REPOSICION-PS-00625-2016

1/13  Procedimiento PS/00625/2016 180-100519 Resolución del Recurso de Reposición Nº- RR/0002/2020 Examinado el recurso de reposición interpuesto por la entidad PRIMROSE PARTNERS LTD, con CIF: N8262526J, (en adelante, “la entidad recurrente”), contra la resolución, dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/00625/2016, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/12/15 tuvo entrada en esta Agencia, denuncia de D. A.A.A. contra la entidad recurrente, por haberle incluido en el fichero de solvencia patrimonial ASNEF, sin requerimiento previo de pago. SEGUNDO: Con fecha 19/12/16, la Directora de la Agencia Española de Protección de Datos dictó acuerdo de incoación de expediente con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), por la presunta infracción del artículo 4.3, tipificada como grave en el artículo 44.3.

1. c)en la citada ley orgánica. TERCERO: Con fecha 08/03/17, por parte del instructor del expediente, se firma propuesta de resolución proponiendo en la misma: “Que por la Directora de la AEPD se acuerde imponer a la entidad Primrose Partners LTD, por una infracción del artículo 4.3 de la LOPD, una multa de 65.000 euros”. Con fecha 04/04/17 y 17/04/17, la entidad recurrente presenta, ante esta Agencia, alegaciones a la dicha propuesta de resolución. CUARTO: Con fecha 10/05/17, la Directora de la AEPD dictó resolución R/01234/17, imponiendo a la entidad recurrente, una sanción de 55.000 €, por la infracción del artículo 4.3) de la LOPD. QUINTO: Con fecha 20/07/17, se recibe en esta Agencia requerimiento del expediente PS/00625/2016, por parte de la Audiencia Nacional (AN), al haber sido interpuesto recurso Contencioso-Administrativo nº409/2017, contra la resolución indicada. SEXTO: Con fecha 19/03/19, la AN dicta sentencia sobre el contencioso administrativo indicado en el punto anterior y cuyo fallo dice textualmente: “ESTIMAR PARCIALMENTE el presente recurso interpuesto por la Procuradora Dª B.B.B., en nombre y representación de la mercantil PRIMROSE PARTNERS, LTD, contra la Resolución de la AEPD, de 10/05/17, descrita en el primer Fundamento de Derecho, que se anula por ser contraria derecho y ACORDAR que por la AEPD se proceda a retrotraer el expediente al momento de las alegaciones efectuadas por la recurrente a la propuesta de resolución y resolver a continuación lo que considere procedente en derecho (…). La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los reC/ Jorge Juan, 6 es 28001 – Madrid sedeagpd.gob.es 2/13 quisitos establecidos en el artículo 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta”. SÉPTIMO: Con fecha 03/09/19 la Audiencia Nacional emite DECRETO, indicando en el mismo, lo siguiente: “PRIMERO. Con fecha 19 de marzo de 2019, se dicta Sentencia en el presente recurso, siendo notificada a Las partes con fecha 28 de marzo de 2019. SEGUNDO. Que dicha sentencia es susceptible de ser recurrida en casación, si bien ha transcurrido el plazo legalmente establecido sin que por Ias partes se haya preparado contra la misma el referido recurso. ACUERDO: Declarar la firmeza de la sentencia. dictada en el presente recurso. Firme que sea la presente resolución remítase testimonio a la Administración, a los efectos oportunos. Contra la presente resolución se puede interponer RECURSO DE REVISIÓN en el plazo de CINCO DÍAS, a partir del siguiente a la recepción de la notificación, ante este mismo órgano”. OCTAVO: Con fecha 23/10/19, la Directora de la Agencia Española de Protección de Datos, en cumplimiento de la sentencia firme de la AN indicada anteriormente, dictar nueva resolución, R/01234/2017, imponiendo a la entidad reclamada, una sanción de 55.000 euros por la infracción del artículo 4.3) de la LOPD. NOVENO: Con fecha 12/12/19, la entidad recurrente presenta ante esta Agencia, recurso de reposición a la resolución dictada por la Directora de la AEPD el 23/10/19, y en el que se indica, entre otras, lo siguiente: “1º COSA JUZGADA.- En su escrito de resolución, en la página 9 de dicho documento, se recoge la existencia de la sentencia de la Audiencia Nacional de fecha 19/03/2019 en la que retrotrae las actuaciones de dicho expediente a la fecha 25/04/2017. En dicha sentencia, la Audiencia, indica que se debe proceder a efectuar una nueva resolución por defecto de forma y fondo de la emitida, al responder a la demandada respecto de la alegación única, de que no es una entidad con establecimiento permanente en territorio español. Se adjunta como doc. 2. Reconoce además la AEPD en su escrito la fecha de dicha sentencia, 19/03/2019. Lo que no indica en su resolución la Agencia de Protección de Datos es la firmeza de dicha sentencia emitida por la Audiencia Nacional el 3 de Septiembre de 2019, lo cual, en base a al artículo 89.3 de la Ley reguladora de la Jurisdicción Contencioso- Administrativa, procede declarar la firmeza de la resolución, al no constar la interposición de recurso alguno en el plazo establecido al efecto. Este comportamiento provocó que la AN emitiera Sentencia Firme, doc. 3. Es por tanto que este procedimiento se encuentra con sentencia firme, que la AEPD pudo haber retomado las actuaciones y no lo hizo en el plazo marcado por la Ley y la C/ Jorge Juan, 6 28001 – Madrid www.aepd. es 3/13 Audiencia Nacional cerró el procedimiento, no pudiendo ahora la Agencia Española de Protección de Datos retomar de nuevo el procedimiento dado que el caso ya ha sido JUZGADO y sobre él existe CADUCIDAD DE LA ACCIÓN ADMINISTRATIVA..- Tal y como se establece en el punto anterior, tras la sentencia emitida por la audiencia Nacional el 19/03/2019 y en base a la Ley reguladora de la Jurisdicción Contencioso-Administrativa, al no constar la interposición de recurso alguno por parte de la Agencia Española de Protección de Datos en el plazo establecido al efecto, ha caducado la posibilidad de que la Agencia Española de Protección de Datos interponga un nuevo procedimiento sancionador, al haber caducado dicha posibilidad. La Audiencia Nacional, tras dicho plazo, emitió sentencia firme tal y como se indicó en el punto anterior. Consideramos que la AEPD tuvo tiempo suficiente para responder a la Audiencia Nacional o para solicitar en algún momento del proceso la paralización del procedimiento para que no transcurriera el periodo de CADUCIDAD de la presunta INFRACCION. Es por ello que el procedimiento PS/625/16 está caducado. PRESCRIPCIÓN DE LA SANCIÓN ADMINISTRATIVA.- En su escrito de resolución, página 9 de dicho documento, se recoge la fecha en la que la Directora de la AEPD resuelve por primera vez el expediente sancionador PS/00625/2016 que ahora se pretende reiniciar, el 25/04/17. El carácter ejecutivo de dicho procedimiento, hace que el procedimiento actual esté prescrito. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales en su artículo 78 Prescripción de las sanciones, establece lo siguiente: “Prescripción de las sanciones, establece lo siguiente: ”Las sanciones impuestas en aplicación del Reglamento (UE) 2016/679 y de esta ley orgánica prescriben en los siguientes plazos: prescriben a los dos años.” …
