1/6 Procedimiento PS/584/2017 Resolución del Recurso de Reposición Nº RR/469/2018 Examinado el recurso de reposición interpuesto por la entidad AVON COSMETICS SAU., (AVON), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/584/2017/2016, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 17/05/18 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/584/2017, por la que se acuerda Imponer a la entidad AVON, una multa de 64.000 (sesenta y cuatro mil euros); por una infracción de los artículos 6.1) y 4.3) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), tipificadas como grave en su artículo 44.3.b y c) respectivamente). Dicha resolución, que fue notificada a la entidad recurrente, con fecha 21/05/18, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de lo siguiente: a).- Según AVON, la fecha de alta del D.D.D. en los ficheros de la empresa fue realizada el 11/11/
- b).- Existe una factura de 18/11/15, a nombre del D.D.D. de 115,29 euros. c).- Existe albarán de entrega, fechado el 19/11/15, siendo el ordenante AVON y el destinatario es el denunciante. La dirección de entrega no coincide con la dirección aportada por el afectado en su denuncia. La recepción del paquete está firmada por una persona desconocida: R.R.R. (***NIF.1). d).- Existe certificado de DIDIMO, del envío de un SMS el 10/02/16 a un número de teléfono que concuerda con el indicado en el log aportado por AVON. En dicho SMS certificado se informaba de la deuda existente y de las consecuencias de no realizar el pago. Se adjunta contrato con Vodafone en el que se establece la prestación de servicios de envío de SMS certificados. El control de devoluciones, se realiza a través de Vodafone. En este sentido, el SMS certificado que se adjunta al presente, la comunicación resultó: “Finalizado en Destinatario”. e).- Figura inscrita una deuda asociada al denunciante en el fichero ASNEF, informada por AVON, con fecha de alta el 07/03/16 y por importe de 115,29 euros. f).- Existe una carta del denunciante dirigida a AVON, el 15/05/17, donde denuncia su inclusión en los ficheros de solvencia y acompaña la denuncia interpuesta ante la Policía Local de ***POBLACION. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 g).- Los datos fueron dados de baja del fichero ASNEF el 27/07/
- h).- No consta acreditado que el denunciante mantuviera relación alguna con la empresa AVON, ni en calidad de distribuidor ni en calidad de cliente. TERCERO: La entidad AVON ha presentado, con fecha 21/06/18, recurso de reposición fundamentándolo, básicamente, en que: PRIMERA.- De la inaplicabilidad de la LOPD. AVON mantiene que el tratamiento de los datos que realiza de su base de datos de distribuidores para la gestión de su actividad empresarial es un supuesto claramente excluido del ámbito de aplicación de la LOPD. En particular, AVON presentó un Escrito de Primeras Alegaciones ante la AEPD el 8 de febrero de 2018, en el que quedaba claramente evidenciado el respaldado por la Audiencia Nacional en las sentencias firmes número 401/2016 de 23 de marzo (JUR/2016H70196) y número 157/2016 de 4 de marzo (JUR/2016/72710), que el tratamiento de los datos que realiza de sus distribuidores, y por supuesto también del Distribuidor, está fuera del ámbito de aplicación de la LOPD. SEGUNDA.- Cumplimiento de la normativa de protección de datos aplicable. En caso de que eventualmente resultara aplicable la normativa de protección de datos al tratamiento de los datos del Distribuidor realzado por AVON, ésta habría cumplido escrupulosamente -pese a no resultarle de aplicación- con la normativa aplicable en materia de protección de datos en el momento de realizarse el tratamiento de los datos del Distribuidor (LOPD). Sin perjuicio de lo anterior y a mayor abundamiento, la LOPD no es de aplicación desde el pasado 25 de mayo de 2018, fecha a partir de la cual el Reglamento Europeo 679/2016 de Protección de Datos (el “Reglamento General de Protección de Datos“, o “RGPD") es de directa aplicación en España. En concreto, cabe destacar que el RGPD no solo deja sin efecto a la LOPD sino que además impide que los responsables de tratamiento sean sancionados por infracciones de dicha norma que ya no es de aplicación. Adicionalmente, conforme al