REPOSICION-PS-00160-2018

1/7 Procedimiento PS/160/2018 Resolución del Recurso de Reposición Nº RR/681/2018 Examinado el recurso de reposición interpuesto por la entidad AVON COSMETICS SAU (AVON), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/160/2018, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 07/09/18 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/160/2018, por la que se acuerda Imponer a la entidad AVON, una multa de 56.000 (cincuenta y seis mil euros); 28.000 euros por cada una de las infracciones de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD), tipificadas como grave en sus artículos 45.5.b y c) respectivamente de la LOPD. Dicha resolución, que fue notificada a la entidad recurrente, con fecha 10/09/18, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de lo siguiente hechos: a).- AVON aporta las condiciones del contrato mercantil de distribución que la denunciante supuestamente firmó, con fecha 15/01/

1. b).- AVON aporta las facturas de fecha 26/01/15 por valor de 338,32 euro y de fecha 26/01/15 por valor de 132,99 euros dirigidas a la denunciante. c).- Con fecha 04/03/15, AVON indica que envía carta personalizada a la denunciante a la dirección: ***DIRECCION.1, en la que se le reclama la cantidad de 471,31 euros. En la misma, NO se avisa de la posible inclusión de sus datos en ficheros de solvencia patrimonial en caso de no regularizar la situación. d).- Los datos personales de la Sra. A.A.A., fueron dados de alta en el fichero ASNEF el 30/09/15 y estuvieron incluidos en el mismo hasta el 28/02/18, (2 años y 5 meses). Fueron dados de baja el mismo día, que la entidad envió la información requerida a esta Agencia. e).- El 04/10/17 existe una consulta del fichero ASNEF, por parte de la denunciante, donde tiene conocimiento de que sus datos personales figuran inscritos en el mismo por una deuda de 471,31 euros, con AVON, desde el 30/09/
2. f).- El 17/10/17, la Sra. A.A.A. se pone en contacto con AVON, denunciando los hechos. g).- El 26/10/17, la Sra. A.A.A. se pone en contacto con EQUIFAX, solicitando la baja de sus datos personales del fichero ASNEF. h).- El 26/10/17 EQUIFAX, contesta a la Sra. A.A.A. indicándola que “NO existen datos inscritos en el fichero ASNEF, asociados al identificador aportado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 i).- El 27/01/18, AVON recibe requerimiento de información de esta Agencia sobre los hechos denunciados por Sra. A.A.A.. j).- El 18/04/18, La AEPD inicia procedimiento sancionador contra AVON por los hechos denunciados por la Sra. A.A.A.. Dicho procedimiento es notificado a la entidad el 26/04/18 k).- El 10/05/18, AVON denuncia ante la Policía Nacional los hechos, indicando en la denuncia, entre otras cosas, que: “(…)Así, todo parece indicar, que una persona cuya identidad se desconoce, pero cuyo domicilio podría ser la ***DIRECCION.1, y cuya identidad podría corresponder a Dª B.B.B. con DNI ***DNI.1 aprovechándose de manera fraudulenta del sistema de contratación flexible de AVON, habría suplantado la personalidad de Dª. A.A.A. y mediante el engaño se habría dado de alta como distribuidor indicando un domicilio de su conveniencia al de recibir los productos de AVON sin pago de precio (...)”. TERCERO: La entidad AVON ha presentado, con fecha 10/10/18, recurso de reposición fundamentándolo, básicamente, en que: PRIMERA.- De la inaplicabilidad de la LOPD. AVON mantiene que el tratamiento de los datos que realiza de su base de datos de distribuidores para la gestión de su actividad empresarial es un supuesto claramente excluido del ámbito de aplicación de la LOPD. En particular, AVON presentó un Escrito de Primeras Alegaciones ante la AEPD el 10 de julio de 2018, en el que quedaba claramente evidenciado y respaldado por la Audiencia Nacional en las sentencias firmes número 401/2016 de 23 de marzo (JUR/2016/170196) y número 15 7/2016 de 4 de marzo (JUR/2016/72710), que el tratamiento de los datos que realiza de sus distribuidores, y por supuesto también de la Distribuidora, está fuera del ámbito de aplicación de la LOPD. SEGUNDA.