REPOSICION-PS-00136-2022

1/18  Procedimiento Nº.: EXP202100876 (PS/00136/2022) Recurso de Reposición Nº RR/00233/2023 Examinado el recurso de reposición interpuesto por la entidad AD735 DATA MEDIA ADVERTISING S.L. con CIF.: B87781795 (en adelante, “la parte recurrente”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento, PS/00136/2022, por vulneración a lo estipulado del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD), y en la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), y en base a los siguientes: HECHOS PRIMERO: Con fecha 07/03/23, la Directora de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/136/202, abierto a la entidad AD735 DATA MEDIA ADVERTISING S.L. y que fue notificada el día 08/03/23, por vulneración del art. 7.1 RGPD, imponiendo una sanción de 5.000 euros (cinco mil euros) SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/ 00136/2022, quedó constancia de los siguientes: Primero: Según indica el reclamante en su escrito de reclamación de fecha 02/07/21, él nunca participó en el sorteo que se celebraba a través de la página web de la entidad reclamada (www.premium-sales.

1. es)pues, según él nunca había prestado sus datos personales a dicha entidad para ningún fin. Segundo: En el escrito presentado por la entidad reclamada en esta Agencia el 03/10/21, reconoce que no dispone de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web y le confirma al propio reclamante que “(…) En casos como el suyo, y ante cualquier evidencia o sospecha acerca de la veracidad y/o titularidad de los datos recibidos a través de cualquiera de los formularios habilitados, AD735 DATA MEDIA ADVERTISING, S.L., en garantía de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR), procede a la limitación y/o supresión de la totalidad de los datos que configuran el registro(…)” Tercero: Iniciado el procedimiento sancionador, la entidad reclamada, en el escrito de alegaciones a la incoación del expediente presentó, junto con el escrito de alegaciones, un certificado Tabla Registro emitido por el responsable del tratamiento de los datos personales, con la descripción del registro de actividad recogida en el log de la página web y acciones realizadas por la IP asociada, según declara la reclamada, al registro del teléfono del reclamante. Los datos presentados en el certificado del DPD de la entidad reclamada, obtenidos el 23/07/19 a las 16:44 horas, como el nombre, los apellidos y número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 teléfono coinciden con los datos del reclamante aportados en su escrito de reclamación. Dada la antigüedad de la utilización de la dirección IP para este procedimiento de alta en el sorteo, no se ha podido constatar la información sobre este dato ya que excede la obligatoriedad de conservación de éste según lo establecido en el artículo 5.1 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. TERCERO: Con fecha 11/03/23, tiene entrada en esta Agencia, escrito de recurso de reposición presentado por la entidad, en el cual, entre otra, se alega lo siguiente: PRIMERO.- RECLAMACIÓN DEL USUARIO.El día 2 de julio de 2021, D. A.A.A. presenta una reclamación en esa Agencia por una presunta vulneración de la normativa de protección de datos: (RGPD y LOPDGDD), alegando lo siguiente: “he recibido una contestación de la entidad reclamada indicando que habían obtenido mis datos a través del formulario de participación en el sorteo de un viaje para dos personas publicado en el sitio web www.premiumsales.es, lo que es absolutamente falso”. Con fecha 13 de junio de 2022 se acuerda el inicio del procedimiento sancionador PS/00136/2022 dimanante del Expediente EXP202100876. Con fecha 8 de marzo de 2023, se dicta resolución de procedimiento sancionador en el que se resuelve “IMPONER a la entidad AD735 DATA MEDIA ADVERTISING S.L. por la infracción del artículo 7.1 RGPD, con una sanción de 5.000 euros (cinco mil euros)” SEGUNDO.- ACREDITACIÓN DEL CONSENTIMIENTO OBTENIDO DEL RECLAMANTE.Se indica en la resolución que ahora se viene a recurrir que “En este caso, el responsable sólo acredita que alguien se registró e introdujo los datos del reclamante, pero no acredita que fuera el reclamante el que se dio de alta”. Sin embargo en el presente procedimiento sancionador se ha acreditado por esta parte la trazabilidad del consentimiento otorgado por el afectado, se constata la ausencia de toda prueba de cargo que justifique la sanción propuesta y así queda patente la vulneración del principio de presunción de inocencia que debe regir la potestad sancionadora de la Administración, la vulneración del principio de interdicción de la arbitrariedad de la Administración y, entendemos, que una errónea valoración de la prueba practicada, tal y como venimos a detallar en el presente recurso. Se aporta nuevamente, como documento uno, certificado emitido por el responsable del fichero en el que se muestran los datos del registro y de la actividad realizada por el usuario con sus tiempos y el detalle de las acciones realizadas. TERCERO.- ADMISIÓN DE LA RECLAMACIÓN.C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales establece en su artículo 65 los criterios de admisión de las reclamaciones recibidas: “1. Cuando se presentase ante la AEPD una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La AEPD inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la AEPD podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la AEPD hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
2. a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el art 74 de esta ley orgánica.