RGPD, AVON no estaría obligada a realizar una comunicación previa e individualizada a los distribuidores antes de incluirlos en el correspondiente fichero de solvencia patrimonial, por lo que AVON no podría ser sancionada por no informar al Distribuidor de dicha inclusión (si bien. conforme a la Resolución ha quedado probado el envío por parte de AVON de un SMS al número de teléfono que concordaba con el indicado en el log de aceptación del Distribuidor). En conclusión, en virtud de lo la actuación de AVON habría sido escrupulosamente respetuosa con el derecho a la privacidad y al respecto a los datos personales del Denunciante en todo momento. Cumpliendo la LOPD en el momento de realizar el tratamiento pues realizó una comunicación previa e individualizada mediante SMS certificado al número de teléfono móvil que le constaba, informando sobre la existencia de la deuda liquida vencida y exigible y apercibiendo sobre la inclusión de los datos en un fichero de solvencia patrimonial en caso de falta de pago. Cumpliendo con el RGPD al haber tenido AVON una actitud consciente, diligente y proactiva en el tratamiento de los datos personales que llevaba a cabo del Distribuidor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 En este sentido, insistimos una vez más en que seguir este planteamiento cuando la AEPD sabe de su evidente antijuridicidad, resulta, dicho sea con el mayor respeto, temerario y perjudica, no solo a AVON, sino también al erario público y al interés público, reservándose AVON en este sentido el ejercicio de las acciones legales que legítimamente le pudieran corresponder con objeto de defender sus propios intereses y el interés general. TERCERA.- La suspensión del procedimiento administrativo ante la concurrencia de una posible infracción penal por falsedad documental, suplantación de personalidad y estafa. Hechos pendientes de esclarecerse en vía judicial penal. En el supuesto de hecho que nos encontramos, tan solo caben dos posibles alternativas, y en ambas AVON es la víctima. Bien el Denunciante falta la absoluta verdad cuando dice que nunca llegó a formalizar un contrato de distribución con AVON, y por tanto, los datos que del mismo le constan a AVON son correctos y el mensaje SMS certificado advirtiendo de la existencia de la deuda líquida vencida y exigible y apercibiendo de las consecuencias en casa de falta de pago (inclusión en fichero de morosos) me correctamente recepcionados por el Distribuidor al ser dicho número de teléfono móvil el por él utilizado. En ese caso, pese a no resultar de aplicación la LOPD AVON habría cumplido con todos los requisitos legales aplicables ante de incluir a un interesado en un fichero de solvencia patrimonial. Por otro lado, y conforme al RGPD (actual norma de protección aplicable) el requisito (cumplido) de la comunicación individual ni siquiera sería aplicable. Bien, ha habido una conducta delictiva (denunciada en dos ocasiones tanto por el Denunciante como por AVON) constitutiva de un posible delito de estafa y suplantación de la personalidad previsto en el artículo [*] del Código Penal., del cual habrían sido víctimas tanto AVON con el Denunciante. Recordemos que conforme a los hechos descritos por el propio Denunciante y aceptados como hechos probados por la AEPD, el Denunciante interpuso denuncia penal por suplantación de identidad ante la Policía Local de ***POBLACION que dieron lugar a la incoación de las correspondientes diligencias previas. El asunto en la actualidad estaría siendo investigado por la Guardia Civil. Adicionalmente, la propia AVON interpuso denuncia penal ante la Policía Nacional con fecha 23 de abril de 2018 (atestado policial ****/18), copia de la cual se acompaña como Anexo nº 1 a las presentes alegaciones, y copia del cual tienen la AEPD al haber sido presentada en el seno del PS PS/***/2018(un procedimiento iniciado por D. M.M.M. por hechos prácticamente idénticos, que lleva precisamente a sospechar aún más si cabe de una posible estafa). En conclusión, si hubo estafa. AVON es tan víctima como el Denunciante. Pero ahora bien si no hubo estafa, el Denunciante estaría faltando a la verdad, en contra de las pruebas documentales aportadas, para eximirse de la responsabilidad que le corresponde. Así y a la espera de que se dirima la existencia penal, la actuación de AVON se habría basado en un error invencible de tipo, en la conciencia de que el Distribuidor era quien decía ser. En este sentido, en tanto en cuanto los hechos denunciados por el Denunciante estén siendo objeto de investigación penal, la AEPD no puede sin más obviar esta circunstancia y declarar a AVON responsable de una infracción de la LOPD, cuando podría ser también igual de víctima de dicha infracción penal y haber sido su actuación escrupulosamente respetuosa con la LOPD (pese a no multarle de aplicación). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Cabe aquí la aplicación del principio básico de seguridad jurídica. Si unos hechos (fundamentales para precisar la existencia de infracción administrativa) están siendo objeto de investigación policial y penal, la Administración Pública, en este caso la AEPD, no puede por más que suspender el procedimiento administrativo a la espera de que se esclarezcan los hechos, de conformidad con lo previsto en el artículo 77.5 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en relación con los medios probatorios empleados en el Procedimiento Administrativo Común, claramente establece: "
- En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien. " Esto es, en tanto en cuanto los mismos hechos que sustancian este procedimiento sancionador están siendo objeto de investigación penal, la AEPD, por un principio de seguridad y prudencia jurídica debe suspender cautelarmente el procedimiento a la espera de que se esclarezcan los hechos. Lo contrario podría llevar a una situación tan antijurídica como que AVON resultara sancionado en vía administrativa por unos hechos que finalmente fueran declarados como no probados en vía judicial penal. Precisamente corno dicha situación sería inadmisible desde un punto de vista del administrado, la Ley del Procedimiento Administrativo Común se tomó la molestia de regulado expresamente (como no podía ser de otra manera). Por todo lo cual, de la Agencia Española de Protección de Datos, SUPLICO Que proceda al sobreseimiento y cierre del expediente sancionador contra AVON COSMETICS, S.A.U. sin imposición de sanción alguna, expresando además la ausencia de cualquier responsabilidad por parte de AVON COSMETICS, S.A.U. por haber sido su actuación conforme a la vigente normativa española sobre protección de datos personales, así como todo lo demás que en Derecho proceda. Subsidiariamente, y en caso de no acordarse el sobreseimiento de las actuaciones y el cierre del expediente sancionador contra AVON COSMETICS SAU, se solicita se suspenda provisionalmente el presente procedimiento administrativo a la espera de que se esclarezcan los hechos objeto de investigación penal. hechos que determinarán en su caso la posible responsabilidad de AVON COSMETICS S.A.U., solicitándose se acuerde en cualquier caso, la suspensión la ejecución de la resolución sancionadora dictada en 21 de mayo de 2018 por la Agencia Española de Protección de Datos dentro del procedimiento sancionador PS/OO584/20I7, de conformidad con lo previsto con el artículo 98.1b) de la Ley 390015 del Procedimiento Administrativo Común que prevé la suspensión de la ejecutoriedad de una sanción cuando quepa recurso potestativo de reposición (como es el que nos ocupa). FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 II En relación con las manifestaciones efectuadas por la entidad AVON, en su escrito de recurso de reposición, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho, de la resolución del expediente sancionador el PS/584/
- No obstante, se deben aclaran varios aspectos: En primer lugar, respecto de la NO aplicación de la LOPD por estar vigente el nuevo RGPD, y sin entrar a valorar las alegaciones que hace la representación de AVON, si se debe indicar que la resolución del presente procedimiento sancionador fue firmada el 17/05/18 y notificada a la entidad el 21/05/
