REPOSICION-PS-00568-2016

(1)“sin esperar al plazo legal conferido a mi representada [QDQ o la recurrente] y, por lo tanto, sin haber tenido en cuenta las Alegaciones vertidas por [QDQ] (…) lo que se vuelve a reflejar en el presente escrito a los efectos legales oportunos, de dejar sin validez la presente Resolución Definitiva”. (El subrayado es de la AEPD) Pues bien, el artículo 82 de la LPACAP, del “Trámite de audiencia”, dispone en su apartado 2: “Los interesados, en un plazo no inferior a diez días ni superior a 15, podrán alegar y presentar los documentos y justificaciones que estimen pertinentes”. La Propuesta de resolución del PS/568/2016 se firmó el día 01/06/2017 y fue notificada a la ahora recurrente en fecha 09/06/2017 tal y como lo acredita el documento expedido por Correos y Telégrafos que obra en el expediente. En ella se concedía a QDQ un plazo de diez días hábiles para alegar lo que estimase oportuno en su defensa y para presentar los documentos e informaciones que considerase pertinentes. De acuerdo con la regla del artículo 30 LPACAP sobre el cómputo de los plazos, el último de los diez días concedido a la entidad denunciada para hacer alegaciones a la Propuesta fue el viernes 23/06/2017. El 26/07/2017, fecha en la que la AEPD dicta la resolución sancionadora recurrida, no habían tenido entrada en el Registro de este organismo las alegaciones de QDQ a la Propuesta de resolución, extremo al que se hizo expresa referencia en el Antecedente séptimo de la resolución. El escrito de QDQ con las alegaciones a la Propuesta entró en el Registro de la Agencia el 30/06/2017, si bien se había presentado dentro del plazo concedido, el 23/06/2017, mediante correo administrativo. Respecto a las consecuencias que puedan derivarse de este hecho, toda vez que la recurrente advierte en su escrito que lo pone de manifiesto “a los efectos legales oportunos”, indicar que el artículo 48 de la LPACAP, “Anulabilidad”, dispone lo siguiente: “1. Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 2. No obstante, el defecto de forma sólo determinará la anulabilidad cuando el acto carezca de los requisitos formales indispensables para alcanzar su fin o dé lugar a la indefensión de los interesados”. A propósito de la cuestión planteada se ha de subrayar, por una parte, que, en contra de lo que la recurrente aduce, la AEPD respetó el plazo concedido para hacer alegaciones a la propuesta de resolución pues el plazo finalizaba el día 23/06/2017 y la Directora de la Agencia dictó la resolución sancionadora en fecha 26/06/2017. Por otra, tampoco cabe sostener que se haya provocado indefensión a QDQ por haber dictado la resolución sancionadora después de que venciera el plazo concedido para evacuar el trámite de audiencia y antes de que tuvieran entrada en este organismo sus alegaciones, pues los argumentos que esgrimió en ese trámite de audiencia que no sean una reiteración de los invocados en su día en el escrito de alegaciones al acuerdo de inicio, así como los documentos aportados con las alegaciones a la Propuesta, son analizados y valorados en el marco de este recurso de reposición. La doctrina del Tribunal Constitucional acerca de la vulneración del derecho de defensa en supuestos como que el aquí se plantea es considerar que la indefensión como motivo de anulabilidad de un acto o resolución presupone la existencia de una verdadera indefensión material, esto es, tiene que haber originado un menoscabo del derecho de defensa causando un perjuicio real y efectivo de aquél (SSTC 155/1998,212/1994,137/1996,89/1997). En el presente caso, en modo alguno se ha generado un menoscabo efectivo del derecho de defensa de QDQ entre otras razones porque, como se ha indicado, la propia instancia del recurso de reposición le otorga la posibilidad de alegar lo que a su derecho convenga Cabe citar, por todas, la SAN de 11/03/2010 (Rec. 806/2008) que en un supuesto análogo al que aquí se plantea recoge la doctrina sentada por el Tribunal Supremo sobre la materia según la cual las infracciones procedimentales sólo producen la anulación del acto cuando suponen una disminución efectiva, real y trascendente de garantías que entrañe una indefensión material del sancionado. El Fundamento de Derecho Cuarto de la citada SAN dice: << La parte recurrente alega en su demanda la concurrencia de vicios formales que afectan al derecho de defensa y generan indefensión, determinantes de causa de nulidad de pleno derecho o, subsidiariamente, de anulabilidad de la resolución impugnada. Concreta tal vicio en el hecho de que la Administración demanda no tuvo en cuenta las alegaciones formuladas por la recurrente a la propuesta de resolución. La propuesta de resolución fue notificada a la parte recurrente en fecha 0907-08 y, ésta, presentó su escrito de alegaciones el último día del plazo para ello, a través de correo administrativo de fecha 28-07-08, con entrada en la Agencia de Protección de Datos en fecha 14 de agosto siguiente. La resolución de la Agencia se dictó en fecha 13 de agosto, y en ella se indicaba que la recurrente no había presentado alegaciones a la propuesta de resolución. En la resolución de 20 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 octubre de 2008 que desestima el recurso de reposición interpuesto contra la anterior resolución de 13 de agosto, en su Fundamento de Derecho II, se recoge “y ahora, en el marco del recurso de reposición, se tendrán en consideración las alegaciones que se recibieron transcurrido el plazo”. Es doctrina reitera del Tribunal Supremo que las infracciones procedimentales sólo producen la anulación del acto administrativo en el supuesto de que las mismas generen una disminución efectiva y real de las garantías de forma que puedan alterar la resolución de fondo. En otro caso, no es procedente la anulación del acto administrativo por omisión de un trámite preceptivo cuando, aun de haberse cumplido este trámite, se pueda prever razonablemente que el acto administrativo sería igual al que se pretende anular, o cuando la omisión de un trámite no causa indefensión al interesado, indefensión que no se produce cuando, a pesar de la omisión de aquél, el interesado ha tenido ocasión de alegar y probar a lo largo del procedimiento administrativo o en sede jurisdiccional lo que no pudo alegar o probar al omitirse dicho trámite. Por su parte, el Tribunal Constitucional en su sentencia 117/2002 recoge “Para comenzar, debemos afirmar que carece de toda relevancia constitucional la queja atinente a la falta de notificación de la