1/4 Procedimiento nº.: PS/00407/2017 ASUNTO: Recurso de Reposición Nº RR/00962/2017 Examinado el recurso de reposición interpuesto por la entidad A.A.A.. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00407/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 4 de diciembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00407/2017, en virtud de la cual se imponía a A.A.A.., una sanción de 40.001 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como GRAVE en el artículo 44.3 c), de conformidad con lo establecido en el artículo 45.3 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 13/12/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00407/2017, quedó constancia de los siguientes hechos probados: A.A.A.. solicitó la inscripción de los datos de la denunciante en el fichero BADEXCUG el 03/05/2015 por dos deudas por importes de 292,17€ y 36€ La entidad representante en España de A.A.A.., acredita mediante albarán de entrega de correos de fecha 13 de octubre de 2014, que a través de la entidad CORREO HIBRIDO S.A. (NEXEA), mediante carta de 6 de octubre de 2014, que remite la entidad denunciada a la denunciante a la dirección Av. Torres 96, 3º E Esc-2, 50.008 ZARAGOZA, informa a la denunciante de la cesión a la empresa denunciada, de dos operaciones de financiación de la denunciante suscritas con BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA Y SORIA S.A. y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito y que en el caso de que ya estuvieran incluidos por la entidad bancaria, permanecerían con el nuevo acreedor (cesionario). Respecto al control de devoluciones de las cartas remitidas, la entidad representante en España de A.A.A.., se limita a manifestar que una vez enviado el escrito por la empresa gestora de envío de sus comunicaciones, se recibe confirmación, y en el caso de que la carta no hubiera sido recepcionada por el destinatario, se les devolvería y procederían a identificarla con un lector de código de barras. A partir de ese punto se gestionan las devoluciones internamente, marcando la dirección de la carta devuelta como errónea. En este caso concreto, la entidad representante en España de A.A.A.., manifiesta que no les consta que la carta haya sido devuelta, aunque no pueden constatarlo o acreditarlo documentalmente y pese a ello se ha solicitado la inclusión de los datos de la denunciante en el fichero BADEXCUG. TERCERO: A.A.A.. (en lo sucesivo el recurrente) ha presentado en fecha 21/12/2017, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en que la incompetencia material y territorial de la Agencia Española de Protección de Datos, ya que no realiza ningún tratamiento de datos en territorio español. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho IV de la Resolución recurrida, tal como se transcribe a continuación: “En fase de instrucción se procede a examinar la documentación presentada y analizar las pruebas documentales aportadas, concluyendo que A.A.A.., ha incluido los datos de la denunciante en los ficheros de solvencia patrimonial ASNEF y BADEXCUG, pese a no poder constatar la recepción de la carta de 6 de octubre de 2014 enviada por A.A.A.., a la denunciante, a la dirección Av. Torres 96, 3º E Esc-2, 50.008 ZARAGOZA, comunicándole la cesión a la empresa denunciada, de dos operaciones de financiación de la denunciante suscritas con BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA Y SORIA S.A. y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito y que en el caso de que ya estuvieran incluidos por la entidad bancaria, permanecerían con el nuevo acreedor (cesionario). “ III Respecto a las alegaciones presentadas por A.A.A.., sobre la presunta incompetencia material y territorial de la Agencia Española de Protección de Datos, esta Agencia considera oportuno señalar lo siguiente: El artículo 4, apartado 1, letra a), de la Directiva 95/46 dispone cuanto sigue: “1.Los Estados miembros aplicarán las disposiciones nacionales que (hayan) aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
