1/9 Procedimiento PS/00149/2019 180-100519 Resolución del Recurso de Reposición Nº- RR/740/2019 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES S.A., con NIF A82528548, (en adelante, “la entidad reclamada”), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00149/2019, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 25/09/19 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00149/2018, por la que se acordaba Imponer a la entidad XFERA MÓVILES SA., una sanción de 60.000 (sesenta mil euros), por la infracción de los artículos 5.1.
- a)y 6.1.
- a)del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), tipificada como muy grave, a efectos de prescripción, en el artículo 72.1.a y b), de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Dicha resolución, fue notificada a la entidad recurrente, con fecha 30/09/19, según aviso de recibo que figura en el expediente. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de los siguientes: - La reclamante es clienta de la empresa Mas Móvil, desde el 07/04/18, de varios servicios, con domicilio en la localidad de Puebla del Río (Sevilla). - El 23/05/18, recibió un email de la entidad reclamada, con un contrato y un SMS, donde la indicaban la fecha de instalación de nuevos servicios de telefonía fija y móvil de la entidad, pero en un domicilio de Valladolid. - Puesta en contacto con la empresa Mas Móvil, al no haber contratado dichos servicios, la entidad cancela la contratación. - El 29/05/18, (6 días después), Mas Móvil vuelven a enviarla un nuevo email y un nuevo SMS, con información de la contratación de los mismos servicios y en el mismo domicilio de Valladolid. - Puesta en contacto, una vez más, con la empresa para volver a dar de baja la contratación y denunciar que ella no había contratado nada de lo que la indican, pide que la envíen los nuevos contratos supuestamente fraudulentos. Una vez recibidos, en ellos se pueden apreciar que los datos personales, el teléfono de contacto y el email que aparecen en el contrato coinciden con los suyos, pero no así, los datos del domicilio de instalación y número de cuenta bancaria para domiciliación de recibos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 TERCERO: La entidad reclamada, ha presentado, con fecha 30/10/19, recurso de reposición fundamentándolo, básicamente, en que: “Previa.- Reiteración de las alegaciones vertidas en nuestros escritos anteriores. De forma preliminar, y manifestado nuestra oposición a los argumentos recogidos por la Resolución, nos reiteramos en las alegaciones vertidas en anteriores escritos, dándolas por reproducidas en su integridad. Sin perjuicio de ello, a continuación, exponemos las alegaciones específicas del presente escrito de recurso. Primera. – Existencia de prejudicialidad penal. La Resolución frente a la que se pone el presente recurso señala en su Fundamento de Derecho II que: “La entidad reclamada ha presentado alegaciones a la propuesta de resolución reiterando los mismos argumentos expuestos en las alegaciones presentadas a la incoación del expediente. No obstante, es preciso volver a indicar que: a.- Cuando la entidad reclamada afirma en las alegaciones presentadas con fecha 09/05/19, que “por los referidos hechos, existe causa judicial penal abierta, lo que se comunica a los efectos oportunos a fin de que se acuerde la suspensión del o de los expedientes en curso en tanto se resuelva la causa penal”, está reconociendo implícitamente la existencia de un tratamiento no consentido de los datos personales de la reclamante por parte de entidad XFERA MÓVILES.” En este punto hay que manifestar el evidente error en que incurre la autoridad administrativa puesto que del hecho de que exista una causa judicial abierta en ningún caso se puede inferir una confesión, o “implícita confesión”, de existencia de un tratamiento no consentido de los datos personales de la reclamante por parte de la entidad recurrente. El hecho de que exista causa penal abierta es por sí indicativo de la inexistencia de un conocimiento jurídico de lo ocurrido. De hecho, toda causa penal comienza (en su procedimiento común) por una fase de investigación oficial cuya finalidad es la determinación de los hechos y de sus autores (art. 299 LECrim). Por lo que en estos momentos se ignora todo, incluso, si la reclamante misma hubiera de ser considerada responsable de una denuncia falsa, por ejemplo. Y, por consiguiente, ni muchísimo menos esta recurrente asume ni explícita ni implícitamente ninguna infracción o irregularidad. Prosigue la Resolución atacada en el mismo Fundamento de Derecho II indicando que: “b.