← España

REPOSICION-PS-00218-2018

1/7 Procedimiento nº.: PS/00218/2018 ASUNTO: Recurso de Reposición Nº RR/00620/2018 Examinado el recurso de reposición interpuesto por la Dña. B.B.B., que actúa en nombre y representación de la entidad GESTION JAINOE S.L.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00218/2018, y en base a los siguientes: HECHOS PRIMERO: Con fecha 10 de agosto de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00218/2018, en virtud de la cual se imponía a GESTIÓN JAINOE S.L.U., una sanción de 40.001 €, por la vulneración de lo dispuesto en el artículo 10 en relación con el 12.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3 d), de conformidad con lo establecido en el artículo 45.2

  1. b)de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 13 de agosto de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00218/2018, quedó constancia de los siguientes: procedimiento sancionador, UNO.- Juicio sobre Delitos Leves Q.Q.Q./2017, seguidos ante el XDO.1ª.INST.E INSTRUCCIÓN N.1 de Padrón, en cuya sentencia P.P.P./2017 de 19 de octubre de 2017, se declara en los hechos probados: “Único.- se considera probado y así se declara que desde mediados de febrero hasta el mes de mayo de 2017 C.C.C., empleado de la empresa gestión de cobros “GESTIÓN JAINOE, S.L.U.” realizó numerosas llamadas telefónicas tanto al domicilio como al lugar de trabajo de A.A.A., reclamándole el pago de una deuda supuestamente contraída por su esposa con la empresa “DISTEVA, S.L.. DOS.- Consta que Gestión Jainoe, S.L.U. incumplió el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al director de la residencia de la tercera edad donde trabajaba A.A.A., según consta en los Hechos Probados de la sentencia. TRES.- Consta en la cláusula tercera del contrato celebrado entre Gestión Jainoe S.L. y Disteva S.L “que en ningún caso GESTIÓN JAINOE, S.L.U. comunicará, ni tan siquiera para su conservación, los Datos de Carácter Personal tratados en virtud de este contrato, a ningún tercero”. TERCERO: GESTION JAINOE S.L.U. (en lo sucesivo el recurrente) ha presentado en fecha 13 de septiembre de 2018 recurso de reposición en el alega lo que estima oportuno en mejor defensa de sus intereses y que en esencia reproduce las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 alegaciones formuladas en el curso del expediente sobre las que la Resolución impugnada se pronunció oportunamente, es decir, la nulidad radical de la Propuesta de Resolución motivadora de los presentes, con el archivo del procedimiento, al no haber cometido la mercantil Gestión Jainoe S.L.U. en su proceder, ningún acto que suponga transgresión de precepto alguno de los contenidos a la LOPD o subsidiariamente se module la Propuesta de Sanción, y por otra parte sea tenido en cuenta a efectos probatorios en el seno del presente procedimiento la grabación del acto de la vista del Juicio sobre Delitos Leves nº Q.Q.Q./2017 seguido por el Juzgado de Primera Instancia e Instrucción nº1 de los de Padrón. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida, tal como se transcribe a continuación: <<En el presente caso se atribuye a Gestión Jainoe, S.L.U., la comisión de la infracción de lo dispuesto el artículo 10 en relación con el 12.4 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Persona, (en adelante LOPD), que establece lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Frente a dicha imputación, Gestión Jainoe, S.L.U. manifiesta, en síntesis, que el denunciante no figura en ningún fichero, ni se ha incluido, ni se ha negado su exclusión, en consecuencia el procedimiento iniciado debe decaer, sin que proceda convalidarlo, y por lo tanto la nulidad radical del mismo. Pues bien, debe analizarse la responsabilidad de Gestión Jainoe, S.L.U. en los hechos acaecidos. Sobre este particular, debemos señalar que en el Juicio sobre Delitos Leves Q.Q.Q./2017, seguidos ante el XDO.1ª.INST.E INSTRUCCIÓN N.1 de Padrón, en cuya sentencia P.P.P./2017 de 19 de octubre de 2017, se declara en los hechos probados: “Único.- se considera probado y así se declara que desde mediados de febrero hasta el mes de mayo de 2017 C.C.C., empleado de la empresa Gestión Jainoe, S.L.U realizó numerosas llamadas telefónicas tanto al domicilio como al lugar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 de trabajo de A.A.A., reclamándole el pago de una deuda supuestamente contraída por su esposa con la empresa “DISTEVA, S.L.. Al hilo de lo anterior, consta que Gestión Jainoe, S.L.U. incumplió el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al Jefe de éste último, según consta en los Hechos Probados de la sentencia. En consecuencia, dado que en el caso que nos ocupa se observa que consta en la cláusula tercera del contrato celebrado entre Gestión Jainoe S.L. y Disteva S.L “que en ningún caso GESTIÓN JAINOE, S.L.U. comunicará, ni tan siquiera para su conservación, los Datos de Carácter Personal tratados en virtud de este contrato, a ningún tercero”, se llega a la conclusión que uno de los datos remitidos por Disteva S.L. a Gestión Jainoe, S.L:U. fue el de D. A.A.A., por