Encabezamiento
A U D I E N C I A N A C I O N A L
Sala de lo Contencioso-Administrativo
SECCIÓN PRIMERA
Núm. de Recurso:0000311/2018
Tipo de Recurso:PROCEDIMIENTO ORDINARIO
Núm. Registro General:03296/2018
Demandante:TELEFÓNICA DE ESPAÑA, SAU
Procurador:Dª MARÍA DEL CARMEN ORTIZ CORNAGO
Letrado:Dª ISABEL DEVESA LLOVO
Demandado:AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS
Abogado Del Estado
Ponente IImo. Sr.:D. EDUARDO MENÉNDEZ REXACH
S E N T E N C I A Nº :
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH
Ilmos. Sres. Magistrados:
Dª. FELISA ATIENZA RODRIGUEZ
D. FERNANDO DE MATEO MENÉNDEZ
Dª. NIEVES BUISAN GARCÍA
Madrid, a dieciséis de diciembre de dos mil veintiuno.
Visto el recurso contencioso administrativo que ante esta Sala de lo Contencioso Administrativo de la Audiencia Nacional ha promovido Telefónica de España S.A.U., representada por la Procuradora Dª Mª Carmen Ortiz Cornago,contra la Administración General del Estado, representada por el Abogado del Estado, sobre sanción por infracción grave de la Ley de Protección de Datos. Ha sido Ponente el Presidente de esta Sección Iltmo. Sr. D. Eduardo Menéndez Rexach.
Antecedentes
PRIMERO.-El acto impugnado procede del Director de la Agencia Española de Protección de Datos y es la Resolución de 5 de abril de 2018.
SEGUNDO.-Interpuesto recurso contencioso administrativo ante la Sala de lo Contencioso Administrativo de esta Audiencia Nacional, después de admitido a trámite y reclamado el expediente administrativo, se dio traslado al recurrente para que formalizara la demanda, solicitando en el suplico la estimación del recurso.
TERCERO.-Presentada la demanda, se dio traslado de la misma al Abogado del Estado, con entrega del expediente administrativo para que la contestara y, formalizada dicha contestación, solicitó en el suplico que se desestimaran las pretensiones del recurrente y que se confirmara el acto impugnado por ser conforme a Derecho.
CUARTO.-Contestada la demanda se recibió el pleito a prueba, Practicándose la propuesta y admitida a instancia de la actora; tras la presentación de conclusiones por las partes y una vez finalizada la tramitación, quedaron los autos conclusos para sentencia, señalándose para votación y fallo el día 30 de noviembre de 2021 en el que, efectivamente, se votó y falló.
Fundamentos
PRIMERO.- El presente recurso tiene por objeto la Resolución de 5 de abril de 2018, de la Directora de la Agencia Española de Protección de Datos (AEPD), que confirma en reposición otra de 29 de diciembre de 2016, por la que se impuso a la demandante una multa de 50.000 euros como responsable de una infracción del art. 6.1. de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y otra de 60.000 euros, por infracción del art. 4.3. de la misma Ley, tipificadas como graves, en los artículos 44.3.b) y 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la misma Ley.
SEGUNDO.-La recurrente solicita que se anule y deje sin efecto la Resolución impugnada y, subsidiariamente, que se modifique la calificación de la infracción, calificándola como leve e imponiendo la sanción correspondiente en su grado mínimo; más subsidiariamente, que se reduzca la sanción impuesta por infracción del artículo 4.3LOPD a la cuantía prevista en la Propuesta de Resolución (50.000 euros)
En defensa de su pretensión alega que el denunciante ante la Agencia había figurado como titular de la línea telefónica desde agosto de 2011, siéndole giradas las facturas correspondientes que fueron pagadas por cuenta bancaria las cuatro primeras y en ventanilla las siguientes, hasta marzo de 2013 en que deja de abonarlas, ante cuyo impago, y siendo la deuda cierta vencida y exigible, la empresa procede a darla de alta en los ficheros de ASNEF BADEXCUG; el 29 de septiembre de 2014, TDE recibe una reclamación del denunciante negando haber contratado la línea e informando de que por esos hechos interpuso denuncia ante la policía el 25 de septiembre de 2014; tras recibir esa reclamación, TDE dio de baja la deuda en los ficheros mencionados el 30 de septiembre y el 1 de octubre; añade que los datos personales asociados a la dirección, DIRECCION000, NUM000 apartado NUM001 de Vidrieres, en fecha 1 de junio de 2012, pertenecían a D. Geronimo y Dª Adela; pese a lo anterior, la AEPD dictó propuesta de resolución para sancionar a TDE por una infracción del art. 6.1LOPD y otra del art. 4.3, con 50.000 euros de multa cada una; tras las alegaciones, se dictó la resolución en la que se acordaba imponer una multa de 50.000 euros por la primera infracción y 60.000 euros por la segunda; recurrida en reposición, fue desestimado el recurso por la resolución aquí impugnada.