- El tratamiento de los datos personales sin el consentimiento del afectado, está sancionado administrativamente, (art. 5 y 6 del RGPD). Esta infracción administrativa nada tiene que ver con la presunta estafa denunciada por la entidad en vía penal. Nos estamos refiriendo a dos esferas del ordenamiento jurídico claramente diferenciadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 c.- Aunque la entidad alega que ha denunciado en vía penal los hechos, hay que indicar que, ni en las alegaciones a la incoación del expediente, presentadas el 09/05/19, ni en las alegaciones a la propuesta de resolución, presentadas el 23/08/19, la entidad ha presentado prueba alguna. No se ha aportado ningún documento que haga prueba del estado en el que se encuentran, en la actualidad las presuntas Diligencias Previas Judiciales, si han dado lugar a la tramitación del correspondiente Procedimiento judicial o si, por el contrario, se ha acordado el sobreseimiento. La entidad reclamada solamente se limita a indicar en sus alegaciones que “existe causa judicial abierta” solicitando la suspensión del procedimiento administrativo.” Con estos asertos nuevamente incurre la Resolución en un error por una parte y en una incongruencia por otra. El error proviene de que esta recurrente manifestó en su escrito previo de 9 de mayo que: “Primera.- Que vengo a poner en conocimiento de la Agencia Española de Protección de Datos que, por los referidos hechos, existe causa judicial penal abierta, lo que se comunica a los efectos oportunos a fin de que se acuerde la suspensión del o de los expedientes en curso en tanto se resuelva la causa penal.” Es decir, que esta recurrente advierte de la existencia de causa judicial abierta, no que haya sido la recurrente la que haya interpuesto esa denuncia. Quien ha interpuesto la denuncia es la propia reclamante, la cual lo afirma en su escrito, de ahí el error, y por ello es recogido por la propia administración y recoge entre los Antecedentes, de ahí la incongruencia, en la misma Resolución impugnada lo siguiente: "…Se aporta, entre otras, la siguiente documentación: (…)
- b)Copia de la denuncia interpuesta ante la Guardia Civil el 25/05/18, donde se indican los hechos expuestos anteriormente.” Luego, a la administración, sí le consta la existencia de causa penal abierta y sí, se ha aportado documentación al respecto, en concreto, la denuncia causante de la apertura del atestado. Y, es patente que en dicha denuncia se ve afectada esta recurrente cuya condición procesal en la investigación oficial abierta o que se haya de abrir será la de investigada o la de perjudicada. En el primer caso deberá ser llamada para ser oída y, en el segundo, se le hará el llamado ofrecimiento de acciones. Esta recurrente afirma que su posición en ese proceso ha de ser la correspondiente a perjudicada, en tanto que víctima del fraude, y que le supuso una pérdida por la prestación de un servicio que no fue objeto de contraprestación. Sigue diciendo la Resolución atacada en el mismo Fundamento de Derecho II que no existe posibilidad de incurrir en el vicio de doble sanción por los mismos hechos por no existir identidad del sujeto, hecho y fundamento. Ahora bien, aun concediendo hipotéticamente que ello fuera así, no queda resuelto el óbice de que, por un elemental principio de coherencia entre la vía penal y la administrativa, evitando duplicidades o contradicciones, nuestro ordenamiento jurídico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 impone que se produzca la suspensión del procedimiento administrativo hasta que se resuelva la vía penal. Así el art.77.4 de la Ley 39/2015, de 1 de octubre del Procedimiento Administrativo Común de las Administraciones Públicas dispone que: “En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien.” Lo anterior tiene, por una parte, relación con el principio de la prohibición del nom bis in ídem pero, por otra parte, también es manifestación del necesario principio de coordinación entre administraciones pues como expresa el Preámbulo de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público en su apartado VI párrafo II: “Siguiendo la jurisprudencia constitucional, se definen y diferencian dos principios clave de las relaciones entre Administraciones: la cooperación, que es voluntaria y la coordinación, que es obligatoria.” Lo cual ha de incidir directamente también en las relaciones entre la Administración de Justicia y el resto de administraciones. En la previamente mencionada causa judicial penal, esta recurrente puede llegar a tener la condición de perjudicada sin que hasta la fecha se le haya evacuado el trámite denominado de ofrecimiento de acciones del artículo 109 de la LECrim. Por lo cual, al presente, no se