si en un supuesto concreto nos encontramos ante una cesión de datos o ante una realización de actividades reguladas por el artículo 12 de la Ley Orgánica, será preciso atender a las circunstancias de cada caso, de tal forma que existirá cesión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 en aquellos supuestos en los que quien reciba los datos pueda aplicar los mismos a sus propias finalidades, decidiendo sobre el objeto y finalidad del tratamiento, lo que la convertirá a su vez en un responsable del fichero o tratamiento, mientras que la figura regulada por el artículo 12 de la Ley Orgánica tendrá cabida en aquellos otros casos en que la entidad receptora de los datos se limite a efectuar determinadas operaciones sobre los mismos, sin decidir sobre su finalidad." Ahora bien, para que la relación entre responsable y encargado del tratamiento pueda darse y se ajuste a la Ley, es preciso que se cumplan los requisitos expresados en el artículo 12 de la Ley Orgánica 15/1999, considerando los siguientes aspectos: En primer lugar, es preciso que el acceso a los datos por el tercero (en el presente caso por la empresa prestadora del servicio de destrucción de documentos) se efectúe con la exclusiva finalidad de prestar un servicio al responsable del fichero, y que dicha relación de servicios se encuentre contractualmente establecida. En lo que atañe a los requisitos formales de este tipo de contratos, el artículo 12.2 de la Ley Orgánica 15/1999 impone que "la realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas". El hecho de que la relación derivada del contrato sea la existente entre un responsable y un encargado del tratamiento implicará que al término de la relación sea aplicable lo establecido en el artículo 12.3 de la Ley orgánica 15/1999, de forma que "una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento". El incumplimiento de la previsión señalada en el artículo 12.3, que en el presente caso queda limitada, por la propia naturaleza del servicio a prestar, a la destrucción de los documentos que contengan datos personales ordenada por la empresa que contrate dicho servicio, llevará aparejada la consecuencia, prevista en el artículo 12.4 de la Ley Orgánica 15/1999, de que "En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente.>> Extrapolando el contenido de dicho informe al supuesto ahora analizado, resulta que HIDROTEC es encargado del tratamiento de ENTEMANSER en el marco de los Convenios citados, a los que ésta se adhirió. Fijado lo cual, ENTEMANSER no ha acreditado que HIDROTEC incumpliera los requisitos y garantías contenidos en la mencionada documentación a los efectos previstos en el artículo 12 de la LOPD, excediéndose en la prestación de los servicios objeto de subcontratación realizados en virtud del artículo 21 del Reglamento de desarrollo de la LOPD que prevé que “1. El encargado del tratamiento no podrá subcontratar con un tercero la realización de ningún tratamiento que le hubiera encomendado por el responsable del tratamiento, salvo que hubiera obtenido de éste autorización para ello. En este caso, la contratación se efectuará siempre en nombre y por cuenta del responsable del tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 Por lo que la responsabilidad del tratamiento analizado recae en ENTEMANSER, entidad que como responsable del fichero en el que se incluyeron los datos del denunciante decidió sobre la finalidad, contenido y uso del tratamiento a realizar por HIDROTEC, entre los que se encontraba el servicio de gestión de domiciliación de recibos, envío y recepción de documentación que alcanzaba al conjunto de las empresas integradas en Aqualia Contact, conforme lo previsto en el Convenio de fecha 12/07/2010. V Alega la representación de ENTEMANSER la ausencia de culpabilidad en la actuación de la entidad, indispensable junto con la tipicidad de la conducta, para apreciar la comisión de una infracción administrativa e imponer una sanción. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo, así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. En la misma línea, el Tribunal Supremo (STS 16/04/91 y STS 22/04/91) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23/01/98). Asimismo, conviene recordar que el elemento de la exigibilidad de una conducta diferente es considerado por el Tribunal Supremo como un elemento delimitador de la culpabilidad de las conductas sancionables (TS de fecha 23 de octubre de 2006 ó 22 de noviembre de 2004), ya que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por ello, a los efectos de determinar la existencia, o no, de culpabilidad en la conducta que configura el ilícito administrativo que nos ocupa resulta relevante analizar la diligencia desplegada en la acción por el sujeto a fin de evitar la vulneración de la normativa que resulta de aplicación. En este orden de ideas, esta Agencia considera que a la entidad imputada le era exigible otra conducta diferente de la que observó, puesto que en el procedimiento sancionador no consta la adopción de medidas de control previas al uso de los datos por parte de HIDROTEC en aras a constatar que se contaba con el consentimiento inequívoco de los afectados para ello, en este caso del denunciante, o se producía alguna de las excepciones al mismo previstas en