3. b)Que el derecho del afectado quede garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la AEPD podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la AEPD”. Analizada la reclamación presentada por el reclamante, en lo que a la infracción del artículo 7.1. del RGPD se refiere, en consonancia con lo establecido en el apartado 2 del mencionado artículo, resulta evidente que la reclamación no debió admitirse a trámite y por ser considerada como carente de fundamento y abusiva y por no aportar indicios racionales de la existencia de una infracción. No podemos olvidar que el reclamante en este punto únicamente ha alegado que él no rellenó un formulario, pero en ningún caso ha aportado prueba alguna que acredite dicha manifestación, ni tampoco un mínimo indicio que sirva C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 para fundamentar la sanción impuesta a AD735 DATA MEDIA ADVERTISING, S.L., lo que nos lleva a calificar la sanción impuesta como carente de motivación ya que se sustenta en una serie de suposiciones no probadas, ni por el reclamante, ni por la propia AEPD en el periodo probatorio desarrollado. CUARTO.- VULNERACION DE LOS PRINCIPIOS DE IGUALDAD E INTERDICCIÓN DE LA ARBITRARIEDAD POR PARTE DE LA AEPD.En el presente asunto se acuerda la imposición de una sanción a AD735 DATA MEDIA ADVERTISING separándose de la propuesta de resolución emitida por el instructor del expediente, así como del criterio seguido por el órgano sancionador en asuntos anteriores recientes, Ej. Expediente EXP202101732, en el que en su resolución de fecha 29 de agosto de 2022, se acuerda archivar el procedimiento puesto que, como se indica en sus fundamentos de derecho: “En relación con lo anterior, se considera que si bien inicialmente existían evidencias de que el tratamiento de datos de la persona que supuestamente rellenó el formulario del sorteo y su cesión a terceros, objeto de esta reclamación, se habría efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD, la aportación de nueva documentación por el reclamado hace que tales evidencias sino resultan del todo refutadas si al menos resulten cuestionadas, lo que hace imposible llegar a la certeza sobre la comisión de la infracción. El RGPD se aplica a los datos personales, que se definen como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, cultural o social de dicha persona. BICLAMEDIA aporta como acreditación de la obtención del consentimiento para la realización de las actividades de tratamiento, a las que se refiere la reclamación, nuevos documentos (ficheros log y certificado de la tabla de registro) lo que podría suponer la constatación de actividades de obtención del consentimiento de las personas que acceden a la página web objeto de la reclamación. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento PS/00578/2021, iniciado a la entidad BICLAMEDIA, S.L., con NIF B87022117.”. Por otra parte, sorprende a esta parte que en el presente asunto se aplique una doctrina de la Audiencia Nacional del año 2006 y un criterio distinto al aplicado en la anterior resolución, cuando los hechos acreditados y la actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 probatoria desarrollada en ambos procedimientos guardan una similitud incuestionable. Entendemos que esta diferencia de criterio a la hora de resolver dos asuntos similares conlleva una clara vulneración del principio constitucional recogido en el artículo 9.3 que garantiza la interdicción de la arbitrariedad. Al igual que en el procedimiento PS/00578/2021, esta parte aportó, con fecha 27 de junio de 2022, nuevos documentos al presente expediente, consistentes en los datos del registro y de la actividad realizada por el usuario con sus tiempos y el detalle de las acciones realizadas. Documentación ésta similar a la aportada en el procedimiento PS/00578/2021, lo que debe ser suficiente, sino para acreditar el consentimiento manifestado por el reclamante, sí para al menos, introducir una duda razonable sobre la existencia de una válida obtención del consentimiento del reclamante para el tratamiento. Sin embargo, en el presente procedimiento prevalece la simple manifestación del reclamante a la actividad probatoria desplegada por la reclamada acreditando la obtención del consentimiento, lo que no sólo supone una vulneración de los principios de interdicción de la arbitrariedad y de igualdad a los que está sujeto la AEPD como Administración Pública, sino que además conlleva un precedente peligroso que pone en peligro el principio de seguridad jurídica al que igualmente está sujeta y que debe presidir los procedimientos administrativos en general y sancionadores en particular. VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA.Se señala en la resolución recurrida que “sobre el principio de presunción de inocencia aludido por la reclamada, se debe indicar que, en el ámbito de la protección de datos queda matizado por la concurrencia del de responsabilidad proactiva que, en el supuesto objeto de este expediente, implica necesariamente la actuación diligente del responsable del tratamiento que no solo ha de obtener el consentimiento previo para el tratamiento de los datos sino que además debe de contar con los medios imprescindibles para poder verificar y probar que dicho consentimiento se otorgó debidamente”. Pues bien, en el presente procedimiento y