Resolución de la Agencia ...yo de 2023

Última revisión
01/09/2023

Texto

Resolución de la Agencia Española de Protección de Datos REPOSICION-PS-00136-2022 de 18 de mayo de 2023

Resolución

Relacionados:

Legislación

Tiempo de lectura: 44 min

Órgano: Agencia Española de Protección de Datos

Fecha: 18/05/2023

Num. Resolución: REPOSICION-PS-00136-2022

Cuestión

1 / 18

Procedimiento Nº.: EXP202100876 (PS/00136/2022)

Recurso de Reposición Nº RR/00233/2023

Examinado el recurso de reposición interpuesto por la entidad AD735 DATA MEDIA

ADVERTISING S.L. con CIF.: B87781795 (en adelante, ?la parte recurrente?), contra la...

Contestacion

1/18

? Procedimiento Nº.: EXP202100876 (PS/00136/2022)

Recurso de Reposición Nº RR/00233/2023

Examinado el recurso de reposición interpuesto por la entidad AD735 DATA MEDIA

ADVERTISING S.L. con CIF.: B87781795 (en adelante, ?la parte recurrente?), contra la

resolución dictada por la Directora de la Agencia Española de Protección de Datos en

el procedimiento, PS/00136/2022, por vulneración a lo estipulado del Reglamento (UE)

2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la

protección de las personas físicas en lo que respecta al tratamiento de datos personales

y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE

(RGPD), y en la L.O. 3/2018, de 5 de diciembre, de Protección de Datos Personales y

garantía de los derechos digitales (LOPDPGDD), y en base a los siguientes:

HECHOS

PRIMERO: Con fecha 07/03/23, la Directora de la Agencia Española de Protección de

Datos dictó resolución en el procedimiento sancionador PS/136/202, abierto a la entidad

AD735 DATA MEDIA ADVERTISING S.L. y que fue notificada el día 08/03/23, por

vulneración del art. 7.1 RGPD, imponiendo una sanción de 5.000 euros (cinco mil euros

)

SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/

00136/2022, quedó constancia de los siguientes:

Primero: Según indica el reclamante en su escrito de reclamación de fecha

02/07/21, él nunca participó en el sorteo que se celebraba a través de la página

web de la entidad reclamada (www.premium-sales.es) pues, según él nunca

había prestado sus datos personales a dicha entidad para ningún fin.

Segundo: En el escrito presentado por la entidad reclamada en esta Agencia el

03/10/21, reconoce que no dispone de la tecnología necesaria para poder certificar

la identidad de las personas que remiten los datos a través de los formularios

habilitados en sus sitios web y le confirma al propio reclamante que ?(?)

En casos como el suyo, y ante cualquier evidencia o sospecha acerca de la veracidad

y/o titularidad de los datos recibidos a través de cualquiera de los formularios

habilitados, AD735 DATA MEDIA ADVERTISING, S.L., en garantía de

los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE)

2016/679 de 27 de abril de 2016 (GDPR), procede a la limitación y/o supresión

de la totalidad de los datos que configuran el registro(?)?

Tercero: Iniciado el procedimiento sancionador, la entidad reclamada, en el escrito

de alegaciones a la incoación del expediente presentó, junto con el escrito

de alegaciones, un certificado Tabla Registro emitido por el responsable del tratamiento

de los datos personales, con la descripción del registro de actividad

recogida en el log de la página web y acciones realizadas por la IP asociada,

según declara la reclamada, al registro del teléfono del reclamante.

Los datos presentados en el certificado del DPD de la entidad reclamada, obtenidos

el 23/07/19 a las 16:44 horas, como el nombre, los apellidos y número de

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

2/18

teléfono coinciden con los datos del reclamante aportados en su escrito de reclamación.

Dada la antigüedad de la utilización de la dirección IP para este procedimiento

de alta en el sorteo, no se ha podido constatar la información sobre

este dato ya que excede la obligatoriedad de conservación de éste según lo establecido

en el artículo 5.1 de la Ley 25/2007, de 18 de octubre, de conservación

de datos relativos a las comunicaciones electrónicas y a las redes públicas

de comunicaciones.

TERCERO: Con fecha 11/03/23, tiene entrada en esta Agencia, escrito de recurso de

reposición presentado por la entidad, en el cual, entre otra, se alega lo siguiente:

PRIMERO.- RECLAMACIÓN DEL USUARIO.-

El día 2 de julio de 2021, D. A.A.A. presenta una reclamación en esa Agencia

por una presunta vulneración de la normativa de protección de datos: (RGPD y

LOPDGDD), alegando lo siguiente:

?he recibido una contestación de la entidad reclamada indicando que habían

obtenido mis datos a través del formulario de participación en el sorteo de un

viaje para dos personas publicado en el sitio web www.premiumsales.es, lo

que es absolutamente falso?.

Con fecha 13 de junio de 2022 se acuerda el inicio del procedimiento sancionador

PS/00136/2022 dimanante del Expediente EXP202100876.

Con fecha 8 de marzo de 2023, se dicta resolución de procedimiento sancionador

en el que se resuelve ?IMPONER a la entidad AD735 DATA MEDIA ADVERTISING

S.L. por la infracción del artículo 7.1 RGPD, con una sanción de

5.000 euros (cinco mil euros)?

