Última revisión
19/08/2021
Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 1210/2018 de 22 de Junio de 2021
GPT Iberley IA
Copiloto jurídico
Relacionados:
Tiempo de lectura: 21 min
Orden: Administrativo
Fecha: 22 de Junio de 2021
Tribunal: Audiencia Nacional
Ponente: MENÉNDEZ REXACH, EDUARDO
Núm. Cendoj: 28079230012021100320
Núm. Ecli: ES:AN:2021:2969
Núm. Roj: SAN 2969:2021
Encabezamiento
D. EDUARDO MENÉNDEZ REXACH
Dª. LOURDES SANZ CALVO
D. FERNANDO DE MATEO MENÉNDEZ
Madrid, a veintidós de junio de dos mil veintiuno.
Visto el recurso contencioso administrativo que ante esta Sala de lo Contencioso Administrativo de la Audiencia Nacional ha promovido
Antecedentes
Fundamentos
En defensa de su pretensión alega que tanto la denunciante como Avon han sido víctimas de un delito de estafa y suplantación de identidad y desde el momento en que la primera tiene conocimiento de este hecho lo denunció ante la Policía Nacional, por lo que la empresa no es responsable del daño causado a la denunciante y la lesión de la privacidad de ésta es consecuencia de la actividad fraudulenta de un tercero, no de una mala praxis de Avon que no ha cometido ninguna infracción de la LOPD, que no es aplicable a los datos de sus distribuidores, como ha confirmado esta Sala, y su actuación está provocada por un error invencible del tipo y los hechos son parte de los que investiga el Juzgado de Instrucción nº 11 en las diligencias previas 2078/2016, por lo que existe prejudicialidad penal; en todo caso se debería minorar sustantivamente la sanción siguiendo el criterio que la propia Agencia ha aplicado en ocasiones anteriores.
'a).- AVON aporta las condiciones del contrato mercantil de distribución que la denunciante supuestamente firmó, con fecha 15/01/15.
b).- AVON aporta las facturas de fecha 26/01/15 por valor de 338,32 euro y de fecha 26/01/15 por valor de 132,99 euros dirigidas a la denunciante.
c).- Con fecha 04/03/15, AVON indica que envía carta personalizada a la denunciante a la dirección:
d).- Los datos personales de la Sra. Dolores, fueron dados de alta en el fichero ASNEF el 30/09/15 y estuvieron incluidos en el mismo hasta el 28/02/18, (2 años y 5 meses). Fueron dados de baja el mismo día, que la entidad envió la información requerida a esta Agencia.
e).- El 04/10/17 existe una consulta del fichero ASNEF, por parte de la denunciante, donde tiene conocimiento de que sus datos personales figuran inscritos en el mismo por una deuda de 471,31 euros, con AVON, desde el 30/09/15.
f).- El 17/10/17, la Sra. Dolores se pone en contacto con AVON, denunciando los hechos.
g).- El 26/10/17, la Sra. Dolores se pone en contacto con EQUIFAX, solicitando la baja de sus datos personales del fichero ASNEF.
h).- El 26/10/17 EQUIFAX, contesta a la Sra. Dolores indicándola que 'NO existen datos inscritos en el fichero ASNEF, asociados al identificador aportado'.
i).- El 27/01/18, AVON recibe requerimiento de información de esta Agencia sobre los hechos denunciados por Sra. Dolores
.
j).- El 18/04/18, La AEPD inicia procedimiento sancionador contra AVON por los hechos denunciados por la
k).- El 10/05/18, AVON denuncia ante la Policía Nacional los hechos, indicando en la denuncia, entre otras cosas, que:
Con base en los hechos anteriores, la Agencia declara la existencia de una infracción grave prevista en el artículo 6.1 y otra del art. 4.3. LOPD que amparan el principio del consentimiento y el de calidad de los datos, de las que se considera autora a la demandante y se le impone la multa en la cuantía mencionada en aplicación del art. 45.5 b) LOPD.
El art. 77.4 de la Ley 39/2015, de 1 de octubre, dispone: '
Tal y como revela último citado precepto, la triple identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder constituye una exigencia ineludible para que la Administración demandada se encuentre obligada a suspender el procedimiento administrativo sancionador.
Por otro lado, el art. 40 de la L.E.Civil, de carácter supletorio en la materia, que regula la prejudicialidad penal, exige en su apartado 2 para la suspensión de las actuaciones civiles la concurrencia de una serie de circunstancias: 1ª Que se acredite la existencia de causa criminal en la que se estén investigando, como hechos de apariencia delictiva, alguno o algunos de los que fundamenten las pretensiones de las partes en el proceso civil, y
2ª Que la decisión del tribunal penal acerca del hecho por el que se procede en causa criminal pueda tener influencia decisiva en la resolución sobre el asunto civil.
En la misma línea la Sentencia del Tribunal Supremo de 13 de septiembre de 2002 -recurso nº. 2.347/1998 -, señala que,
Se funda la sociedad recurrente en la existencia de prejudicialidad penal en la existencia de dos denuncias presentadas ante la Policía Nacional. Pues bien, con lo expuesto, en primer lugar, no se acredita si continua la tramitación de dichas denuncias o han sido archivadas, ni siquiera, si se han incoado diligencias previas por algún órgano jurisdiccional, y, por otro lado, no existe identidad de sujeto, pues el sujeto infractor es obvio que no sería el mismo. Así, en relación con las infracciones de la LOPD el responsable es la entidad AVON, en tanto que el responsable penal de un eventual delito de usurpación de estado civil o estafa sería el tercero que se hubiera hecho pasar por el denunciante, por lo que con lo dicho es suficiente para desestimar el motivo de impugnación que estamos analizando. Cabe decir lo mismo respecto a las diligencias previas que se tramitan en el Juzgado de Instrucción nº. 11 de Madrid, por un ataque a los sistemas informáticos de AVON.