tal y como se acredita con el documento adjunto al presente recurso, y que ya fue aportado en su momento al expediente, resulta clara la actuación diligente y proactiva del responsable del tratamiento pues se acredita claramente la obtención del consentimiento del reclamante previo al tratamiento de sus datos. Una documentación evidentemente unilateral ya que es la propia reclamada la que tiene acceso a sus sistemas y herramientas de registro y gestión de datos. Además, sorprende a esta parte que, sin una normativa que aclare cuáles son los medios probatorios válidos para acreditar el consentimiento obtenido, no se valore la documentación aportada cuando de la misma resulta evidente la manifestación del consentimiento emitido por el reclamante. El principio de presunción de inocencia está sustantivado en el artículo 24.2 de la Constitución Española, referido al proceso, pero extensible a la materia sanC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 cionadora administrativa. Así lo ha declarado de manera constante el TC, ya desde la STC 8-3- 1985, (SSTC 45/1997; 23/1995; 138/1990; 76/1990). La presunción de inocencia implica que es necesaria una o más pruebas, cuya aportación es una carga que corresponde a la Administración, para imponer una sanción. Es decir, toda sanción debe apoyarse en una actividad probatoria que demuestre y acredite la realidad de la infracción cometida por el sancionado. Se vulnera este derecho a la presunción de inocencia cuando se sanciona sin pruebas, sin tener en cuenta las prácticas en el seno de dicho procedimiento se valoran las mismas de forma arbitraria, irracional o absurda: SSTC 33/1992; 10/1992; 51/1991; 38/1990; etc. La presunción de inocencia supone el derecho de la recurrente a que se presume la inexistencia de responsabilidad administrativa mientras que por la Administración no se demuestre lo contrario. El artículo 24 CE garantiza que el procedimiento sancionador, como señala la STC 76/1990, está condicionado a la aportación de prueba de carga a un procedimiento contradictorio en el que pueden defender las propias posiciones. A este efecto, el derecho a la presunción de inocencia comporta «que la sanción esté basada en actos o medios probatorios de carga o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, La STC (Sala Primera) núm. 70/2012 de 16 de abril de 2012 (RTC 2012, 70) establece que “La aplicación de la doctrina mencionada determina la desestimación de esta queja, ya que existe, sin duda alguna, actividad probatoria de carga, válida y suficiente para enervar la presunción de inocencia de la entidad recurrente. Ahora bien, ese valor probatorio sólo puede referirse a los hechos comprobados directamente por el funcionario, quedando fuera de su alcance las calificaciones jurídicas, los juicios de valor o las simples opiniones que los inspectores consignen en las actas y diligencias (STC 76/1990, de 26 de abril, F. 8), de modo que, aunque rechacemos la queja referida a la vulneración del derecho a la presunción de inocencia (art. 24.2 CE), ello no excluye la necesidad de examinar a continuación si la subsunción de esos hechos en el correspondiente precepto sancionador se ha hecho en términos constitucionalmente admisibles”. Consideramos que el presente procedimiento sancionador, basado únicamente en una manifestación del afectado en el que afirma que no cumplimentó un formulario ni ha participado en un concurso, sin aportar indicio racional alguno de la existencia de infracción, supone una clara vulneración del principio de presunción de inocencia reconocido en nuestro texto constitucional, máxime cuando AD735 DATA MEDIA ADVERTISING, siguiendo la doctrina de la Audiencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 Nacional reseñada en la resolución de fecha 23 de enero de 2023, ha demostrado haber recabado el consentimiento del afectado, ha conservado la prueba del cumplimiento de su obligación y lo ha acreditado ante esa Agencia mediante la trazabilidad de los datos obtenidos. El derecho a la presunción de inocencia en el ámbito administrativo, que entendemos vulnerado, comporta, que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada, algo que no sucede en el presente procedimiento sancionador. - que la carga de la prueba (onus probandi) corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y - que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio, lo que debería ser aplicado en este caso. Así, la Sección 1ª de la Sala de lo Contencioso Administrativo de la AN ha señalado en su recientísima Sentencia de fecha 22 de febrero de 2022 (rec. 26/2020), por tanto, muy posterior a la doctrina que sustenta la resolución que venimos a contestar, que “Falta de aportación de indicios racionales de la existencia de infracción que es lo acontecido en el presente supuesto, según deriva de las consideraciones de las resoluciones impugnadas, que razonan que el actor fundamenta la presunta vulneración de la normativa de protección de datos en meras manifestaciones, sin aportar pruebas que acrediten que se haya cometido una infracción. Añadiendo la AEPD que, al ser de aplicación, al derecho administrativo sancionador, con alguna matización, los principios inspiradores del orden penal, resulta clara la plena virtualidad del principio de presunción de inocencia, de conformidad con lo previsto en el artículo 53.2.
