REPOSICION-PS-00284-2023

1/41 * Expediente nº.: EXP202213771 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por QUALITY-PROVIDER, S.A., (en lo sucesivo, la parte recurrente) contra la resolución dictada en fecha 19 de febrero de 2025 por la Subdirectora General de Inspección de Datos de la Agencia Española de Protección de Datos, por vacancia del cargo de Presidencia y Adjuntía de conformidad con el artículo 48.2 de la LOPDGDD, y con base en los siguientes HECHOS PRIMERO: En fecha 19 de febrero de 2025 se dictó resolución por la Subdirectora General de Inspección de Datos, por vacancia del cargo de Presidencia y Adjuntía de conformidad con el artículo 48.2 de la LOPDGDD, en el expediente EXP202213771, en virtud de la cual se impuso a QUALITY-PROVIDER, S.A., con NIF A87407243, por una infracción del artículo 6.1 del Reglamento (UE) 679/2016, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo, RGPD), tipificada en el artículo 83.5.

1. a)del RGPD, una multa administrativa por importe de 30.000€ (treinta mil euros) y se le ordenó, en virtud del artículo 58.2.
2. d)del RGPD, que, en el plazo de un mes desde que la resolución sancionadora fuera firme y ejecutiva, acreditara ante esta Agencia haber procedido a la supresión de los datos personales de la parte reclamante. Dicha resolución, que fue notificada a QUALITY-PROVIDER, S.A., (en lo sucesivo, la parte recurrente o QUALITY) en fecha 19 de febrero de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en materia de tramitación de procedimientos sancionadores en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) y, supletoriamente, en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). SEGUNDO: Como Hechos Probados de la resolución dictada en el procedimiento sancionador PS/00284/2023 se dejó constancia en ella de los siguientes: <<PRIMERO: La parte reclamante manifiesta en la reclamación presentada en la Agencia Española de Protección de Datos (AEPD) el 21/11/2022 que QUALITY PROVIDER, S.A., con NIF A87407243, utiliza y hace públicos sin su consentimiento sus datos personales: nombre, dos apellidos, NIF y su antiguo domicilio. Añade que este tratamiento ha permitido que acceda a sus datos personales la empleada de una inmobiliaria, quien ha contactado con ella a través de una red social personal. (Folios 1 a 3) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/41 SEGUNDO: Queda acreditado que los datos personales de la parte reclamante figuran en la captura de pantalla obtenida el 21/11/2022, a las 18.15 horas desde “inglobaly.com”, que obra en el expediente. (Folio 4) Queda acreditado que la información que consta en la captura de pantalla aportada es la siguiente: -Aparece como “usuario activo” de la citada aplicación de Inglobaly “***EMAIL.1 ”. -En la línea superior de la imagen capturada de la página de la aplicación figura la indicación “INGLOBALY”. -Al pie aparece “INGLOBALY” y junto a ella la leyenda “Quality Provider, S.A. Calle Goya 18, 5º izq. 28001 Madrid Tel (+34)910 052 833 I email: support@inglobaly.com”. -En la página de la aplicación cuya imagen se captura se visualizan cinco pestañas, de izquierda a derecha: “Inicio”, “Domicilios”, “Autónomos”, “Multas”, “Boletines”, “BORME”, “Teléfonos”, “Vinculaciones” y “Consumos”. -Está activada la pestaña “(…)” y muestra el resultado de una búsqueda efectuada por el dato de la dirección de calle ***DIRECCIÓN.1. La información que arroja es la siguiente: “***DIRECCIÓN.1. ***LOCALIDAD.1 Personas conviviendo en este domicilio:” - En el epígrafe destinado a las “personas que conviven en el domicilio” la captura ofrece diversa información que agrupa en estas columnas: “Apellidos, nombre”, “Población de nacimiento”; “Provincia de nacimiento”; “NIF” y “Año de nacimiento”. -La imagen de la página de la aplicación muestra estos resultados de la búsqueda: -En la primera línea consta: “A.A.A.”; “***LOCALIDAD.1”; “***LOCALIDAD.1”; “***NIF.1”; ***FECHA.1. -En la segunda línea: “B.B.B.”; “***LOCALIDAD.1”; “***LOCALIDAD.1”; “***NIF.2”; “***FECHA.2”. - Al final de la captura de pantalla consta una leyenda con esta indicación: “Teléfonos en domicilio No se han encontrado teléfonos en este domicilio a nombre de las personas que conviven en él”. TERCERO: Queda acreditado que el titular del sitio web Inglobaly es QUALITY PROVIDER, S.A.; que ese sitio web presta servicios de información de datos y que para acceder a la información de datos que ofrece Inglobaly es preciso identificarse mediante usuario y contraseña. - Obran en el expediente capturas de pantalla obtenidas en fecha 03/12/2024 desde la página web “inglobaly.com/index.jsf”, entre ellas la relativa al “Aviso Legal” de la página web que, en su epígrafe 1, “Datos identificativos”, indica que la empresa titular de ese sitio web es QUALITY PROVIDER, S.A., con NIF A87407243 y domicilio social en la calle Goya número 18, planta 5ª, Madrid. (Folios 207 a 210) -Las capturas muestran que en la página web de Inglobaly se informa de la prestación de un servicio de información de datos. Que consta la leyenda “Todos los datos que necesitas cuando lo necesitas”, “Busca, encuentra y conoce”. Que informa de la prestación de servicios tanto en línea como fuera de línea. Entre los primeros menciona los siguientes: (
3. i)“Seguimiento”, “Servicio de seguimiento y contacto online”; (
4. ii)“Apariciones”, “Servicio on-line de apariciones de boletines públicos”; (iii) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/41 “Antifraude”, “Validación de identidad en línea para comprobar la autenticidad de los datos”. -En las capturas de pantalla obtenidas desde el portal Inglobaly.com aparece una leyenda resaltada en rojo que dice “El campo usuario no puede estar vacío”, seguida de dos campos en blanco precedidos, respectivamente, de estas indicaciones “Acceso” y “Contraseña”. CUARTO: Queda acreditado que en la captura de la aplicación de Inglobaly remitida por la parte reclamante, descrita en el Hecho Probado primero, el campo “usuario activo” incluye este dato: “***EMAIL.1 ”. (Folio 4) El dominio “***DOMINIO.1” se utiliza por ***EMPRESA.1, con NIF ***NIF.3, una empresa inmobiliaria con domicilio social en (...). QUINTO: QUALITY no respondió a ninguna de las preguntas que le formuló la Subdirección General de Inspección de Datos (SGID) de la AEPD con ocasión del traslado de la reclamación (Folios 5 y 6). En su respuesta (folios 15 a 18) QUALITY exigió que la AEPD le facilitara una copia del DNI de la parte reclamante, argumentando que sin ese documento no podía identificarla, pese a que en la documentación remitida se incluía su nombre, dos apellidos y NIF. En su escrito de respuesta hizo, además, estas manifestaciones: -Que “se encuentra imposibilitada para aportar información relativa a este expediente toda vez que la reclamante no aporta fotocopia del documento nacional de identidad a los efectos de poder identificarla, lo que impide a esta parte conocer e identificar fehacientemente de qué persona física se trata y, por tanto, impide conocer de qué datos se trata.” -Invocó los artículos: (
5. i)12.2 del RGPD que, según dice, “estipula que el responsable del tratamiento no podrá negarse a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado”. (
6. ii)12.6 del RGPG que, según dice, recoge que “cuando el responsable del tratamiento tenga dudas razonables en relación a la identidad de la persona física solicitante o reclamante, podrá solicitarle que facilite la información adicional necesaria para confirmar la identidad del interesado.” -Que “no tiene ningún inconveniente en colaborar con dicho Organismo [la AEPD] y se pone a su disposición, pero siempre que se cumpla con el Reglamento Europeo de Protección de Datos y LOPDGDD.” - Que la parte reclamante nunca se dirigió a ella para ejercer sus derechos de protección de datos, de lo que concluye que “por consiguiente, es imposible que sus datos puedan ser cancelados.” -Que QUALITY “no es ningún portal” sino una “empresa de servicios comerciales” y que “tampoco cualquier persona puede acceder a él, si no utiliza usuario y contraseña y por contrato le queda prohibido a cualquier inmobiliaria ceder datos a terceros, sólo pueden visualizarlos.” -Que “Los datos que presuntamente figuran en nuestra web, son públicos y por tanto, no REQUIEREN CONSENTIMIENTO ALGUNO.” (El subrayado es nuestro) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/41 SEXTO: Queda acreditado que en la inscripción en el Registro Mercantil de QUALITYPROVIDER, S.A., con NIF A87407243, consta como domicilio social la calle Goya número 18, planta 5ª, Madrid y como CNAE el 6209, “Los servicios relacionados con las tecnologías de la información y la informática”. (Folios 201 y 202) SÉPTIMO: El Informe de Actuaciones Previas de Investigación acredita que en fecha 15/03/2023, a las 10:00 horas, se personan dos inspectores de la AEPD en la sede social de QUALITY, ubicada en la Calle Goya 18, 5º izquierda, al objeto de realizar una inspección. Consta en dicho Informe que la persona situada en el mostrador de la recepción declaró que no tenía nada que ver con QUALITY. Que en el lugar se alquilan oficinas para eventos a diferentes empresas entre las que se encuentra QUALITY. Consultado cada cuanto tiempo mantiene la empresa QUALITY reuniones en estas salas, el interlocutor informó de forma imprecisa que cada varios meses. Consta que los inspectores comunicaron a su interlocutor que la entidad QUALITY fue informada de la visita de inspección en fecha 08/3/2023, a las 11:44, mediante una llamada telefónica al número ***TELÉFONO.1, respondiendo el interlocutor que QUALITY le había comunicado que se había puesto en contacto con la AEPD para cancelar la inspección. Consta en el Informe que los inspectores no tenían noticia de llamada ni correo alguno en tal sentido. (Folios 36 y 37) OCTAVO: Queda acreditado que QUALITY manifestó su intención de negar a los inspectores el acceso a su sede social con ocasión de la cita de inspección a la que fue convocada para el día 27/03/2023. -Obra en el expediente un escrito presentado por QUALITY en fecha 22/03/2023 (folios 33 a 35) mediante el que responde a otro de fecha 15/03/2023 en el que la Inspección de Datos le comunica una próxima inspección en su sede social que se efectuaría el 27 de marzo a las 10 horas y en la que debía estar presente el representante legal de la entidad. - QUALITY hace en él, entre otras, estas manifestaciones: * Que el Administrador de la sociedad se acoge al derecho a no declarar. * Que “tanto el Administrador de la sociedad, como el Dpto. Jurídico de esa empresa procederán a asistir a la convocatoria del día 27 de Marzo del 2023 a las 10h., […] NO PERMITIREMOS LA ENTRADA AL DOMICILIO A LOS INSPECTORES DE LA AEPD, por los siguientes y claros motivos”. * “Advierto, no van [a] acceder a ningún dato, tampoco les proporcionaré información alguna. NO ESTÁN AUTORIZADOS POR EL REAL DECRETO MENCIONADO. Toda la colaboración la expondremos en SEDE JUDICIAL. Advierto con antelación, que dichos Inspectores, no se les permitirá el acceso a la sede social de la empresa y serán grabados, por si vuelven a difamar o insultar.” NOVENO: Queda acreditada que, respecto al origen de los datos tratados, QUALITY ha manifestado en sus alegaciones al acuerdo de inicio (folio 86 del expediente): “La fijación individual de una multa debe basarse siempre en una evaluación humana de todas las circunstancias pertinentes del caso y debe ser eficaz, proporcionada y disuasoria en relación con ese caso concreto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/41 Primero. - Qué los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado. Por consiguiente, la valoración realizada por este Organismo, para la imposición de la sanción, NO TIENE EN CUENTA LOS DAÑOS CAUSADOS (NINGUNO) ASÍ COMO LA CATEGORÍA Y OBTENCIÓN DE LOS DATOS DEL DENUNCIANTE (PUBLICOS), están realizando una pésima valoración de los presentes Artículos 82.1 y 83.2 del Reglamento General de Protección de Datos Europeo.” (El subrayado es nuestro) DÉCIMO: En sus alegaciones al acuerdo de inicio QUALITY afirma sobre las capturas de pantalla (folios 71 y 72): “Respecto de los pantallazos, que la Instructora, se basa sobre un supuesto, pero su teoría acaba desmontada por una Sentencia de la Audiencia Provincial de Madrid de fecha 11 de Noviembre de 2022 que dice lo siguiente: “No es suficiente para acreditar el pago de una indemnización a un asegurado el “pantallazo” aportado por la compañía aseguradora”. “*Los pantallazos carecen de valor probatorios, son manipulables y no son considerados pruebas fehacientes, en los tribunales españoles y europeos.” UNDÉCIMO: En sus alegaciones al acuerdo de inicio QUALITY afirma que: -La normativa aplicable no es el RGPD ni la LOPDGDD sino la Directiva 2019/1937. (Folio 62 y 63) -“La denunciante en ningún momento se ha dirigido QUALITY PARA REALIZAR SU TUTELA DE DERECHOS, no consta en nuestro BUZÓN DE DENUNCIAS reclamación alguna.” (Folio 61) -“Analizando propio relato del instructor del expediente, hablamos sencillamente de un derecho de cancelación de datos personales, que se intenta ejercer de forma anónima. Por los mecanismos de la Directiva, el administrador del canal, que recordemos, por mor de esta es externo, independiente y autónomo, tal y como al mismo ha comunicado la propia Unión europea, pide al denunciante que se identifique para proceder a la cancelación.” (Folio 65) - “En ese caso, desconociendo la norma, el denunciante decidió traspasar su denuncia a la Autoridad de Control española, la AEPD.” (Folio 65)>> TERCERO: La parte recurrente interpone en fecha 5 de marzo de 2025 recurso reposición en el que solicita que se declare la nulidad de la resolución impugnada “en todos sus términos”. Como fundamentos de su pretensión invoca los siguientes: 1.- El artículo 47 de la LOPDGDD, “Nulidad de pleno derecho”, que dispone: “1. Los actos de las Administraciones Públicas son nulos de pleno derecho en los casos siguientes:
7. a)Los que lesionen los derechos y libertades susceptibles de amparo constitucional.