— Cumplimiento dela normativa de protección de datos aplicable. En caso de que eventualmente resultara aplicable la normativa de protección de datos al tratamiento de los datos de la Distribuidora realzado por AVON, ésta habría cumplido escrupulosamente -pese a no resultarle de aplicación— con la normativa aplicable en materia de protección de datos en el momento de realizarse el tratamiento de los datos de la Distribuidora (LOPD). Sin perjuicio de lo anterior y a mayor abundamiento, la LOPD no es de aplicación desde el pasado 25 de mayo de 2018, fecha a partir de la cual el Reglamento Europeo 679/2016 de Protección de Datos (el “Reglamento General de Protección de Datos” o “RGPD”) es de directa aplicación en ESM. En concreto, cabe destacar que el RGPD no solo deja sin efecto a la LOPD sino que además impide que los responsables de tratamiento sean sancionados por infracciones de dicha norma que ya no es de aplicación. Adicionalmente, conforme al RGPD, AVON no estaría obligada a realizar una comunicación previa e individualizada a los distribuidores antes de incluirles en el correspondiente fichero de solvencia patrimonial, por lo que AVON no podría ser sancionada por no informar a la Distribuidora de dicha inclusión (si bien, conforme a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Resolución, ha quedado probado el envío por parte de AVON de un carta personalizada a la Distribuidora & la dirección aportada en el momento de darse de alta como distribuidora de AVON, dirección a la que también fueron entregados los la mercancía). En conclusión, en virtud de lo la actuación de AVON habría sido escrupulosamente respetuosa con el derecho a la privacidad y al respecto a los datos personales de la Denunciante en todo momento. Cumpliendo la LOPD en el momento de realizar el tratamiento pues realizó una comunicación previa e individualizada mediante carta individualizada y personalizada enviada a la dirección postal aportada por la Denunciante y dirección en la que son entregados los productos adquiridos, informando sobre la existencia de la deuda liquida vencida y exigible y apercibiendo sobre la inclusión de los datos en un fichero de solvencia patrimonial en caso de falta de pago. Cumpliendo con el RGPD al haber tenido AVON una actitud consciente, diligente y proactiva en el tratamiento de los datos personales que llevaba a cabo de la Distribuidora. En este sentido, insistimos una vez más en que seguir este planteamiento cuando la AEPD sabe de su evidente antijuridicidad, resulta, dicho sea con el mayor respeto, temerario y perjudica, no solo a AVON, sino también al erario público y al interés público, reservándose AVON en este sentido el ejercicio de las acciones legales que legítimamente le pudieran corresponder con objeto de defender sus propios intereses y el interés general. TERCERA.- La suspensión del procedimiento administrativo ante la concurrencia de una posible infracción penal por falsedad documental, suplantación de personalidad y estafa. Hechos pendientes de esclarecerse en vía judicial penal. En el supuesto de hecho que nos encontramos, tan solo caben dos posibles alternativas, y en ambas AVON es la víctima Bien nos encontramos en un supuesto en el que la Denunciante falta la absoluta verdad cuando dice que nunca llegó a formalizar un contrato de distribución con AVON, y por tanto, los datos que de la misma le constan & AVON son correctos y la carta individualizada y personalizada advirtiendo de la existencia de la deuda liquida vencida y exigible y apercibiendo de las consecuencias en casa de falta de pago (inclusión en fichero de morosos) fue correctamente enviados a la dirección postal aportada por la propia Distribuidora en el momento de darse de alta y formalizar el contrato de Distribución con AVON. En ese caso, pese a no resultar de aplicación la LOPD AVON habría cumplido con todos los requisitos legales aplicables ante de incluir a un interesado en un fichero de solvencia patrimonial. Por otro lado, y conforme al RGPD (actual norma de protección aplicables) el requisito (cumplido) de la comunicación individual ni siquiera sería aplicable. Bien nos encontramos en un supuesto en el que ha habido una conducta delictiva (denunciada en dos ocasiones tanto por la Denunciante como por AVON) constitutiva de un posible delito de estafa y suplantación de la personalidad previsto en los artículos 248 y siguientes del Código Penal, del cual habrían sido víctimas tanto AVON con la Denunciante. Recordemos que conforme a los hechos aceptados como probados por la AEPD, la propia AVON interpuso denuncia penal ante la Policía C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Nacional con