1/24 Procedimiento nº: PS/00413/2021 Recurso de reposición Nº: RR/00423/2022 Examinado el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00413/2021, y en base a los siguientes HECHO PRIMERO: Con fecha 08/06/2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00413/2021, en virtud de la cual se imponía a una sanción de 100.000 euros (cien mil euros), por la vulneración de lo dispuesto en el artículo 5.1.
(39)Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afecta-das y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento (el subrayado es de la AEPD). Examinada la documentación, se desprende que existen otros procedimientos de entrega de productos a través del cual puede verificarse la identidad de su destinatario, comprobando que es la persona a la que va dirigido, sin que sea necesario fotografiar su DNI por medio de la aplicación contenida en el móvil del repartidor de la empresa distribuidora y acreditar su entrega al responsable. El tratamiento de las imágenes del DNI resulta excesivo para la finalidad de verificar y determinar que el destinatario a quien se entrega la mercancía es la misma persona que aquella que celebró el contrato. El artículo 5.1.
- c)consagra el principio de minimización de datos y supone que el tratamiento de los datos personales debe ser ajustado y proporcional a la finalidad a la que se dirige, determinando claramente los fines para los que se recogen y tratan los datos, debiendo restringirse el tratamiento de aquellos que sean excesivos o bien procederse a la supresión de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 Asimismo, la pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida como en el posterior tratamiento que se realice de los mismos. Respecto a si el procedimiento adoptado por el reclamado resulta necesario para satisfacer dicha necesidad o si es esencial para responder a dicha necesidad, hay que señalar que la finalidad del mismo, como reiteradamente ha sostenido el reclamado obedece a que aporta una mayor seguridad de que el producto es efectivamente entregado a su destinatario, que es el mismo que suscribió el contrato, haciendo prueba de que la entrega se realiza a la persona que realmente contrató; aunque a ello hay que añadir la lucha contra el fraude en este tipo de productos y su aspecto económico pues no hay que olvidar que estas entregas en la denominada venta a distancia ha tenido y tiene una relación directa con actividades fraudulentas, lo que exige una diligencia razonable por parte de este tipo de empresas en el momento de la contratación implantando medidas adecuadas, verificando a través de la documentación pertinente la identidad de quien facilita los datos, para evitar estos comportamientos. En este sentido se pronuncia el Considerando 47 cuando señala que “El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate”. No obstante, el procedimiento empleado por parte del reclamado es relevante a la hora de valorar la injerencia en el derecho fundamental de protección de datos y la necesidad de lograr la finalidad perseguida. Hay que señalar que el RGPD limita el uso o tratamiento de los datos por la necesidad y no por el exceso de los mismos; es decir, los datos personales deberán ser los adecuados, los necesarios, pertinentes y limitados a la necesidad para la que fueron recabados. Ya con anterioridad la jurisprudencia Tribunal Constitucional ha establecido que, si el objetivo puede alcanzarse sin realizar un tratamiento de datos, los mismos no deberían ser tratados. Por otro lado, dicha limitación a lo necesario debe ser evaluada tanto desde un punto de vista cuantitativo (volumen de datos tratados) como cualitativo (categoría de datos tratados). En ese mismo sentido lo señala el Considerando 39 cuando señala que “…Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios…” 2. Alega la reclamada que los datos que se recabaron en el momento de la contratación del producto fueron el DNI y el nombre del interesado, que son los mismos datos que posteriormente son objeto de verificación en el momento de la entrega, que son los necesarios para cumplir la finalidad perseguida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 Sin embargo, tal alegación no puede ser aceptada, ya que el acceso a la imagen del DNI, fotografiando tanto del reverso como del anverso del mismo, y su tratamiento para la finalidad de la entrega de un producto a través del terminal móvil del repartidor de la empresa distribuidora, se considera excesivo y no limitado a lo necesario en relación con los fines para los que son tratados. Hay que señalar que el DNI contiene no solo el nombre y apellidos, su número y la fotografía del destinatario sino que incorpora otros muchos datos: firma, domicilio, lugar y fecha de nacimiento, clave de acceso a la información contenida en el mismo, fecha de expedición, fecha de validez, código alfanumérico, equipo expedidor y oficina, etc., datos completamente adicionales que no son ni adecuados ni pertinentes ni limitados para la finalidad de la entrega de la mercancía y que para acreditar que la persona que recoge el producto es el titular que facilitó los datos en el momento de la contratación se habrán de utilizar otros medios que resulten menos lesivos y agresivos para la privacidad de las personas. Lo anterior, con independencia de que la imagen del DNI, como manifiesta el reclamado no puede ser conservada por el repartidor y sea transmitida a través de canal cifrado al sistema de la empresa logística quedando guardada en su servidor interno, donde sólo un técnico de la misma destinado a su mantenimiento tiene acceso a dicho servidor y a través del módulo de consulta ERP del sistema informático, el reclamado puede acceder a la fotografía recogida. Por lo tanto, el tratamiento no se corresponde ni con lo indicado en el Considerando 39, ni en el artículo 5.1.
