1/4 Expediente nº: EXP202104745 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por Dña. A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 28 de octubre de 2022, y en base a los siguientes HECHOS PRIMERO: Con fecha 28/10/2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202104745, en virtud de la cual se imponía a Dña. A.A.A., por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una sanción de 10.000 € (diez mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 14/11/2022 fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia de los siguientes: PRIMERO: El 12/11/2012 tiene entrada en la AEPD escrito de la afectada en el que manifiesta que han publicado en el foro (…) un anuncio con el que se "ha ido difamando mi imagen (...) (…). Además, han puesto la dirección exacta de donde estoy residiendo de vacaciones en ***LOCALIDAD.1". SEGUNDO: La reclamante ha aportado impresión de pantalla de un anuncio con el título "(…)", con el comentario "(…), anuncio de mujer y (…) (...) Está en ***DIRECCIÓN.1 (...)". El anuncio va acompañado de una fotografía de (…). TERCERO: El 25/11/2021 MUBA, propietaria del sitio web donde se publicaron los datos de carácter personal de la reclamante, ha informado de anuncios similares publicados en su plataforma con el mismo identificador de usuario con el que se publicó el anuncio indicado en la reclamación. En los anuncios publicados por este usuario entre los días 5 y 08/11/2021, también figura publicado un número de teléfono de contacto. CUARTO: Consultado el sitio web de “RIPE Network Coordination Centre”, entidad encargada de la coordinación de rangos IP para la zona de Europa, la asignación a las operadoras de las IP proporcionadas por MUBA corresponde a ORANGE para la IP del anuncio reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 QUINTO: ORANGE, entidad que tiene asignada la dirección IP desde la que se publicó el anuncio reclamado, en escrito de 17/12/2021 ha informado que la titularidad de la misma en el momento de publicarse el anuncio, corresponden a la reclamada. TERCERO: La parte recurrente ha presentado en fecha 07/12/2022, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en lo siguiente: su disconformidad con la resolución emitida; que el procedimiento sancionador debe estar informado de los principios constitucionales como el de prueba y su omisión causa indefensión; que la dirección de correo de la persona que publica el anuncio le es ajena no habiéndose realizado diligencias destinadas a su identificación. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente: - En primer lugar, la resolución recurrida fue dictada una vez transcurrido el plazo señalado en el acuerdo de inicio del procedimiento sancionador para formular alegaciones; en el mismo se le indicaba expresamente su derecho a la audiencia en el procedimiento y se le otorgaba un plazo de diez días hábiles para formular alegaciones y proponer las pruebas que considerara procedentes. Asimismo, se indicaba que, de no efectuar alegaciones a este acuerdo de inicio, el mismo podría ser considerado propuesta de resolución, de conformidad con lo señalado en el artículo 64.2.
- f)de la LPACAP y, de conformidad con lo contenido en el mismo, fue dictada resolución en la que se le sancionaba por infracción principio de licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5
- a)de la misma norma. - En segundo lugar, se alega que el procedimiento adolece de los principios constitucionales que garantizan el mismo como el de realización de pruebas que permitan fundamentar la acusación formulada y cuya omisión provocaría una situación de indefensión. Sin embargo, tal manifestación tampoco puede ser admitida; hay que recordar que la Audiencia Nacional en multitud de sentencias, entre otras la de 08/06/2005, señala que: «Para analizar la cuestión suscitada conviene recordar que en materia sancionadora, el Tribunal Constitucional ha establecido como uno de los pilares básicos para la interpretación del derecho Administrativo Sancionador que los principios y garantías básicas presentes en el ámbito del derecho penal son C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 aplicables, con ciertos matices, en el ejercicio de cualquier potestad sancionadora de la Administración Pública (STC 76/1990, de 26 de abril, STS de 23 de enero de 1998 (Rec de casación 1650/1995 etc.). Asimismo, la STC 18/1981 (fundamento jurídico segundo in fine), ya había señalado que “los principios esenciales reflejados en el artículo 24 de la Constitución, en materia de procedimiento, han de ser aplicables a la actividad sancionadora de la Administración, en la medida necesaria para preservar los valores esenciales que se encuentran en la base del precepto y la seguridad jurídica que garantiza el artículo 9 de la Constitución, porque la garantía del orden constitucional exige que el acuerdo se adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidad de aportar y proponer pruebas y alegar lo que a su derecho convenga”. También en el marco europeo se establece que la imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías. Sin embargo, el recurrente notificado el acuerdo de inicio ha tenido oportunidad de examinar el expediente mediante la solicitud de los documentos que lo integran y las actuaciones realizadas con carácter previo a la apertura del procedimiento, de conocer los documentos que lo integran y los hechos que motivan su iniciación, de hacer alegaciones que considerara pertinentes a su defensa y proponer pruebas, etc. Por otra parte, además del contenido mínimo del Acuerdo de Inicio, incluye la designación de Instructor/a, y, en su caso secretario/a, con indicación del régimen de recusación de los mismos, órgano competente para resolver, indicación de la infracción presuntamente cometida y posible sanción que pueda corresponder. Por tanto, la alegación de la recurrente es insostenible puesto que el procedimiento se ha realizado con todas las garantías. - Además, en fase preprocedimental por los servicios de inspección de este centro directivo se realizaron actuaciones relacionadas con los hechos reclamados, resultando investigadas tres personas, siéndole asignadas a la reclamante el identificador investigado 1. MUBA, la mercantil propietaria del sitio web donde se publicó la imagen y otros datos personales de la reclamante, aporto la dirección IP desde donde se realizó y que posteriormente, mediante consulta en el sitio de “RIPE Network Coordination Centre”, entidad encargada de la coordinación de los rangos IP para la zona de Europa, se determinó quien era la operadora que la tenía asignada; sin embargo, en ciertos casos en los que se determina y define la autoría únicamente a través de la dirección IP, puede ofrecer dudas acerca de la evidencia de la misma, no siendo identificando de manera fehaciente su responsable, sino al titular de la línea, que puede o no coincidir con el autor. Es cierto, que los dispositivos que no necesitan tener acceso a la red de manera constante, que no requieren una identidad fija en la red se les suele dar una IP C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 dinámica; no obstante, en el presente caso, también es cierto que el operador ha informado que la titularidad de esta IP en el momento de publicarse el anuncio correspondía a la reclamada; pero también MUBA, no solo hacía referencia a los datos del anuncio solicitado sino también a otros idénticos o similares con el mismo e-mail, entendiendo que dicha cuenta debía ser verificada. Por otra parte, tampoco la dirección de correo ***EMAIL.1 insertada en el anuncio puede ser determinante puesto que con la información que se dispone este dato no garantiza ni identifica al autor ya que sería necesario intervenir el router de la IP en cuestión y obtener la actividad de su tráfico, algo que no se puede hacer sin autorización judicial. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de octubre de 2022, en el expediente EXP202104745, indicando al sancionado que queda sin efecto la obligación de abonar la multa impuesta en la resolución recurrida. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y, conforme al art. 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es