REPOSICION-PS-00318-2017

1/18 Procedimiento nº.: PS/00318/2017 ASUNTO: Recurso de Reposición Nº RR/00100/2018 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES, S.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00318/2017, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 16 de enero de 2018 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00318/2017, en virtud de la cual se impusieron a XFERA MÓVILES, S.A., sendas sanciones de 36.000 euros cada una por vulneración de lo dispuesto en los artículos 6.1 y 4.3, en relación con el 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en relación, asimismo, con el artículo 38.1.

1. a)del Reglamento de desarrollo de la LOPD, infracciones tipificadas como graves en los artículos 44.3.
2. b)y 44.3.
3. c)de la LOPD, respectivamente, de conformidad con lo establecido en los artículos 45.2 , 45.5 y 45.1 de la citada Ley Orgánica. Dicha resolución, que fue notificada a la recurrente en fecha 18 de enero de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00318/2018, se dejó constancia en la resolución impugnada de los siguientes: <<PRIMERO: B.B.B., con DNI D.D.D., denuncia a YOIGO, entidad de la que nunca ha sido cliente, por incluir sus datos personales en el fichero de solvencia patrimonial BADEXCUG vinculados a una deuda que no le pertenece (folio 1) SEGUNDO: La documentación que obra en el expediente remitida por YOIGO acredita los siguientes extremos: - En los ficheros de esa operadora se encuentran registrados los datos personales de la denunciante ( B.B.B., NIF D.D.D.), como titular de la línea de móvil C.C.C.. - La línea fue activada el 02/05/2012 y se dio de baja por impago el 05/10/2012. - Como domicilio asociado figura uno en la localidad de A.A.A.. - Como forma de pago, consta en los registros de la entidad la domiciliación bancaria y una cuenta en la entidad financiera con código 0182. - Constan emitidas a nombre de la denunciante y a la dirección de A.A.A., cinco facturas: de 01/06/2012, por un importe de 50,59 euros; de 01/07/2012, por importe de 79,90 euros; de 01/8/2012 de 79,90 euros; de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 01/09/2012, por 81,55 euros y de 01/10/2012 por 81,55 euros. (Folios 16 a 25) TERCERO: YOIGO ha manifestado que la línea internet, página web ***WEB.1 . C.C.C. se contrató a través de La denunciada expone que el protocolo de alta de las líneas de telefonía a través de su página web se integra, en síntesis, por las siguientes fases o etapas: a. El cliente accede al servidor de la tienda on line y consulta las ofertas de teléfonos y características, formas de pago y condiciones de venta. b. El cliente decide qué terminal desea y si opta por la modalidad de contrato o tarjeta (prepago). c. Se le requieren sus datos personales: nombre, apellidos, documento de identidad o equivalente, dirección postal, teléfono de contacto, dirección electrónica. d. Se informa de las condiciones aplicables a la contratación. e. Se ofrece un resumen del pedido para que confirme los datos y en caso de que el pedido conlleve un coste se solicita al contratante que decida la forma de pago, tarjeta de crédito o contra reembolso. f. Se muestra la confirmación de su compra con el número de pedido y los datos principales. Se le remite a su dirección electrónica un correo con la confirmación de la compra. g. Transcurridos unos días, se contacta con el cliente por teléfono para establecer la cita de entrega del pedido. h. La entrega del pedido, junto con las condiciones generales del contrato en soporte papel se realiza bien por Correos y Telégrafos bien por SEUR, que solicitan que el receptor firme el albarán de entrega, previa exhibición del DNI o documento equivalente. CUARTO: YOIGO no ha aportado, pese a que le fue requerido, ni la copia del contrato (manifestó que no se había podido localizar); ni grabación de la llamada que según el protocolo debió de haberse realizado; ni el albarán de recepción por el destinatario; ni tampoco la dirección IP desde la que se habría efectuado la contratación on line. QUINTO: La denunciante interpuso denuncia en la Comisaría de Policía el 21/06/2016 en la que manifestó que al intentar financiar el vehículo adquirido le comunican que está incluida en “un archivo de morosos de ASNEF”. Que puesto que desconocía ese extremo pidió información al citado fichero que le comunica que existe una deuda a su nombre de 766,02 euros habiendo sido ordenada la inclusión por YOIGO. Que en YOIGO le informan de que alguien se ha hecho pasar por ella y le instan a que interponga la pertinente denuncia en la Policía. Que la compañía le informa que la deuda procede de un terminal móvil. Que en la información recibida de ASNEF figura un domicilio en A.A.A. que es el mismo al que YOIGO envió el terminal móvil. Que no es ni ha sido cliente de YOIGO. Que no ha extraviado ni le han sustraído el DNI ni ha facilitado sus datos a terceros. (Folios 4 y 6) SEXTO: EXPERIAN BUREAU DE CRÉDITO, S.A., (EXPERIAN), responsable del fichero de