SEGUNDO.- ACREDITACIÓN DEL CONSENTIMIENTO OBTENIDO DEL RECLAMANTE.-

Se indica en la resolución que ahora se viene a recurrir que ?En este caso, el

responsable sólo acredita que alguien se registró e introdujo los datos del reclamante

, pero no acredita que fuera el reclamante el que se dio de alta?. Sin

embargo en el presente procedimiento sancionador se ha acreditado por esta

parte la trazabilidad del consentimiento otorgado por el afectado, se constata la

ausencia de toda prueba de cargo que justifique la sanción propuesta y así

queda patente la vulneración del principio de presunción de inocencia que

debe regir la potestad sancionadora de la Administración, la vulneración del

principio de interdicción de la arbitrariedad de la Administración y, entendemos,

que una errónea valoración de la prueba practicada, tal y como venimos a detallar

en el presente recurso. Se aporta nuevamente, como documento uno,

certificado emitido por el responsable del fichero en el que se muestran los datos

del registro y de la actividad realizada por el usuario con sus tiempos y el

detalle de las acciones realizadas.

TERCERO.- ADMISIÓN DE LA RECLAMACIÓN.-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

3/18

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales

y garantía de los derechos digitales establece en su artículo 65 los criterios

de admisión de las reclamaciones recibidas:

?1. Cuando se presentase ante la AEPD una reclamación, esta deberá evaluar

su admisibilidad a trámite, de conformidad con las previsiones de este artículo.

2. La AEPD inadmitirá las reclamaciones presentadas cuando no versen sobre

cuestiones de protección de datos personales, carezcan manifiestamente de

fundamento, sean abusivas o no aporten indicios racionales de la existencia de

una infracción.

3. Igualmente, la AEPD podrá inadmitir la reclamación cuando el responsable o

encargado del tratamiento, previa advertencia formulada por la AEPD hubiera

adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento

de la legislación de protección de datos y concurra alguna de las siguientes

circunstancias: a) Que no se haya causado perjuicio al afectado en el

caso de las infracciones previstas en el art 74 de esta ley orgánica. b) Que el

derecho del afectado quede garantizado mediante la aplicación de las medidas.

4. Antes de resolver sobre la admisión a trámite de la reclamación, la AEPD

podrá remitir la misma al delegado de protección de datos que hubiera, en su

caso, designado el responsable o encargado del tratamiento o al organismo de

supervisión establecido para la aplicación de los códigos de conducta a los

efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia

Española de Protección de Datos podrá igualmente remitir la reclamación al

responsable o encargado del tratamiento cuando no se hubiera designado un

delegado de protección de datos ni estuviera adherido a mecanismos de resolución

extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá

dar respuesta a la reclamación en el plazo de un mes.

5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine

, en su caso, la remisión de la reclamación a la autoridad de control principal

que se estime competente deberá notificarse al reclamante en el plazo de

tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá

que prosigue la tramitación de la reclamación con arreglo a lo dispuesto

en este Título a partir de la fecha en que se cumpliesen tres meses desde

que la reclamación tuvo entrada en la AEPD?.

Analizada la reclamación presentada por el reclamante, en lo que a la infracción

del artículo 7.1. del RGPD se refiere, en consonancia con lo establecido

en el apartado 2 del mencionado artículo, resulta evidente que la reclamación

no debió admitirse a trámite y por ser considerada como carente de fundamento

y abusiva y por no aportar indicios racionales de la existencia de una infracción.

No podemos olvidar que el reclamante en este punto únicamente ha alegado

que él no rellenó un formulario, pero en ningún caso ha aportado prueba alguna

que acredite dicha manifestación, ni tampoco un mínimo indicio que sirva

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

4/18

para fundamentar la sanción impuesta a AD735 DATA MEDIA ADVERTISING,

S.L., lo que nos lleva a calificar la sanción impuesta como carente de motivación

ya que se sustenta en una serie de suposiciones no probadas, ni por el reclamante

, ni por la propia AEPD en el periodo probatorio desarrollado.

CUARTO.- VULNERACION DE LOS PRINCIPIOS DE IGUALDAD E INTERDICCIÓN

DE LA ARBITRARIEDAD POR PARTE DE LA AEPD.-

En el presente asunto se acuerda la imposición de una sanción a AD735 DATA

MEDIA ADVERTISING separándose de la propuesta de resolución emitida por

el instructor del expediente, así como del criterio seguido por el órgano sancionador

en asuntos anteriores recientes, Ej. Expediente EXP202101732, en el

que en su resolución de fecha 29 de agosto de 2022, se acuerda archivar el

procedimiento puesto que, como se indica en sus fundamentos de derecho:

?En relación con lo anterior, se considera que si bien inicialmente existían

evidencias de que el tratamiento de datos de la persona que supuestamente

rellenó el formulario del sorteo y su cesión a terceros, objeto

de esta reclamación, se habría efectuado sin causa legitimadora de

las recogidas en el artículo 6 del RGPD, la aportación de nueva documentación

por el reclamado hace que tales evidencias sino resultan del

todo refutadas si al menos resulten cuestionadas, lo que hace imposible

llegar a la certeza sobre la comisión de la infracción.

El RGPD se aplica a los datos personales, que se definen como «datos

personales»: toda información sobre una persona física identificada o

identificable («el interesado»); se considerará persona física identificable

toda persona cuya identidad pueda determinarse, directa o indirectamente

, en particular mediante un identificador, como por ejemplo un

nombre, un número de identificación, datos de localización, un identificador

en línea o uno o varios elementos propios de la identidad física,

fisiológica, genética, psíquica, cultural o social de dicha persona.

