Resolución de la Agencia Española de Protección de Datos PS-00160-2018 de 12 de septiembre de 2018

Cuestión

1 / 12

Procedimiento Nº PS/00160/2018

RESOLUCIÓN: R/01611/2018

En el procedimiento sancionador PS/160/2018, instruido por la Agencia

Española de Protección de Datos, a la entidad AVON COSMETICS SAU (AVON), vista

la denuncia presentada por Dª. A.A.A. , y en base a los...

Contestacion

1/12

Procedimiento Nº PS/00160/2018

RESOLUCIÓN: R/01611/2018

En el procedimiento sancionador PS/160/2018, instruido por la Agencia

Española de Protección de Datos, a la entidad AVON COSMETICS SAU (AVON), vista

la denuncia presentada por Dª. A.A.A., y en base a los siguientes,

ANTECEDENTES

PRIMERO: Con fecha 18/12/17, tiene entrada en esta Agencia, escrito de Dª. A.A.A.,

donde denuncia que: ?Sus datos personales han sido incluidos en el fichero se

solvencia ASNEF, sin tener conocimiento de ello, por AVON COSMETCS?. Aporta la

documentación referenciada ya en la incoación del expediente y en la propuesta de

resolución.

S EGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la

empresa AVON, remite la información y documentación referenciada en la incoaciónd

el expediente y en la propuesta de resolución.

TERCERO: Con fecha 18/04/18, la Directora de la Agencia Española de Protección de

Datos acordó iniciar, procedimiento sancionador a la entidad AVON, por presunta

infracción de los artículo 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de

Protección de Datos de Carácter Personal, (LOPD), tipificadas como graves en los

artículos 43.3.b y c) respectivamente, de dicha norma, pudiendo ser sancionada, cada

una de las infracciones, con multa de 40.001 a 300.000 euros, de acuerdo con el

artículo 45.2 de dicha Ley Orgánica, argumentándolo, esencialmente en:

Respecto de la infracción cometida al artículo 6.1 de la LOPD: ?En el presente

caso, AVON, en su escrito de información remitido a esta Agencia, NO aporta ningún

documento que acredite que la Sra. A.A.A. realizó el proceso de alta; NO aporta

ningún formulario o contrato suscrito por la denunciante con la compañía y avalado

por las Delegada de Ventas tal y como se indica en el escrito de alegaciones; NO

aporta fotocopia de DNI o documento que acredite la identidad del contratante; NO se

aporta correo electrónico enviado al distribuidor para darse de alta ni la aceptación de

las condiciones del contrato mercantil. Solamente se trascribe el ?log de aceptación?

realizado por web, pero incluso en éste, NO se incluyen datos esenciales, como puede

ser el DNI. Además, se puede comprobar que ni la fecha de nacimiento ni la dirección

ni el número de teléfono concuerdan con los aportados por el denunciante.

Respecto de la infracción cometida al artículo 4.3 de la LOPD: ?En cuento a la

inclusión de los datos personales en el fichero ASNEF, se comprueba que los mismos

fueron incluidos el 30/09/15 y dados de baja el 28/02/18, (2 años y 5 meses después),

sin que la empresa haya justificado que dicha inclusión cumpla los requisitos

marcados anteriormente, ya que se incluyen los datos de una persona física en

ASNEF, que no tiene ninguna relación contractual de ningún tipo con la empresa, por

una deuda que no es cierta, y por lo tanto que no se le puede exigir?.

CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia,

mediante escrito de fecha 11/05/18, formuló las alegaciones expuestas en la propuesta

de resolución.

QUINTO: Con fecha 22/05/18, se inició el período de práctica de pruebas,

acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

2/12

por la denunciante y su documentación, los documentos obtenidos y generados por los

Servicios de Inspección que forman parte del expediente E/0119/2017 y b).- dar por

reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/160/2018,

presentadas por la representación de la entidad denunciada.

SEXTO: Con fecha 27/06/18, se notifica la propuesta de resolución sancionadora

consistente en que por parte de la Directora de la Agencia Española de Protección de

Datos se sancione a la compañía AVON, por infracción de los artículos 6.1 y 4.3 de la