2. b)Las sanciones por importe comprendido entre 40.001 y 300.000 euros prescriben a los dos años.” La sanción impuesta inicialmente se debió efectuar bajo la normativa del Reglamente de la UE 2016/679 del Parlamento Europeo y del Consejo de 27 de Abril de 2016 que establece dichas prescripciones. Es por ello que la sanción impuesta con fecha 25/04/2017 calificada como grave, está prescrita. DENUNCIA DEL DEMANDANTE Y CADUCIDAD DEL PROCEDIMIENTO.- En su escrito de resolución, página 10 de dicho documento, se recoge la actividad seguida con el cliente objeto de la presente sanción. Los hechos originarios de la misma son la ausencia según la Agencia de Protección de Datos de notificación fehaciente previa a la inclusión de las deudas del cliente en el expediente de morosidad de Asnef. Sobre este aspecto, debemos hacer algunas aclaraciones: Sobre la afirmación “la entidad haya incluido en 4 ocasiones los datos personales del reclamante en el fichero de solvencia”. Tal y como se ha indicado, el cliente mantuvo simultáneamente dos deudas con la sociedad, en las plataformas Dispon.es y Necesito-dinero.es. A dicho fichero se le informó puntualmente de la situación de C/ Jorge Juan, 6 28001 – Madrid es sedeagpd.gob.es dichas deudas, tal y como se les ha informado durante todo el procedimiento. No es la misma deuda, se incluye en cada momento la situación de cada deuda. La fecha de las distintas “altas” indicadas en la resolución como hechos probados 5, 6, 7, 8, 9 y 10, tienen como fecha de notificación 27/10/15 a 21/03/16. Dado que la resolución sancionadora se emite el 23/10/2019 y se firma el 28/10/19, han transcurrido más de 3 años y 7 meses desde que la entidad incurrió en la supuesta infracción, hecho que creemos que no se cometió. Si la Agencia de Protección de Datos considera que los hechos se han cometido, debe considerar además la caducidad de los mismos. En el préstamo anterior existe una notificación previa de inclusión con respuesta fehaciente del cliente. Se adjunta documentos números 4 y 5. Esta documentación se incluyó en el procedimiento anterior. Es desconcertante que una misma empresa, con una relación con el mismo cliente, acredite que emite dos emails y la Agencia de Protección de Datos no la crea en el caso más desfavorable sólo por el hecho de que el cliente no ha respondido al segundo email. La existencia de la relación contractual, de los emails de la deuda impagada, deberían dar validez a la existencia de dicho email y que el cliente no lo quiso responder. El cliente conocía el proceso, conocía que ante el impago se le incluiría en el fichero de morosidad y el único que no lo cree es la Agencia de Protección de Datos. El mismo cliente lo sabe y lo reconoce. DEROGACIÓN DE LA NORMATIVA APLICADA EN LA RESOLUCIÓN.- En su escrito de resolución, página 15 de dicho documento y siguientes, se recoge la graduación de la sanción impuesta en base a los siguientes elementos: - “Infracción del artículo 4.3 de la LOPD, donde se establece la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación.” - “El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. La regulación de los preceptos indicados ha sido ya desarrollada en el RD 1720/2007, de 21 de diciembre, (RLOPD), artículos 38, 39 y 43.” Dado que la resolución de la sanción impuesta se realiza el 23/10/19, es del todo incomprensible que las infracciones que se imputan a mi representada sean infracciones establecidas en la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal, derogada por la entrada en vigor de la Ley Orgánica 3/18, de 5 de diciembre, de Protección de Datos Personales. Si esta mala praxis no fuera suficiente, hay que añadir que tampoco se ha aplicado la normativa europea vigente a la sanción actual. Siguiendo con la resolución, con la argumentación de la sanción, en la página siguiente (página 16), se continúa empleando normativa ya derogada, y se gradúa la sanción en base a distintos apartados del artículo 45 de la LOPD ya derogados. Llega el caso en el que se sanciona por: El carácter continuado de la infracción. Se aplica el artículo 45.4.a, ya derogado. La vinculación de la actividad de la entidad con la realización de tratamiento de datos de carácter personal. Se aplica el artículo 45.4.c, ya derogado. Grado de intencionalidad al no tomar medidas de control. Se aplica el artículo 45.4.f. Ya derogado. Perjuicios causados a la persona denunciante. Se aplica el artículo 45.4.h Ya derogado. Afirman no disponer de protocolo de notificación que acredite el envío y la recepción. Se aplica el artículo 45.4.f. Ya derogado. COMPETENCIA TERRITORIAL INTERNACIONAL.- En su escrito de resolución, página 9 y siguientes de dicho documento, se recoge los argumentos de la Agencia de Protección de Datos para no contemplar la residencia de mi representada en Reino Unido e inhibirse del presente procedimiento. Comparan nuestra actividad con Google Spain, filial española de Google con inversiones inmobiliarias, contratación de empleados, residencia fiscal en España, etc... Realizan una serie de afirmaciones del todo imposibles. Si la Agencia Tributaria Española considera que no tenemos residencia fiscal en España y se contrata a una empresa española para desarrollar una actividad ante los Tribunales Españoles, ¿de dónde se puede extrapolar que se desarrolla un actividad en España que justifique la interposición de una sanción de este tipo sin hacer en todos estos años ningún intento ni comunicado a su homólogo británico para consultarles sobre el tema?. De la documentación obrante en el expediente, del contrato de colaboración existente entre Primrose Partners y Soluciones Digitales CRX, S.L. no se puede firmar que “el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable”, “sin que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante”. Es extraño que la sentencia que nos intentan aplicar sea un caso en el que se vieron implicados Google Inc. con domicilio en los Estados Unidos, y Google Spain filial de la anterior con domicilio en España, dicha información aparece en la sentencia. Nuestro caso, como hemos aclarado en repetidas ocasiones, cumplimos la normativa de la Unión Europea, no como Google Inc, no residente en el espacio de la Unión Europea, y cumplimos nuestras obligaciones ante el ICO (su homólogo británico), como hemos aclarado en repetidas ocasiones. Es por ello que su argumentación de la filiar de Google ante el tratamiento de datos de un residente de fuera de la Unión Europea no puede aplicarse en nuestro caso. Es por todo ello que la AEPD en su nueva resolución sigue sin motivar suficientemente la consideración de obligación de tratamiento de datos de mi representada a los efectos de protección de datos en España y no en Reino Unido como está obligada y realiza. ACTUACIÓN DE LA AGENCIA ESPAÑOLA PROTECCIÓN DATOS.