propuesta de resolución formulada por la recurrente. Como acertadamente ha puesto de manifiesto el Abogado del Estado, en sentido técnico sólo el instructor tiene atribución legal para elevar dicha propuesta, lo que efectivamente hizo en el caso origen de este proceso constitucional. Ahora bien, esa propuesta de resolución, reproducía el pliego de cargos en sus elementos esenciales: relato de los hechos, calificación jurídica de los mismos e individualización de la sanción cuya imposición se sugería. Toda vez que la expedientada tuvo oportunidad de alegar respecto del contenido del mencionado pliego, no es posible apreciar que la ausencia de traslado de la propuesta de resolución con la que concluyó la instrucción del expediente mermara sus derecho de defensa ni le causara indefensión material alguna”. En el presente caso no podemos ignorar el hecho de que en el pliego de cargos se recogían los hechos, la calificación jurídica a los efectos de la individualización de la sanción, por lo que la recurrente pudo aducir (y adujo) lo que a sus intereses conviniera acerca de los referidos criterios. A mayor abundamiento, tampoco debemos olvidar el hecho de que los argumentos que empleó frente a la propuesta de resolución fueron reiterados, en lo fundamental, en el recurso de reposición y tales alegaciones fueron valoradas en la resolución de 20 de octubre 2008, sin que quepa apreciar la invocada vulneración del derecho de defensa. En suma, podrá compartirse o no la valoración que la Administración ha realizado de las alegaciones de la recurrente, pero no resulta posible negar la evidencia de su existencia, frente a la que ciertamente su destinatario tuvo adecuada oportunidad de impugnación. La importancia del trámite de audiencia es indudable a los efectos del derecho de defensa pero la doctrina jurisprudencial más reciente pone énfasis, al medir las consecuencias jurídicas de su omisión, en la idea de indefensión material. Pues no cabe ignorar la dimensión instrumental del citado trámite encaminado a hacer posible el correcto ejercicio del derecho de defensa y si éste no se ve impedido o mermado por la omisión denunciada no resulta procedente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 anudar a la ausencia del trámite la ineficacia del acto que se pretende, como ocurre en el presente caso. Procede, por tanto, desestimar este motivo de impugnación.>> (El subrayado es de la AEPD) III Corresponde seguidamente examinar las alegaciones a la Propuesta de resolución formuladas por QDQ y la documentación adjunta a ella. Escrito que se recibió en el Registro de la AEPD cuando había transcurrido el plazo concedido para el trámite de audiencia, en fecha 30/06/2017, siendo así que el plazo de diez días para formular alegaciones a la Propuesta había concluido días antes, el 23/06/2017, que es la fecha en la que la denunciada y ahora recurrente presentó, a través de correo administrativo, su escrito de alegaciones. Recordemos que la resolución que se impugna por medio de este recurso de reposición se dictó por la AEPD el día 26/06/2017. A. QDQ muestra en sus alegaciones a la Propuesta su discrepancia con la afirmación que en aquélla hizo la AEPD, a tenor de la cual la documentación que obra en el expediente administrativo en ningún caso acredita que el denunciante, cuyos datos fueron informados al fichero ASNEF por QDQ, hubiera recibido el email de esa entidad requiriéndole el pago de la deuda con carácter previo a su inclusión, por lo que se estima vulnerado por la entidad el artículo 38.1.c del RLOPD y los artículos 4.3 y 29.4 de la LOPD. Sobre este particular QDQ dice en el escrito de alegaciones -alegación tercera, folio 3- que “el certificado aportado por mi representada y que se adjunta nuevamente como Documento número 4 acredita técnicamente no sólo el envío sino también la recepción de dicha comunicación” Pues bien, hemos de advertir que el documento número 4 que la denunciada aportaba con sus alegaciones y que a su juicio “acredita técnicamente” que el email de requerimiento de pago enviado a través de ***EMAIL.5 se recibió por el deudor denunciante, ya fue aportado al expediente por QDQ en dos trámites anteriores: en el curso de las actuaciones de investigación previa (folios 61 a 67 del expediente administrativo) y con las alegaciones al acuerdo de inicio del expediente (folios 106 a 112). Tal documento ha sido analizado detenidamente por esta Agencia, en particular por el Servicio de Inspección, en esos dos momentos procesales y es sobre él, o más exactamente, sobre los extremos que tal documento no acredita, sobre los que se fundamenta la resolución sancionadora dictada por la AEPD frente a QDQ. QDQ, después de afirmar que tal documento le permite demostrar que hizo el preceptivo requerimiento previo de pago al deudor, hace, encuadrada en la alegación tercera de su escrito, lo que ella califica de explicación detenida y técnica del documento lo cual le permite acreditar, dice, “no sólo el envío sino también la recepción de dicha comunicación”. Seguidamente, en relación con cada uno de los apartados que integran el “Anexo de detalles técnicos” del mencionado documento, vierte diversos comentarios. Así, en relación al primero de los apartados, denominado “Detalles de la cabecera del correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 electrónico”, indica, entre otras cuestiones: “Podemos ver que el día 13 de julio de 2015 salió desde el servidor propiedad de QDQ media ***URL.1 con dirección IP ***IP.3 y llegando al servidor de destino Microsoft SMTP Server id con IP ***IP.2.” Respecto al apartado “Detalles técnicos. Consultas host-t mx dominio” señala que el “Servicio DNS sigue resolviendo la misma IP para el servidor de gestión del correo del dominio de destino, esto es, la dirección IP del servidor de correo de ***EMAIL.1 sigue siendo la ***IP.1, la misma que aparece en la transcripción de los logs de los servidores de correo de Lleida.net”. Y en relación al último de los apartados del “Anexo de detalles técnicos”, “Detalles del registro de sistema”, dice: “Como puede comprobarse en la página IANA (…) un código de respuesta dsn=2.0.0 corresponde con un proceso de entrega correcto y aceptado (status= sent) por el servidor de destino”. QDQ aportaba también con las alegaciones a la Propuesta de resolución un documento emitido por ***EMAIL.5 (que hace el número 5 de los que acompañan a sus alegaciones a la Propuesta) sobre el que afirma “acredita la explicación anterior y donde se reflejan además las Referencia sobre