LOPD, tipificadas como grave en los artículos 44.3.b y c), respectivamente, de dicha

norma, con sendas multas de 28.000 euros cada una, dando como resultado una

multa total de 56.000 (cincuenta y seis mil euros), de conformidad con lo establecido

en el artículo 45.2 y 4 de la citada Ley Orgánica fundamentándolo, esencialmente en

que: ?AVON NO aporta ningún documento que acredite que la Sra. A.A.A. realizó el

proceso de alta como distribuidora; NO aporta ningún formulario o contrato suscrito

por el denunciante con la compañía y ?avalado por las Delegada de Ventas? tal y como

se indica la compañía en su escrito de alegaciones; NO aporta fotocopia de DNI o

documento que acredite la identidad del contratante; NO se aporta correo electrónico

enviado al presunto distribuidor para darse de alta ni la aceptación de las condiciones

del contrato mercantil. Solamente se trascribe un ?log de aceptación? realizado por

web con algunos datos que concuerdan con los del denunciante, pero incluso en este

caso, NO se incluyen datos esenciales, como puede ser su DNI. Además, ni la fecha

de nacimiento ni la dirección ni el número de teléfono concuerdan con los aportados

por el denunciante a esta Agencia, lo que acredita una falta grave de diligencia debida

en el tratamiento de los datos de la afectada?.

SÉPTIMO: Notificada la propuesta de resolución, la entidad AVON presenta

alegaciones a la propuesta de resolución el 10/07/18, dentro del periodo concedido al

efecto, argumentando, esencialmente que:

?AVON formuló primeras alegaciones y proposición de prueba mediante escrito

presentado ante la AEPD el 11 de mayo de 2018 y solicitaba en el EPA el

sobreseimiento del procedimiento sancionador, declarando además, en su caso, la

nulidad de lo hasta ahora actuado en base a: (i) Queda probado que la Denunciante

mantenía una relación de distribución mercantil con AVON al haber formalizado y

aceptado un contrato de distribución con la misma. (ii) Queda probado que la

Denunciante adquirió de AVON una serie de productos que fueron enviados a la

dirección postal por él indicada. Dichos productos fueran correctamente entregados, el

albarán de (iii). (iV) Entrega firmado, no recibiendo AVON aviso alguno que pudiera

indicar que la dirección de envío era incorrecta o que no correspondía con la del

Distribuidor. La existencia de una deuda líquida, vencida y exigible correspondiente a

una factura emitida por AVON a la Denunciante por los productos adquiridos y

entregados y que ascendía a cuatrocientos setenta y un euros y treinta y un céntimos

de euro (471,31 ?). El envío por parte de AVON de una notificación escrita a la

Denunciante previa y personalizada (que fue correctamente recepcionada) informando

de la existencia de una deuda líquida vencida y exigible, así como de las

consecuencias de su impago y potencial inclusión en un fichero de morosos. La

realización de dicha notificación a través de un servicio de SMS certificado al número

de teléfono móvil proporcionado por la Denunciante a AVON.

Además de: (i) La condición de empresario individual de la Denunciante, que

hace que el régimen jurídico de protección de datos personales contenido en la LOPD

no resulte de aplicación al tratamiento de datos efectuado por AVON. Se recuerda que

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

3/12

la relación del Distribuidor con AVON era estrictamente mercantil, en calidad de

distribuidor empresario individual y que por tanto los datos e informaciones relativos a

la Denunciante a los que ha tenido acceso AVON y que ha podido tratar, se han

circunscrito exclusivamente al ámbito de su actividad mercantil como comerciante

distribuidor. (ii) Subsidiariamente, en caso de que a Denunciante no hubiera sido la

persona que formalizó el contrato de distribución, AVON habría sido objeto de un

engaño, y estaríamos por tanto ante una estafa, de la que tanto la Denunciante como

AVON serían víctimas. Si finalmente en el seno del procedimiento penal no resultara

probado la existencia de una estafa, ni la suplantación de la identidad del Denunciante

al formalizar el contrato de distribución con AVON, no podría derivarse ninguna

responsabilidad administrativa para AVON, al haber respetado escrupulosamente los

requisitos de la LOPD en relación con la inclusión de los datos de la Denunciante en

un fichero de morosos pese a no resultarle dicha normativa de aplicación.

Con fecha 27/06/18, AVON recibió notificación de Propuesta de Resolución del

presente procedimiento sancionador en cuya virtud propone provisionalmente imponer

a AVON dos multas de veintiocho mil euros (28.000 ?) cada una de ellas, dando como

resultado una multa de cincuenta y seis mil euros (56.000 ?) por la infracción de los

artículos 6.1 y 4.3 de la LOPD, este último en relación con el artículo 38.1 a) del Real

Decreto 1720/2007, de 21 de diciembre, que aprueba el reglamento de desarrollo de

la LOPD ("RLOPD"), ambas tipificadas como graves en el artículo 43.3 c) de la LOPD.