- Debemos mostrar nuestro malestar con el comportamiento mostrado durante todo este procedimiento por la Agencia Española de Protección de Datos, muestra culminante es la presente resolución en la que como hemos destacado anteriormente se han desarrollado entre otros los siguientes hechos: Resolución sancionadora sobre un procedimiento ya Juzgado con Sentencia Firme. - Resolución Sancionadora emitida fuera de plazo. - Resolución Sancionadora caducada en su proceso ejecutivo. Resolución Sancionadora emitida con normativa derogada y no ajustada a derecho Resolución Sancionadora emitida utilizando partes de sentencia del Tribunal Europeo que no se ajustan al caso ya que no reproducen la casuística. - Resolución Sancionadora emitida sin competencia territorial. Nos encontramos además en la tesitura, el cliente en su denuncia inicial, no denuncia el que mi representada haya aportado sus dos deudas al fichero de morosidad de Asnef. El cliente está molesto por la rapidez con la que se le incrementa la deuda. Vista la reclamación, consideramos que la Agencia Española de Protección de Datos, debería haber derivado la denuncia a un organismo relacionado con Consumo que pudiera haber mediado entre las partes para una rápida solución. En vez de la solución anterior, la Agencia Española de Protección de Datos, sólo ha tenido en todo momento un ánimo sancionador, no creyendo en ningún momento a la empresa ni la documentación aportada. Encontramos además en todo este procedimiento una reiterada falta de profesionalidad, una aplicación incorrecta de la normativa para su beneficio de manera reiterada, todo ello, pese al importe tan elevado de la sanción, que consideramos que debería permitir que la Agencia Española de Protección de Datos, le dedicara los recursos suficientes para su correcta motivación y cálculo. Se solicita que proceda a la anulación de la sanción impuesta, por la que se anule y deje sin efecto la resolución R/01234/2017. Asimismo, solicitamos que se proceda A LA SUSPENSION DE LA EJECUCION ADMINISTRATIVA contra mi representada. Si no cumpliesen con la solicitud realizada, tomaremos todas las medidas necesarias legales contra este Organismo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). 7/20 II En relación con las manifestaciones efectuadas por la entidad recurrente, se deben aclarar varios puntos: 1º.- Sobre la “cosa juzgada” y la “caducidad del procedimiento” indicar que: La exposición de motivos de la ley de enjuiciamiento civil describe la cosa juzgada como un instituto de naturaleza esencialmente procesal, dirigido a impedir la repetición indebida de litigios y a procurar, mediante el efecto de vinculación positiva a lo juzgado anteriormente, la armonía de las sentencias que se pronuncien sobre el fondo en asuntos prejudicialmente conexos. Es en definitiva una institución procesal que impide la repetición de litigios teniendo en cuenta lo determinado en una sentencia anterior entre las mismas partes. De lo anterior resulta que la referencia a que hace la parte recurrente a la institución de la cosa juzgada carece de cualquier fundamento y aplicabilidad, sin que por otra parte este siquiera fundamentada la aplicación de dicha institución. No nos encontramos ante un nuevo litigio judicial, donde, en su caso, podría hablarse de la aplicación de la institución de la cosa juzgada, sino que nos encontramos ante un procedimiento administrativo en el cual la administración ha de cumplir lo dictado por la sentencia judicial, que es lo que se hace. Nos encontramos aquí con una sentencia firme de la Audiencia Nacional que ordena retrotraer las actuaciones, sin ni siquiera entra en el fondo, por lo que cualquier alegación respecto de la cosa juzgada carece del más mínimo fundamento en el presente caso. La reapertura del procedimiento administrativo es la consecuencia del cumplimiento de la sentencia firme de la Audiencia Nacional. La sentencia de la Audiencia Nacional (AN), de fecha 19/03/19, en la que se retrotraen las actuaciones de dicho expediente a la fecha 25/04/2017, no es sentencia firme, pues permitía recurso de casación, en el caso de que dicha sentencia no fuera acorde con los intereses de alguna de las partes implicadas en el contencioso (art. 86 y siguientes de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa- LJCA). Pero como este supuesto no ha ocurrido, o sea, que ninguna de las partes hizo uso de su derecho al interponer recurso de casación, la sentencia, hasta ese momento no firme se convirtió en una sentencia firme (pues ya no admite recurso judicial alguno, y a la cual se puede exigir su cumplimiento). La firmeza de la sentencia fue declarada mediante “DECRETO” por la AN con fecha 03/09/19. Según marca el art. 104 de la LJCA: “1. Luego que sea firme una sentencia, el Secretario judicial lo comunicará en el plazo de diez días al órgano que hubiera realizado la actividad objeto del recurso, a fin de que, recibida la comunicación, la lleve a puro y debido efecto y practique lo que exija el cumplimiento de las declaraciones contenidas en el fallo, y en el mismo plazo indique el órgano responsable del cumplimiento de aquél. 2. Transcurridos dos meses a partir de la comunicación de la sentencia o el plazo fijado en ésta para el cumplimiento del fallo conforme al artículo 71.1.c), cualquiera de las partes y personas afectadas podrá instar su ejecución forzosa. 3. Atendiendo a la naturaleza de lo reclamado y a la efectividad de la sentencia, ésta podrá fijar un plazo inferior para el cumplimiento, cuando lo dispuesto en el apartado anterior lo haga ineficaz o cause grave perjuicio. Como en dicho “DECRETO” no se contemplaba plazo de ejecución de la sentencia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 el plazo máximo que tendría esta Agencia para ejecutar la sentencia hubiera sido de 2 meses antes de que la otra parte pudiera instar su ejecución forzosa, (apartado 2 del art. 104 de la LCA). Dicho plazo hubiera terminado el 03/11/19. La ejecución de la sentencia hubiera bastado con que fuese la retroacción del procedimiento al momento que dicha sentencia establece, esto es, al momento de las alegaciones por la parte a la propuesta de resolución. Cabe aquí mencionar la Sentencia del Tribunal Supremo 321/2020, de 4 de marzo de 2020 (rec. 5364/2018), que en un asunto sustancialmente igual dispone: SEXTO.- La primera cuestión que se suscita en el ATS de admisión del recurso de casación es la relativa al modo en que debe computarse el plazo de caducidad establecido en el artículo 225.1 del RLOEX en el supuesto de retroacción del expediente administrativo a la fase de resolución del mismo ordenado por resolución judicial. El citado artículo 225 establece en su apartado 1: "El plazo máximo en que debe dictarse y notificarse la resolución que resuelva el procedimiento será de seis meses desde que se acordó su iniciación, sin perjuicio de lo dispuesto para el procedimiento simplificado en el artículo 238. Transcurrido dicho plazo sin haberse resuelto y notificado la expresada resolución se producirá la caducidad del procedimiento y se procederá al archivo de las actuaciones a solicitud de cualquier interesado o de oficio por el órgano competente para dictar la resolución, excepto en los casos en que el procedimiento se hubiera paralizado por causa imputable a los interesados o en aquellos supuestos en que se hubiese acordado su suspensión". Debe recordarse que se está ante unos supuestos en los que, con la resolución de 14 de enero de 2014, se está procediendo a la ejecución de una previa sentencia que ha ordenado la retroacción de actuaciones para que la Administración procediera a una nueva motivación de la anterior resolución anulada; sentencia en la que no se hizo uso de lo establecido en el artículo 71.1.