- c)que señalan que los datos deben ser “adecuados, pertinentes y limitados a lo necesario” para la finalidad perseguida. Esa diligencia que predica el reclamado ha de ser desplegada en el momento de la contratación adoptando las cautelas y garantías que fueran necesarias para identificar de manera univoca al contratante. Por tanto, si la contratación se hace correctamente no puede haber dificultad alguna para aportar la prueba de que el destinatario del producto es realmente el que celebró el contrato y a quien se hace la entrega del producto. 3. Alega la reclamada que la AEPD pretende calificar como constitutivo de infracción un tratamiento cuya ausencia ha sido previamente sancionada por la AEPD. Sin embargo, tal manifestación ni es aceptable ni es admisible; el reclamado debe exigir en el momento de la contratación del producto, la identificación del usuario, como por otra parte así ha sido establecido por las sentencias y en el procedimiento sancionador a las que alude en su escrito. Desde luego, nada tiene que ver con el asunto que no ocupa la referencia al Considerando 64 del RGPD a que hace referencia el reclamado, como aquellos otros subsiguientes referidos al derecho de acceso del interesado regulado en el artículo 15 del texto legal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 Es en el momento de la celebración del contrato donde el tratamiento del documento identificativo del interesado se estima necesario para que el reclamado pueda acreditar que aquella persona con la que contrata es quien realmente dice ser y, por lo tanto, lo que acreditaría un nivel de diligencia adecuado. Y este momento no hay que confundirlo con el de la entrega del producto a su destinatario trasladando aquella diligencia exigible para acreditar que la personalidad del contratante era la quien decía ser mediante la aportación de la documentación oportuna a un momento posterior, el de la entrega del producto a su destinatario. Así lo ha indicado la propia AEPD, en su resolución de 23/06/2020, en el PS/00452/2019, donde el afectado reclama el tratamiento de sus datos en la contratación de líneas telefónicas sin ninguna causa que legitime su tratamiento (artículo 6.1 del RGPD), al señalar: “La reclamada no ha aportado documento o elemento probatorio alguno que evidencie que la entidad, ante tal situación, hubiera desplegado la diligencia mínima exigible para verificar que efectivamente su interlocutora era la que afirmaba ostentar”. Y que posteriormente la Audiencia Nacional, en Sentencia de 05/05/2021, Rec. 437/2020 establecía que: “En cuanto a la contratación presencial de la línea 656586067 cabe reiterar, que si bien se aporta un contrato, el denunciante no ha reconocido como suya la firma obrante al mismo, haciendo constar la Y que falta de coincidencia con la que figura en su DNI, considerando la Sala que la diligencia exigible obligaba a contrastar a través de la documentación pertinente, la identidad de quien facilitaba los datos, mediante la exhibición original del documento identificativo y anexando una copia del mismo a la declaración de voluntad que quiere hacer valer, como así lo ha venido reiterando en supuestos similares”; indicando en el párrafo subsiguiente: Por tanto, a la vista de las circunstancias expuestas, no cabe apreciar que la operadora recurrente desplegase la diligencia debida para comprobar la identidad de la persona que asociaba en sus registros a las líneas telefónicas controvertidas, por lo que concurre el elemento subjetivo de la culpabilidad. Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento...". Y, en idéntico sentido, en su Sentencia de 08/03/2018, Rec 926/2016: “Considera por ello esta Sala, al igual que entiende la Administración, que la diligencia mínimamente exigible obligaba a TME a contrastar, a través de la documentación pertinente, la identidad de quien facilitaba los datos, mediante la exhibición del original del documento identificativo y anexando una copia del mismo a la declaración de voluntad que quiere hacer valer”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 La propia AEPD también se ha pronunciado, así mismo, en su resolución, de 23/06/2020, en el PS/00452/2019, donde el afectado reclama el tratamiento de sus da-tos en la contratación de líneas telefónicas sin ninguna causa que legitime su tratamiento (artículo 6.1 del RGPD): “La reclamada no ha aportado documento o elemento proba-torio alguno que evidencie que la entidad, ante tal situación, hubiera desplegado la diligencia mínima exigible para verificar que efectivamente su interlocutora era la que afirmaba ostentar”. Sin embargo, los casos aludidos no guardan relación de semejanza alguna con el que examinamos por mucho que la reclamada tenga interés en proponerlo, pues se trata de contrataciones fraudulentas, por infracción del principio de legitimación (artículo 6.1 del RGPD) en el primer caso y del principio de consentimiento (artículo 6.1 de la LOPD) en el segundo y que bien debe conocer la reclamada puesto en el procedimiento sancionador fue sancionada por la AEPD y fue parte recurrente en el contencioso que dio lugar a la primera de las sentencias, desestimatoria del recurso interpuesto y sancionada con 80.000 euros. Por tanto, el tratamiento de la imagen del DNI en el momento de entrega de un producto contratado a distancia no solo no se considera licito, sino que se considera inadecuado no pertinente ni limitado a lo necesario en relación con los fines para los que son tratados, pues no hay que olvidar que el DNI contiene datos que exceden y nada tiene que ver con la finalidad perseguida. La AEPD en el actual caso no solo no está en contradicción con las resoluciones dictadas, sino es conforme y acorde con la interpretación que ha venido haciendo la propia Audiencia Nacional en sus sentencias. Es por ello que la alegación de la reclamada reiterando que la AEPD le sancionaba por su falta de diligencia al no conservar prueba de la verificación de identidad del interesado y en la apertura del actual procedimiento en el que se culpabiliza por todo lo contrario, conservar prueba de la verificación de identidad del interesado, no es cierta ni puede ser aceptada al no tratase de resoluciones administrativas contradictorias entre si ni afectar a la seguridad jurídica, ni generar incertidumbre e indefensión. Por tanto, se considera que existe vulneración del principio de minimización de los datos siendo el reclamado responsable de la infracción del artículo 5.1.
