Sentencia ADMINISTRATIVO Audiencia Nacional, Sala de lo Contencioso, Sección 1, Rec 730/2018 de 06 de Noviembre de 2020

Encabezamiento

A U D I E N C I A N A C I O N A L

Sala de lo Contencioso-Administrativo

SECCIÓN PRIMERA

Núm. de Recurso:0000730/2018

Tipo de Recurso:PROCEDIMIENTO ORDINARIO

Núm. Registro General:05506/2018

Demandante:AVON COSMETISS, S.A.U.

Procurador:ALEJANDRO ESCUDERO DELGADO

Demandado:AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS

Abogado Del Estado

Ponente IIma. Sra.:Dª. NIEVES BUISAN GARCÍA

S E N T E N C I A Nº :

IImo. Sr. Presidente:

D. EDUARDO MENÉNDEZ REXACH

Ilmos. Sres. Magistrados:

Dª. FELISA ATIENZA RODRIGUEZ

D. FERNANDO DE MATEO MENÉNDEZ

Dª. NIEVES BUISAN GARCÍA

Madrid, a seis de noviembre de dos mil veinte.

Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 730/2018, interpuesto por el Procurador de los Tribunales don Alejandro Escudero Delgado, en nombre y representación de AVON COSMETICS, S.A.U., frente a la resolución de la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS de 12 de julio de 2018, que desestima el recurso de reposición frente a la anterior Resolución de 17 de mayo de 2018, por la que se impone a dicha entidad dos sanciones por importe respectivo de 32.000 euros y 32.000 euros. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 64.000 euros.

Antecedentes

PRIMERO. -Por la entidad recurrente se interpuso recurso contencioso administrativo ante esta Sala mediante escrito presentado el 14 de septiembre de 2018, del que se acordó su tramitación de conformidad con las normas establecidas en la Ley 29/1998 y la reclamación del expediente administrativo.

SEGUNDO. -En el momento procesal oportuno tal entidad actora formalizó la demanda mediante escrito presentado el 26 de diciembre de 2018 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se tuviera por interpuesto el recurso, dictándose sentencia en la que se declarara la nulidad de las dos multas de 32.000 euros cada una impuestas a Avon Cosmetics SAU en la resolución de 12 de julio de 2018. Solicitándose, subsidiariamente, la minoración sustantiva del importe global de la sanción, reflejando el criterio seguido por la propia AEPD en casos de usurpación de responsabilidad. Y. subsidiariamente, se acuerde la suspensión temporal del procedimiento por existir prejudicialidad penal, hasta tanto se resuelvan los hechos denunciados ante la Policía Nacional y la Guardia Civil, actualmente objeto de investigación en DP 1720/2017, tramitadas ante el Juzgado de Primera Instancia e Instrucción de Aguilar de la Frontera.

TERCERO. -El Sr. Abogado del Estado contestó la demanda mediante escrito de 26 de febrero de 2019 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso confirmando íntegramente la resolución impugnada por ser conforme a Derecho, con imposición de costas a la parte recurrente.

CUARTO. - Habiéndose solicitado el recibimiento del pleito a prueba, se acordó el mismo mediante Auto de 29 de mayo de 2019, practicándose la prueba documental propuesta y admitida, con el resultado que figura en las actuaciones.

QUINTO. -No considerándose necesaria la celebración de vista pública y tampoco el trámite de conclusiones a las partes, quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 3 de noviembre de 2020, fecha en que ha tenido lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña Nieves Buisán García, quien expresa el parecer de la Sala.

Fundamentos

PRIMERO.-Se impugna en el presente recurso contencioso-administrativo, por AVON COSMETICS S.A.U., la Resolución por la Directora de la Agencia Española de Protección de Datos de 12 de julio de 2018 que desestima el recurso de reposición frente a la anterior Resolución de 17 de mayo de 2018 por la que se impone a dicha entidad una sanción de 32.000 euros por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), infracción tipificada como grave en el artículo 44.3.b), así como una sanción de 32.000 euros, por vulneración de lo dispuesto en el artículo 4.3 de la LOPD, tipificada como grave en el art. 44.3.c) de la citada Ley.

Resoluciones que declaran como principales hechos probados, los que a continuación se exponen:

1.Según AVON, la fecha de alta del Sr. Fulgencio en los ficheros de la empresa fue realizada el 11/11/15.

2. Existe una factura de 18/11/15, a nombre del Sr. Fulgencio de 115,29 euros.

3. Existe albarán de entrega, fechado el 19/11/15, siendo el ordenante AVON y el destinatario el denunciante. La dirección de entrega no coincide con la dirección aportada por el afectado en su denuncia. La recepción del paquete está firmada por una persona desconocida: Felicisima ( NUM000).