4. b)de la LPACAP”. Por otra parte, en el artículo 65 de la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, que ha adaptado el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril, se establece que “La AEPD inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos de carácter personal, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción”. En relación con este artículo, la Sección 1ª de la Sala de lo Contencioso Administrativo de la Audiencia Nacional, en la misma sentencia reseñada, indica que este precepto “contempla una inadmisión a limine, es decir, de oficio, sin analizar el fondo de la posible controversia planteada y sin necesidad de ninguna otra actuación, en los supuestos, entre otros, en que la cuestión planteada no aporte indicios racionales de la existencia de una infracción”, como entendemos que ha sucedido en este caso, en el que el afectado se limita a negar su participación en un sorteo sin aportar indicios racionales de la existencia de una infracción por parte de AD735 DATA MEDIA ADVERTISING, aun cuando está le aportó certificado de obtención de sus datos personales, y posteriormente se aportó al procedimiento la trazabilidad de los datos obtenidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 La misma Sección 1ª, en su sentencia de 31 de enero de 2022 (rec. 2058/2019), viene a indicar que cuando no hay prueba de vulneración alguna de la LOPD, debe primar el principio de presunción de inocencia. Con respecto al Principio de Presunción de Inocencia, éste está recogido como derecho fundamental en el artículo 24.2 de nuestro Texto Constitucional. Configurado como un derecho propio del ordenamiento penal, la jurisprudencia, por afinidad, ha hecho extensible el mismo al procedimiento sancionador. El Principio de Presunción de Inocencia garantiza no sufrir sanción en el orden administrativo sancionador, sin previa actividad probatoria. Garantiza, además un periodo de prueba que dé como resultado una prueba de cargo, qué en el presente procedimiento no existe. En virtud de este principio, corresponde al reclamante, probar la certeza de los hechos imputados, y en ningún caso está obligado el expedientado a probar su inocencia, al venir amparado por la presunción de inocencia constitucional. Sin que sea bastante una denuncia que inicie un expediente sancionador, pero que no constituya prueba de infracción. Sobre el principio de presunción de inocencia, nuestro TC, ha tenido ocasión de pronunciarse y sentar doctrina respecto del periodo probatorio, teniendo por resuelto que [Sentencia 76/90 de 25 de abril (FJ.8º)] “cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. INTROMISIÓN DEL ÓRGANO SANCIONADOR EN LA ACTIVIDAD INSTRUCTORA.Con fecha 14 de noviembre de 2022 se notifica a esta parte propuesta de resolución en el presente procedimiento sancionador en el que se el Sr. Instructor del procedimiento propone “que por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento sancionador a la entidad del presente procedimiento sancionador a la entidad, AD735 DATA MEDIA ADVERTISING S.L. con CIF.: B87781795, con arreglo a lo dispuesto en los artículos 63.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por la presunta infracción del artículo 7.1 del RGPD”, y ello fundamentado, tras una adecuada valoración de la actividad probatoria desplegada, en que: “En el presente caso, la entidad reclamada presenta, junto con el escrito de alegaciones a la incoación del expediente, el “Certificado Tabla Registro”, con el registro de actividad recogida en el log de la página web y las acciones realizadas a través de la IP asociada al teléfono ***TELÉFONO.1, destacando que, el número de teléfono que el reclamante indica como suyo en el escrito de reclamación, coincide con el número de teléfono asociado a la IP desde donde se enviaron los datos personales para darse de alta en la web. Además de comprobar que la información facilitada al usuario en el momento de rellenar el formulario en la página web en cuestión, que se observa correcta, existe, con la información y la documentación aportada por la entidad, evidenC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 cia suficiente para poder determinar que los datos personales del reclamante fueron incluidos en el formulario de la página web del reclamado a través del teléfono móvil del reclamante pues, según el log aportado, la IP desde donde se enviaron los datos personales está asociada al teléfono del reclamante”. La resolución sancionadora recurrida, además de la alegada vulneración del derecho de la reclamada a su presunción de inocencia, conlleva una manifiesta indefensión para AD735 DATA MEDIA ADVERTISING, y una intromisión grave e inadmisible del órgano sancionador en la actividad instructora pues, desde el mismo momento en el que tuvo conocimiento de la reclamación, prejuzgó la culpabilidad de AD735 DATA MEDIA ADVERTISING imponiendo ab initio a la reclamada la sanción que la misma considera aplicable, que incide en la nulidad del procedimiento ex artículo 47.1.