Código SMTP y Códigos DSN”. Pues bien, lo cierto es que tras analizar dicho documento, denominado “ Análisis anexo técnico” y que se define como un análisis del anexo técnico del correo enviado por QDQ a la dirección de correo ***EMAIL.1 en fecha 13 de julio de 2015, la AEPD comprueba que no ofrece elementos probatorios nuevos de la recepción en la dirección de correo electrónico del denunciante del requerimiento previo de pago que QDQ envió a través de Lleida Net, y que es el objeto de la controversia. A la luz de este documento sí cabe afirmar que la documentación existente en el procedimiento no sólo acredita el envío de un email por QDQ, a través de Lleida.Net, desde el servidor emisor al servidor de destino -extremo que ya la resolución impugnada había considerado probado-, sino también -y esa es la novedad que nos ofrece la documentación adjunta a las alegaciones a la Propuesta remitidas por QDQ- que queda acreditada la correcta entrega de ese email en el servidor de destino, pero, continúa sin acreditarse la recepción del mensaje de requerimiento en la dirección electrónica del destinatario. El documento numero 5 dice: “Como puede comprobarse en la página IANA un código de respuesta dsn=2.0.00 corresponde con un proceso de entrega correcto y aceptado (status=sent) por el servidor de destino”. (El subrayado es de la AEPD) Una vez analizado el referido documento, la AEPD considera que la información contenida en los registros que Lleida Networks facilita hace prueba de que el mensaje de correo electrónico con identificador ***COD.1 fue entregado al servidor encargado de las cuentas de correo electrónico del dominio ***EMAIL.1. Lo que no prueban los registros informáticos que Lleida Networks facilita (documentos números 5 y 4 adjuntos a las alegaciones a la Propuesta) es que el servidor de destino llegara a entregar el mensaje de correo electrónico al buzón ***EMAIL.1. Existen circunstancias no achacables al titular de la cuenta de correo destinataria de la comunicación que podrían hacer que el mensaje, habiendo sido recibido por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 servidor, no fuera efectivamente entregado en el buzón destinatario. Así, cabe mencionar, a título de ejemplo, algunos supuestos: Que el proceso encargado de entregar los correos recibidos a los correspondientes buzones hubiese sufrido un error fatal que provocase la pérdida de uno o más correos. O que el software anti spam utilizado por el servidor de correo electrónico hubiese clasificado erróneamente como spam el mensaje. Es debido a ello que esta Agencia estima, tras el examen de la documentación remitida, que no se han aportado evidencias de la entrega de la notificación de requerimiento de pago al buzón del correo electrónico del denunciante B. QDQ invoca, además, en sus alegaciones a la Propuesta otras cuestiones que pasamos a mencionar. 1. Advierte la ahora recurrente en sus alegaciones que la AEPD ha obviado que el requerimiento enviado a través de email al denunciante no es un simple correo electrónico; se trata de correos electrónicos “certificados” remitidos por un “tercero de confianza” figura contemplada en el artículo 25 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI). Cabe señalar, sin embargo, que son varias las diferencias entre el supuesto contemplado en el artículo 25 de la LSSI y el que aquí nos ocupa. Una de ellas, como se infiere de la lectura de esa disposición, que la figura del tercero de confianza presupone que las partes, esto es, QDQ y el deudor, hubieran pactado la intervención de ese tercero lo que evidentemente no ha ocurrido en el presente caso. 2. Otro de los asuntos planteados alude a la permanencia de los datos del denunciante en el fichero de solvencia ASNEF. A ese respecto QDQ remitía adjunta a sus alegaciones a la Propuesta, como documento anexo número 2 , una impresión de pantalla con el resultado de la consulta efectuada en fecha 22/06/2017 al fichero ASNEF utilizando como identificador el NIF del denunciante y en la que consta que en esa fecha no existen datos del denunciante inscritos en el fichero. Pues bien, en el Hecho probado segundo, idéntico en la Propuesta y la resolución, se dice en su último inciso: “En fecha 16/09/2015 la inclusión en ASNEF continuaba vigente (folio 8) sin que tengamos noticia de que posteriormente haya sido cancelada”. Por tanto, hemos de reconocer que tal afirmación era cierta en la fecha en la que se firmó la Propuesta de resolución (el 01/06/2017), pero a la luz de la documentación presentada por QDQ con sus alegaciones a la Propuesta –que se recibieron en la AEPD después de que se dictara la resolución sancionadora- había dejado de ser cierta cuando se dicta la resolución sancionadora, el 26/06/2017, ya que al menos tres días antes los datos se habían cancelado del fichero. 3. Alega, asimismo, QDQ que además de requerir de pago al denunciante mediante el email enviado por Lleida Networks efectuó el preceptivo requerimiento a través de la empresa gestora de cobros ELSECREDIT GEMASA, S.L. Aporta a estos efectos, como documento anexo número 7, un certificado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 expedido por el representante de esa mercantil en el que manifiesta que QDQ suscribió con ella el 01/03/2011 un contrato para la gestión de expedientes de clientes morosos con el objeto de obtener el cobro de las deudas pendientes; que gestionó la deuda del denunciante mediante reclamación telefónica y por escrito en dos periodos de tiempo distintos, entre 2012 y 2016, y que devolvió el expediente en septiembre de 2016 tras no haber podido recuperar la deuda. A propósito de esta cuestión, decir que no puede otorgarse al certificado expedido por la empresa gestora de cobros valor probatorio de que aquella hizo en nombre de QDQ el preceptivo requerimiento de pago. Destacar también que el documento aportado nada dice sobre la forma del requerimiento, esto es, si se efectuó en los términos del artículo 39 RLOPD, que es un requisito intrínseco al requerimiento previsto en el artículo 38.1.c, RLOPD. En otras palabras, en el certificado de ELSECREDIT GEMAS, S.L., no se reconoce que hubiera informado el deudor, al tiempo de hacer el requerimiento de pago, que en caso de no atenderlo sus datos podrían ser incluidos en un fichero de solvencia patrimonial. Información que preceptivamente ha de facilitarse al deudor en dos momentos distintos; al celebrar el contrato del que deriva la deuda y al tiempo de efectuar el requerimiento al que se refiere el artículo 38.1.