3. c)ni en el 104.3 de la LRJCA, motivo por el cual el plazo para dictar ---y notificar--- la nueva resolución debe entenderse de seis meses, que es el fijado "por la norma reguladora del correspondiente del procedimiento" ( artículo 42.2 de la Ley 30/1992, de 26 de noviembre, de Régimen jurídico de las administraciones públicas y del procedimiento administrativo común ---LRJPA---, hoy 21.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo común de las administraciones públicas --- LPAC---, esto es, en el caso de autos, el citado plazo de seis meses previsto en el artículo 225.1 RLOEX. El inicio del cómputo debe considerarse el del acuse de recibo (en realidad, hoy, "comunicación" al "órgano que hubiese realizado la actividad objeto del recurso"), de conformidad con lo establecido en el artículo 104.1 de la LRJCA. No puede considerarse, en consecuencia, como fecha de inicio, la inicial de la incoación del procedimiento de expulsión. Debemos, pues, señalar que, de conformidad con lo que se nos solicita en el ATS de admisión del recurso de casación, que el plazo de caducidad, de seis meses, establecido en el artículo 225.1 del RLOEX, para resolver y notificar el expediente de expulsión de un ciudadano extranjero, debe computarse, en el supuesto de retroacción del expediente administrativo a la fase de resolución del mismo ordenado por decisión judicial, desde la fecha de la comunicación de la recepción de la sentencia por parte del órgano que hubiese realizado la actividad objeto del recurso, salvo que la sentencia hubiese establecido otro plazo u otras condiciones para la ejecución de la sentencia. En el presente caso que es objeto de recurso de reposición, la sentencia de la audiencia nacional no dispone ningún plazo específico para su cumplimiento, por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 de conformidad con la doctrina sentada en casación por el Tribunal Supremo, el plazo será de seis meses, que es el plazo de caducidad de procedimiento ante la agencia española de protección de datos, a contar desde la notificación al órgano administrativo (la AEPD) de la resolución firme de la sala de la audiencia nacional. Dado que la resolución declarando la firmeza de la sentencia es de 3/9/2019, y la resolución de la directora por la que se cumple la sentencia firme dictando una nueva resolución es de fecha 23/10/2019, es obvio que no ha transcurrido el plazo de seis meses que establece dicha sentencia. Pues bien, como se ha mencionado, con fecha 23/10/19, la Directora de la AEPD, en cumplimiento de la sentencia firme, procedió a dictar nueva resolución sin haber agotado siquiera el plazo para que la otra parte tuviera derecho a pedir la ejecución forzosa de la sentencia. Es más, el Artículo 108 de la LCA indica: “1. Si la sentencia condenare a la Administración a realizar una determinada actividad o a dictar un acto, el Juez o Tribunal podrá, en caso de incumplimiento:
4. a)Ejecutar la sentencia a través de sus propios medios o requiriendo la colaboración de las autoridades y agentes de la Administración condenada o, en su defecto, de otras Administraciones públicas, con observancia de los procedimientos establecidos al efecto.
5. b)Adoptar las medidas necesarias para que el fallo adquiera la eficacia que, en su caso, sería inherente al acto omitido, entre las que se incluye la ejecución subsidiaria con cargo a la Administración condenada. 2. Si la Administración realizare alguna actividad que contraviniera los pronunciamientos del fallo, el Juez o Tribunal, a instancia de los interesados, procederá a reponer la situación al estado exigido por el fallo y determinará los daños y perjuicios que ocasionare el incumplimiento. 3. El Juez o Tribunal, en los casos en que, además de declarar contraria a la normativa la construcción de un inmueble, ordene motivadamente la demolición del mismo y la reposición a su estado originario de la realidad física alterada, exigirá, como condición previa a la demolición, y salvo que una situación de peligro inminente lo impidiera, la prestación de garantías suficientes para responder del pago de las indemnizaciones debidas a terceros de buena fe” 2º.- Sobre la Prescripción de la sanción, indicar que: Este procedimiento sancionador se inició el 19/12/16, bajo la normativa vigente en aquel momento, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y en principio se debería aplicar dicha norma hasta su finalización. No obstante, Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDPGDD), que entró en vigor el 07/12/18, en su Disposición derogatoria única, indica: “1. Sin perjuicio de lo previsto en la disposición adicional decimocuarta y en la disposición transitoria cuarta, queda derogada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (…)”. Por su parte, la Disposición transitoria tercera, del régimen transitorio de los procedimientos, indica: “1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado (…)”. Pues bien, el artículo 47 de la antigua Ley de Protección de Datos LOPD, soC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 bre prescripción, indicaba: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción.6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. Por otra parte, el artículo 78 de la LOPDPGDD, indica: “1. Las sanciones impuestas en aplicación del Reglamento (UE) 2016/679 y de esta ley orgánica prescriben en los siguientes plazos:
6. a)Las sanciones por importe igual o inferior a 40.000 euros, prescriben en el plazo de un año.
7. b)Las sanciones por importe comprendido entre 40.001 y 300.000 euros prescriben a los dos años.