el artículo 6.2 de la LOPD, ello en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 evitación de errores como el descrito, máxime siendo conocedora ENTEMANSER de que HIDROTEC prestaba servicios como subencargada de tratamiento para diferentes empresas del Grupo FCC Servicios Aguas, lo que lleva a estimar como adecuado la instauración de procedimientos que impidan el cruce de datos entre ficheros de distintas entidades del grupo. En definitiva, si bien no puede acreditarse una conducta dolosa por parte de ENTEMANSER, si puede imputarse la responsabilidad en la comisión de la infracción imputada a título de culpa, ya que no desplegó, con anterioridad a la realización del tratamiento objeto de estudio, la diligencia y el deber de cuidado que le eran exigibles en atención a la circunstancia descrita. Asimismo, no basta con la mera implementación de medidas tendentes al cumplimiento de la normativa de protección de datos, también han de resultar efectivas en orden a los fines pretendidos. El Tribunal Supremo (Sentencias de 05/07/98 y 02/03/99) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 05/07/98 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/97, 11/03/98, 02/03/99 y 17/09/99. En relación con esta cuestión la Sentencia de la Audiencia Nacional de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa. En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. Asimismo, la Audiencia Nacional, en Sentencia de 29/06/2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14/02/02, 20/09/02, 13/04/05 y 18/05/05. Pues bien, en el supuesto examinado , no ha actuado con la diligencia que le era exigible pues trató los datos del denunciante sin su consentimiento para cargarle dos recibos por la prestación de un servicio no contratado por el afectado, sin que la utilización de la cuenta bancaria para tal fin pueda calificarse como de puntual al haber usado esa información en dos facturas y en la ordenación del cobro de las mismas a través de la domiciliación bancaria. Así, se ha constatado que las facturas emitidas a nombre de un tercero, que si tenía la condición de cliente de esa empresa, y en las que figuraba parte de la codificación de la cuenta, se emitieron por ENTEMANSER con fechas 23 de diciembre de 2014 y 24 de febrero de 2015 y que los cargos de los recibos SEPA ordenados por esa empresa, por importes de 61,05 € y 61,84 €, tenían como fecha valor el 2 de enero y 2 de marzo de 2015, no siendo hasta el 3 de marzo y el 27 de marzo de 2015, según la información aportada que obra en la aplicación del “Departamento de Gestión de Clientes “ de AQUALIA, que se procedió a devolver al denunciante dichos cargos. Corresponde a esa empresa como responsable del tratamiento efectuado con los datos de carácter personal del denunciante adoptar las medidas adecuadas para el tratamiento de los datos personales, lo que conlleva la adopción previa de las medidas y controles necesarios para constatar la perfecta identificación de sus clientes y la corrección de los datos registrados de los mismos, siendo esta exigencia de cuidado y rigor muestra del cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, desarrollan su actividad con grandes volúmenes de datos personales. Todo lo cual pone de relieve una falta de diligencia en su actuación que impide pueda entenderse la existencia de ausencia de culpabilidad, produciéndose, con arreglo a la doctrina expuesta, una conducta típica imputable a ENTEMANSER a título de culpa, sin que sea necesario que exista dolo en su actuación. Por último, en cuanto a la buena fe mostrada al no existir ánimo defraudatorio ni culposo, la Audiencia Nacional en su Sentencia de 24 de mayo de 2002 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. Línea en la que incide la Sentencia de la Audiencia Nacional de fecha 27 de mayo de 2010, Sala de lo Contencioso-Administrativo, sec. 1º rec. 421/2010, al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 mantener que: “El argumento de la buena fe es claramente insuficiente sobre todo en un caso como el presente en que se trata de una gran empresa que maneja multitud de datos y que debió actuar con más prudencia para justificar la legalidad de los tratamientos efectuados. La inexistencia de dolo, tan escuetamente planteada en el escrito de contestación a la demanda, no puede ser suficiente para justificar la estimación de la demanda pues procede aplicar lo dicho por el artículo 130 de la Ley 30/92 según el cual: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Todo lo expuesto lleva a considerar la existencia del elemento subjetivo de culpabilidad en la conducta de ENTEMANSER en el ilícito administrativo imputado, pues cabe pensar que actuando de otro modo hubiera podido evitarse el tratamiento de los datos personales del afectado sin su consentimiento. A tenor de lo cual, ENTEMANSER resulta responsable de la infracción al principio del consentimiento imputada y se encuentra sujeta al régimen sancionador establecido en la LOPD conforme a lo dispuesto en el artículo 43.1 de dicha norma. VI Acreditada en el anterior Fundamento de Derecho la existencia del elemento subjetivo de culpa, a continuación se justifica la tipicidad de la conducta analizada como sancionable. De acuerdo con las previsiones de la LOPD, el artículo 44.3.
