REPOSICION-PS-00281-2021

1/16  Expediente nº.: RR/00765/2022 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U., con NIF A80907397 (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en fecha 3 de noviembre de 2022, y con base en los siguientes HECHOS PRIMERO: En fecha 3/11/2022 se dictó resolución por la Directora de la Agencia Española de Protección de Datos (AEPD) en el expediente sancionador PS/281/2021 en virtud de la cual se impusieron a la parte recurrente las siguientes sanciones de multa administrativa: Por una infracción del artículo 6.1 del Reglamento (UE) 2016/679, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, Reglamento general de protección de datos (RGPD), infracción concretada en haber dado de alta una línea prepago asociada al NIF de la reclamante, tipificada en su artículo 83.5.a), una multa de 70.000€. Por la infracción del artículo 17 del RGPD, tipificada en su artículo 83.5.b), una multa de 100.000€. Dicha resolución, que fue notificada a la parte recurrente el 3/11/2022, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y, supletoriamente, en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). Sin perjuicio de lo expuesto, cabe precisar, para una mejor comprensión de esta resolución, que la resolución que finalizó el procedimiento PS/281/2021, que ahora se impugna, además de imponer a la recurrente las sanciones que se han detallado, adoptó estos acuerdos: (

1. i)Declarar la terminación del procedimiento respecto a la infracción del artículo 15 del RGPD, tipificada en el artículo 83.5.b), en aplicación del artículo 85 de la LPACAP, pues la entonces reclamada había reconocido su responsabilidad y pagado voluntariamente el importe de la sanción fijada en el acuerdo de inicio, con una reducción del cuarenta por ciento del importe, en el trámite de alegaciones al acuerdo de apertura del procedimiento. (
2. ii)Archivar el procedimiento sancionador abierto frente a la entonces reclamada por la infracción del artículo 6.1 del RGPD -consistente en haber tratado sin base jurídica el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 NIF de la reclamante para consultar un fichero de solvencia- al quedar acreditado que no fue responsable de esa conducta. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00281/2021, se dejó constancia de los siguientes en la resolución que se recurre: <<PRIMERO: La reclamante, A.A.A., titular del NIF ***NIF.1, denuncia que VODAFONE, entidad de la que no es cliente, ha dado de alta asociada a su NIF una línea telefónica prepago sin su conocimiento ni consentimiento; ha consultado el sistema de información crediticia de EQUIFAX utilizando como criterio de búsqueda su NIF y no ha atendido los derechos de acceso y supresión que ejercitó ante la operadora. SEGUNDO: VODAFONE trató el dato del NIF de la reclamante vinculado al alta de una línea telefónica prepago, número ***TELÉFONO.1, con fecha 17 de noviembre de 2020. Obran en el expediente, aportadas por VODAFONE con su respuesta a la solicitud informativa de la Subdirección de Inspección de Datos, diversas capturas de pantalla de sus sistemas informáticos (documentos anexos 3 y 4) en las que figura registrada la cuenta cliente ID ***CUENTA.1, correspondiente al número de teléfono y a la fecha precitados, y vinculada al nombre de B.B.B. y al NIF de la reclamante, ***NIF.1. El dato del NIF se encuentra registrado en la “Página Central Interacción” en la pestaña “Info. de contacto”. TERCERO: VODAFONE declara que estaba legitimada para tratar el dato del NIF de la reclamante que le facilitó el tercero que intervino en la contratación y que la base jurídica del tratamiento es el artículo 6.1.
