1/6 Procedimiento nº.: PS/00262/2019 Recurso de reposición Nº RR/00769/2019 Examinado el recurso de reposición interpuesto por XFERA MÓVILES, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00262/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 16 de octubre de 2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00262/2019, en virtud de la cual se imponía a una sanción de 60.000€ (SESENTA MIL euros), por la vulneración de lo dispuesto en el artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5 del RGPD y calificada de muy grave en el artículo 72.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDPGDD). Dicha resolución, que fue notificada al recurrente en fecha 18 de octubre de 2019, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00262/2019, quedó constancia de los siguientes: procedimiento sancionador, << PRIMERO: Se denuncia la suplantación de identidad, en la contratación del servicio del reclamado, no teniendo noticia de ello hasta que dicha entidad le reclama el pago de una deuda que el reclamante no reconoce, tras lo cual interpone denuncia ante la Dirección General de la Policía el 28 de julio de 2018, aportándose copia de dicha denuncia y de las facturas correspondientes a la deuda requerida. SEGUNDO: El reclamado manifiesta que se está investigando a nivel interno las posibles causas del incidente objeto de la presente reclamación pero que al existir una denuncia por estos mismos hechos en sede policial con número de atestado 14651/18, interpuesta en fecha 28 de julio del año 2018 (Anexo 1 de la reclamación), y que teniendo en cuenta que estos hechos ya están siendo investigados de forma oficial por la vía penal, el reclamado manifiesta que esperará a que se dicte la resolución de dicho procedimiento para esclarecer las posibles casusas del incidente, en virtud del fundamento del principio de no bis in ídem, que ordena el procedimiento sancionador en ambos ordenamientos.>> TERCERO: XFERA MÓVILES, S.A. (en lo sucesivo el recurrente) ha presentado en fecha 18 de noviembre de 2019, en esta Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 recurso de reposición, fundamentándolo en que el contrato firmado con el reclamante es un contrato que se encuentra dentro del segmento de “Autónomos”, lo que nos indica que los datos que han sido tratados corresponden a un empresario individual, afirmando que “esta circunstancia es de vital relevancia para el caso que nos ocupa, ya que de conformidad con lo dispuesto por el artículo 19 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, el tratamiento de los datos relativos a los empresarios individuales y a los profesionales liberales se presumirá amparado en lo dispuesto en el artículo 6.1.
- f)del Reglamento (UE) 2016/679 cuando se refieran a ellos únicamente en dicha condición y no se traten para entablar una relación con los mismos como personas físicas; requisitos, ambos, que concurren en nuestro caso. Esto nos lleva a concluir, ante la falta de prueba en Recurso de Reposición PS/00262/2019 en contrario, que el tratamiento aquí analizado goza de la base legitimadora del interés legítimo. En razón de lo antedicho, entiende esta administrada que procede reponer la resolución y acordar la no imposición de la sanción”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. III El recurrente, fundamenta el presente recurso afirmando que el tratamiento de datos objeto de este procedimiento se ajusta a la normativa de protección de datos según el artículo 19.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) y por lo tanto considera que su actuación se encuentra amparada en el artículo 6.1
- f)del RGPD porque trata los datos del reclamante como autónomo o empresario individual, ya que el tipo de contrato se encuentra dentro del segmento de “Autónomos”. En este sentido señalar que para la aplicación del artículo 19.1 de la LOPDGDD mencionado por la recurrente se requiere el cumplimento de estos dos requisitos: “
- a)Que el tratamiento se refiera únicamente a los datos necesarios para su localización profesional.
- b)Que la finalidad del tratamiento sea únicamente mantener relaciones de cualquier índole con la persona jurídica en la que el afectado preste sus servicios. “ En el presente caso el objeto de la reclamación no es el tratamiento de los datos de un contrato de un autónomo, sino la contratación de un servicio sin el consentimiento del titular, es decir, estamos ante un caso de suplantación de identidad, y por lo tanto el consentimiento del titular de los datos no ha sido prestado, quedando así constatada su voluntad con la denuncia presentada en sede policial con número de atestado 14651/18, interpuesta en fecha 28 de julio del año 2018. Por ello, no es de interés la modalidad de contrato para determinar la infracción o no de la normativa de protección de datos, sino la falta de documentos que acrediten que se contaba con el consentimiento del interesado para su celebración. Así las cosas, esta Agencia considera que se ha vulnerado la normativa de protección de datos del reclamante en base a los Fundamentos de Derecho del II y III de la Resolución recurrida, tal como se transcribe a continuación: << II El artículo 4.11 del RGPD define el «consentimiento del interesado» como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen, así el artículo 6.1 del RGPD establece que para que el tratamiento sea lícito se requerirá que el interesado de su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. Por su parte el artículo 6.1 del RGPD establece que “El tratamiento solo será C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” III De conformidad con las evidencias de las que se dispone en el presente momento, se considera que el reclamado ha utilizado los datos de la reclamante para la contratación de la línea telefónica ***TELÉFONO.1 sin su consentimiento. El reclamante manifiesta que el cargo realizado por la entidad denunciada tiene como origen la contratación de la línea ***TELÉFONO.1, activada en fecha ***FECHA.1, y la compra de un terminal con pago a plazos modelo Samsung Galaxy S8 64GB, por valor de 654€. Añade que la línea fue contrata “on line” y facilitan a esta Agencia informe sobre la contratación y copia del contrato. XFERA MÓVILES, S.A. ha manifestado que se está investigando a nivel interno las posibles causas del incidente y que tras la denuncia interpuesta el 28 de julio de 2018 en sede policial con número de atesado 14651/18, estos hechos ya están siendo investigados de forma oficial por la vía penal, por lo que solicita que se esté a la resolución de dicho procedimiento para esclarecer las posibles causas del incidente, en virtud del fundamento del principio de no bis in ídem, que ordena el procedimiento sancionador en ambos ordenamientos jurídicos. Esta Agencia consideró necesario constatar tales afirmaciones y para ello realizó nuevo requerimiento de información a XFERA sobre el contrato de servicio, el procedimiento de contratación y de acreditación de la identidad, y sobre el estado del procedimiento por vía penal correspondiente al atestado policial 14651/18, al que hace referencia en su escrito, sin haber recibido contestación al respecto en el plazo dado para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por lo tanto, se considera que al no obtener respuesta al requerimiento de la AEPD, se entiende que la entidad no ha procedido a la cancelación de los datos personales del reclamante y en consecuencia continúa el tratamiento, por lo que de conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por una presunta vulneración del artículo 6 del RGPD, indicado en el fundamento II.>> IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES, S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 16 de octubre de 2019, en el procedimiento sancionador PS/00262/2019. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es