Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 1123/2018 de 13 de Marzo de 2020

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0001123/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:08618/2018

Demandante:AVON COSMETICS S.A.U.

Procurador:ALEJANDRO ESCUDERO DELGADO

Letrado:AMPARO GONZÁLEZ DE CASTEJÓN Y LLANO-PONTE

Demandado:AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. NIEVES BUISAN GARCÍA

S E N T E N C I A Nº:

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

Dª. LOURDES SANZ CALVO

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a trece de marzo de dos mil veinte.

Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 1123/2018, interpuesto por el Procurador de los Tribunales don Alejandro Escudero Delgado, en nombre y representación de AVON COSMETICS S.A.U, contra la Resolución de La Agencia Española de Protección de Datos de 4 de octubre de 2018 que desestima el recurso de reposición frente a la anterior Resolución de 10 de agosto de 2018 por la que se impone a dicha entidad una sanción de 60.000 euros por la vulneración de lo dispuesto en el artículo 6.1 de la ley Orgánica 15/1999, de 13 de diciembre, de protección de Datos de Carácter Personal (LOPD), infracción tipificada como grave en el artículo 44.3.b), así como una sanción de 28.000 euros, por vulneración de lo dispuesto en el artículo 4.3 de la LOPD, tipificada como grave en el art. 44.3.c) de la citada Ley. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 88.000 euros.

Antecedentes

PRIMERO.-Por la entidad recurrente se interpuso recurso contencioso administrativo ante esta Sala, del que se acordó su tramitación de conformidad con las normas establecidas en la Ley 29/1998, y la reclamación del expediente administrativo.

SEGUNDO.-En el momento procesal oportuno tal entidad actora formalizó la demanda mediante escrito presentado el 7 de abril de 2019 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se tuviera por interpuesto el recurso, dictándose sentencia en la que se declarara la nulidad o anulabilidad de las dos multas de 60.000 euros y 28.000 euros impuestas a Avon Cosmetics SAU en la resolución de 4 de octubre de 2018.

TERCERO.-El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 2 de julio de 2019 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso confirmando íntegramente la resolución impugnada por ser conforme a Derecho, con imposición de costas a la parte recurrente.

CUARTO.- Habiéndose solicitado el recibimiento del pleito a prueba, se acordó el mismo mediante Auto de 17 de septiembre de 2019, practicándose la documental propuesta y admitida, con el resultado que figura en las actuaciones.

QUINTO.-No considerándose necesaria la celebración de vista pública y tampoco el trámite de conclusiones a las partes, quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 10 de marzo de 2020, fecha en que ha tenido lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña Nieves Buisán García, quien expresa el parecer de la Sala.

Fundamentos

PRIMERO.-Se impugna en el presente recurso contencioso-administrativo, por AVON COSMETICS, S.A.U., la Resolución por la Directora de la Agencia Española de Protección de Datos de 4 de octubre de 2018 que desestima el recurso de reposición frente a la anterior Resolución de 10 de agosto de 2018 (PS/00175/2018) por la que se impone a dicha entidad una sanción de 60.000 euros, por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), infracción tipificada como grave en el artículo 44.3.b), así como una sanción de 28.000 euros, por vulneración de lo dispuesto en el artículo 4.3 de la LOPD, tipificada como grave en el art. 44.3.c) de la citada Ley.

Resoluciones que declaran como principales hechos probados, los que a continuación se exponen:

1º.Con fecha de 11/04/2017 se presentó denuncia ante la AEPD por Dª Milagros, con DNI NUM000 y domicilio en CALLE000 NUM001 de Mazarrón (Murcia) contra AVON COSMETICS, S.A.U., manifestando que nunca había sido cliente de dicha entidad y que habían procedido a informar sus datos en un fichero de morosidad por una deuda que no reconoce, por importe de 133,97 euros. Se aporta reclamación presentada ante la OMIC de Mazarrón, y denuncia ante la Guardia Civil de Mazarrón por suplantación de identidad.

2º.As nef contestó a la denunciante, en relación con su petición de acceso a sus datos personales, que los mismos habían sido informados a dicho fichero por AVON COSMETICS, con fecha de alta 11/08/15, por importe de 133.97 euros, figurando como domicilio de contacto DIRECCION000 NUM002 de Torrejón de Ardoz.