3. c)del RGPD en conexión con la Disposición Adicional Única de la Ley 25/2007. La reclamada ha declarado: “Vodafone está obligada por la Ley 25/2007 a tratar el "número correspondiente al documento identificativo utilizado" por el comprador de la tarjeta prepago; cuestión distinta es que dicho número resulte ser erróneo o haya sido utilizado mediante un fraude por un tercero, pero ello no podrá suponer, en ningún caso, una infracción del artículo 6.1 del RGPD.” CUARTO: VODAFONE reconoce en sus alegaciones al acuerdo de inicio (alegación tercera) que el dato del NIF de la reclamante que fue objeto de tratamiento vinculado a la línea prepago no pertenece al adquirente de la tarjeta. La entidad ha dicho: “[...] pueden existir casos, como el presente, en el que Vodafone trate un dato personal que no pertenece al solicitante de la tarjeta prepago, sino a un tercero (el Reclamante). Es lo que ha sucedido en este caso: es una evidencia y no la negamos.” QUINTO: VODAFONE manifiesta que el tercero que contrató con ella y se identificó con el NIF de la reclamante “superó satisfactoriamente las políticas de seguridad” de la compañía “pues para llevar a cabo el alta de una línea prepago se exige la exhibición de un documento oficial de identificación ante los agentes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 de las tiendas físicas”. Ha declarado que no conoció la existencia de este fraude hasta que se le fue notificado por la reclamante y que en ese momento “se inicia un procedimiento para comprobar los hechos y solucionar la situación.” VODAFONE recibió la copia de la denuncia que la reclamante formuló en la policía el 21/12/ 2020. SEXTO: El contrato de Distribución Mayorista suscrito entre VODAFONE y SERCOM, cláusula 12.2, dice que SERCOM “dará traslado de todas las obligaciones en materia de protección de datos de carácter personal a los puntos de venta Minoristas y certificará haber dado traslado de estas obligaciones mediante la firma de un certificado estándar que se adjunta como documento IV.” Se requiere a VODAFONE en fase de prueba para que aporte el certificado emitido por SERCOM al amparo de la referida estipulación. En respuesta, aporta un documento -el formulario anexo IV- en el que no hay ninguna mención a SERCOM. En el documento no están cumplimentados los datos del certificante (debería ser SERCOM). Los espacios destinados al NIF, nombre, domicilio del certificante y los datos de su representante están vacíos; no hay sello ni firma de SERCOM. Hay un sello de VODAFONE estampado dos veces y una firma sin indicación de a quién pertenece. SÉPTIMO: El Anexo II al contrato entre SERCOM y VODAFONE, “Recogida de datos. Contrato de distribución mayorista”, contiene las instrucciones relativas al cumplimiento de la disposición Adicional Única de la Ley 25/2007, respecto de (
4. i)la identificación presencial y recogida de datos de los clientes que adquieran una Tarjeta Prepago o un Pack Prepago con carácter previo a la venta y (
5. ii)la información a los mismos en los términos descritos en la citada Ley , todo ello de conformidad con lo dispuesto en la cláusula 11.2 del Contrato de Distribución Mayorista del que el Anexo trae causa. Su estipulación primera, “Identificación Presencial y Recogida de Datos del Cliente/Comprador”, dice: “1. El MAYORISTA deberá trasladar al Punto de Venta minorista mediante la suscripción de un acuerdo que recoja obligaciones relacionadas en el presente anexo, la obligación imprescindible de identificar PRESENCIALMENTE al Cliente /Comprador mediante su tarjeta identificativa original. * La documentación a presentar por las personas físicas según su nacionalidad y situación, es la siguiente: -Para españoles: DNI o NIF. -Para ciudadanos de la Comunidad Europea se acepta DNI, Tarjeta de Residencia y Pasaporte. -Para ciudadanos de fuera de la Comunidad Europea: Pasaporte o NIE. [...].” El contrato de distribución minorista de productos de telefonía suscrito entre SERCOM y XXXXX Locutorio, (documento número 6 de los aportados en fase de prueba) no recoge la obligación de que el cliente exhiba el documento original. Su estipulación 4, “Requisitos para la toma de datos de clientes de SIM/ PACK:”, dice: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 “1. En cumplimiento de lo dispuesto en la Disposición Adicional Única de la Ley 25/2007 [...], el Punto de Venta Autorizado al vender una SIM/PACK deberá cumplir con las siguientes obligaciones [..]” c. La identificación se efectuará mediante documento acreditativo de la personalidad, haciéndose constar en el libro-registro el nombre, apellidos y nacionalidad del comprador, así como el número correspondiente al documento identificativo utilizado y la naturaleza o denominación de dicho documento. En el supuesto de personas jurídicas, [..]” OCTAVO: Se solicita a VODAFONE en fase de prueba que detalle cuáles son los controles que realiza respecto a los contratos celebrados por el distribuidor, SERCOM, con los puntos de venta minoristas a fin de verificar que son ajustados a Derecho. De su respuesta -que se reproduce con detalle en el Antecedente octavo- los controles consisten en: 1. Un documento que emite el distribuidor mayorista en el que certifica que ha trasladado a los puntos de venta las obligaciones aplicables en materia de protección de datos, anexo IV del contrato de distribución. Nos remitimos al Hecho Probado SEXTO. 2. Las obligaciones establecidas en la cláusula 11.1 del contrato de Distribución, a tenor de la cual el Distribuidor se obliga a informar a la operadora de la identidad de los puntos de venta con los que concierta contratos y los productos suministrados, y la estipulación 9 del contrato de encargo de tratamiento entre SERCOM y VODAFONE. NOVENO: Se solicita a la reclamada en fase de prueba que aporte copia del RAT. El documento que aporta (número 1 de los remitidos en fase de prueba) versa, exclusivamente, sobre la actividad de los Distribuidores- Franquicias y no especifica si el tratamiento de datos personales al que se está refiriendo tiene que ver con el que se efectúa con la venta de productos prepago o de otro tipo de productos. Como base legal del tratamiento dice que “las personas han dado su consentimiento para el tratamiento de sus datos personales para una o varias finalidades”. DÉCIMO: Obra en el expediente un documento de EQUIFAX con la fecha “11/12/2020” que recoge el resultado de la búsqueda efectuada en esa fecha en el fichero ASNEF utilizando como criterio el NIF de la reclamante. En el apartado del documento “Histórico de consultas” está registrada una consulta realizada por “Vodafone One, S.A.U.” el 15/09/2020, a las 18:40.27.8 horas. UNDÉCIMO: VODAFONE reconoce en sus alegaciones al acuerdo de inicio que consultó el fichero ASNEF utilizando como identificador el NIF de la reclamante; declara que la consulta estuvo vinculada a “una solicitud online” que había recibido y que “el producto en cuestión sobre el que se hizo la consulta a Equifax era un producto relativo a una financiación, pago aplazado o facturación periódica, por lo que cae dentro del ámbito de aplicación del artículo 20.1.