8. b)Los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio.
9. c)Los que tengan un contenido imposible.
10. d)Los que sean constitutivos de infracción penal o se dicten como consecuencia de ésta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/41
11. e)Los dictados prescindiendo total y absolutamente del procedimiento legalmente establecido o de las normas que contienen las reglas esenciales para la formación de la voluntad de los órganos colegiados.
12. f)Los actos expresos o presuntos contrarios al ordenamiento jurídico por los que se adquieren facultades o derechos cuando se carezca de los requisitos esenciales para su adquisición.
13. g)Cualquier otro que se establezca expresamente en una disposición con rango de Ley.” Alega, asimismo, el Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, en particular su Disposición adicional única: “Supresión de órganos directivos
14. a)El director/a de la Agencia Española de Protección de Datos.
15. b)El Registro General de Protección de Datos.
16. c)La Inspección de Datos”. En relación con esta norma reglamentaria comenta: “Por consiguiente; los cargos referenciados no existen, quedan suprimidos. Carecen de validez la Inspección de Datos y el cargo de Directora deja de existir. Nos encontramos ante un fraude Ley.” Añade que “la firma de la Subdirectora de Inspección de Datos, carece de validez alguna y menos para firmar una sanción de tal calibre, su cargo está suprimido según figura en el apartado
17. c)de dicho Real Decreto referenciado. Si queda suprimida la INSPECCIÓN DE DATOS el cargo de Subdirectora de Doña C.C.C. también desaparece.” 2.- Que en la resolución impugnada la AEPD ha adoptado “medidas fuera de lugar”. Reproduce el Fundamento VII de la resolución recurrida, “Adopción de medidas”, que dice en uno de sus párrafos: “A tal fin, la entidad reclamada deberá proceder a la supresión de los datos personales de la parte reclamante y acreditar ese extremo ante esta Agencia en el plazo de un mes computado desde que la resolución sancionadora que se dicte sea ejecutiva. Pese a las objeciones de QUALITY en su escrito de alegaciones a la propuesta de resolución -en las que afirma que procedió en fecha 27/02/2024 a la supresión de los datos de la parte reclamante -no obra en el expediente administrativo ningún documento que pruebe ese extremo. Por tal razón, esta resolución mantiene en los mismos términos expuestos en la propuesta de resolución la imposición de la medida correctiva que consiste en suprimir de sus sistemas los datos personales de la parte reclamante y acreditar el cumplimiento en el plazo de un mes desde que la resolución que se dicte fuera ejecutiva.” (El subrayado es nuestro) La recurrente transcribe en su escrito de recurso -igual que hizo en su escrito de alegaciones a la propuesta- el texto de un correo electrónico supuestamente enviado en fecha 27/02/2024 por su DPD a la parte reclamante y añade a continuación: “Si observaran y leyeran bien nuestros escritos, no dedicarse su Organismo a copiar y pegar, se darían cuenta del siguiente e-mail de fecha 27 febrero 2024, dirigido a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/41 demandante y al Señor D.D.D. de la AEPD, sin obtener respuesta de ambos. Y tampoco discutido en el procedimiento por dicho Organismo.” “Respecto de la medida propuesta por la Instructora, debe desconocer que este e-mail con su contenido y una vez conocidos sus datos proporcionados por la AEPD, procedimos a su baja en la fecha indicada 27 de febrero de 2024, con copia a D. D.D.D.. Su medida está fuera de lugar. Debe informarse bien y documentarse mejor. “Debería conocer que existen Indicaciones de la Comisión Europea, donde les obliga a la AEPD a la colaboración con el responsable del fichero, no a la ocultación de datos. Estos documentos los aportaremos en el Recurso de Contencioso Administrativo.” 3.- Que respecto a la “resolución sancionadora” “No basta alegar mera infracción”. Se limita a citar la Sentencia del Tribunal de Justicia de la Unión Europea (en adelante, STJUE) sala tercera, asunto C-300/2021, de 04/05/2023 (ECLI:EU:C:2023:370). Transcribe este fragmento de la citada STJUE que no guarda ninguna relación con los hechos reclamados: “Por lo tanto, para el Tribunal dado que la existencia de “daños y perjuicios” constituye uno de los requisitos del derecho a indemnización previsto en dicha disposición no toda “infracción” de las disposiciones del RGPD da lugar, por sí sola, al derecho a una indemnización a favor del interesado, tal como se define en el art. 4.1 del Reglamento, ya que tal interpretación sería contraria al tenor del art. 82.1.” (El subrayado es nuestro) 4.- En relación con el DNI manifiesta que “no figura en las normativas españolas y europeas como un dato personalísimo, es un documento acreditativo para utilizar de verificación tanto para los servicios públicos y entidades privadas, viene recogido en los presentes Real Decretos referenciados abajo”. Cita estas disposiciones: (i)El Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición del documento nacional de identidad y sus certificados de firma electrónica. Reproduce los artículos 1 y 11 y la Disposición final 2ª. (ii)El Real Decreto 522/2006, de 28 de abril, por el que se suprime la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o dependientes. Reproduce de este Real Decreto las siguientes disposiciones: Artículo único. Disposición transitoria primera. Disposición Final primera. La parte recurrente concluye que queda demostrado que no se ha respetado ni “realizado el cumplimiento del Reglamento y tampoco de su propia Ley. ES UNA FALTA MUY GRAVE DE RIGOR JURÍDICO.” 5.- Alega que no valorar las alegaciones formuladas por el administrado “genera indefensión” y que “El administrado no tiene que acreditar que no sufrió indefensión”. Cita una sentencia -de la que no indica ni la fecha en la que se dictó ni la referencia del recurso de casación - dictada por la Sala de lo Contencioso-administrativo del Tribunal Supremo resolviendo el recurso de casación interpuesto contra la sentencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/41 de la Audiencia Nacional de 19/02/19 (recurso 176/2015) que resolvió el recurso formulado contra una resolución del Tribunal Económico Administrativo Central (TEAC) de 08/01/2015. 6. Se limita a citar la STJUE de 09/01/2025, asunto C-394/2023. 7.- “Sobre el silencio positivo”. Bajo esta rúbrica alega: “la Administración no puede ampararse en el silencio administrativo. El Tribunal Supremo se lo ha dejado muy claro.” “La Administración no puede ampararse en el silencio administrativo para no emitir informes preceptivos sobre situaciones de hecho requeridos por un suministrador de energía para poder prestar su servicio a la población. Es lo que determina el Tribunal Supremo que, estimando el recurso de amparo de una empresa energética, entiende que un ayuntamiento concurrió en inactividad administrativa contemplada en el artículo 29 de la Ley de la Jurisdicción Contencioso- administrativa al no emitir informes sobre la situación de exclusión social de determinadas familias. […]” 8.- Alega “Que el expediente se ha incoado fuera de plazo”. En tal sentido añade que “la denuncia tiene fecha de 21/11/2022 y da trámite a la Propuesta del Expediente Sancionador en fecha 25/01/2025, por consiguiente, nos encontramos que ha transcurrido DOS AÑOS Y DOS MESES. Se encuentra CADUCADO, cuando se inicia EL EXPEDIENTE SANCIONADOR. La caducidad se encuentra regulada en su parte medular en los artículos 21, 25, 84 y 95 de la LPAC. A ello, se ha de sumar, lo dispuesto al respecto por cada una de las normas sectoriales de aplicación. El artículo 84, aborda la terminación de los procedimientos, arguyendo que pondrán fin al procedimiento la resolución, entre otras, la declaración de caducidad. B.B.B. (en adelante la reclamante) con fecha 21/11/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. *Resulta curioso, que no solicitara, por nuestro buzón de denuncias el ejercicio de sus derechos, no consta entre los solicitantes a sus derechos. Se ha comprobado que la Política de privacidad del reclamado es la proporcionada en el buzón de denuncias https://box.viadenuncia.net/4380038759, según la Directiva (UE) 2019/1937. En dicho procedimiento, la Agencia concluyó que la postura del reclamado (el cual había requerido DNI al solicitante y que se negó a facilitarlo) había sido ajustada en su respuesta, al tratarse del ejercicio de un derecho personalísimo, no estimándose que se hubiera producido infracción alguna en la normativa vigente de protección de datos, tal y como ocurre en el presente supuesto. Y es que en los propios formularios de la Agencia Española de Protección de Datos puede observarse un apartado en la segunda página, cuya redacción expone: “Será necesario aportar fotocopia del D.N.I. o documento equivalente que acredite la identidad y sea considerado válido en derecho, en aquellos supuestos en que el responsable tenga dudas sobre su identidad. En caso de que se actúe a través de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/41 representación legal deberá aportarse, además, DNI y documento acreditativo de la representación del representante.” *Resulta curioso que su propio Organismo, vaya contra el Reglamento Europeo de Protección de Datos y su propia Ley. Como podemos identificar a alguien, cuando no se dirige a nosotros por escrito y tampoco aporta ninguna acreditación.” Cita y transcribe el artículo 12 del RGPD. Añade a continuación estos comentarios que no guardan relación con los hechos sobre los que versa este procedimiento: “MANIFIESTA LA AEPD, COMO HECHO PROBADO: Después, teniendo el nombre de la hija (aportado por varios vecinos) y los apellidos de ambos progenitores accedimos al programa de QUALITY PROVIDER S.A. y nos apareció una coincidencia en nombre y apellidos con una vivienda cercana a la ubicación que nos habían dado previamente los vecinos de la finca y, en ese momento, procedemos a intentar contactar con esta persona para verificar si ella pudiera tener relación con la vivienda de la ***DIRECCIÓN.2 y, si fuera el caso, ofrecerle nuestros servicios en caso de que le pudieran ser de interés. *Queda claro, en este HECHO PROBADO, que son los propios vecinos, los que les facilitan los datos en primer lugar, posteriormente verifican los datos en QUALITY. Nos preguntamos, ¿Por qué no sancionan a los vecinos? Le contesto porque existen 2 Sentencias del Tribunal Supremo: “donde se puede preguntar a los vecinos y que estos por facilitar datos no están cometiendo ninguna infracción de protección de datos. Por cierto las Sentencias las conoce su Organismo de sobra.” Fue su Organismo desacreditado.” 9.- Alega que los organismos públicos están obligados a declarar la caducidad y la prescripción. 10.- “Comparación del mismo caso con el CGPJ, pero con los cargos vigentes”. Bajo esa rúbrica la parte recurrente alega: “Primero.- Aquí está la Sentencia del Tribunal Europeo de Derechos Humanos, por una independencia administrativa y judicial, libre de intervención de los políticos.” No indica la referencia de la sentencia del TEDH. 11.- Duración de los procedimientos. Bajo esta rúbrica, alega lo siguiente: “Artículo 30. Procedimiento sancionador. 1. El ejercicio de la potestad sancionadora a la que se refiere este título, se regirá por lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y sus disposiciones de desarrollo, sin perjuicio de las especialidades que se regulan en este título. 2. El procedimiento caducará transcurridos seis meses desde su incoación sin que se haya notificado la resolución, debiendo, no obstante, tenerse en cuenta en el cómputo las posibles paralizaciones por causas imputables al interesado o la suspensión que debiera acordarse por la existencia de un procedimiento judicial penal, cuando concurra identidad de sujeto, hecho y fundamento, hasta la finalización de éste.» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/41 Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca uno mayor o así venga previsto en el Derecho de la Unión Europea. Asimismo, cuando las normas reguladoras de los procedimientos no fijen el plazo máximo, éste será de tres meses. Este plazo y los previstos en líneas anteriores se computarán: 1.En los procedimientos iniciados de oficio, desde la fecha del acuerdo de iniciación. 2.En los iniciados a solicitud del interesado, desde la fecha en que la solicitud haya tenido entrada en el registro electrónico de la Administración u Organismo competente para su tramitación. A mayor abundamiento, y a modo de ejemplo, encontramos en el artículo 106.5 de la LPAC en lo referente a la revisión de disposiciones y actos nulos que, cuando el procedimiento se hubiera iniciado de oficio, el transcurso del plazo de seis meses desde su inicio sin dictarse resolución producirá la caducidad del mismo. Si el procedimiento se hubiera iniciado a solicitud de interesado, se podrá entender la misma desestimada por silencio administrativo. Concatenado con lo anterior, el artículo 107.3 del mismo ordenamiento establece que en lo relativo a la declaración de lesividad de actos anulables, transcurrido el plazo de seis meses desde la iniciación del procedimiento sin que se hubiera declarado la lesividad, se producirá la caducidad de éste. En los procedimientos iniciados de oficio, los requisitos que han de concurrir, básicamente, se traducen en que haya transcurrido el plazo legalmente estipulado para resolver y notificar el procedimiento. Dicho espacio temporal será computado desde que se acuerde el inicio del procedimiento hasta la notificación de su resolución. Tampoco es tenido en cuenta por la Instructora/o del procedimiento. *Existe jurisprudencia del Tribunal Supremo en más de una Sentencia y amparada por el Tribunal Constitucional, invocamos esta Sentencia del Tribunal Supremo Sala de lo Contencioso-Administrativo Sección Tercera Sentencia núm. 1.094/2020 sobre el asunto de la duración de los procedimientos.” (El subrayado es nuestro) 12. Tutela judicial efectiva. Bajo esa rúbrica la recurrente alega: “Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada (Art. 78.2 Reglamento 2016/679/UE, de 27 de abril).” Seguidamente cita los artículos 63, 64 y 65 de la LOPDGDD tras lo cual hace constar: “*La Ley Orgánica Española, viola y se contradice sistemáticamente, igual que las contradicciones del Reglamento Europeo de Protección de Datos. 