- c)del RGPD, infracción tipificada en su artículo 83.5.a). 4. Finalmente invocaba el reclamado la vulneración del principio de proporcionalidad solicitando una minoración de la cuantía de la sanción reduciendo la misma. A este respecto hay que reseñar que teniendo en cuenta que se trata de una infracción calificada como muy grave y que de conformidad con el artículo 83 del RGPD puede ser sancionada, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. ya se aplica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 una importante minoración de la misma, además de tener en cuenta las circunstancias y criterios de valoración concurrentes en el mismo. La STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se ha vulnerado, considerándose proporcionada la sanción propuesta a la entidad por los hechos probados y una vez ponderadas las circunstancias y criterios que con-curren. Por lo demás, las circunstancias concretas que se han tenido en cuenta para la graduación de la cuantía de la sanción se detallan en el Fundamento VII de esta resolución. V El reclamado ha alegado su disconformidad con el contenido de los fundamentos vertidos en la Propuesta del procedimiento ratificándose en lo ya señalado en escritos anteriores. Alega que se pretende sancionar por desplegar un nivel de diligencia excesivo en la identificación de sus clientes al exigirse la copia del DNI, único documento que de conformidad con Ley Orgánica 4/2015, de 30 de marzo, de Protección de la Seguridad Ciudadana que permite acreditar la identidad y los datos personales de su titular. Es cierto que el artículo 8.1 de la LOPSC establece que el DNI “es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular” y que la comprobación por parte del reclamado de la identidad del interesado en el momento de la entrega del producto en su domicilio se considera licito tanto para ejecutar el objeto del contrato como puede ser la entrega del producto contratado y para prevenir la comisión de fraude. Sin embargo, lo que se pone en duda es que el método, protocolo, procedimiento o sistema llevado a cabo para ello no es el adecuado, fotografiar el anverso y reverso del DNI en el momento de la entrega, por ser excesivo inadecuado e intrusivo en la privacidad de las personas, a no ser que obedezca a otras razones como puede ser que en la contratación no se hubieran actuado con una diligencia razonable y no se hubiera solicitado los documentos correspondientes, ¿Qué necesidad tiene el reclamado de fotografiar dicho documento si ya se encuentra en su poder? También ha alegado que el tratamiento de las imágenes del DNI del interesado no solo se considera necesaria para acreditar que el producto ha sido entregado a la persona que figura como contratante, sino que este criterio ha sido recogido por la Agencia no solo en resoluciones puntuales y es, además, descrito por la Agencia en el ‘Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía de la AEPD’, donde la misma identifica el cumplimiento de la normativa en el sector y plantea mejoras para hacer efectivo ese deber de diligencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 En relación con el Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía de la AEPD’, establece específicamente en el apartado ‘Acreditación de la identidad del Contratante’ que con anterioridad a la contratación y por tanto en una cuestión que no es semejable a lo que es objeto del presente procedimiento como ya se ha señalado, figura que “En las tiendas de algunas operadoras de telefonía se puede entregar el terminal móvil adquirido a los clientes que hayan contratado por medios telefónicos o telemáticos, en cuyo caso se solicita la presentación de un documento oficial de identidad (DNI, NIE, pasaporte) y un documento bancario que acredite que la cuenta sobre la que se van a realizar cargos es titularidad del contratan-te. También se realizan entregas utilizando el servicio de Correos que comprueba el DNI del cliente utilizando un sistema de escaneo para recabar la copia. Las contrataciones telefónicas suelen ser grabadas y en los casos de portabilidad, una tercera entidad realiza la verificación por terceros”. Es cierto que el tratamiento de las imágenes del DNI en la contratación a distancia de un producto como puede ser un terminal móvil no sólo viene siendo considerado lícito por la propia Agencia, sino que se considera que dicho tratamiento se corresponde con la diligencia exigible. Por tanto, dicho tratamiento es necesario para que el reclamado pueda acreditar la contratación efectuada y que esta se ha realizado con la diligencia exigible recabando la documentación justificativa de la misma. Ahora bien, en el presente caso no nos encontramos ante un caso de tratamiento ilícito; la cuestión que se dilucida en si los datos recabados en el momento de la entrega del terminal móvil han sido o no excesivos para la finalidad perseguida, En el citado Plan ya se señalaba (página 8), en relación con la contratación a distancia en el apartado Alertas que: “Algunas empresas del sector han identificado diferentes circunstancias que pueden ser susceptibles de fraude en la contratación (alta concentración de pedidos en determinadas zonas, mismas direcciones IP…) y han implantado procedimientos que permitan alertar de estas anomalías y determinen la probabilidad de fraude, en cuyo caso, se suelen verificar