REPOSICION-TD-00108-2020

1/3  Procedimiento nº.: TD/00108/2020 ASUNTO: Recurso de Reposición Nº RR/00411/2020 186_170919 Examinado el recurso de reposición interpuesto por Dª. A.A.A. (a partir de ahora la parte recurrente/reclamante), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente TD/00108/2020, y en base a los siguientes HECHOS PRIMERO: Con fecha 10 de julio de 2020, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente TD/00108/2020, en la que se acordó estimar la reclamación formulada por la reclamante contra CITIFIN S A E F C (CITIFINANCIAL), (a partir de ahora la parte reclamada). SEGUNDO: La resolución ahora recurrida fue notificada fehacientemente a la recurrente el 22 de agosto de 2020, según consta en el justificante de la notificación. TERCERO: La recurrente ha presentado recurso de reposición en fecha 28 de agosto de 2020, con entrada en esta Agencia el mismo día, en el que señala en síntesis que la entidad reclamada no ha atendido el derecho solicitado y reclama que se apliquen las sanciones que correspondan. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En base a estas normas y en consideración a los hechos tenidos por probados, se determinó que: “…En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de acceso y supresión y, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. Hay que puntualizar que la reclamación en principio fue inadmitida por esta Agencia y, posteriormente resulta estimatorio el fallo de la Audiencia Nacional presentado al respecto por la reclamante. En dicho fallo se dice que esta Agencia debe tramitar la reclamación que inadmitió en su día. En base a cuanto antecede, considerando que el presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, conjugando la información obrante en el expediente con la normativa referida en los apartados precedentes, procede estimar la reclamación que originó el presente procedimiento ya que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 derechos no han sido atendidos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. A.A.A. e instar a CITIFIN S A E F C (CITIFINANCIAL) con NIF A83448852, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que haga constar que ha atendido los derechos de acceso y supresión ejercidos por éste o se deniegue motivadamente indicando las causas por las que no procede atender su petición. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de la infracción considerada en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD…” III Examinado el recurso de reposición presentado por la recurrente, no existe discrepancia entre lo que acordó la Agencia en la resolución que fue estimatoria porque el derecho no había sido atendido y, lo que plantea la recurrente. Respecto a la posibilidad de sancionar al reclamado por no atender el derecho debe saber que el procedimiento sancionador en materia de protección de datos, que constituye una de las manifestaciones del “ius puniendi” del Estado, se inicia siempre de oficio por la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 58.2 del RGPD, y según lo establecido en los artículos 47 y 48 de la LOPDGDD. Por otro lado, debe recordarse que para definir la condición de “interesado” para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 610-2009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.)." En el mismo sentido se ha manifestado la SAN 27/5/2010: "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. (...) La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. (...) El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado". Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual “la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad”. (STSS. de 23/06/1997, 22/12/1997, 14/07/1998, 2/03/1999, 26/10/2000, 30/01/2001, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 15/07/2002, 28/02/2003 y 06/03/2003); la circunstancia de haber presentado el actual reclamante la denuncia no le otorga por sí mismo la condición de persona interesada. Junto a ello debe tenerse en cuenta el criterio restrictivo mantenido por la Audiencia Nacional en Sentencia de 1 de abril de 2011 acerca de la puesta de la protección de datos al servicio de otros intereses por legítimos que sean: “La seriedad que conlleva el ejercicio de la potestad sancionadora aconseja que se pongan en marcha los mecanismos administrativos y jurisdiccionales correspondientes solo cuando se suponga que se ha producido una verdadera violación del derecho fundamental a la protección de datos”. Por último, se ha enviado al reclamado un recordatorio de cumplimiento de resolución. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 10 de julio de 2020, en el expediente TD/00108/2020. SEGUNDO: NOTIFICAR la presente resolución a Dª. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es