1) Resulta que un procedimiento de Apercibimiento dura 6 meses. 2) Resuelta que para la Instrucción del Procedimiento Sancionador se adjudica la AEPD 12 meses. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/41 *Me pueden sacar de dudas dónde está la diferencia para determinar, la tramitación de ambos expedientes y concederles diferentes plazos. Sobre que Argumento Jurídico se basan, tanto la AEPD como el Reglamento Europeo de Protección de Datos. Espero la respuesta con mucho interés, por consiguiente hasta la misma SE VIOLA LA TUTELA JUDICIAL EFECTIVA.” 13. “Falta de motivación de la resolución” por la AEPD. Alega bajo esa rúbrica que “El presente procedimiento de discusión, CARECE DE MOTIVACIÓN POR PARTE DE LA AEPD, tal y como marca la LPAC el Artículo 35.- De los actos administrativos.” Cita el artículo 63.3 de la LOPDGDD, tras lo cual añade: “*La AEPD, sigue su persecución contra la QUALITY PROVIDER SA, incumpliendo el Artículo referenciado en su punto 3), existe una perversión por saltarse la Ley ALARMANTE, por no aplicarla correctamente y perseguir como sea a esta sociedad. Todo esto, advertimos, lo pondremos ante las Autoridades Competentes Españolas y Europeas.” 14. El escrito de recurso dedica las páginas 20 a 30 a hacer una extensa exposición sobre diversas cuestiones sin llegar a concretar con claridad cuál es la vulneración en la que supuestamente habría incurrido el procedimiento en el que se dictó la resolución sancionadora impugnada o la propia resolución. Así, comienza haciendo referencia a las Directrices sobre la aplicación y fijación de multas administrativas a efectos del Reglamento 2016/679, WP 253. A la Versión 2.0 de estas directrices, adoptadas el 24/05/2023 y a su metodología para la determinación de la sanción con referencia expresa a los cinco pasos previstos para calcular el importe de las multas. Advierte que el importe final de la multa depende de todas las circunstancias del caso y que lo que el “CEPD prevé es la armonización de los puntos de partida y la metodología utilizada para calcular una multa, en lugar de armonizar el resultado.” Reproduce el artículo 64.3 de la LOPDGDD. Añade “Qué los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado.” Concluye que, por consiguiente, no se ha tenido en cuenta para la imposición de la sanción que no se produjeron daños, ni la obtención (pública) de los datos del denunciante, haciendo una “pésima valoración” de los artículos 82.1 y 83.2 del RGPD. Invoca el artículo 74 de la LOPDGDD, apartado
18. c)– relativo a la infracción consistente en
19. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
20. k)de esta ley orgánica- y al apartado
21. d)– consistente en
22. d)No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 73
23. c)de esta ley orgánica. Dice la recurrente que se han atendido los derechos y “Por consiguiente, nos encontramos ante una FALTA INEXISTENTE, le ruego al Instructor se repase su propia Ley y Reglamento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/41 Hace referencia a la Ley 19/2013, de 9 de diciembre, de Transparencia, acceso a la información pública y buen gobierno y dice estar amparada y exigir su derecho de acceso a la información” invocando a tal efecto el artículo 12 de la citada ley y la Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo, de 20/06/2019, relativa a los datos abiertos y la reutilización de la información del sector público. Cita los artículos 75, Interrupción de la prescripción de la infracción, y 78, Prescripción de las sanciones, de la LOPDGDD y concluye que el “punto 3) viola el Reglamento Europeo de Protección de datos. Recoge LA PRESCRIPCIÓN y se otorga derechos que no viene recogido en el Reglamento.” Finalmente, reproduce los artículos 86, Tratamiento y acceso del público a documentos oficiales, y 87, Tratamiento del número nacional de identificación del RGPD. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso de reposición la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en los artículos 123 de la LPACAP y 48.1 de la LOPDGDD. II Sobre las alegaciones formuladas por la parte recurrente En relación con las manifestaciones efectuadas por la parte recurrente en defensa de su pretensión de que se declare la nulidad de la resolución sancionadora que impugna, se responde sucintamente a los numerosos argumentos que aduce en su escrito de recurso, mencionados en el Hecho Tercero de esta resolución. 1.La recurrente ha invocado el artículo 47.1 de la LPACAP precepto del que enfatiza los apartados
24. b)-relativo a los actos “dictados por órgano manifiestamente incompetente por razón de la materia o del territorio”- y
25. e)-referente a los actos “dictados prescindiendo total y absolutamente del procedimiento legalmente establecido”-. Conectada con la pretendida falta de competencia del órgano que dictó la resolución sancionadora alega la Disposición adicional única del Real Decreto 389/2021, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos (en lo sucesivo, el Estatuto), que suprime determinados órganos directivos, entre ellos, apartados
26. a)y
27. c)respectivamente, “El director/a de la Agencia Española de Protección de Datos” y “La Inspección de Datos”. Apoyándose en la referida Disposición adicional única (“Supresión de órganos directivos”) sostiene, en síntesis, que la firma de la Subdirectora de Inspección de Datos carece de validez pues su cargo está suprimido.” Tal argumento, sin embargo, no tiene el más mínimo fundamento y debe rechazarse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/41 En primer término, cabe recordar que, sin perjuicio de la previsión recogida en la citada Disposición adicional única, el Estatuto de la Agencia regula su estructura orgánica y contempla los siguientes órganos directivos con nivel orgánico de subdirección general: la Subdirección General de Inspección de Datos; la Subdirección General de Promoción y Autorizaciones y la Secretaría General. El capítulo II del Estatuto versa sobre la “Estructura orgánica de la Agencia Española de Protección de Datos” y dispone en su artículo 12, bajo la rúbrica “La Presidencia de la Agencia Española de Protección de Datos”: “[…]. 7. Asimismo, dependen directamente de la Presidencia los siguientes órganos con nivel orgánico de subdirección general:
28. a)La Subdirección General de Inspección de Datos.
29. b)La Subdirección General de Promoción y Autorizaciones.
30. c)La Secretaría General.” En segundo término, debe indicarse que la titular de la Subdirección General de Inspección de Datos que firma la resolución sancionadora impugnada estaba expresamente habilitada para ello por la Ley Orgánica 3/2018 al encontrarse en ese momento vacante la Presidencia de la Agencia. La LOPDGDD en su artículo 48.2, párrafo tercero, habilita a la titular de la Subdirección General de Inspección de Datos para ejercer las competencias relacionadas con los procedimientos regulados en el título VIII de esta Ley Orgánica entre otros supuestos, en caso de vacancia de la Presidencia de esta Agencia. El artículo 48.2 de la LOPDGDD establece en sus párrafos primero y tercero: “La Presidencia de la Agencia Española de Protección de Datos estará auxiliada por un Adjunto en el que podrá delegar sus funciones, a excepción de las relacionadas con los procedimientos regulados por el título VIII de esta ley orgánica, y que la sustituirá en el ejercicio de las mismas en los términos previstos en el Estatuto Orgánico de la Agencia Española de Protección de Datos.” “En los supuestos de ausencia, vacante o enfermedad de la persona titular de la Presidencia o cuando concurran en ella alguno de los motivos de abstención o recusación previstos en el artículo 23 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, el ejercicio de las competencias relacionadas con los procedimientos regulados por el título VIII de esta ley orgánica serán asumidas por la persona titular del órgano directivo que desarrolle las funciones de inspección. En el supuesto de que cualquiera de las circunstancias mencionadas concurriera igualmente en dicha persona, el ejercicio de las competencias afectadas será asumido por las personas titulares de los órganos directivos con nivel de subdirección general, por el orden establecido en el Estatuto.” (El subrayado es nuestro) Así pues, habida cuenta de que la resolución sancionadora impugnada fue firmada, por vacancia de la presidencia, por la “Subdirectora General de Inspección de Datos” -que en contra de lo que manifiesta la recurrente es un cargo que sí existe y está previsto expresamente en el artículo 12 del Estatuto- la actuación fue plenamente ajustada a Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/41 Además, a propósito de la alusión que la parte recurrente hace en su recurso a que “el cargo de Directora deja de existir”, procede reiterar lo que se dijo en la resolución sancionadora que ahora se impugna en respuesta a la tesis de la entonces parte reclamada acerca de que el “cargo de directora de la Agencia Española de Protección de Datos, desaparece de forma irreversible con el Real Decreto 389/2021, de 1 de Junio, por el que se aprueba el Estatuto de la AEPD” y a que la firma del acuerdo de iniciación del procedimiento fue irregular porque su cargo estaba caducado, ya que fue nombrada en fecha 15/07/2015 por el Real Decreto 715/2015 (BOE de 25/07/2015), por lo cual, teniendo su cargo una duración de 5 años, terminó el día 24/07/2020 y “al no haberse producido ninguna reelección o publicación en el BOE, está ejerciendo su cargo en fraude de Ley” . La resolución sancionadora que se impugna dijo en respuesta a tal alegato: << la Audiencia Nacional, Sala de lo Contencioso-Administrativo, [….] ha considerado que la Directora de la Agencia era plenamente competente para dictar el acuerdo de inicio y la resolución recaída en el procedimiento sancionador cuya validez se cuestionaba habida cuenta de que, el hecho de que hubiera sido nombrada por un periodo de cuatro años, no implicaba que cuando se cumpliera tal plazo su cargo dejase automáticamente de tener efectividad y de tener funciones o competencia alguna, pues eso no se desprende ni de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD), vigente cuando fue nombrada, ni de la LOPDGDD. Es más, la SAN de 15/10/2024, Rec.796/2022, dice sobre esta cuestión en su Fundamento Jurídico segundo: “Cuestión cuya resolución exige partir del artículo 53. 3 del RGPD, en cuanto indica que los miembros de la autoridad de control “darán por concluidas sus funciones en caso de terminación del mandato, dimisión o jubilación obligatoria, de conformidad con el Derecho del Estado miembro de que se trate”. En el ámbito interno, el artículo 36.1 de la Ley Orgánica 15/1999, de 13 de diciembre (LOPD), normativa vigente cuando se efectuó el nombramiento de la Directora de la AEPD, establecía que el Director de la AEPD será nombrado mediante Real Decreto, por un periodo de cuatro años y el apartado 3 del mismo precepto, que antes de la expiración de dicho plazo, el Director de la AEPD solo cesará, a petición propia o por separación acordada por el Gobierno por incumplimiento grave de sus obligaciones, incapacidad sobrevenida para el ejercicio de su función, incompatibilidad o condena por delito doloso. Es decir, transcurrido ese término de cuatro años, el Gobierno puede cesar al Director sin necesidad de causa, pero ello no implica que cuando se cumpla tal plazo, su cargo deje automáticamente de tener efectividad y de tener funciones o competencia alguna, pues eso no se desprende ni de la citada LOPD, ni tampoco de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de Derechos Digitales, cuyo artículo 48 regula la Presidencia de la AEPD. Ello de conformidad con los principios de responsabilidad y continuidad de las instituciones, para evitar que las mismas queden inoperativas cuando no se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/41 producido el nombramiento en el cargo de una nueva persona. El legislador podía haber establecido expresamente la previsión automática de decaimiento del cargo en el momento del cumplimiento del plazo, pero no lo ha hecho así ni en la LOPD ni en la vigente LOPDGDD, ni tampoco en el RD 389/2021, de 1 de junio de 2021, por el que se aprueba el Estatuto de la AEPD, que precisamente en el artículo 12.3 dispone que “la persona titular de la Presidencia cesante continuará en funciones hasta la toma de posesión de la nueva persona titular de la Presidencia”, sin establecer limitación alguna en cuanto al ejercicio de sus competencias durante el periodo en funciones. 2. La recurrente refiere en su recurso múltiples cuestiones cuya virtualidad para generar la pretendida nulidad de la resolución que impugna, caso de que tales circunstancias existieran, tendría cabida como hipótesis de trabajo, únicamente, en el artículo 47.1.