- El RGPD entró en aplicación el 25/05/18, 8 días después de haber sido resuelto el presente expediente sancionador y 4 días después de haber sido notificado, por lo que debe aplicarse la LOPD. Respecto de las demás alegaciones presentadas en este recurso, indicar, una vez más, que los hechos denunciados en este procedimiento e investigados por esta Agencia, no versan sobre una presunta infracción de AVON en materia de protección de datos, en relación al tratamiento de los datos personales de uno de sus distribuidores, si no, sobre el tratamiento que ha realizado AVON sobre los datos de una persona totalmente ajena a ellos, que denuncia que nunca ha tenido contacto con AVON, ni para comprar producto ni para hacerse distribuidor de sus productos, ni para cualquier otro asunto en el que pueda existir una relación contractual o mercantil, denunciando a esta Agencia que fue fruto de un fraude y que AVON trató sus datos personales sin su consentimiento. Es más, esos datos han sido incluidos en ficheros de solvencia patrimonial y de crédito sin cumplir el requisito previo de deuda cierta veraz y exigible. Nada tiene que ver, por tanto, el tratamiento de los datos personales de esta persona con el tratamiento de los datos personales de sus distribuidores. Así, las sentencias de la Audiencia Nacional que la compañía intenta relacionar con este caso y desviar por tanto el objeto de este expediente hacen referencia al tratamiento de los datos de carácter personal realizados por AVON respecto a personas que tuvieron alguna relación contractual con la compañía (distribuidores). Situación que no se da en este caso, por lo que no procede considerar aquí, las alegaciones de la representación de AVON que hacen referencia sobre este asunto. Afirma y asegura la compañía denunciada que el Sr. D.D.D. era distribuidor de AVON por lo que actuó como empresario individual, más aún, como distribuidor puro, pero una cosa es afirmar y otra cosa es demostrar y en este caso, AVON no ha demostrado que el reclamante haya sido distribuidor de productos AVON, mediante la aportación de alguna prueba sin veracidad. En este punto, hay que recordar doctrina consolidada de la AN, que la representación de la compañía obvia, (SAN 23/04/2015, Rec. 97/2014), donde deja claro que: “la concurrencia del consentimiento inequívoco del artículo 6.1 LOPD exigido para el tratamiento de datos personales por parte de un tercero, en el caso de que el titular de los datos niegue haberlo otorgado, corresponde acreditarlo a quien realiza el referido tratamiento”. Pues bien, AVON se queda sólo en la afirmación, pero como bien dice la AN, incumbe a la empresa denunciada la carga de acreditar que ha recabado el consentimiento inequívoco del titular de los datos objeto de tratamiento o, al menos, que ha adoptado las medidas que le exige el cumplimiento diligente de la obligación impuesta por la LOPD, tanto en el tratamiento de los datos personales como en el hecho de incluir esos datos en el fichero de solvencia y crédito. Situación que no se ha producido hasta el momento, en este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Respecto a la afirmación que hace la representación de AVON de que existen diligencias penales previas indicando literalmente: “(…) constitutiva de un posible delito de estafa y suplantación de la personalidad previsto en el artículo [*] del Código Penal, del cual habrían sido víctimas tanto AVON con el Denunciante (…)”, y por tanto se debe suspender la tramitación del presente expediente sancionador hasta conocer el resultado en vía judicial, so pena de producir una situación “antijurídica” contra la entidad, se debe volver a reiterar que, la representación de AVON sigue sin aportar ningún documento que haga prueba del estado en el que se encuentran en la actualidad las presuntas Diligencias Previas judiciales, que AVON afirma existen, y si han dado lugar a la tramitación del correspondiente Procedimiento judicial o si, por el contrario, se ha acordado el sobreseimiento. III De todo lo anterior, se ha constatado que los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente. Además, el escrito de recurso de reposición presentado por la entidad AVON, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por AVON COSMETICS SAU, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17/05/18, en el procedimiento sancionador PS/584/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad AVON COSMETICS SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es