fecha [0 de mayo de 2018 (atestado policial 9005/18), copia del cual tienen la AEPD al haber sido ya presentada en cl seno de este procedimiento. En conclusión, si hubo estafa, AVON es tan víctima como la Denunciante. Pero, ahora bien sino hubo estafa, la Denunciante estaría faltando a la verdad, en contra de las pruebas documentales aportadas, para eximirse de la responsabilidad que le corresponde. Así y a la espera de que se dirima la existencia penal, la actuación de AVON se habría basado en un error invencible de tipo. en la conciencia de que la Distribuidora era quien decía ser. En este sentido, en tanto en cuanto los hechos denunciados por la Denunciante estén siendo objeto de investigación penal, la AEPD no puede sin más obviar esta circunstancia y declarar a AVON responsable de una infracción de la LOPD, cuando podría ser también igual de víctima de dicha infracción penal y haber sido su actuación escrupulosamente respetuosa con la LOPD (pese a no resultarle de aplicación). Cabe aquí la aplicación del principio básico de seguridad jurídica. Si unos hechos (fundamentales para precisar la existencia de infracción administrativa) están siendo objeto de investigación policial y penal, la Administración Pública, en este caso la AEPD, no puede por más que suspender el procedimiento administrativo a la espera de que se esclarezcan los hechos, de conformidad con lo previsto en el artículo 77.5 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en relación con los medios probatorios empleados en el Procedimiento Administrativo Común Esto es, en tanto en cuanto los mismos hechos que sustancian este procedimiento sancionador están siendo objeto de investigación penal, la AEPD, por un principio de seguridad y prudencia jurídica debe suspender cautelarmente el procedimiento a la espera de que se esclarezcan los hechos. Lo contrario podría llevar a una situación tan antijuridíca como que AVON resultara sancionado en vía administrativa por unos hechos que finalmente fueran declarados como no probados en vía judicial penal. Precisamente como dicha situación sería inadmisible desde un punto de vista del administrado, la Ley del Procedimiento Administrativo Común se tomó la molestia de regulado expresamente (como no podía ser de otra manera). Se solicita: Dictar resolución por la que proceda al sobreseimiento y cierre del expediente sancionador contra AVON sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad por parte de AVON. Subsidiariamente, se solicita se suspenda provisionalmente el presente procedimiento administrativo a la espera de que se esclarecer los hechos objeto de investigación penal, hechos que determinarán en su caso la posible responsabilidad de AVON COSMETICS S.A.U., solicitándose se acuerde en cualquier caso, la suspensión la ejecución de la resolución sancionadora dictada el 7 de septiembre de 2018 por la Agencia Española de Protección de Datos dentro del procedimiento sancionador PS/00160/2018 (notificada el 14 de agosto de 2018), de conformidad con lo previsto en el articulo 98.1.b de la Ley 39/2015 del Procedimiento Administrativo Común que prevé la suspensión de la ejecutoriedad de una sanción cuando quepa recurso potestativo de reposición (como es el que nos ocupa). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por la entidad AVON, en su escrito de recurso de reposición, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho, de la resolución del expediente sancionador el 07/09/
3. No obstante, volver a incidir que, AVON no ha aportado ningún documento que haga prueba del estado en el que se encuentran en la actualidad las presuntas Diligencias Previas penales, si han dado lugar a la tramitación del correspondiente Procedimiento judicial o si, por el contrario, se ha acordado el sobreseimiento, reconociendo incluso en sus alegaciones que “(…) AVON presentó denuncia ante la Policía Nacional el 10/05/18 poniendo en conocimiento de la autoridad policial hechos análogos de estafa. AVON se encuentra en estos momentos, a la espera del desarrollo de dichas diligencias policiales a los efectos de que se puedan esclarecerse los hechos y dirimirse las correspondientes responsabilidades (…)”, diligencias policiales que no tienen nada que ver con diligencias penales a las que se refiere el artículo 77.4 de la LPACAP. Pero es más, aunque existieran diligencia previas penales en tramitación, que