Roj: SAN 4999/2021 - ECLI:ES:AN:2021:4999
Id Cendoj:28079230012021100492
Órgano:Audiencia Nacional. Sala de lo Contencioso Sede:Madrid
Sección:1
Fecha:05/11/2021 Nº de Recurso:1796/2019 Nº de Resolución:
Procedimiento:Procedimiento ordinario
Ponente:MARIA NIEVES BUISAN GARCIA Tipo de Resolución:Sentencia
A U D I E N C I A N A C I O N A L Sala de lo Contencioso-Administrativo SECCIÓN PRIMERA
Núm. de Recurso: 0001796 /2019
Tipo de Recurso: PROCEDIMIENTO ORDINARIO Núm. Registro General: 12926/2019
Demandante: AVON COSMETICS SAU
Procurador: ALEJANDRO ESCUDERO DELGADO
Demandado: AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS Abogado Del Estado
Ponente IIma. Sra.: Dª. NIEVES BUISAN GARCÍA S E N T E N C I A Nº :
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH Ilmos. Sres. Magistrados:
Dª. FELISA ATIENZA RODRIGUEZ Dª. LOURDES SANZ CALVO Dª. NIEVES BUISAN GARCÍA
Madrid, a cinco de noviembre de dos mil veintiuno.
Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 1796/19, interpuesto por el Procurador de los Tribunales don Alejandro Escudero Delgado, en nombre y representación de AVON COSMETICS SAU, contra la Resolución de la Directora de la Agencia Española de Protección de Datos de 26 de julio de 2019. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 60.000 euros.
AN TECEDENTES DE HECHO
PRIMERO. - Por la entidad recurrente se interpuso recurso contencioso administrativo ante esta Sala, mediante escrito presentado el 23 de septiembre de 2019, del que se acordó su tramitación de conformidad con las
SEGUNDO. - En el momento procesal oportuno tal entidad actora formalizó la demanda mediante escrito presentado el 2 de marzo de 2020 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se tuviera por interpuesto el recurso, dictándose sentencia en la que : Se declare la nulidad de la resolución sancionadora dictada el 25 de julio de 2019 por la Agencia Española de Protección de Datos, dentro del procedimiento sancionador PS/159/2019, por no ser conforme a Derecho (...) y por tanto, declare la nulidad e inaplicabilidad de la multa de 60.000 euros impuesta a AVON COSMETICS SAU en virtud de la misma.
Subsidiariamente, una minoración sustantiva del importe global de la sanción, reflejando el criterio seguido por la AEPD en casos de usurpación de responsabilidad, por aberrante que sea considerara a AVON como responsable de lo que es a todas luces un acto criminal de tercero.
Subsidiariamente (...) la suspensión temporal de este procedimiento por existir prejudicialidad penal, suspendiéndose el mismo hasta que se resuelvan los hechos denunciados ante la Policía Nacional en el atestado nº NUM000 que también están siendo investigados en el seno de las Diligencias Previas 2078/2016 del Juzgado de Instrucción num. 11 de Madrid .
TERCERO. - El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 19 de mayo de 2019 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el presente recurso, confirmando íntegramente la resolución impugnada por ser conforme a Derecho.
CUARTO. - Habiéndose solicitado el recibimiento del pleito a prueba, se acordó el mismo mediante Auto de 28 de septiembre de 2020, practicándose la documental propuesta y admitida, con el resultado que figura en las actuaciones.
QUINTO. - No considerándose necesaria la celebración de vista pública y tampoco el trámite de conclusiones a las partes, quedaron las actuaciones pendientes de señalamiento para votación y fallo, fijándose al efecto el día 3 de noviembre de 2021, fecha en que ha tenido lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña Nieves Buisán García, quien expresa el parecer de la Sala.
FU NDAMENTOS DE DERECHO
PRIMERO. - Se impugna en el presente recurso contencioso-administrativo, por AVON COSMETICS, S.A.U., la Resolución por la Directora de la Agencia Española de Protección de Datos de 26 de julio de 2019 por la que se impone a dicha entidad, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 de dicho RGPD, una multa de 60.000 euros.
