1/20 Procedimiento nº.: PS/00318/2013 ASUNTO: Recurso de Reposición Nº RR/00063/2018 Examinado el recurso de reposición interpuesto por la entidad H.H.H. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00318/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00318/2013, en virtud de la cual se imponía a H.H.H., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3
- b)de la LOPD, una multa de 4.000 € (cuatro mil euros), de conformidad con lo establecido en el artículo 45 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 2 de enero de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento PS/00318/2013, quedó constancia de los siguientes hechos probados: C/ Jorge Juan, 6 28001 – Madrid sancionador, www.agpd.es sedeagpd.gob.es 2/20 UNO.- F.F.F., fue Director Técnico del CPD del Ayuntamiento de ***LOCALIDAD.1, hasta que fue cesado en fecha de 14/07/2011 quedando adscrito a la Agencia Tributaria Municipal, si bien desde el mes de febrero de 2012 se encontraba de nuevo en las dependencias del CPD, aunque adscrito orgánicamente a la citada Agencia, con la función genérica de coordinación entre el Servicio de Información Municipal SIM y la Agencia. DOS.- I.I.I., fue Subdirector de Soporte del CPD desde el 18/04/2008 hasta que fue cesado en fecha de 2/07/2012, por modificación de la RPT, y fusión de dos subdirecciones en una, cuya función era el mantenimiento de las aplicaciones informáticas en uso del Ayuntamiento. TRES.- En febrero del año 2012, el nuevo Director del CPD, encomendó a sus subordinados (Sr. Q.Q.Q. y Sra. K.K.K.) el desarrollo del programa denominado “Visor de nóminas” para adaptar su uso a funcionarios municipales a través de internet. Dicho programa fue inicialmente desarrollado por F.F.F. para su utilización en la red intranet de la citada corporación. CUATRO.- El Sr. Q.Q.Q. solicito y obtuvo la autorización de F.F.F., para la utilización del programa desarrollado por éste siendo advertido por éste de que se necesitaban implantar las correspondientes medidas de seguridad para su explotación en internet. CINCO.- El programa se puso en explotación en internet en marzo de 2012 y en abril del mismo año se adaptó para la consulta de certificados de retención de IRPF de los empleados públicos. SEIS.- en la mañana del día 31/05/2012 el Sr. Q.Q.Q. consultó a F.F.F. algunas cuestiones técnicas del programa, realizando éste diversas modificaciones, pese a no encontrarse adscrito al proyecto de adaptación, y advirtió la posibilidad de que la aplicación tuviera déficit de seguridad. SIETE.- Sobre el mediodía de esa fecha, F.F.F., desde su ordenador del CPD, comprobó que tras acceder a la aplicación identificándose con certificado digital, podía acceder a la URL que utilizaba la expresión “sacanomina” en la que, cambiando el parámetro del número de empleado, era posible ver recibos de nómina de cualquier funcionario municipal y comprobó que era posible la navegación a través de protocolos no seguros. Dicha circunstancia la comunico a I.I.I. ubicado a pocos metros de su puesto de trabajo. OCHO.- F.F.F., no comunico en ese momento los hechos, ni al Director Técnico del CPD, ni al Subdirector de Administración Electrónica, ni al Responsable de Seguridad, pese a que se encontraban en la sede del CPD. Conocía el procedimiento de notificación de incidencias pero no lo siguió. Asimismo tampoco documento las vulnerabilidades. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 NUEVE.- Por la tarde de esa fecha, F.F.F., tras hablar por teléfono con el Concejal responsable del Área, al Sr. J.J.J., le envió un SMS informando del problema, y éste reenvió dicho SMS al, al Coordinador de Servicios, Director Técnico del CPD y éste a su vez al Subdirector de Administración electrónica, que cambio el parámetro sacanomina y user, estimo que el problema estaba resuelto. El día siguiente 1 de junio, el Subdirector de Administración electrónica realizo otras modificaciones en la aplicación. DIEZ.- I.I.I. en la tarde noche del día 31/05/2012, desde su domicilio personal, realizó cinco accesos a la aplicación utilizando el parámetro sacanomina verificando que era posible acceder a nóminas de otro empleados. ONCE.- Esa misma tarde/noche desde su domicilio personal, F.F.F., comprobó que usando los parámetros “doc/dos2” se podía acceder a toda la documentación del SIM, y que a través de consultar el historial de navegación era posible la recuperación de documentos, comunicándolo a I.I.I. quien realizo varias pruebas, cambiando el número de documento en la URL. DOCE.- Durante el fin de semana del 2 y 3 de junio F.F.F., continúo realizando desde su domicilio personal, numerosos accesos a la aplicación y consultando documentos. TRECE.- Tras los incidentes del 31 de mayo y 1 de junio, EL AYUNTAMIENTO trató de obtener de F.F.F. como Exdirector del CPD- información sobre distintos sistemas de información. Siendo los primeros intentos infructuosos al negarse éste a ser notificado (según declaración de dos funcionarios) finalmente se le notifica la solicitud de información. En escrito remitido por F.F.F. el 10 de septiembre de 2012 al Alcalde de ***LOCALIDAD.1 le informa de que, no siendo parte del Centro de Proceso de Datos (CPD) se le está solicitando una información, tarea que no está incluida en sus atribuciones, que debe de encontrarse en posesión el citado CPD por lo que desestima el requerimiento. Cita que desde su cese, sus funciones son: (…) funciones relacionadas con la unificación de los sistemas informáticos de la Agencia Tributaria y el ayuntamiento (…)(…)mis funciones actuales, meramente formales(…) excluyen la posibilidad de (…)que se relevante en el contexto del incidente de seguridad(…). CATORCE.