SAN, 9 de Febrero de 2023
| Ponente | MARIA LUZ LOURDES SANZ CALVO |
| Emisor | Audiencia Nacional - Sala de lo Contencioso |
| ECLI | ECLI:ES:AN:2023:1066 |
| Número de Recurso | 770/2022 |
A U D I E N C I A N A C I O N A L
Sala de lo Contencioso-Administrativo
SECCIÓN PRIMERA
Núm. de Recurso: 0000770 / 2022
Tipo de Recurso: PROCEDIMIENTO ORDINARIO
Núm. Registro General: 03974/2022
Demandante: XFERA MOVILES SAU
Procurador: DÑA. LUCIA AGULLA LANZA
Letrado: D. JOSE LEANDRO NUÑEZ GARCIA
Demandado: AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS
Abogado Del Estado
Ponente IIma. Sra.: Dª. LOURDES SANZ CALVO
S E N T E N C I A Nº :
IImo. Sr. Presidente:
D. EDUARDO MENÉNDEZ REXACH
Ilmos. Sres. Magistrados:
Dª. LOURDES SANZ CALVO
Dª. BEGOÑA FERNANDEZ DOZAGARAT
Dª. NIEVES BUISAN GARCÍA
Madrid, a nueve de febrero de dos mil veintitrés.
Vi sto por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional el recurso contencioso administrativo número 770/2021 interpuesto por la Procuradora de los Tribunales Sra. Agulla Lanza, en nombre y representación de XFERA MÓVILES SAU, frente a la Resolución de la Directora de la Agencia Española de Protección de Datos de fecha 21 de enero de 2022 que desestima el recurso de reposición interpuesto frente a la Resolución de 10 de noviembre 2021 dictada en el procedimiento sancionador PS/00027/2021; ha sido partes en autos, la Administración demandada representada y defendida por el Abogado del Estado.
PR IMERO .- Interpuesto el recurso Contencioso-administrativo ante esta Sala de lo Contencioso administrativo de la Audiencia Nacional y turnado a esta Sección, fue admitido a trámite, reclamándose el expediente administrativo, para, una vez recibido emplazar a la actora para que formalizara la demanda, lo que así se hizo en escrito, en el que tras exponer los hechos y fundamentos de derecho qué consideró oportunos, terminó suplicando que se dicte sentencia por la que estimando el recurso contencioso administrativo interpuesto:
De clare que se ha producido caducidad de las actuaciones previas al procedimiento sancionador de que trae causa el presente recurso, y declare la nulidad de la resolución dictada en el procedimiento sancionador, con imposición de costas a la Administración demandada.
En caso contrario, subsidiariamente:
De clare que la resolución recurrida vulnera los principios de culpabilidad, responsabilidad personal, tipicidad, confianza legítima y buena fe, previstos en la Ley 40/2015, de 1 de octubre, y declare la nulidad de dicha resolución, con imposición de costas a la Administración demandada.
En caso contrario, subsidiariamente:
De clare que existe incongruencia omisiva por parte de la AEPD al no resolver la petición formulada por dicha parte, de que la supuesta infracción debería haber sido calificada como vulneración de lo dispuesto en el articulo 32 del RGPD, tipificada en el artículo 83.4.a) del citado Reglamento y calificada como grave a efectos de prescripción en el articulo 73.d) y f) de la LOPDGDD, y declare la nulidad de dicha resolución, con imposición de costas a la Administración demandada.
En caso contrario, subsidiariamente:
De clare que la calificación de la infracción como vulneración del artículo 5.1.f) del RGPD, tipificada en el artículo
83.5.a) del RGPD, y calificada como muy grave a efectos de prescripción en el artículo 72.1.a) de la LOPDGDD, no es ajustada a Derecho, declare la nulidad de dicha resolución y acuerde que los hechos declarados probados constituyen una vulneración de lo previsto en el artículo 32 del RGPD, tipificada en el artículo 84.4.a) del citado RGPD y calificada como grave a efectos de prescripción en el artículo 73, d) y f) de la LOPDGDD, cuantificando la sanción impuesta en una cuantía no superior a 100.000 €.
SE GUNDO.- El Abogado del Estado, en su escrito de contestación a la demanda, tras alegar los hechos y fundamentos de derecho qué consideró aplicables, solicitó se dice sentencia desestimatoria de la demanda, confirmando íntegramente la resolución impugnada por ser ajustada a Derecho, con condena en costas a la parte actora.
TE RCERO.- Recibido el recurso a prueba y admitida la propuesta consistente en que se tenga por reproducido el expediente administrativo, se señaló para votación y fallo el día 24 de enero de 2023, en que tuvo lugar.
Ha sido Ponente la Magistrada Ilma. Sra. Dª. María Lourdes Sanz Calvo.
PR IMERO .- Se impugna en el presente recurso contencioso-administrativo por Xfera Móviles SA, la Resolución de la Directora de la Agencia Española de Protección de Datos de fecha 21 de enero de 2022 que confirma en reposición la Resolución de 10 de noviembre 2021 (PS/2770/2021), en virtud de la cual se impone a Xfera Móviles S.A, una sanción de 200.000 €, por la vulneración de lo dispuesto en el artículo 5.1.f) del Reglamento (UE) 2016/79 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, ( Reglamento General de Protección de Datos, en lo sucesivo RGPD), tipificada en el artículo 83.5.a) de dicho Reglamento y calificada como muy grave a efectos de prescripción en el artículo 72.1.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD).