Por lo que procede desestimar la pretensión de suspensión del presente recurso, por la existencia de prejudicialidad penal [...]»
Así, en la sentencia de 13 de marzo de 2020 (Recurso 1123/2018), respecto de la infracción del artículo 6.1 (principio del consentimiento) se dice lo siguiente:
«[...]
Consent imiento que se define en la letra h) del Art. 3 LOPD como 'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne'.
Constit uye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN 25/06/2009 Rec. 638/2008 y 15/10/2013, Rec. 398/2012, entre otras muchas), dado que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos. En el mismo sentido esta Sala, incidiendo en la exigencia de que el consentimiento sea inequívoco, ha indicado con reiteración que 'cualquiera que sea la forma que revista el procedimiento, éste ha de aparecer como evidente, inequívoco (que no admite duda o equivocación) pues éste, y no otro, es el significado del adjetivo utilizado para calificar el consentimiento'. Habiendo asimismo declarado con reiteración la Sala (SAN 23/04/2015, Rec. 97/2014, por todas), que la concurrencia del consentimiento inequívoco del afectado para el tratamiento de los datos personales por parte de un tercero, en el caso de que el titular de los datos niegue haberlo otorgado, se ha de acreditar o corresponde su acreditación a quien realiza el tratamiento de dichos datos.
Aplican do la anterior doctrina al supuesto de autos, ha resultado acreditado en las actuaciones y no desvirtuado mediante prueba en contrario, que en los ficheros de Avon Cosmetic se encontraban los datos personales de la denunciante (su nombre, apellidos y número de DNI), asociados a una contratación que realmente no había sido llevada a cabo por la misma.
Se trata en definitiva de que la entidad actora inició una relación comercial con una tercera sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. De haberse tomado las necesarias precauciones, a fin de asegurarse de la identidad la persona contratante, para lo que hubiera sido bastante verificar algún tipo de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la infracción del artículo 6.1 de la LOPD imputada por la AEPD. En definitiva, al no haberse actuado con la necesaria diligencia, se trataron los datos de la denunciante sin contar con su consentimiento lo que supone una vulneración de tal esencial principio contenido en el artículo 6.1LOPD, sin que tampoco concurra en el supuesto ninguna de las circunstancias excepcionales previstas en el artículo 6.2 de la LOPD que eximirían de la necesidad del mismo. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados infracción grave del artículo 44.3.b) de la LOPD [...]»
Además, en este caso es de aplicación el artículo 29LOPD que trata de los ficheros de información de solvencia patrimonial y crédito distinguiendo aquellos en que se tratan datos personales relativos al cumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúa por su cuenta o interés. Como ya declaró la Sala en la sentencia citada en primer lugar: «[...] Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal.
Por otra parte, el art. 38 del RLOPD, fija los
La redacción del art. 38 del RLOPD, tras la aplicación de la citada Sentencia de 15 de julio de 2010, es la siguiente:
Y el art. 39 del citado RLOPD, a su vez, dispone:
Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, se requiere que la deuda sea cierta (al inicio del apartado 1.a) del art. 38, y que haya sido previamente requerida de pago, requerimiento previo que no concurre en el supuesto de autos en relación con la inclusión de los datos del denunciante en los ficheros de morosidad.
En el caso que nos ocupa, la parte actora incorporó a sus sistemas informáticos datos personales del denunciante asociado a una deuda. Posteriormente, dicha parte informó los datos personales de la denunciante al fichero de solvencia patrimonial Asnef en relación con una deuda que no era cierta, vencida y exigible, ya que el denunciante no era distribuidor de la parte actora, por lo que cabe apreciar la existencia igualmente de dicha infracción.
Por lo demás, en cuanto a la existencia de culpabilidad de la parte actora, nos remitimos a lo expuesto en relación con la primera infracción analizada, insistiendo en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya propia.
Por lo que existe el elemento de culpabilidad en la infracción que estamos analizando, encontrándose suficientemente motivada la conducta infractora en la resolución recurrida [...]».
Por otra parte, se considera que procede graduar la sanción a imponer por infracción del artículo 4.3LOPD de acuerdo con las siguientes agravantes:
No obstante y respecto de dicho principio de calidad del dato la Resolución combatida aplica el artículo 45.5.b) de la LOPD, que permite fijar la sanción en la escala inmediatamente inferior a la gravedad estipulada, rebajándose la multa a 28.000 euros, en consideración a la diligencia demostrada por la entidad a la hora de regularizar la situación irregular de la afectada, ya que en cuanto se tuvo conocimiento de la reclamación por fraude, el 13 de junio de 2017, a través de la reclamación de información de esta Agencia, procedió a solicitar la baja de los datos del denunciante del fichero ASNEF.
Criteri os tanto agravantes como atenuante que han de ser confirmados por esta Sala, sin que pueda tomarse en consideración la invocada ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad 'a título de dolo o culpa', no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito administrativo es más flexible que en el derecho penal, y así, conforme a reiterada Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia exigible( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas), diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon Cosmetic.
En definitiva consideramos que las sanciones impuestas a la entidad actora en tal resolución combatida resultan ajustadas a derecho y proporcionadas, por lo que ambas han de ser confirmadas [...]».
Al ser los mismos criterios empleados para la graduación de las sanciones en el presente recurso procede la misma respuesta a las alegaciones planteadas de manera similar en esta demanda, lo que determina, como en los recursos precedentes, la desestimación.
Fallo
La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su
Así, por esta nuestra sentencia, testimonio de la cual se remitirá junto con el expediente administrativo a su oficina de origen para su ejecución, lo pronunciamos, mandamos y firmamos.