BICLAMEDIA aporta como acreditación de la obtención del consentimiento

para la realización de las actividades de tratamiento, a las que

se refiere la reclamación, nuevos documentos (ficheros log y certificado

de la tabla de registro) lo que podría suponer la constatación de actividades

de obtención del consentimiento de las personas que acceden a

la página web objeto de la reclamación.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios

de graduación de las sanciones cuya existencia ha quedado acreditada

, la Directora de la Agencia Española de Protección de Datos RESUELVE

: PRIMERO: ARCHIVAR el procedimiento PS/00578/2021, iniciado

a la entidad BICLAMEDIA, S.L., con NIF B87022117.?.

Por otra parte, sorprende a esta parte que en el presente asunto se aplique

una doctrina de la Audiencia Nacional del año 2006 y un criterio distinto al aplicado

en la anterior resolución, cuando los hechos acreditados y la actividad

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

5/18

probatoria desarrollada en ambos procedimientos guardan una similitud incuestionable.

Entendemos que esta diferencia de criterio a la hora de resolver dos asuntos

similares conlleva una clara vulneración del principio constitucional recogido en

el artículo 9.3 que garantiza la interdicción de la arbitrariedad.

Al igual que en el procedimiento PS/00578/2021, esta parte aportó, con fecha

27 de junio de 2022, nuevos documentos al presente expediente, consistentes

en los datos del registro y de la actividad realizada por el usuario con sus tiempos

y el detalle de las acciones realizadas. Documentación ésta similar a la

aportada en el procedimiento PS/00578/2021, lo que debe ser suficiente, sino

para acreditar el consentimiento manifestado por el reclamante, sí para al menos

, introducir una duda razonable sobre la existencia de una válida obtención

del consentimiento del reclamante para el tratamiento.

Sin embargo, en el presente procedimiento prevalece la simple manifestación

del reclamante a la actividad probatoria desplegada por la reclamada acreditando

la obtención del consentimiento, lo que no sólo supone una vulneración

de los principios de interdicción de la arbitrariedad y de igualdad a los que está

sujeto la AEPD como Administración Pública, sino que además conlleva un

precedente peligroso que pone en peligro el principio de seguridad jurídica al

que igualmente está sujeta y que debe presidir los procedimientos administrativos

en general y sancionadores en particular.

VULNERACIÓN DEL PRINCIPIO DE PRESUNCIÓN DE INOCENCIA.-

Se señala en la resolución recurrida que ?sobre el principio de presunción de

inocencia aludido por la reclamada, se debe indicar que, en el ámbito de la protección

de datos queda matizado por la concurrencia del de responsabilidad

proactiva que, en el supuesto objeto de este expediente, implica necesariamente

la actuación diligente del responsable del tratamiento que no solo ha de

obtener el consentimiento previo para el tratamiento de los datos sino que además

debe de contar con los medios imprescindibles para poder verificar y probar

que dicho consentimiento se otorgó debidamente?.

Pues bien, en el presente procedimiento y tal y como se acredita con el documento

adjunto al presente recurso, y que ya fue aportado en su momento al

expediente, resulta clara la actuación diligente y proactiva del responsable del

tratamiento pues se acredita claramente la obtención del consentimiento del reclamante

previo al tratamiento de sus datos. Una documentación evidentemente

unilateral ya que es la propia reclamada la que tiene acceso a sus sistemas

y herramientas de registro y gestión de datos. Además, sorprende a esta parte

que, sin una normativa que aclare cuáles son los medios probatorios válidos

para acreditar el consentimiento obtenido, no se valore la documentación aportada

cuando de la misma resulta evidente la manifestación del consentimiento

emitido por el reclamante.

El principio de presunción de inocencia está sustantivado en el artículo 24.2 de

la Constitución Española, referido al proceso, pero extensible a la materia san-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

6/18

cionadora administrativa. Así lo ha declarado de manera constante el TC, ya

desde la STC 8-3- 1985, (SSTC 45/1997; 23/1995; 138/1990; 76/1990).

La presunción de inocencia implica que es necesaria una o más pruebas, cuya

aportación es una carga que corresponde a la Administración, para imponer

una sanción. Es decir, toda sanción debe apoyarse en una actividad probatoria

que demuestre y acredite la realidad de la infracción cometida por el sancionado.

Se vulnera este derecho a la presunción de inocencia cuando se sanciona sin

pruebas, sin tener en cuenta las prácticas en el seno de dicho procedimiento

valoran las mismas de forma arbitraria, irracional o absurda: SSTC 33/1992;

10/1992; 51/1991; 38/1990; etc.

La presunción de inocencia supone el derecho de la recurrente a que se presume

la inexistencia de responsabilidad administrativa mientras que por la Administración

no se demuestre lo contrario.

El artículo 24 CE garantiza que el procedimiento sancionador, como señala la

STC 76/1990, está condicionado a la aportación de prueba de carga a un procedimiento

contradictorio en el que pueden defender las propias posiciones.