las contrataciones por especialistas y se puede requerir documentación complementaria al cliente. Y en su página 19, en relación con la identidad del contratante que: “Los contratos telemáticos requieren firma de contrato y copia de documentación (DNI y bancaria generalmente) aunque se ha detectado que no siempre esta documentación consta en las compañías. • Se ha detectado por parte de todas las compañías una creciente inquietud por garantizar la identidad del contratante y por ello se están C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 estudiando e implantando diferentes soluciones con objeto de evitar en lo posible la suplantación de identidad, entre ellas, reconocimiento facial y la firma manuscrita electrónica”. En este sentido recomendaba una serie de medidas: - Extremar las garantías de identificación del contratante con anterioridad a la ejecución del contrato, - La utilización en sistemas con garantías adicionales del estilo de lo definido en la normativa del PSD2, -Datos biométricos. Pues bien, en ninguna de esas recomendaciones se incluye o hacía referencia al sistema o procedimiento implantado por el reclamado para la entrega de productos contratados, consistente en fotografiar el DNI utilizando las apps que el repartidor tiene instalada en su terminal móvil. No obstante, la propia Agencia ha considerado que se trata de una cuestión compleja, debiendo atenderse al caso concreto, a las técnicas empleadas en el tratamiento, la injerencia en el derecho a la protección de datos, debiendo, en tanto en cuanto no se pronuncia al respecto el Comité Europeo de Protección de Datos o bien los órganos jurisdiccionales, adoptarse en caso de duda, la interpretación que sea más favorable para la protección de los derechos de los afectados. Por otra parte, si la contratación llevada a cabo por el reclamado de la que se ha aportado copia del documento firmado por el contratante fue identificando correctamente (copia del DNI y documento bancario donde figure el número de cuenta), comprobar que la identidad del destinatario y del contratante coinciden debería hacerse sin necesidad de solicitar nuevamente la copia del DNI (fotografía de su anverso y rever-so). VI La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
- a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) VII A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner reme-dio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
- k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5 del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman se estiman concurrentes los siguientes factores: Como circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción: los hechos considerados probados afectan gravemente a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de minimización de datos; se cuestiona la gestión desarrollada por el reclamado resultado del procedimiento denominado Identservice, una modalidad de entrega de productos implantado para el tratamiento de los datos y su adecuación al RGPD, considerándose inadecuados desde el momento de la recogida de la copia del DNI tanto por el anverso como del reverso en el momento de la entrega de la paquetería a sus destinatarios. El alcance o propósito de las operaciones de tratamiento puesto que un procedimiento como el implantado y la importancia de la entidad no se establece para operar en un ámbito reducido o local (artículo 83.2,
- a)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 El número de personas potencialmente afectadas pues, aunque se trate de un único reclamante parece evidente que se han podido ver afectadas un número considerable de clientes de la entidad puesto que de conformidad con el contrato de prestación de servicios celebrado se implementó en enero de 2019; tampoco hay que olvidar que en fecha 18/06/2020 tuvo entrada en la AEPD otra reclamación por idénticos hechos (artículo 83.2,
- a)del RGPD). En este mismo sentido, las condiciones de las entregas de los productos que realiza el reclamado a sus clientes se encuentran detalladas en su página web oficial, a través del siguiente enlace: https://ayuda.orange.es/particulares/movil/mi-movil/mi-pedido/1101-donderecojo-mi-pedido-y-que-documentacion-necesito? utm_source=orange&utm_medium=SMS&utm_term=smsAltaPedido - La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus clientes por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
- b)de la LOPDGDD en relación con el artículo 83.2.k). - La intencionalidad o negligencia en la infracción puesto que el reclamado era plenamente consciente del procedimiento implantado para la entrega de productos a sus destinatarios finales. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...)el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
- b)del RGPD). - El carácter continuado de la infracción pues no hay que olvidar que el procedimiento de conformidad con el contrato de prestación de servicios celebrado ya lleva implantado mucho tiempo. La conducta infractora participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial y se extiende, vulnerando la normativa de protección de datos, durante todo el periodo de tiempo en el que el dato es objeto de tratamiento. Se pronuncian en tal sentido las sentencias de la Audiencia Nacional de 16/09/2008 (rec.488/2006) y del Tribunal Supremo de 17/04/2002 (rec.466/2000) (artículo 76.2.