Resolución que declara como hechos probados, los que a continuación se exponen:
1º. Consta reclamación presentada por la denunciante, manifestando que AVON ha hecho un uso inadecuado de sus datos personales, no comprobando su identidad e incluyéndola en el fichero de solvencia patrimonial Asnef. Se aporta denuncia ante la Dirección General de la Policía.
2º. Consta que sus datos fueron informados a Asnef por AVON COSMETICS, con fecha de alta 11/04/2018.
3º. Por parte de AVON se ha aportado factura del pedido realizado por la reclamante y el albarán de entrega de dicho pedido.
SEGUNDO. - Se argumenta como primer motivo de oposición en la demanda, que la base de datos de la distribuidora Avon se encuentra fuera del ámbito de aplicación del Reglamento General de Protección de Datos (RGPD).
Ámbito de aplicación de la LOPD que se establece con carácter general el artículo 2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, es del siguiente tenor literal: El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.
Definiendo el Artículo 4 apartado 1 del mismo, como «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); y el articulo 4.2 como «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
Por otra parte, también se hace preciso indicar que corresponde a la AEPD, según ha reiterado también esta Sala, velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, así como ejercer la potestad sancionadora en los términos previstos en el Titulo VII (Art. 37.g). Procedimiento sancionador que se inicia siempre de oficio, en el caso de la supuesta comisión de alguna de las infracciones reguladas en dicho Titulo VII.
Aplicando dicha normativa al presente caso, resulta evidente que la conducta imputada por la Agencia de Protección de Datos a Avon Cosmetics consiste en un "tratamiento" de los "datos personales" de la denunciante con incumplimiento del principio de licitud de datos, derivado de llevar a cabo el mismo sin su consentimiento, por lo que tal conducta imputada entra de lleno en el ámbito de aplicación de la LOPD y el motivo ha de ser rechazado. Así lo ha declarado esta misma Sala y Sección, respecto de la misma entidad recurrente, en las SSAN de 13 de marzo de 2020 (Rec.1123/2018) y de 6 de noviembre de 2020 (Rec.730/2018), entre otras.
TERCERO. - La alegada prejudicialidad penal, si bien se invoca de manera subsidiaria en la demanda, ha de ser resuelta con carácter previo tomando en consideración su carácter obstativo al enjuiciamiento del fondo de la controversia.
Establece el artículo 77.4 de la LPACAP que: En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien.
De relacionar tal precepto con los artículos 10 y 44 de la Ley Orgánica del Poder Judicial se deduce que para suspender el pleito por existir prejudicialidad penal, son necesarios dos requisitos: 1º que se acredite la existencia de procedimiento penal en el que se estén investigando, como hechos de apariencia delictiva, alguno o algunos de los que fundamenten las pretensiones de las partes en el proceso contencioso-administrativo; y 2º que la decisión del tribunal penal acerca de tal hecho pueda tener influencia decisiva en la resolución del asunto contencioso-administrativo.
De un lado, y si bien se invoca por Avon Cosmetics que los hechos descritos serian también parte de la denuncia ante la policía presentada por dicha entidad el 27 de abril de 2018, hechos que están siendo investigados por el Juzgado de Instrucción de Madrid nº 11 (DP 2078/2016) por ataque a las personas y sistemas informáticos de la entidad (que podría haber provocado una alteración de las bases de distribución de Avon). Es ésta una mera alegación de la demanda de la que no existe la más mínima acreditación en las actuaciones ni en vía administrativa previa ni tampoco en esta vía judicial, por lo que no puede ser tomada en consideración.
En cualquier caso, la resolución de dicho eventual pleito penal (o del derivado de la denuncia que respecto de los mismos hechos se interpuso también ante la policía por la entidad denunciante) no es imprescindible para la resolución del presente recurso contencioso-administrativo, necesariedad que, como ya se ha manifestado, es la única que podría dar lugar a la suspensión del presente recurso, derivada de la invocada prejudicial penal planteada, por lo que la misma ha de ser rechazada por la Sala.
CUARTO. - La infracción imputada a AVON COSMETICS es la del artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), aplicable al supuesto ratione temporis, a cuyo tenor:
1. El tratamiento solo será lícito si se cumplen al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Infracción cuya sanción se estipula en el artículo 86.5 del referido RGPD, según el cual:
5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al
4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
Principio de licitud de datos personales al que se refiere en considerando 39 del mismo Reglamento europeo, al indicar que:
( 39) Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados.