lo que incumplió en el tratamiento de datos personal su obligación al secreto profesional respecto de los mismos ya que comunicó dichos datos a un empleado suyo para que procediera al cobro de una deuda. III El artículo 10 de la LOPD, dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo” y el art. 12.4 de la LOPD (4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infraccione en que hubiera incurrido personalmente). De la lectura del precepto, se hace posible la aplicación, al presente caso dado que Gestión Jainoe, S.L.U. incumplió el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al Jefe de éste último, según consta en los Hechos Probados de la sentencia. Por otra parte, indica que debe aplicársele la ley más favorable, que con la entrada en vigor del nuevo Reglamento General de Protección de Datos el mismo le es más favorable que la aplicación del régimen sancionador previsto en la Ley Orgánica de Protección de Datos: A este respecto hay que señalar que resultan de aplicación las previsiones contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), al no resultar aplicable, en este caso, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, aunque en vigor desde mayo de 2018. Dado que la fecha en que se dictó la sentencia es de 19 de octubre de 2017, en la cual se declaran probados los hechos acaecidos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Conforme se estable en el nuevo Reglamento General de Protección de Datos, en su artículo 83 en sus apartados 4 y 5, que sin hacer mención específica a cuantías mínimas, prevé la posibilidad de sancionar las infracciones cometidas con respecto al tratamiento de datos de carácter personal con multas administrativas de 10.000.000 ó 20.000.000 de euros, o en el caso de que se trate de una empresa, de una cuantía equivalente al 2% o al 4% como máximo del volumen de negocio anual global del ejercicio financiero anterior, optándose por la mayor cuantía. De aquí que la alegación efectuada no es consistente, dado que sí se optara por su aplicación resultaría mucho mayor, que no es el caso. IV El artículo 44.3 letra “d” de la LOPD considera infracción grave: “
  2. d)la vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, GESTION JAINOE S.L.U., ha incumplido el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al Jefe de éste último, según consta en los Hechos Probados de la sentencia. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  3. a)El carácter continuado de la infracción.
  4. b)El volumen de los tratamientos efectuados.
  5. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  6. d)El volumen de negocio o actividad del infractor.
  7. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  8. f)El grado de intencionalidad.
  9. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  10. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  11. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  12. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  13. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  14. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  15. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  16. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  17. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Las alegaciones realizadas, y las medidas adoptadas, no acreditan que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5. de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, procede proponer que se imponga las sanciones en su cuantía mínima. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Operan como circunstancias agravantes y atenuantes en el presente caso concreto las siguientes, de acuerdo con lo establecido en el apartado 4 de dicho artículo 45: Como agravantes: -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la gestión de cobro de deudas impagadas de terceras empresas, utilizando para ello los datos de los deudores que los clientes entregan, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.
  18. c)-El apartado
  19. h)Por la naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. Como atenuantes: -El apartado
  20. b)El volumen de los tratamientos efectuados. Toda vez que solo consta tratados los datos del denunciante. -El apartado
  21. d)El volumen del negocio o actividad del infractor, ya que estamos ante una pequeña empresa dado que consta que solo tiene cinco empleados. III Consta en el expediente copia de la sentencia del XDO. 1ª INST. E INSTRUCCIÓN N.1 de Padrón, por lo que la alegación referente a aportar la copia de la grabación del acto de la vista, debe ser rechazada. En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dña. B.B.B., que actúa en nombre y representación de la entidad GESTION JAINOE S.L.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 10 de agosto de 2018, en el procedimiento sancionador PS/00218/2018. SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B., que actúa en nombre y representación de la entidad GESTION JAINOE S.L.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  23. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.