Fundamenta sus alegaciones en la infracción de los artículos 6.1 y 4.3LOPD, ante la ausencia del requisito de culpabilidad, ya que existen claros indicios de la existencia de contratación y se han abonado 19 facturas de las 24 emitidas, que contenían consumo, lo que se debe considerar como una prueba del consentimiento para el tratamiento de datos; además, el domicilio asociado a la contratación pertenece a la familia ' Adela' lo que constituye un claro indicio de que el denunciante sí tenía conocimiento de la línea contratada.
Subsidiariamente, se debe aplicar el artículo 45.5LOPD en atención a la cualificada disminución de culpabilidad de TDE y se imponga la sanción en la cuantía correspondiente a las infracciones leves, como así lo apreció la Sala en un supuesto similar; además, no ha existido beneficio alguno para TDE ni intencionalidad por su parte.
Finalmente, se ha omitido el trámite de audiencia exigido por el art. 90.2 de la Ley 39/2015, al elevar la cuantía de la sanción de los 50.000 euros de la propuesta a los 60.000 euros de la Resolución.
TERCERO.-La representación de la Administración demandada, por su parte, con cita de diversas sentencias de esta Sala, se remite a los hechos probados y a los fundamentos de la Resolución y rechaza las alegaciones de la demandante, ya que ésta no ha podido acreditar ni que el denunciante hiciera la contratación de la línea telefónica en cuestión ni que realizara los pagos de determinadas facturas asociadas a dichas líneas y, por tanto, no ha podido acreditar que contaba con el consentimiento inequívoco del denunciante para tratar sus datos en la línea de teléfono examinada y no empleó una diligencia razonable en su localización, con lo que infringió el artículo 6.1LOPD, también vulneró el principio de calidad del dato al dar de alta la deuda en el fichero de morosos sin asegurarse de que ésta fuera vencida, cierta y exigible, ni consta que realizara el requerimiento de pago previo a la inclusión; tampoco son de apreciar las circunstancias del artículo 45.5LOPD y, en particular, la especial diligencia por parte de la demandante; en cuanto a la omisión del trámite de audiencia, la Ley 39/2015 no es aplicable al haberse iniciado el procedimiento con anterioridad a su entrada en vigor. Por todas estas razones solicita la desestimación del recurso, con imposición de las costas a la demandante.
CUARTO.-La Resolución impugnada contiene la siguiente relación de Hechos Probados:
"PRIMERO: D. Lorenzo, con DNI NUM002 (folio 21), manifiesta en su denuncia que, pese a haber acreditado ante TDE la no procedencia de la deuda reclamada y de haber denunciado ante la Policía que se trataba de 'una estafa y suplantación de identidad', esa operadora ha incluido sus datos personales en un fichero de morosidad y los ha cedido a 'Medina Cuadros-Abogados'. (Folio 1)
SEGUNDO: TDE ha manifestado que el denunciante figura en sus ficheros como titular de la línea NUM003entre el 08/09/2011 y el 03/06/2013, pero no ha aportado ningún documento que pruebe que el denunciante contrató con ella la línea ni tampoco documentos acreditativos de su identidad. TDE no se ha pronunciado sobre el medio por el que el denunciante supuestamente prestó el consentimiento a la contratación de la citada línea.