solvencia BADEXCUG, ha aportado documentación de la que se desprende C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 que YOIGO comunicó a ese fichero una incidencia con fecha de alta 12/08/2012, número de operación ***OP.1, vinculada al nombre, apellidos y NIF de la denunciante. El saldo impagado era de 210,39 euros en la fecha de alta. La incidencia se dio de baja el 03/07/2016, siendo en esa fecha la deuda pendiente de 766,02 euros, importe al que ascendió en fecha 09/12/2012. Como domicilio asociado a la deudora YOIGO le facilitó el mismo que consta en sus ficheros, sito en la localidad de A.A.A.. (Folios 117 a 119 y 123 a 129) SÉPTIMO: La denunciante ejerció ante EXPERIAN el derecho de acceso a sus datos en fecha 27/05/2016. EXPERIAN respondió al acceso en escrito de fecha 14/06/2016. Le comunica que asociado a su NIF, nombre y dos apellidos existe una deuda de 766,02 euros, informada por YOIGO, con fecha de alta 12/08/2012. Como fecha del primer impago consta el 05/06/2012. (Folios 130 a 134) OCTAVO: YOIGO procedió a dar de baja los datos de la afectada de BADEXCUG el 03/07/2016, poco tiempo después de recibir, en fecha 22/06/2016, un email de la denunciante con el que aportaba copia de la denuncia presentada en la Policía por suplantación de identidad en la contratación.>> TERCERO: XFERA MÓVILES, S.A., (en lo sucesivo la recurrente o XFERA) ha presentado en fecha 18 de febrero de 2018 en esta Agencia Española de Protección de Datos recurso de reposición, en el que solicita “declarar la nulidad de la Resolución, revocando la misma, así como la inexistencia de responsabilidad, y, por tanto, la inexistencia de comisión de infracción administrativa alguna…” y, con carácter subsidiario, la imposición de sanciones por infracción leve en su grado mínimo y, subsidiariamente respecto a la anterior pretensión, la imposición de sanciones por infracción leve en su grado medio. Aduce en defensa de su pretensión los siguientes argumentos: 1. Con carácter previo reitera las alegaciones hechas al acuerdo de inicio y a la propuesta de resolución, que se dan por reproducidas íntegramente. 2. Alega que no ha quedado probada su falta de diligencia, lo que implica que no concurre culpabilidad alguna imputable a ella. Sobre esa cuestión aduce que la AEPD ha decidido sancionar a esa entidad “única y exclusivamente” porque “no ha quedado probado que hubiera obrado diligentemente en el cumplimiento de la obligación impuesta por la LOPD”. Tal afirmación le lleva a invocar el principio de presunción de inocencia que recoge la C.E. en su artículo 24.2 y el artículo 53.2
4. b)de la Ley 40/2015 que habría sido vulnerado pues estima que en modo alguno ha quedado demostrada la falta de diligencia de XFERA. Insiste la recurrente en que se ha tenido en cuenta que no ha sido capaz de aportar la copia del contrato que se realizó a través de la página web el 02/05/2012; la copia del albarán de entrega del terminal adquirido y la información de la dirección IP desde la que se produjo, sin tomar en consideración que la contratación se efectuó hace más de seis años por lo que, dado el tiempo transcurrido, no puede calificarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 de falta de diligencia el hecho de que no aportara tal documentación. Afirma que, a tenor de las pruebas practicadas y la documentación obrante en el expediente, es más que probable que se suplantase la identidad del denunciante por un tercero y de que XFERA sí tenía implementadas las medidas necesarias para comprobar su identidad ya que no existe ninguna prueba que nos indique lo contrario. En apoyo de su alegato cita la SAN de 26/04/2002 (Rec. 895/2009) y la STS de 21/12/1998 En definitiva, sostiene que no puede atribuirse a XFERA la comisión de una infracción del artículo 6.1 LOPD “toda vez que no ha quedado demostrado que no haya empleado una diligencia razonable a la hora de tratar de identificar a la persona que contrató con ella a través de su página web el pasado 02/05/2012”, lo que dice, priva a su conducta de la culpabilidad necesaria para exigir responsabilidad administrativa. Idéntico razonamiento se aplica respecto a la vulneración del artículo 4.3 LOPD pues, dice, tampoco aquí concurre el grado de culpabilidad necesario para exigir responsabilidad administrativa. 3. Con carácter subsidiario, para el caso de que se rechace su pretensión de anulación de la resolución sancionadora dictada, solicita que se gradúe la sanción a imponer conforme a los siguientes criterios que se apartan del criterio seguido en la resolución impugnada: Que se aprecien como atenuantes las circunstancias de los apartados b, f, e, y g, del artículo 45.4 LOPD y que se valoren también como tales las descritas en los apartados c, y d del artículo 45.4 LOPD que la AEPD ha calificado como agravantes. A tal efecto, hace estas reflexiones: - - - C/ Jorge Juan, 6 28001 – Madrid Estima que ha de apreciarse como atenuante el apartado