- En las Actuaciones de Inspección Practicadas por la Agencia Española de Protección de Datos, se verificaron los siguientes accesos: I II III El certificado de F.F.F. se utilizó para acceder al sistema el 31/05/2012 desde dos direcciones IP, la M.M.M. y la N.N.N.., y se accedió a 83 nóminas o certificados de retenciones de 7 usuarios distintos. El certificado de I.I.I. se utilizó para acceder al sistema desde la dirección IP P.P.P. y se accedió a 18 nóminas y un certificado de retenciones de 3 usuarios distintos. El certificado de F.F.F. se utilizó para acceder al sistema el 4 de junio de 2012 desde la dirección IP O.O.O. y se accedió a 130 documentos y un certificado de retenciones de 3 usuarios distintos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 IV El día 31 de mayo, entre las 17:16 y las 17:22, desde la dirección IP L.L.L. se accedió a 16 nóminas o certificados de retenciones de 5 usuarios distintos, confirmando el proveedor de acceso a internet, que Dña. E.E.E. era la titular de la línea que tuvo asignada la dirección IP durante los hechos. TERCERO: H.H.H. (en lo sucesivo el recurrente) ha presentado en fecha 26/01/2017 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en síntesis, en las siguientes alegaciones: Primera. Infracción del art. 137.2 3 y 4 LRJPAC, al no atenerse a los hechos probados de una sentencia, ni a informes posteriores. Por considerar que la función genérica de coordinación entre el SIM y la Agencia Tributaria Municipal, no habilita para el ejercicio de funciones de restablecimiento de la seguridad. Los hechos probados de la sentencia vinculan a la AEPD y es una grave responsabilidad utilizar los argumentos falsos suministrados por el Sr. J.J.J. como hace la AEPD en su resolución. Se ha dicho que el recurrente no estaba adscrito al proyecto, sin embargo ni la adscripción ni la no adscripción está documentada con anterioridad al 31/5/2012. Se trata de una afirmación realizada a posteriori por los responsables de la infracción de la LOPD, el Sr. J.J.J. y sus colaboradores. Las aplicaciones informáticas en cuestión, con exclusión de la capa de seguridad web, fueron confeccionadas por el Sr. Q.Q.Q. y el recurrente, afirmación no contradicha por nadie y reconocida en la sentencia. Tampoco es cierto que el recurrente no documentó las vulnerabilidades, puesto que se comunicó al concejal responsable, tal como queda probado en la propia resolución. En la resolución se aluda a una afirmación del recurrente que reza ”el incidente de seguridad está fuera del ámbito de su competencia y que ostenta funciones meramente formales”. Tal afirmación esta sacada de contexto y la contradicen los informes aportados durante el procedimiento, que no han tenido acogida alguna ni se ha valorado por la AEPD, ni se han rechazado, infringiendo así el art. 137.3 de la LRJPAC. En la resolución recurrida ha prevalecido a efectos sancionadores la información devenida falta en el procedimiento penal, no se han tenido en cuenta los informes aportados por esta parte y en ultimo termino la resolución no ha sido respetuosa con los hechos probados en la Sentencia, lo que determinaría la nulidad de lo actuando por haberse dictado la misma prescindiendo total y absolutamente del procedimiento, al dictarse por órgano manifiestamente incompetente de acuerdo con el art. 46 LOPD. Segunda.- infracción del art. 3 LOPD por encontrarse los datos expuestos en internet y ausencia de tipicidad. (Reiteración de lo alegado durante el procedimiento) Tercera.- Infracciones del procedimiento determinante de nulidad de pleno derecho o anulabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 3.1 Infracción del art. 24.2 CE derecho de audiencia y defensa en las actuaciones inspectoras y en el procedimiento sancionador (reiteración de lo alegado durante el procedimiento) al sancionado no se le dio conocimiento del inicio del procedimiento y demás obligaciones derivadas del art. 13 y 16 RD 1398/1993, hasta que se remitió la copia del expediente en fecha de 27/11/2017. Tampoco se dio traslado de las alegaciones a la suspensión. No hubo notificación personal en el domicilio de la B.B.B., ni los intentos previos de notificación edictal ex art 59.2 LRJPAC. 3.2 Cuestión prejudicial penal previa (reiteración de lo alegado durante el procedimiento) 3.3 Violación del derecho fundamental al secreto de las comunicaciones (reiteración de lo alegado durante el procedimiento) se incumple el art. 6.2 Ley 25/2007 por cuanto la AEPD no es un agente facultado para acceder a la información de las direcciones IP y a los patrones de actividad. Cuarta.- prescripción de la infracción por falta de notificación en el plazo de 2 años de acuerdo con el art. 47.1 LOPD. No pudiendo entenderse como tal, la publicación en el BOE 173, de 20/07/2013 y que figura en el folio 144 y 145. Asimismo los dos intentos de notificación que aparecen en el expediente no son dirigidos al domicilio sito en G.G.G., ni tampoco al centro de trabajo en el Ayto. de ***LOCALIDAD.1. Asimismo tampoco se producen en horas diferentes, pues como consta en el acuse de recibo, se produjeron el día 17 de junio a las 13 horas y el segundo el dia 18 de junio a las 12,30, sin mediar, por tanto, el requisito de en una hora distinta. Tal previsión exige como mínimo la diferencia de sesenta minutos de diferencia, STS 28/10/2014 “Que, a efecto de dar cumplimiento al art. 59.2 de la Ley 30/1992,(….)la expresión en una hora distinta determina la validez de cualquier notificación que guarde una diferencia de al menos sesenta minutos a la hora en que se practicó el primer intento de notificación” Quinta.- responsabilidad. La AEPD ha negado la condición de encargado de tratamiento al recurrente, y en caso de existir responsabilidad habría que depurarse en los términos descritos en el art. 46 LOPD, según el régimen disciplinario de la función pública. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador (referidas a (i)la vinculación de hechos probados en Sentencia Firme, a (ii)la solicitud de suspensión de procedimiento por prejudicialidad penal,(iii) a las funciones efectivamente desempeñadas por el recurrente, su condición de encargado del tratamiento y en su caso la no competencia dela Agencia para dirimir responsabilidades disciplinarias, a (iv)la consideración de internet como fuente accesible al público, a (v)la cesión de datos producida al denunciante, a (vi)la vulneración del secreto de las comunicaciones, y a (vii) la vulneración del derecho de audiencia en las actuaciones de inspección, todo ello sin aportar en este recurso de reposición argumentos nuevos que permitan reconsiderar la validez de la resolución impugnada por dichos motivos ), debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del III a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<III Establece el art. 