Se fundamenta jurídicamente la PR, de forma sucinta, en los siguientes Fundamentos

de Derecho: 1. La PR estima que los hechos denunciados en este procedimiento e

investigados por la AEPD no versan sobre una presunta infracción de AVON en

materia de protección de datos en relación al tratamiento de los datos personales de

uno de sus distribuidores, si no, sobre el tratamiento que ha realizado AVON sobre los

datos de una persona totalmente ajena a ellos, que denuncia que nunca ha tenido

contacto con AVON. 2. Sentado por la PR en el argumento anterior que la LOPD es

de aplicación al caso, la PR estima que AVON no ha aportado documentación que

acredite que la Denunciante realizó el proceso de alta como distribuidor, así como

tampoco que AVON recabara el consentimiento del Distribuidor para el tratamiento de

sus datos personales. 3. Según lo establecido en la PR, se habrían incluido los datos

personales en ASNEF de una persona que presumiblemente no ha tenido ni tiene

ninguna relación con la AVON y que, por consiguiente, no habría consentido que sus

datos personales fueran tratados por AVON.

Finalmente, la PR reconoce como hecho probado que en vía judicial se está

investigando un posible caso de ?falsedad y estafa? en relación con la presunta

suplantación de la identidad de la Denunciante al registrarse como distribuidor de

AVON y realizar pedidos. Procedimiento penal iniciado precisamente a resultas de la

denuncia presentada por la propia Denunciante, tal y como él mimo indicó en su

denuncia ante la AEPD, y de la cual AVON tuvo precisamente conocimiento a través

del presente procedimiento. Pese a ello, la AEPD recrimina a AVON en la PR por no

aportar ningún documento que haga prueba del estado en el que se encuentran en la

actualidad las diligencias previas.

Si el procedimiento penal iniciado por la propia Denunciante no fuera

suficiente, AVON presentó denuncia ante la Policía Nacional, (atestado nº 9005/18).

Denuncia que ha sido obviada por parte de la AEPD, pese a haberse adjuntado como

anexo al EPA. Quinto. Que en virtud de las alegaciones contenidas en el presente

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

4/12

escrito y por considerarlo conforme a Derecho, AVON solicita nuevamente al Instructor

que, una vez valoradas las mismas, proceda a acordar el sobreseimiento y cierre del

presente procedimiento sancionador, declarando además, en su caso, la nulidad de 10

hasta ahora actuado y todo ello con arreglo a las siguientes ALEGACIONES:

PRIMERA. Prejudicialidad penal. Suspensión del procedimiento administrativo

ante la concurrencia de una posible infracción penal por falsedad documental,

suplantación de personalidad y estafa. Error invencible de tipo.

Del análisis de los hechos y manifestaciones realizados por la propia

Denunciante en su denuncia ante la AEPD, y trasladados a AVON, parece que

podríamos encontramos ante un caso de infracción penal por falsedad documental,

suplantación de personalidad y estafa, del cual habría sido víctima tanto la

Denunciante como AVON.

De acuerdo con los hechos descritos por la Denunciante y aceptados como

hechos probados, la Denunciante interpuso denuncia penal por suplantación de

identidad que dio lugar a la incoación de las correspondientes diligencias previas. El

asunto en la actualidad estaría siendo investigado por la Guardia Civil. Por si dicha

denuncia no fuera suficiente, la propia AVON presentó denuncia ante la Policía

Nacional el 10/05/18 poniendo en conocimiento de la autoridad policial hechos

análogos de estafa. AVON se encuentra en estos momentos, a la espera del

desarrollo de dichas diligencias policiales a los efectos de que se puedan esclarecerse

los hechos y dirimirse las correspondientes responsabilidades. En particular, deberá

aclararse en el procedimiento penal si efectivamente existió la estafa que la

Denunciante alega y en virtud de la cual un tercero habría suplantado la identidad de

la Denunciante, en cuyo caso tanto el Distribuidor como AVON serían víctimas del

ilícito penal.

Si unos hechos (fundamentales para precisar la existencia de infracción

administrativa) están siendo objeto de investigación policial y penal, la Administración

Pública, en este caso la AEPD, no puede por más que suspender el procedimiento

administrativo a la espera de que se esclarezcan los hechos, de conformidad con lo

previsto en el artículo 77.5 de la Lev 39/2015, de 1 de octubre, del Procedimiento

Administrativo Común de las Administraciones Públicas, que en relación con los

medios probatorios empleados en el Procedimiento Administrativo Común, claramente

establece: "4. En los procedimientos de carácter sancionador, los hechos declarados

probados por resoluciones judiciales penales firmes vincularán a las Administraciones

Públicas respecto de los procedimientos sancionadores que substancien." Esto es, en

tanto en cuanto los mismos hechos que sustancian este procedimiento sancionador

están siendo objeto de investigación penal, la AEPD, por un principio de seguridad y

prudencia jurídica debe suspender cautelarmente el procedimiento a la espera de que

se esclarezcan los hechos. Lo contrario podría llevar a una situación tan antijuridica

como que AVON resultara sancionado en vía administrativa por unos hechos que

finalmente fueran declarados como no probados en vía judicial penal. Precisamente

como dicha situación sería inadmisible desde un punto de vista del administrado, la

Ley del Procedimiento Administrativo Común se tomó la molestia de regularlo

expresamente (como no podía ser de otra manera).