5. a)de la Ley 39/2015, separándose injustificadamente de la actividad probatoria desplegada en fase de instrucción. Decimos que se ha producido una intromisión grave e inadmisible del órgano sancionador en la actividad instructora pues en la resolución ahora recurrida existe una manifiesta falta de valoración de la actividad probatoria, desplegada en fase instructora, por parte del órgano sancionador. En este sentido ha tenido ocasión de pronunciarse la Sección Primera de la Sala de lo Contencioso Administrativo de la AN en su recientísima Sentencia 6460/2022, de veintitrés de diciembre, establece que “también señalábamos como otro elemento determinante del procedimiento sancionador el de valoración de la prueba, que según la doctrina tanto del Tribunal Constitucional como del Tribunal Supremo se encuentra íntimamente ligado al principio de presunción de inocencia, y que exige que el fallo condenatorio se apoye en verdaderos actos de prueba que han de ser conformes a la Ley y a la Constitución, y como hemos dicho la resolución no hace ninguna específica valoración de las pruebas en relación con las citadas denuncias, sino que se limita a recogerlas en los hechos probados, pero sin hacer una valoración específica de las mismas”. En el presente procedimiento, como en aquel mencionado, ni se han tenido en cuenta los hechos probados ni se ha acreditado la existencia de infracción alguna por parte de AD735 DATA MEDIA ADVERTISING, y lo que se ha castigado es una infracción potencial basada en una mera alegación de la parte reclamante realizada por animadversión a la reclamada. En consecuencia, no habiendo sido respetados los principios de la potestad sancionadora, y teniendo en cuenta que según el Considerando 129 del RGPD los poderes de las autoridades de control deben ejercerse de conformidad con garantías procesales adecuadas establecidas en el Derecho de la Unión y los Estados miembros, unido a las demás manifestaciones vertidas en el presente escrito, entendemos que procede la estimación del presente del recurso administrativo. FUNDAMENTOSDEDERECHO I.- COMPETENCIA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 Se dirige el recurso al mismo órgano que dictó el acto administrativo impugnado, por ser el competente para su resolución, según el art. 123 de la Ley 39/2015, de 1 de octubre. II.- LEGITIMACIÓN Mi mandante se encuentra legitimada para la interposición de este recurso, a tenor de lo dispuesto en los arts. 4 y 13 de la Ley 39/2015, de 1 de octubre, por ser titular de derechos e intereses legítimos, personales y directos afectados por el acto impugnado. III.- OBJETO DEL RECURSO El acto contra el que este recurso se interpone es susceptible de impugnación al poner fin a la vía administrativa, de acuerdo con lo establecido en el artículo 114.