7.3 del RD Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, vigente a la fecha de los hechos, establece lo siguiente: 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que substancien. En el presente caso se dictó de Sentencia de la Audiencia Provincial de ***LOCALIDAD.1 de la Sección Segunda núm. 252/ 2017 de fecha 17/05/2017, en la que resulta probado que los denunciantes procedieron a los accesos y en las circunstancias que recogen los Hechos Probados de la presente resolución UNO a TRECE. En las alegaciones formuladas a la propuesta de resolución, F.F.F., y I.I.I. manifiestan que en la actualidad se está tramitando otro procedimiento judicial, en fase de Instrucción – Auto de reapertura de diligencias previas - y que por tanto debería suspenderse el presente procedimiento, en base a que las personas que hicieron las manifestaciones que sirvieron de imputación en este procedimiento administrativo y en el otro procedimiento penal, están siendo investigadas como presuntas responsables de delitos de descubrimiento y revelación de secretos, falsedad en documento público y estafa procesal relacionados con los hechos aquí denunciados, y que dicha circunstancia implica la aplicación del art. 133 LRJPAC (…) No podrán sancionarse los hechos que hayan sido sancionados penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.(…) y la suspensión del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 Frente a ello debe insistirse en la vigencia de lo dispuesto en el art. 7.3 RD 1398/1993, de 4 de agosto, arriba transcrito y que se ha respetado escrupulosamente los hechos probados de la Sentencia nº 252/2017 – vinculación que por otra parte solicitan en reiteradas ocasiones los denunciados, y que es la única de la que es acreedora la instrucción del presente procedimiento-. Además, la Sentencia nº 252/2017 es una resolución respecto de la que ha de tenerse en cuenta su firmeza y las consecuencias que de ello se derivan. Tampoco puede equipararse a los efectos pretendidos por F.F.F., y I.I.I., una Sentencia firme, dictada tras los respectivos trámites procesales (fase de instrucción, fase de apertura de juicio oral, etc.,..) y con todas las garantías que se presuponen a la totalidad del proceso ( principios de inmediación, audiencia y contradicción), con el Auto de reapertura de Diligencias Previas dictado en fase de instrucción, tanto por su relevancia jurídica procesal como por cuestiones temporales, ya que el resultado de dichas diligencias de instrucción, puede acoger escenarios muy diversos inoponibles en la actualidad, pues obviamente no se conocen y que a lo sumo, si se estima la existencia de relación suficiente con los hechos aquí valorados, podrían matizar las implicaciones de F.F.F., y I.I.I. en los hechos recogidos en la Sentencia. Matización que debería ponerse en relación con la Sentencia nº 252/2017 a través de los cauces procesales que el ordenamiento jurídico pone a disposición del justiciable, y que exceden del ámbito del derecho administrativo sancionador, que es dónde sucede el presente procedimiento. Por lo que en ningún caso, el resultado que aquellas diligencias tengan (Diligencias Previas nº 94/2016), por propia lógica, pueden ser oponibles en la actualidad, pues el mismo es incierto y abarca diferentes posibilidades. Finalmente conviene indicar que el precepto invocado tampoco sería de aplicación, pues el art. 133 LRJPAC tiene por finalidad impedir que se sancione dos veces por los mismos hechos cuando se da la triple identidad de hechos, sujetos y fundamentos de derecho, y en el presente caso tanto F.F.F., y I.I.I. son las personas respecto de la que se está analizando aquí su conducta y en las citadas diligencias Previas de proceso penal, los investigados son otros, y el bien jurídico protegido podría exceder del aquí analizado, por lo que en modo alguno se aprecia la triple identidad que requiere el precepto. Por lo expuesto, las alegaciones referidas a la nueva suspensión del presente procedimiento sancionador por prejudicialidad penal han de ser desestimadas. IV Asimismo F.F.F., y I.I.I. en su escrito de alegaciones a la propuesta de resolución, aducen en primer término, la aplicación de lo dispuesto en el art. 3
- j)de la LOPD en relación con el art. 6.2 de la LOPD, relativo a la no exigibilidad del consentimiento del interesado para el tratamiento de los datos personales, cuando estos figuren en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 fuentes accesibles al público, debiendo tener tal consideración la circunstancia de que los accesos se realizaron a través de internet, que según afirman es un medio de comunicación social. Considera el art. 3
- j)de la LOPD lo siguiente:
- j)Fuentes accesibles al público: aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público los diarios y boletines oficiales y los medios de comunicación. Dicho lo anterior, debe partirse de que reiteradísima jurisprudencia nos señala que las fuentes accesibles al público son únicamente las recogidas en el citado precepto, numerus clausus, y en segundo lugar, que en ningún caso podrían tienen tal consideración las páginas web de internet como reiteradamente ha señalado esta Agencia tanto en sus resoluciones como en los informes del Servicio Jurídico. En este sentido, cabe citar a título de ejemplo, el Informe 3420/2008, que señala que: (…) Ambas definiciones tienen una enumeración taxativa respecto a lo que cabe considerar como fuentes accesibles al público, lo que impide que consideremos a las páginas web como fuentes accesibles al público. Por ello, para tratar la información contenida en dichas páginas debería de obtenerse el consentimiento de los afectados. (…). Internet no es, a los efectos de la normativa de protección de datos y las excepciones a la exigencia del consentimiento, un “medio de comunicación”, sino un “canal de comunicación”, por lo que no puede considerarse fuente accesible al público. La red de internet se trata de un soporte y no, por definición, de un medio de contenidos, como podría ser prensa digital, tv digital, etc., que son los referidos en el artículo 20 de la Constitución, razón por la que el legislador quiso establecer en el art. 3