Pese a ser conocedora de las anteriores circunstancias, la AEPD rechaza la

existencia de una posible prejudicialidad penal y la necesidad de suspender el

procedimiento administrativo que nos ocupa hasta que se aclaren los hechos,

limitándose a recriminar a AVON la falta de aportación de pruebas del estado actual de

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

5/12

la tramitación de las diligencias previas, cuando no depende de AVON los tiempos de

la tramitación de la misma.

Por un lado, la AEPD valida sin más la versión de los hechos narrada por la

Denunciante, aceptando sin más que hubo una estafa y que fue un tercero, quien

suplantando la responsabilidad de la Denunciante, formalizó el contrato de distribución

de con AVON. Por otro lado, acepta como hecho probado la existencia de un

procedimiento penal pendiente, pero a pesar de todo ello, descarta esperar a conocer

el resultado de dicho procedimiento, y sanciona a AVON por una supuesta mala

praxis. Dicha interpretación y modo de actuar de la AEPD condena irremediablemente

a AVON a la más absoluta indefensión.

Si hubo estafa, AVON es tan víctima como la Denunciante. Si no hubo estafa,

la Denunciante estaría faltando a la verdad, en contra de las pruebas documentales

aportadas, para eximirse de la responsabilidad que le corresponde. Así y a la e5pera

de que se dirima la existencia penal, la actuación de AVON se habría basado en un

error invencible de tipo, en la conciencia de que el Distribuidor era quien decía ser.

SEGUNDA. Si la normativa de protección de datos fuera de aplicación.

En caso de que finalmente la autoridad penal resolviese que no existe estafa, y

que por tanto la Denunciante falta a la verdad cuando manifiesta que no tuvo relación

mercantil de distribución alguna con AVON, en un ejercicio puramente teórico de

aplicación de la LOPD, AVON habría adoptado todas y cada una de las medidas que

dicha norma exige respecto al tratamiento de los datos personales de la Denunciante.

Recordemos que ha quedado acreditado que AVON en un ejercicio de tran5parencia y

diligencia máxima, recabó preventivamente y pese a no ser necesario, el

consentimiento previo e informado del Distribuidor para el tratamiento de sus datos

personales en el momento de darle de alta como distribuidor.

Recordemos igualmente que, el Distribuidor recibió un e?mail para darse de

alta como distribuidor y se registró en la web de AVON España, aceptando los

términos y condiciones del contrato mercantil de distribución que preventivamente

incluye un cometimiento informado de tratamiento de datos para aquellos casos en los

que pudiera ser aplicable. La aceptación de dichas condiciones mediante el log de

aceptación del Distribuidor ha quedado debidamente acreditada, habiéndose aportado

prueba documental de la misma durante el procedimiento, la cual damos por

reproducida a todos los efectos oportunos.

Posteriormente, y ante la existencia de dicha deuda líquida, vencida y exigible,

AVON no solo trató de contactar en reiteradas ocasiones por teléfono con el

Distribuidor (tal y como quedó acreditado en nuestro EPA), sino que además envió una

notificación escrita previa, personalizada y específica al Distribuidor, informándole de

la existencia de la deuda y de las consecuencias del impago. Dicha notificación, tal y

como queda probado en el expediente a través de la prueba documental ya aportada,

fue enviada a través de un sistema de SMS certificado al número de teléfono móvil

proporcionado a AVON por el propio Distribuidor. Cabe recordar que el sistema de

SMS certificado es un sistema válido y reconocido por la propia AEPD.

De igual modo la propia AEPD en la PR establece como hecho probado el

correcto envío y recepción de dicha notificación por SMS certificado al número de

teléfono móvil proporcionado por el Distribuidora a AVON. Por tanto, y en tanto en

cuanto no ha podido ser de momento esclarecido la existencia o no de una estafa (en

cuyo caso, recordemos AVON sería víctima también y no responsable) queda

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

6/12

acreditado que AVON actuó diligentemente conforme a la información que en ese

momento contaba, y en aplicación preventiva de una norma que no le resulta de

aplicación. No pueden por tanto derivarse responsabilidad administrativa alguna para

AVON por infracción de una norma, que ha sido cumplida respetuosamente, pese a no

resultarle de aplicación.

TERCERA. De la inaplicabilidad de la normativa de protección de datos.