5. i)del artículo 45.4 LOPD, pues el tratamiento efectuado ha versado exclusivamente sobre los datos de una única persona. Discrepa de la resolución impugnada en la que se apreció como agravante el artículo 45.4,
6. c)Discrepa de la estimación como agravante de la circunstancia descrita en el artículo 45.4 d), pues dice “es indudable que el volumen de negocio de YOIGO es muy pequeño respecto al resto de compañías competidoras” Rechaza también la consideración como agravante que hace la resolución del apartado
7. e)del artículo 45.4, los beneficios obtenidos como consecuencia de la comisión de la infracción, pues, dice, los hechos denunciados no le han reportado beneficios sino perjuicios económicos. Sobre la agravante del grado de intencionalidad (apartado f, del artículo 45.4 LOPD) reitera lo expuesto anteriormente y afirma que la “Agencia aplica en el presente caso el principio de “presunción de culpabilidad, al establecer que YOIGO “no ha podido acreditar que tuviera adoptado un protocolo para la validación de la identidad de los clientes en el marco de la contratación on line” Respecto a la atenuante de reincidencia, que fue solicitada por la entidad y que la AEPD desestimó, la recurrente muestra su oposición a la interpretación de la AEPD que “sin motivación ni fundamento alguno” ha sostenido que esta circunstancia sólo puede concurrir en calidad de agravante. www.agpd.es sedeagpd.gob.es 5/18 4. Invoca finalmente el principio de proporcionalidad de la sanción (artículo 29 de la Ley 40/2015) y la interpretación que hace la STS de 12/04/2012, (Rec5149/2009) FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II 1.- La recurrente inicia su exposición dando por reproducidas las alegaciones que presentó al acuerdo de inicio del expediente sancionador y a la propuesta de resolución. Tales alegaciones fueron analizadas y desestimadas en los Fundamentos de Derecho I a IV, ambos inclusive, de la Resolución recurrida, que se transcriben a continuación: << I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular (…)” El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
9. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Por otra parte, indicar que el artículo 43.1 del RLOPD establece que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. III Se atribuye a YOIGO en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales de la denunciante vinculados a la contratación a su nombre y sin su consentimiento de una línea de móvil ( C.C.C.) y en la posterior inclusión en ficheros de morosidad de sus datos personales asociados a la deuda generada por el referido contrato, a la que la denunciante era ajena, por lo que respecto a ella la deuda informada al fichero de solvencia BADEXCUG no era cierta, ni vencida ni exigible. A. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones 1. Con carácter preliminar hemos de referirnos a la pretendida prescripción de la infracción del artículo 6.1 LOPD de la que se responsabiliza a YOIGO. La entidad considera que tal infracción se encuentra prescrita por el transcurso del plazo fijado por el artículo 47 de la LOPD y a tal fin considera que el término inicial del plazo de prescripción coincide con la fecha en la que el contrato se dio de baja, lo que aconteció el 05/10/2012. Sin embargo, esta pretensión ha de ser rechazada. La Audiencia Nacional, Sala de lo Contencioso administrativo, se ha pronunciado reiteradamente en supuestos como el que aquí acontece advirtiendo que el cómputo del plazo de prescripción de esta infracción -infracción grave, ex artículo 44.3.b, LOPD, por lo que el plazo de prescripción es de dos años, ex artículo 47.1 LOPD- comienza cuando la entidad infractora da de baja los datos del afectado de su fichero. Y en defecto de pruebas que acrediten hasta qué fecha la responsable continuó tratando los datos personales de terceros, tratamiento para el que carecía de legitimación, se toma como fecha en la que el tratamiento finaliza –pues no existe ninguna duda de que hasta ese momento se trataron los datos del afectado- aquella en la que se cancela la incidencia informada al fichero de solvencia Esto es así porque la particular mecánica de funcionamiento de los ficheros de solvencia exige, para que los datos de un tercero se mantengan incluidos en un fichero de esa naturaleza, que la entidad informante confirme periódicamente la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 inclusión. De tal modo que no es factible que la entidad informante mantenga una incidencia asociada al denunciante en el fichero BADEXCUG hasta el 03/07/2016 si los datos del afectado no son objeto de tratamiento en sus propios ficheros hasta esa fecha al menos. Nos remitimos a una antigua SAN de 25/10/2002 en cuyo Fundamento de Derecho Tercero indica: “Ahora bien, la infracción cometida es tratar el dato personal (no inscribirlo o anotarlo) sin consentimiento del interesado y por lo tanto la situación de infracción permanece mientras que la empresa trate el dato sin consentimiento. Existiendo constancia, como sostiene la AEPD de que el dato fue tratado en diciembre de 1998 cuando se realizó el último envió -no habiendo transcurrido los dos años- y permaneciendo la anotación y tratamiento del dato cuando se giró la visita de inspección. Así lo hemos entendido, entre otras en las SAN (1ª) de 16 de marzo de 2001 (Rec 882/1999) y 21 de septiembre de 2001 (Rec 95/200). En esta última razonamos que: "en el ámbito administrativo sancionador, existen las denominadas "infracciones permanentes" -STS de 7 de abril de 1989 y 23 de enero de 1990-, las cuales se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo; lo que implica que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción “ ( El subrayado es de la AEPD) 2. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Ha quedado acreditado por los documentos que obran en el expediente que los datos personales de la denunciante, nombre, dos apellidos y NIF (no así su dirección postal) se incorporaron a los registros informáticos de YOIGO vinculados a la contratación de una línea de móvil que fue activada el 02/05/2012 y que se dio de baja por impago de facturas el 05/10/2012. Paralelamente, la denunciante ha negado tanto en el escrito de denuncia presentado en la AEPD como en la denuncia interpuesta en la Comisaría de Policía, que haya sido en algún momento cliente de YOIGO. 3. YOIGO ha declarado que la contratación de la línea de móvil, de la que deriva la deuda que se atribuye a la denunciante, se efectuó vía on line, a través de la página web ***WEB.1. Se le requirió por la Inspección de Datos para que aportara algún documento que hiciera prueba de la supuesta contratación y se solicitó explicación y documentación relativa al protocolo seguido con objeto de validar la identidad del cliente que facilita como suyos los datos personales. Sin embargo, YOIGO, en su respuesta no aportó ningún documento relativo a la contratación ni tampoco demostró C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 haber validado la identidad de la persona que contrató la línea controvertida. En particular, como se recoge en los hechos declarados probados, ni aportó copia del contrato, ni grabación de la llamada de confirmación que según el protocolo que dice tener implementado debería de haberse realizado, ni el albarán de recepción por el destinatario del terminal debidamente firmado por él, previa exhibición de un documento identificativo, ni tampoco la dirección IP desde la que se habría efectuado la contratación on line. En su respuesta al requerimiento de la Inspección de Datos detalló las fases que integran su protocolo de contratación on line, información que completó en el periodo de pruebas aportando impresiones de pantalla que coinciden en su contenido con el protocolo descrito. No obstante, pese a los requerimientos que la AEPD hizo a YOIGO esta entidad no ha llegado a aportar ningún elemento que permita afirma que el protocolo, del que sólo facilita su descripción, hubiera llegado a implementarse. Así pues, no existen elementos de juicio para afirmar que en la contratación on line YOIGO tiene incorporado un modus operandi de actuación que es ajustado a las exigencias que impone el cumplimiento diligente de la LOPD y norma reglamentaria de desarrollo. Además, el protocolo descrito, descripción que coincide con el contenido de las capturas de pantalla que aportó en fase de prueba, evidencia sólo qué datos ha de facilitar quien desea contratar con YOIGO. De acuerdo con dicho protocolo las únicas medidas que pudieran incidir en la validación de la identidad de la persona son la llamada de confirmación y su grabación y el albarán de entrega del terminal móvil y de la copia del contrato, que habrán de estar firmados por el receptor, previa exhibición del DNI o documento identificativo equivalente. Sin embargo, en el presente caso, la entidad denunciada, demostrando una grave falta de diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, no ha facilitado ni la grabación de la llamada, ni el albarán de entrega con la acreditación de haber exhibido el receptor un documento identificativo, ni siquiera la dirección IP desde la que se hizo la contratación on line. Recordemos que incumbe a quien trata los datos de un tercero la carga de acreditar que ha recabado el consentimiento inequívoco de su titular o, al menos, que han adoptado las medidas que exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6. Muy esclarecedora resulta en tal sentido la SAN de 29/04/2010, en la que el Tribunal, (Fundamento de Derecho SEXTO) señaló que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Trasladando las reflexiones precedentes a los hechos que nos ocupan, habida cuenta de que YOIGO trató los datos personales de la afectada vinculados a un contrato que ella niega haber celebrado, y toda vez que no ha quedado probado que hubiera obrado diligentemente en el cumplimiento de la obligación impuesta por la LOPD (ex artículo 6.1), se concluye que su actuación ha sido contraria al principio del consentimiento, infracción tipificada como grave en el artículo 44.3.