31. e)de la LPACAP que versa sobre los actos “dictados prescindiendo total y absolutamente del procedimiento legalmente establecido”. 2.1. Se alega que la AEPD ha adoptado en la resolución sancionadora “medidas fuera de lugar”. La parte recurrente se refiere con ello a la medida correctiva impuesta al amparo del artículo 58.2.
32. d)del RGPD: ordenar a QUALITY, como responsable del tratamiento de los datos de la parte reclamante contrario al artículo 6.1 del RGPD, que proceda a la supresión de los datos personales de la reclamante y acredite ese extremo ante esta Agencia en el plazo de un mes desde que la resolución sancionadora que se dicte sea ejecutiva. El motivo para considerar que la medida correctiva está fuera de lugar es un supuesto email que la recurrente dice que su DPD envió a la parte reclamante comunicándole que había procedido a la cancelación de sus datos. La parte recurrente aporta la transcripción de ese email (en ningún caso la copia del documento), que ya incluyó (como parte reclamada) en su escrito de alegaciones a la propuesta de resolución. La recurrente sostiene que el órgano instructor no se percató de su existencia y, además, que la existencia de dicho correo no se puso en duda en el curso del procedimiento. Hace, entre otros, estos comentarios: “Si observaran y leyeran bien nuestros escritos, no dedicarse su Organismo a copiar y pegar, se darían cuenta del siguiente e-mail de fecha 27 febrero 2024, dirigido a la demandante y al Señor D.D.D. de la AEPD, sin obtener respuesta de ambos. Y tampoco discutido en el procedimiento por dicho Organismo.” Tal alegato no tiene absolutamente ningún fundamento además de ser reiterativo, pues se planteó en los mismos términos en el escrito de alegaciones a la propuesta de resolución del procedimiento y se respondió en la resolución impugnada. Basta hacer sobre tal cuestión estas precisiones: (i)En el escrito de alegaciones a la propuesta de resolución la entonces parte reclamada incluyó la misma transcripción del email que ahora incorpora a su recurso. Insistimos: transcripción de un supuesto correo electrónico enviado por el DPD de QUALITY a la parte reclamante, pero en ningún caso copia del correo supuestamente enviado. Así pues, ni con sus alegaciones a la propuesta ni con el escrito de recurso aporta ningún documento que acredite: a. El envío a la parte reclamante del citado correo. b. Que, tal y como afirma, le envió al inspector D.D.D. una copia del correo que, supuestamente, dirigió a la reclamante. c. Que en ningún caso ha acreditado que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/41 tal y como afirma, hubiera procedido a suprimir los datos personales de la parte reclamante. Es más, en ambos trámites ha manifestado que la prueba de la existencia de tal correo la aportará en vía judicial. (ii)Que basta una lectura de la resolución impugnada -página 34, Fundamento III, apartado B- para comprobar que la “transcripción” del email que la entonces parte reclamada hizo en sus alegaciones a la propuesta de resolución fue efectivamente valorada en la resolución. De manera que, frente a lo que sostiene la recurrente, dicho email no dejó de examinarse en el curso del procedimiento ni menos aún se dio por válido en la resolución que ahora recurre. En tal sentido, se reproduce el siguiente fragmento de la resolución sancionadora impugnada (página 34, Fundamento III, apartado B): <<- Sobre el correo electrónico que -dice QUALITY- envió a la parte reclamante con copia al inspector actuante 1 (P.L.), llama la atención ni en el Informe de Investigación Previa se menciona que QUALITY hubiera remitido copia al inspector actuante 1 de dicho email; ni figura incluido entre los documentos generados en el curso de las actuaciones de inspección, ni la parte reclamada lo ha mencionado hasta este trámite procesal. Por otra parte, carece de sentido que invoque la existencia de un mensaje que dirige a la reclamante si no tiene voluntad de aportar pruebas de su envío, pues eso es lo que hace, ya que no acredita su existencia y anuncia que aportará las prueba en vía contenciosa. No se entiende tampoco que -si como dice en el texto transcrito, que supuestamente pertenece a un email enviado a la reclamante- QUALITY ha podido identificarla con los datos que le facilitó la AEPD, no haya podido hacer esa identificación cuando se le dio traslado de la reclamación a fin de que informara de los hechos acaecidos, pues recordemos que en ese trámite previo al inicio del expediente sancionador se negó a responder al traslado de la SGID con el argumento de que la reclamante no podía ser identificada en tanto no se le facilitara por esta Agencia la copia de un documento de identificación. El texto del supuesto mensaje electrónico que QUALITY afirma haber enviado a la parte reclamante pero cuya copia no aporta es el siguiente: <<De: DPO Quality-Provider <dpo@qualityprovider.net> Date: mar, 27 feb 2024, 16:54 Subject: TUTELA DE DERECHOS To: ***EMAIL.2 QUALITY PROVIDER SA, C/ Goya número 18 5 planta izqda. 28001 – Madrid. Madrid, 27 de Febrero de 2024 Estimada Señora: Es una pena el tiempo perdido por Usted, ante la AEPD. Si se hubiera dirigido a nosotros directamente con su identificación, INDICANDO su número de DNI, se hubiera procedido a LA CANCELACIÓN DE SUS DATOS PERSONALES. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/41 Nos hemos enterado de sus datos, porque vienen expuestos, en el Expediente Sancionador de la AEPD. Por ello, hemos procedido a identificarla y una vez realizada la comprobación procederemos a la cancelación de los mismos. No consta ningún requerimiento por su parte en nuestro buzón de denuncias. Estos son los datos facilitados por la AEPD. Un saludo. Dpto. Jurídico.>> De lo expuesto se concluye que la medida correctiva que se impuso a QUALITY en la resolución impugnada no está fuera de lugar y es absolutamente procedente toda vez que, en ningún caso, ha acreditado haber procedido a suprimir de sus sistemas los datos personales de la parte reclamante cuyo tratamiento vulnera el artículo 6.1 del RGPD. 2.2. La recurrente alega en su defensa las siguientes cuestiones que no tienen ninguna conexión con la resolución sancionadora que impugna y carecen de cualquier relevancia a los efectos de apreciar la pretendida nulidad de la resolución sancionadora dictada por esta Agencia: 2.2.1.-Manifiesta que, respecto a la “resolución sancionadora,” “No basta alegar mera infracción”. Y acompaña tal afirmación con una cita a la STJUE dictada el 04/05/2023 en el asunto C-300/2021. Sentencia en la que el TJUE se pronuncia en el sentido de que la existencia de “daños y perjuicios” constituye uno de los requisitos del derecho a indemnización previsto en el artículo 82.1 del RGPD. El pronunciamiento del TJUE en la precitada sentencia es irrelevante a los efectos que nos ocupan. 2.3. La recurrente, bajo la rúbrica “Sobre el silencio positivo”, invoca en el escrito de recurso que “la Administración no puede ampararse en el silencio administrativo. El Tribunal Supremo se lo ha dejado muy claro.” Este argumento carece de sentido cuando, como aquí sucede, en el curso del procedimiento sancionador no se ha acudido a la figura del silencio administrativo. El silencio administrativo fue invocado por la actual parte recurrente en sus alegaciones al acuerdo de inicio con relación al acuerdo de admisión a trámite de la reclamación, pues sostuvo que dicho acuerdo de admisión a trámite de la reclamación era “nulo de pleno derecho” por ese motivo. Reproducimos un fragmento de la respuesta a tal cuestión que se incluyó en la resolución impugnada (folio 25, punto 3, Fundamento III): <<3.- Considera “nulo de pleno derecho” el acuerdo de admisión a trámite de la reclamación. En tal sentido, QUALITY ha manifestado: “La Administración no se puede escudar en el silencio administrativo para incumplir una obligación, como es en el caso de la denunciante, donde se le dice, QUE PASADOS SEIS MESES SIN RESPUETA DE LA AEPD a su denuncia, se entiende por ADMITIDA A TRAMITE, por SILENCIO ADMINISTRATIVO. Dicho ACTO ES NULO DE PLENO DE DERECHO y más cuando luego produce una UN EXPEDIENTE SANCIONADOR. (REMITIMOS RESUMEN DE SENTENCIA DEL TRIBUNAL SUPREMO ESPAÑOL)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/41 Sobre esa cuestión, y en contra de lo invocado de contrario, debemos subrayar que la AEPD “no se escuda en el silencio administrativo para incumplir una obligación”. De escudarse en algo es en la Ley, pues no hace sino cumplir las previsiones legales sobre la materia, en particular la previsión del artículo 65 de la LOPDGDD. Este precepto, que lleva por rúbrica “Admisión a trámite de las reclamaciones”, contempla expresamente en su apartado 5 que la AEPD deberá proseguir la tramitación del expediente si no se hubiera notificado a la parte reclamante la admisión a trámite de la reclamación transcurridos tres meses desde que la reclamación entró en el registro de la AEPD: “5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” (Redacción vigente en la fecha de los hechos, anterior a la reforma operada por la Ley 11/2023, de 8 de mayo, (BOE de 9 de mayo)” Así pues, tampoco la objeción analizada en este epígrafe puede prosperar.>> 2.4.- Alega la recurrente que no valorar las alegaciones formuladas por el administrado “genera indefensión” y que “El administrado no tiene que acreditar que no sufrió indefensión”. Basta señalar que se comparte la afirmación general que hace la recurrente sin perjuicio de lo cual se subraya que ninguna indefensión puede hacer valer por ese motivo toda vez que sus alegaciones han sido analizadas, examinadas y respondidas convenientemente. No hay mejor prueba de ello que los escritos de propuesta y de resolución a los que nos remitimos. 2.5.- Invoca la recurrente “Que el expediente se ha incoado fuera de plazo”. Este motivo de impugnación y los argumentos en los que la parte recurrente lo apoya -como la referencia a los artículos 21, 25 y 84 de la LPACAP -son los mismos que hizo valer en sus alegaciones al acuerdo de inicio. Esta Agencia respondió a tal cuestión tanto en el escrito de propuesta de resolución como en la resolución sancionadora impugnada, páginas 26 a 28, punto 4 del Fundamento III, a las que nos remitimos. No obstante, al hilo de exponer este alegato, la recurrente incorpora dos novedades: dos afirmaciones nuevas que deben rechazarse, en un caso por su falsedad y en el otro por no pertenecer a este procedimiento. Se transcribe a continuación un fragmento de la resolución sancionadora, en la que se respondió a la supuesta incoación fuera de plazo del expediente que también ahora se alega: <<Bajo la rúbrica “Incoación del expediente fuera de plazo” QUALITY hace, entre otras, estas afirmaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/41 “La denuncia tiene fecha de 21/11/2022 ante la AEPD, ésta, da trámite al Expediente Sancionador en fecha 20 de febrero de 2024, por consiguiente, nos encontramos que ha transcurrido más de un AÑO, qué significado tiene que dicho procedimiento se encuentra CADUCADO cuando se inicia el EXPEDIENTE SANCIONADOR.” (El subrayado es nuestro) Menciona los artículos artículo 21.1 de la LPACAP - “La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación”- y 25.1.b -“En los procedimientos iniciados de oficio, el vencimiento del plazo máximo establecido sin que se haya dictado y notificado resolución expresa no exime a la Administración del cumplimiento de la obligación legal de resolver. […] b: “En los procedimientos en que la Administración ejercite potestades sancionadoras o, en general, de intervención, susceptibles de producir efectos desfavorables o de gravamen, se producirá la caducidad. En estos casos, la resolución que declare la caducidad ordenará el archivo de las actuaciones, con los efectos previstos en el artículo 95”. Aunque la parte reclamada ha invocado en apoyo de esta pretensión los artículos 21.1 y 25.1.