6. c)de la Ley 39/2015, de 1 de octubre. IV.- PLAZO Al ser notificado el acto ahora objeto de recurso en fecha 8 de marzo de 2023, el plazo de un mes para interponer el recurso de reposición que establece el art. 124 de la Ley 39/2015, de 1 de octubre, vencerá el mismo día del mes siguiente, no obstante, de conformidad con el artículo 30.5 del mismo cuerpo legal, cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer día hábil siguiente. Siendo el día 8 de abril de 2023 inhábil y presentado este escrito el primer día hábil siguiente, el recurso se interpone dentro del plazo, no existiendo por tanto extemporaneidad. V.- PROCEDIMIENTO El presente escrito de interposición cumple las formalidades exigidas por el art. 115 de la Ley 39/2015, de 1 de octubre. En todo caso, el error en la calificación del recurso no puede ser obstáculo para su tramitación, según el punto 2 de ese mismo precepto. En virtud de lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, que tenga por presentado este escrito junto con el documento que se acompaña, y en su virtud por interpuesto RECURSO DE REPOSICIÓN frente a la Resolución dictada en el Procedimiento Sancionador PS/ 00136/2022, lo admita, tenga por evacuado, en tiempo y forma, el trámite conferido, y, en virtud de las alegaciones realizadas en el presente documento, se sirva de anular dicha resolución y dictar otra acordando la dejar sin efecto las sanciones impuestas a AD735 DATA MEDIA ADVERTISING, S.L. por una infracción del artículo 7.1 del RGPD y declarando el del presente procedimiento sancionador a la entidad, AD735 DATA MEDIA ADVERTISING S.L., sin imposición de sanción. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 I Competencia. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, en respuesta a las alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe indicar lo siguiente: - a).- Sobre la acreditación del consentimiento obtenido del reclamante. En el “log” presentado por la parte reclamada, se puede comprobar como los datos incluidos en el formulario de la página web www.premium-sales.es , enviados el 23/07/19 a las 16:44 horas, desde la IP (...), asociada al número de teléfono ***TELÉFONO.1, esto es, el nombre, los apellidos y número de teléfono, coinciden con los datos personales del reclamante aportados en su escrito de reclamación, destacando que, el número de teléfono que el reclamante indica como suyo en el escrito de reclamación, coincide con el número de teléfono asociado a la IP desde donde se enviaron los datos personales para darse de alta en la página web, Pero en este caso, el responsable sólo acredita que alguien se registró e introdujo los datos del reclamante, pero no acredita que fuera el reclamante el que se dio de alta y es en ese fundamento en el que se basa la resolución del expediente sancionador PS/ 136/2022, pues en estos casos, el reclamado puede establecer procedimientos para constatar que el alta se realiza por el titular de los datos, como, por ejemplo, enviar un SMS o realizar una llamada de confirmación, sobre todo cuando el objeto principal de la actividad del responsable es obtener datos con fines publicitarios y así se recogía en el acuerdo de inicio. Esto es debido a que la acreditación de la identidad del usuario que está introduciendo los datos en el sitio web de sorteos https://www.premium-sales.es no se realiza con las garantías suficientes, por lo que cualquier persona con conocimiento del nombre, apellidos y teléfono de un ciudadano, o incluso empleando datos aleatorios, podría introducir estos datos personales en el sitio web y éstos ser cedidos por la parte reclamada a otras entidades con fines de mercadotecnia. Además, la parte reclamada, en su correo electrónico de contestación al reclamante, que consta en el escrito de alegaciones al traslado de la reclamación, manifiesta la indisposición de la tecnología necesaria para poder certificar la identidad de las personas que remiten los datos a través de los formularios habilitados en sus sitios web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 - b).- Sobre la admisión de la reclamación presentada en el seno del procedimiento PS/136/2022: La parte recurrente alega en este punto que, “(…) analizada la reclamación presentada por el reclamante, en lo que a la infracción del artículo 7.1. del RGPD se refiere, en consonancia con lo establecido en el apartado 2 del mencionado artículo, resulta evidente que la reclamación no debió admitirse a trámite y por ser considerada como carente de fundamento y abusiva y por no aportar indicios racionales de la existencia de una infracción No podemos olvidar que el reclamante en este punto únicamente ha alegado que él no rellenó un formulario, pero en ningún caso ha aportado prueba alguna que acredite dicha manifestación, ni tampoco un mínimo indicio que sirva para fundamentar la sanción impuesta (…)”. En la reclamación presentada que dio lugar al expediente sancionador PS/136/2022, el reclamante manifiesta, entre otras, lo siguiente: “Tras ejercer mis derechos de acceso, oposición y limitación del tratamiento por recibir una comunicación comercial por SMS en mi teléfono desde el