- a)de la LOPDGDD en relación con el artículo 83.2.k). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 En el presente caso, valorados los criterios que concurren en el mismo para la graduación de la sanción, se impone una sanción de 100.000 euros por vulneración del artículo 5.1.
- f)del RGPD, de la que el reclamado debe responder. III El recurrente en su escrito de recurso se reitera en lo ya manifestado a lo largo del procedimiento, alegando además que el relato de los hechos realizado genera confusión sin que se haya procurado ni procedido a su verificación; que los datos recabados no son excesivos y que el tratamiento del DNI, documento de identificación por excelencia, obedece a identificar al contratante; su diligencia en la identificación del receptor en la entrega del producto y la prueba de ello; la indefensión e inseguridad jurídica provocada y la absoluta desproporcionalidad de la sanción impuesta. . En primer lugar, alega el recurrente que no es exacto el relato de los hechos recogido en el Fundamento de Derecho II de la resolución, sino que la fotografía del DNI no es tomada con la cámara del terminal de entrega, sino que se realiza a través de una aplicación concreta instalada en el terminal y, tras la toma, los datos son transmitidos por canal cifrado al sistema de GLS y quedan guardadas en un servidor interno. Es cierto, que el citado fundamento se inicia señalando los hechos que se denuncian y que motivan la reclamación que, a su vez, vienen igualmente recogidos en los Antecedentes, pero también es cierto que el citado relato hay que atribuírselo, no a la Agencia, sino al reclamante y éste no tiene por qué ser exacto, ya que se trata de una manifestación de parte. Así, en el punto 1 del Fundamento III de la Resolución se inicia señalando que: “1. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al imponer como condición en la entrega del producto realizar una fotografía del anverso y reverso del DNI; fotografía que es obtenida a través de la aplicación incluida en el terminal (dispositivo) móvil del repartidor de la empresa que realiza la entrega y cuya imagen es posteriormente…” Manifestación que coincide con lo indicado por la mercantil GLS en su escrito de 02/09/2020 cuando relata:” El repartidor instala la App de GLS en su dispositivo móvil y se fotografía el DNI con la opción “Scan” que ofrece la App, de modo que, permite que no se tenga que usar la cámara del dispositivo almacenando en local cualquier fotografía que se realice. Además, como medida adicional para asegurarse que ningún repartidor conserve las fotos en su dispositivo, esta capada la posibilidad de subir fotos desde la galería de fotos del dispositivo, por lo que si no se usa la función “Scan” de la App no se podrá verificar la entrega”. La misma empresa en escrito de 28/10/2020 señalaba que “Este tipo de servicios se contrata en su gran mayoría para la entrega de telefonía móvil con el objetivo de verificar por exigencia de la compañía de telefonía, que el contratante es la persona que efectivamente recepciona el paquete” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 También se señalaba en la resolución recurrida, punto 2 del Fundamento de Derecho III, a propósito de la transmisión de las fotos por canal cifrado al sistema de GLS que: “Lo anterior, con independencia de que la imagen del DNI, como manifiesta el reclamado no puede ser conservada por el repartidor y sea transmitida a través de canal cifrado al sistema de la empresa logística quedando guardada en su servidor interno, donde sólo un técnico de la misma destinado a su mantenimiento tiene acceso a dicho servidor y a través del módulo de consulta ERP del sistema informático, el reclamado puede acceder a la fotografía recogida. Por lo tanto, el tratamiento no se corresponde ni con lo indicado en el Considerando 39, ni en el artículo 5.1.