3º. AVON COSMETICS ha aportado impresión de pantalla de la información que figura en sus ficheros relativa a Milagros, DNI NUM000, y domicilio en C/ DIRECCION000 NUM002, Torrejón de Ardoz (Madrid).

4º.La notificación y requerimiento previo se lleva a cabo a través de un SMS certificado al número de teléfono que adquirió el distribuidor.

5º.Se aporta contrato con Vodafone en el que se establece la prestación de servicios de SMS certificados a AVON.

SEGUNDO.-Se opone en primer término en la demanda la falta de competencia de la AEPD para el enjuiciamiento de la controversia, por considerar que la base de datos de la distribuidora Avon se encuentra fuera del ámbito de aplicación de la Ley Orgánica de Protección de Datos (LOPD).

Ámbito de aplicación de la LOPD que se establece con carácter general el artículo 2.1 de la citada norma, según el cual: 'La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento y a toda modalidad posterior de estos datos por los sectores público y privado'.Añadiendo el artículo 2.2 LOPD los supuestos en que a los que no resulta de aplicación el régimen de protección de los datos de carácter personal derivado de la misma, consistentes en ficheros mantenidos por las personas físicas en el ejercicio de actividades exclusivamente personales y domésticas, ficheros sometidos a la normativa sobre protección de materias clasificadas y ficheros establecidos para la investigación de terrorismo y de formas graves de delincuencia organizada.

En el mismo sentido el Articulo 2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, es del siguiente tenor literal: El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

Definiendo el Artículo 4 apartado 1 del mismo, como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); y el articulo 4.2 como «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

Por otra parte se hace preciso también indicar que corresponde a la AEPD, a tenor del artículo 37.a) LOPD y según ha reiterado también esta Sala, velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, así como ejercer la potestad sancionadora en los términos previstos en el Titulo VII (Art. 37.g). Procedimiento sancionador que se inicia siempre de oficio, en el caso de la supuesta comisión de alguna de las infracciones reguladas en dicho Titulo VII.

Aplicando toda dicha normativa al presente caso, resulta evidente que la conducta imputada por la Agencia de Protección de Datos a Avon Cosmetic consiste en un 'tratamiento' de los 'datos personales' de la denunciante tanto sin su consentimiento, como con un eventual incumplimiento del principio de calidad de tales datos, por lo que tal conducta imputada entra de lleno en el ámbito de aplicación de la LOPD y el motivo ha de ser rechazado.

TERCERO.-La alegada prejudicialidad penal, si bien se invoca de manera subsidiaria en la demanda, ha de ser resuelta con carácter previo tomando en consideración su carácter obstativo al enjuiciamiento del fondo de la controversia.

Establece el artículo 77.4 de la LPACAP que: En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien.

De relacionar tal precepto con los artículos 10 y 44 de la Ley Orgánica del Poder Judicial se deduce que para suspender el pleito por existir prejudicialidad penal, son necesarios dos requisitos: 1º que se acredite la existencia de procedimiento penal en el que se estén investigando, como hechos de apariencia delictiva, alguno o algunos de los que fundamenten las pretensiones de las partes en el proceso contencioso-administrativo; y 2º que la decisión del tribunal penal acerca de tal hecho pueda tener influencia decisiva en la resolución del asunto contencioso-administrativo.

De un lado, y si bien se invoca por Avon Cosmetic que los hechos descritos serian también parte de la denuncia ante la policía presentada por dicha entidad el 27 de abril de 2018, hechos que están siendo investigados por el Juzgado de Instrucción de Madrid nº 11 (DP 2078/2016) por ataque a las personas y sistemas informáticos de la entidad (que podría haber provocado una alteración de las bases de distribución de Avon). Es ésta una mera alegación de la demanda de la que no existe la más mínima acreditación en las actuaciones ni en vía administrativa previa ni tampoco en esta vía judicial, por lo que no puede ser tomada en consideración.

En cualquier caso, la resolución de dicho eventual pleito penal (o del derivado de la denuncia que respecto de los mismos hechos se interpuso también ante la policía por la entidad denunciante) no es imprescindible para la resolución del presente recurso contencioso-administrativo, necesariedad que, como ya se ha manifestado, es la única que podría dar lugar a la suspensión del presente recurso, derivada de la invocada prejudicial penal planteada, por lo que la misma ha de ser rechazada por la Sala.