A este efecto, el derecho a la presunción de inocencia comporta «que la sanción

esté basada en actos o medios probatorios de carga o incriminadores de

la conducta reprochada; que la carga de la prueba corresponda a quien acusa,

sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia

en el resultado de las pruebas practicadas, libremente valorado por el

órgano sancionador, La STC (Sala Primera) núm. 70/2012 de 16 de abril de

2012 (RTC 2012, 70) establece que ?La aplicación de la doctrina mencionada

determina la desestimación de esta queja, ya que existe, sin duda alguna, actividad

probatoria de carga, válida y suficiente para enervar la presunción de inocencia

de la entidad recurrente.

Ahora bien, ese valor probatorio sólo puede referirse a los hechos comprobados

directamente por el funcionario, quedando fuera de su alcance las calificaciones

jurídicas, los juicios de valor o las simples opiniones que los inspectores

consignen en las actas y diligencias (STC 76/1990, de 26 de abril, F. 8), de

modo que, aunque rechacemos la queja referida a la vulneración del derecho a

la presunción de inocencia (art. 24.2 CE), ello no excluye la necesidad de examinar

a continuación si la subsunción de esos hechos en el correspondiente

precepto sancionador se ha hecho en términos constitucionalmente admisibles?.

Consideramos que el presente procedimiento sancionador, basado únicamente

en una manifestación del afectado en el que afirma que no cumplimentó un formulario

ni ha participado en un concurso, sin aportar indicio racional alguno de

la existencia de infracción, supone una clara vulneración del principio de presunción

de inocencia reconocido en nuestro texto constitucional, máxime cuando

AD735 DATA MEDIA ADVERTISING, siguiendo la doctrina de la Audiencia

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

7/18

Nacional reseñada en la resolución de fecha 23 de enero de 2023, ha demostrado

haber recabado el consentimiento del afectado, ha conservado la prueba

del cumplimiento de su obligación y lo ha acreditado ante esa Agencia mediante

la trazabilidad de los datos obtenidos.

El derecho a la presunción de inocencia en el ámbito administrativo, que entendemos

vulnerado, comporta, que la sanción esté basada en actos o medios

probatorios de cargo o incriminadores de la conducta reprochada, algo que no

sucede en el presente procedimiento sancionador. - que la carga de la prueba

(onus probandi) corresponda a quien acusa, sin que nadie esté obligado a probar

su propia inocencia; y - que cualquier insuficiencia en el resultado de las

pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse

en un pronunciamiento absolutorio, lo que debería ser aplicado en este

caso.

Así, la Sección 1ª de la Sala de lo Contencioso Administrativo de la AN ha señalado

en su recientísima Sentencia de fecha 22 de febrero de 2022 (rec.

26/2020), por tanto, muy posterior a la doctrina que sustenta la resolución que

venimos a contestar, que ?Falta de aportación de indicios racionales de la existencia

de infracción que es lo acontecido en el presente supuesto, según deriva

de las consideraciones de las resoluciones impugnadas, que razonan que el

actor fundamenta la presunta vulneración de la normativa de protección de datos

en meras manifestaciones, sin aportar pruebas que acrediten que se haya

cometido una infracción. Añadiendo la AEPD que, al ser de aplicación, al derecho

administrativo sancionador, con alguna matización, los principios inspiradores

del orden penal, resulta clara la plena virtualidad del principio de presunción

de inocencia, de conformidad con lo previsto en el artículo 53.2.b) de la

LPACAP?.

Por otra parte, en el artículo 65 de la LO 3/2018, de 5 de diciembre, de Protección

de Datos Personales y Garantía de los Derechos Digitales, que ha adaptado

el ordenamiento jurídico español al Reglamento (UE) 2016/679 del Parlamento

Europeo y el Consejo, de 27 de abril, se establece que ?La AEPD inadmitirá

las reclamaciones presentadas cuando no versen sobre cuestiones de

protección de datos de carácter personal, carezcan manifiestamente de fundamento

, sean abusivas o no aporten indicios racionales de la existencia de una

infracción?.

En relación con este artículo, la Sección 1ª de la Sala de lo Contencioso Administrativo

de la Audiencia Nacional, en la misma sentencia reseñada, indica

que este precepto ?contempla una inadmisión a limine, es decir, de oficio, sin

analizar el fondo de la posible controversia planteada y sin necesidad de ninguna

otra actuación, en los supuestos, entre otros, en que la cuestión planteada

no aporte indicios racionales de la existencia de una infracción?, como entendemos

que ha sucedido en este caso, en el que el afectado se limita a negar su

participación en un sorteo sin aportar indicios racionales de la existencia de

una infracción por parte de AD735 DATA MEDIA ADVERTISING, aun cuando

está le aportó certificado de obtención de sus datos personales, y posteriormente

se aportó al procedimiento la trazabilidad de los datos obtenidos.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

8/18

La misma Sección 1ª, en su sentencia de 31 de enero de 2022 (rec.

2058/2019), viene a indicar que cuando no hay prueba de vulneración alguna

de la LOPD, debe primar el principio de presunción de inocencia.

Con respecto al Principio de Presunción de Inocencia, éste está recogido como

derecho fundamental en el artículo 24.2 de nuestro Texto Constitucional. Configurado

como un derecho propio del ordenamiento penal, la jurisprudencia, por

afinidad, ha hecho extensible el mismo al procedimiento sancionador.