8. c)Las sanciones por un importe superior a 300.000 euros prescriben a los tres años. 2. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que sea ejecutable la resolución por la que se impone la sanción o haya transcurrido el plazo para recurrirla. 3. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. Pues bien, en ambas normativas la prescripción de la sanción se producirá a los dos años a contar desde el día siguiente a aquel en que adquiera firmeza (o sea ejecutable) la resolución por la que se impone la sanción. En nuestro caso, la primera resolución, que fue dictada por la Directora de la AEPD, el 10/05/17, fue anulada por la Audiencia Nacional el 03/09/19 en sentencia firme: “(…) se anula por ser contraria derecho (…)”, por lo que esta Agencia, con fecha 23/10/19 procedió a dictar nueva resolución, por lo que, atendiendo a lo indicado anteriormente, la sanción prescribirá no antes del 23/10/2021. 3º.- Sobre la denuncia del reclamante y la caducidad del procedimiento, indicar que: Ha quedado demostrado, a lo largo del procedimiento que el reclamante fue incluido en el fichero de solvencia patrimonial y crédito sin haber sido acreditado por la entidad reclamada, la existencia de la notificación al denunciante del requerimiento de pago previo a la inclusión. Sobre las alegaciones de la entidad, cuando indica que, “La fecha de las distintas “altas” indicadas en la resolución como hechos probados 5, 6, 7, 8, 9 y 10, tienen como fecha de notificación 27/10/15 a 21/03/16. Dado que la resolución sancionadora se emite el 23/10/19 y se firma el 28/10/19, han transcurrido más de 3 años y 7 meses desde que la entidad incurrió en la supuesta infracción, hecho que creemos que no se cometió. Si la AEPD considera que los hechos se han cometido, debe considerar además la caducidad de los mismos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 A lo anterior, se deben realizar las siguientes apreciaciones: Al no quedar suficientemente claro si la entidad alega la prescripción de las infracciones o la caducidad del expediente sancionador, se considerarán las dos opciones. En primer lugar, si se alega la prescripción de la infracción hay que volver a recordar que el artículo 47 de la antigua LOPD, indicaba que las infracciones graves prescribían a los dos años de haberse cometido y que dicha prescripción se interrumpiría con la iniciación, con conocimiento del interesado, del procedimiento sancionador. En nuestro caso, las infracciones fueron cometidas entre el 27/10/15 (fecha de primera inclusión en fichero ASNEF) y el 21/03/16 (fecha de la última inclusión en el fichero ASNEF), con lo que la prescripción de las infracciones sería el 21/03/18. No obstante, tal y como dice la norma (art. 47 LOPD), dicha prescripción se interrumpirá cuando el interesado conociera de la incoación del expediente sancionador y esto ocurrió el 22/12/16, (13 meses después de haber cometido la primera infracción pero solamente 9 meses después de haber cometido la última infracción), por lo que las infracciones cometidas no han prescrito. Pero más aún, la norma sigue diciendo que el cómputo de prescripción se reanudará si el expediente se hubiera paralizado por más de 6 meses. Circunstancia que no ha dado en este procedimiento. Si por el contrario, la entidad recurrente alega la caducidad del expediente, hay que recordar lo que indicaba el artículo 48.3 de la LOPD: “Los procedimientos sancionadores tramitados por la AEPD, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses”. Pues bien, el procedimiento sancionador se inició con fecha 19/12/16, por lo que el tiempo máximo que esta Agencia tenía para resolver y notificar la resolución expiraba el 19/05/17. No obstante, el 10/05/17, la Directora de la AEPD dictó resolución sancionadora del expediente, que fue notificada a la entidad el 18/05/19, (dentro del plazo estipulado en la normativa para dictar y notificar la resolución sin que se declare la caducidad). Después dicha resolución fue anulada por la AN, en sentencia cuya firmeza fue declarada en fecha 03/09/19, ordenando la retroacción de las actuaciones “(…) al momento de las alegaciones efectuadas por la recurrente a la propuesta de resolución (…)”, sin haber indicado plazo en la propia sentencia. art 104 LCA), por lo que aplicaría la doctrina ya vista anteriormente del Tribunal Supremo en su Sentencia 321/2020, de 4 de marzo de 2020 (rec. 5364/2018), y en cualquier caso se ejecutó la misma dentro del plazo de dos meses previsto en la LJCA. Fue el 23/10/19 (11 días antes del plazo de dos meses para el cumplimiento voluntario de la sentencia), cuando la Directora de la AEPD, en cumplimiento de dicha sentencia, dictó nueva resolución. Pero es más, si tomásemos la fecha del 19/05/17, como fecha de caducidad del expediente sancionador, y la sentencia de la AN indicaba que se retrotrajesen las actuaciones al momento de las alegaciones efectuadas por la entidad reclamada a la propuesta de resolución sancionadora, esto es, a fecha 04/04/17 y 17/04/17, esta Agencia aún tendría un plazo de 1 mes y 2 días para dictar la resolución y notificarla. Si añadimos el mes y los dos días a la fecha máxima para ejecutar la senC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 tencia conforme a la LJCA (dos meses), el 03/11/19, esta Agencia hubiera tenido plazo hasta el 05/12/19 para dictar nueva resolución y notificarla a la entidad. Pero como dicha notificación fue realizada el 18/11/19 (17 días antes), el procedimiento sancionador tampoco habría caducado. 4º.- Sobre la derogación de la normativa aplicable en la resolución, indicar lo siguiente: En primer lugar, este procedimiento sancionador se inició el 19/12/16, bajo la normativa vigente en aquel momento, la LOPD, y en principio se debería aplicar dicha norma hasta la finalización de este procedimiento sancionador. La LOPDPGDD, que entró en vigor el 07/12/18, en su Disposición derogatoria única, indica: 1. Sin perjuicio de lo previsto en la disposición adicional decimocuarta y en la disposición transitoria cuarta, queda derogada la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (…)”. Por su parte, la Disposición transitoria tercera de dicha norma, indica que:“1.Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado(…)”. Pues bien, en aplicación de lo estipulado en la Disposición Transitoria Tercera de la LOPDPGDD, si se hubiera aplicado el RGPD vigente en la actualidad, la infracción cometido por la entidad reclamada hubiera sido la vulneración a lo estipulado en su artículo 5.1.d), donde se indica que los datos personales serán “exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»)”; También aplicaría el artículo 72.1.
9. a)de la LOPDGDD, que considera “muy grave”, a efectos de prescripción, “el tratamiento de los datos personales vulnerando los principio y garantías establecidos en el artículo 5 del RGPD” Esta infracción, aplicando el vigente RGPD y la LOPDGDD, hubiera podido ser “sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”, de acuerdo con el artículo 83.5.