ostenta la condición de parte en la referida causa penal, sin perjuicio de que efectivamente se llegue a adquirir esa cualidad en un futuro próximo. Con todo, lo que se debe poner de manifiesto ahora es que, de conformidad con las normas jurídico- procesales que rigen la fase de investigación oficial, esta administrada no solamente desconoce el contenido del atestado y de las diligencias que se hayan podido practicar, sino que además, en su caso, estaría sometida a una obligación legal de secreto sin que pudiera comunicar a terceros lo que está siendo objeto de esa investigación oficial. Es decir, que al ser requerida por la AEPD no podría considerarse como una falta de colaboración la no aportación de lo que se le pudiera solicitar por ésta al estar sujeta a la obligación legal indicada. En este sentido es relevante recordar que el RGPD recoge en su considerando 19 que:” .... Cuando el tratamiento de datos personales por organismos privados entre en el ámbito de aplicación del presente Reglamento, este debe disponer que los Estados miembros puedan, en condiciones específicas, limitar conforme a Derecho determinadas obligaciones y derechos siempre que dicha limitación sea una medida necesaria y proporcionada en una sociedad democrática para proteger intereses específicos importantes, entre ellos la seguridad pública y la prevención, la investigación, la detección y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales, inclusive la protección frente a las amenazas contra la seguridad pública y su prevención…” En el mismo sentido en el considerando 37 se dice que: “El Derecho de la Unión o de los Estados miembros puede imponer restricciones a determinados principios (…) derechos (…) y a determinadas obligaciones conexas de los responsables del tratamiento, en la medida en que sea necesario y proporcionado en una sociedad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 democrática para salvaguardar la seguridad pública, incluida (…) la prevención, investigación y el enjuiciamiento de infracciones penales o la ejecución de sanciones penales…” En análogo sentido, el considerando 147, y en el cuerpo normativo el artículo 55 establece que: “Las autoridades de control no serán competentes para controlar las operaciones de tratamiento efectuadas por los tribunales en el ejercicio de su función judicial.” Mientras que el artículo 58 1. 4. Dispone que: “El ejercicio de los poderes conferidos a la autoridad de control en virtud del presente artículo estará sujeto a las garantías adecuadas, incluida la tutela judicial efectiva y al respeto de las garantías procesales, establecidas en el Derecho de la Unión y de los Estados miembros de conformidad con la Carta.” Todo lo expuesto permite configurar un principio general de no interferencia entre la actividad administrativa y el proceso judicial penal al que esta administrada se haya primeramente sometida. Finalmente debe ponerse muy especialmente de relieve que, como se ha indicado, esta administrada tiene la intención de asumir la condición de acusadora particular en la causa penal. No obstante, dicha posición procesal no conlleva de suyo que se haya de asumir análoga posición en el procedimiento administrativo. Quiere decirse que, dada la condición de Responsable del Tratamiento, esta operadora padece que su posición en el procedimiento administrativo sea la de sujeto pasivo en la relación jurídica constituida en el procedimiento sancionador. Ello provoca una clara contradicción e incongruencia entre las obligaciones y facultades que le corresponderían en el proceso judicial y las que ha de asumir ante el expediente administrativo, lo que provoca un evidente estado de vulneración de los principios constitucionales que rigen la materia y, de facto, una situación de plena y completa quiebra de los derechos de defensa que ampara su actuación en ambos procedimientos y, particularmente, se ocasiona una patente situación de indefensión material en el proceso administrativo. Todo ello en contravención de los artículos 14 y 24 de nuestra Constitución y, por ello, debe suspenderse el procedimiento sancionador administrativo en tanto se resuelva la materia penal pues es imposible cohonestar la condición de víctima y su opuesta, de responsable, respecto de los mismos hechos a los efectos y garantías del principio de defensa. Segunda. – Subsidiariamente. Atenuación de la sanción impuesta. Por otra parte, es preciso manifestar la improcedencia de las agravantes contempladas en la Resolución que se impugna por cuanto esta recurrente actuó siempre en atención a los datos conocidos y disponibles en cada momento, procediendo a anular la factura emitida a la interesada. De dónde, entiende esta recurrente, que en consideración al contenido del expediente la circunstancia