33. b)de la LPACAP, tales disposiciones no resultan de aplicación a la caducidad que pretende hacer valer. Esto, porque resulta obvio que no se está refiriendo a una “caducidad del procedimiento” por cuanto la alegación se hace en el trámite de alegaciones al acuerdo de inicio y la caducidad del procedimiento se origina cuando, iniciado éste, la Administración no dicta una resolución expresa dentro del plazo máximo de duración establecido. Ese y no otro es el supuesto de hecho contemplado en los preceptos de la LPACAP que la reclamada menciona (artículos 21.1 y 25.1.b). La “caducidad” que la reclamada invoca en sus alegaciones al acuerdo de inicio es la que, a su entender, habría impedido que se iniciara el procedimiento sancionador; una suerte de caducidad de la acción. En palabras del artículo 122.4 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (RLOPD),que no ha sido derogado y que continúa vigente en todo lo que no contradiga al RGPD o a la LOPDGDD, la “caducidad de las actuaciones previas”. El artículo 122 del RLOPD, bajo la rúbrica “Iniciación”, dice: “[…] 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” (El subrayado es nuestro) Sin embargo, a diferencia de lo que QUALITY sostiene, cuando se dictó y notificó el acuerdo de inicio del procedimiento sancionador que examinamos -el 20/11/2022- no se había producido la caducidad que impidiera su apertura. A ese respecto son de aplicación las siguientes disposiciones de la LOPDGDD, en la redacción vigente en esa fecha, antes de la reforma operada por la Ley 11/2023, de 8 de mayo, (BOE de 9 de mayo): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/41 -El artículo 65 de la LOPDGDD, “Admisión a trámite de las reclamaciones”, dice en el punto 5 que: “La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” (El subrayado es nuestro) -El artículo 67 de la LOPDGDD, “Actuaciones previas de investigación”, en la redacción vigente en esa fecha -antes de la reforma operada por la Ley 11/2023, que amplió de 12 a 18 meses el plazo máximo para practicar las actuaciones de investigación- establecía que: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” (El subrayado es nuestro) Del juego de los artículos de la LOPDGDD 63.2, 65.5. y 67 resulta que, el acuerdo de inicio del procedimiento debía dictarse y notificarse a la parte reclamada dentro de los doce meses concedidos para practicar las actuaciones de investigación previa -reiteramos, plazo vigente antes de la reforma operada a través de la Ley 11/2023 de 8 de mayo-. Plazo cuyo cómputo, a su vez, se inicia en la fecha en la que se acuerda la admisión a trámite de la reclamación. La reclamación tuvo entrada en la AEPD, el 21/11/2023 y la admisión a trámite el 21/02/2023. A partir de esa fecha se abre el plazo de doce meses para realizar las actuaciones de investigación y dentro de dicho plazo debía dictarse y notificarse el acuerdo de inicio. En el supuesto de hecho analizado, la AEPD debía dictar y notificar el acuerdo de inicio del expediente antes del día 21/02/2024; lo que efectivamente sucedió. El acuerdo se firmó por la Directora y se notificó el 20/02/2024 y la notificación fue aceptada por la parte reclamada en esa misma fecha, el 20/02/2024. En consecuencia, tampoco puede prosperar el argumento de la “Incoación del expediente fuera de plazo”.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/41 Como se ha anticipado al inicio de este epígrafe 2.5., la parte recurrente ha hecho, al hilo de su alegato relativo a que el expediente sancionador se incoó fuera de plazo, dos afirmaciones ajenas a esta cuestión que obligan a hacer algunas aclaraciones para evitar interesadas confusiones. Así, la recurrente dice: “En dicho procedimiento, la Agencia concluyó que la postura del reclamado (el cual había requerido DNI al solicitante y que se negó a facilitarlo) había sido ajustada en su respuesta, al tratarse del ejercicio de un derecho personalísimo, no estimándose que se hubiera producido infracción alguna en la normativa vigente de protección de datos, tal y como ocurre en el presente supuesto. Y es que en los propios formularios de la Agencia Española de Protección de Datos puede observarse un apartado en la segunda página, cuya redacción expone: “Será necesario aportar fotocopia del D.N.I. o documento equivalente que acredite la identidad y sea considerado válido en derecho, en aquellos supuestos en que el responsable tenga dudas sobre su identidad. En caso de que se actúe a través de representación legal deberá aportarse, además, DNI y documento acreditativo de la representación del representante.” *Resulta curioso que su propio Organismo, vaya contra el Reglamento Europeo de Protección de Datos y su propia Ley. Como podemos identificar a alguien, cuando no se dirige a nosotros por escrito y tampoco aporta ninguna acreditación.” No es cierto bajo ningún concepto que la Agencia hubiera afirmado en el procedimiento en el que se dictó la resolución impugnada que la “postura del reclamado (el cual había requerido DNI al solicitante y que se negó a facilitarlo) había sido ajustada en su respuesta, al tratarse del ejercicio de un derecho personalísimo”. Hasta tal punto es incierta semejante afirmación que, en el curso del procedimiento, en los escritos de acuerdo de inicio y de propuesta, se rechazó insistentemente la tesis de la parte reclamada que defendía que la parte reclamante, por medio de su reclamación, había ejercido el derecho de supresión de sus datos ante QUALITY, pero por error no se había dirigido ante esa entidad sino ante la Agencia. También, al hilo de defender que el expediente sancionador dirigido contra ella se incoó fuera de plazo, la recurrente ha añadido comentarios sobre unos hechos que nada tienen que ver con este procedimiento. Así, dice: “MANIFIESTA LA AEPD, COMO HECHO PROBADO: Después, teniendo el nombre de la hija (aportado por varios vecinos) y los apellidos de ambos progenitores accedimos al programa de QUALITY PROVIDER S.A. y nos apareció una coincidencia en nombre y apellidos con una vivienda cercana a la ubicación que nos habían dado previamente los vecinos de la finca y, en ese momento, procedemos a intentar contactar con esta persona para verificar si ella pudiera tener relación con la vivienda de la ***DIRECCIÓN.2 y, si fuera el caso, ofrecerle nuestros servicios en caso de que le pudieran ser de interés. *Queda claro, en este HECHO PROBADO, que son los propios vecinos, los que les facilitan los datos en primer lugar, posteriormente verifican los datos en QUALITY. Nos preguntamos, ¿Por qué no sancionan a los vecinos?”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/41 Dicha afirmación manifiesta ya de por sí, un tratamiento ilícito al confirmar que se procedió a intentar contactar con la reclamante sin haber obtenido previamente el consentimiento ni poseer causa de legitimación alguna. 2.6.- Invoca la parte recurrente como fundamento de la impugnación de la resolución sancionadora “Que los organismos públicos están obligados a declarar la caducidad y la prescripción.” Nada cabe objetar a tal afirmación. Ciertamente ambas deben de apreciarse de oficio al ser cuestiones de orden público. Pero para que proceda la declaración de la caducidad del procedimiento o la de la prescripción de la infracción ha de existir un supuesto de hecho que justifique cualquiera de esas declaraciones. Sin embargo, en el asunto que nos ocupa no se produjo en ningún caso la caducidad del procedimiento ni la infracción del RGPD por la que se sanciona a la parte recurrente estaba prescrita cuando se inició el procedimiento sancionador. 2.7. “Falta de motivación de la resolución por la AEPD”. Bajo esa rúbrica la parte recurrente expone que “El presente procedimiento de discusión, CARECE DE MOTIVACIÓN POR PARTE DE LA AEPD, tal y como marca la LPAC el Artículo 35.De los actos administrativos.” Menciona también el artículo 63.3 de la LOPDGDD y añade a continuación: “*La AEPD, sigue su persecución contra la QUALITY PROVIDER SA, incumpliendo el Artículo referenciado en su punto 3), existe una perversión por saltarse la Ley ALARMANTE, por no aplicarla correctamente y perseguir como sea a esta sociedad. Todo esto, advertimos, lo pondremos ante las Autoridades Competentes Españolas y Europeas.” En respuesta a lo alegado por la recurrente se hacen las siguientes consideraciones: En primer término, se subraya que la resolución impugnada, que acordó sancionar a QUALITY por una infracción del artículo 6.1 del RGPD, ha sido debidamente motivada. Nos remitimos para verificarlo al texto de la propia resolución. En segundo término, a propósito de la mención al artículo 63.3 de la LOPDGDD -que prevé que el Gobierno regule mediante Real Decreto los procedimientos que tramite la AEPD-, a la referencia que la parte recurrente hace a una supuesta infracción de la Ley y a la persecución que supuestamente sufre, basta indicar que en en la tramitación del procedimiento sancionador que finalizó con la resolución sancionadora impugnada se ha observado escrupulosamente la normativa aplicable y se han respetado escrupulosamente las garantías procesales que tiene reconocidas. La resolución sancionadora se dicta en relación con una conducta de la entidad reclamada cuya autoría consta acreditada, que vulnera el RGPD. 2.8. “Tutela judicial efectiva”. Bajo esa rúbrica la recurrente dice: “Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada (Art. 78.2 Reglamento 2016/679/UE, de 27 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/41 abril).” Seguidamente cita los artículos 63, 64 y 65 de la LOPDGDD tras lo cual hace constar: “*La Ley Orgánica Española, viola y se contradice sistemáticamente, igual que las contradicciones del Reglamento Europeo de Protección de Datos. 1) Resulta que un procedimiento de Apercibimiento dura 6 meses. 2) Resuelta que para la Instrucción del Procedimiento Sancionador se adjudica la AEPD 12 meses. *Me pueden sacar de dudas dónde está la diferencia para determinar, la tramitación de ambos expedientes y concederles diferentes plazos. Sobre que Argumento Jurídico se basan, tanto la AEPD como el Reglamento Europeo de Protección de Datos. Espero la respuesta con mucho interés, por consiguiente hasta la misma SE VIOLA LA TUTELA JUDICIAL EFECTIVA.” En respuesta a ese alegato comenzamos reproduciendo el artículo 78 del RGPD, “Derecho a la tutela judicial efectiva contra una autoridad de control”: “1.Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, toda persona física o jurídica tendrá derecho a la tutela judicial efectiva contra una decisión jurídicamente vinculante de una autoridad de control que le concierna. 2.Sin perjuicio de cualquier otro recurso administrativo o extrajudicial, todo interesado tendrá derecho a la tutela judicial efectiva en caso de que la autoridad de control que sea competente en virtud de los artículos 55 y 56 no dé curso a una reclamación o no informe al interesado en el plazo de tres meses sobre el curso o el resultado de la reclamación presentada en virtud del artículo 77. 3.Las acciones contra una autoridad de control deberán ejercitarse ante los tribunales del Estado miembro en que esté establecida la autoridad de control. 4.Cuando se ejerciten acciones contra una decisión de una autoridad de control que haya sido precedida de un dictamen o una decisión del Comité en el marco del mecanismo de coherencia, la autoridad de control remitirá al tribunal dicho dictamen o decisión.” El derecho a la tutela juridicial ha sido plenamente respetado en este procedimiento pues se ha informado de las condiciones para su ejercicio en la resolución sancionadora, cuyo penúltimo párrafo dice: “Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.” 2.9. “Duración de los procedimientos”. Bajo esa rúbrica la recurrente alega lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/41 “Artículo 30. Procedimiento sancionador. 1. El ejercicio de la potestad sancionadora a la que se refiere este título, se regirá por lo dispuesto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público y sus disposiciones de desarrollo, sin perjuicio de las especialidades que se regulan en este título. 2. El procedimiento caducará transcurridos seis meses desde su incoación sin que se haya notificado la resolución, debiendo, no obstante, tenerse en cuenta en el cómputo las posibles paralizaciones por causas imputables al interesado o la suspensión que debiera acordarse por la existencia de un procedimiento judicial penal, cuando concurra identidad de sujeto, hecho y fundamento, hasta la finalización de éste.» Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca uno mayor o así venga previsto en el Derecho de la Unión Europea. Asimismo, cuando las normas reguladoras de los procedimientos no fijen el plazo máximo, éste será de tres meses. Este plazo y los previstos en líneas anteriores se computarán: 1.En los procedimientos iniciados de oficio, desde la fecha del acuerdo de iniciación. 