6. e)de la LOPDGDD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 DUODÉCIMO: Se solicita a VODAFONE en fase de prueba que acreditara documentalmente que recibió una solicitud online para contratar un producto o servicio que implicaba financiación o facturación periódica por una persona que se identificó con el NIF de la reclamante. En particular se pidió que aportara (
7. i)los documentos que acrediten la solicitud recibida y (
8. ii)la documentación que entonces se recabó del solicitante del contrato a fin de verificar su identidad. La reclamada responde: “Vodafone no ha podido localizar la solicitud en cuestión” (El subrayado es nuestro) DÉCIMOTERCERO: Obra en el expediente la siguiente documentación que acredita que la reclamante ejercitó el derecho de acceso y los términos de la respuesta de VODAFONE, tanto al ejercicio del derecho por la reclamante como a la petición informativa que sobre la cuestión le dirigió la Subdirección de Inspección de la AEPD: 1.Un correo electrónico que la reclamante envía el 19/12/2020 a ***EMAIL.1 desde su cuenta (***CUENTA.1) en el que solicita el acceso a sus datos y con el que aporta la copia de su DNI. 2.Un correo de VODAFONE a la reclamante, de fecha 21/12/2020, a las 19.20 horas, en el que acusa recibo de la petición y le responde que, de conformidad con el artículo 15 del RGPD, “Lamentamos informarle de que no se encuentra legitimada para obtener el derecho de acceso con respecto a los datos personales (Documento Nacional de Identidad) que constan en el sistema de VODAFONE ESPAÑA ya que usted no registra en el mismo como titular de los datos requeridos. Le recordamos que, si lo desea, puede ejercitar sus derechos de supresión, acceso, limitación, rectificación y portabilidad mediante el envío de una comunicación por escrito, acompañada de copia de su DNI o documento identificativo equivalente, a la dirección [...]” (El subrayado es nuestro) 3.Un correo que la reclamante envía a VODAFONE el 21/12/2020, a las 20:21 horas, con este texto: “Se adjunta denuncia interpuesta ante la policía nacional debido a una usurpación de mi identidad, por lo cual les estoy solicitando el acceso a los datos personales que puedan aparecer relacionados con mi DNI o nombre, ya que ustedes han consultado mis datos el día 15/09/2020 18:40:27 en un fichero de Equifax de manera ilegítima ya que no tengo ningún contrato ni relación con ustedes.” Anexa a él, además del DNI y del escrito solicitando el acceso, la denuncia policial. 4.Un correo de VODAFONE de 29/12/2020 en el que acusa recibo de la solicitud de acceso de 21 de diciembre y responde en los mismos términos que en su anterior contestación (punto 2). 5. Una captura de pantalla de los sistemas VODAFONE (documento 2 anexo a la respuesta al requerimiento informativo de la Subdirección de Inspección) en cuya imagen se ve, en la pestaña “Información llamante” el ID ***CUENTA.1 (al que está vinculado el NIF de la reclamante y el nombre y apellidos del tercero) y debajo la pestaña correspondiente a la “petición 109151898”. En ella está C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 registrado como “Título” “Fraude”, como “Tipo” “Fraude” y como “Código de apertura” “Fraude”. A continuación se transcribe el texto de la solicitud formulada por la reclamante, en la que se identifica por su nombre, apellidos, NIF y domicilio; expone que desea ejercitar el derecho de acceso; pide que le faciliten “información sobre sus datos personales, contratos, etc que puedan figurar en su empresa.” e indica que aporta la copia de su DNI. 6.VODAFONE responde al requerimiento informativo de la Subdirección de Inspección de la AEPD que la reclamante ejercitó ante ella el derecho de acceso a sus datos el 19 de diciembre de 2020 y que le respondió el 21 de diciembre de 2020 comunicándole “que no se encuentra legitimada para obtener el derecho de acceso con respecto a los datos personales (Documento Nacional