- a)debe funcionar como atenuante y no como agravante; que las demás agravantes no tienen cabida y que, sin embargo, sí debieran funcionar como atenuantes las previsiones contenidas en las letras: a), como ya se dijo; b); c); d); y g). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 Por lo expuesto, SE PIDE que, teniendo por presentado este escrito, lo admita y, teniendo por formuladas las alegaciones vertidas, y tras los trámites oportunos, por el órgano competente para ello se acuerde: (
- i)Declarar la nulidad de la Resolución, revocando la misma, así como la inexistencia de responsabilidad, y, por tanto, la inexistencia de comisión de infracción administrativa alguna por parte de mi representada y de obligación de satisfacer la sanción impuesta en virtud de dicha Resolución. (
- ii)Subsidiariamente, para el caso de que el órgano competente para resolver considere la existencia de responsabilidad y culpabilidad en mi representada, imponga a mi representada la mínima sanción legalmente prevista. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). II En relación con las manifestaciones efectuadas por la entidad reclamada, en su escrito de recurso de reposición, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho, de la Resolución del expediente sancionador PS/00149/2019, el 25/09/19. No obstante, se debe aclarar varios puntos: a).- En el escrito de alegaciones presentado por la reclamada, el 09/05/19, como consecuencia de la incoación del expediente PS/00149/2019, se decía textualmente: “Primera.- Que vengo a poner en conocimiento de la Agencia Española de Protección de Datos que, por los referidos hechos, existe causa judicial penal abierta, lo que se comunica a los efectos oportunos a fin de que se acuerde la suspensión del o de los expedientes en curso en tanto se resuelva la causa penal. Segunda.- El simple relato de los hechos que suponen la razón de este procedimiento avalan la participación de terceros, es decir ajenos a esta administrada y a sus clientes de buena fe, con intención maliciosa y ánimo de aprovecharse indebidamente de la buena fe ajena. Ello implica de suyo que esta administrada deba ser considerada asimismo como víctima y, por tal razón, además, como perjudicada en el proceso penal abierto”. La reclamada, afirmaba en aquellas alegaciones que “Primera.- Que vengo a poner en conocimiento de la Agencia Española de Protección que, por los referidos hechos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 existe causa judicial penal abierta …” pero en este recurso de reposición indica que “…Es decir, que esta recurrente advierte de la existencia de causa judicial abierta, no que haya sido la recurrente la que haya interpuesto esa denuncia. Quien ha interpuesto la denuncia es la propia reclamante, la cual lo afirma en su escrito, de ahí el error, y por ello es recogido por la propia administración y recoge entre los Antecedentes, de ahí la incongruencia, en la misma Resolución impugnada lo siguiente: "…Se aporta, entre otras, la siguiente documentación: (…)
- b)Copia de la denuncia interpuesta ante la Guardia Civil el 25/05/18, donde se indican los hechos expuestos anteriormente.” Luego, a la administración, sí le consta la existencia de causa penal abierta”. En este punto hay que aclarar que, una denuncia ante la Guardia Civil, no es en sí misma, una causa penal abierta. A grandes rasgos, una denuncia ante los Cuerpos y Fuerzas de Seguridad del Estado, como es la GC, es simplemente un acto en que se pone en conocimiento de la autoridad competente unos hechos que serán, o no, investigados por dicho organismo, en función de las pruebas aportadas y que en el caso de ser investigados podrán dar lugar, o no, a la apertura de un proceso judicial, que puede, o no, desembocar al final, en una causa penal. No obstante lo anterior, en caso de que la denuncia interpuesta ante la Guardia Civil, hubiera sido trasladada a la vía judicial y ésta estuviera investigando el presunto caso de “falsedad o estafa”, por utilización de los datos personales de la reclamante para cometer un delito, se ha de advertir que no se ha aportado ningún documento a esta Agencia, que haga prueba del estado en el que se encuentran, en la actualidad las presuntas Diligencias Previas Judiciales. Esto es, si han dado lugar a la tramitación del correspondiente procedimiento judicial o si, por el contrario, se ha acordado el sobreseimiento de las mismas. Por otra parte, cuando la reclama, en las alegaciones del pasado día 09/05/19, afirmaba que: “Segunda.