10. b)LOPD que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 dispone: “Son infracciones graves, (..) d)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a los dispuesto en esta Ley y sus disposiciones de desarrollo”. B. Por lo que concierne a la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, que se atribuye a YOIGO han de hacerse las siguientes reflexiones: 1. Las normas jurídicas reproducidas en el Fundamento de Derecho II ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero es el responsable de comprobar que tal inclusión se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. Muy reveladora es la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) 2. Constituye un hecho probado que YOIGO trató los datos personales de la denunciante (su nombre, apellidos y NIF) asociados a la contratación de una línea de móvil. Como se ha expuesto en el apartado precedente la denunciada no ha podido acreditar que la afectada hubiera otorgado el consentimiento a la contratación de dicho servicio. El tratamiento de sus datos vinculado a la contratación de la línea móvil determinó que la operadora, ante el impago de todas las facturas emitidas, le imputara una deuda que, respecto a la afectada , no era cierta, ni vencida ni exigible. YOIGO procedió a comunicar al fichero BADEXCUG una incidencia a nombre de la afectada con fecha de alta 12/08/2012. La anotación se dio de baja el 03/07/2016, de modo que los datos personales de la denunciante permanecieron incluidos en el fichero de solvencia patrimonial sin legitimación para ello durante tres años y diez meses YOIGO procedió a dar de baja los datos de la afectada de BADEXCUG el 03/07/2016, poco tiempo después de recibir, en fecha 22/06/2016, un email de la denunciante con el que aportaba copia de la denuncia presentada en la Policía por suplantación de identidad en la contratación, circunstancia que se ha tomado en consideración a efectos de graduar la sanción a imponer. En definitiva, los datos personales de la denunciante fueron incluidos por YOIGO en un fichero de solvencia patrimonial, BADEXCUG, vinculados a una deuda a la que ella era ajena; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada toda vez que la entidad informante, YOIGO, no ha podido acreditar su condición de deudora. Resulta por ello que la información que YOIGO comunicó a BADEXCUG no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
11. c)de la citada norma, que dispone: “Son infracciones graves, (..)
12. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo IV El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción.
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 comisión de la infracción.
26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate". Tanto en el acuerdo de inicio como en la propuesta de resolución se estimó la concurrencia de la atenuante cualificada del artículo 45.5.
28. b)– “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente” - que opera respecto a la infracción del artículo 6.1 LOPD y del artículo 4.3 LOPD. Su aplicación está justificada toda vez que la denunciada afirma que, recibida en fecha 22/06/2016 copia de la denuncia presentada en la Policía -extremo que queda acreditado por los documentos que la denunciante ha aportado a la AEPD-, procedió a dar de baja sus datos personales del fichero BADEXCUG y a anular la deuda que le atribuía, lo que aconteció en un breve plazo de tiempo, con ocasión del primer contacto de la persona afectada y antes de la intervención de la AEPD. El efecto jurídico derivado de la aplicación del artículo 45.5 LOPD es la imposición de la sanción conforme a la escala que precede en gravedad a la establecida para la infracción cometida (en este caso, infracciones graves) por lo que la sanción a imponer estará comprendida en la escala fijada para las leves por el artículo 45.1 LOPD: de 900 a 40.000 euros. En sus alegaciones al acuerdo de inicio del expediente sancionador YOIGO solicitó la aplicación del artículo 45.5.e, de la LOPD y a tal efecto aportó una copia de la Escritura Pública otorgada el 05/10/2016 de protocolización de acuerdos sociales y declaración de adquisición de unipersonalidad sobrevenida. Del tenor de la citada Escritura, parte dispositiva segunda, resultó que lo que había acontecido era una compra de la totalidad de las acciones que integraban el capital social de XFERA MÓVILES, S.A., por la mercantil MASMOVIL PHONE INTERNET, S.A. UNIPERSONAL. Se trataría, por tanto, de la compra de una entidad, una sociedad anónima como es YOIGO, pero no ante una fusión de sociedades en la que la sociedad infractora haya desaparecido por su fusión con la entidad absorbente. Así pues, como se indicó en la propuesta de resolución, no se da el presupuesto contemplado en el apartado e, del artículo 45.5 LOPD para aplicar el efecto jurídico previsto en ese precepto. Las alegaciones a la propuesta de resolución formuladas por YOIGO se han centrado