El Principio de Presunción de Inocencia garantiza no sufrir sanción en el orden

administrativo sancionador, sin previa actividad probatoria. Garantiza, además

un periodo de prueba que dé como resultado una prueba de cargo, qué en el

presente procedimiento no existe. En virtud de este principio, corresponde al

reclamante, probar la certeza de los hechos imputados, y en ningún caso está

obligado el expedientado a probar su inocencia, al venir amparado por la presunción

de inocencia constitucional.

Sin que sea bastante una denuncia que inicie un expediente sancionador, pero

que no constituya prueba de infracción.

Sobre el principio de presunción de inocencia, nuestro TC, ha tenido ocasión

de pronunciarse y sentar doctrina respecto del periodo probatorio, teniendo por

resuelto que [Sentencia 76/90 de 25 de abril (FJ.8º)] ?cualquier insuficiencia en

el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador

, debe traducirse en un pronunciamiento absolutorio?.

INTROMISIÓN DEL ÓRGANO SANCIONADOR EN LA ACTIVIDAD INSTRUCTORA.-

Con fecha 14 de noviembre de 2022 se notifica a esta parte propuesta de resolución

en el presente procedimiento sancionador en el que se el Sr. Instructor

del procedimiento propone ?que por la Directora de la Agencia Española de

Protección de Datos se proceda al ARCHIVO del presente procedimiento sancionador

a la entidad del presente procedimiento sancionador a la entidad,

AD735 DATA MEDIA ADVERTISING S.L. con CIF.: B87781795, con arreglo a

lo dispuesto en los artículos 63.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento

Administrativo Común de las Administraciones Públicas (LPACAP),

por la presunta infracción del artículo 7.1 del RGPD?, y ello fundamentado, tras

una adecuada valoración de la actividad probatoria desplegada, en que: ?En el

presente caso, la entidad reclamada presenta, junto con el escrito de alegaciones

a la incoación del expediente, el ?Certificado Tabla Registro?, con el registro

de actividad recogida en el log de la página web y las acciones realizadas a

través de la IP asociada al teléfono ***TELÉFONO.1, destacando que, el número

de teléfono que el reclamante indica como suyo en el escrito de reclamación

, coincide con el número de teléfono asociado a la IP desde donde se enviaron

los datos personales para darse de alta en la web.

Además de comprobar que la información facilitada al usuario en el momento

de rellenar el formulario en la página web en cuestión, que se observa correcta,

existe, con la información y la documentación aportada por la entidad, eviden-

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

9/18

cia suficiente para poder determinar que los datos personales del reclamante

fueron incluidos en el formulario de la página web del reclamado a través del

teléfono móvil del reclamante pues, según el log aportado, la IP desde donde

se enviaron los datos personales está asociada al teléfono del reclamante?.

La resolución sancionadora recurrida, además de la alegada vulneración del

derecho de la reclamada a su presunción de inocencia, conlleva una manifiesta

indefensión para AD735 DATA MEDIA ADVERTISING, y una intromisión grave

e inadmisible del órgano sancionador en la actividad instructora pues, desde el

mismo momento en el que tuvo conocimiento de la reclamación, prejuzgó la

culpabilidad de AD735 DATA MEDIA ADVERTISING imponiendo ab initio a la

reclamada la sanción que la misma considera aplicable, que incide en la nulidad

del procedimiento ex artículo 47.1.a) de la Ley 39/2015, separándose

injustificadamente de la actividad probatoria desplegada en fase de instrucción.

Decimos que se ha producido una intromisión grave e inadmisible del órgano

sancionador en la actividad instructora pues en la resolución ahora recurrida

existe una manifiesta falta de valoración de la actividad probatoria, desplegada

en fase instructora, por parte del órgano sancionador.

En este sentido ha tenido ocasión de pronunciarse la Sección Primera de la

Sala de lo Contencioso Administrativo de la AN en su recientísima Sentencia

6460/2022, de veintitrés de diciembre, establece que ?también señalábamos

como otro elemento determinante del procedimiento sancionador el de valoración

de la prueba, que según la doctrina tanto del Tribunal Constitucional como

del Tribunal Supremo se encuentra íntimamente ligado al principio de presunción

de inocencia, y que exige que el fallo condenatorio se apoye en verdaderos

actos de prueba que han de ser conformes a la Ley y a la Constitución, y

como hemos dicho la resolución no hace ninguna específica valoración de las

pruebas en relación con las citadas denuncias, sino que se limita a recogerlas

en los hechos probados, pero sin hacer una valoración específica de las mismas?.

En el presente procedimiento, como en aquel mencionado, ni se han tenido en

cuenta los hechos probados ni se ha acreditado la existencia de infracción alguna

por parte de AD735 DATA MEDIA ADVERTISING, y lo que se ha castigado

es una infracción potencial basada en una mera alegación de la parte reclamante

realizada por animadversión a la reclamada.

En consecuencia, no habiendo sido respetados los principios de la potestad

sancionadora, y teniendo en cuenta que según el Considerando 129 del RGPD

los poderes de las autoridades de control deben ejercerse de conformidad con

garantías procesales adecuadas establecidas en el Derecho de la Unión y los

Estados miembros, unido a las demás manifestaciones vertidas en el presente

escrito, entendemos que procede la estimación del presente del recurso administrativo.

F U N D A M E N T O S D E D E R E C H O

I.- COMPETENCIA

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

10/18

Se dirige el recurso al mismo órgano que dictó el acto administrativo impugnado

, por ser el competente para su resolución, según el art. 123 de la Ley

39/2015, de 1 de octubre.

