1/7 Expediente nº.: EXP202103457 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por QUALITY-PROVIDER S.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 4 de abril de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 4 de abril de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202103457, en virtud de la cual se imponía a QUALITY-PROVIDER S.A. por una infracción del artículo 6 del RGPD y artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 10.000 euros por cada infracción lo que hace un total de 20.000 euros (veinte mil euros) Dicha resolución, que fue notificada a la parte recurrente en fecha 3 de mayo de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00524/2022, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS PRIMERO: La parte reclamante manifiesta haber recibido una llamada telefónica, y que el llamante le informó que había cancelado sus datos de QUALITY. Se ha constatado que la entidad reclamada no ha dado de baja los datos personales del reclamante pese a su solicitud. TERCERO: La parte recurrente ha presentado en fecha 16 de mayo de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en que considera que existe una manifiesta incompetencia de la Agencia Española de Protección de Datos para la tramitación del presente procedimiento en virtud de lo estipulado por la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, la cual entró en vigor el 17 de diciembre de
- Asimismo se indica por el recurrente que la resolución del procedimiento sancionador objeto de recurso, fue dictada fuera de plazo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 FUNDAMENTOS DE DERECHO I Con carácter preliminar, debe señalarse que el nuevo escrito presentado por el recurrente no ha sido calificado como recurso de reposición. No obstante, el apartado 2 del artículo 115 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), establece que el error o la ausencia de la calificación del recurso por parte del recurrente no será obstáculo para su tramitación, siempre que se deduzca su verdadero carácter, por lo que el escrito presentado se tramitará como un recurso de reposición. Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II En relación con la primera de las manifestaciones efectuadas por la parte recurrente, debe señalarse que ya fueron analizadas y desestimadas en los Fundamentos de Derecho , VII y VIII de la Resolución recurrida, tal como se transcribe a continuación: << VII La entidad reclamada considera la manifiesta incompetencia de la AEPD para conocer del presente procedimiento sancionador, en base a la Directiva (UE) 2019/1937, del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, la cual entró en vigor el 17 de diciembre de
- La entidad reclamada considera que la entrada en vigor de la Directiva (UE) 2019/1937 implicó un cambio legislativo importante, puesto que vino a modificar directamente, entre otros, el Reglamento General de Protección de Datos. Y las implicaciones más significatives de esta Directiva son que, en primer lugar, crea un sistema de resolución de conflictos y de simplificación administrativa diferente; y en segundo lugar, su entrada en vigor deja obsoleta la LOPDGDD, que debería de haberse adaptado desde el momento en que entró en vigor la Directiva (UE) 2019/
- En este sentido hemos de señalar que el artículo 288 del Tratado de Funcionamiento de la UE establece lo siguiente: “Para ejercer las competencias de la Unión, las instituciones adoptarán reglamentos, directivas, decisiones, recomendaciones y dictámenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 El reglamento tendrá un alcance general. Será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro. La directiva obligará al Estado miembro destinatario en cuanto al resultado que deba conseguirse, dejando, sin embargo, a las autoridades nacionales la elección de la forma y de los medios. La decisión será obligatoria en todos sus elementos. Cuando designe destinatarios, sólo será obligatoria para éstos. Las recomendaciones y los dictámenes no serán vinculantes.” Por lo tanto, de este precepto se desprende que las directivas, a diferencia de los reglamentos que son directamente aplicables, son actos jurídicos vinculantes que implican una obligación de resultado a los Estados miembros destinatarios, es decir, que implican una obligación de transposición por parte de los Estados de la UE destinatarios de esta Directiva. La Directiva que nos ocupa se ha transpuesto al ordenamiento jurídico español, a través de la ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, que, si bien ha modificado el artículo 24 de la LOPDGDD, no ha supuesto que la AEPD haya dejado de ser la autoridad de control independiente con responsabilidad para supervisar la aplicación del RGPD VIII En el presente supuesto, la parte reclamante denuncia a la entidad reclamada porque pese a su solicitud no da de baja sus datos personales, alegando dicha entidad que tal acción no es posible al desconocer a qué datos se refiere. Las Directrices 01/2022 sobre los derechos de los interesados — Derecho de accesoVersión 1.0 adoptadas el 18 de enero de 2022, se recoge, en cuanto a la identificación de la persona solicitante, que el responsable del tratamiento debe responder a las solicitudes de los interesados de ejercicio de sus derechos individuales, a menos que pueda demostrar, mediante una justificación conforme al principio de responsabilidad proactiva (artículo 5, apartado 2), que no está en condiciones de identificar al interesado (artículo 11). Y en particular sobre la evaluación de la proporcionalidad en relación con la identificación del solicitante, las citadas Directrices disponen lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “69 Como se ha indicado anteriormente, si el responsable del tratamiento tiene motivos razonables para dudar de la identidad de la persona solicitante, puede solicitar información adicional para confirmar la identidad del interesado. Sin embargo, el responsable del tratamiento debe garantizar al mismo tiempo que no recopila más datos personales de los necesarios para permitir la identificación de la persona solicitante. Por lo tanto, el responsable del tratamiento llevará a cabo una evaluación de proporcionalidad, que deberá tener en cuenta el tipo de datos personales que se están tratando (por ejemplo, categorías especiales de datos o no), la naturaleza de la solicitud, el contexto en el que se realiza la solicitud, así como cualquier daño que pueda resultar de una divulgación indebida. Al evaluar la proporcionalidad, debe recordarse evitar la recopilación excesiva de datos, garantizando al mismo tiempo un nivel adecuado de seguridad del procesamiento.