- a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable.” En el presente caso A.A.A.., es una sociedad con domicilio fiscal en Luxemburgo, aunque todas las notificaciones dirigidas por esta Agencia a A.A.A.., durante la tramitación del expediente se dirigieron a la dirección española de su representante en España (HIPOGES IBERIA S.L.) sita en la calle Manuel Cortina nº 2, 10º Planta, 28010 Madrid. A tal efecto la sentencia STJUE de 1 de octubre (asunto Weltimo) fija el criterio de suficiencia de un representante en el Estado para atribuir competencia a la autoridad correspondiente. Weltimmo, sociedad constituida en Eslovaquia, gestiona un sitio de Internet de anuncios de inmuebles en Hungría. En dicho contexto, trata los datos personales de los anunciantes. Los anuncios son gratuitos durante un mes, transcurrido el cual, el servicio pasa a ser de pago. Numerosos anunciantes solicitaron, por correo electrónico, la retirada de sus anuncios a partir de dicho plazo así como la supresión de sus datos personales. Sin embargo, Weltimmo no los suprimió y facturó sus servicios a los interesados. Ante el impago de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 facturas, dicha sociedad transmitió los datos personales de los denunciantes en cuestión a empresas de cobro de impagados. Los referidos anunciantes presentaron denuncias ante la autoridad húngara de control. Weltimmo acudió al tribunal contencioso-administrativo y de lo social de Budapest, el cual consideró que el hecho de que esta sociedad no dispusiera de domicilio social o de establecimiento en Hungría no constituía un argumento de defensa válido, puesto que tanto la prestación de los datos relativos a los inmuebles húngaros de que se trata como el tratamiento de dichos datos se habían realizado en Hungría. Weltimmo recurrió en casación ante el órgano jurisdiccional remitente alegando que no era necesario un mayor esclarecimiento de los hechos, ya que en virtud del artículo 4, apartado 1, letra
- a)de la Directiva 95/46, la autoridad húngara de control, en el presente caso, carecía de competencia y no podía aplicar el Derecho húngaro a un prestador de servicio establecido en otro Estado miembro. Weltimmo sostuvo que, con arreglo al artículo 28, apartado 6, de la Directiva 95/46, dicha autoridad debió haber instado a la autoridad eslovaca competente en la materia a que actuara en su lugar. Sin embargo la sentencia STJUE de 1 de octubre, consideró que el objetivo perseguido por la Directiva 95/46, consistía en garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, concretamente el derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, la expresión “en el marco de las actividades de un establecimiento” no puede ser objeto de interpretación restrictiva (véase en este sentido la sentencia Google Spain). A fin de alcanzar este objetivo y evitar que una persona sea excluida de la protección garantizada por la citada Directiva, en el considerando 18 de la Directiva 95/46, se manifiesta que es necesario que todo tratamiento de datos personales efectuado en la Unión Europea respete la legislación de uno de sus Estados miembros y que resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe baja la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de este Estado. Así pues, se desprende que el legislador de la Unión estableció un ámbito de aplicación territorial de la Directiva 95/46, particularmente extenso, que debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aún mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, se tiene en cuenta la actividad del responsable de dicho tratamiento, y por otro lado, que ese responsable dispone de un representante en el referido Estado miembro, que se encarga de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. Así las cosas, en el presente caso, aunque A.A.A.., sea una sociedad con domicilio fiscal en Luxemburgo, al constatarse la existencia de un establecimiento estable y con poderes efectivos y reales para el tratamiento de los datos de A.A.A.., -HIPOGES IBERIA S.L., sito en Madrid-, y acreditarse que es el responsable de representar a A.A.A.., en los procedimientos administrativos, como en todas las actuaciones administrativas llevadas a cabo en el presente procedimiento, y judiciales relativos al tratamiento de datos, se considera, según la interpretación que la sentencia STJUE de 1 de octubre (asunto Weltimmo), realiza sobre el artículo 4, apartado 1, letra
- a)de la Directiva 95/46, la Agencia Española de Protección de Datos, resulta ser competente en el presente caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de diciembre de 2017, en el procedimiento sancionador PS/00407/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. con domicilio postal 20, RUE DE LA POSTEL-2346 LUXEMBOURG, y a HIPOGES IBERIA S.L., con CIF-B85610228 como representante en España de A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES93 2100 8981 6302 0001 1719, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es