1. c)del RLOPD. 4. En la alegación Séptima del escrito de alegaciones a la Propuesta QDQ muestra su “disconformidad” con el hecho de que la AEPD hubiera desestimado la prueba que propuso por considerarla innecesaria e improcedente. El Antecedente quinto de la Propuesta de resolución recoge expresamente que la entidad denunciada había solicitado “para el caso de ser necesario” que la AEPD oficiara a la empresa LLEIDANETWORKS SERVEIS TELEMATICS, S.A., (…) “para que acredite que efectivamente se comunicó fehacientemente por mi representada al denunciante la inclusión de la deuda en el fichero Asnef Equifax con carácter previo al alta en dicho fichero”. Asimismo, también se hace constar en la Propuesta que en el escrito mediante el que la Instructora del expediente denegó la práctica de dicha prueba se le informaba de que, por una parte, aquélla perseguía obtener un documento que ya obraba en el expediente, aportado tanto en el curso de las actuaciones previas de inspección como adjunto a las alegaciones al acuerdo de inicio. Nos referíamos al documento que la denunciada ha aportado por tercera vez adjunto a las alegaciones a la Propuesta, identificado como documento número 4. Se decía también que, con arreglo a las normas que rigen la carga de la prueba, incumbe a quien invoca el cumplimiento de una obligación legal, como lo es la impuesta por el artículo 4.3 en relación con el 29.4 de la LOPD y 38.1.c del RLOPD, la prueba de su cumplimiento. Esas razones son a juicio de esta Agencia suficientes para que en el trámite procedimental oportuno se desestimará, como así aconteció, la prueba propuesta por QDQ, consistente en que la AEPD oficiara a la empresa Lleida Net, con quien la denunciada contrató el servicios de emails certificados para requerir el pago, que le facilitara la documentación que acreditara que su cliente (QDQ) había cumplido una obligación legal impuesta por la normativa de protección de datos. 5. QDQ aduce en su defensa en las alegaciones a la Propuesta, como lo hizo en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 las alegaciones al acuerdo de inicio del expediente sancionador y vuelve a plantear en el escrito de interposición del recurso de reposición, que ha actuado amparada en la confianza legítima de que el protocolo que tenía implementado para requerir el pago de deudas a sus clientes, previo a su inclusión en ficheros de solvencia, a través de los emails remitidos por la Lleida Net era ajustada a Derecho, pues la AEPD, en un caso idéntico al que aquí se plantea, validó su actuación. Se refiere la recurrente a la resolución dictada por la AEPD en el expediente de archivo de actuaciones E/5178/2015 de fecha 17/05/2015. QDQ estima que, atendidas las circunstancias, es plenamente aplicable al asunto que nos ocupa la doctrina de los actos propios o principio de confianza legítima. Este principio, que procede del Tribunal de Justicia de la Comunidad Europea y pasa a ser aceptado desde 1990 por nuestro Tribunal Supremo, expresa la confianza de los ciudadanos en que la actuación de las Administraciones Públicas no puede ser arbitraria. Manifestación de la acogida de tal principio en el Derecho español era el artículo 54.1 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas, actualmente derogada, que no tiene un precepto equivalente en la Ley 39/2015, y que establecía: “Serán motivados, con sucinta referencia de hechos y fundamentos de derecho: (…)
2. c)Los que se separen del criterio seguido en actuaciones precedentes o del dictamen de órganos consultivos”. Pues bien, tanto en el escrito de Propuesta como en la resolución que ahora se impugna, la AEPD ha explicado detenidamente las razones por la cuales la conducta objeto de la denuncia es subsumible en el tipo infractor del artículo 44.3.
3. c)LOPD. En ningún caso estamos ante una actuación arbitraria de esta Agencia, más al contrario. Cuando se dictó la resolución de archivo, E/5178/2015, el núcleo de la denuncia no era la falta de requerimiento de pago y tal vez por ese motivo pudo adolecer de falta de rigor la valoración de la documentación aportada en el curso de ese expediente. IV A. Centrándonos en el examen de los motivos invocados como fundamento del presente recurso de reposición, indicar que el principal de los aducidos por la recurrente es estimar probado el cumplimiento de la obligación impuesta por el artículo 38.1.c, del RLOPD y los artículos 4.3 y 29.4 LOPD. Su afirmación se apoya en el hecho acreditado de que el mensaje de requerimiento de pago fue entregado en el “servidor” de correo del denunciante, que según dice, reconoce y acepta el correo del dominio destinatario, esto es, de QDQ, al encontrarse de alta en dicho servidor. A ese hecho añade la circunstancia de que la Ley en ningún caso obliga a que se acredite la “lectura” o “apertura” por parte de su destinatario del mensaje enviado por correo electrónico y también su opinión de que es suficiente para entender cumplida la obligación de practicar el preceptivo requerimiento de pago previo con acreditar la entrega del email a través del cual se hace dicho requerimiento en el servidor del dominio destino MDA. De estas afirmaciones de la recurrente se comparte - como se ha anticipado en el Fundamento III de este recurso, en el cual se han examinado las alegaciones efectuadas por QDQ a la Propuesta de resolución- que ciertamente los documentos facilitados por Lleida Net demuestran que el email de requerimiento enviado por ella al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 denunciante se recibió en el “servidor” de destino. También se comparte la afirmación de que la Ley no obliga a “acreditar la lectura o apertura” por el destinatario del mensaje electrónico enviado. Pero es obligado disentir de la recurrente cuando manifiesta que es suficiente para estimar acreditada la entrega del email la prueba de la entrega en el servidor del dominio de destino. Con esta postura la AEPD no adopta un criterio arbitrario en la cuestión planteada sino que acoge la doctrina de la Sala de lo Contencioso Administrativo de la Audiencia Nacional (SAN de 14/11/2016, Rec.1432/2015) que exige que quede probada la “recepción por el destinatario”, aspecto sobre el que se hacen en la resolución recurrida las pertinente consideraciones. Como se expone en el Fundamento III precedente, a la luz de la