a fecha 29/10/18 aún no constan, hay que indicar, por una parte, que en el caso aquí planteado, no existiría la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho y fundamento), entre la infracción administrativa que se valora y la posible infracción o infracciones penales que se pudieran derivar de las presuntas Diligencias Previas practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que no sería el mismo –respecto a las infracciones de la LOPD el responsable es la entidad AVON, en tanto que el responsable penal de un eventual delito de usurpación de estado civil o estafa sería el tercero que se hubiera hecho pasar por el denunciante-. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico protegido por la LOPD es el derecho fundamental a la protección de datos personales el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado el caso, el Juzgado de Instrucción serían el estado civil y el patrimonio, respectivamente. En este sentido, volver a indicar la Sentencia de la Audiencia Nacional de 27/04/2012 (rec. 78/2010). Una vez más, indicar a la entidad que, los hechos denunciados en este procedimiento e investigados por esta Agencia, no versan sobre una presunta infracción de AVON en materia de protección de datos en relación al tratamiento de los datos personales de uno de sus distribuidores, sino, sobre el tratamiento que ha realizado AVON sobre los datos de una persona totalmente ajena a ellos, que denuncia que nunca ha tenido contacto con AVON, ni para comprar producto ni para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 hacerse distribuidor de sus productos, ni para cualquier otro asunto en el que pueda existir una relación contractual o mercantil, denunciando ante esta Agencia que fue fruto de un fraude y que AVON trató sus datos personales sin su consentimiento. Es más, esos datos han sido incluidos en ficheros de solvencia patrimonial y de crédito sin cumplir el requisito previo de deuda cierta veraz y exigible. Nada tiene que ver, por tanto, el tratamiento de los datos personales de esta persona con el tratamiento de los datos personales de sus distribuidores. Así, las sentencias de la Audiencia Nacional que la compañía intenta relacionar con este caso y desviar por tanto el objeto de este expediente hacen referencia al tratamiento de los datos de carácter personal realizados por AVON respecto a personas que tuvieron alguna relación contractual con la compañía (distribuidores). Situación que no se da en este caso, por lo que no procede considerar aquí, las alegaciones de la representación de AVON que hacen referencia sobre este asunto. Sigue afirmando y asegurando la compañía denunciada que la Sra. A.A.A. era distribuidora de AVON por lo que actuó como empresario individual, más aún, como distribuidor puro, pero una cosa es afirmar y otra cosa es demostrar y en este caso, AVON no ha demostrado mediante la aportación de alguna prueba sin veracidad. En este punto, hay que volver a recordar la SAN 23/04/2015, Rec. 97/
4. Por último, AVON sigue sin aportar ningún documento que acredite que la Sra. A.A.A. realizó el proceso de alta como distribuidora; NO aporta ningún formulario o contrato suscrito por el denunciante con la compañía y “avalado por las Delegada de Ventas” tal y como se indica la compañía en su escrito de alegaciones; NO aporta fotocopia de DNI o documento que acredite la identidad del contratante; NO se aporta correo electrónico enviado al presunto distribuidor para darse de alta ni la aceptación de las condiciones del contrato mercantil. Solamente se trascribe un “log de aceptación” realizado por web con algunos datos que concuerdan con los del denunciante, pero incluso en este caso, NO se incluyen datos esenciales, como puede ser su DNI. Además, ni la fecha de nacimiento ni la dirección ni el número de teléfono concuerdan con los aportados por el denunciante a esta Agencia, lo que acredita una falta grave de diligencia debida en el tratamiento de los datos de la afectada. III En resumen, el escrito de recurso de reposición presentado por la entidad AVON, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AVON COSMETICS SAU, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 07/09/18, en el procedimiento sancionador PS/160/
5. SEGUNDO: COSMETICS SAU. NOTIFICAR la presente resolución a la entidad AVON De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es