10. b)del RGPD. Por lo que, en aplicación de la Disposición transitoria tercera de la LOPDPGDD este procedimiento se rigió por la normativa anterior (LOPD), aplicado el importe de las sanciones de la LOPD, al ser más favorables para el interesado, pues en caso contrario, aplicando el RGPD, la sanción a imponer hubiera superado los 55.000 euros impuestos con la LOPD. 5º.- Sobre la competencia territorial de esta Agencia: Sin perjuicio de lo ya expuesto detenidamente en la resolución de fecha 23/11/19, sobre las causas por las que esta Agencia era competente para conocer el caso, que se dan por reiteradas en este momento en su integridad, hay que hacer constar que la Audiencia Nacional, en su sentencia 2607/201 de 21/06/2019, (Recurso 342/2017), con cita de la sentencia del TS 1221/2019, de 5 de febrero (Recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 627/2018), a la que hay que añadir la posterior sentencia del TS 1690/2019, de 10/12/2019 (Recurso 1644/2019), ya ha considerado este argumento respecto, en concreto, de Primrose, para desestimarlo, por lo que aquí vamos a reproducir la doctrina de la AN (y el TS) a este respecto: SEGUNDO.- Se alega por la parte actora que, la empresa PRIMROSE carece de establecimiento en España. Su única oficina está en el Reino Unido, en Lots Road, en Londres, y el 16 de octubre de 2013 contrató los servicios de una empresa especializada en telemarketing y recobros, "Soluciones Digitales CRX, S.L.U." (anteriormente, y hasta enero de 2016, se denominaba "Dispon Servicios Financieros, S.L.), teniendo a consideración de encargada de tratamiento. Se aduce en primer término, que a la entidad recurrente no le es de aplicación la LOPD ni que la Agencia Española de Protección de Datos puede ejercer control administrativo sobre ella. No resulta aplicable ninguno de los supuestos contemplados en el art. 3.1 del Real Decreto 1720/2007, de 21 de diciembre. La dirección de la calle Ponzano nº. 39-41, 1º-F, 28003 de Madrid, corresponde a las oficinas de Soluciones Digitales CREX, S.L., que según el contrato de prestación de servicios (art. 7.3.g), es una dirección postal a efectos exclusivamente de notificaciones. Se añade que, el citado contrato de servicios contiene una estipulación análoga (Novena) a la prevista en el art. 12 de la LOPD, pero conforme a la normativa propia y exclusiva en materia de protección de datos del Reino Unido, aplicable a la parte recurrente. Cuando un encargado de tratamiento ubicado en España, trate datos de carácter personal, para un responsable del tratamiento situado fuera del territorio español, dentro de la Unión Europea, en este caso, en el Reino Unido de la Gran Bretaña, es única y exclusivamente aplicable la ley del responsable del tratamiento, en el presente supuesto la británica, con la única excepción, de las medidas de seguridad a imponer en el tratamiento, y ello, se justifica para no llevar a cabo una interpretación antijurídica del art. 2.1.
11. a)de la LOPD en relación con el art. 4 de la Directiva 95/46/CE . El hecho de que la incorporación de datos personales a ficheros comunes se lleve a cabo por Soluciones Digitales CRX S.L.U., o se delegue en ella la recepción de las solicitudes de ejercicio de los Derechos ARCO (tal como se establece en el aviso legal de la web propiedad de esta Compañía, al amparo del art 26 del RLOPD), no determina responsabilidad o actuación alguna de PRIMROSE, y menos en territorio español, teniendo en cuenta el carácter de sociedad independiente de Soluciones Digitales CRX S.L.U., o la posibilidad de que por parte de la misma se presten cualquier clase de servicios a terceros. Lo que se ha contratado es el servicio, no el espacio físico que justificaría el concepto de establecimiento. TERCERO.- El art. 2.1.
12. a)de la LOPD , vigente al supuesto que nos ocupa, sobre el ámbito de aplicación, dispone: " 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
13. a)Cuando el tratamiento sea efectuado en territorio español en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 el marco de las actividades de un establecimiento del responsable del tratamiento". Mientras que el art. 3.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (en lo sucesivo RDLOPD), también aplicable al presente supuesto, refiere: "1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
14. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
15. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español". Por su parte, el art. 4.1.a de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, igualmente aplicable, establece: "Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
16. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable". CUARTO.- En relación con la interpretación del anteriormente reseñado art. 4.1.
17. a)de la Directiva 95/46/CE , en la Sentencia del Tribunal Supremo de 5 de febrero de 2019 - recurso nº. 627/2018 -, se dice: <<La sentencia de la Sala de lo Contencioso-Administrativo del Tribunal Supremo de 27 de junio de 2016 (RC 642/2015 ) sostiene, con base en la jurisprudencia del Tribunal de Justicia de la Unión Europea formulada en relación con la interpretación del artículo 4 de la Directiva 95/46/CE , que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable y, no es un factor determinante que la forma jurídica de dicho establecimiento sea una simple sucursal o una empresa filial con personalidad jurídica. En la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 (Asunto C-131/12 ) se realiza una interpretación del artículo 4.1.
18. a)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos, en el sentido de que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa "en el marco de las actividades" de dicho establecimiento si éste está destinado a la promoción y venta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. No obstante, tras el pronunciamiento de esta directriz, el Tribunal de Justicia matiza que el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado "por" el propio establecimiento en cuestión, sino que se realice "en el marco de las actividades" de éste, pues hay que tener en cuenta que además, visto el objetivo de la Directiva 95/46 de garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, y, en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, ésta expresión no puede ser objeto de una interpretación restrictiva (véase, por analogía, la sentencia L'Oréal y otros, C-324/09 , EU:C:2011:474 , apartados 62 y 63). En este marco -concluye la sentencia- cabe señalar que se desprende, concretamente de los considerandos 18 a 20 y del artículo 4 de la Directiva 95/46, que el legislador de la Unión pretendió evitar que una persona se viera excluida de la protección garantizada por ella y que se eludiera esta protección, estableciendo un ámbito de aplicación territorial particularmente extenso. En la sentencia del Tribunal de Justicia de la Unión Europea de 1 de octubre de 2015 (asunto C-230/14) se afirma que a tenor del artículo 4, apartado 1, letra a), de la Directiva 95/46, los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la aplicación de esta Directiva a todo tratamiento de datos personales cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Visto el objetivo perseguido por la Directiva 95/46, consistente en garantizar una protección eficaz y completa de las libertades y de los derechos fundamentales de las personas físicas, concretamente del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales, la expresión "en el marco de las actividades de un establecimiento "no puede ser objeto de interpretación restrictiva (véase, en este sentido, la sentencia Google Spain y Google, C-131/12 , EU:C:2014:317, apartado 53) . En la ulterior sentencia del Tribunal Superior de Justicia de la Unión Europea de 28 de junio de 2016 (Asunto C-191/15 ) se resuelve la cuestión prejudicial planteada por el Tribunal Supremo de Austria en el sentido de que el artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995 , relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que el tratamiento de datos personales efectuado por una empresa de comercio electrónico se rige por el Derecho del Estado miembro al que dicha empresa dirige sus actividades si esa empresa efectúa el tratamiento de los datos en cuestión en el marco de las actividades de un establecimiento situado en un Estado miembro. Corresponde al órgano jurisdiccional nacional determinar si ése es el caso. Y en la sentencia del Tribunal de Justicia de la Unión Europea de 3 de junio de 2018 (asunto C-210/16 ) se refiere que el artículo 4, apartado 1, letra a), y el artículo 28, apartados 3 y 6, de la Directiva 95/46 deben interpretarse en el sentido de que, cuando la autoridad de control de un Estado miembro pretende ejercer frente a una entidad establecida en el territorio de ese Estado miembro los poderes de intervención contemplados en el artículo 28, apartado 3, de la referida Directiva debido a infraccioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 nes de las normas relativas a la protección de datos personales cometidas por un tercero responsable del tratamiento de esos datos que tiene su domicilio en otro Estado miembro, dicha autoridad de control es competente para apreciar, de manera autónoma respecto de la autoridad de control de este último Estado miembro, la legalidad del referido tratamiento de datos y puede ejercer sus poderes de intervención frente a la entidad establecida en su territorio sin instar previamente la intervención de la autoridad de control del otro Estado miembro>>. Pues bien, la citada Sentencia del Tribunal Supremo de 5 de febrero de 2019 , estima el recurso de casación formulado contra la Sentencia de esta Sección de 25 de octubre de 2017 -recurso nº. 99/2016 -, que fue aportada por la parte actora. Y llega a la conclusión que, resulta aplicable la LOPD, a una empresa domiciliada en un tercer Estado miembro de la Unión Europea, en concreto, en Luxemburgo, y que a los efectos de considerar que el tratamiento de datos se efectúa en el marco de las actividades de un establecimiento que se encuentre ubicado en territorio español, solo contaba para realizar su actividad en España con la utilización de un apartado de correos y la titularidad de una cuenta corriente, ya que había que tener en cuenta que la citada empresa "dirigía de forma regular actividades y operaciones a través de medios instrumentales radicados en España, adoptando decisiones relativas a los fines y medios del tratamiento de datos, al haberse acreditado que era la responsable de impartir las órdenes para que se incluyeran los datos personales del afectado en el fichero de solvencia patrimonial BADEXCUG". Se añade que: "En este sentido, estimamos que la sentencia de instancia desconsidera la interpretación que del artículo 4.1.
19. a)de la Directiva 45/96 ha efectuado el Tribunal de Justicia de la Unión Europea en la sentencia de 1 de octubre de 2015 (asunto C-230/14 ), en que se formula la directriz de que el concepto de establecimiento, a que se refiere dicha disposición, no puede entenderse en todo caso equivalente al de la sede social donde este registrada la sociedad responsable del tratamiento de datos, debiendo valorarse para la determinación de esta noción el grado de estabilidad de la instalación así como el grado de efectividad del desarrollo de la actividad y la naturaleza específica de las actividades económicas y de las prestaciones de servicios de que se trate. Según se desprende de la mencionada sentencia del Tribunal de Justicia de la Unión Europea, cabe integrar en el concepto de establecimiento, desde una perspectiva funcional, las actividades que realice la empresa responsable del tratamiento de datos a través de un representante que disponga de los medios necesarios para la prestación de los servicios concretos de que se trate en el Estado miembro...". Y llega el Tribunal Supremo en la reseñada Sentencia a la siguiente interpretación del concepto de establecimiento del art. 2.1.
20. a)de la LOPD : "A los efectos de considerar si es aplicable la normativa de protección de datos de carácter personal, de un Estado miembro de la Unión Europea a una empresa responsable del tratamiento de datos personales, en aquellos supuestos en que la sede principal esté ubicada en el territorio de otro Estado miembro de la Unión Europea, pero que realice actividades en otros Estados miembros, el concepto de establecimiento a que se refiere el artículo 2.1.
21. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , así como el artículo 3.1.
22. a)del Real Decreto 1720/2007, de 21 de diciembre , por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 15/1999, en consonancia con lo dispuesto en el artículo 4.1.
23. a)de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse de forma flexible y antiformalista, en el sentido de que resultan comprendidos el tratamiento de datos personales que se realiza en el marco o en el contexto de la actuación desarrollada en un Estado miembro de la Unión Europea (distinto a donde tiene la sede o administración principal) a través de la utilización de medios instrumentales que se revelen idóneos y eficaces en el tratamiento de datos personales". La sociedad recurrente es una entidad de concesión de préstamos, que presta sus servicios a través de varias plataformas, entre ellas Dispon.es., Soluciones Digitales CRX, S.L, antes Dispon Servicios Financieros, S.L. La concesión de préstamos es a través del dominio web www.dispon.es, propiedad de la parte actora, y lo realiza dicha empresa, como también, la inclusión en ficheros de morosidad de los clientes que no abonan sus préstamos, como ha sucedido en el supuesto de los datos de la denunciante en el caso que nos ocupa. Y finalmente, tal y como consta en el Boletín Oficial del Registro Mercantil de 19 de abril de 2012, Dispon Servicios Financieros, S.L., tenía como socio único a dicha fecha a la sociedad aquí recurrente, siendo administrador solidario don Luis Francisco, representante legal de la sociedad demandante. Las actividades que realiza la parte actora responsable del tratamiento de datos a través de una empresa en virtud de un contrato para la gestión integral de servicios de 4 de octubre de 2013, que dispone de los medios necesarios para la prestación de los servicios concretos de que se trate en España, con un domicilio en Madrid diferente al fiscal, para recibir las notificaciones de la parte actora, así como para ejercitar los derechos de acceso, rectificación, cancelación y oposición además de prestar a la parte actora los servicios de atención a clientes, verificación y servicio de cobro de deudas tanto en vía amistosa, como cuando procediera, en vía administrativa. Cabe añadir, para completar el examen de la situación, que el Reglamento Europeo de Protección de Datos, que entró en vigor el 25 de mayo de 2018, incluye entre las definiciones de su art. 4 , la correspondiente a "establecimiento principal" , que en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, es el "lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones". El alcance de este concepto se explica en el considerando 36, según el cual, el establecimiento principal de un responsable en la Unión debe determinarse en función de criterios objetivos y debe implicar el ejercicio efectivo y real de las actividades de gestión que determinan las principales decisiones en cuanto a los fines y medios del tratamiento a través de modalidades estables. Se trata de un concepto de carácter funcional, en cuanto supone el ejercicio y desempeño efectivo de las atribuciones determinantes del tratamiento de datos, fijación de los fines y medios. Y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que entró en vigor el 7 de diciembre de 2018, establece en el art. 2 el ámbito de aplicación territorial de la citada norma, en los siguientes términos: "1. Lo dispuesto en los Títulos I a IX y en los artículos 89 a 94 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 la presente ley orgánica se aplica a cualquier tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. 2.Esta ley orgánica no será de aplicación: a)A los tratamientos excluidos del ámbito de aplicación del Reglamento general de protección de datos por su artículo 2.2, sin perjuicio de lo dispuesto en los apartados 3 y 4 de este artículo. b)A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3. c)A los tratamientos sometidos a la normativa sobre protección de materias clasificadas. 3.Los tratamientos a los que no sea directamente aplicable el Reglamento (UE) 2016/679 por afectar a actividades no comprendidas en el ámbito de aplicación del Derecho de la Unión Europea, se regirán por lo dispuesto en su legislación específica si la hubiere y supletoriamente por lo establecido en el citado reglamento y en la presente ley orgánica. Se encuentran en esta situación, entre otros, los tratamientos realizados al amparo de la legislación orgánica del régimen electoral general, los tratamientos realizados en el ámbito de instituciones penitenciarias y los tratamientos derivados del Registro Civil, los Registros de la Propiedad y Mercantiles. 4. El tratamiento de datos llevado a cabo con ocasión de la tramitación por los órganos judiciales de los procesos de los que sean competentes, así como el realizado dentro de la gestión de la Oficina Judicial, se regirán por lo dispuesto en el Reglamento (UE) 2016/679 y la presente ley orgánica, sin perjuicio de las disposiciones de la Ley Orgánica 6/1985, de 1 julio, del Poder Judicial, que le sean aplicables". Por tanto, a tenor de lo expuesto, la parte actora dirigía de forma regular actividades y operaciones a través de medios instrumentales radicados en España, adoptando decisiones relativas a los fines y medios del tratamiento de datos, entrando dentro del concepto legal de establecimiento del art. 2.1.