de Identidad) que consta en el sistema de mi [la reclamada] ya que la Señora [la reclamante] no está registrada como titular de los datos requeridos.” “Esto se debe a que los datos de la Sra. [la reclamante] estaban relacionados con un tercero que utilizó los datos de la Interesada de forma fraudulenta. En este supuesto, el único dato personal de la reclamante que está relacionado con este fraude es el DNI, motivo por el cual en las evidencias que se aportan de los sistemas de mi representada aparece información de un tercero “B.B.B.”, con el DNI de la reclamante ***NIF.1.” (El subrayado es nuestro) DECIMOCUARTO: Obra en el expediente esta documentación que acredita que la reclamante ejercitó el derecho de supresión y la respuesta que recibió de VODAFONE: 1. Un correo electrónico que la reclamante envía el 24/01/2021 a VODAFONE, derechosprotecciondatos@vodafone.es, con este texto: “Se envía este email para solicitar la supresión de mis datos de sus bases de datos, ya que no me proporcionan la información relacionada con mi dni, y no deberían tener ninguno de mis datos ya que no tengo ninguna relación con Vodafone.” (El subrayado es nuestro) La reclamante anexó a su correo su petición de supresión de datos firmada; su DNI y “copia de la ampliación de la denuncia en la que se ha proporcionado a la policía nacional la información que me indican junto a la de otras empresas. [...]” 2. Un correo de VODAFONE a la reclamante, de 26/01/2021, en el que responde: “[...] A la vista de su solicitud, en la que ejercita el derecho de supresión de sus datos personales de conformidad con el artículo 17 del Reglamento (UE) 2016/679 [...] Lamentamos informarle de que esta entidad no puede generar la supresión de los datos solicitados ya que los mismos son necesarios para prestar el servicio a la línea prepago 67xxxxxxx, entendemos la finalidad de su requerimiento, sin embargo y en caso de no reconocer el producto podríamos generar una rectificación de datos para que el servicio conste a su nombre y pueda realizar uso del mismo; recalcamos que los productos prepago no pueden ser desactivados, en su defecto podemos esperar a que la tarjeta expire (Aproximadamente se estima fecha de expiración a Junio de 2021 si no se generan recargas), luego de ello podría requerir nuevamente su derecho de supresión.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 3. Un correo que la reclamante dirige a VODAFONE el 1/02/2021 con este texto: “[...] Me indican desde el canal de Vodafone España de facebook que abrieron la petición número XXXXXXXXX al departamento de fraude, donde notifican que efectivamente hay un error y que está solventado. ¿Me pueden confirmar la supresión de mis datos? [...] ” 4. Correo de contestación de VODAFONE de 3/02/2021 en el que dice que “[...] En respuesta a su correo, debemos de informarle que la línea 67xxxxxxx correspondiente al fichero registrado con su número de Documento Nacional de Identidad fue expirada por nuestra área de fraude con la finalidad de evitar cualquier tipo de uso, sin embargo la misma aun registra en nuestro sistema y solo será desconectada hasta el mes de Junio de 2021, lo que imposibilita que sus datos sean suprimidos de nuestro sistema. No obstante el departamento de protección de datos genera un comunicado general alertando a todas nuestras áreas el omitir cualquier tipo de gestión sobre el fichero fraudulento, anexo a ello generamos la oposición al trato y uso de los datos con finalidad comercial. Por último, realizamos la aclaración que su requerimiento (Supresión de datos) solo podrá ser atendido hasta la fecha expuesta con anterioridad (Junio de 2021), por ende es necesario que nos remita esta petición a finales del mes expuesto. [...]” (El subrayado es nuestro) DECIMOQUINTO: VODAFONE ha invocado estos motivos para explicar por qué no procedió a suprimir el NIF de la reclamante “sin dilación indebida”, de conformidad con el artículo 17.1.