2.En los iniciados a solicitud del interesado, desde la fecha en que la solicitud haya tenido entrada en el registro electrónico de la Administración u Organismo competente para su tramitación. A mayor abundamiento, y a modo de ejemplo, encontramos en el artículo 106.5 de la LPAC en lo referente a la revisión de disposiciones y actos nulos que, cuando el procedimiento se hubiera iniciado de oficio, el transcurso del plazo de seis meses desde su inicio sin dictarse resolución producirá la caducidad del mismo. Si el procedimiento se hubiera iniciado a solicitud de interesado, se podrá entender la misma desestimada por silencio administrativo. Concatenado con lo anterior, el artículo 107.3 del mismo ordenamiento establece que en lo relativo a la declaración de lesividad de actos anulables, transcurrido el plazo de seis meses desde la iniciación del procedimiento sin que se hubiera declarado la lesividad, se producirá la caducidad de éste. En los procedimientos iniciados de oficio, los requisitos que han de concurrir, básicamente, se traducen en que haya transcurrido el plazo legalmente estipulado para resolver y notificar el procedimiento. Dicho espacio temporal será computado desde que se acuerde el inicio del procedimiento hasta la notificación de su resolución. Tampoco es tenido en cuenta por la Instructora/o del procedimiento. *Existe jurisprudencia del Tribunal Supremo en más de una Sentencia y amparada por el Tribunal Constitucional, invocamos esta Sentencia del Tribunal Supremo Sala de lo Contencioso-Administrativo Sección Tercera Sentencia núm. 1.094/2020 sobre el asunto de la duración de los procedimientos.” (El subrayado es nuestro) Esta cuestión fue planteada por la parte recurrente en su escrito de alegaciones al acuerdo de inicio como una objeción a tal acuerdo y se respondió tanto en el escrito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/41 propuesta como en el de resolución. Reproducimos la respuesta que respecto a ella se incluyó en la resolución sancionadora dictada: <<La LOPDGDD establece en su artículo 63.2 que los procedimientos tramitados por la AEPD se rigen por el RGPD, por la LOPDGDD, por las disposiciones reglamentarias dictadas en su desarrollo y, “en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” En consecuencia, en lo que concierne al plazo de duración máxima del procedimiento tramitado frente a QUALITY, procedimiento que se encuentra regulado en la LOPDGDD, habrá que atenerse al plazo que señala esa Ley Orgánica 3/2018. En el presente caso el acuerdo de inicio se dictó y notificó el 20/02/2024, por tanto, cuando ya estaba vigente la reforma introducida en la LOPDGDD por la Ley 11/2023, de 8 de mayo. La redacción actual del artículo 64.2. de la LOPDGDD, párrafo cuarto, establece: “El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones.” A esos efectos debe tenerse en cuenta que la LOPDGDD regula dos tipos de procedimientos: (i)El que tiene por objeto exclusivamente la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, cuyo plazo máximo de duración es de seis meses (artículo 64.1 de la LOPDGDD) (ii)El que tiene por objeto determinar la posible existencia de una infracción del RGPD y de la LOPDGDD, cuyo plazo máximo de duración es de doce meses computados desde la fecha del acuerdo de inicio. Es este el procedimiento seguido frente a QUALITY a quien se atribuyó en el acuerdo de apertura una presunta infracción del artículo 6.1. del RGPD. Así las cosas, ninguna duda existe acerca de que el plazo máximo de duración del presente procedimiento es de doce meses computados desde la fecha de la firma del acuerdo de inicio, razón por la cual también este alegato de la reclamada debe rechazarse.>> 2.10 En relación con el DNI alega que “no figura en las normativas españolas y europeas como un dato personalísimo, es un documento acreditativo para utilizar de verificación tanto para los servicios públicos y entidades privadas, viene recogido en los presentes Real Decretos referenciados abajo”. Cita: (i)El Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición del documento nacional de identidad y sus certificados de firma electrónica. Reproduce los artículos 1 y 11 y la Disposición final 2ª. (ii)El Real Decreto 522/2006, de 28 de abril, por el que se suprime la aportación de fotocopias de documentos de identidad en los procedimientos administrativos de la Administración General del Estado y de sus organismos públicos vinculados o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/41 dependientes. La parte recurrente transcribe el artículo único, la Disposición transitoria primera y la Disposición Final primera de dicho Real Decreto. Las normas reglamentarias que la parte recurrente invoca resultan irrelevantes. Entendemos que a través de ese alegato la recurrente busca impugnar la valoración que la resolución sancionadora ha hecho de las circunstancias del artículo 83.2 del RGPD a efectos de graduar el importe de la sanción de multa; en particular de la circunstancia del apartado
34. g)cuya concurrencia como agravante, en conexión con el tratamiento del dato del NIF de la reclamante, se apreció en la resolución sancionadora. Nos remitimos a lo expuesto en la resolución impugnada (Fundamento VI, punto 3) acerca de esta cuestión: <<[…] Estamos ante un dato considerado sensible en la medida que permite identificar de forma indubitada a una persona física, por lo que el tratamiento ilícito de este dato puede causar graves daños a su titular. Cabe indicar que, aunque el tenor literal del artículo 83.2.
35. g)del RGPD parece conectar esa circunstancia de graduación, exclusivamente, con el artículo 9 del RGPD y con la clasificación que está implícita en esa disposición entre datos personales especialmente protegidos y el resto, sin embargo, en el RGPD se hace mención a otras clasificaciones de los datos que conectan con la finalidad que el artículo 83.2 del RGPD persigue: la graduación de la multa administrativa que deba imponerse en el caso individual respetando los principios de proporcionalidad y efectividad. Los considerandos 51 y 75 del RGPD distinguen un grupo de datos personales que por su naturaleza son particularmente “sensibles” por el importante riesgo que su tratamiento puede entrañar para los derechos y libertades fundamentales. El denominador común es el riesgo que comporta su tratamiento para los derechos y las libertades fundamentales, pues puede llegar a provocar daños y perjuicios físicos, materiales o inmateriales. En este grupo o categoría se incluyen, además de los datos especialmente protegidos que regula el artículo 9 del RGPD -considerando 51 del RGPD- otros muchos que no se incluyen en esa disposición. Así, el considerando 75 del RGPD se refiere a los datos personales cuyo tratamiento puede entrañar un riesgo de gravedad y probabilidad variables para los derechos y libertades de las personas físicas como consecuencia de que pueden provocar daños y perjuicios físicos, materiales o inmateriales. Y entre ellos menciona aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo;” El identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal identifica a una persona física de modo indubitado. Esta cualidad lo convierte en un dato particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas apropiadas para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/41 otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. La vulneración del principio de licitud del que se responsabiliza a la parte reclamada en esta resolución ha tenido por objeto, entre otros, el dato del DNI/NIF de la reclamante que, como hemos indicado, permite su identificación inequívoca, lo que incide en la gravedad de la conducta. Razones que conducen a que se aprecie la circunstancia del apartado
36. g)del artículo 83.2. RGPD como agravante, como también se estimó su concurrencia en el acuerdo de inicio del expediente sancionador. Se toma en consideración igualmente que los datos de la reclamante que QUALITY trata ilícitamente son varios: además de su NIF y del nombre y apellidos, la fecha de nacimiento, la población de nacimiento y su antiguo domicilio. En ese aspecto son esclarecedores los siguientes comentarios de las Directrices 4/2022 del Comité Europeo de Protección de Datos sobre el cálculo de multas que en el epígrafe 58 dicen que “En general, cuanto más datos de estas categorías se traten más grave es la infracción.” “Además, la cantidad de datos relativos a cada interesado es relevante, teniendo en cuenta que la intrusión del derecho a la privacidad y la protección de los datos personales aumenta con la cantidad de datos relativos a cada interesado.>> 2.11. El escrito de recurso dedica las páginas 20 a 30 a hacer una extensa exposición sobre diversas cuestiones sin llegar a concretar con claridad cuál es la vulneración de las normas de procedimiento en la que supuestamente habría incurrido esta Agencia ni el vicio del que supuestamente adolece la resolución impugnada. Así, el escrito de recurso hace referencia en las páginas indicadas (20 a 30) a las Directrices sobre la aplicación y fijación de multas administrativas a efectos del Reglamento 2016/679, WP 253; a la Versión 2.0 de estas directrices, adoptadas el 24/05/2023 y a su metodología para la determinación de la sanción con referencia expresa a los cinco pasos previstos para calcular el importe de la multa. Advierte que el importe final de la multa dependerá de todas las circunstancias del caso y que lo que el “CEPD prevé es la armonización de los puntos de partida y la metodología utilizada para calcular una multa, en lugar de armonizar el resultado.” Reproduce el artículo 64.3 de la LOPDGDD y añade “Qué los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado.” La recurrente concluye de lo anterior que, por consiguiente, no se ha tenido en cuenta para la imposición de la sanción que no se produjeron daños, ni la obtención (pública) de los datos del denunciante, haciendo una “pésima valoración” de los artículos 82.1 y 83.2 del RGPD. Invoca el artículo 74 de la LOPDGDD, apartado
37. c)– relativo a la infracción consistente en
38. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
39. k)de esta ley orgánica- y el apartado
40. d)– consistente en
41. d)No atender los derechos de acceso, rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/41 la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación, salvo que resultase de aplicación lo dispuesto en el artículo 73
42. c)de esta ley orgánica. Dice la recurrente que se han atendido los derechos y “Por consiguiente, nos encontramos ante una FALTA INEXISTENTE, le ruego al Instructor se repase su propia Ley y Reglamento.” Hace referencia a la Ley 19/2013, de 9 de diciembre, de Transparencia, acceso a la información pública y buen gobierno y dice estar amparada y exigir su derecho de acceso a la información” invocando a tal efecto el artículo 12 de la citada ley y la Directiva (UE) 2019/1024 del Parlamento Europeo y del Consejo, de 20/06/2019, relativa a los datos abiertos y la reutilización de la información del sector público. Cita los artículos 75, Interrupción de la prescripción de la infracción, y 78, Prescripción de las sanciones, de la LOPDGDD y concluye que el “punto 3) viola el Reglamento Europeo de Protección de datos. Recoge LA PRESCRIPCIÓN y se otorga derechos que no viene recogido en el Reglamento.” Finalmente, reproduce los artículos 86, Tratamiento y acceso del público a documentos oficiales, y 87, Tratamiento del número nacional de identificación del RGPD. Pues bien, visto lo alegado por la recurrente, debemos comenzar señalando que, con la mención al artículo 74 de la LOPDGDD, apartados
43. c)y d), se alude a infracciones del RGPD que nada tienen que ver con la conducta que constituye el objeto de este procedimiento, que entraña una infracción del artículo 6.1. del RGPD. Como reiteradamente se ha advertido, tanto en el acuerdo de inicio como en la propuesta de resolución y en la resolución impugnada, los hechos sobre los que versa la reclamación y que determinaron la apertura del expediente sancionador son distintos de la pretendida solicitud de cancelación de datos a la que la parte recurrente se ha venido refiriendo. En cuanto a la mención que la parte recurrente hace al artículo 64.3 de la LOPDGDD, aclaramos que este precepto, tras la reforma introducida en el texto legal por la Disposición Adicional novena de la Ley 11/2023, de 8 de mayo (BOE de 09/05/2023) dispone que, atendida la naturaleza de los hechos y los criterios del artículo 83.2 del RGPD, la Agencia podrá acordar dirigir un apercibimiento al responsable así como ordenarle la adopción de medidas, teniendo tal procedimiento de apercibimiento una duración máxima de 6 meses desde la fecha del acuerdo de inicio, produciéndose, transcurrido dicho plazo, la caducidad del procedimiento. Ahora bien, el acuerdo de inicio del procedimiento EXP202213771, del que trae causa este recurso de reposición, abre un procedimiento sancionador en el que se propone imponer una sanción de multa administrativa y no una medida correctiva de apercibimiento. Por otra parte, en la fecha en la que la reclamación tuvo entrada en esta Agencia, el 21/11/2022, aún no se había aprobado la reforma de la LOPDGDD que introdujo las modificaciones que afectaron al procedimiento a seguir en caso de apercibimiento, a las que se refiere el artículo 64.3 de dicha Ley Orgánica. Por lo que respecta al cálculo de las multas administrativas conforme a la metodología descrita en las Directrices adoptadas el 24/05/2023, se indica que el criterio seguido por esta Agencia para aplicar tal metodología en el cálculo de la sanción -que pretende garantizar una protección equivalente en todos los Estados miembro imponiendo, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/41 la medida de lo posible, sanciones de multa similares- es tomar como referencia la fecha en la que tiene entrada la reclamación en este organismo, aplicando los nuevos criterios a aquellas que sean posteriores en el tiempo a la fecha en la que se adoptaron las Directrices. La parte recurrente hace mención a dos cuestiones más. Una de ellas, que los datos obtenidos de la reclamante, dice, “son públicos” y, por tanto, no es necesario el consentimiento del titular para su tratamiento. Entendemos que con la mención a que los datos son públicos se está refiriendo a que los obtuvo de una fuente que era accesible al público. Sobre este particular se reitera que, el hecho de que un dato personal pueda ser accesible al público no significa que pueda ser objeto de un tratamiento posterior para un fin distinto. El origen del dato, la fuente pública de la que procede, no es en ningún caso un fundamento de licitud del tratamiento. No existen más fuentes o bases jurídicas de licitud del tratamiento de los datos que las que taxativamente recoge el artículo 6.1 del RGPD, una de las cuales, no la única, es el consentimiento del interesado. A modo de ejemplo: el que en un Boletín Oficial se publiquen datos de una persona con su NIF, no autoriza a terceros que acceden a la lectura de ese Boletín, a tratar los datos personales que allí están publicados. Ese tratamiento ulterior de tales datos deberá estar amparado en alguna de las circunstancias descritas en el artículo 6.1 del RGPD y el responsable de ese tratamiento deberá estar en condiciones de poder acreditar la licitud del tratamiento que lleva a cabo. En cuanto al alegato de la recurrente según el cual la Agencia no ha valorado la ausencia de daños y perjuicios sufridos por la parte reclamante -ninguno, dice la recurrente- nos remitimos a lo indicado en la resolución sancionadora, Fundamento VI, “Sanción impuesta por la infracción del artículo 6.1. del RGPD”, en la que consta: << 1.-La circunstancia del artículo 83.2.a): la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido. Se valora, encuadrada en la circunstancia del artículo 83.2.