documentación aportada en ningún caso se prueba la “recepción en la dirección electrónica del destinatario”. B. Otros de los argumentos que la recurrente esgrime como fundamento del recurso que no son reiteración de los invocados en trámites anteriores, son los siguientes: 1. Aduce la entidad que ha actuado en todo momento con diligencia en el cumplimiento de las obligaciones que le impone la normativa de protección de datos. Como muestra de ese obrar diligente y con el propósito de realizar correctamente los preceptivos requerimiento de pago a sus clientes deudores, previos a la inclusión de sus datos en ficheros de solvencia, suscribió con la empresa Lleida Networks Serveis Telematic, S.A., el 05/02/2014, un contrato que tenía por objeto el servicio de envío de emails certificados. Explica que actuó de buena fe confiando en los servicios que la entidad Lleida Net se comprometía a prestar. Conforme a las estipulaciones contractuales, a través de dichos servicios podría acreditarse la “entrega en el buzón de correo electrónico receptor” del correo electrónico que contiene el requerimiento de pago al deudor. Efectivamente, como se reflejó por la AEPD en los Hechos declarados probados de la Propuesta y la resolución (hecho sexto) QDQ y Lleida Net suscribieron un contrato cuyas condiciones generales incluían entre los servicios objeto de aquél el denominado “Servicio de e-mail certificado” que el propio contrato define en los siguientes términos: “servicio por el cual ***EMAIL.5 en su calidad de operadora de comunicaciones y tercero de confianza, recibe, reencamina y entrega un correo electrónico de un usuario emisor a uno o varios usuarios receptores, generando un certificado firmado digitalmente que acredita dirección de correo electrónico emisora, direcciones de correo electrónico receptoras, contenido del mensaje y entrega en el buzón de correo electrónico receptor”. (El subrayado es de la AEPD) La AEPD estima que tal circunstancia evidencia que la entidad actuó con la confianza de que el protocolo adoptado a raíz de los servicios contratados con la empresa Lleida Net cumplía los requisitos exigidos por la normativa de protección de datos y que, aunque estamos en presencia de un error vencible que pudo desvanecerse haciendo la recurrente las comprobaciones oportunas, este extremo incide directamente en el elemento de la culpabilidad de la entidad y conlleva una cualificada disminución de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 dicho elemento que ha de ser valorada conveniente en la graduación de la sanción a imponer. 2. Invoca la recurrente que sus clientes son empresarios individuales, cuestión que plantea por vez primera sin que antes hubiera puesto en tela de juicio la competencia objetiva de esta Agencia. Si bien el artículo 2.3 del RLOPD, referente al ámbito objetivo de aplicación, dice que “Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán del régimen de aplicación de datos de carácter personal”, el alcance de esta disposición ha de interpretarse a la luz de la jurisprudencia del Tribunal Supremo y de la doctrina de la Audiencia Nacional que señalan que en aquellos casos en los que los datos del empresario se refieren también a su vida privada no quedan excluidos del ámbito de aplicación de la LOPD. Cabe mencionar a ese respecto la SAN de 12/06/2014 (Rec.31/2013) en la que la parte recurrente invocó la inaplicabilidad de la LOPD y del RLOPD y solicitó la anulación de la resolución sancionadora dictada por la AEPD por infracción del artículo 44.3.c, habida cuenta de que no se había requerido de pago al deudor previamente a su inclusión en un fichero de solvencia por cuanto la deuda reclamada procedía del incumplimiento de una relación mercantil y de que, por la naturaleza de la actividad que la recurrente desarrollaba, todos sus clientes eran empresarios, sea individuales o personas jurídicas. En la SAN precitada se desestimó ese motivo de impugnación. El Fundamento Jurídico quinto de la SAN dice al respecto: “Así, en cuanto a la aplicación de la LOPD a supuestos como el ahora enjuiciado, es criterio constante de esta Sala expresado, por ejemplo, en Sentencia de 31 de mayo de 2012 (Recurso 396/2011), cuyo contenido se reproduce parcialmente en la más reciente Sentencia de 5 de mayo de 2014, ….”que tanto los profesionales como los comerciantes individuales quedan bajo el ámbito de aplicación de la Ley Orgánica 15/1999 (…) cuando los primeros no tengan organizada su actividad profesional bajo la forma de empresa (…) y los segundos, cuando no se posible diferenciar su actividad mercantil de la propia actividad privada. En estos dos casos se aplican siempre las garantías de la Ley Orgánica 15/1999 dada la naturaleza del derecho a proteger. En este sentido la San de 29-03-2006 (Rec. 348/2004) …establece lo siguiente: No puede concluirse que los empresarios individuales y profesionales estén en su conjunto excluidos del ámbito de protección de la LOPD, sino que se hace necesario diferenciar (…) cuando un dato del empresario o profesional se refiere a la vida privada de la persona y cuando a la empresa o profesión, pues sólo en el primer caso cabe aplicar la protección de la L.O. 15/1999”. (El subrayado es de la AEPD) 3. Otro de los argumentos que QDQ invoca para entender cumplida la obligación de requerir al deudor con carácter previo a su inclusión en ficheros de solvencia es la aplicación al supuesto que nos ocupa de la presunción prevista en el artículo 28.2 de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI) relativa a la confirmación por el oferente de que ha recibido la aceptación de la contraparte, Disposición que no resulta de aplicación a los hechos que nos ocupan pues aquella versa exclusivamente sobre la prueba de la emisión y recepción por las partes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 del consentimiento a la contratació. V Tras las consideraciones efectuadas en los Fundamento precedentes hemos de concluir, con las matizaciones a las que haremos referencia a continuación –sobre las que ya nos hemos pronunciado en párrafos anteriores- que la AEPD se ratifica en la calificación jurídica de los hechos denunciados como una vulneración de los artículos 4.3, en relación con el 29.4 de la LOPD y con el artículo 38.1.
4. c)RLOPD, subsumible en el tipo infractor del artículo 44.3.