II.- LEGITIMACIÓN

Mi mandante se encuentra legitimada para la interposición de este recurso, a

tenor de lo dispuesto en los arts. 4 y 13 de la Ley 39/2015, de 1 de octubre, por

ser titular de derechos e intereses legítimos, personales y directos afectados

por el acto impugnado.

III.- OBJETO DEL RECURSO

El acto contra el que este recurso se interpone es susceptible de impugnación

al poner fin a la vía administrativa, de acuerdo con lo establecido en el artículo

114.c) de la Ley 39/2015, de 1 de octubre.

IV.- PLAZO

Al ser notificado el acto ahora objeto de recurso en fecha 8 de marzo de 2023,

el plazo de un mes para interponer el recurso de reposición que establece el

art. 124 de la Ley 39/2015, de 1 de octubre, vencerá el mismo día del mes siguiente

, no obstante, de conformidad con el artículo 30.5 del mismo cuerpo legal

, cuando el último día del plazo sea inhábil, se entenderá prorrogado al primer

día hábil siguiente. Siendo el día 8 de abril de 2023 inhábil y presentado

este escrito el primer día hábil siguiente, el recurso se interpone dentro del plazo

, no existiendo por tanto extemporaneidad.

V.- PROCEDIMIENTO

El presente escrito de interposición cumple las formalidades exigidas por el art.

115 de la Ley 39/2015, de 1 de octubre. En todo caso, el error en la calificación

del recurso no puede ser obstáculo para su tramitación, según el punto 2 de

ese mismo precepto.

En virtud de lo expuesto, SOLICITO A LA AGENCIA ESPAÑOLA DE PROTECCIÓN

DE DATOS, que tenga por presentado este escrito junto con el documento

que se acompaña, y en su virtud por interpuesto RECURSO DE REPOSICIÓN

frente a la Resolución dictada en el Procedimiento Sancionador PS/

00136/2022, lo admita, tenga por evacuado, en tiempo y forma, el trámite conferido

, y, en virtud de las alegaciones realizadas en el presente documento, se

sirva de anular dicha resolución y dictar otra acordando la dejar sin efecto las

sanciones impuestas a AD735 DATA MEDIA ADVERTISING, S.L. por una infracción

del artículo 7.1 del RGPD y declarando el del presente procedimiento

sancionador a la entidad, AD735 DATA MEDIA ADVERTISING S.L., sin imposición

de sanción.

FUNDAMENTOS DE DERECHO

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

11/18

Competencia.

Es competente para resolver el presente recurso la Directora de la Agencia Española

de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley

39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las

Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley

Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de

los derechos digitales (en adelante, LOPDGDD).

Contestación a las alegaciones

La valoración conjunta de la documentación obrante en el procedimiento trae a conocimiento

de la AEPD, una visión de la actuación denunciada que ha quedado reflejada

en los hechos declarados probados arriba relatados. No obstante, en respuesta a las

alegaciones presentadas por la entidad reclamada en el recurso de reposición se debe

indicar lo siguiente:

- a).- Sobre la acreditación del consentimiento obtenido del reclamante.

En el ?log? presentado por la parte reclamada, se puede comprobar como los datos incluidos

en el formulario de la página web www.premium-sales.es , enviados el

23/07/19 a las 16:44 horas, desde la IP (...), asociada al número de teléfono ***TELÉFONO.1, esto es, el nombre, los apellidos y número de teléfono, coinciden con los datos

personales del reclamante aportados en su escrito de reclamación, destacando

que, el número de teléfono que el reclamante indica como suyo en el escrito de reclamación

, coincide con el número de teléfono asociado a la IP desde donde se enviaron

los datos personales para darse de alta en la página web,

Pero en este caso, el responsable sólo acredita que alguien se registró e introdujo los

datos del reclamante, pero no acredita que fuera el reclamante el que se dio de alta y

es en ese fundamento en el que se basa la resolución del expediente sancionador PS/

136/2022, pues en estos casos, el reclamado puede establecer procedimientos para

constatar que el alta se realiza por el titular de los datos, como, por ejemplo, enviar un

SMS o realizar una llamada de confirmación, sobre todo cuando el objeto principal de

la actividad del responsable es obtener datos con fines publicitarios y así se recogía en

el acuerdo de inicio.

Esto es debido a que la acreditación de la identidad del usuario que está introduciendo

los datos en el sitio web de sorteos https://www.premium-sales.es no se realiza con las

garantías suficientes, por lo que cualquier persona con conocimiento del nombre, apellidos

y teléfono de un ciudadano, o incluso empleando datos aleatorios, podría introducir

estos datos personales en el sitio web y éstos ser cedidos por la parte reclamada

a otras entidades con fines de mercadotecnia. Además, la parte reclamada, en su correo

electrónico de contestación al reclamante, que consta en el escrito de alegaciones

al traslado de la reclamación, manifiesta la indisposición de la tecnología necesaria

para poder certificar la identidad de las personas que remiten los datos a través de los

formularios habilitados en sus sitios web.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

12/18

- b).- Sobre la admisión de la reclamación presentada en el seno del procedimiento

PS/136/2022:

La parte recurrente alega en este punto que, ?(?) analizada la reclamación presentada

por el reclamante, en lo que a la infracción del artículo 7.1. del RGPD se refiere, en

consonancia con lo establecido en el apartado 2 del mencionado artículo, resulta evidente

que la reclamación no debió admitirse a trámite y por ser considerada como carente

de fundamento y abusiva y por no aportar indicios racionales de la existencia de

una infracción No podemos olvidar que el reclamante en este punto únicamente ha

alegado que él no rellenó un formulario, pero en ningún caso ha aportado prueba alguna

que acredite dicha manifestación, ni tampoco un mínimo indicio que sirva para fundamentar

la sanción impuesta (?)?.