9. d)del RGPD, después de saber que estaba vinculado a una contratación fraudulenta: - “[...], Vodafone no guarda el número de DNI relacionado con la identidad de la Reclamante, sino con la identidad (nombre y apellidos) del tercero que dio de alta la tarjeta prepago.” - Que concurren dos de las excepciones del artículo 17.3 del RGPD: El apartado b), “El tratamiento del número de DNI facilitado por el tercero era necesario para que Vodafone cumpliera con una obligación legal”, en conexión con la Disposición Adicional Única y el artículo 5 de la Ley 25/2007. El apartado e): “El tratamiento del número de DNI facilitado por el tercero era necesario para la formulación, el ejercicio o la defensa de reclamaciones”. DECIMOSEXTO: VODAFONE manifiesta en su respuesta al requerimiento informativo de la Subdirección de Inspección que atendió el derecho de supresión de la reclamante y suprimió su NIF de sus sistemas con fecha 27/05/2021. DECIMOSÉPTIMO: El documento número 4 de los que VODAFONE facilitó a la Subdirección de Inspección con su respuesta al requerimiento informativo, incluye dos capturas de pantalla que acreditan que el 26/01/2021 existían en los sistemas de la operadora reclamada registros en los que se menciona el carácter fraudulento de la línea prepago vinculada al NIF de la reclamante. En el documento, la “Página central interacción” incorpora la siguiente información: En la pestaña “Registro de clientes” figura con el “Nº de orden V” la referencia xxxxxxxxx; como “Título” “Instalación Prepago Con...” y como “F. Apertura” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “17/11/2020”. En el recuadro inferior, “Peticiones, reclamaciones, averías”, se registran varias reclamaciones, entre ella una de fecha 26/01/2021 con esta información: Como “Tipo”, consta “Fraude”; como “Código”, “posible fraude” y como “Subcódigo”, “Suplantación”. >> TERCERO: La parte recurrente ha presentado en fecha 28/11/2022 recurso de reposición en el que solicita que se deje sin efecto la resolución sancionadora dictada en el procedimiento PS/281/2021 y se le conceda la posibilidad de “corregir el error” y realizar el pago de la sanción con la reducción del veinte por ciento prevista en el artículo 85.3 de la LPACAP para el supuesto, contemplado en el artículo 85.2 de la LPACAP, de que el presunto responsable proceda al pago voluntario. Alega como fundamento de su petición que, debido a un error humano, el pago de la sanción, que ella ordenó a su entidad bancaria el día 8/11/2022, se efectuó a un número de cuenta erróneo, cuenta de la que es titular la Administración de Justicia, y que su intención “ha sido en todo momento el pago de la sanción correspondiente, quedando demostrado en el justificante de pago, donde se referencia el número de procedimiento sancionador.” Como antecedentes de su pretensión, la recurrente expone los siguientes: i. “Que en fecha 17 de octubre de 2022 le fue notificada a mi representada propuesta de resolución de procedimiento sancionador arriba referenciado por la presunta infracción de los artículos 6.1), 15 y 17 del Reglamento General de Protección de Datos 2016/679, [...] por el que se acuerda imponer a mi representada una sanción económica de TRESCIENTOS CUARENTA MIL EUROS (340.000.-€).” (El subrayado es nuestro) Es necesario advertir, a propósito de esta afirmación de la recurrente, que no se corresponde con la realidad de los hechos. La propuesta de resolución del procedimiento sancionador PS/281/2021 recogía en el Antecedente de Hecho Séptimo, “Infracción del artículo 15 del RGPD: Efectos del pago anticipado de la sanción”, que la reclamada había solicitado el 28/02/2022 el reconocimiento de su responsabilidad respecto a dicha infracción y con fecha 1/03/2022 se había registrado un ingreso de 60.000€, ordenado por ella, resultado de aplicar una minoración del cuarenta por ciento a la cuantía de la multa prevista en el acuerdo de apertura del expediente para la infracción aludida. Se advertía que el pago implicaba la terminación del procedimiento respecto a tal infracción y que la tramitación del procedimiento quedaba circunscrita a las restantes infracciones del RGPD atribuidas a esta parte. En consecuencia, la propuesta no incluyó el artículo 15 del RGPD, sino que versó sobre dos infracciones del artículo 6.1 RGPD, para las que se proponían sendas multas de 70.000€, y sobre una infracción del artículo 17 del RGPD, para la que se propuso una multa de 100.000€. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 Las infracciones a las que se refiere la parte recurrente en el párrafo transcrito, así como el importe de 340.000€ al que alude, es lo que consta en el acuerdo de apertura del procedimiento y no en la propuesta de resolución. ii.“Que el 08/11/2022 ordenó el pago de “CIENTO NOVENTA Y DOS MIL EUROS (192.000.