- j)de la LOPD el marco más adecuado, para la ponderación de ambos derechos fundamentales. Por lo expuesto, deben desestimarse las alegaciones referidas a la consideración del acceso a través de internet a los datos personales, como dispensa de la exigencia del consentimiento. En segundo término, se aportan diversos informes municipales, uno del servicio jurídico otro del servicio técnico informático, relativo a la improcedencia de la denuncia penal que dio origen a la Sentencia nº 252/2017, y relativo a la permanencia en el tiempo de las funciones atribuidas al departamento de informática de la citada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 corporación, es decir a que los funcionarios dependientes de dicho departamento prestan servicio 365 días al año, con la finalidad de legitimar los accesos al sistema que se estima que vulneran la LOPD. Frente a lo que hay que indicar de nuevo, la vinculación de los hechos probados en tan citada Sentencia, que de manera objetiva determina tanto el acaecimiento de los accesos – cuándo, cómo y desde dónde- como el puesto y funciones que JOSE F.F.F., y I.I.I., ostentaban en la fecha de los hechos analizados. Por ello, a los informes no pueden atribuírseles los efectos pretendidos ni materialmente pueden contradecir los dispuesto en los hechos probados, pues de ser esa la intención D.D.D., y I.I.I. deberían haberse puesto de manifiesto y analizados en dicho procedimiento judicial, y en su caso, haberse apreciado en los hechos probados de la tan citada Sentencia, circunstancia que obviamente no ha ocurrido. Asimismo respecto de la alegación referida a que el procedimiento adecuado a derecho seria el previsto en el art. 46 de la LOPD, es decir el de infracción de administraciones públicas, por ser la responsable del fichero una administración Pública, debe indicarse en primer lugar, que de acuerdo con el art. 43 de la LOPD, están sujetos al régimen sancionador de la LOPD, no sólo los responsables de ficheros, sino también, los responsables de tratamiento. Figura en que se instituyen F.F.F., y I.I.I. respecto de los accesos realizados desde su domicilio, y en segundo lugar, que se ha incoado el procedimiento de Infracción de Administraciones Públicas AP/00025/2013 relacionado con los hechos aquí valorados, dónde se analiza, entre otras cuestiones, el cumplimiento de medidas de seguridad del sistema informático de la citada corporación. En tercer lugar, se alega la vulneración del Derecho al Secreto de las Comunicaciones constitucionalmente protegido en el artículo 18.3 de la CE, por haberse identificado por parte de la Agencia, las direcciones IPs desde las que se produce el acceso al sistema de información de la citada Corporación Local. El conocimiento de las direcciones IPs se tiene a través de la información que proporciona el propio ayuntamiento a esta Agencia durante las actuaciones de inspección, y por tanto, es uno de los participantes en la comunicación quien levanta el secreto. Es decir, la comunicación que ampara el precepto constitucional citado, se da en este caso, entre las “llamadas al servidor” que aloja la dirección web, que se hacen desde los equipos de los denunciados, es decir, para acceder a la web del ayuntamiento el servidor recibe una solicitud de acceso – a través de una determinada IP- y “contesta” proporcionando dicha información. Por tanto, es uno de los interlocutores de la comunicación producida en el acceso a la web quien levanta el secreto, al comunicar datos de esa comunicación como son las direcciones IPs desde las que se accedió al a información, a la Agencia Española de Protección de Datos, en el ejercicio de sus funciones ex art. 40 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 Por lo que siendo uno de los dos intervinientes en la comunicación quién habilita esta Agencia a conocer los accesos, durante la inspección realizada, debe entenderse levantado dicho secreto. En este sentido el Tribunal Constitucional en Sentencia 56/2003 de 24 de marzo admite “la posibilidad de que el secreto fuera levantado como consecuencia de la acción uno de los dos intervinientes en la comunicación, en cuyo caso, la revelación de la información referida a la misma, incluyendo los datos identificativos de las líneas llamante y conectada, dejaba de encontrarse protegido por el mencionado secreto” En el mismo sentido debe tenerse en cuenta lo dispuesto en el Informe de la Abogacía General del Estado de 182/08, que dispone que “…no es precisa autorización judicial para la obtención de los referidos datos cuando la Agencia Española de Protección de Datos inicie una investigación como consecuencia de denuncia en la que el interesado, titular del dato, que formula la queja, presta su consentimiento a la investigación”. En el presente caso se pone de manifiesto por del Ayuntamiento de ***LOCALIDAD.1, responsable del servidor que aloja la información, la vulneración de la seguridad del sistema y los accesos indebidos, lo que habilita a la Agencia a investigar esas conductas, para lo que es necesario acceder, entre otra a la información que el sistema proporciona como son las direcciones IP desde la que se ha recibido una llamada en su servidor, todo ello en consonancia con la potestad de inspección que recoge el art. 40 de la LOPD. A mayor abundamiento, respecto del secreto de las comunicaciones y la privacidad de las mismas, debe acudirse al parámetro de creación jurisprudencial denominado la “expectativa razonable de privacidad”, que analiza la invasión en los derechos fundamentales relacionados con las tecnologías de la información: En la STC 2907/2011, se habilita al empresario al acceso al correo electrónico corporativo de los trabajadores sin informar previamente, pues los medios tecnológicos y físicos puestos a disposición corresponde al empleador, cuestión que a priori parece alejada del presente caso, pero que sin embargo tiene estrecha relación, pues en la citada Sentencia se pone el acento los conceptos de juicio de idoneidad, necesidad y proporcionalidad, y pero sobre todo, el concepto de “expectativa razonable de privacidad”, que no puede tener aquel empleado que utiliza medios de la empresa para las comunicaciones por correo electrónico, como en aquel caso era el correo corporativo con el servidor de la empresa. En el presente caso, cualquier usuario de internet que accediera al servidor que aloja la página web del Ayuntamiento de ***LOCALIDAD.1, no puede pretender tener una expectativa de privacidad en lo referente a que dicho servidor no conozca la dirección IP desde la que se realiza “la llamada al servidor”, pues es el desarrollo normal de las comunicaciones en internet, más aun cuando F.F.F., y I.I.I. son informáticos y conocen obviamente la estructura de las comunicaciones en la red internet. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 Por lo que, como cualquier usuario, admitieron que la dirección IP desde la que se accede, sea conocida por el servidor que aloja la página web en cuestión a la que están accediendo. En cuarto lugar, se alega la vulneración del art. 24.2 de la Constitución, referente al derecho de audiencia y a la defensa, que entienden conculcado por no estar presentes en la inspección realizada en la corporación local y por no haber tenido la oportunidad de aportar información que pudiera contradecir, lo manifestado por los funcionarios municipales que estuvieron en la citada inspección y que respondieron a las preguntas de los inspectores de la Agencia. Debe partirse de la propia naturaleza de las actuaciones previas de inspección, que ni son consideradas procedimiento, ni a través de ellas se ejerce una potestad de gravamen – como la sancionadora- por parte de la administración actuante. Con reiterada jurisprudencia, cabe señalar que estas Actuaciones Previas de Inspección no forman parte del expediente sancionador, ya que no son propiamente expediente administrativo, sino antecedente del mismo (por todas, Sentencias del TS de 22 de febrero de 1985 [RJ 1985,502] o de 26 de mayo de 1987 [RJ, 1987,5850]. Con la Sentencia del TS de 13 de septiembre de 2002 (RJ 2002,8557) podemos decir que las actuaciones previas son el medio ordinario, habitual y ortodoxo desde el punto de vista legal de que dispone la administración para esclarecer hechos denunciados, constituyendo una garantía contra la precipitación en los casos en los que se considere preciso conocer datos y extremos de los hechos susceptibles de sanción. Sentado lo anterior, debe indicarse que en las actuaciones previas no rigen las reglas esenciales de los procedimientos, ni siquiera el principio de contradicción – que es el que se infiere entendido vulnerado por F.F.F., y I.I.I., que insisten en que no pudieron aportar información de contrario a la aportada por el ayuntamiento-, pues los derechos de defensa se satisfacen después, en el seno del procedimiento. Son pronunciamientos de esta doctrina, la STS de 16 de enero de 2004 (…) en modo alguno la realización de información reservada a afecta a derechos fundamentales del imputado toda vez que sus contenidos pueden ser sujetos a contradicción con posterioridad en el trámite de audiencia y en la sucesiva actividad probatoria.(…)no supone una fase inculpatoria en ningún sentido y sobre sus contenidos y conclusiones habrán de recaer las actuaciones probatorias que el instructor practique con otorgamiento de plenas garantáis de contradicción(…); y en el mismo sentido la STSJ de la Comunidad Valenciana de 23/05/2006, y la STSJ de Aragón de 28/7/2003. Incluso no rige, en estas actuaciones previas, el derecho a conocer la acusación, como explica la STS de 27/02/2003 a señalar que sólo surge (…)cuando el expediente lo permita por haber llegado a un momento en que las imputaciones puedan ya formularse con fundamento sólido. En el inicio de las actuaciones del expediente no siempre resultara posible determinar contra quien se dirigirán ulteriormente las acusaciones, de modo que los sucesivos tramites pueden continuarse sin la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 notificación de los cargos que tendrán, más adelante su momento procesal oportuno (…). Finalmente y a mayor abundamiento, ni si quiera es necesario que quién luego resulto sancionado hubiera estado presente en la práctica de las actuaciones previas, incluidas las de inspección, así lo determinan las STJ de Madrid de 2/10/1998; la STSJ de La Rioja de 2/09/1998 entre otras. En el presente caso, tanto F.F.F., y I.I.I., han tenido plenas garantáis del ejercicio del derecho de defensa, cuyas facultades se han concretado tanto en el conocimiento del contenido del expediente –uno cuando lo así lo ha solicitado y el otro incluso otro sin haberlo solicitado-, como en la formulación de alegaciones y aportación de pruebas que se han incorporado al elenco probatorio del expediente, junto con el Acta de la Inspección realizada por esta Agencia, y la Sentencia nº 252/2017. Por ello no puede estimarse vulneración de su derecho de defensa ni apreciarse una situación de indefensión material en ninguno de ellos. En quinto lugar, se aduce la vulneración del art.- 31 de la LRJPAC y de la jurisprudencia relativa al concepto de interesado, por cuanto se ha producido una cesión de datos al Sr. J.J.J. – EL CONCEJAL- por cuanto se le ha dado traslado de lo actuado, sin consentimiento ni de F.F.F., y I.I.I.. Frente a ello debe indicarse que al Sr. J.J.J., como denunciante se le comunico, únicamente, el inicio de las actuaciones previas de inspección mediante carta de fecha 11/07/2012, y se le notificó el inicio del presente procedimiento, sin que se revelaran datos personales de F.F.F., y I.I.I., que no conociera por su condición de represente público de la citada corporación donde aquel y éstos prestaban sus servicios profesionales, asimismo debe tenerse en cuenta que tampoco se le ha proporcionado acceso al expediente. Por lo tanto no puede entenderse vulnerada la normativa de protección de datos personales en cuanto a los datos personales de F.F.F., y I.I.I.. Finalmente, indicar respecto de las alegaciones formuladas por I.I.I. en su segundo escrito de alegaciones, que no tienen relevancia en lo antes señalado, pues únicamente pone el acento en la falta de medidas de seguridad que empleaba la tan citada corporación local en sus sistemas y respecto del hipotético consentimiento de los usuarios titulares de los certificados de IRPF a los que se accedió desde la dirección IP dónde se utilizó su certificado de firma electrónica, indicar que dicha circunstancia correspondería a éste acreditarla y que su conducta merecedora de reproche sancionador excede de la consulta de tres certificados de IRPF, sino que el simple acceso a recursos informáticos que contienen datos personales sin habilitación legal para ello, constituye el tratamiento de datos personales. Debiendo señalarse además que guarda silencio respecto de los accesos a 18 nóminas en una ocasión y en otra a 16 nóminas y a 5 certificados de IRPF de distintos usuarios. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 V En el presente caso, se atribuye a F.F.F., y I.I.I. la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. En cuanto al concepto de tratamiento de datos personales, dispone el artículo 5 del RDLOPD que se considera como tal: cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Tal como consta en el relato de hechos probados, ha resultado que F.F.F., y I.I.I. accedieron a datos de carácter personal de terceros, dicha acción constituye tratamiento de datos de carácter personal. Respecto del consentimiento o habilitación legal que legitime dicho acceso, y sin perjuicio de lo recogido en el Fundamento de Derecho IV en el que se da respuesta a las alegaciones de ambos interesados, es preciso señalar lo siguiente: Respecto de I.I.I., que se acreditó que desde su domicilio particular realizó accesos al sistema de información del Ayuntamiento de ***LOCALIDAD.1, consultando documentos que contenían datos de carácter personal, es decir en el ejercicio de sus funciones públicas como funcionario de la citada corporación local. Así consta que en la tarde noche del día 31/05/2012, desde su domicilio personal, realizó cinco accesos a la aplicación utilizando el parámetro sacanomina verificando que era posible acceder a nóminas de otro empleados y que el certificado de I.I.I. se utilizó para acceder al sistema desde la dirección IP P.P.P. y se accedió a 18 nóminas y un certificado de retenciones de 3 usuarios distintos. Todos los accesos irregulares se produjeron entre los días 31 de mayo y 4 de junio de 2012. Ahora bien consta en los hechos probados que I.I.I., fue Subdirector de Soporte del CPD desde el 18/04/2008 hasta que fue cesado en fecha de 2/07/2012, por lo que los accesos al sistema se produjeron antes de su cese como Subdirector, consistiendo tales funciones según se recoge en la Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, de 17 de mayo de 2017, en “el mantenimiento de todas las aplicaciones informáticas en producción (en uso) en el Ayuntamiento de ***LOCALIDAD.1”. Por todo ello, debe considerarse que el tratamiento de datos objeto de análisis, se efectuó por I.I.I. como usuario habilitado del sistema de información de consulta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 nóminas y certificados de retenciones de IRPF del Ayuntamiento de ***LOCALIDAD.1, por tanto no puede ser considerado como responsable del tratamiento, por lo que procede archivar el procedimiento respecto del citado imputado. Sin embargo, respecto de F.F.F., no puede entenderse que su acceso se hizo al abrigo de funciones públicas que desarrollaba como funcionario de la citada corporación local, pues desde el 14/07/2011 prestaba servicios en la Agencia Tributaria cuyas funciones no estaban en relación con la seguridad del sistema informático del Ayuntamiento de ***LOCALIDAD.1. En los hechos probados de la Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, resultó acreditado que tenía atribuida “la función genérica de coordinación entre el Servicio de Información Municipal SIM y la Agencia Tributaria”, asimismo el propio F.F.F. en su escrito de fecha de entrada en la citada corporación local de 10/09/2012, manifiesta que el incidente de seguridad está fuera del ámbito de su competencia y que ostenta funciones meramente formales. Dicha afirmación contradice las alegaciones que formula a la propuesta de resolución, así como los informes del servicio jurídico y del servicio informático aportados en las mismas que pretenden poner de manifiesto lo contrario. Consta como hechos probados en la Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, de 17 de mayo de 2017, que F.F.F. pese a no encontrarse adscrito al proyecto de adaptación de la aplicación a Internet accedió a la aplicación, identificándose con su certificado digital, comprobando que era posible acceder a recibos de nómina de cualquier funcionario municipal; que el 31 de mayo de 2012 comprobó desde su domicilio que podía acceder a toda documentación del SIM y que durante el fin de semana del 2 y 3 de junio, continuó desde su domicilio realizando numerosos accesos a la aplicación, con consulta de numerosos documentos, a fin de comprobar si el problema se había solventado o si la aplicación había sido desactivada. Así las cosas, en este caso, el tratamiento de datos realizado por el denunciado, al efectuar las reiteradas consultas a los datos personales que obraban en el sistema, no encuentra su amparo en el ejercicio de sus funciones ni tampoco en otra circunstancia que legitime dicho tratamiento. No puede olvidarse que, de acuerdo con la definición de tratamiento de datos, recogida en la LOPD y en el RLOPD, se considera como tal cualquier operación o procedimiento técnico, sea o no automatizado, que permita la consulta de datos, por lo que sólo resulta legítima dicha consulta si el tratamiento se ampara en alguna de las causas recogidas en el artículo 6 de la LOPD, lo que no concurre en este caso Así, por las fechas, ubicación, número de accesos y horarios de los mismos que se atribuyen a éste imputado, no pueden entenderse realizados ni en su condición de funcionario público en el ejercicio de sus funciones, ni menos aún como encargado de tratamiento del citado Ayuntamiento como alega en su escrito aportado al presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 VI Por lo expuesto se considera que F.F.F., ha tratado datos de carácter personal, sin acreditar circunstancia que legitime dicho tratamiento, conducta que se encuentra tipificada como infracción grave en el artículo 44.3.