4. Existe certificado del envío de un SMS el 10/02/16 a un número de teléfono que concuerda con el indicado en el log apartado por AVON. En él se informaba de la deuda existente y de las consecuencias de no realizar el pago. El control de devoluciones se realiza a través de Vodafone. En este sentido, en el SMS certificado que se adjunta la comunicación resultó 'Finalizada en Destinatario'.

5. Figura inscrita una deuda asociada al denuncainte en el fichero ASNEF, informada por AVON, con fecha de alta el 07/03/16 y por importe de 115,29 €.

6. Existe una carta del denunciante dirigida a AVON, el 15/05/17, donde denuncia su inclusión en los ficheros de solvencia y acompaña la denuncia interpuesta ante la Policía Local de Aguilar (Córdoba).

7. Los datos fueron dados de baja del fichero ASNEF el 27/07/17.

SEGUNDO. -Av on Cosmetics opone en primer término en la demanda la falta de competencia de la AEPD para el enjuiciamiento de la controversia, por considerar que la base de datos de tal distribuidora se encuentra fuera del ámbito de aplicación de la Ley Orgánica de Protección de Datos (LOPD).

Ámbito de aplicación de la LOPD que se establece con carácter general el artículo 2.1 de la citada norma, según el cual: 'La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento y a toda modalidad posterior de estos datos por los sectores público y privado'.Añadiendo el artículo 2.2 LOPD los supuestos en los que no resulta de aplicación el régimen de protección de los datos de carácter personal derivado de la misma, consistentes en ficheros mantenidos por las personas físicas en el ejercicio de actividades exclusivamente personales y domésticas, ficheros sometidos a la normativa sobre protección de materias clasificadas y ficheros establecidos para la investigación de terrorismo y de formas graves de delincuencia organizada.

En el mismo sentido el Articulo 2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, es del siguiente tenor literal: El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.

Definiendo el Artículo 4 apartado 1 del mismo, como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); y el articulo 4.2 como «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

Por otra parte, es también preciso indicar que corresponde a la AEPD, a tenor del artículo 37.a) LOPD, velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, así como ejercer la potestad sancionadora en los términos previstos en el Titulo VII (Art. 37.g). Procedimiento sancionador que se inicia siempre de oficio, en el caso de la supuesta comisión de alguna de las infracciones reguladas en dicho Titulo VII.

Aplicando toda dicha normativa al presente caso, resulta evidente que la conducta imputada por la Agencia de Protección de Datos a Avon Cosmetics consiste en un eventual 'tratamiento' de los 'datos personales' del denunciante tanto sin su consentimiento, como con un supuesto incumplimiento del principio de calidad de tales datos, conducta imputada que por tanto entra de lleno en el ámbito de aplicación de la LOPD, de conformidad con lo previsto en los artículos 6.1 y 4.3 de la misma, tal y como a continuación analizaremos, por lo que el primer motivo de oposición de la demanda ha de ser desestimado.

TERCERO. -La alegada prejudicialidad penal, que asimismo se invoca de manera subsidiaria en la demanda, ha de ser no obstante resuelta con carácter previo, dado su carácter obstativo al enjuiciamiento del fondo de la controversia.

Establece el artículo 77.4 de la LPACAP que: En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien.

De relacionar tal precepto con los artículos 10 y 44 de la Ley Orgánica del Poder Judicial se deduce que para que sea procedente la suspensión del pleito como consecuencia de la existencia de una prejudicialidad penal, son necesarios dos requisitos: 1º que se acredite la existencia de un procedimiento penal en el que se estén investigando, como hechos de apariencia delictiva, alguno o algunos de los que fundamenten las pretensiones de las partes en el proceso contencioso-administrativo; y 2º que la decisión del tribunal penal acerca de tal hecho pueda tener influencia decisiva en la resolución del asunto contencioso- administrativo.

De un lado, y si bien se invoca por Avon Cosmetics que los hechos descritos serian también parte de la denuncia ante la policía presentada por dicha entidad con fecha de 23 de abril de 2018, hechos que están siendo investigados por el Juzgado de Instrucción de Madrid nº 11 (DP 2078/2016) por ataque a las personas y sistemas informáticos de la entidad (que podría haber provocado una alteración de las bases de distribución de Avon). Es ésta una mera alegación de la demanda de la que no existe acreditación ninguna en las actuaciones, ni en vía administrativa previa ni tampoco en esta vía judicial, por lo que no puede ser tomada en consideración.