CUARTO.-La infracción imputada en primer término a AVON COSMETICS es la del artículo 44.3.b) de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, que tipifica como infracción grave: 'Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo'.Precepto que ha de relacionarse con el artículo 6.1 de dicha LOPD, que requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal 'salvo que la ley disponga otra cosa.'

Consentimiento que se define en la letra h) del Art. 3 LOPD como 'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne'.

Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN 25/06/2009 Rec. 638/2008 y 15/10/2013, Rec. 398/2012, entre otras muchas), dado que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos. En el mismo sentido esta Sala, incidiendo en la exigencia de que el consentimiento sea inequívoco, ha indicado con reiteración que 'cualquiera que sea la forma que revista el procedimiento, éste ha de aparecer como evidente, inequívoco (que no admite duda o equivocación) pues éste, y no otro, es el significado del adjetivo utilizado para calificar el consentimiento'. Habiendo asimismo declarado con reiteración la Sala (SAN 23/04/2015, Rec. 97/2014, por todas), que la concurrencia del consentimiento inequívoco del afectado para el tratamiento de los datos personales por parte de un tercero, en el caso de que el titular de los datos niegue haberlo otorgado, se ha de acreditar o corresponde su acreditación a quien realiza el tratamiento de dichos datos.

Aplicando la anterior doctrina al supuesto de autos, ha resultado acreditado en las actuaciones y no desvirtuado mediante prueba en contrario, que en los ficheros de Avon Cosmetic se encontraban los datos personales de la denunciante ( su nombre, apellidos y número de DNI), asociados a una contratación que realmente no había sido llevada a cabo por la misma.

Se trata en definitiva de que la entidad actora inició una relación comercial con una tercera sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurarse de la identidad la persona contratante, para lo que hubiera sido bastante verificar algún tipo de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la infracción del artículo 6.1 de la LOPD imputada por la AEPD. En definitiva, al no haberse actuado con la necesaria diligencia, se trataron los datos de la denunciante sin contar con su consentimiento lo que supone una vulneración de tal esencial principio contenido en el artículo 6.1 LOPD, sin que tampoco concurra en el supuesto ninguna de las circunstancias excepcionales previstas en el artículo 6.2 de la LOPD que eximirían de la necesidad del mismo. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados infracción grave del artículo 44.3.b) de la LOPD.

QUINTO.-La segunda infracción imputada a AVON COSMETICS, S.A.U. es la del artículo 4.3 de la LOPD, a cuyo tenor los datos de carácter personal deben ser exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.

Precepto que en el presente supuesto ha de relacionarse con el artículo 29 de la citada Ley, que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, cuyo apartado 2 se refiere a los ficheros de solvencia patrimonial en que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés.

Por otra parte, el artículo 38 del RLOPD fija los 'requisitos para la inclusión de los datos' en esos ficheros, entre los que se encuentran, por lo que aquí nos interesa, en su apartado 1. 'a) Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada'.

Principio de calidad del dato que, tal y como esta Sala ha manifestado en múltiples ocasiones, ha de ser garantizado respecto de los propios ficheros de la entidad acreedora y también, y especialmente, cuando se comunican los datos personales a los ficheros sobre solvencia patrimonial y crédito. Desde el momento en que se comunican a tales ficheros de morosidad datos personales de quien realmente no es deudor, o bien se mantienen en los referidos ficheros datos personales de quien ya ha dejado de ser deudor hemos considerado, en innumerables pronunciamientos, que se produce dicha vulneración del artículo 4.3 de la LOPD.

Así hemos mantenido consolidada y reiteradamente, en relación con tal principio de calidad, que los datos que consten en los registros debe responder a la 'situación actual' de los interesados, exigiéndose el mayor rigor en cuanto a la actualidad de los datos, rigor que no es compatible con la inclusión de datos de una persona que no es deudora en un registro de solvencia patrimonial.

En el presente supuesto ha resultado acreditado y no desvirtuado mediante prueba alguna en contrario que los datos personales de la denunciante fueron comunicados por Avon Cosmetic al responsable del fichero ASNEF, lo que implica un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial, y ello a pesar de que tal denunciante no era deudora y ni siquiera había mantenido relación comercial alguna con de dicha entidad actora, con vulneración del principio de calidad del dato del articulo 4.3 LOPD.