en la determinación de las circunstancias que permiten graduar la sanción previstas en los artículos 45.5 y 45.4 LOPD. La entidad, como se expone en el Antecedente de Hecho séptimo de esta resolución, discrepa radicalmente del criterio seguido por la AEPD en la propuesta de resolución. Recordemos que en la propuesta de resolución se apreciaron como agravantes las circunstancias descritas en los apartados a, c, d, f y g del artículo 45.4 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 YOIGO considera que han de apreciarse como atenuantes las circunstancias del artículo 45.4, recogidas en los apartados h), e i). Respecto a la primera de ellas (apartado h, la naturaleza de los perjuicios causados a las personas interesadas o a terceras personas) se justifica, dice, porque no constan acreditados perjuicios. Se ha de precisar que si bien esta Agencia no consideró en la propuesta de resolución la concurrencia de tal circunstancia como agravante, lo cierto es que no existe ninguna justificación para admitir que opere como atenuante. La razón que conduce a tal conclusión es que son continuas las SSAN en las que este Tribunal ha entendido que la mera inclusión de un tercero en un fichero de solvencia sin cumplir las condiciones que fija la Ley entraña ya un perjuicio digno de consideración. Cabe citar la SAN de 28/04/2017 (Rec 1775/2015) en la que el Tribunal, en respuesta a la pretensión de la parte demandante de que se apreciara la atenuante de falta de daños al denunciante dice “Y por otra parte resulta difícil hablar de inexistencia de perjuicios a la denunciante, desde el momento en que se le facturan unos servicios y por una línea telefónica que no se había contratado, además de las denuncias que presentó ante la Policía y ante la Agencia de Protección de Datos”. En la misma línea, por todas, la SAN de 13/03/2015 (Rec 182/2013) Argumenta también en las alegaciones a la propuesta de resolución la entidad denunciada la presencia, en calidad de atenuante, de la circunstancia recogida en el apartado i del artículo 45.4 LOPD, la acreditación de que la entidad tenía implementado un protocolo y que los hechos acaecidos son el resultado de una anomalía en su normal funcionamiento. Como se ha expuesto en otros apartados de esta resolución, por lo que atañe a la contratación on line de líneas telefónicas (que es el supuesto que aquí se plantea) YOIGO no ha llegado a aportar ningún indicio o evidencia de que el protocolo que describe fuera una realidad y que como prevé el artículo 45.4.i, estemos ante una mera anomalía puntual en su aplicación. Por lo que respecta a las agravantes que la Agencia tomó en consideración en la propuesta de resolución la denunciada hace los siguientes comentarios críticos: ---Rechaza que se admita como agravante la descrita en el artículo 45.4 .c, LOPD, relativa a la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, afirmación que se justifica porque, dice, la fundamentación que la AEPD hace de ella la confunde y la equipara con la diligencia debida. En tal sentido hemos de indicar que el comentario que acompañaba a la transcripción de esta circunstancia de la LOPD tenía por objeto incidir en la especial relevancia que se otorga a la vulneración del derecho de protección de datos en el desarrollo de una actividad profesional. Esto, porque como es evidente, a diferencia de otras ramas de la actividad mercantil en las que su desenvolvimiento no lleva implícito un tratamiento de datos, la que desarrolla YOIGO presupone tratar datos de muy diversa índole: desde datos bancarios, hasta el domicilio, pasando por el NIF, nombre y apellidos del cliente. --- Sobre el volumen de negocio o actividad del infractor (apartado d), dice que la consideración recogida en la propuesta de resolución, conforme a la cual “XFERA tiene la condición de gran empresa del sector de telecomunicaciones”, sin explicar ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 motivar de modo alguno el comentario, conduce a rechazar su aplicación. Pues bien, esta agravante aparece descrita en el artículo 45.4 d, LOPD, como “volumen de negocio o actividad”. La referencia a una gran empresa del sector de telecomunicaciones no se hizo en la propuesta para destacar su posición frente a otras empresas de ese sector –que es lo que pretende desvirtuar el documento aportado por YOIGO- sino para advertir que su cifra de negocio no es pequeña. Lo que resulta evidente si tenemos en cuenta que su ámbito territorial de actuación es nacional y que según la documentación facilitada por la representación de YOIGO ésta era en el año 2015, por cuota de mercado, la cuarta empresa de sector en el que opera. ---La denunciada muestra también su discrepancia con la aplicación en calidad de agravante de la circunstancia descrita en el apartado