  11. b)tipifica como infracción grave “
  12. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, la entidad denunciada ha tratado la cuenta bancaria titularidad del denunciante (dato de carácter personal) para incluirla en dos facturas emitidas a nombre de un tercero, quien se correspondía con la persona física que había contratado el servicio objeto de facturación, y cargar al afectado dos recibos con origen en dichas facturas Por lo cual, ha incurrido en la comisión de la infracción descrita al vulnerar uno de los principios básicos del derecho fundamental a la protección de datos de carácter personal, como es el principio al consentimiento para el tratamiento de dichos datos recogido en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.
  13. b)de la citada Ley Orgánica. A la luz de lo descrito, en el presente caso la descripción de conducta que establece el artículo 44.3.
  14. b)de la LOPD cumple las exigencias derivadas del principio de tipicidad. Respecto de esta cuestión en la Sentencia de la Audiencia Nacional de fecha 17 de octubre de 2007, Recurso 23/2006, se indicaba: “Por tanto, concurre la tipicidad cuya infracción se denuncia en el escrito de demanda, pues hay predeterminación normativa, que desempeña la función de garantía mediante la cual se tiene una predicción razonable de la conducta ilícita y de las consecuencias jurídicas que lleva aparejada la comisión de dicha conducta, dicho de otra forma, la tipicidad es suficiente si consta en la norma una predeterminación inteligible de la infracción, de la sanción y de la correlación entre una y otra.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 VII El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  15. a)El carácter continuado de la infracción.
  16. b)El volumen de los tratamientos efectuados.
  17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  18. d)El volumen de negocio o actividad del infractor.
  19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. f)El grado de intencionalidad.
  21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El articulo 45.5 deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. No obstante , teniendo en cuenta las circunstancias que concurren en el presente caso, ya en la propuesta de resolución se apreció la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto contemplado en el artículo 45.5,
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, puesto que a la vista de lo actuado ha quedado probado tan pronto como ENTEMANSER tuvo conocimiento de la situación, lo que acaeció a través de la llamada realizada por el denunciante el día 2 de marzo de 2015 reclamando por la domiciliación bancaria de unos importes por parte de una empresa con la que no mantenía relación contractual, procedió, en forma inmediata, a devolver al denunciante con fechas 3 y 27 de marzo de 2015 los cargos realizados y a adoptar las medidas tendentes para que se eliminasen los datos de la cuenta bancaria del denunciante del fichero de otra empresa del grupo en la que estaban registrados erróneamente. Así, consta que con fecha 10 de marzo de 2015 se le informó que ya se había procedido a la eliminación de su cuenta bancaria de la base de datos errónea (folio 16), no habiendo constancia de que recibiera nuevas facturas. Es decir, la situación se subsanó en menos de un mes, tiempo transcurrido desde la recepción de la llamada, cuya grabación se ha aportado, hasta la devolución de ambos cargos. En cuanto a la aplicación concurrente de varios de los supuestos previstos en este apartado 5 solicitada por ENTEMANSER, en concreto los supuestos
  31. a)y b), hay que reseñar la sentencia de la Audiencia Nacional de fecha 28 de abril de 2015, que dice al respecto: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”.” En este caso concreto, se aprecia la circunstancia prevista en el artículo 45.5.b), procediendo imponer por la infracción cometida una multa cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, se considera que operan como agravantes de la conducta que ahora se enjuicia los siguientes criterios:
  32. a)El carácter continuado de la infracción, del artículo 6.1 de la LOPD que se imputa a la denunciada, que aquí se justifica por el tratamiento inconsentido durante más de tres meses de la cuenta bancaria del afectado por un período que, como mínimo, comprende desde el 23/12/2014, fecha de emisión de la factura por importe de 61,05 €, hasta el 27 de marzo de 2015, fecha de devolución de la factura de 23 de febrero de 2015;
  33. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; f), el “El grado de intencionalidad” debe entenderse en el sentido de grado de culpabilidad, siendo destacable la grave falta de diligencia demostrada por la denunciada en la conducta que es objeto de valoración en el expediente; y apartado