TERCERO: Durante las actuaciones de investigación previa se requirió a TDE para que aportara copia del contrato supuestamente celebrado por el afectado, incluyendo las condiciones generales y particulares aplicables, y la copia del DNI, pasaporte o cualquier otro documento recabado para acreditar su identidad. La denunciada se limitó a responder lo siguiente:
'Consultada la Unidad correspondientes nos informan que no ha sido posible la localización del contrato, sin embargo debemos recordar que de las 23 facturas emitidas, sólo se dejaron de abonar las 4 últimas' (Folios 22 y 77) En fase de prueba se requirió a TDE para que acreditara documentalmente que el denunciante fue quien otorgó el consentimiento a la contratación de la línea NUM003. La entidad se limitó a responder:
'En relación con los dos puntos anteriores, interesa reiterar a esta parte que consultada la unidad correspondiente no se pudo localizar el contrato. Sin embargo, D. Lorenzo ha figurado como titular de la línea NUM003 desde el 8 de agosto de 2011 hasta el 3 de junio de 2013.' (Folio 162)
CUARTO: En el curso de las actuaciones de investigación previa se interrogó a TDE si la contratación de la línea fue telefónica o por internet y se le requirió para que aportara copia de determinados documentos en función de cuál hubiera sido la vía de contratación del servicio telefónico. La denunciada no respondió ni aportó documento alguno al efecto (folios 23, 24, 77 y 78)
En fase de prueba se reiteró la pregunta, pero la denunciada no respondió (folio 162)
QUINTO: TDE no ha aportado ninguna impresión de pantalla de sus sistemas informáticos en la que consten el nombre, apellidos, domicilios, direcciones de contacto y cuentas bancarias asociados al denunciante, con NIF NUM002, en relación con la línea telefónica NUM003, pese a que se le requirió para ello en dos ocasiones:
Durante las actuaciones de investigación previa se solicitó a la denunciada (folio 23) que aportara 'Impresión de pantalla de la siguiente información que obre en sus sistemas donde conste: 1.1. Datos relativos a nombre, apellidos, domicilios y direcciones de contacto y cuentas bancarias. 1.2. Fechas de alta y baja de la citada línea.' TDE no respondió a las preguntas y se limitó a transcribir los siguientes datos: el número de teléfono, el NIF del denunciante, el domicilio de Avinguda DIRECCION000 NUM000 NUM004, la localidad, provincia, fecha de alta y fecha de baja. (Folios 23 y 74)
En fase de prueba, en respuesta al mismo requerimiento, TDE no aportó ninguna impresión de pantalla ni facilitó la información solicitada. Se limitó a manifestar lo siguiente: 'Adjunto, se acompaña, a modo de ejemplo, el pago de varias facturas de la línea telefónica NUM003'y seguidamente a transcribir una hoja Excel con varias columnas (que llevan por rúbrica 'Importe Total', 'Importe Pendiente', 'Descripción', 'Tl' y 'DGI'). En la primera se detallan diferentes cuantías, la segunda está en blanco, en la tercera consta bien la indicación 'Factura (FT) IV' o 'Cobro recibido', en la cuarta '5B' y en la quinta el número de línea objeto de la controversia. Seguidamente transcribió un cuadro que contiene una relación de fechas (a saber, 25/08/2011, 28/05/2012, 28/06/2012,28/07/2012, 28/08/2012, 28/09/2012 y 28/10/2012), el número de factura emitida en cada una de ellas y el importe. (Folio 163
SEXTO: Se requirió a TDE en el periodo de prueba para que, habida cuenta de que declaró que todas las facturas emitidas excepto las últimas cuatro habían sido abonadas, informara del medio de pago y aportara la copia de los documentos bancarios que acreditaran dichos pagos.