29. f)“El grado de intencionalidad”. Decir a este respecto, en primer término, que esta expresión se emplea en la Ley como equivalente a grado de culpabilidad, compresiva por tanto del dolo, de la culpa y de la culpa levísima. Por otra parte, en el presente caso, lo que se aprecia es una gravísima falta de diligencia de la denunciada. Pese a los requerimientos efectuados por la Inspección y las pruebas solicitadas en el periodo probatorio no ha podido acreditar que tuviera adoptado un protocolo para la validación de la identidad de los clientes en el marco de las contrataciones on line. De nada sirve aportar un documento en el que se hace referencia a alguna medida que podría incidir en la validación de la identidad del cliente -como la exigencia que los envíos de terminales se recojan exclusivamente por los destinatarios previa exhibición del DNI u otro documento identificativo análogo, o la llamada de confirmación a quien contrata on line una línea telefónica- si no se aportan documentos como la grabación de la llamada o el resguardo de la recepción de la mercancía por el destinatario. Así las cosas, no se tiene constancia de que el protocolo al que la denunciada alude se hubiera llegado a implementar. Y se aprecia, como se hizo en la propuesta de resolución, como agravante la circunstancia del apartado a, “El carácter continuado de la infracción” . Circunstancia que tiene especial relevancia en el supuesto que nos ocupa por el prolongado periodo de tiempo durante el cual los datos personales de la denunciante fueron objeto de tratamiento por YOIGO sin legitimación para ello: durante más de cuatro años, desde el 02/05/2012 (fecha de alta del contrato) hasta el 22/06/2016 (fecha en la que la entidad afirma haber cancelado los datos de sus ficheros). Igualmente, los datos de la denunciante se mantuvieron en el fichero de solvencia BADEXCUG incumpliendo los requisitos a los que el RLOPD supedita la legalidad de tal inclusión durante casi cuatro años: desde el 12/08/2012 hasta el 22/06/2016. Dicho lo anterior, la AEPD sí reconoce que no procede aplicar la agravante de reincidencia (apartado g, del artículo 45.4) que se tomó en consideración en la propuesta de resolución. Lo que evidentemente no puede conducir a calificarla como atenuante pues esta circunstancia si está presente lo es exclusivamente en calidad de agravante. A la vista de la exposición precedente, habida cuenta de que se estima aplicable la atenuante cualificada del artículo 45.5.
30. b)LOPD, y tomando en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 consideración las agravantes que concurren (apartados a, c, d y f), algunas de ellas muy cualificadas, como las descritas en los apartados a, y f –relativas al grado de culpabilidad y al carácter continuado de la infracción- y toda vez que no resulta de aplicación la agravante de reincidencia, cuya presencia se apreció en la propuesta de resolución, se acuerda imponer a XFERA MÓVILES, S.A., por la infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la LOPD y en relación con el artículo 38.1.
31. a)del RLOPD, tipificadas respectivamente en los artículos 44.3.
32. b)y 44.3.
33. c)LOPD, una sanción de 36.000 euros (treinta y seis mil euros) por cada una de las infracciones de las que es responsable.>> 2.La recurrente afirma en defensa de su pretensión de revocación de la resolución dictada en el PS/00318/2017, que está ausente en la conducta sancionada el elemento subjetivo de la culpabilidad, de modo que ninguna responsabilidad sancionadora puede exigirse. Argumenta en ese sentido que la Agencia ha decidido sancionarla “única y exclusivamente” porque “no ha quedado probado que hubiera obrado diligentemente en el cumplimiento de la obligación impuesta por la LOPD”. Tal afirmación le lleva a invocar el principio de presunción de inocencia que recoge la C.E. en su artículo 24.2 y el artículo 53.2
34. b)de la Ley 40/2015, pues, dice, que en modo alguno ha quedado demostrada su falta de diligencia. En respuesta a lo invocado de contrario es necesario subrayar un elemento esencial que XFERA ha decido ignorar: Que es a ella a quien incumbe la carga de probar el cumplimiento de la obligación impuesta por la normativa de protección de datos de carácter personal; por lo que aquí interesa, que recabó y obtuvo el consentimiento del titular para el tratamiento de sus datos personales. En el supuesto que nos ocupa la legitimación de XFERA para tratar los datos personales de la denunciante derivaba, supuestamente, de un contrato celebrado entre ambas (ex artículo 6.2 LOPD). Esto significa que la entidad recurrente debía de estar en condiciones de acreditar la existencia del contrato como medio de prueba de que el tratamiento de datos efectuado era ajustado a Derecho, pues en caso de discrepancia con el titular de los datos es a ella a quien le corresponde la carga de probar la existencia del consentimiento al tratamiento. Y es esta ausencia total de prueba de la legitimidad del tratamiento efectuado el exponente de su falta de diligencia. Muy esclarecedora resulta la