- El simple relato de los hechos que suponen la razón de este procedimiento avalan la participación de terceros…” esta dejando claro que asume la existencia de un fraude en la utilización de los datos de la reclamante para dar de alta unos servicios en la entidad reclamada. Si ésta hubiera considerado que los hechos denunciados por la reclamante obedecían a otro motivo, la reclamada no hubiera afirmado que los hechos que han provocado el expediente sancionador son como consecuencia de la actuación delictiva de fraude en la utilización de los datos personales de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Podría ser cierto, como dice la recurrente, que en una hipotética investigación por parte de la Guardia Civil, ella tendría ser considerada como parte perjudicada en el hipotético fraude, pero lo que se sanciona aquí, no es el presunto fraude, sino la falta de dirigencia de la recurrente al no haber aplicado los medios necesarios en la gestión de su negocio para que el tratamiento de los datos personales de la reclamante que hizo, sin su consentimiento, no se hubiera producido, no ya una vez, sino dos veces. No ya que, la entidad reclamada hubiera puesto los medios necesarios para que no se produjera un tratamiento irregular de datos personales de una cliente, sino que, ha quedado constatado que tras la primera reclamación por este motivo, la entidad tampoco puso los medios suficientes para que no volviera a ocurrir pero 6 días después, volvió a realizar un tratamiento no consentido de sus datos personales, al volverla a dar de alta en unos servicios que ella no había contratado. Un segundo tratamiento no consentido de los datos personales. Resumiendo, no se sanciona el fraude en la utilización de los datos personales, de ello es competente la vía judicial. Se sanciona la falta de diligencia en el tratamiento de los datos personales, no una vez, sino dos veces, por parte de la entidad reclamada ya que esto se realiza sin el consentimiento de la afectada. El fraude está penado en vía judicial y el tratamiento de datos personales sin consentimiento del afectado, está sancionado en vía administrativa. Una vez aclarado que nada tiene que ver el presunto fraude cometido por terceros con el tratamiento no consentido por parte de la entidad reclamada, hay que volver a recordar el artículo el 31.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) donde se establece que: “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento”. Pues bien, en este caso, partiendo de que no hay constancia que exista causa judicial penal abierta, en el hipotético caso que la denuncia interpuesta ante la Guardia Civil, por la reclamante, desembocara en una actuación judicial en vía penal, tampoco existiría, en este caso, la triple “identidad, de sujeto, hecho y fundamento”, que marca el artículo 31.1 de la LRJSP y esto es porque el sujeto infractor no sería el mismo. Respecto a las infracciones del RGPD (el tratamiento no consentido de los datos personales), el responsable es la entidad reclamada, XFERA MÓVILES SA, en tanto que el responsable penal de un eventual delito de usurpación de estado civil o estafa sería el tercero que se hubiera hecho pasar por la reclamante. Tampoco el fundamento jurídico sería el mismo, mientras el bien jurídico protegido por el RGPD es el derecho fundamental a la protección de datos personales, el bien jurídico que se protege en los tipos penales sería el estado civil y el patrimonio, respectivamente. En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de 27/04/12 (rec. 78/2010). Por último, respecto del segundo punto del recurso, solamente indicar que, aunque sea cierto que se procedió diligentemente a la anulación de la primera factura cuando la reclamante se puso en contacto con la entidad, ésta no realizó ningún acto posterior para que no volviera a ocurrir el tratamiento indebido de los datos personales de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 reclamante. Tan es así que, solamente 6 días después se volvieron a reproducir los mismos hechos y la entidad reclamada volvió a realizar un tratamiento no consentido de los datos de la reclamante, por lo que no cabe admitir la solicitud de aplicación de atenuantes, como solicita la entidad reclamada. III Los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente. En resumen, el escrito de recurso de reposición presentado por la entidad XFERA MÓVILES, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES S.A., con NIF A82528548, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25/09/19, en el procedimiento sancionador PS/00149/2019. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES SA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es