- c)que señalan que los datos deben ser “adecuados, pertinentes y limitados a lo necesario” para la finalidad perseguida”. - Reitera el recurrente que como se ha informado y queda acreditado, la finalidad del tratamiento de las imágenes del DNI del interesado no es otra que acreditar, haber desplegado la diligencia debida verificando la identidad de que el destinatario del producto es realmente el interesado concreto. En este sentido, la minimización de datos trata de evitar que los datos que se utilicen en el tratamiento de los mismos sea inadecuado, no pertinente y desproporcionado para la finalidad para la que se recogen y a la que van destinados, de acuerdo con los principios transparencia, respeto a la privacidad y a la confidencialidad de la información relativa al interesado. El RGPD limita esa utilización de los datos, el tratamiento de los mismos, a lo necesario y no por el exceso; en una palabra, los datos personales deberán ser adecuados, pertinentes y limitados a la necesidad para la que son obtenidos. Como se ha señalado la misma jurisprudencia constitucional ha establecido que, si esa finalidad si el objetivo se puede alcanzar sin realizar un tratamiento de datos, los mismos no deberían ser tratados. Con respecto a la cuestión alegada por el recurrente ya en la resolución recurrida se indicaba en relación con el procedimiento adoptado por el reclamado que en el Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía de la AEPD, en el apartado ‘Acreditación de la identidad del Contratante’ entre las medidas recomendadas para dicha finalidad no se incluía ni se hacía referencia alguna al sistema o procedimiento implantado por el reclamado para la entrega de productos contratados, consistente en fotografiar el DNI por el anverso y reverso utilizando la apps que el repartidor tenía instalado en su dispositivo móvil. En el citado documento se señala que “En las tiendas de algunas operadoras de telefonía se puede entregar el terminal móvil adquirido a los clientes que hayan contratado por medios telefónicos o telemáticos, en cuyo caso se solicita la presentación de un documento oficial de identidad (DNI, NIE, pasaporte) y un documento bancario que acredite que la cuenta sobre la que se van a realizar cargos es titularidad del contratante. También se realizan entregas utilizando el servicio de Correos que comprueba el DNI del cliente utilizando un sistema de escaneo para recabar la copia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 En el primer caso se habla de presentar el DNI y el documento bancario como sinónimo de mostrar, pero en ningún caso de fotocopiar. Y en el caso de Correos se utiliza el escaneo para recabar la copia del documento, aunque olvida el recurrente que este servicio es prestado por la Sociedad Estatal Correos y Telégrafos que se le denomina Correos, quien tiene la cualidad de operador universal designado, garantizando el servicio postal universal. - Alega igualmente el recurrente en relación con el DNI su disconformidad con las manifestaciones vertidas acerca de que los datos contenidos en el citado documento sean innecesarios y adicionales. No obstante, tal alegato resulte igualmente inaceptable; todos sabemos que la decisión de los datos que contienen e incluyen en el DNI vienen determinados por disposición legal y reglamentaria; es la ley Orgánica de Protección de la Seguridad Ciudadana y el Real Decreto 1553/2005, de 23 de diciembre, por el que se Regula la Expedición del Documento Nacional de Identidad y sus Certificados de Firma Electrónica, los que establecen y determinan su contenido, los datos y en definitiva la información que tendrá el documento, por lo tanto, sería absurdo poner en entredicho dicha cuestión. Ahora bien, la innecesaridad y excesividad no se predica del contenido del citado documento, de los datos que se incluyen en el mismo, lo que se cuestiona y evidencia es que para justificar la entrega de un producto a distancia el reclamado instituya como sistema que el receptor deba exhibir su DNI y el repartidor se lo escanee con su dispositivo móvil por el anverso y reverso mediante una app instalada en el mismo y sea transmitida al sistema de GLS, quedando archivados en un servidor interno y que el responsable pueda acceder a la fotografía a través de un enlace para verificar que el trámite se ha realizado de forma correcta, quedando bloqueado y no sometido a tratamiento alguno con excepción de requerimientos de autoridades, tribunales y reclamaciones por responsabilidades legales. Es por tanto excesivo e intrusivo en la privacidad de las personas que para realizar las citadas entregas se deba no exhibir el DNI, sino procurar su escaneo tanto del anverso y reverso del mismo, simplemente como prueba de que el producto fue entregado a su destinatario. Si la contratación se efectuó correctamente, siendo aportados los documentos probatorios que patentizaban que la entidad había desplegado la diligencia mínima exigible para verificar que el contratante era quien afirmaba ser, la justificación de la entrega se habría conseguido de la misma forma con la transmisión de la firma o de la fotocopia del DNI del contratante al dispositivo móvil del repartidor para su cotejo con la del receptor y la firma en el albarán de entrega de su receptor. En el momento de la entrega, si los datos y documentos exhibidos coinciden con los transmitidos la entrega se podría realizar y en caso contrario no. O bien, a través de cualesquiera de los medios, como se indicaba anteriormente, y que fueron recomendados en el Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía de la AEPD o, bien otros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 - El recurrente se reitera en las alegaciones anteriores manifestando que la existencia de resoluciones contradictorias provoca inseguridad jurídica y le generan indefensión. Como ya se le señalaba en la resolución recurrida tal alegato ni es aceptable ni es admisible; el reclamado señala que en la resolución de 23/06/2020 de la Agencia sancionaba al recurrente por su falta de diligencia, al no conservar prueba de la verificación de identidad y un año después se le sanciona por conservar prueba de la verificación de identidad del interesado. Ya se indicaba que es en el momento de la celebración del contrato donde el tratamiento del documento identificativo del interesado se estima necesario para que el reclamado pueda acreditar que aquella persona con la que contrata es quien realmente dice ser y, por lo tanto, lo que acreditaría un nivel de diligencia adecuado. Y así lo ha indicado la propia AEPD, en su resolución de 23/06/2020, en el procedimiento sancionador PS/00452/2019 y que posteriormente la Audiencia Nacional, en Sentencia de 05/05/2021, Rec. 437/2020 establecía que: “Y en cuanto a la contratación