-€1) correspondientes a la infracción inicialmente prevista, menos la reducción del 20% (veinte por ciento) por el pago de la sanción en el periodo voluntario, desistiendo y renunciando a cualquier acción o recurso en vía administrativa en lo relativo a este supuesto hecho, de conformidad a lo establecido en el art. 85 de la LPACAP, y así lo comunicó mediante escrito dirigido a esta Agencia en fecha 4 de noviembre de 2011 (se aporta escrito como Documento número 1).” (El subrayado es nuestro) iii. Que “debido a un error humano, el pago se realizó a un número de cuenta erróneo, titularidad de la Administración de Justicia Española (se aporta justificante de pago como Documento número 2).” (El subrayado es nuestro) iv. Que “Como consecuencia de dicho error, al no recibir el pago en el período concedido, la Agencia ha dictado resolución de procedimiento sancionador, declarando la terminación del mismo, confirmando la sanción de CIENTO SETENTA MIL EUROS (170.000.-€) a Vodafone y poniendo fin a la vía administrativa.” (El subrayado es nuestro) El documento número 2 que la parte recurrente aporta es un justificante emitido por Deutsche Bank relativo a una orden de pago efectuada por Vodafone España, S.A., a favor de “Juzgados/Administración de Justicia”. La fecha de la orden de pago es el 8/11/22 a las 13:48:05 y su importe 192.000 euros. En el apartado “Remittance Details” (detalle de remesas) consta “PS002812021”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. El artículo 63.2 de la LOPDGDD determina que “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Artículo 85 LPACAP Bajo la rúbrica “Terminación en los procedimientos sancionadores”, este precepto dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 “1.Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” (El subrayado es nuestro) III Examen de los fundamentos del recurso. Motivos de su desestimación. El recurso de reposición que examinamos tiene por objeto que la AEPD deje sin efecto la resolución sancionadora que dictó en el PS/281/2021, en la que se impuso una sanción de 170.000€, a fin de permitir a la recurrente acogerse al pago voluntario, previsto en el artículo 85.2 de la LPACAP, con la consiguiente aplicación de la reducción de un veinte por ciento sobre el importe de la sanción propuesta, a tenor del artículo 85.3 de la LPACAP. Como fundamento de su recurso la parte recurrente alega que “debido a un error humano, el pago se realizó a un número de cuenta erróneo” y que “Como consecuencia de dicho error, al no recibir el pago en el período concedido la Agencia ha dictado resolución de procedimiento sancionador, declarando la terminación del mismo, confirmando la sanción de CIENTO SETENTA MIL EUROS (170.000.-€) a Vodafone y poniendo fin a la vía administrativa.” Añade que siempre tuvo la intención de pagar “en plazo”. (El subrayado es nuestro) 1.Debemos comenzar recordando que el artículo 29 de la LPACAP, “Obligatoriedad de términos y plazos”, dispone: “Los términos y plazos establecidos en ésta u otras leyes obligan a las autoridades y personal al servicio de las Administraciones Públicas competentes para la tramitación de los asuntos, así como a los interesados en los mismos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 A su vez, la LOPDGDD establece en el artículo 64, “Forma de iniciación del procedimiento y duración.”: “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. [...] El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” (El subrayado es nuestro) La Disposición adicional tercera de la LOPDGDD, “Cómputo de plazos”, dispone: “Los plazos establecidos en el Reglamento (UE) 2016/679 o en esta ley orgánica, con independencia de que se refieran a relaciones entre particulares o con entidades del sector público, se regirán por las siguientes reglas: [...]
10. c)Si el plazo se fija en meses o años, concluirá el mismo día en que se produjo el hecho que determina su iniciación en el mes o el año de vencimiento. Si en el mes de vencimiento no hubiera día equivalente a aquel en que comienza el cómputo, se entenderá que el plazo expira el último día del mes.
11. d)Cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer día hábil siguiente.” El acuerdo de apertura del procedimiento sancionador PS/281/2021, del que trae causa este recurso, se dictó por la Directora de la AEPD el día 3/2/2022. De tal modo, que, con arreglo a las disposiciones de la LOPDGDD transcritas, el plazo de nueve meses de duración máxima del procedimiento se cumplía el día 3/11/2022. Si hubiera transcurrido esa fecha sin que la resolución se dictara se habría producido la caducidad del procedimiento y el archivo de las actuaciones (ex artículo 64.2 LOPDGDD) En fecha 3/11/2022 la AEPD dictó la resolución sancionadora y la notificó a la reclamada, poniéndola a su disposición en la sede electrónica a las 14:38:04. Cabe añadir que la propuesta de resolución se había firmado por la instructora del procedimiento el día 7/10/2022 y se notificó electrónicamente siendo la fecha de puesta a disposición de la notificación el 10/10/2022 y la fecha de aceptación por la entonces reclamada el 17/10/2022. Así consta en el certificado emitido por el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre (en adelante, certificado de la FNMT) que obra en el expediente. La propuesta de resolución concedía a la entonces reclamada un plazo de diez días hábiles, computados desde el siguiente a su recepción, para formular alegaciones y en ella se incluía este párrafo: “Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 198.000€ (ciento noventa y ocho mil