Sentencia de la Audiencia Nacional de 31/05/2006 (Rec 539/2004) que dice en su Fundamento de Derecho cuarto: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Recordemos que en el asunto analizado XFERA afirma que la contratación se hizo vía on line y no ha aportado, pese a que se le solicitó en varias ocasiones, ni la copia del contrato, ni el albarán de recepción por el destinatario del terminal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 debidamente firmado por ella, previa exhibición de un documento identificativo, ni tampoco la dirección IP desde la que se habría efectuado la contratación on line. La recurrente argumenta también en su defensa que la AEPD no ha tomado en consideración que la contratación celebrada a nombre de la afectada de la que deriva la deuda que motivó la inclusión de sus datos personales en los ficheros de solvencia patrimonial data de varios años atrás, exactamente de mayo de 2012, por lo que, dado el tiempo transcurrido, no puede calificarse de falta de diligencia el hecho de no aportar tal documentación. Afirmación que, sin embargo, no es admisible a la luz de la normativa de protección de datos. Esto, porque el tratamiento que XFERA ha hecho de los datos de la denunciante si bien se inició en el año 2012 se ha mantenido hasta, al menos, junio de 2016 (el 22/06/2016 cancela la anotación en BADEXCUG). Así pues, estaba obligada a conservar en su poder la documentación que acreditara el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal. Es más, esa obligación se impone expresamente por el RLOPD para el supuesto de que el responsable del tratamiento proceda a comunicar los datos de terceros a un fichero de solvencia patrimonial, como en efecto ha ocurrido aquí. El artículo 38.3 del RLOPD dice que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. 3.La recurrente expresa su discrepancia con los criterios que la resolución sancionadora que impugna ha acogido para graduar la sanción. A su juicio deberían estimarse como circunstancias atenuantes la descritas en los apartados b, f, e, y g, del artículo 45.4 LOPD La recurrente discrepa del criterio de la AEPD que rechazó que la “reincidencia” (apartado g, del artículo 45.4 LOPD) pudiera operar como atenuante. Explica en su escrito de recurso que la Agencia ha hecho esta afirmación “sin motivación ni fundamento alguno”. Es evidente, sin embargo, que el tipo sancionador describe la comisión de una conducta típica y que la única incidencia relevante en la descripción típica es la reiteración de la conducta con las condiciones que las normas jurídicas exigen para integrar una circunstancia agravante de reincidencia. Así pues, no puede estimarse el argumento ofrecido de contrario. Sobre la circunstancia del artículo 45.4.
35. e)(“Los beneficios obtenidos como consecuencia de la comisión de la infracción”), aunque finalmente XFERA no obtuvo beneficios de la contratación realizada su finalidad al contratar –contratación que no cumplió las exigencias que le impone la normativa de protección de datos- era precisamente esa. El móvil de su conducta eran los beneficios que obtendría de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 contratación, sin perjuicio de que en contra de lo esperado, terminara resultando perjudicial para sus intereses. Algo que no habría sucedido de haber respetado las obligaciones que le imponen la LOPD y normas de desarrollo. Respecto a la agravante del grado de intencionalidad (apartado f, del artículo 45.4 LOPD) que tampoco comparte la recurrente, afirma que la “Agencia aplica en el presente caso el principio de “presunción de culpabilidad, al establecer que YOIGO “no ha podido acreditar que tuviera adoptado un protocolo para la validación de la identidad de los clientes en el marco de la contratación on line” Nos remitimos a lo ya indicado acerca de la carga de la prueba. La circunstancia del apartado
36. b), el volumen de tratamientos efectuados, no implica necesariamente que los datos tratados pertenezcan a varias personas . Hay volumen de tratamiento cuando son varios los datos objeto de tratamiento y por distintas entidades, como aquí acontece. 4.- . Invoca finalmente el principio de proporcionalidad de la sanción (artículo 29 de la Ley 40/2015) y la interpretación que hace la STS de 12/04/2012, (Rec5149/2009) A este respecto basta señalar que el artículo 45.5 LOPD es un exponente del principio de proporcionalidad de la sanción y que la resolución recurrida ha aplicado la citada disposición (apartado
37. b)tomando en consideración la reacción diligente desplegada por XFERA para poner fin a la situación irregular creada. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES, S.A., con NIF ***NIF.1, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16 de enero de 2018, en el procedimiento sancionador PS/00318/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES, S.A. . TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es