Más ni la resolución del referido pleito penal, ni tampoco del que, respecto de los mismos hechos se interpuso también ante la policía por la misma Avon (que ha dado lugar a las DP 1720/2017 del Juzgado de Primera Instancia e Instrucción de Aguilar de la Frontera) se considera imprescindible para la resolución del presente recurso contencioso-administrativo, en el que los bienes jurídicos protegidos, cuales son los principios del consentimiento inequívoco y de calidad de los datos personales, son distintos a los que se tratan de preservar en dichos procedimientos penales. Necesariedad que, como ya se ha manifestado, es la única que podría dar lugar a la suspensión del presente recurso, derivada de la invocada prejudicial penal planteada, por lo que la misma ha de ser rechazada por la Sala.

CUARTO. -La infracción imputada en primer término a AVON COSMETICS es la del artículo 44.3.b) de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal, que tipifica como infracción grave: 'Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo'.Precepto que ha de relacionarse con el artículo 6.1 de dicha LOPD, que requiere el consentimiento inequívoco del afectado para tratar sus datos de carácter personal 'salvo que la ley disponga otra cosa.'

Consentimiento que se define en la letra h) del Art. 3 LOPD como 'toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de los datos personales que le concierne'.

Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN 25/06/2009 Rec. 638/2008 y 15/10/2013, Rec. 398/2012, entre otras muchas), dado que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos. En el mismo sentido esta Sala, incidiendo en la exigencia de que el consentimiento sea inequívoco, ha indicado con reiteración que 'cualquiera que sea la forma que revista el procedimiento, éste ha de aparecer como evidente, inequívoco (que no admite duda o equivocación) pues éste, y no otro, es el significado del adjetivo utilizado para calificar el consentimiento'. Habiendo asimismo declarado ( SAN 23/04/2015, Rec. 97/2014, por todas), que la concurrencia del consentimiento inequívoco del afectado para el tratamiento de los datos personales por parte de un tercero, en el caso de que el titular de dichos datos niegue haberlo otorgado, se ha de acreditar por quien realiza el referido tratamiento.

Aplicando la anterior doctrina al supuesto de autos, ha resultado probado en las actuaciones y no desvirtuado mediante prueba alguna en contrario, que en los ficheros de Avon Cosmetics se encontraban los datos personales del Sr. Fulgencio (su nombre, apellidos y su número de DNI), asociados a una relación comercial que realmente no se había producido y, como consecuencia de ello a una facturación por la compra de unos productos que tampoco había sido efectuada por tal denunciante.

Se trata en definitiva de que la entidad actora inició una relación comercial con una tercera persona sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar/ comprar productos, no era quien decía ser. Es cierto que dicha Avon, tal y como la misma alega con reiteración en la demanda, fue asimismo objeto de fraude como consecuencia de la, al parecer, usurpación de identidad del denunciante producida, más también lo es que, de haberse tomado las necesarias precauciones, a fin de asegurarse de la identidad la persona que realmente estaba contratando, para lo que hubiera sido bastante verificar algún tipo de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la infracción imputada por la AEPD . En consecuencia y al no haberse actuado con la necesaria diligencia, que ha de extremarse en materia de protección de datos personales, la consecuencia es que se trataron los datos del denunciante sin contar con su consentimiento, lo que supone una vulneración de tal esencial principio previsto en el artículo 6.1 LOPD, sin que tampoco concurra en el supuesto ninguna de las circunstancias excepcionales contempladas en el artículo 6.2 de la LOPD que eximirían de la necesidad de dicho consentimiento. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados infracción grave del artículo 44.3.b) de la LOPD.

QUINTO. -La segunda infracción imputada a AVON COSMETICS es la del artículo 4.3 de la LOPD, a cuyo tenor los datos de carácter personal deben ser exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.

Precepto que en el presente supuesto ha de relacionarse con el artículo 29 de la citada LOPD, que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, cuyo apartado 2 se refiere a los ficheros de solvencia patrimonial en que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés.

Por otra parte, el artículo 38 del RLOPD, aprobado por Real Decreto 1720/2017, de 21 de diciembre, fija los 'requisitos para la inclusión de los datos' en esos ficheros, entre los que se encuentran, por lo que aquí nos interesa, en su apartado 1. 'a)Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada'.

Principio de calidad del dato que, tal y como esta Sala ha manifestado en múltiples ocasiones, ha de ser garantizado respecto de los propios ficheros de la entidad acreedora y también, y especialmente, cuando se comunican los datos personales a los ficheros sobre solvencia patrimonial y crédito. Desde el momento en que se notifican a tales ficheros de morosidad datos personales de quien realmente no es deudor, o bien se mantienen en los referidos ficheros datos personales de quien ya ha dejado de ser deudor hemos considerado, en innumerables pronunciamientos, que se produce dicha vulneración del artículo 4.3 de la LOPD.