Sin que tampoco sea posible apreciar el error invencible que insistentemente se invoca en la demanda, pues además de que el mismo debe demostrarse ( STS de 23 de junio de 2014) en definitiva, como ya se ha indicado, y sin perjuicio del fraude cometido, lo cierto es que no existió diligencia suficiente por parte Avon Cosmetic ni en el momento de incluir los datos de la denunciante en sus bases informáticas ni en el momento de notificar los mismos al fichero de solvencia patrimonial y crédito.

SEXTO.-Se solicita por último en la demanda que se proceda a una nueva graduación y se minoren sustancialmente las sanciones impuestas tomando en consideración tanto la total ausencia de responsabilidad administrativa de la recurrente como que la misma fue víctima de un fraude de suplantación de personalidad, conforme al criterio aplicado por la AEPD en ocasiones anteriores.

La resolución combatida gradúa la sanción a imponer por la infracción del art. 6 de la LOPD, de acuerdo con los siguientes criterios agravantes del art. 45.4 de la LOPD:

a)- El carácter continuado de la infracción, al figurar los datos de la denunciante en situación de alta en los ficheros de la AVON desde 24/4/15 hasta la actualidad. (Apartado 4.a agravado); b)- Por el volumen de negocio de la entidad denunciada, (apartado 4.d); y c)- El protocolo utilizado por AVON al realizar el tratamiento de los datos de carácter personal en el proceso de alta, a través de la Delegada de Ventas y tras la confirmación a través de web no garantiza la calidad del dato por lo que es susceptible de producir situaciones de fraude (apartado j).

Por otra parte, se considera que procede graduar la sanción a imponer por infracción del artículo 4.3 LOPD de acuerdo con las siguientes agravantes:

a) El carácter continuado de la infracción, al estar los datos incluidos en ASNEF desde el 11/8/15 hasta (al menos) 13/6/17, es decir 1 años y 10 meses, (apartado 4.a agravado); b) Por el volumen de negocio de la entidad denunciada (apartado 4.d); y c) El perjuicio causado a la interesada al estar incluido sus datos en los ficheros de solvencia y crédito durante 22 meses (apartado h).

No obstante y respecto de dicho principio de calidad del dato la Resolución combatida aplica el artículo 45.5.b) de la LOPD, que permite fijar la sanción en la escala inmediatamente inferior a la gravedad estipulada, rebajándose la multa a 28.000 euros, en consideración a la diligencia demostrada por la entidad a la hora de regularizar la situación irregular de la afectada, ya que en cuanto se tuvo conocimiento de la reclamación por fraude, el 13 de junio de 2017, a través de la reclamación de información de esta Agencia, procedió a solicitar la baja de los datos del denunciante del fichero ASNEF.

Criterios tanto agravantes como atenuante que han de ser confirmados por esta Sala, sin que pueda tomarse en consideración la invocada ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad 'a título de dolo o culpa', no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito administrativo es más flexible que en el derecho penal, y así, conforme a reiterada Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia exigible( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas), diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon Cosmetic.

En definitiva consideramos que las sanciones impuestas a la entidad actora en tal resolución combatida resultan ajustadas a derecho y proporcionadas, por lo que ambas han de ser confirmadas.

SÉPTIMO.-Razones, las anteriores, que conducen a la desestimación del presente recurso, siendo procedente la imposición de las costas causadas a la entidad recurrente, de conformidad con el Art. 139 de la LJCA.

Fallo

Que desestimando el recurso contencioso administrativo interpuesto por la representación procesal de AVON COSMETICS SAU, frente a la resolución de la Agencia Española de Protección de Datos de 4 de octubre de 2018 que desestima el recurso de reposición frente a la anterior Resolución 10 de agosto de 2018, por la que se impone a dicha entidad dos sanciones por importe respectivo de 60.000 euros y 28.000 euros, confirmamos dichas resoluciones y sanciones, con imposición de costas a tal entidad recurrente.

La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.

Madrid a

EL LETRADO DE LA ADMINISTRACIÓN DE JUSTICIA