- b)de dicha norma que considera como tal Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.>>> III En relación con la alegación del recurrente referida a la vulneración del art. 137.3 de la LRJPAC que establece que: 3. Los hechos constatados por funcionarios a los que se reconoce la condición de autoridad, y que se formalicen en documento público observando los requisitos legales pertinentes, tendrán valor probatorio sin perjuicio de las pruebas que en defensa de los respectivos derechos o intereses puedan señalar o aportar los propios administrados, en relación con los informes que adjuntó a sus alegaciones durante el procedimiento, debe indicarse que el valor probatorio al que se refiere la norma, es una presunción iuris tantum, es decir, que admite prueba en contrario, por lo que la resolución recurrida, lo que hace en su Fundamento de Derecho IV ( párrafos octavo, noveno y décimo ) es una valoración en confrontación con los demás elementos probatorios, - como es la Sentencia Firme de la Audiencia Provincial, entre otros – y desestimar el resultado de lo que pretendía probar. En resumen, la cualidad de valor probatorio no significa per se, que tenga un resultado probatorio predeterminado, sino que, como acertadamente hace el instructor, debe analizarse en conjunto o consonancia con el elenco probatorio en su conjunto. En relación a la alegación del recurrente referida a la vulneración por parte de la Resolución recurrida, del principio de vinculación de los hechos probados en una sentencia penal, - principio de prevalencia del ámbito penal.-, y sin perjuicio de que se contesta en los fundamentos parcialmente transcritos ut supra, debe indicarse al recurrente a efectos aclaratorios, y atendiendo a su insistencia en la formulación de esta pretensión, que una cosa es la vinculación de los hechos probados, que significa que se incorporan al acervo probatorio el elemento factico de la sentencia y a su vez, que no pueden tenerse por ciertos hechos que contradigan los probados en una sentencia firme, y otra cosa muy distinta es el sentido de la sentencia, es decir, que sea estimatorio, desestimatoria, condenatoria o absolutoria. La tan citada Sentencia de la Audiencia Provincial de ***LOCALIDAD.1, da por probado, en resumen, que los investigados en el procedimiento sancionador accedieron desde sus domicilio a datos personales de terceros, utilizando el sistema informático de la corporación local. Esos hechos, la resolución recurrida los mantiene incólumes, inalterados, sin embargo, la consecuencia jurídica de los mismos, ha sido diferente, teniendo en cuenta el principio de responsabilidad y el bien jurídico protegido, que difiere en el ámbito del derecho administrativo sancionador, del ámbito penal. Todo ello sin perjuicio de que la Sentencia es Absolutoria, por cumplimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/20 principio acusatorio, es decir, que nadie puede ser condenado sin acusación previa, y en el contexto procesal de la citada resolución, se retiraron las acusaciones privada y pública, lo que no implica per se, que los hechos no se produjeron. IV Por otra parte, en cuanto a la vulneración del derecho de audiencia ya en el procedimiento sancionador, en relación con la notificación del acuerdo de iniciación, y en cuanto a la prescripción de la infracción que se sanciona en la resolución recurrida, debe indicarse lo siguiente: Con carácter previo a valorar la adecuación a la normativa de los hechos analizados, debe partirse de la premisa de que no es hasta el escrito de fecha 3/03/2014, cuando la Agencia Española de Protección de Datos, conoce el cambio de domicilio a efectos de notificaciones que solicita el recurrente, es decir, pasa de tener a dichos efectos, el domicilio que consta en las actuaciones sito en la A.A.A. ( domicilio 1 en adelante), para tener el domicilio en la C.C.C. ( domicilio 2 en adelante). Establecido ese hito temporal, procede el relato del soporte factico relativo a las circunstancias en que se producen las notificaciones de los actos del procedimiento invocados por el recurrente: Según consta en el expediente, y así consta notificado al recurrente cuando solicito el acceso a la documentación que obra en el mismo, el Acuerdo de Inicio se envió al domicilio 1 en fecha de 13/06/2013, realizándose los dos intentos de notificación de acuerdo con el art. 59.2 LRJPAC, figurando devuelto por ausente en reparto en fecha de 3/07/2013. Es decir, el hoy recurrente no acudió a su oficina de correos a retirar el “aviso” que se le dejo en el buzón de dicho domicilio 1. Con posterioridad, se publicó un Anuncio del inicio del procedimiento sancionador, en el Tablón de Edictos del Ayuntamiento de ***LOCALIDAD.1, que a mayor abundamiento, el recurrente es funcionario municipal precisamente de esa corporación local, y finalmente se publicó en el BOE. De lo expuesto se deduce que se cumplió escrupulosamente con lo dispuesto la hoy derogada LRJPAC. Sin embargo el recurrente aduce la vulneración del art. 59.2 de la citada norma, en concreto del segundo párrafo del apartado 2, que dispone lo siguiente: Cuando la notificación se practique en el domicilio del interesado, de no hallarse presente éste en el momento de entregarse la notificación podrá hacerse cargo de la misma cualquier persona que se encuentre en el domicilio y haga constar su identidad. Si nadie pudiera hacerse cargo de la notificación, se hará constar esta circunstancia en el expediente, junto con el día y la hora en que se intentó la notificación, intento que se repetirá por una sola vez y en una hora distinta dentro de los tres días siguientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/20 En apoyo a sus alegaciones, el recurrente invoca la doctrina jurisprudencial relativa a la interpretación del art. 59.2 LRJPAC, en STS 28/10/2014, sorprendiendo dicha cita con la finalidad que se pretende, pues precisamente, dicha doctrina del Tribunal Supremo no hace otra cosa que avalar la actuación de esta Agencia, pues los intentos se producen con una diferencia de al menos una hora entre el primero y el segundo –tanto es así, que se producen en fecha distintaSi el primer intento se ha producido en fecha de 17/06/2013 a las 13:00 horas, de acuerdo con la citada doctrina, el siguiente intento se podría realizar como mínimo, ese mismo día a las 14:01 horas, y como máximo dentro de los tres días siguientes al primer intento. En el presente caso, se producen los intentos no sólo en hora distinta, uno a las 13.00h y otro a las 12.30 horas, sino que también se dan en días distintos, uno el día 17 y otro al día siguiente, el día 18, por lo que ni siquiera se hacía necesario acudir a la doctrina interpretativa del Alto Tribunal, que resulta especialmente clarificadora, cuando los intentos se producen en el mismo día, indicando el citado órgano que deberán producirse con al menos sesenta minutos entre uno y otro. Sentencia TS (Sala Tercera, Sección 5.