Así hemos mantenido reiteradamente, en relación con tal principio de calidad, que los datos que consten en los registros debe responder a la 'situación actual' de los interesados, exigiéndose el mayor rigor en cuanto a la actualidad de los datos, rigor que no es compatible con la inclusión de datos de una persona que no es deudora en un registro de solvencia patrimonial.

En el presente supuesto ha resultado acreditado y no desvirtuado mediante prueba alguna en contrario que los datos personales del Sr. Fulgencio fueron comunicados por Avon Cosmetics al responsable del fichero ASNEF, fichero de morosidad en el que permanecieron más de dieciséis meses, desde el 7 de marzo de 2016 y hasta el 27 de julio de 2017. Ello supone un tratamiento automatizado de los datos tratados, cedidos e incorporados al fichero común de información sobre solvencia patrimonial, a pesar de que tal denunciante no era deudor y ni siquiera había mantenido relación comercial alguna la entidad actora, lo que vulnera el principio de calidad del dato del articulo 4.3 LOPD.

Sin que tampoco sea posible apreciar el error invencible que asimismo se invoca en la demanda, pues además de que el mismo debe demostrarse ( STS de 23 de junio de 2014) en definitiva, como ya se ha indicado, y sin perjuicio del fraude cometido, lo cierto es que no existió diligencia suficiente por parte Avon Cosmetics ni en el momento de incluir los datos de la denunciante en sus bases de datos informáticas ni en el momento de notificar tales datos personales de quien no era deudor, al fichero de solvencia patrimonial y crédito.

SEXTO. -Se solicita también en la demanda, con carácter subsidiario, que se proceda a una sustancial minoración de las sanciones impuestas tomando en consideración tanto la total ausencia de responsabilidad administrativa de la entidad recurrente como que la misma fue víctima de un fraude por suplantación de identidad, conforme al criterio aplicado por la AEPD en ocasiones anteriores.

La resolución combatida gradúa las dos sanciones impuestas por ambas infracciones de los artículos 6.1 y 4.3 de la LOPD, tomando en consideración, de un lado, lo previsto en el artículo 45.5.b) de la LOPD, que permite fijar la sanción en la escala inmediatamente inferior a la gravedad estipulada, rebajándose la multa a 32.000 euros por cada una de las infracciones cometidas, en consideración a la diligencia demostrada por la entidad a la hora de regularizar la situación irregular de la afectada, ya que en cuanto se tuvo conocimiento de la reclamación por fraude, el 27 de julio de 2017, procedió a solicitar la baja de los datos del denunciante del fichero de solvencia patrimonial y crédito ASNEF.

Pero a la vez, toma en consideración los siguientes criterios agravantes del art. 45.4 de la LOPD: a)- El carácter continuado de la infracción, al figurar los datos del denunciante gestionados por la empresa desde el 18/11/2015 hasta el 27/07/2017. (Apartado 4.a agravado); b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado 4.c); y c)- El volumen de negocio de la entidad denunciada, (apartado 4.d).

Criterios tanto agravantes como atenuantes que han de ser confirmados por esta Sala, sin que pueda tomarse en consideración la invocada ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad 'a título de dolo o culpa', no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito administrativo es más flexible que en el derecho penal, y así, y conforme a reiterada Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia exigible( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas), diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon Cosmetics.

En definitiva, consideramos que las sanciones impuestas a la entidad actora en tal resolución combatida resultan ajustadas a derecho y proporcionadas, por lo que ambas han de ser confirmadas.

SÉPTIMO. -Razones, las anteriores, que conducen a la desestimación del presente recurso, siendo procedente la imposición de las costas causadas a la entidad recurrente, de conformidad con el Art. 139 de la LJCA.

Fallo

Que desestimando el recurso contencioso administrativo interpuesto por la representación procesal de AVON COSMETICS SAU, frente a la resolución de la Agencia Española de Protección de Datos de 12 de julio de 2018 que desestima el recurso de reposición frente a la anterior Resolución 17 de mayo de 2018, por la que se impone a dicha entidad dos sanciones por importe respectivo de 32.000 euros y 32.000 euros, confirmamos dichas resoluciones y sanciones, con imposición de costas a tal entidad recurrente.

La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.

Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.

PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.

Madrid a

EL LETRADO DE LA ADMINISTRACIÓN DE JUSTICIA