La denunciada se limitó a indicar que el pago se realizó por ventanilla bancaria excepto en las cuatro primeras facturas emitidas (que corresponderían a agosto-octubre 2011) en las que indica como 'Medio de Pago' 'C.A. Y PENSIONES DE BARCELONA LA CAIXA' y seguidamente dos series de números, difícilmente legibles, de los que se ignora su significado: ' NUM005' en tres de los casos y el NUM006' en uno de ellos. (Folio 164)
SÉPTIMO: TDE manifestó en su escrito de 12/04/2016, de respuesta al requerimiento informativo de la Inspección de la AEPD que 'No existe deuda asociada al Sr. Lorenzo' (folio 75)
OCTAVO: Los documentos remitidos por la OMIC del Ayuntamiento de Sant Boi de Llobregat relativos a la reclamación presentada por el denunciante contra TDE el 02/10/2014 (folios 259 a 270) acreditan:
- Que la OMIC envió el día 22/10/2014 a las 13:26 horas a MOVISTAR (TDE), a la dirección atencionomic@telefonica.es , un correo electrónico dándole traslado de la reclamación del denunciante y de la documentación aportada (copia del DNI y de la denuncia en la Policía) y proponiendo una solución al conflicto planteado. (Folio 267)
- Que TDE respondió a la OMIC el 07/11/2014 manifestando que, respecto a la reclamación presentada por el denunciante sobre la deuda que se le requiere por el impago de facturas de una línea de la que él es titular, realizadas las comprobaciones oportunas, 'no podemos estimar usurpación de identidad en el alta de las línea de referencia, dada de alta en fecha 8 de agosto de 2011 y de baja en fecha 3 de junio de 2013'. (Folio 269)
NOVENO: TDE informó en tres ocasiones al fichero ASNEF el NIF NUM002,del que el denunciante es titular, asociado a un saldo deudor de 172,27 euros. Todas las anotaciones por vencimientos impagados, primero y último, de 28/05/2013 y 28/07/2013
- La primera incidencia se dio de alta el 03/09/2013 y de baja el 30/09/2014
- La segunda incidencia se dio de alta el 03/11/2014 y de baja el 08/12/2015
- La tercera incidencia se dio de alta el 12/01/2016 y de baja el 05/04/2016
(Folios 116 a 125)
Equifax Ibérica, S.L., practicó la preceptiva comunicación al deudor de la inclusión sus datos en el fichero ASNEF que dirigió a la siguiente dirección: Apartado de Correos NUM001, C.P.17411de Vidreres(Gerona)
DÉCIMO: TDE informó el NIF del que el denunciante es titular, asociado a una deuda por importe de 172,27 euros, al fichero de solvencia patrimonial BADEXCUG con fecha de alta 04/09/2013. La anotación se dio de baja el 01/10/2014 por 'proceso automático semanal de actualización de datos'. Asociados a esos datos figura como domicilio a efectos de notificaciones el Apartado de Correos NUM001 de Vidreres, CP 17411. (Folios 58 a 71)
UNDÉCIMO: El denunciante presentó una denuncia ante los Mossos dÂEsquadra el 25/09/2014 en la que expuso que el 24/09/2014 recibió una llamada telefónica 'de quien decía ser la asesoría jurídica de Movistar' informándole de una supuesta deuda de 330,90 euros correspondiente a la línea número NUM003dada de alta a su nombre y que en ella le informaron de que las facturas que la operadora emitió por esa línea se enviaban al apartado de correos NUM001 de Vidreres, Gerona(Folio 7)
DECIMOTERCERO: Obra en el expediente copia de una carta aportada por el denunciante cuyo remitente es Medina Cuadros Abogados en la que requieren el pago de una deuda (folio 20)
DECIMOCUARTO: Obra en el expediente un 'Volante de Residencia' expedido por el Ayuntamiento de Sant Boi de Llobregat a tenor del cual el denunciante está empadronado en el domicilio actual ( DIRECCION001, NUM007, Barcelona) desde el 31/05/2006. (Folio 18)"
Con base en los hechos anteriores, la Agencia declara la existencia de una infracción grave prevista en el artículo 6.1. LOPD, que protege el principio el consentimiento del titular en el tratamiento de los datos personales, y otra contemplada en el art. 4.3. en relación con el 29.4LOPD que ampara el principio de calidad de los datos, de las que se considera autora a la demandante y se le impone las multas en la cuantía mencionada en aplicación del art. 45.2LOPD.
QUINTO.-El art. 6.1., dispone que 'el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa'y añade, en su apartado segundo, los supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial.
El art.3 h) de la LOPD define el 'consentimiento del interesado' como 'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen'.
Como ha recordado esta Sala en su sentencia de 13 de septiembre de 2013, recurso 65/12: «[...] El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia [...]» añadiendo que: «[...] el consentimiento ha de ser necesariamente 'inequívoco'. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento.