ª) de 28 octubre 2004, fija la siguiente doctrina legal: «a efecto de dar cumplimiento al artículo 59.2 de la Ley 30/1992, de 26 de noviembre, reformada por la Ley 4/1999, de 13 de enero, la expresión "en una hora distinta" determina la validez de cualquier notificación que guarde una diferencia de al menos sesenta minutos a la hora en que se practicó el primer intento de notificación» («B.O.E.» 27 diciembre 2004). TS, Sala Tercera, de lo Contencioso-administrativo, Sección 5ª, S, 28 Oct. 2004 (Rec. 70/2003) Sentencia TS Sala 3.ª 28 Oct. (fijación de doctrina legal con respecto al art. 59.2 de L 30/1992 de 26 Nov., reformada por L 4/1999 de 13 Ene.) Por lo expuesto, y a los efectos de validar la notificación practicada en el domicilio 1, en cuanto a al número de intentos y cuando se han producido, debe indicarse que se cumplió la previsión legal y jurisprudencial al respecto. Por otro lado, en cuanto a la validez en sí mismo del domicilio 1, debe indicarse que el Acuerdo de Suspensión del procedimiento de fecha 26/06/2013, fue notificado sin incidencia alguna en dicho domicilio 1, es decir, en fecha posterior a los intentos de notificación relativos al Acuerdo de Inicio en el mismo domicilio – cuyo aviso en el buzón de correos no paso a retirar el recurrente por la correspondiente oficina de Correos – y que no es modificado o sustituido por el domicilio 2, hasta el escrito de 3/03/2014, por lo que la adecuación a la legalidad debe ser plenamente confirmada. En relación con la publicación en el anuncio del BOE de fecha 20/06/2013, debe señalarse que se indicaba que Los denunciados y denunciantes, o sus representantes podrán solicitar, acreditando su identidad, una copia de la Resolución correspondiente, compareciendo de lunes a viernes de 9:00 a 15:00 en el Servicio de Atención al Ciudadano de la sede de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/20 calle Jorge Juan, 6 28001 Madrid, o contactando a través de https://sedeagpd.gob.es/sede-electronica-web/, en el plazo máximo de 7 días hábiles, contados desde el día siguiente al de la publicación del presente anuncio. Si transcurrido dicho plazo no se hubiera comparecido la notificación se entenderá producida a todos los efectos legales desde el día siguiente al del vencimiento del plazo señalado para comparecer. En este caso el plazo indicado venció sin que el recurrente realizara acción alguna, es decir, pudo acceder en ese momento al procedimiento, conocer la identidad del instructor, ejercer su derecho a la formulación de alegaciones – como posteriormente hizo- y proponer las pruebas que estimara pertinentes y aportar la documentación que entendiera en defensa de sus argumentos, todo ello de acuerdo el art. 16 del R.D. 1389/1993 de 4 de agosto. Por ello la situación de hipotética indefensión que más adelante se analiza por no cumplirse en el momento del inicio del procedimiento las previsiones del art. 16 RD 1389/1993, tienen causa en la inacción del propio recurrente –ni recoger el aviso en la oficina de correos, ni solicitar a la Agencia copia del citado acuerdo en el plazo otorgado en el anuncio del BOE -, resultando especialmente clarificador el principio general del derecho nemo auditur propriam turpitudinem allegans ,- entendido como (…)nadie puede alegar a su favor su propia torpeza o culpa(…), o entendido como (…)nadie puede aprovecharse de su propio dolo o torpeza e ilicitud para accionar en el fuero jurisdiccional (…)- y por tanto, su petición de nulidad por dicho motivo debe ser desestimada. En relación con la prescripción de la infracción de acuerdo con el art. 47 LOPD, debe indicarse que la infracción imputada se produce desde la fecha de 31/05/2012 hasta el 4/06/2012, por lo que siendo una infracción grave, el plazo de prescripción se establece en dos años de acuerdo con el art. 47 de la LOPD, iniciándose su computo en fecha de 5/06/2012 y finalizando en fecha de 4/06/2014. Por su parte, dispone el citado artículo en su apartado 3, indica lo siguiente (…) Interrumpirá la prescripción la iniciación, con conocimiento de interesado, del procedimiento sancionador (…) Así las cosas, la infracción estaría prescrita si en fecha de 4/06/2014 el procedimiento no se hubiera iniciado, sin conocimiento del presunto infractor. Lo que obviamente, no se ha dado en el presente caso, pues sin perjuicio de la notificación practicada en los términos del art. 59.2 LRJPAC realizada por esta Agencia, así como la notificación completa del acuerdo de suspensión en el domicilio 1, debe indicarse que es el propio recurrente, quien en fecha de 3/3/2014 formula alegaciones (designando en ese momento a efectos de notificaciones el domicilio 2), de lo que se deriva necesariamente su conocimiento del inicio del procedimiento, circunstancia que se produce, antes de que venciera el plazo de prescripción de dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/20 años, es decir, antes de la fecha de 4/06/2014, el recurrente formula alegaciones derivándose necesariamente de dicha circunstancia, el conocimiento del inicio del procedimiento. En definitiva, ni se ha vulnerado el derecho de defensa en relación con el conocimiento del inicio del procedimiento sancionador y el ejercicio de los derechos inherentes a su condición, ni la notificación ha sido practicada sin observar los preceptos legales citados y la jurisprudencia, y tampoco se hallaría prescrita la infracción en virtud de la cual se impuso la sanción que hoy se recurre. IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por H.H.H. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de diciembre de 2017, en el procedimiento sancionador PS/00318/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad H.H.H.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/20 previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es