identificativo MASMOVIL sin que yo lo hubiera solicitado ni autorizado, presente una reclamación ante la AEPD por falta de contestación (…) y he recibido una contestación de la entidad reclamada indicando que habían obtenido mis datos a través del formulario de participación en el sorteo de un viaje para dos personas publicado en el sitio web www.premium-sales.es , lo que es absolutamente falso” presentado la documentación necesaria para corroborar dichas afirmaciones, como el SMS recibido o la contestación de la entidad reclamada. Por otra parte, la doctrina de la Audiencia Nacional señala que cuando el titular de los datos niega el consentimiento en el tratamiento de sus datos corresponde la carga de la prueba a quien afirma su existencia, debiendo el responsable del tratamiento recabar y conservar la documentación necesaria para acreditar que el consentimiento se ha dado y que ha sido dado por el titular de los datos y así lo señala la Sentencia de la Audiencia Nacional de 31 de mayo de 2006 (Rec. 539/2004): “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001 ) a quien corresponde asegurarse de que aquel a quien se solicita consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley. Por tanto, en el presente caso, cabe admitir la reclamación presentada pues versaba sobre cuestiones de protección de datos personales, poseía fundamentos para ello, y aportaba indicios racionales de la existencia de una infracción. - c).- Sobre la vulneración de los principios de igualdad e interdicción de la arbitrariedad por parte de la AEPD. En este punto, la parte recurrente hace referencia al procedimiento sancionador con la referencia PS/00578/2021, seguido en esta Agencia contra la entidad BICLAMEDIA, donde se consideró que esta entidad había tratado los datos personales del reclamante sin ninguna base legitimadora, cediéndolos posteriormente a terceros y por tanto se abrió el expediente por la presunta infracción del artículo 6 del RGPD, esto es, por falta de legitimación en el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 Recordar que, en el transcurso del proceso de dicho expediente, la entidad reclamada (BICLAMEDIA) aportó como nuevos documentos al expediente, como fueron los ficheros log con los datos de registro y la actividad en el momento de navegación en la web, así como un certificado de tabla de registro emitido por el responsable del fichero de datos personales. Estos documentos reflejaban que a través de la IP del reclamante se visitó la web de la reclamada introduciendo los datos personales del reclamante y figurando en las condiciones c1, c2, c3 y c4 el valor “1” (que significaría la aceptación de las condiciones del tratamiento de datos, según nota aclaratoria), en la “Tabla de Registro del usuario y el Log de actividad IP, introduciendo una duda razonable sobre la existencia de una válida obtención del consentimiento del reclamante o de un tercero para el tratamiento. No obstante, se debe volver a incidir que existe una clara diferencia con respecto al presente procedimiento (PS/136/2022), pues en este expediente, lo que se trató fue si la entidad AD735 DATA MEDIA ADVERTISING S.L., podía o no corroborar que la persona que introdujo los datos personales en el formulario de su página web fue precisamente el reclamante o fue realizado con su consentimiento. Pues bien la propia entidad AD735 DATA MEDIA ADVERTISING S.L., reconoció que no tenía los medios técnicos necesarios para poder corroborarlo, precisamente en el su correo electrónico de contestación al reclamante y esto era debido a que la acreditación de la identidad del usuario que introduce los datos en el sitio web de sorteos https://www.premium-sales.es no se realiza con las garantías suficientes, por lo que cualquier persona que tuviera conocimiento del nombre, apellidos y teléfono de un ciudadano, o incluso empleando datos aleatorios, podría introducir datos personales de terceros en el sitio web, existiendo mecanismos sobradamente conocidos que se podrían utilizar, como por ejemplo, el envío de un código de verificación por SMS, una llamada de confirmación, etc., que podrían corroborar que los datos introducidos en el formulario son proporcionados por el propio interesado o con su consentimiento. Además la entidad reclamada manifestó, en la contestación que realizó al afectado que, al igual que el resto de las empresas del sector del marketing digital y de otros sectores, no puede garantizar con absoluta certeza que los datos recibidos sean correctos pues en ocasiones se reciben registros con indicación de nombres falsos, alias o algún dato mal indicado y a veces, se reciben registros de menores de edad que indican una fecha de nacimiento errónea para acreditar una mayoría de edad que no tienen y así poder optar a los premios promocionados y que por este motivo AD735 advierte a los usuarios, en su política de privacidad, la necesidad de indicar datos exactos y veraces, además de, en el caso de suministrar datos de terceras personas, contar con el consentimiento expreso de éstas para poder introducirlos - d)- Sobre la vulneración del principio de presunción de inocencia. Establece el considerando