Por otro lado, la carga de acreditar la existencia del 'consentimiento inequívoco', a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010-)[...]».
De los hechos probados se deduce que, en el presente caso, la demandante no ha acreditado debidamente la existencia de un consentimiento válido prestado por el titular de los datos; así resulta de la imposibilidad por parte de la compañía de presentar el contrato o la copia del DNI o cualquier otra documentación que acreditase la existencia del contrato y la válida prestación del consentimiento del titular de los datos, que le fueron requeridos en dos ocasiones por la AEPD, sin atender a esos requerimientos; consta, además, la denuncia presentada por el denunciante ante los Mossos d'Esquadra, así como la reclamación presentada ante la OMIC frente a la compañía telefónica, que rechazó la usurpación de identidad alegada en el alta de las líneas telefónicas y, finalmente, consta el volante de residencia del Ayuntamiento de Sant Boí de Llobregat conforme al cual el denunciante consta empadronado en un domicilio diferente del proporcionado por la compañía; todos estos datos han sido recogidos en los hechos probados y no desvirtuados por la demandante la cual, a pesar de tener conocimiento de la denuncia presentada ante la policía y la reclamación ante la OMIC del rechazo del titular de los datos, los dio de alta en un fichero de solvencia patrimonial y crédito, asociados a la deuda mencionada. Es incompatible con este hecho la alegada apariencia de legalidad, que contrasta con la falta de prueba del consentimiento inequívoco del titular para el tratamiento de sus datos personales.
Esta Sala ha declarado reiteradamente en supuestos similares al ahora analizado, en que ha intervenido actuación aparentemente fraudulenta de tercero, que: «[...] es necesario asegurarse que la persona que contrata es quien realmente dice ser y deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento [...]» (St. de 21 de noviembre de 2014, R. 45/14, que recoge, a su vez, el contenido de la de 3 de octubre de 2013, R. 54/12), ya que la simple copia de los contratos no es suficiente para demostrar que se celebraron con el denunciante.
En conclusión, no ha quedado acreditado el consentimiento inequívoco del titular de los datos, ni resulta de aplicación el art. 6.2 y sí, por el contrario, la ausencia de la diligencia necesaria por parte de la compañía para asegurarse de la identidad de los datos personales objeto de tratamiento, lo que integra el elemento culpabilístico de la infracción.
SEXTO.-Respecto de la segunda de las infracciones, el art. 4.3. LOPD establece que 'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'.
Por su parte el art. 44.3.c) de la misma Ley tipifica como infracción grave : 'Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave'.
Es de aplicación, además, lo establecido en el art. 29LOPD, que regula la prestación de servicios de información sobre solvencia patrimonial y crédito, ya que la razón que motivó la inclusión de los datos en el fichero de ASNEF-EQUIFAX y en el BADEXCUG, por parte de la empresa sancionada, fue el alegado incumplimiento por el Sr. Lorenzo de su obligación de pagar la cantidad a que consideraba que venía obligado en virtud del contrato celebrado para la prestación del servicio de telefonía móvil, cuya existencia no ha probado, como tampoco que concurriera el consentimiento del afectado, pese a lo cual incluyó sus datos en los ficheros de morosos vinculados a una deuda que era ajena a tal denunciante y, por ende, inexacta e incierta, por lo que el principio de calidad de datos ( articulo 4.3 LOPD) ha de aplicarse aquí con todo su rigor, pues el acreedor sólo puede utilizar tales mecanismos excepcionales, que la LOPD le otorga, cuando tenga plena seguridad y certeza de la existencia y cuantía del crédito, lo que no aconteció en el caso.
Por último, hay que mencionar el art. 38 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, referido al supuesto del art. 29 de la Ley, que establece que ' sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
a) Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación'.
Asimismo, el acreedor deberá informar al deudor ' en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término prevenido para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias'( Art. 39 Reglamento LOPD).
Así pues, la inclusión de datos en ficheros de solvencia patrimonial y crédito exige la existencia de una deuda cierta y la información al deudor, en los términos establecidos legal y reglamentariamente acabados de exponer, junto con el requerimiento de pago de la deuda, previo a la inclusión. Así, esta Sala ha declarado reiteradamente (por todas, sentencia de 22 de noviembre de 2013, recurso 517/12) que la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, tanto en la redacción actual del artículo 38 del Reglamento como en la original, requiere al inicio del apartado 1.a) que la deuda sea cierta, exigencia que responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD al expresar que 'Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado'.