presencial de la línea NUM000 cabe reiterar, que si bien se aporta un contrato, el denunciante no ha reconocido como suya la firma obrante al mismo, haciendo constar la falta de coincidencia con la que figura en su DNI, considerando la Sala que la diligencia exigible obligaba a contrastar a través de la documentación pertinente, la identidad de quien facilitaba los datos, mediante la exhibición del original del documento identificativo y anexando una copia del mismo a la declaración de voluntad que quiere hacer valer, como así lo ha venido reiterando en supuestos similares ( SAN de 8 de marzo 2018, Rec. 926/2016, entre otras). Por tanto, a la vista de las circunstancias expuestas, no cabe apreciar que la operadora recurrente desplegase la diligencia debida para comprobar la identidad de la persona que asociaba en sus registros a las líneas telefónicas controvertidas, por lo que concurre el elemento subjetivo de la culpabilidad. Por otro lado, en cuanto al hecho de que nos encontramos ante el fraude de un tercero, como dijimos en la SAN de 3 de octubre de 2013 (Rec. 54/2012) -: " Precisamente por eso, es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento...". En idéntico sentido, la A.N. en Sentencia de 08/03/2018, Rec. 926/2016 señalaba que: “Considera por ello esta Sala, al igual que entiende la Administración, que la diligencia mínimamente exigible obligaba a TME a contrastar, a través de la documentación pertinente, la identidad de quien facilitaba los datos, mediante la exhibición del original del documento identificativo y anexando una copia del mismo a la declaración de voluntad que quiere hacer valer”. La propia AEPD también se ha pronunciado, asimismo en su resolución, de 23/06/2020, en el PS/00452/2019, donde el afectado reclama el tratamiento de sus datos en la contratación de líneas telefónicas sin ninguna causa que legitime su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 tratamiento (artículo 6.1 del RGPD): “La reclamada no ha aportado documento o elemento probatorio alguno que evidencie que la entidad, ante tal situación, hubiera desplegado la diligencia mínima exigible para verificar que efectivamente su interlocutora era la que afirmaba ostentar”. Sin embargo, estos casos no guardan relación de semejanza alguna con el analizado en la resolución recurrida, pues se trata de contrataciones fraudulentas por infracción del principio de legitimación (artículo 6.1 del RGPD) y del principio de consentimiento (artículo 6.1 de la LOPD) y que bien debe conocer la reclamada puesto en el procedimiento sancionador (PS/00452/2019), fue sancionada por la AEPD y fue parte recurrente en el contencioso que dio lugar a la primera de las sentencias, desestimatoria del recurso interpuesto y sancionada con 80.000 euros. En el caso analizado, se trata de la infracción del principio de minimización de datos, como consecuencia del tratamiento de la imagen del DNI en el momento de entrega de un producto contratado a distancia, considerándolo inadecuado, no pertinente ni limitado a lo necesario en relación con los fines para los que son tratados. Es por ello que la AEPD no solo no está en contradicción con las resoluciones dictadas, sino en concordancia con la interpretación que ha venido haciendo la propia Audiencia Nacional en sus sentencias. Y se reitera, que la alegación del recurrente reiterando y repitiendo, que en la resolución de 23/06/2020 de la Agencia sancionaba al recurrente por su falta de diligencia, al no conservar prueba de la verificación de identidad y un año después se le sanciona por conservar prueba de la verificación de identidad del interesado, no es cierta ni puede ser aceptada al no tratase de resoluciones administrativas contradictorias entre si ni afectar a la seguridad jurídica, ni generar incertidumbre e indefensión. Se trata de resoluciones distintas, que no guardan relación de semejanza alguna. Por otra parte, si lo que se pretende por el recurrente es acreditar que la entrega del producto a distancia se realiza en la persona del contratante y su personalidad ya fue verificada en el momento de la contratación, acreditada con los documentos probatorios, conservando los mismos y que fue desplegada la diligencia mínima exigible para verificar que efectivamente el contratante era quien afirmaba ser, no necesita nuevamente escanear la copia del DNI. Resulta congruente que el repartidor exigiera la exhibición del citado documento, pero proceder a su fotocopia y archivo posterior a expensas de posibles reclamaciones o irregularidades resulta cuando menos excesivo y, como se manifestaba en párrafo precedente, quizás obedezca a la inquietud por garantizar la identidad del contratante implantando métodos con objeto de evitar fraudes y suplantaciones de identidad. Exigencia que ni la propia Administración lleva a cabo con sus propios administrados como así se establece en el artículo 28.2 de la Ley 39/2015. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 No obstante, como ya se señalaba y recomendaba en el documento Plan de Inspección de Oficio sobre Contratación a Distancia en Operadores de Telecomunicaciones y Comercializadores de Energía de la AEPD, evitar injerencia en el derecho a la protección de datos y decantarse por la interpretación que sea más favorable para la protección de los derechos de los interesados. - El recurrente también ha alegado la desproporcionalidad de la sanciona impuesta atendiendo a las circunstancias y el contenido de la supuesta infracción, que niega rotundamente haber cometido y que no se han apreciado la existencia de circunstancias como la ausencia de intencionalidad, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, la adopción de medidas para paliar los perjuicios causados y el grado de cooperación con el supervisor. Además, muestra su disconformidad con las circunstancias agravantes aplicadas. Habría que señalar que tanto el grado de cooperación con la autoridad supervisora en materia de protección de datos, así como la adopción de medidas para paliar los perjuicios sufridos por los interesados no pueden ser interpretadas como circunstancias atenuantes de la responsabilidad sino más bien obligaciones a las que está obligada la entidad reclamada en materia de protección de datos de carácter personal y que en caso contrario, si que podrían ser consideradas como agravantes; además, hay que añadir, que la adopción de medidas denota la insuficiencia de las establecidas y, en todo caso, lo que apunta cierta anomalía en el funcionamiento de las mismas, de los procedimientos o protocolos de tipo interno, impropio en una entidad de este tipo, situación que debería mejorar con las que dice haber implantado para paliar los daños provocados. Tampoco cabe estimar en calidad de atenuante la circunstancia descrita en el artículo 76.2.