Co nsidera la AEPD que los hechos controvertidos vulneran el art. 5.1.f) RGPD porque el principio de confidencialidad de los datos se ha visto afectado dado que Xfera facilitó a personas distintas del titular del teléfono móvil duplicados de tarjetas SIM, que constituyen el soporte mediante el cual se accede a datos de carácter personal del afectado. Acceso a datos personales del titular por un tercero que se produjo debido a que Xfera no contaba con medidas suficientes ni adecuadas en los términos del reseñado art. 5.1.f) del RGPD para comprobar que la persona que solicita el duplicado de la tarjeta SIM es el titular de la misma.
SE GUNDO .- La resolución sancionadora de 10 de noviembre 2021, confirmada en reposición por la aquí recurrida, efectúa un pormenorizado y extenso relato de Hechos Probados - páginas 638 a 667 del expediente administrativo-, que se aceptan y dan aquí por reproducidos, en los que se hace referencia a las dos reclamaciones interpuestas con fechas 8 de octubre y 5 de noviembre de 2019 contra Xfera, por expedir sendos duplicados de la tarjeta SIM de sus líneas de telefonía móvil en las compañías Yoigo y Masmóvil, a nombre de
terceras personas distintas de los titulares de la línea; a las actuaciones previas iniciadas de oficio tendentes a analizar las practicas conocidas como SIM Swapping y las medidas de seguridad existentes para su prevención en relación con Xfera; a los procedimientos de solicitud de duplicado SIM para las marcas comerciales bajo las que Xfera presta servicios: Yoigo, Masmóvil, Llamaya y Lebara; a los casos de solicitudes fraudulentas detectados en 2019; también a los primeros casos de duplicado de SIM confirmados desde el 1 de enero de 2020; a las grabaciones telefónicas o archivos de audio aportados en los casos de solicitud telefónica del duplicado; las medidas y herramientas informáticas implantadas con posterioridad y su eficacia, etc.
TE RCERO .- Xfera, es un operador de telecomunicaciones que ofrece servicios de telefonía fija, móvil e internet bajo distintas marcas comerciales como Yoigo, Masmóvil, Lebara o Llamaya, que según expone en la demanda es el cuarto operador del mercado español, tanto por ingresos como por usuarios, con una cuota que ronda el 11% del total.
En la demanda efectúa un relato de hechos y sustenta su pretensión impugnatoria en varios motivos: a) caducidad de las actuaciones previas de investigación; b) incongruencia omisiva e inadecuada tipificación;
-
ausencia de culpabilidad de Xfera; d) Xfera no vulneró la confidencialidad de los datos personales de sus clientes; e) de la quiebra del principio de confianza legítima y mala fe administrativa; f) de la falta de idoneidad, necesidad y proporcionalidad de la sanción impuesta; g) subsidiariamente, de la incorrecta aplicación de circunstancias agravantes.
Mo tivos que se pasan a examinar siguiendo el orden expuesto.
CU ARTO .- Caducidad de las actuaciones previas.
Ad uce que el art 67.2 de la LOPDGDD establece que las actuaciones previas " no podrán tener una duración superior a 12 meses contados desde la fecha del acuerdo de admisión a trámite, o de la fecha por la que se decida su iniciación cuando la AEPD actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado de la UE"
En el caso de autos, las dos reclamaciones se presentaron el 8 de octubre y 5 de noviembre 2019, y al haber transcurrido el plazo de 3 meses establecido en el artículo 65.5 LOPDGDD, entiende Xfera que deben entenderse admitidas a trámite el 8/1/2020 y el 5/2/20, ello aunque los acuerdos formales de admisión a trámite sean posteriores (11 y 12 de febrero 2020), por lo que, sostiene, cuando se dicta el acuerdo de inicio el 12 de febrero 2020, fecha en que se puso a disposición de la recurrente la notificación en la sede electrónica de la Administración, las actuaciones previas estaban caducadas.
Po r su parte, el Abogado del Estado opone que las actuaciones previas no tienen origen en las reclamaciones presentadas y en su admisión a trámite, sino en la nota interior de la Directora, de 27 de noviembre 2019, que muestra su intención de investigar unos hechos concretos. Y así contados 12 meses desde dicha fecha, en teoría dicho plazo hubiera finalizado el 27 de noviembre de 2020, más a lo anterior habría que sumar los 79 días en que se suspendieron los plazos procedimentales como consecuencia de la Declaración del Estado de Alarma mediante Real Decreto 463/2020, de 14 de marzo, y su prórroga por el RD 537/2020, de 22 de mayo.
De l examen del expediente resulta que, efectivamente, obra a la página 49 una Nota Interior de la Directora de la AEPD, suscrita el 27 de noviembre 2019, quien ante las noticias aparecidas en los medios de comunicación relativas...
Para continuar leyendo
Solicita tu prueba
-
ATS, 13 de Julio de 2023
...de la Audiencia Nacional, de fecha 9 de febrero de 2023, desestimatoria del recurso contencioso-administrativo n.º 770/2022. ) Declarar que la cuestión planteada en el recurso que presenta interés casacional objetivo para la formación de la jurisprudencia consiste en: i) interpretar los art......