1/4 Procedimiento nº.: PS/00176/2017 ASUNTO: Recurso de Reposición Nº RR/00806/2017 Examinado el recurso de reposición interpuesto por la entidad DKV SEGUROS Y REASEGUROS SAE (DKV), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/176/2017, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 14/09/17 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/176/2017, por la que se acuerda Imponer a la entidad DKV, una multa de 40.001 (CUARENTA MIL UN euros); por una infracción del artículo 37.1.
- i)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), tipificada como grave en su artículo 44.3.i). Dicha resolución, que fue notificada a la entidad recurrente, con fecha 21/09/17, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, lo siguiente: • Con fecha 08/02/17, la Agencia Española de Protección de Datos REQUIRIÓ a la empresa DKV, que aportara documentación relacionada con determinadas investigaciones en curso llevadas a cabo por la Subdirección General de Inspección de Datos, referidas al expediente E/6174/2017. • Con fecha 26/04/17 se inicia procedimiento sancionador contra DKV por incumplimiento a lo estipulado en el artículo 37.1.
- i)de la LOPD (notificado el 03/05/17). • Con fecha 04/05/17, se presenta ante la oficina de correos la documentación requerida por la AEPD, el 08/02/17. TERCERO: DKV ha presentado, con fecha 20/10/17, recurso de reposición fundamentándolo, básicamente, en que: “Los hechos que están en el origen de esta sanción provienen del Expediente N° E/06174/2016, dentro del cual se había efectuado a DKV una solicitud de información relativa a A.A.A.. Dicho expediente ha terminado en una Resolución de Archivo, el 26/07/17. Es decir, que el expediente terminó reconociendo que no se había infringido la LOPD y por tanto, no parece que se ajuste a los principios del derecho sancionador la imposición de una multa con base en unos hechos que finalmente NO han sido constitutivos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 conducta punible. En este caso, el tipo de conducta sancionable que se imputa DKV es el no atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma, sin embargo, consta en el expediente que DKV Seguros, aunque con retraso, aportó cuanta información tenía y podía aportar acerca del caso. Por tanto, la conducta observada por DKV no se corresponde con la que según el tipo del artículo 44.3.
- i)LOPD resulta sancionable. Ni DKV dejó de atender el requerimiento de la AEPD, ni dejó de proporcionar la información de la que disponía. El retraso en el cumplimiento no es objeto de sanción de manera expresa, y rigiendo el principio de tipicidad en el derecho sancionador, la conducta que se atribuye a DKV Seguros no puede ser penalizada. Por otra parte, se alega que DKV no obtuvo (ni pretendía obtenerlo) ningún beneficio con su conducta consistente en un simple retraso en la entrega de la información solicitada. Antes al contrario, debe tenerse en cuenta que el retraso fue debido a la dificultad para rastrear la totalidad de la información y así dar una respuesta lo más completa posible (y así consta en la AEPD). Por lo que respecta a la graduación de la sanción, consideramos que es desproporcionada, puesto que se impone una multa de 40.001 €, tomando en consideración la franja prevista en el artículo 45.1° de la LOPD para las infracciones graves. Invocamos, por tanto, con carácter subsidiario, la vulneración del principio de proporcionalidad y, por tanto, la incorrecta aplicación del art. 45.4 y 5 de la LOPD, considerando que la cuantía de la sanción de 40.001€ es desproporcionada y sin motivación y justificación suficiente, por lo que procedería la minoración de la multa impuesta hasta los 900 €. Solicita también que le sea aplicada el principio de proporcionalidad, según el cual «La graduación de la sanción considerará especialmente los siguientes criterios:
- a)El grado de culpabilidad o la existencia de intencionalidad;
- b)La continuidad o persistencia en la conducta infractora;
- c)La naturaleza de los perjuicios causados;
- d)La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa.» En el caso presente la resolución impugnada no pondera en ningún momento ni ha tenido en cuenta como circunstancias atenuantes ninguna de las que hemos mencionado en este escrito: falta de tipicidad de la acción (Con lo que la sanción se impone por analogía); inutilidad de la sanción (por cuanto no cumpliría en este momento ninguna finalidad); falta de intencionalidad en la conducta de la mercantil (la intención, en todo caso, fue la de cumplir de la mejor manera posible); ausencia de perjuicios a terceros por la conducta sancionada; y ausencia de beneficios para DKV por la misma conducta; ni el hecho notorio de que es la primera vez que se incurre en la conducta denunciada. Razones todas por las que no puede sino considerarse desproporcionada la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Por último solicita se revoque la resolución y dicte otra por la que se declare el archivo de las actuaciones sin la imposición de sanción alguna; o SUBSIDIARIAMENTE, dicte otra por la que imponga a DKV una sanción de 900 € en consideración a las múltiples circunstancias atenuantes que concurren en el presente caso” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En el caso que nos ocupa, el expediente PS/176/2017 tiene como raíz el expediente E/6174/2017, aunque no es parte integrante del mismo. Se podría considerar como una pieza separada. Es cierto que este último expediente ha sido archivado en base a que el tratamiento de datos realizado por DKV fue llevado a cabo empleando una diligencia razonable, pero éste no es el caso del expediente PS/176/2017. Aquí lo que se sanciona es la falta de diligencia a la hora de proporcionar la información requerida por parte de la AEPD, por lo que no puede ser tenido en cuenta el hecho de haber sido archivado el expediente E/6174/2016. Se alega que la conducta sancionada a DKV es por no atender los requerimientos de la AEPD pero consta en el expediente que DKV, aunque con retraso (tras recibir el acuerdo de inicio del procedimiento sancionador), si aportó cuanta información tenía y podía aportar acerca del caso. Se debe indicar que, el requerimiento de información fue realizado el 08/02/17, dando un plazo para ello de 10 días hábiles y después de 2 meses y 18 días, cuando no se había enviado a esta Agencia información alguna, se procedió a incoar expediente sancionador por este motivo. Tampoco se realizó, en este periodo, ningún tipo de comunicación a la Agencia solicitando ampliación de plazos o comunicando que la recopilación de la información requerida era complicada de conseguir y por tanto de enviarla en plazo. Es cierto, que se envió la información requerida por esta Agencia y que dio lugar al archivo del expediente E/6174/2017, pero también es cierto que dicha información fue depositada en el servicio de Correos el 04/05/16, un día después de conocer la existencia de un expediente sancionador por no haber realizado diligentemente el requerimiento de la AEPD. En relación con las demás manifestaciones efectuadas en el escrito de recurso de reposición, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho, del II al IV ambos inclusive, de la resolución del expediente sancionador PS/176/2017. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 En resumen, el escrito de recurso de reposición presentado por la entidad DKV, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por DKV, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14/09/17, en el procedimiento sancionador PS/176/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad DKV SEGUROS Y REASEGUROS SAE. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es