euros) y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.” Así pues, la resolución del procedimiento sancionador, de la que trae causa este recurso de reposición, se dictó y se notificó a la parte reclamada dentro del plazo legal y siguiendo escrupulosamente el procedimiento, de acuerdo con la LPACAP y la LOPDGDD. Como se ha indicado, la resolución sancionadora que puso fin al procedimiento sancionador PS/281/2021 se dictó el 3/11/2022, dentro del plazo máximo de duración del procedimiento, y después de que se hubiera cumplido sobradamente el plazo otorgado a la parte reclamada para evacuar el trámite de audiencia, plazo que finalizó el 31/10/2022, sin que esa parte hubiera formulado alegaciones. Además, la resolución se notificó electrónicamente a la entonces reclamada el 3/11/2021, poniéndose a su disposición a las 14:38:04 horas. La notificación no fue aceptada por la reclamada hasta cuatro días más tarde, el 7/11/2022. Parece conveniente añadir que, cuando sea preceptiva la notificación electrónica como lo era en el procedimiento sancionador PS/281/2021- la obligación de notificar la resolución dentro del plazo máximo de duración del procedimiento se entiende cumplida con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única (artículo 43.3. de la LPACAP, en relación con el artículo 40.4 de la misma norma). De modo que nada cabe objetar a la correcta notificación de la resolución por el hecho de que, habiéndose puesto la resolución sancionadora dictada en el procedimiento PS/281/2021 a disposición de la reclamada en la sede electrónica de la AEPD el día 3/11/2022, no hubiera sido aceptada por su destinataria hasta el 7/11/2002. Ese es el criterio mantenido por la jurisprudencia del Tribunal Supremo respecto al sentido del artículo 43.3, en relación con el 40.4, de la LPACAP. Cabe citar la STS, Sala de lo Contencioso-Administrativo, de 18/02/2021 (Recurso de Casación 2201/2020) ECLI:ES:TS:2021:4105, cuyo Fundamento Jurídico cuarto, “Sobre el cumplimiento de la obligación de notificar dentro del plazo máximo de duración de los procedimientos cuando se trate de notificaciones practicadas a través de medios electrónicos.”, dice lo siguiente: “[....] Interesa en este recurso tener presente que, por disposición del artículo 28.2 de la derogada Ley 11/2007, de 22 de junio, de acceso electrónico de los ciudadanos a los Servicios Públicos, las notificaciones electrónicas han de presentar -entre otras- la característica de permitir distinguir entre la fecha y hora en la que se produzca la puesta a disposición del interesado del acto objeto de notificación y la fecha y hora de acceso a su contenido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Pues bien, de acuerdo con el artículo 43.2 de la Ley 39/2015, "las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido." Esta determinación del momento de producción de efectos de la [...], va seguida de una regla especial en el apartado 3 del mismo artículo 43 de la Ley 39/2015, que establece lo siguiente: "3. Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única." [...], sin olvidar que el RD 203/2021, de 30 de marzo, por el que se aprueba el Reglamento de actuación y funcionamiento del sector público por medios electrónicos, [...] en su artículo 45.3 [...] reproduce la disposición del artículo 43.3 de la ley 39/2015, de tener por cumplida la obligación de la Administración de notificar en plazo con la puesta a disposición de la notificación en la sede o en la dirección electrónica habilitada única. Por todo lo anterior, la Sala considera que cuando la notificación se practique por medios electrónicos, la obligación a que se refiere el artículo 40.4 de la Ley 39/2015, de notificar dentro del plazo máximo de duración de los procedimientos, se entenderá cumplida, por disposición expresa del artículo 43.3 de la Ley 39/2015, con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única.” (El subrayado es nuestro) 2.Sentado lo anterior, y centrándonos en el artículo 85.2 de la LPACAP, se observa que la posibilidad que contempla esta norma de que el presunto responsable proceda al pago voluntario de la sanción inicialmente fijada, pago que “implicará” la terminación del procedimiento, está sometida a un plazo: podrá hacerse el pago “en cualquier momento anterior a la resolución”. Por tanto, el efecto previsto en el artículo 85.3. de la LPACAP -que el órgano competente para dictar la resolución aplique una reducción del veinte por ciento sobre el importe de la sanción propuesta- únicamente se produce si el pago voluntario ha tenido lugar según lo prevenido en el artículo 85.2 de la LPACAP: antes del dictado de la resolución. En otros términos, el efecto jurídico del artículo 85.3 no puede surgir cuando el pago o la manifestación de la voluntad de pagar se efectúen por el presunto responsable después de que haya vencido el plazo que establece el artículo 85.2 de la LPACAP, esto es, después de dictada la resolución sancionadora. Desde entonces el “presunto” responsable pasa a ser responsable y el pago de la sanción es obligatorio. Es fundamental subrayar, por ser relevante a los efectos que nos ocupan, que cuando la AEPD dictó la resolución del PS/281/2021 y la notificó