En la reclamación presentada que dio lugar al expediente sancionador PS/136/2022, el

reclamante manifiesta, entre otras, lo siguiente: ?Tras ejercer mis derechos de acceso,

oposición y limitación del tratamiento por recibir una comunicación comercial por SMS

en mi teléfono desde el identificativo MASMOVIL sin que yo lo hubiera solicitado ni autorizado

, presente una reclamación ante la AEPD por falta de contestación (?) y he

recibido una contestación de la entidad reclamada indicando que habían obtenido mis

datos a través del formulario de participación en el sorteo de un viaje para dos personas

publicado en el sitio web www.premium-sales.es , lo que es absolutamente falso?

presentado la documentación necesaria para corroborar dichas afirmaciones, como el

SMS recibido o la contestación de la entidad reclamada.

Por otra parte, la doctrina de la Audiencia Nacional señala que cuando el titular de los

datos niega el consentimiento en el tratamiento de sus datos corresponde la carga de

la prueba a quien afirma su existencia, debiendo el responsable del tratamiento recabar

y conservar la documentación necesaria para acreditar que el consentimiento se

ha dado y que ha sido dado por el titular de los datos y así lo señala la Sentencia de la

Audiencia Nacional de 31 de mayo de 2006 (Rec. 539/2004): ?Por otra parte es el responsable

del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002

Rec. 185/2001 ) a quien corresponde asegurarse de que aquel a quien se solicita consentimiento

, efectivamente lo da, y que esa persona que está dando el consentimiento

es efectivamente el titular de esos datos personales, debiendo conservar la prueba del

cumplimiento de la obligación a disposición de la Administración, encargada de velar

por el cumplimiento de la Ley.

Por tanto, en el presente caso, cabe admitir la reclamación presentada pues versaba

sobre cuestiones de protección de datos personales, poseía fundamentos para ello, y

aportaba indicios racionales de la existencia de una infracción.

- c).- Sobre la vulneración de los principios de igualdad e interdicción de la arbitrariedad

por parte de la AEPD.

En este punto, la parte recurrente hace referencia al procedimiento sancionador con la

referencia PS/00578/2021, seguido en esta Agencia contra la entidad BICLAMEDIA,

donde se consideró que esta entidad había tratado los datos personales del reclamante

sin ninguna base legitimadora, cediéndolos posteriormente a terceros y por tanto se

abrió el expediente por la presunta infracción del artículo 6 del RGPD, esto es, por falta

de legitimación en el tratamiento de los datos personales.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

13/18

Recordar que, en el transcurso del proceso de dicho expediente, la entidad reclamada

(BICLAMEDIA) aportó como nuevos documentos al expediente, como fueron los ficheros

log con los datos de registro y la actividad en el momento de navegación en la

web, así como un certificado de tabla de registro emitido por el responsable del fichero

de datos personales. Estos documentos reflejaban que a través de la IP del reclamante

se visitó la web de la reclamada introduciendo los datos personales del reclamante y

figurando en las condiciones c1, c2, c3 y c4 el valor ?1? (que significaría la aceptación

de las condiciones del tratamiento de datos, según nota aclaratoria), en la ?Tabla de

Registro del usuario y el Log de actividad IP, introduciendo una duda razonable sobre

la existencia de una válida obtención del consentimiento del reclamante o de un tercero

para el tratamiento.

No obstante, se debe volver a incidir que existe una clara diferencia con respecto al

presente procedimiento (PS/136/2022), pues en este expediente, lo que se trató fue si

la entidad AD735 DATA MEDIA ADVERTISING S.L., podía o no corroborar que la persona

que introdujo los datos personales en el formulario de su página web fue precisamente

el reclamante o fue realizado con su consentimiento.

Pues bien la propia entidad AD735 DATA MEDIA ADVERTISING S.L., reconoció que

no tenía los medios técnicos necesarios para poder corroborarlo, precisamente en el

su correo electrónico de contestación al reclamante y esto era debido a que la acreditación

de la identidad del usuario que introduce los datos en el sitio web de sorteos

https://www.premium-sales.es no se realiza con las garantías suficientes, por lo que

cualquier persona que tuviera conocimiento del nombre, apellidos y teléfono de un ciudadano

, o incluso empleando datos aleatorios, podría introducir datos personales de

terceros en el sitio web, existiendo mecanismos sobradamente conocidos que se podrían

utilizar, como por ejemplo, el envío de un código de verificación por SMS, una

llamada de confirmación, etc., que podrían corroborar que los datos introducidos en el

formulario son proporcionados por el propio interesado o con su consentimiento.