- El responsable del tratamiento debe aplicar un procedimiento de autenticación (verificación de la identidad del interesado) para estar seguro de la identidad de las personas que solicitan el acceso a sus datos28, y garantizar la seguridad del tratamiento durante todo el proceso de tramitación de una solicitud de acceso de conformidad con el artículo 32, incluido, por ejemplo, un canal seguro para que los interesados faciliten información adicional. El método utilizado para la autenticación debe ser pertinente, adecuado, proporcionado y respetar el principio de minimización de datos. Si el responsable del tratamiento impone medidas gravosas destinadas a identificar al interesado, debe justificarlo adecuadamente y garantizar el cumplimiento de todos los principios fundamentales, incluida la minimización de datos y la obligación de facilitar el ejercicio de los derechos de los interesados (art. 12, apartado 2, del RGPD). 73 Es preciso subrayar que la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito, por lo que debe considerarse inadecuada, salvo que sea estrictamente necesario, adecuado y conforme con el Derecho nacional. En tales casos, los responsables del tratamiento deben disponer de sistemas que garanticen un nivel de seguridad adecuado para mitigar los mayores riesgos para los derechos y libertades del interesado al recibir dichos datos. También es importante tener en cuenta que la identificación mediante un documento de identidad no ayuda necesariamente en el contexto en línea (por ejemplo, con el uso de seudónimos) si la persona interesada no puede aportar ninguna otra prueba, por ejemplo, otras características que coincidan con la cuenta de usuario.” Por lo tanto, ha de indicarse que la reclamada debió solicitar a la representante del reclamante que acreditase su representación y no el DNI del representado, padre de la representante. La reclamada no ha acreditado la proporcionalidad de su petición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 que puede considerarse excesiva y que supone una obstaculización del ejercicio del derecho de supresión. Esto es así, porque no se pueden exigir para el ejercicio de derechos, mayores formalidades que las que se siguieron para obtener tales datos. Por lo tanto, se habría vulnerado el artículo el artículo 17 del RGPD de conformidad con el fundamento de derecho V. >> En segundo lugar, como alegación extraordinaria, se manifiesta además que se ha dictado la resolución del procedimiento sancionador fuera de plazo. En este sentido ha de indicarse que el artículo 21.2 de la ley 39/2015 de 1 de octubre de procedimiento administrativo común de las Administraciones Públicas, (en adelante LPAC) establece lo siguiente: “El plazo máximo en el que debe notificarse la resolución expresa será el fijado por la norma reguladora del correspondiente procedimiento. Este plazo no podrá exceder de seis meses salvo que una norma con rango de Ley establezca uno mayor o así venga previsto en el Derecho de la Unión Europea.” A este respecto ha de indicarse que en la página 10 del acuerdo de inicio del procedimiento sancionador contra el que se interpone el presente recurso de reposición se indicó lo siguiente: “El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.” Por lo tanto, en consonancia con el artículo 21.2 de la LPAC, se aplicará lo establecido en la LOPDGDD, concretamente en su artículo 64, que establece que la duración del procedimiento será de nueve meses. De manera que, si el acuerdo de inicio del PS/00524/2022 fue notificado el 3 de noviembre de 2022 y su resolución se notificó el 3 de abril de 2023, en virtud del artículo 64 de la LOPDGDD, y en consonancia con el artículo 21.2 de la LPAC, se realizó dentro de plazo y por ende acorde a derecho. III En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por QUALITYPROVIDER S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de abril de 2023, en el expediente EXP
- SEGUNDO: NOTIFICAR la presente resolución a QUALITY-PROVIDER S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es