44. a)del RGPD, que el interés jurídico que el precepto infringido (artículo 6.1 del RGPD) pretende tutelar constituye el núcleo del contenido del derecho fundamental a la protección de datos y con su infracción se habría privado a la parte reclamante de una de las facultades esenciales que le otorga ese derecho. También el perjuicio, material e inmaterial, sufrido por la parte reclamante (como es la pérdida del control de sus datos) y el alcance o difusión que han tenido los datos de la reclamante. Cuando como aquí sucede los datos de la parte reclamante tratados ilícitamente se han incluido en una base de datos comercializada a través de una página web se multiplica el efecto expansivo que potencialmente pueden experimentar esos datos. Se valora asimismo que el tratamiento se inscribe en el núcleo de la actividad empresarial de la entidad reclamada, lo que le obligaba a ser particularmente diligente en el cumplimiento del principio de licitud del tratamiento de los datos y en la adopción de las medidas encaminadas a poder acreditarlo.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/41 Tal y como ha quedado expuesto, ninguno de los argumentos que la parte recurrente aduce en defensa de la pretendida nulidad de la resolución sancionadora impugnada puede prosperar. III Conclusión La parte recurrente no ha aportado con su recurso de reposición nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Así pues, se desestima el recurso de reposición interpuesto por QUALITY contra la resolución sancionadora recaída en el procedimiento EXP2022137771. Se reiteran los argumentos que se expusieron en la resolución impugnada (Fundamento IV) relativos a la infracción del artículo 6.1 del RGPD de la que se responsabiliza a la parte recurrente: <<1. Se atribuye a QUALITY en la presente resolución una infracción del artículo 6.1 del RGPD materializada en el tratamiento sin una base jurídica adecuada conforme al RGPD de los datos de la parte reclamante: nombre, apellidos, NIF, localidad, fecha de nacimiento y antiguo domicilio. El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, dispone: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
45. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
46. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
47. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
48. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
49. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
50. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
51. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 5.1 del RGPD se ocupa de los principios que rigen todo tratamiento de datos de carácter personal y, bajo la rúbrica “Principios relativos al tratamiento”, establece: “Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/41
52. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); [...]”. El apartado 2 del artículo 5 del RGPD introduce el principio de responsabilidad proactiva conforme al cual “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)”. 2. Consta acreditado en el expediente que QUALITY es titular del sitio web Inglobaly.com. Esta información aparece en el Aviso Legal de la página web Inglobaly.com, del cual obra en el expediente administrativo una captura de pantalla obtenida durante el periodo de prueba. Igualmente, consta acreditado - tal y como se recoge en el Hecho Probado terceroque la página web Inglobaly.com presta un servicio de información de datos. También lo evidencian con nitidez las expresiones con las que publicita sus servicios: “Todos los datos que necesitas cuando lo necesitas”, “Busca, encuentra y conoce”. La página web Inglobaly.com informa de la prestación de servicios en línea y fuera de línea y entre los primeros menciona los siguientes: (
53. i)“Seguimiento”, “Servicio de seguimiento y contacto on-line”; (
54. ii)“Apariciones”, “Servicio on-line de apariciones de boletines públicos”; (iii) “Antifraude”, “Validación de identidad en línea para comprobar la autenticidad de los datos”. Consta acreditado también a través de las capturas de pantalla obtenidas en fase de prueba desde Inglobaly.com que, para poder acceder a los servicios de Inglobaly.com online, el solicitante debe identificarse mediante usuario y contraseña (Hecho Probado tercero). En las capturas de pantalla obtenidas desde el portal Inglobaly.com aparece una leyenda resaltada en rojo que dice “El campo usuario no puede estar vacío”, seguida de dos campos en blanco precedidos, respectivamente, de las indicaciones “Acceso” y “Contraseña”. A ese respecto se añade que la parte reclamada manifiesta en su respuesta al traslado de la reclamación que “tampoco cualquier persona puede acceder a él [el portal Inglobaly] si no utiliza usuario y contraseña y por contrato le queda prohibido a cualquier inmobiliaria ceder datos a terceros, solo pueden visualizarlos” (Hecho Probado quinto, último párrafo) 3.Sobre la existencia de un tratamiento de datos de la parte reclamante. Centrándonos en el tratamiento de datos personales de la parte reclamante del que se responsabiliza a QUALITY, obra en el expediente una captura de pantalla aportada por la reclamante que muestra el contenido de una página de la aplicación de Inglobaly con el resultado de una búsqueda de datos que le conciernen efectuada por el criterio “(…)”. La imagen que recoge la captura que se ha aportado muestra este contenido (Hecho Probado segundo): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/41 En la línea superior de la página de la aplicación que se capta figura la indicación “INGLOBALY”. Al pie de la página de la aplicación captada aparece “INGLOBALY” y junto a ella la leyenda “Quality Provider, S.A. Calle Goya 18, 5º izq. 28001 Madrid Tel (+34)910 052 833 I email: support@inglobaly.com”. Se visualizan cinco pestañas que son, de izquierda a derecha, “Inicio”, “Domicilios”, “Autónomos”, “Multas”, “Boletines”, “BORME”, “Teléfonos”, “Vinculaciones” y “Consumos”. Aparece activada la pestaña “(…)”. Se muestra el resultado de una búsqueda efectuada por el dato de la dirección de calle ***DIRECCION.1. La información que arroja es la siguiente: “***DIRECCIÓN.1. ***LOCALIDAD.1 Personas conviviendo en este domicilio:” En el epígrafe destinado a las “personas que conviven en el domicilio” la captura ofrece diversa información que aparece agrupada en estas columnas: “Apellidos, nombre”, “Población de nacimiento”; “Provincia de nacimiento”; “NIF” y “Año de nacimiento”. La captura de pantalla muestra estos resultados de la búsqueda: -En la primera línea consta: “A.A.A.”; “***LOCALIDAD.1”; “***LOCALIDAD.1”; “***NIF.1”; ***FECHA.1. -En la segunda línea: “B.B.B.”; “***LOCALIDAD.1”; “***LOCALIDAD.1”; “***NIF.2”; “***FECHA.2”. - Al final de la captura de pantalla consta una leyenda con esta indicación: “Teléfonos en domicilio No se han encontrado teléfonos en este domicilio a nombre de las personas que conviven en él”. En sus alegaciones al acuerdo de inicio QUALITY cuestionó la validez de la captura de pantalla que la reclamante aporta como medio idóneo para acreditar que ha efectuado un tratamiento de sus datos personales. Es digno de mención que, como puede constatarse al examinar el documento controvertido, la parte reclamante no lo obtuvo accediendo directamente al sitio Inglobaly.com. Al contrario, el examen de esa captura de pantalla revela que en el campo “usuario activo” figura el dato ***EMAIL.1. Esa circunstancia demuestra que el acceso a la página de Inglobaly.com y al resultado que arroja la búsqueda -los datos que conciernen a la parte reclamante- se hizo por un usuario que se autentica correctamente ante la aplicación y accede a la información que obra en los sistemas de Inglobaly. El “usuario activo” que accede a la información -como lo acredita la captura facilitada- se compone de un nombre de mujer -E.E.E.- y de un dominio -***DOMINIO.1- que, como puede verificarse a través de Internet, es el que usa la inmobiliaria ***EMPRESA.1, cuyo domicilio social y una de sus oficinas está en el mismo distrito de la ciudad que el antiguo domicilio de la parte reclamante. Indica también QUALITY en sus alegaciones al acuerdo de inicio, a fin de poner en tela de juicio el valor de la captura de pantalla aportada por la reclamante como prueba del tratamiento de sus datos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/41 “Respecto de los pantallazos, que la Instructora, se basa sobre un supuesto, pero su teoría acaba desmontada por una Sentencia de la Audiencia Provincial de Madrid de fecha 11 de Noviembre de 2022 que dice lo siguiente: “No es suficiente para acreditar el pago de una indemnización a un asegurado el “pantallazo” aportado por la compañía aseguradora”. “Los pantallazos carecen de valor probatorios, son manipulables y no son considerados pruebas fehacientes, en los tribunales españoles y europeos.” Y añade sobre la aportación de pruebas digitales en juicio que éstas deben pasar por un proceso de validación mediante el cual se demuestre su autenticidad. Frente a tal alegato cabe señalar que la sentencia de la Audiencia Provincial de Madrid de 11/11/2022 alegada de contrario (SAP Madrid, sec. 8ª, nº 431/2022, Rec. 344/2022) dice que, como ha señalado reiteradamente la Audiencia Provincial, “este documento por sí solo, el llamado pantallazo, no es suficiente prueba del pago por parte de la entidad aseguradora”. Igualmente debemos señalar frente a lo invocado de contrario que en el asunto resuelto por la precitada sentencia de la Audiencia Provincial existe un pantallazo unilateral, un pantallazo que aporta la entidad aseguradora -a quien corresponde la carga de la prueba como condición para ejercitar la acción subrogatoria de resarcimiento del daño- que ha obtenido de sus propios sistemas con la finalidad de acreditar que ha pagado al asegurado el importe de la indemnización. No puede asimilarse ese supuesto de hecho con el que aquí se plantea. En el caso analizado por la SAP precitada la entidad aseguradora tenía la obligación de acreditar el pago de la indemnización al asegurado como presupuesto para ejercitar la acción de resarcimiento, y para ello recurrió a una captura de pantalla de sus propios sistemas. En el asunto que nos ocupa la prueba del tratamiento efectuado es una captura de pantalla de los propios sistemas de la entidad reclamada en la que quien se identifica en la casilla de usuario activo de esa aplicación lo hace mediante una dirección de correo electrónico en el que el dominio utilizado es usado por una inmobiliaria de la zona. Además, las características que presenta la aplicación a tenor de lo que se puede ver a través de la imagen capturada evidencia que no estamos ante una falsificación. Se trae a colación la sentencia de la Audiencia Provincial de Madrid, secc. 10, de 29/06/2022 (Rec. 775/2021) que dice: "El Tribunal Supremo tiene dicho que nada impide dar relevancia a un documento privado no reconocido, conjugando su valor con el resto de las pruebas (STS 29-1092, 18-11-94 y 19-7-95) pero, solo cuando no existe ninguna otra prueba, ni directa ni indiciaria, que permita en su conjunto dar plena validez a los documentos impugnados, aceptar por sí la validez de los mismos supondría una alteración de la carga de la prueba, desplazando hacia el demandado la carga de probar que los hechos constitutivos de la pretensión no son ciertos". (El subrayado es nuestro) Asimismo, cabe recordar el criterio mantenido por el Tribunal Supremo (TS) en distintas sentencias, particularmente las STS 300/2015, de 19 de mayo, o 375/2018, de 19 de julio, acerca de los documentos impresos que muestran conversaciones mantenidas a través de aplicaciones móviles de mensajería instantánea, considerando que, ante una posible impugnación de su autenticidad y en ausencia de elementos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/41 probatorios adicionales, es precisa la práctica de una prueba pericial que identifique el verdadero origen de esa comunicación, la identidad de los interlocutores y, en fin, la integridad de su contenido. El escrito de propuesta de resolución, en consideración a las manifestaciones de la parte reclamada y a los documentos que obraban en el procedimiento en ese momento procesal, concluyó que existían indicios suficientes para admitir la validez de la captura de pantalla de la aplicación de Inglobaly -que la reclamante aportó con su reclamación- como medio de prueba del tratamiento de sus datos efectuado por QUALITY y menciono entre ellos los siguientes indicios que ahora se reiteran: (
55. i)La entidad reclamada no ha negado expresamente ni en sus alegaciones al acuerdo de inicio ni en la respuesta al traslado de la reclamación efectuada por la SGID, que haya tratado los datos personales de la parte reclamante que constan en la captura de pantalla de la aplicación Inglobaly aportada. (