Además la entidad reclamada manifestó, en la contestación que realizó al afectado

que, al igual que el resto de las empresas del sector del marketing digital y de otros

sectores, no puede garantizar con absoluta certeza que los datos recibidos sean correctos

pues en ocasiones se reciben registros con indicación de nombres falsos, alias

o algún dato mal indicado y a veces, se reciben registros de menores de edad que indican

una fecha de nacimiento errónea para acreditar una mayoría de edad que no tienen

y así poder optar a los premios promocionados y que por este motivo AD735 advierte

a los usuarios, en su política de privacidad, la necesidad de indicar datos exactos

y veraces, además de, en el caso de suministrar datos de terceras personas, contar

con el consentimiento expreso de éstas para poder introducirlos

- d)- Sobre la vulneración del principio de presunción de inocencia.

Establece el considerando (39) del RGPD, entre otras, lo siguiente:

(?) Los datos personales deben tratarse de un modo que garantice una seguridad

y confidencialidad adecuadas de los datos personales, inclusive para impedir

el acceso o uso no autorizados de dichos datos y del equipo utilizado en

el tratamiento.

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

14/18

Por su parte, el artículo 7.1 del RGPD establece que:

1.Cuando el tratamiento se base en el consentimiento del interesado, el responsable

deberá ser capaz de demostrar que aquel consintió el tratamiento de

sus datos personales.

Por tanto, el principio de presunción de inocencia aludido por la reclamada, en el ámbito

de la protección de datos queda matizado por la concurrencia del de responsabilidad

proactiva que, en el supuesto objeto de este expediente, implica necesariamente

la actuación diligente del responsable del tratamiento que no solo ha de obtener el

consentimiento previo para el tratamiento de los datos sino que además debe de contar

con los medios imprescindibles para poder verificar y probar que dicho consentimiento

se otorgó debidamente.

El principio de responsabilidad proactiva supone que el responsable del tratamiento de

los datos debe ser capaz de acreditar la corrección del tratamiento y en este caso, la

documentación que se aporta deja de ser una declaración unilateral de parte que no

viene acompañada de ninguna medida de comprobación que corrobore que el que

proporcionó los datos es realmente el que dice ser.

Por su parte, Audiencia Nacional señala que cuando el titular de los datos niega el

consentimiento en el tratamiento de sus datos corresponde la carga de la prueba a

quien afirma su existencia, debiendo el responsable del tratamiento recabar y conservar

la documentación necesaria para acreditar que el consentimiento se ha dado y que

ha sido dado por el titular de los datos y así lo señala la Sentencia de la Audiencia Nacional

de 31 de mayo de 2006 (Rec. 539/2004):

?Por otra parte es el responsable del tratamiento (por todas, sentencia de esta

Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse

de que aquel a quien se solicita consentimiento, efectivamente lo da, y que

esa persona que está dando el consentimiento es efectivamente el titular de

esos datos personales, debiendo conservar la prueba del cumplimiento de la

obligación a disposición de la Administración, encargada de velar por el cumplimiento

de la Ley.?

Y por otra parte, conforme señala el Tribunal Supremo (STS 26/10/98) el derecho a la

presunción de inocencia:

?no se opone a que la convicción judicial en un proceso pueda formarse sobre

la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar

dicha presunción debe satisfacer las siguientes exigencias constitucionales: los

indicios han de estar plenamente probados ? no puede tratarse de meras sospechas

? y tiene que explicitar el razonamiento en virtud del cual, partiendo de

los indicios probados, ha llegado a la conclusión de que el imputado realizó la

conducta infractora, pues, de otro modo, ni la subsución estaría fundada en

Derecho ni habría manera de determinar si el proceso deductivo es arbitrario,

irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de

inocencia al estimar que la actividad probatoria pueda entenderse de cargo.?

C/ Jorge Juan, 6 www.aepd.es

28001 ? Madrid sedeagpd.gob.es

15/18

También, la Sentencia del Tribunal Constitucional de 20/02/1989 indica que:

?Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque

ambos puedan considerarse como manifestaciones de un genérico favor rei,

existe una diferencia sustancial entre el derecho a la presunción de inocencia,

que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o

cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial

in dubio pro reo que pertenece al momento de la valoración o apreciación

probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria

indispensable, exista una duda racional sobre la real concurrencia de

los elementos objetivos y subjetivos que integran el tipo penal de que se trate.?

En definitiva, aquellos principios impiden imputar una infracción administrativa cuando

no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que

motivan la imputación o de la intervención en los mismos del presunto infractor.

En el presente caso, en la reclamación presentada que dio lugar al expediente sancionador

PS/136/2022, el reclamante manifiesta, entre otras, lo siguiente: ?Tras ejercer

mis derechos de acceso, oposición y limitación del tratamiento por recibir una comunicación

comercial por SMS en mi teléfono desde el identificativo MASMOVIL sin que yo

lo hubiera solicitado ni autorizado, presente una reclamación ante la AEPD por falta de

contestación (?) y he recibido una contestación de la entidad reclamada indicando

que habían obtenido mis datos a través del formulario de participación en el sorteo de

un viaje para dos personas publicado en el sitio web www.premium-sales.es, lo que es

absolutamente falso? presentado la documentación necesaria para corroborar dichas

afirmaciones, como el SMS recibido o la contestación de la entidad reclamada.

Y, por otra parte, el responsable de la web sólo acredita que alguien se registró e introdujo

los datos del reclamante, pero no acredita que fuera el reclamante el que se dio

de alta o que se realizara con su consentimiento.

Además la entidad reclamada manifiesta, en la contestación que realizó al afectado