Todo lo anterior sin perjuicio de que nos sorprende de sobremanera

encontramos de nuevo ante un caso en que la AEPD insiste de manera inexplicable,

en aplicar la LOPD a un supuesto claramente excluido, esto es al tratamiento de los

datos de su base de distribuidoras realizada por AVON para la gestión de la actividad

empresarial que les une. A los efectos de justificar la inaplicabilidad de la normativa

de protección de datos nos remitimos a los indicado en nuestro EPA y, en aras a la

claridad, reiteramos.

AVON mantiene que el tratamiento de los datos que realiza de sus

distribuidores, y por supuesto también del Distribuidor, está fuera del ámbito de

aplicación de la LOPD y así lo ha reconocido expresamente la Audiencia Nacional en

las sentencias firmes número 401/20] 6 de 23 de marzo (JUR/2016/170196) y número

15 7/2016 de 4 de marzo (JUR/201 6/ 72 71 0). ' La relación jurídica entre la

Denunciante y AVON ha de calificarse como una relación mercantil de distribución en

forma de ?venta multinivel? & través de distribuidores independientes que asumen el

riesgo y ventura del negocio de compra y reventa de productos y, por lo tanto, la

calificación jurídica de la Denunciante en su relación con AVON no puede ser otra que

la de DISTRIBUIDOR?COMERCIANTE- EMPRESARIO INDIVIDUAL. De acuerdo

con el artículo 2.3 del RLOPD los datos de impago de suministro de mercancías al por

mayor de los distribuidores de AVON, como empresarios individuales, deben siempre

entenderse expresamente excluidos del ámbito de aplicación del régimen previsto

para los datos de carácter personal en España, en la medida en que los mismos no

corresponden exclusivamente a la esfera íntima o la vida como ciudadano privado del

Distribuidor. Insistimos una vez más en que seguir este planteamiento cuando la

AEPD sabe de su evidente antijuridicidad, resulta, temerario, y perjudica, no solo a

AVON, sino también al erario público y al interés público, reservándose AVON en este

sentido el ejercicio de las acciones legales que legítimamente le pudieran

corresponder con objeto de defender sus propios intereses y el interés general. Por

todo lo anterior

SOLICITA por último que se dicte finalmente resolución por la que proceda al

sobreseimiento y archivo del presente expediente sancionador contra AVON

COSMETICS, S.AU. sin imposición de sanción alguna, expresando además la

ausencia de cualquier responsabilidad por parte de AVON COSMETICS, S.A.U., todo

ello por haber sido la actuación de AVON escrupulosamente respetuosa con el

derecho a la privacidad y al respecto a los datos personales de la Denunciante, por

haber sido el tratamiento de los datos de la Denunciante realizado por AVON en todo

momento conforme a la LOPD y RLOPD pese a no resultarle de aplicación, o bien y

en su caso, haberse basado dicha actuación en un error invencible de tipo, en la

conciencia de que el Distribuidor era quien decía ser, así como todo lo demás que en

Derecho proceda.

Subsidiariamente se solicita se suspenda provisionalmente el presente

procedimiento administrativo a la espera de que se esclarezcan los hechos objeto de

investigación penal.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

7/12

HECHOS PROBADOS

De la información y documentación aportada por las partes, se han constatado

los siguientes hechos:

a).- AVON aporta las condiciones del contrato mercantil de distribución que la

denunciante supuestamente firmó, con fecha 15/01/15.

b).- AVON aporta las facturas de fecha 26/01/15 por valor de 338,32 euro y de

fecha 26/01/15 por valor de 132,99 euros dirigidas a la denunciante.

c).- Con fecha 04/03/15, AVON indica que envía carta personalizada a la

denunciante a la dirección: ***DIRECCIÓN.2, en la que se le reclama la cantidad de

471,31 euros. En la misma, NO se avisa de la posible inclusión de sus datos en

ficheros de solvencia patrimonial en caso de no regularizar la situación.

d).- Los datos personales de la Sra. A.A.A. , fueron dados de alta en el fichero

ASNEF el 30/09/15 y estuvieron incluidos en el mismo hasta el 28/02/18, (2 años y 5

meses). Fueron dados de baja el mismo día, que la entidad envió la información

requerida a esta Agencia.

e).- El 04/10/17 existe una consulta del fichero ASNEF, por parte de la

denunciante, donde tiene conocimiento de que sus datos personales figuran inscritos

en el mismo por una deuda de 471,31 euros, con AVON, desde el 30/09/15.

f).- El 17/10/17, la Sra. A.A.A. se pone en contacto con AVON, denunciando

los hechos.

g).- El 26/10/17, la Sra. A.A.A. se pone en contacto con EQUIFAX, solicitando

la baja de sus datos personales del fichero ASNEF.