5. c)LOPD, motivo por el que se dan por reproducidos los Fundamentos II a IV de la resolución impugnada que se transcriben a continuación. Las matizaciones a las que se alude no inciden en la calificación jurídica de los hechos y se traducen únicamente en una modificación parcial de los hechos probados Segundo y Noveno. Respecto al Hecho probado Segundo porque, si bien es cierto que en la fecha en la que se dictó la resolución sancionadora, el 26/06/2017, aún no se habían recibido las alegaciones a la Propuesta de la ahora recurrente, se ha conocido por medio de los documentos anexos a ella que en fecha 23/06/2017 el denunciante no figuraba ya incluido en el fichero de solvencia. Respecto al Hecho probado Noveno porque el certificado expedido por Lleida Net, que como se ha señalado no acredita la recepción del email en el buzón del destinatario, sí acredita, además del envío de un email desde el servidor de Lleida Net, que aquél se había recibido en el servidor de destino. <<II La LOPD se ocupa en su artículo 4 de la "Calidad de los datos" y dedica el apartado 3 al principio de exactitud o veracidad, corolario del principio de calidad de los datos, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en el apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial al amparo del artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
7. c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Por otra parte, los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
8. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio que de forma constante viene manteniendo la Sala de lo Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) En la misma línea la SAN de 28/06/2016 (Rec. 1703/2015) expone en el Fundamento Jurídico segundo: “(…) el hecho de que las cartas que contenían el citado requerimiento fueran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 entregadas por la demandante a la empresa que le presta el servicio de comunicación a los deudores de requerimientos de pago como el que nos ocupa, Delion Comunications, S.L.U., y que se justificara suficientemente su entrega a UNIPOST, S.A., para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo”. (El subrayado es de la AEPD) IV A. La denuncia que nos ocupa versa sobre el presunto incumplimiento por QDQ de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente con carácter previo a la inclusión de sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) Está acreditado que QDQ informó al fichero ASNEF los datos del denunciante con fecha de alta 20/07/2015, por un saldo deudor de 235,85 euros y que la anotación estaba vigente casi dos meses después, en fecha 16/09/2015 pues es de esa fecha la respuesta que la responsable del fichero ASNEF dirigió al denunciante denegándole la cancelación de sus datos del fichero que había solicitado. La deuda informada al fichero de solvencia asociada al denunciante procede del incumplimiento por su parte de la obligación de pago derivada del contrato que celebró con la denunciada el 08/04/2014 por vía telefónica. A estos efectos la denunciada ha aportado copia de la grabación de la conversación telefónica en la que el denunciante confirma a su interlocutor sus datos personales, entre ellos el NIF, los productos objeto de contratación y la dirección postal. En los registros informáticos de la denunciada consta asociada al denunciante la dirección de correo electrónico ***EMAIL.1. Indicar también sobre el contrato que el denunciante celebró con QDQ que las “Condiciones Generales del Contrato de Prestación de Servicios de Consultoría en Internet” , documento que la denunciada facilitó a la AEPD en respuesta al requerimiento informativo de la Inspección, no se prevé que las notificaciones dirigidas a los clientes (por lo que aquí interesa, al denunciante) que sean necesarias para la ejecución del contrato se efectúen a través de correo electrónico. B. QDQ, con objeto de probar que requirió al denunciante el pago de la deuda antes de informar sus datos al fichero ASNEF, ha aportado copia escrita de una carta dirigida al denunciante que tiene fecha del 10/07/2015 en la que le concede un plazo de diez días para atender el pago y le advierte de que si no pone fin a la situación de impago será incluido en el fichero ASNEF. La denunciada afirma que tal comunicación de requerimiento de pago se envió al denunciante a través de un “correo electrónico certificado” de la empresa LLEIDA NETWORKS TELEMATICS, S.A. QDQ celebró con LLEIDA NETWORKS TELEMATICS, S.A., el 05/02/2014 un contrato de prestación de servicios que incluía, entre otros, el servicio de “E-mail certificado”. El Anexo 1 de las Condiciones Generales del contrato (folio 77) define el contenido de ese servicio señalando que ***EMAIL.5 genera un certificado firmado digitalmente que acredita, entre otros extremos que se detallan expresamente, la “entrega en el buzón de correo electrónico receptor”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 El certificado que QDQ ha aportado responde a la definición del servicio que hace el Condicionado del contrato. Así, QDQ ha aportado un “certificado digital” de “Lleida.net” en el que consta que “La operadora de telecomunicaciones LLEIDA NETWORKS Servèis Telmàtic, S.A., certifica que el usuario registrado con nombre/razón social QDQ Media, S.A.U., (…) ha enviado un correo electrónico certificado al destinatario ***EMAIL.1 a las 09 horas 31 minutos del día 13 de julio de 2015 (….). Consta como remitente del email ***EMAIL.3, reenviado en nombre de la Sra. L.L.L.. , ***EMAIL.7 con el siguiente contenido (…)”. Contenido que no es otro que el de la carta de requerimiento de pago de fecha 10/07/2015 antes mencionada. El certificado digital que QDQ aporta termina diciendo: “El correo electrónico fue entregado correctamente, según consta en nuestros registros a las 09 horas 32 minutos del día 13 de Julio de 2015 (09.32 GMT +2), adjuntándose al final de este certificado los detalles de la entrega”. (El subrayado es de la AEPD) Ahora bien, las afirmaciones taxativas que incorpora el certificado de ***EMAIL.5 no han quedado acreditadas por la documentación que aporta, esto es, los detalles técnicos que se adjuntan a dicho certificado. El Anexo relativo a los detalles técnicos dice versar sobre los “Detalles del envío y entrega a los destinatarios o a sus agentes electrónicos debidamente autorizados”. En el presente caso esos detalles técnicos son los siguientes:
9. a)
10. b)
11. c)Detalles de las cabeceras del correo electrónico: “from ***EMAIL.3 to F.F.F.,” siendo el asunto “Incidencia financiera con QDQMedia”, “resent –from” “ ***EMAIL.7. Detalles del dominio destino: Se hace constar que en el momento del envío el correo electrónico enviado a cuentas del dominio “ ***EMAIL.1”, era gestionado por el servidor “5 ***EMAIL.1”. Detalles del registro de sistema: En el que se indica “....” Tras el análisis de los detalles técnicos se concluye que únicamente consta acreditado el envío de un correo electrónico –cuyo texto incluía un requerimiento de pago a nombre del denunciante de una deuda por importe de 235,85 euros- con origen en la cuenta ***EMAIL.3 y que iba destinado a la cuenta ***EMAIL.1 . Ahora bien, tal documentación en ningún caso acredita la “recepción” del referido correo por el destinatario. Llegados a este punto parece conveniente recordar que en el envío y recepción de un mensaje a través de correo electrónico participan los siguientes actores
12. a)Terminal remitente
13. b)Servidor de correo del dominio remitente (MTA1)
14. c)Servidores de correo intermedios (MTA2….MTAn)
15. d)Servidor de correo del dominio destinatario (MDA)
16. e)Terminal destinatario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 Así, el esquema simplificado del envío de un correo electrónico, entre un remitente y un destinatario cuyas cuentas de correo son gestionadas por servidores de correo ubicados en distintos dominios, vendría a ser el siguiente: 1) Cuando el remitente quiere enviar un correo electrónico (en el presente caso desde la cuenta ***EMAIL.3) al denunciante ( ***EMAIL.1), su sistema de correo electrónico se comunica con el servidor de correo electrónico del dominio del remitente (MTA1). Para que este haga llegar el mensaje a su destinatario. 2) El mensaje de correo sale del servidor MTA1 y es transmitido a través de una sucesión de servidores de correo intermedios (MTA2….MTAn) ubicados en Internet hasta que finalmente llega al servidor del dominio destinatario (MDA). 3) El mensaje que se encuentra almacenado en el servidor MDA, no será descargado en el terminal del destinatario y mostrado a éste hasta que se haya conectado al servidor de correo. Lo descrito en este último punto es relevante desde el punto de vista temporal, ya que las comunicaciones entre el remitente y el servidor de destino se producen de manera sucesiva y en un breve espacio de tiempo (en un escenario de funcionamiento normal, en cuestión de minutos), mientras que la descarga del correo electrónico en el terminal del destinatario no se producirá hasta que éste se conecte al servidor, lo que podría ocurrir mucho tiempo después. El mensaje de correo transita por una sucesión de servidores de correo MTA 1, MTA2,…. , MTAn para llegar al servidor de correo del dominio de la cuenta destinataria MDA. A continuación se relacionan una serie de casos en los que la comunicación pudo no ser recibida y al mismo tiempo no se registró un error en el servidor origen:
17. a)Ausencia de respuesta: El protocolo SMTP no exige a los servidores que lo implementan la obligación de responder a las solicitudes con mensajes de error en el caso de que estos ocurran. El protocolo determina como deben de ser codificados determinados tipos de error de forma que cumplan con éste, pero es la configuración de los servidores de correo la que establece si ante un determinado error se responde con el mensaje correspondiente o no. Un ejemplo de este tipo de configuración sería un servidor de correo electrónico que al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 recibir un correo destinado a una cuenta inexistente no comunica el error al servidor origen. Este tipo de configuración suele hacerse con el fin de evitar los ataques que se dedican a probar las cuentas de correo de un dominio con el fin de averiguar cuáles existen y cuáles no.
18. b)Descartado como spam: Los servidores y algunos clientes de correo acostumbran a incorporar programas anti spam, anti virus y sistemas de verificación del origen de los correos en base a reputación que pueden hacer que un correo electrónico, aunque no sea malicioso ni spam, sea clasificado como tal. Si se da esa circunstancia, no se produce ninguna comunicación de error en el envío al remitente caso y, en función de la configuración del servidor receptor, el mensaje podría ser borrado (en torno al 85% del correo electrónico que recibe un servidor de correo es spam) o bien almacenado temporalmente en una carpeta de correo no deseado que no es accesible al destinatario.
19. c)Error interno: En la comunicación 3 se produce un error. En este caso el error, que ocurre dentro de la red de la organización que gestiona el correo del destinatario puede no remitir al servidor remitente un mensaje de error (informar sobre errores internos a entidades externas no es habitual) y el destinatario nunca ha llegado a recibir el correo electrónico.
20. d)Error en la entrega: En ocasiones pueden producirse errores en la comunicación 4 que impiden que aunque un mensaje de correo se encuentre en el servidor, pueda ser descargado o visualizado. Este tipo de errores tampoco tienen por qué ser notificados al servidor remitente.
21. e)Doble error: Cabe la posibilidad de que ocurriese un error pero que la comunicación de dicho error al servidor remitente fallase o que se produjera un nuevo error, esta vez en el propio registro del mensaje de error recibido. En el presente caso los documentos que la denunciada ha aportado a la AEPD no permiten ni siquiera acreditar que el correo electrónico enviado por ***EMAIL.5 se hubiera recibido en el servidor del correo de destino. En definitiva, la denunciada ha facilitado a la AEPD en prueba de que efectuó el preceptivo requerimiento de pago al deudor, anterior a la comunicación de sus datos a ASNEF, tanto en el curso de las actuaciones de investigación previa como con sus alegaciones al acuerdo de inicio del expediente, el certificado de Lleida.net. anteriormente analizado. Documento que contiene evidencias del envío de un mensaje remitido desde la dirección de correo ***EMAIL.3 a la cuenta de destino ***EMAIL.1, pero no incluye evidencias de la entrega de dicho correo electrónico al destinatario. C. Es determinante la acreditación de que se recibió por el destinatario (en este caso el denunciante) el correo electrónico a través del cual QDQ le requería el pago de la deuda. Únicamente si ese extremo resulta probado podemos entender cumplida la obligación impuesta por el artículo 38.1.
22. c)del RLOPD al acreedor que informa al fichero datos de terceros. El cumplimiento de esta obligación legal es condición indispensable para que la inclusión de los datos personales de un tercero en un fichero de solvencia patrimonial sea respetuosa con la normativa de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 La SAN de 14/11/2016 (Rec. 1432/2015) se ha pronunciado sobre la relevancia de probar la “recepción por el destinatario” del correo electrónico a través del cual se le requiere el pago de la deuda previo a la inclusión de sus datos en un fichero de solvencia y se le informa de que en caso de no atender el pago en plazo sus datos podrían ser incluidos en un fichero de morosidad. La Sentencia precitada desestimó el recurso contencioso administrativo interpuesto por la entidad sancionada contra la resolución dictada por la AEPD por infracción de los artículos 4.3 y 29.4 LOPD, en relación con el artículo 38.1.c, del RLOPD, por cuanto el requerimiento de pago se había efectuado por correo electrónico al email del denunciante sin que se tuviera constancia de la recepción del email por el destinatario. En su Fundamento de Derecho cuarto dice: “Pues bien, con dichas pruebas no se ha acreditado que se hubiesen efectuado los requerimientos previos a la inclusión en los ficheros Asnef y Badexcug de los datos personales de los denunciantes, (…) En relación a lo correos electrónicos enviados se desconoce si se recibieron adecuadamente por los denunciantes.(…)” Añade que “A este respecto, resulta interesante lo declarado por esta Sala en relación con cartas enviadas conteniendo el requerimiento en cuestión. Este Tribunal en su Sentencia de 15 de septiembre de 2011 –recurso nº. 341/2010-, siguiendo una línea jurisprudencial consolidada, declara que ha sostenido que, a los efectos de entender cumplido el requisito del requerimiento de pago antes de incluir los datos personales en un fichero de solvencia patrimonial, no resulta una prueba válida una copia de una carta que le requiriese de pago sin que conste su envío ni mucho menos la recepción por los denunciantes”. (El subrayado es de la AEPD) Trasladando las consideraciones realizadas a los hechos que se someten a la valoración de esta Agencia se concluye que QDQ, en tanto no ha demostrado la recepción por el denunciante del correo electrónico de requerimiento de pago que envió a través de Lleida.net, no cumplió la obligación que le impone el artículo 38.1.c del RLOPD en relación con los artículos 4.3 y 29.4 de la LOPD de conformidad con el criterio jurisprudencial de la Sala de lo Contencioso administrativo de la Audiencia Nacional antes citado. D. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas (…) que resulten responsables de los mismos a título de dolo o culpa”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia. Paralelamente, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) ha venido entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia que debe observarse se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. Se suma a lo expuesto que la normativa de protección de datos además de supeditar la legalidad de la inclusión de los datos del tercero deudor en un fichero de solvencia al cumplimiento de los requisitos descritos en el artículo 38.1 del RLOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 “refuerza” la diligencia que ha de desplegar el acreedor informante para su cumplimiento. Esta disposición señala que el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la AEP documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo –por tanto, también el descrito en el apartado 1.c, del precepto- y del requerimiento previo al que se refiere el artículo 39 del RLOPD. Así las cosas, a tenor de la exposición precedente hemos de concluir que en el presente caso, QDQ, omitiendo la diligencia que estaba obligada a desplegar en el cumplimiento de las obligaciones que le imponen la LOPD y el RLOPD, vulneró el artículo 4.3 de la citada Ley Orgánica en relación con el artículo 29.4 y en relación también con el artículo 38.1 de su Reglamento de desarrollo, conducta que es subsumible en el tipo infractor del artículo 44.3.