En el presente caso no concurre este requisito de la certeza de la deuda sino que la demandante informó de los datos personales del denunciante a los ficheros de solvencia patrimonial, en los que permanecieron durante el período recogido en los Hechos Probados Noveno y Décimo, en relación con una deuda que no era cierta, vencida y exigible, ya que no ha probado que el denunciante contratara tal línea y sí consta, sin embargo, que éste presentó una denuncia ante la policía, tal y como le había indicado la propia demandante, y una denuncia ante la AEPD por la inclusión de sus datos en el fichero de morosos, en razón de una deuda inexistente, así que es de apreciar la existencia de dicha infracción.
SÉPTIMO.-Invoca la demandante, como infringido, el principio de proporcionalidad y también que la multa de la sanción por infracción del principio de calidad del dato finalmente impuesta es superior en 10.000 euros a la que contenía la propuesta de resolución, sin que tuviera oportunidad de presentar alegaciones y sin que la resolución justifique ese aumento.
Con respecto a esta segunda alegación, el artículo 90.2 de la Ley 39/2015, dispone que '...cuando el órgano competente para resolver considera que la infracción o la sanción revisten mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes en el plazo de quince días';aunque el procedimiento administrativo se inició antes de la entrada en vigor de esta norma, su contenido ya se venía aplicando por esta Sala siguiendo la interpretación contenida en la sentencia del Tribunal Supremo de 21 de octubre de 2015, Recurso 336/2013, ( Sts Sala CAAN, Sección Primera, de 12 de marzo de 2015, Apelación 27/2014; sentencia de 28 de noviembre de 2016, apelación 14/2016, que cita otras anteriores, y St de 8 de noviembre de 2017, R. 991/2015); en conclusión, esta alegación habría de ser estimada y reducida la sanción a la de la propuesta.
Sin embargo, es de apreciar en este caso que, junto a la atenuante apreciada en la resolución (ausencia de beneficios para el infractor, art. 45.4 e) LOPD) concurre, igualmente, una notable disminución de la culpabilidad de la entidad infractora ( art. 45.4.f) LOPD). Ello es así, porque apreciada la falta de diligencia como elemento del tipo sancionador, ante la falta de acreditación del consentimiento y de cualquier indicio sobre la existencia o forma en se hizo la contratación, es cierto que hubo consumo y que se pagaron varios recibos, lo que pudo generar una confianza en la compañía de actuar correctamente; también admite la resolución que el apartado de correos que figuraba como dirección para el envío de las facturas fue contratado por una persona con posibles vínculos familiares con el denunciante, lo que no justificaría el uso indebido de los datos de un pariente, pero es un elemento más que contribuye a considerar una menor culpabilidad en la empresa; por todo ello la Sala estima que resulta de aplicación lo dispuesto en el artículo 45.5.a) LOPD, es decir, fijar la cuantía de la sanción, aplicando la escala establecida para las infracciones leves (de 900 a 40.000 euros), en diez mil euros para cada una de las infracciones.
OCTAVO.-Por todas las razones anteriores procede estimar en parte el recurso y, en aplicación del art. 139.1. de la Ley de esta Jurisdicción, no imponer las costas a ninguna de las partes.
Fallo
PRIMERO.-Estimar parcialmente el presente recurso nº 311/2018, interpuesto por la Procuradora Sra. Ortiz Cornago, en la representación que ostenta, contra la Resolución de la Agencia Española de Protección de Datos descrita en el primer Fundamento de Derecho, que se anula en lo relativo a la cuantía de las multas impuestas por ambas infracciones y se sustituye por una multa de 10.000 euros para cada una de ellas, confirmando la resolución en todo lo demás.
SEGUNDO.-Imponer a la demandante las costas del recurso.
La presente sentencia es susceptible de recurso de casación que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el artículo 89.2. de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.
Así, por esta nuestra sentencia, testimonio de la cual se remitirá junto con el expediente administrativo a su oficina de origen para su ejecución, lo pronunciamos, mandamos y firmamos.