h).- El 26/10/17 EQUIFAX, contesta a la Sra. A.A.A. indicándola que ?NO

existen datos inscritos en el fichero ASNEF, asociados al identificador aportado?.

i).- El 27/01/18, AVON recibe requerimiento de información de esta Agencia

sobre los hechos denunciados por Sra. A.A.A. .

j).- El 18/04/18, La AEPD inicia procedimiento sancionador contra AVON por los

hechos denunciados por la Sra. A.A.A. . Dicho procedimiento es notificado a la entidad

el 26/04/18

k).- El 10/05/18, AVON denuncia ante la Policía Nacional los hechos, indicando

en la denuncia, entre otras cosas, que: ?(?)Así, todo parece indicar, que una persona

cuya identidad se desconoce, pero cuyo domicilio podría ser la ***DIRECCIÓN.2, y

cuya identidad podría corresponder a Dª D.D.D. con DNI ***DNI.1 aprovechándose

de manera fraudulenta del sistema de contratación flexible de AVON, habría

suplantado la personalidad de Dª. A.A.A. y mediante el engaño se habría dado de alta

como distribuidor indicando un domicilio de su conveniencia al de recibir los productos

de AVON sin pago de precio (...)?.

FUNDAMENTOS DE DERECHO

I

Es competente para resolver este procedimiento la Directora de la Agencia

Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g),

en relación con el artículo 36 de la LOPD.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

8/12

II

La valoración conjunta de la prueba documental obrante en el procedimiento

trae a conocimiento de la AEPD una visión de la actuación denunciada a AVON, que

ha quedado reflejada en los hechos declarados probados arriba relatados.

AVON es la persona jurídica responsable de dichos hechos. Responsabilidad

circunscrita, por razones de competencia relacionados con los artículos 6.1 y 4.3 de la

LOPD.

En nuestro caso, y entrado a valorar las alegaciones presentadas por la

compañía AVON reiterar una vez mas que, de la literalidad de la denuncia presentada

por AVON ante la Policía Nacional se desprende que la propia empresa asume que los

datos personales de Dª. A.A.A. fueron utilizados por una tercera persona para realizar

compras fraudulentas de productos AVON, lo que viene a demostrar en sí que, la

propia empresa AVON realizó un tratamiento de los datos de la denunciante sin su

consentimiento, infringiendo con ello la LOPD.

Por otra parte, debemos recordar que el art. 77.4 de la Ley 39/2015, de 1 de

octubre, del Procedimiento Administrativo Común de las Administraciones Públicas

(LPACAP) indica: ?En los procedimientos de carácter sancionador, los hechos

declarados probados por resoluciones judiciales penales firmes vincularán a las

Administraciones Públicas respecto de los procedimientos sancionadores que

substancien?.

Pues bien, AVON no ha aportado ningún documento que haga prueba del

estado en el que se encuentran en la actualidad las presuntas Diligencias Previas

penales, si han dado lugar a la tramitación del correspondiente Procedimiento judicial

o si, por el contrario, se ha acordado el sobreseimiento, reconociendo incluso en sus

alegaciones que ?(?) AVON presentó denuncia ante la Policía Nacional el 10/05/18

poniendo en conocimiento de la autoridad policial hechos análogos de estafa. AVON

se encuentra en estos momentos, a la espera del desarrollo de dichas diligencias

policiales a los efectos de que se puedan esclarecerse los hechos y dirimirse las

correspondientes responsabilidades (?)?, diligencias policiales que no tienen nada

que ver con diligencias penales a las que se refiere el artículo 77.4 de la LPACAP.

Pero es más, aunque existieran diligencia previas penales en tramitación, que

no constan, hay que indicar, por una parte, que en el caso aquí planteado, no existiría

la triple identidad necesaria para aplicar el artículo 77 de la LPACAP, (de sujeto, hecho

y fundamento), entre la infracción administrativa que se valora y la posible infracción o

infracciones penales que se pudieran derivar de las presuntas Diligencias Previas

practicadas por un órgano jurisdiccional. Esto, porque el sujeto infractor es obvio que

no sería el mismo ?respecto a las infracciones de la LOPD el responsable es la

entidad AVON, en tanto que el responsable penal de un eventual delito de usurpación

de estado civil o estafa seria el tercero que se hubiera hecho pasar por el

denunciante-. Tampoco el fundamento jurídico sería el mismo: mientras el bien jurídico

protegido por la LOPD es el derecho fundamental a la protección de datos personales

el bien jurídico que se protege en los tipos penales cuya comisión investigaría, llegado

el caso, el Juzgado de Instrucción serían el estado civil y el patrimonio,

respectivamente.