Licitud de tratamiento que en el presente caso, y dadas las circunstancias concurrentes, está haciendo referencia al principio de consentimiento. Una de las manifestaciones esenciales del derecho a la protección de datos personales, según esta Sala ha declarado en reiteradísimas ocasiones en relación con el antiguo artículo 6.1 de la LOPD y que en el RGPD se desarrolla también en el Considerando 40 del mismo, cuyo tenor literal es el siguiente:
(40) Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.
Resultando asimismo trascendente, a efectos del pleito, el contenido del Considerando 32 del referido RGPD, según el cual:
El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.
Así como el considerando 42 del Reglamento (UE) 2016/679:
(42) Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace (...)
QUINTO. - Aplicando la anterior normativa al supuesto enjuiciado, resulta que ha quedado acreditado, y no desvirtuado mediante prueba en contrario, que se suscribió un contrato mercantil de distribución, por parte de la entidad actora y en el que figuraban datos personales de la denunciante, concretamente su nombre, apellidos y su DNI, pero sin que correspondieran a la misma ni su supuesto domicilio, ni su supuesto número de teléfono y tampoco su dirección de email.
Contrato que carece de firma alguna y cuya formalización ha sido negada por tal denunciante.
Habiendo sido asimismo probado que, una vez impagada la factura generada por los servicios derivados del referido contrato, Avon Cosmetics incluyó el nombre y número de DNI de la referida denunciante en el fichero de morosidad Asnef.
Se trata en definitiva de que la entidad actora inició una relación comercial con una tercera persona sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. Tal y como deriva del referido RGPD, AVON, en cuanto responsable del tratamiento, y a pesar de sus extensas argumentaciones de la demanda, no ha sido ser capaz de demostrar que la denunciante había dado su consentimiento a la operación de tratamiento de sus datos personales.
De haber tomado AVON las necesarias precauciones, a fin de asegurarse de la identidad la persona contratante, para lo que hubiera sido bastante verificar algún tipo de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la infracción del artículo 6.1 del RGPD imputada por la AEPD. En definitiva, al no haberse actuado con la necesaria diligencia, se trataron los datos de la afectada sin contar con su consentimiento, lo que supone una vulneración de tal esencial principio de licitud , dado que tampoco concurre en el supuesto ninguna de las circunstancias excepcionales que eximirían de la necesidad de dicho consentimiento. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados como infracción grave del artículo 86.5 del RGPD.
No es posible apreciar, por otra parte, el error invencible que insistentemente se invoca en la demanda, pues además de que el mismo debe demostrarse ( STS de 23 de junio de 2014) en definitiva, como ya se ha indicado, y sin perjuicio del fraude cometido, lo cierto es que no existió diligencia suficiente por parte Avon Cosmetics ni en el momento de incluir los datos de la denunciante en sus bases informáticas, ni en el momento de notificar los mismos al fichero de solvencia patrimonial y crédito.
Sin que tampoco pueda tomarse en consideración, por último, la invocada ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad "a título de dolo o culpa", no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito administrativo es más flexible que en el derecho penal, y así, conforme a reiterada Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia exigible ( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas), diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon Cosmetics.
De todo lo cual deriva que la sanción impuesta a la entidad actora en tal resolución combatida resulta ajustada a derecho y proporcionada, por lo que la misma ha de ser confirmada.
SEXTO. - Razones, las anteriores, que conducen a la desestimación del presente recurso, siendo procedente la imposición de las costas causadas a la entidad recurrente, de conformidad con el Art. 139 de la LJCA.
F A L L A M O S
Que desestimando el recurso contencioso administrativo interpuesto por la representación procesal de AVON COSMETIC SAU, frente a la resolución de la Agencia Española de Protección de Datos de 26 de julio de 2019 por la que se impone a dicha entidad una sanción por importe de 60.000 confirmamos dicha resolución y sanción, con imposición de costas a tal entidad recurrente.
La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.
Así por esta nuestra Sentencia, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en audiencia pública. Doy fe. Madrid a.
EL LETRADO DE LA ADMINISTRACIÓN DE JUSTICIA.