56. ii)La entidad reclamada parece reconocer de manera indirecta el tratamiento de los datos de la parte reclamante cuando, en sus alegaciones al acuerdo de inicio, se refiere al origen de los datos y dice, entre otras cosas, que “los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado. Por consiguiente, la valoración realizada por este Organismo, para la imposición de la sanción, NO TIENE EN CUENTA LOS DAÑOS CAUSADOS (NINGUNO) ASÍ COMO LA CATEGORÍA Y OBTENCIÓN DE LOS DATOS DEL DENUNCIANTE (PUBLICOS)”. (Hecho Probado noveno, folio 86) (iii) El documento aportado no es un pantallazo unilateral de la reclamante. Tampoco versa sobre la comunicación mantenida a través de una aplicación de mensajería instantánea fácilmente reproducible. La imagen captada y aportada muestra información detallada y completa de una aplicación informática de Inglobaly que es la utilizada por la mercantil QUALITY. Esto es, la captura que la reclamante aporta corresponde a una aplicación informática que utiliza la propia parte reclamada -QUALITY- y para acceder a la información registrada en ella -coincidiendo así con las manifestaciones de QUALITY en su escrito de alegaciones- es necesario autenticarse mediante usuario y contraseña. La captura que la reclamante facilita a esta Agencia con su reclamación no se obtuvo por ella directamente mediante el acceso a Inglobaly.com, dado que en el campo “usuario activo” consta el dato ***EMAIL.1. Lo que evidencia que el acceso a Inglobaly y el resultado de la búsqueda de datos efectuada por el criterio “(...)” (que es la pestaña que en la imagen se ve activada) se hizo por un usuario que pudo autenticarse correctamente ante la aplicación y acceder así a la información que obraba en los sistemas de Inglobaly. (
57. iv)El “usuario activo” que accedió a la información, según muestra la captura facilitada por la reclamante se compone de un nombre de mujer -E.E.E. y de un dominio -***DOMINIO.1- que es el que usa la inmobiliaria ***EMPRESA.1, cuyo domicilio social y una de sus oficinas está en el mismo distrito de la ciudad que el antiguo domicilio de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/41 Por todo ello, la propuesta de resolución consideró que, frente a la tesis de la reclamada, que ponía en tela de juicio la validez de la captura de pantalla aportada por la reclamante, los elementos indicados conformaban una prueba indiciaria de la validez de ese documento como prueba de cargo del tratamiento efectuado. La admisibilidad de la prueba indiciaria en el procedimiento administrativo sancionador y su fuerza para enervar la presunción de inocencia es una cuestión pacífica. La Jurisprudencia pone el acento en las cualidades o requisitos que debe reunir para producir dicho efecto. A tales requisitos se refiere la STC 116/2007 de 21 de mayo: “[…] a falta de prueba directa, la prueba de cargo puede ser indiciaria, siempre que se parta de hechos plenamente probados y que los hechos constitutivos de delito se deduzcan de esos indicios a través de un proceso mental razonado y acorde con las reglas del criterio humano… y que el control de la solidez de la inferencia pueda llevarse a acabo tanto desde el canon de su lógica o coherencia, siendo razonable cuando los indicios constatados excluyan el hecho que de ellos se hace derivar o no conduzcan naturalmente a él, como desde el de su suficiencia o carácter concluyente, excluyéndose la razonabilidad por el carácter excesivamente abierto, débil o indeterminado de la inferencia”. La STC citada menciona los requisitos que la jurisprudencia suele exigir para que la prueba indiciaria pueda desvirtuar la presunción de inocencia: que el indicio o hecho sobre el que se monta la presunción esté plenamente probado; que entre dicho indicio y el hecho del que se acusa al imputado exista un enlace preciso y directo, según las reglas propias del criterio humano y que este razonamiento luzca en la resolución (“puesto de manifiesto en la Sentencia”).Los indicios han de estar plenamente probados –no puede tratarse de meras sospechas– y se debe explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, se ha llegado a la conclusión de que el imputado realizó la conducta infractora. A la vista de la documentación que obra en el expediente y en consideración a lo expuesto, esta Agencia entiende acreditado que la parte reclamada llevó a cabo un tratamiento de datos de la parte reclamante: recogió, conservó, ordenó y estructuró datos personales que conciernen a la reclamante y los utilizó para su consulta por terceros, a quienes les facilitó el acceso. Sin perjuicio de las consideraciones precedentes -que reiteramos en esta resoluciónQUALITY reconoce expresamente en sus alegaciones a la propuesta de resolución que ha llevado a cabo un tratamiento de los datos personales de la parte reclamante en tanto que ha afirmado -al referirse a la medida correctiva del artículo 58.2.
58. d)RGPD cuya imposición se propuso-: “procedimos a su baja en la fecha indicada 27 de Febrero de 2024, con copia a D. [inspector actuante 1]. Su medida está fuera de lugar. Debe informarse bien y documentarse mejor.” Cabe añadir que la reclamada se limita a hacer una afirmación taxativa de que ha realizado un tratamiento de datos de la parte reclamada pero no aporta ninguna prueba en tal sentido, ni siquiera ha facilitado la copia del correo electrónico que afirma haber enviado a la reclamante (dice que lo aportará en vía contencioso-administrativa) cuyo texto reproducimos de nuevo: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/41 <<De: DPO Quality-Provider <dpo@qualityprovider.net> Date: mar, 27 feb 2024, 16:54 Subject: TUTELA DE DERECHOS To: ***EMAIL.2 QUALITY PROVIDER SA, C/ Goya número 18 5 planta izqda. 28001 – Madrid. Madrid, 27 de Febrero de 2024 Estimada Señora: Es una pena el tiempo perdido por Usted, ante la AEPD. Si se hubiera dirigido a nosotros directamente con su identificación, INDICANDO su número de DNI, se hubiera procedido a LA CANCELACIÓN DE SUS DATOS PERSONALES. Nos hemos enterado de sus datos, porque vienen expuestos, en el Expediente Sancionador de la AEPD. Por ello, hemos procedido a identificarla y una vez realizada la comprobación procederemos a la cancelación de los mismos. No consta ningún requerimiento por su parte en nuestro buzón de denuncias. Estos son los datos facilitados por la AEPD. Un saludo. Dpto. Jurídico.>> 4. Sobre la licitud del tratamiento de datos efectuado. Todo tratamiento de datos personales tiene que estar fundado en alguna de las bases de licitud que detalla el artículo 6.1. del RGPD. El considerando 40 del RGPD dice: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” Del tenor del artículo 6.1. del RGPD resulta que el consentimiento no es el único fundamento de licitud del tratamiento. Existen otras posibles bases de licitud: ser parte en un contrato o solicitar la aplicación de medidas precontractuales; la necesidad del tratamiento para atender el cumplimiento de una obligación impuesta por la Ley; la necesidad del tratamiento para proteger interés vitales; la necesidad del tratamiento para cumplir una misión realizada en “interés público” o para ejercer poderes públicos que hayan sido conferidos por el ordenamiento jurídico o la necesidad del tratamiento para atender un interés legítimo, ya sea del responsable o de un tercero, siempre que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, particularmente cuando el interesado sea un niño. La parte reclamante niega haber otorgado su consentimiento a QUALITY para tratar los datos que le conciernen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/41 A su vez, QUALITY no aduce en ninguno de sus escritos de alegaciones cuál es la causa de licitud del tratamiento conforme al artículo 6.1 del RGPD, aunque incumbe a esa parte reclamada (ex artículo 5.2. RGPD) informar del motivo de licitud que ampara el tratamiento de datos efectuado y probar su existencia Al hilo de lo anterior, es preciso subrayar que, en el curso de este procedimiento, se han respetado escrupulosamente las garantías procesales de la parte reclamada, quien ha podido formular frente al acuerdo de inicio y frente a la propuesta de resolución las alegaciones que ha estimado oportuno y proponer prueba en el trámite de alegaciones al acuerdo de inicio en defensa de su pretensión de archivo. Se añade a lo anterior que, de conformidad con la petición que QUALITY hizo en su escrito de alegaciones al acuerdo de inicio para que se le diera traslado de la documentación que integraba entonces el expediente y de los nuevos documentos que se generasen en el curso del procedimiento, se le remitió copia de la documentación en fecha 23/02/2024 y 29/01/2025, esta última coincidiendo con la notificación de la propuesta de resolución. La reclamada manifiesta únicamente -alegaciones al acuerdo de inicio con ocasión de referirse a la valoración de las circunstancias del artículo 83.2. RGPD para determinar el importe de la sanción de multa- que “los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado.” A la vista del comentario reproducido entendemos que la reclamada considera que el hecho de que los datos se hubieran obtenido de una fuente de acceso público opera como fundamento de licitud del tratamiento. Sin embargo, es preciso aclarar que no existen más bases de licitud del tratamiento de datos de carácter personal que las que taxativamente recoge el artículo 6.1. del RGPD entre las que en absoluto se menciona las fuentes públicas. Ese fue también el criterio de la Directiva 95/46/CEE, precedente de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). Pese a la transposición incorrecta que la LOPD hizo del artículo 7.f de la citada Directiva desde la STS de 08/02/2012, Rec. 25/2008, que acoge el pronunciamiento de la STJUE de 24/11/2011 (asuntos acumulados C468/10 y C-469/10) que resolvió la cuestión prejudicial planteada por el Tribunal Supremo y reconoció el efecto directo del artículo 7.
59. f)de la Directiva 95/46/CEE, ninguna duda existió de que en la LOPD las fuentes de acceso público no constituían una base legal del tratamiento de datos de carácter personal, y eso a pesar de la redacción de su artículo 6.2. Como se ha indicado QUALITY no ha invocado explícitamente ni tampoco ha acreditado que el tratamiento estuviera amparado en la prevalencia del interés legítimo, suyo o de terceros, circunstancia del artículo 6.1.
60. f)del RGPD. La declaración de la reclamada que podría conectarse con esa base legal es su explicación de que “los datos mostrados son datos básicos, obtenidos de Registros Públicos legalmente y no se requiere consentimiento por parte del afectado.” Llegados a este punto procede examinar si concurre la base jurídica del tratamiento descrita en la letra
61. f)artículo 6.1. del RGPD, la prevalencia del interés legítimo del interesado o de un tercero, que establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/41 “
62. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” La STJUE, de 04/10/2024, asunto C-621/22 recuerda que “el artículo 6, apartado 1, párrafo primero, letra f), del RGPD, establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer lugar, que el responsable del tratamiento o el tercero persigan un interés legítimo; en segundo lugar, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo y, en tercer lugar, que no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos.” La STJUE aclara respecto de cada uno de estos tres requisitos lo siguiente: Por lo que se refiere al requisito relativo a la persecución de un “interés legítimo”, a falta de una definición de este concepto en el RGPD, como ha declarado el Tribunal de Justicia, una amplia gama de intereses es, en principio, susceptible de ser considerada legítima. “No obstante, si bien el concepto de «interés legítimo», en el sentido del artículo 6, apartado 1, párrafo primero, letra f), del RGPD, no se limita a los intereses consagrados y determinados por una ley, sí exige que el interés legítimo alegado sea lícito.” El Grupo de Trabajo del artículo 29 (GT29) en su dictamen 6/2014 “sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE” (WP 217), dice que “un interés puede considerarse legítimo siempre que el responsable del tratamiento pueda perseguir este interés de conformidad con las leyes relativas a la protección de datos y con el resto de la legislación. En otras palabras, un interés legítimo debe ser «aceptable en virtud de la ley»”. El interés perseguido será lícito cuando sea respetuoso con la normativa vigente, en este caso particular, cuando se adecúe al RGPD y cumpla las obligaciones que conllevan el tratamiento. Se recuerda que el artículo 14 del RGPD impone al responsable del tratamiento, cuando los datos personales no se hayan obtenidos del interesado directamente, la obligación de facilitarle la información indicada en los apartados 1 y 2 y el deber de proporcionar esa información “dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos” y “ si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez”. Sin embargo, no obra en el expediente indicio alguno en ese sentido: que haya cumplido la obligación impuesta por el artículo 14 del RGPD y haya informado a la interesada, la reclamante, del tratamiento de sus datos que lleva a cabo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/41 El segundo requisito hace mención a la “necesidad” del tratamiento de datos personales para la satisfacción del interés legítimo perseguido. La STJUE precitada dice que este requisito “exige que el órgano jurisdiccional remitente compruebe que el interés legítimo perseguido con el tratamiento de los datos no puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios para las libertades y los derechos fundamentales de los interesados, en particular para los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta.” El requisito relativo a la necesidad del tratamiento debe examinarse en relación con el principio de “minimización de los datos”, consagrado en el artículo 5, apartado 1, letra c), del RGPD, conforme al cual los datos personales deben ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. En tercer lugar, que los intereses o las libertades y los derechos fundamentales del interesado en la protección de los datos no prevalezcan sobre el interés legítimo del responsable del tratamiento o de un tercero. El Tribunal de Justicia ha declarado que “dicho requisi