En este sentido es muy esclarecedora la Sentencia de la Audiencia Nacional de

27/04/2012 (rec. 78/2010), en cuyo Fundamento Jurídico segundo el Tribunal se

pronuncia en los siguiente términos frente al alegato de la recurrente de que la AEPD

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

9/12

ha infringido el artículo 7 del R.D. 1398/1993 (norma que estuvo vigente hasta la

entrada en vigor de la LPACAP): ?En este sentido el Art. 7 del Real Decreto

1398/1993, de 4 de agosto, se procedimiento para el ejercicio de la potestad

sancionadora, únicamente prevé la suspensión del procedimiento administrativo

cuando se verifique la existencia efectiva y real de un procedimiento penal, si se

estima que concurre identidad de sujeto, hecho y fundamento de derecho entre la

infracción administrativa y la infracción penal que pudiera corresponder.

No obstante, y para la concurrencia de una prejudicialidad penal, se requiere

que ésta condicione directamente la decisión que haya de tomarse o que sea

imprescindible para resolver, presupuestos que no concurren en el caso examinado,

en el que existe una separación entre los hechos por los que se sanciona en la

resolución ahora recurrida y los que la recurrente invoca como posibles ilícitos

penales. Así, y aun de haberse iniciado, en el presente supuesto, y por los hechos

ahora controvertidos, también actuaciones penales frente a la empresa distribuidora,

lo cierto es que tanto la conducta sancionadora como el bien jurídico protegido son

distintos en una y otra vía (contencioso-administrativa y penal). En el ámbito penal, el

bien jurídico protegido es una posible falsedad documental y estafa, y en el ámbito

administrativo, en cambio, la facultad de disposición de sus datos personales por parte

de su titular, por lo que tal objeción de la demandada ha de ser rechazada?.

Por otra parte, los hechos denunciados en este procedimiento e investigados

por esta Agencia, no versan sobre una presunta infracción de AVON en materia de

protección de datos en relación al tratamiento de los datos personales de uno de sus

distribuidores, sino, sobre el tratamiento que ha realizado AVON sobre los datos de

una persona totalmente ajena a ellos, que denuncia que nunca ha tenido contacto con

AVON, ni para comprar producto ni para hacerse distribuidor de sus productos, ni para

cualquier otro asunto en el que pueda existir una relación contractual o mercantil,

denunciando ante esta Agencia que fue fruto de un fraude y que AVON trató sus datos

personales sin su consentimiento. Es más, esos datos han sido incluidos en ficheros

de solvencia patrimonial y de crédito sin cumplir el requisito previo de deuda cierta

veraz y exigible. Nada tiene que ver, por tanto, el tratamiento de los datos personales

de esta persona con el tratamiento de los datos personales de sus distribuidores. Así,

las sentencias de la Audiencia Nacional que la compañía intenta relacionar con este

caso y desviar por tanto el objeto de este expediente hacen referencia al tratamiento

de los datos de carácter personal realizados por AVON respecto a personas que

tuvieron alguna relación contractual con la compañía (distribuidores). Situación que no

se da en este caso, por lo que no procede considerar aquí, las alegaciones de la

representación de AVON que hacen referencia sobre este asunto.

Afirma y asegura la compañía denunciada que la Sra. A.A.A. era distribuidora

de AVON por lo que actuó como empresario individual, más aún, como distribuidor

puro, pero una cosa es afirmar y otra cosa es demostrar y en este caso, AVON no ha

demostrado mediante la aportación de alguna prueba sin veracidad. En este punto,

hay que recordar doctrina consolidada de la AN, que la representación de la compañía

obvia, (SAN 23/04/2015, Rec. 97/2014), donde deja claro que: ?la concurrencia del

consentimiento inequívoco del artículo 6.1 LOPD exigido para el tratamiento de datos

personales por parte de un tercero, en el caso de que el titular de los datos niegue

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

10/12

haberlo otorgado, corresponde acreditarlo a quien realiza el referido tratamiento?. Pues

bien, AVON se queda sólo en la afirmación, pero como bien dice la AN, incumbe a la

empresa denunciada la carga de acreditar que ha recabado el consentimiento

inequívoco del titular de los datos objeto de tratamiento o, al menos, que ha adoptado

las medidas que le exige el cumplimiento diligente de la obligación impuesta por la

LOPD, tanto en el tratamiento de los datos personales como en el hecho de incluir

esos datos en el fichero de solvencia y crédito. Situación que no se ha producido hasta

el momento, en este procedimiento.

Por último, AVON sigue sin aportar ningún documento que acredite que la Sra.