- c)de la LOPDGDD, por remisión del artículo 832.k del RGPD: Los beneficios obtenidos como consecuencia de la comisión de la infracción. A propósito de esta cuestión, la Audiencia Nacional, Sala de lo Contencioso Administrativo, en su SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la parte demandante, sancionada por la AEPD, de que se admitiera como atenuante por ausencia de beneficios. El Fundamento Jurídico tercero de la SAN dice: “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Además, la admisión de esta ausencia de beneficios como atenuante estaría en contradicción con el artículo 76.2.
- c)de la LOPDGDD, toda vez que el presupuesto de hecho sobre el que se construye esta circunstancia es, exclusivamente, la “obtención de beneficios” ya que menciona estrictamente los “beneficios obtenidos”. - En cuanto a las circunstancias agravantes, el recurrente se refiere a la ausencia de intencionalidad que debería ser tenida en cuenta como atenuante de la responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 Sin embargo, esta circunstancia figura como agravante de la responsabilidad del recurrente en la Propuesta. Esta expresión ha de entenderse en el sentido del grado de “responsabilidad”, de la “culpabilidad”, y es esta interpretación la corroborada por la Audiencia Nacional, entre otras la sentencia de 12/11/2007 (Rec. 351/2006), cuando señala “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. La conducta contraria a la norma es fruto de un procedimiento o modelo a través del que el reclamado desarrolla la actividad de entrega de sus productos a los clientes, siendo incumplido el principio de minimización de los datos. Asimismo, muestra su disconformidad con la consideración como circunstancia agravante la contenida en el artículo 83.2.
- a)del RGPD y la improcedencia de que la AEPD justifique la sanción en base a supuestos de hecho no analizados y que no son objeto del presente procedimiento. Sin embargo, hay que señalar que en ocasiones, aunque exista un solo reclamante puede considerarse que la infracción adopta connotaciones «sistemáticas» [sistémicas] y, por lo tanto, puede afectar, incluso en diferentes momentos, a otros interesados que no hayan presentado reclamaciones o informes a la autoridad de control, como acontece en el presente caso. Como ya se señalaba anteriormente la misma empresa encargada del reparto del producto manifestaba en escrito de 28/10/2020 que “Este tipo de servicios se contrata en su gran mayoría para la entrega de telefonía móvil con el objetivo de verificar por exigencia de la compañía de telefonía, que el contratante es la persona que efectivamente recepciona el paquete” En lo que se refiere al principio de proporcionalidad, la A.N. en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la resolución no vulnera el principio de proporcionalidad en la determinación de la sanción impuesta, resultando ponderada y proporcionada a la gravedad de la infracción cometida y la importancia de los hechos, sin que se aprecien razones que justifiquen su minoración, máxime teniendo en cuenta la cuantía a la que puede ascender dicha sanción de conformidad con el art. 83.5.
- a)del RGDP, que prevé para la infracción del artículo 5.1.
- c)del RGDP, "multas administrativas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía". Durante el ejercicio 2020, la cifra de negocio del reclamado ascendió a 4.471.100.000 euros (resultado del ejercicio 21.802.000 euros), por lo que el 4% de esta cantidad asciende a 178.844.000 euros. Vistos los preceptos citados y demás de general aplicación, . La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ORANGE ESPAGNE, S.A.U. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 08/06/2022, en el procedimiento sancionador PS/00413/2021. SEGUNDO: NOTIFICAR la presente resolución a la entidad ORANGE ESPAGNE, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es