24. a)de la LOPD en relación con el art. 4.1.
25. a)de la Directiva 95/46/CE, aplicables al presente supuesto. Finalmente, no se aprecia la necesidad de plantear cuestión prejudicial ante el Tribunal de Justicia de la Unión Europea, a tenor de los razonamientos efectuados, que asimismo se pretende en la demanda, en cuanto al concepto de "establecimiento permanente" y la determinación del régimen jurídico aplicable cuando el establecimiento se encuentre fuera de España, pero exista un encargado del tratamiento ubicado en España, sin que se considere necesario. En efecto, en primer lugar, hay que poner de relieve que, siendo la presente sentencia susceptible de ser recurrida en casación ante el Tribunal Supremo, esta Sala de la Audiencia Nacional no estaría obligada a plantear cuestión de prejudicialidad ante el Tribunal de Justicia de la Unión Europea, según el art. 267 del Tratado de Funcionamiento de la Unión Europea, lo que bastaría para contestar a la solicitud formulada de planteamiento de las cuestiones prejudiciales. Pero, además, no se considera que existan en el caso concreto motivos para plantear las cuestiones prejudiciales, pues no se aprecia ningún aspecto que se oponga a la normativa comunitaria. En conclusión, la Agencia Española de Protección de Datos tiene competencia para controlar las actividades de la sociedad recurrente, en la medida que resultaba aplicable la obligación contenida en el art. 4.3 de la LOPD. Lo anterior es plenamente aplicable al presente caso, pues Primrose, al igual que en dicho supuesto resuelto por la AN (también de Primrose): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 Con fecha 04/10/13 Primrose suscribe con Dispon Servicios Financieros SLU (Soluciones Digitales CRX SLU), un contrato de gestión de servicios por el cual esta última presta a Primrose los servicios de atención a clientes, verificación y servicio de cobro de deudas tanto en vía amistosa, como cuando proceda, en vía administrativa, servicios que son prestados por la mercantil española, en su oficina ubicada en ***DIRECCION.1, según manifiesta la propia Primrose y en donde se han remitido tanto los requerimientos de información, como el acuerdo de inicio y propuesta de resolución del procedimiento, y que han sido debidamente atendidos y respondidos por Primrose, por lo tanto, se estaría ante un tratamiento de datos personales llevados a cabo por Primrose a través de un establecimiento ubicado en España. Por consiguiente, estamos ante un tratamiento de datos personales efectuado en territorio español. Un tratamiento de datos personales que tuvo su continuación en el hecho de la inclusión en ASNEF. En el aviso legal contenido en la web www.dispon.es se informa que los usuarios podrán ejercer los derechos de acceso, rectificación, cancelación y oposición en la siguiente dirección de email: info@dispon.es o postal a ***DIRECCION.1, dirección que corresponde a las oficinas de Dispon Servicios Financieros SLU (Soluciones Digitales CRX SLU), por lo que el tratamiento se realiza en el marco de las actividades de un establecimiento en territorio español. Primrose utiliza el espacio físico y recursos de Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), encargada para gestionar os servicios de atención a clientes, verificación y servicio de cobro de deudas. Hay que recordar que la notificación del Acuerdo de inicio del procedimiento sancionador PS/625/2016, que se realizó a Primrose, se hizo al domicilio de Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU) en Madrid. Como consecuencia de ello, Primrose procedió a realizar las correspondientes alegaciones lo que demostraría la existencia de un ejercicio efectivo y real de la actividad en España, más cuando el ejercicio de los derechos de acceso, rectificación, cancelación y oposición se llevaba a cabo a través de la entidad española: Dispon Servicios Financieros SLU. Las inclusiones de los datos de la denunciante en el fichero ASNEF se realizan a instancias de Primrose, significándose que en respuesta a la solicitud de cancelación de datos en dicho fichero efectuadas por la denunciante, la entidad responsable del citado fichero ASNEF traslada dicha solicitud a Primrose mediante el envío de carta a una persona de contacto de la entidad en el domicilio social de Dispon Servicios Financieros SLU (Soluciones Digitales CRX SLU), en concreto ***DIRECCION.2. 7º.- Sobre la solicitud de suspensión de la ejecución administrativa: Indicar que, de acuerdo con el art. 90.3.de la LPACAP, la ejecución se podría suspender cautelarmente, si el interesado hubiese manifestado su intención de interponer recurso contencioso-administrativo contra la resolución firme, no teniendo constancia esta Agencia de dicha intención, al no haberlo manifestado así el recuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 rrente en su escrito, por lo que no procede a conceder lo solicitado. III Los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente. En resumen, el escrito de recurso de reposición presentado por la entidad PRIMROSE PARTNERS LTD, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PRIMROSE PARTNERS LTD, con CIF: N8262526J contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 23/10/19, en el procedimiento sancionador PS/00625/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad, PRIMROSE PARTNERS LTD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es