A.A.A. realizó el proceso de alta como distribuidora; NO aporta ningún formulario o

contrato suscrito por el denunciante con la compañía y ?avalado por las Delegada de

Ventas? tal y como se indica la compañía en su escrito de alegaciones; NO aporta

fotocopia de DNI o documento que acredite la identidad del contratante; NO se aporta

correo electrónico enviado al presunto distribuidor para darse de alta ni la aceptación

de las condiciones del contrato mercantil. Solamente se trascribe un ?log de

aceptación? realizado por web con algunos datos que concuerdan con los del

denunciante, pero incluso en este caso, NO se incluyen datos esenciales, como puede

ser su DNI. Además, ni la fecha de nacimiento ni la dirección ni el número de teléfono

concuerdan con los aportados por el denunciante a esta Agencia, lo que acredita una

falta grave de diligencia debida en el tratamiento de los datos de la afectada.

III

El art 45 de la LOPD, distingue la división de las infracciones, su cuantía y su

graduación atendiendo a diferentes argumentos. Se indica además que, el órgano

sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase

de infracciones que preceda inmediatamente en gravedad a aquella en que se integra

la considerada en el caso de que se trate. Para ello es necesario la concurrencia de, o

bien una cualificada disminución de la culpabilidad del imputado, o bien de la

antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo

precepto cita.

Tras las evidencias obtenidas en el procedimiento,

1º).- Respecto de la infracción cometida con relación al artículo 6.1, se debe

atender a lo estipulado en el artículo 45.5.b) de la LOPD, donde se desarrolla la

aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada,

por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular

del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el

22/02/18, a través de la reclamación de información de esta Agencia, la empresa

procede a dar de baja la deuda y los datos del denunciante del fichero de solvencia y

crédito ASNEF el mismo día.

Por otra parte, se considera que procede graduar la sanción a imponer de

acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD:

a).- El carácter continuado de la infracción, al estar los datos del denunciante

gestionado por la empresa desde el 15/01/15 hasta el 28/02/18 (3 años, 1 mes y 13

días), sin su consentimiento, (apartado 4.a agravado).

b).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d).

c).- El protocolo utilizado por la empresa AVON al realizar el tratamiento de los

datos de carácter personal en el proceso de alta, a través de la Delegada de Ventas y

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

11/12

después la confirmación a través de web no garantiza la calidad del dato por lo que es

susceptible de producir situaciones de fraude (apartado j).

El balance de las circunstancias contempladas en el artículo 45 de la LOPD,

con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 de la

LOPD, permite fijar una sanción de 28.000 (veintiocho mil euros).

2º ).- Respecto de la infracción cometida en relación al artículo 4.3, se debe

atender a lo estipulado en el artículo 45.5.b) de la LOPD, donde se desarrolla la

aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada,

por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular

del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el

23/02/18, a través de la reclamación de información de esta Agencia, la empresa

procede a dar de baja los datos del denunciante del fichero ASNEF el mismo día.

Por otra parte, se considera que procede graduar la sanción a imponer de

acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD:

a).- El carácter continuado de la infracción, al estar los datos incluidos en el

fichero ASNEF desde el 30/09/15 y hasta el 28/02/18, 2 años y 5 meses, (apartado 4.a

agravado).

b).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d).

c).- El perjuicio causado a la persona interesada al estar incluido sus datos en

los ficheros de solvencia y crédito durante más de 2 años, (apartado h).

El balance de las circunstancias contempladas en el artículo 45 de la LOPD,

con respecto a la infracción cometida al vulnerar lo establecido en el artículo 4.3 de la

LOPD, en relación con el artículo 38.1.a) del RLOPD, permite fijar una sanción de

28.000 (veintiocho mil euros).

Vistos los preceptos citados y demás de general aplicación, la Directora de la

Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad AVON COSMETICS SAU, con arreglo a lo

dispuesto en el artículo 127 de RLOPD, por infracción de los artículos 6.1 y 4.3 de la

LOPD, una sanción de 56.000 (cincuenta y seis mil euros).

SEGUNDO: NOTIFICAR la presente resolución a AVON COSMETICS SAU.

TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva

una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el

artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el

artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto

939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de

diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000

0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el

Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en

período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se

encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el

pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si

se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del

pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

12/12

De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD,

en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de

medidas fiscales, administrativas y del orden social, la presente Resolución se hará

pública, una vez haya sido notificada a los interesados. La publicación se realizará

conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia

Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo

a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado

por el Real Decreto 1720/2007, de 21 diciembre.

Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la

LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley

39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones

Públicas, los interesados podrán interponer, potestativamente, recurso de reposición

ante la Directora de la Agencia Española de Protección de Datos en el plazo de un

mes a contar desde el día siguiente a la notificación de esta resolución, o,

directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo

de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y

en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07,

reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a

contar desde el día siguiente a la notificación de este acto, según lo previsto en el

artículo 46.1 del referido texto legal.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es