a la parte reclamada, el 3/11/2022 a las 14:38:04 horas, ésta no había procedido al pago de la sanción propuesta ni había comunicado por ningún medio a la AEPD su voluntad de acogerse a esa opción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 La primera noticia que tiene la Agencia de la intención de la reclamada de proceder al pago de la sanción “en el periodo voluntario”, según la expresión utilizada por ella, es a través de un escrito que nos remitió el 4/11/2022, que, según consta en su “Recibo de presentación en oficina de registro”, se presentó electrónicamente ese día a las 15:49:58 horas y se registró en la AEPD el mismo día a las 17:00:28 horas. En consecuencia, cuando la parte recurrente presentó en el registro electrónico el escrito comunicando a esta Agencia su deseo de proceder al pago voluntario de la sanción habían transcurrido más de veinticuatro horas desde que finalizó el plazo que le otorgaba el artículo 85.2 de la LPACAP para acogerse a esa opción ya que, como venimos indicando, la resolución sancionadora se había dictado el 3/11/2022 y notificado el mismo día a las 14:38:04. Pese a que la recurrente afirme en su escrito de fecha 4/11/2022 que “ha ordenado el pago de 192.0001 € correspondientes a la infracción inicialmente prevista, menos la reducción del 20% (veinte por ciento) por el pago de la sanción en el periodo voluntario, y en este acto desiste y renuncia a cualquier acción o recurso en vía administrativa en lo relativo a este supuesto de hecho, de conformidad a lo establecido en el art. 85 de la LPACAP.” en esa fecha, el periodo de pago voluntario previsto en el artículo 85.2 de la LPACAP ya había finalizado sobradamente. En definitiva, el escrito que la parte reclamada dirigió a la AEPD el 4/11/2022 se presentó fuera del plazo que fija el artículo 85.2 de la LPACAP, por lo que carecía de virtualidad para producir el efecto previsto en el artículo 85.3 de la LPACAP sobre el que versa la pretensión de la parte recurrente. Resulta llamativo que la recurrente presentara el escrito precitado cuando sabía que, en esa fecha, el 4/11/2022, el procedimiento ya había finalizado, pues el último día del plazo de duración máxima era el 3/11/2022. Es más, cuando optó por presentar el escrito habían transcurrido más de veinticuatro horas desde que tuvo la posibilidad de acceder a la resolución que le había sido notificada y, en todo caso, desde que pudo saber, sin que para ello debiera necesariamente acceder a la notificación, que la resolución estaba dictada y notificada en forma legal, por lo que no había lugar a la opción del pago voluntario. 3. A tenor de lo expuesto, el recurso de reposición que examinamos y las alegaciones en las que la parte recurrente quiere sustentarlo se revelan carentes de todo fundamento. Como se ha indicado anteriormente, la recurrente ha justificado su petición de que se deje sin efecto la resolución dictada en el PS/281/2021 y se le permita “corregir el error” y realizar el pago de la sanción con la reducción del veinte por ciento en el hecho de que ordenó el pago en una cuenta errónea -“debido a un error humano, el pago se realizó a un número de cuenta erróneo”- y que, “Como consecuencia de dicho error, al no recibir el pago en el período concedido” la AEPD dictó la “resolución de procedimiento sancionador, declarando la terminación del mismo, confirmando la sanción de” 170.00€. Difícilmente podría la AEPD haber dictado la resolución sancionadora como “consecuencia de dicho error, al no recibir el pago en el período concedido” si se tiene en cuenta que cuando la recurrente ordenó al Deutsche Bank el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 pago a la cuenta errónea, el 8/11/2022, el procedimiento sancionador llevaba finalizado cinco días, desde el 3/11/2022. Pese a los esfuerzos argumentales de la recurrente es obvio que el error que invoca como fundamento de su recurso es absolutamente irrelevante. Si tal error no se hubiera producido, esto es, aunque hubiera ordenado el día 8/11/2022 el pago a la cuenta bancaria correcta, a la cuenta de esta Agencia, la consecuencia jurídica habría sido exactamente la misma. En esa fecha cualquier pago que se hubiera realizado estaba fuera del plazo que fija el artículo 85.2 de la LPACAP. Recordemos una vez más que para que los presuntos responsables puedan optar por el pago voluntario, el artículo 85.2 de la LPACAP exige que se haga antes de que se dicte la resolución del procedimiento sancionador, y la resolución del PS/281/2021 se dictó y se notificó por la AEPD a la entonces reclamada el 3/11/2022. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por VODAFONE ESPAÑA, S.A.U., con NIF A80907397, contra la resolución de esta Agencia Española de Protección de Datos dictada en fecha 3 de noviembre de 2022, en el expediente sancionador PS/281/2021. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., con NIF A80907397. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
12. b)de la LPACAP, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., o, en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que, conforme a lo previsto en el artículo 90.3
13. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es