23. c)LOPD.>> VI A la luz de la exposición precedente, se han puesto de manifiesto diversas circunstancias que inciden en el grado de culpabilidad de la entidad infractora y que conducen a estimar la pretensión de la recurrente de que se imponga por la infracción del artículo 44.3.
24. c)LOPD una sanción menor que la fijada en la resolución impugnada. Es por ello necesario hacer una nueva cuantificación de la sanción a atendidas las disposiciones de los artículos 45.5 y 45.4 LOPD. El artículo 45.5 LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". En el presente caso se estima procedente la aplicación de la atenuante cualificada descrita en el artículo o 45.5.
25. a)de la LOPD, precepto que dispone: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
26. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este este artículo”. Las circunstancias recogidas en el artículo 45.4 LOPD que son exponente de una cualificada disminución de la culpabilidad de QDQ son las descritas en sus apartados
27. f)y j). El artículo 45.4
28. f)LOPD se refiere al “grado de intencionalidad”. Esta expresión debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 QDQ, obrando diligentemente y con el propósito de cumplir la normativa de protección de datos y de efectuar correctamente los requerimientos de pago a sus clientes deudores previos a la inclusión de sus datos en ficheros de solvencia, suscribió con la empresa Lleida Networks Serveis Telematics, S.A., un contrato que tenía por objeto la prestación del servicio de emails certificados que permitían acreditar, según el documento contractual, la entrega en el buzón del correo electrónico receptor, todo lo cual pone de manifiesto que actuó en la creencia de que el protocolo que tenía implementado era correcto. El artículo 45.4
29. j)LOPD se refiere a “Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Estima esta Agencia que ha de encuadrarse en ese apartado el hecho de que la documentación que ha facilitado a la recurrente Lleida Networks Serveis Telematics, S.A., sobre los aspectos técnicos que debían permitir acreditar que efectivamente se había realizado la entrega del mensaje de requerimiento de pago enviado por correo electrónico en el “buzón del correo receptor” no cumple tal cometido. Esto, porque como se ha señalado en los Fundamentos precedentes, los documentos presentados por Lleida Networks únicamente prueban que desde el servidor de origen se envió el email y fue recibido en el servidor de destino, en ningún caso en la dirección electrónica o buzón del correo electrónico receptor. Hecho que evidencia una menor culpabilidad de la entidad infractora. Recordemos en ese sentido que según los términos del contrato celebrado entre QDQ y Lleida Networks Serveis Telematics ( Anexo 1, apartado A.1) el servicio de email certificado se define como el “servicio por el cual ***EMAIL.5 en su calidad de operadora de comunicaciones y tercero de confianza, recibe, reencamina y entrega un correo electrónico de un usuario emisor a uno o varios usuarios receptores, generando un certificado firmado digitalmente que acredita dirección de correo electrónico emisora, direcciones de correo electrónico receptoras, contenido del mensaje y entrega en el buzón de correo electrónico receptor”. (El subrayado es de la AEPD) Teniendo la infracción tipificada en el artículo 44.3.c LOPD, de la que QDQ es responsable, la consideración de infracción grave y aplicando el efecto jurídico previsto en el artículo 45.5 LOPD, la sanción que procede imponer a la entidad estará comprendida en la escala que el artículo 45.1 de la LOPD fija para las infracciones leves: de 900 a 40.000 euros. Por otra parte se estima que en el presente caso operan como agravantes de la conducta que se enjuicia las circunstancias siguientes descritas en el artículo 45.4 LOPD: -“El carácter continuado de la infracción”, apartado a): Circunstancia que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD. En el presente caso, tal y como se hizo constar en la resolución que ahora se impugna, los datos personales del afectado se mantuvieron durante casi dos meses en el fichero ASNEF incumpliendo las garantías que impone la Ley Orgánica 15/1999 y su Reglamento de desarrollo. -“La naturaleza de los perjuicios causados”, (apartado h). La Audiencia Nacional ha declarado a propósito de la importancia de la inclusión y mantenimiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que : “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” De conformidad con las consideraciones efectuadas y valoradas las circunstancias que concurren en el presente asunto, la sanción que corresponde imponer por la infracción de la LOPD tipificada en su artículo 44.3.
30. c)de la que QDQ es responsable es de 20.000 euros (veinte mil euros) Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE el recurso de reposición interpuesto por QDQ MEDIA, S.A.U. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 26 de junio de 2017, en el procedimiento sancionador PS/00568/2016, e imponer la sanción en la cuantía de 20.000 euros (veinte mil euros) de acuerdo con el artículo 45.1, en relación con el artículo 45.5.
31. a)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad QDQ MEDIA, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es