  34. h)en cuanto a la naturaleza de los perjuicios causados, Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Paralelamente, se considera que están presentes como circunstancias atenuantes los criterios recogido en los apartados
  35. b)y
  36. e)del artículo 45.4 ya citado. Así, respecto del criterio b), “el volumen de los tratamientos efectuados” el tratamiento inconsentido analizado ha estado asociado al dato de carácter personal de la cuenta bancaria del denunciante; en cuanto al criterio
  37. e)referido a “los beneficios obtenidos como consecuencia de la comisión de la infracción” no hay constancia de pruebas relativas a la existencia de beneficios obtenidos a raíz de la comisión de la infracción descrita. Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD cuya presencia ha quedado acreditada y habida cuenta que concurren las circunstancias citadas anteriormente para la aplicación del artículo 45.5 de la LOPD, se estima procedente a la gravedad de los hechos imputados sancionar a ENTEMANSER con multa de 20.000 € por la infracción del artículo 6.1 de la LOPD.>> III Si bien es cierto que la Sentencia de la Audiencia Nacional, Sección 1ª de la Sala de lo Contencioso-Administrativo, de fecha 17 de junio de 2011, invocada por la recurrente se refería al mencionado apercibimiento como “una sanción de menor gravedad que las multas impuestas”, conllevando la estimación parcial del recurso de reposición de referencia, Rec. nº 601/2010, al acordarse “anular las sanciones impuestas sustituyéndolas por la sanción de apercibimiento, debiendo la Agencia de Protección de datos acordar las medidas correctoras que estime necesarias y plazo para adoptarlas, y a los efectos de la pretensión efectuada por la recurrente de sustituir la sanción impuesta por la figura del apercibimiento recogido en el artículo 45.6 de la LOPD, no puede obviarse que el criterio invocado fue modificado con posterioridad por la Audiencia Nacional, conforme se recoge en el Fundamento de Derecho Sexto de la Sentencia de la Audiencia Nacional de fecha 29 de noviembre de 2013, Rec. nº C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 455/2011, al señalar sobre esta cuestión lo siguiente: “SEXTO.- Por último, abordaremos a continuación el examen de la posible concurrencia del motivo para fundar el recurso que, haciendo uso de la facultad conferida por el artículo 33.2 de la LJCA, la Sala ha puesto de manifiesto a las partes, poniéndose de relieve que la Administración demandada no formuló alegaciones en el trámite de audiencia conferido al efecto. La resolución recurrida, dictada por el Director de la Agencia Española de Protección de Datos acuerda apercibir a la entidad XXXX, con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  38. b)de al citada Ley Orgánica en su vigente aplicación aprobada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible y de conformidad con lo establecido en los artículos 36 y 37. a),
  39. f)y
  40. n)de la LOPD. Por consiguiente, la Agencia Española de Protección de Datos pretende sustentar su actuación en el artículo 45.6 de la LOPD, que establece lo siguiente: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  41. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  42. b)anterioridad. Que el infractor no hubiese sido sancionado o apercibido con Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. Las circunstancias del apartado cinco del precepto, a que se refiere el texto del apartado sexto y cuya concurrencia significativa justifica el apercibimiento al sujeto responsable a fin de que, en el plazo en que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resulten pertinentes, son las propias de los siguientes supuestos:
  43. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  44. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  45. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  46. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  47. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 Por consiguiente, el legislador ha previsto la sustitución del procedimiento sancionador y, por ende, de la sanción que correspondería al sujeto responsable por la comisión de una infracción leve o grave por la adopción de medidas correctoras de cesación de la actividad constitutiva de infracción y de corrección de las consecuencias derivadas de la misma, cuando la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado quinto del artículo 45 así lo justifiquen. En consecuencia, el “apercibimiento” a que se refiere el precepto no constituye una sanción y tiene por objeto, exclusivamente, que el sujeto responsable "en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes”, siendo tales medidas las que establezca en cada supuesto la Agencia Española de Protección de Datos. De manera que el artículo 45.6 de la LOPD no contempla la imposición de la sanción de apercibimiento, consistente en la amonestación que se hace al sujeto responsable de una infracción administrativa, haciéndole saber el reproche social que merece su conducta infractora. Tal consideración se ve avalada también por el hecho de que el “apercibimiento”, al que se refiere la norma, no se ve precedido de la tramitación de procedimiento sancionador, en cuyo seno se acuerde, y se contrapone abiertamente a la imposición de sanciones, tal y como indica expresamente el precepto, tanto al prever su aplicación en lugar de la apertura del procedimiento sancionador, como al exigir su procedencia, entre otros requisitos, que "el infractor no hubiere sido sancionado o apercibido con anterioridad". En este sentido, resulta revelador el hecho de que el incumplimiento del apercibimiento o su desatención conlleve la apertura del correspondiente procedimiento sancionador por dicho incumplimiento. En definitiva, nos encontramos ante una habilitación legal y expresa a la Agencia Española de Protección de Datos para sustituir la sanción que correspondería a la conducta infractora apreciada por un mero requerimiento para la adopción de determinadas medidas correctoras, al que se denomina “apercibimiento”, que carece de naturaleza sancionadora. Consecuentemente, el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una potestad que difiere sustancialmente de la sancionadora y que puede ejercer en lugar de esta cuando concurran las singulares y excepcionales circunstancias que contempla el precepto. A ello debe añadirse que el fundamento de la atribución de tal potestad administrativa no puede ser otra más que la constatación de que bajo ciertas circunstancias que contempla el precepto, la cualificada disminución de la culpabilidad del imputado o de la antijuridicidad de hecho resulta tan extraordinaria que la conducta no merece la imposición de sanción ni, por ende, es objeto del reproche social que acompaña a esta medida. Debe reconocerse que esta Sala y Sección en alguna ocasión ha calificado el apercibimiento impuesto por la AEPD, en aplicación del artículo examinado, como sanción (SAN de 7 de junio de 2012, rec. 285/2010), y en otros casos ha desestimado recursos contencioso-administrativos interpuestos contra resoluciones análogas a la recurrida en este procedimiento, sin reparar en la naturaleza no sancionadora de la medida expresada (SSAN de 20 de enero de 2013, rec. 577/2011, y de 20 de marzo de 2013, rec. 421/2011). No obstante, los concretos términos en que se ha suscitado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 controversia en el presente recurso contencioso- administrativo conducen a esta Sala a las conclusiones expuestas, corrigiendo así la doctrina que hasta ahora venía presidiendo la aplicación del artículo 45.6 de la LOPD.” (El subrayado es de la AEPD Este criterio se reitera en la Sentencia de la Audiencia Nacional de fecha 10 de junio de 2014, Rec. nº 166/2013, enervando el alegato de la recurrente de que el apercibimiento tiene naturaleza sancionadora. A mayor abundamiento, de la literalidad del artículo 45.6 de la LOPD se evidencia que la previsión contenida en el mismo de sustituir la incoación de un procedimiento sancionador por la figura del apercibimiento al infractor es potestativa del órgano sancionador, correspondiendo su ponderación a dicho órgano atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado 1 del mismo precepto , siempre y cuando también se cumplan los presupuestos
  48. a)y
  49. b)citados en el propio precepto. Es decir, la aplicación de dicho precepto por el órgano sancionador resulta excepcional y discrecional, habiendo sido desestimada tal posibilidad en el caso analizado cuando, a la vista de la naturaleza de los hechos resultantes de las actuaciones previas de inspección, se acordó iniciar el procedimiento sancionador que dio lugar a la sanción ahora recurrida en lugar de, previa audiencia del interesado, apercibir, en su caso, al sujeto responsable de la infracción, no cabiendo, por tanto en el presente momento procedimental efectuar la sustitución solicitada. Todo lo cual lleva a rechazar la petición de la recurrente de sustituir la sanción impuesta por la figura de apercibimiento. IV Por lo tanto, en el presente recurso de reposición, la recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ENTEMANSER, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de julio de 2016, en el procedimiento sancionador PS/00030/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad ENTEMANSER, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.