Volver a página de inicio

PRIMERO.- La parte demandante impugna la resolución de 5 de octubre de 2018 de la Directora de la Agencia de Española de Protección de Datos, que confirma en reposición la resolución de 1 de agosto de 2018, recaídas en el PS/00066/2018, por la que se impone a la parte actora dos sanciones de 28.000 euros cada una, por la infracción de los arts. 6.1 y art. 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre (LA LEY 4633/1999) (en adelante LOPD), tipificadas como graves en los arts. 44.3.b ) y 44.3.c) de dicha norma .

Los Hechos Probados en que se basa la resolución sancionadora, son los siguientes: " 1º Consta denuncia presentada por D Doroteo , donde denuncia que: "AVON ha incluido sus datos en el fichero de solvencia ASNEF sin existir ninguna relación contractual previa con ellos. Tampoco ha recibido notificación de la empresa denunciada avisando de dicha inclusión, ni la notificación por parte del responsable del fichero. Ha interpuesto denuncia ante la Policía Nacional"

2º.- AVON aporta las condiciones del contrato mercantil de distribución que el denunciante supuestamente firmó, con fecha 14/08/15. Se aporta además 2 facturas impagadas por 61,29 euros.

3º Consta que con fecha 23/09/15, existe un correo electrónico enviado desde AVON, a la dirección DIRECCION000 , de requerimiento previo de pago. No se acredita que el correo llegara a su destinario y que éste fuera realmente el Sr. Doroteo .

4º Con fecha 30/10/15, AVON envió un SMS certificado al número se indicó en la contratación ( NUM002 ). Se aporta certificado de la empresa DIDIMO SERVICIOS MOVILES S.L. NO se acredita que el nº indicado perteneciera al Sr. Doroteo .

5º Consta que los datos del denunciante estuvieron en el fichero ASNEF desde el 24/11/15 hasta el 28/02/17 (15 meses), por una deuda de 61,29 euros, informada por AVON.

6º Que el 15/02/17, el Sr. Doroteo se pone en contacto con AVON reclamando haber sido incluido en un fichero de solvencia patrimonial sin tener ninguna relación contractual ni laboral con ellos.

7º El 17/02/18, se denuncian los hechos ante la Policía Nacional.

8º El 23/02/17, el Sr. Doroteo envía a la compañía copia de la denuncian interpuesta ante la Policía Nacional. Según afirman desde AVON, ese mismo día se procede a dar de baja la deuda y los datos del denunciante del fichero ASNEF con fecha de 28/02/17.

9º El 20/04/17, desde EQUIFAX, en respuesta a la reclamación hecha por el Sr. Doroteo , le informan que ya no existen datos inscritos asociados a su identificador.

10º El 23/04/18, AVON denuncia ante la Policía Nacional indicando que: "se ha manipulado de forma continuada el proceso de contratación de distribuidos de AVON mediante el uso de identidades falsas, para, con ánimo de lucro adquirir productos de cosmética de AVON sin abonarlos (...). (...) Así, parece que una o varias personas se habrían dado de alta como distribuidores de AVON asegurando ser D. Miguel y D. Doroteo y realizaron pedidos por valor de 115,29 euros y 61,29 euros respectivamente, cantidades que nunca fueron abonadas & AVON. Parece además que los contratos de distribución a nombre de esas dos personas se habría aportado un número móvil titularidad de terceras personas (...)".

SEGUNDO.- La parte recurrente aduce como primer motivo de nulidad de la resolución recurrida, la caducidad de las actuaciones previas, de conformidad con el art. 122.4 del Real Decreto 1.720/2007, de 21 de diciembre (LA LEY 13934/2007) , por el que se aprueba el reglamento de desarrollo de la LOPD (LA LEY 4633/1999) (en lo sucesivo RLOPD (LA LEY 13934/2007)), vigente a la sazón, al haber trascurrido más de 12 meses entre la entrada de la denuncia en la Agencia Española de Protección de Datos, el 4 de marzo de 2017, y la notificación del acuerdo de inicio del procedimiento sancionador, el 11 de abril de 2018.

El art. 122 del RLOPD (LA LEY 13934/2007), establece que las actuaciones previas de inspección "tendrán una duración máxima de 12 meses a contar desde la fecha de la denuncia" , la petición razonada de otro órgano o el acuerdo del Director de la Agencia. Transcurrido dicho plazo "sin que se haya dictado y notificado acuerdo de inicio de procedimientos sancionador producirá la caducidad de las actuaciones previas" . Con lo que la norma de desarrollo reglamentario ha limitado el plazo temporal para la realización de actuaciones inspectoras, incrementando las garantías de los responsables de ficheros de tratamientos.

En el caso que nos ocupa, la denuncia tuvo entrada en la Agencia Española de Protección de datos el 4 de marzo de 2017, fecha del cómputo inicial del plazo para la realización de las actuaciones previas, y con la que las partes están de acuerdo.

Por resolución de 1 de marzo de 2018 la Directora de la Agencia Española de Protección de Datos, se acordó el inicio del procedimiento sancionador. Precisamente, es en cuanto a la notificación de dicho acuerdo, en lo que las partes discrepan.

Hubo una primera notificación electrónica del acuerdo de inicio del procedimiento sancionador, en que según certificación del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, consta que se puso a disposición de la parte aquí actora la notificación del anteriormente reseñado acuerdo, el 2 de marzo de 2018, habiéndose producido el rechazo automático el 12 de marzo de 2018, por haber transcurrido diez días naturales desde su puesta a disposición para su acceso, de conformidad con el art. 43.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LA LEY 15010/2015) .

Por parte, la entidad recurrente aduce que hay que tener en cuenta la notificación que se hizo posteriormente por medio de correo, el 11 de abril de 2018, ya que la primera hay que considerarla fallida.

Así las cosas, nos encontramos ante dos notificaciones de un mismo acto, una primera por vía electrónica y la segunda por correo. A este respecto, el art. 41.1 de la Ley 39/2015, de 1 de octubre (LA LEY 15010/2015) , dispone: "1. Las notificaciones se practicarán preferentemente por medios electrónicos y, en todo caso, cuando el interesado resulte obligado a recibirlas por esta vía...".

Mientras que el art. 43 de la citada norma establece: "1. Las notificaciones por medios electrónicos se practicarán mediante comparecencia en la sede electrónica de la Administración u Organismo actuante, a través de la dirección electrónica habilitada única o mediante ambos sistemas, según disponga cada Administración u Organismo.

A los efectos previstos en este artículo, se entiende por comparecencia en la sede electrónica, el acceso por el interesado o su representante debidamente identificado al contenido de la notificación.

2. Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido.

Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.

3. Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única ..." .

La obligación del art. 40.4 es la siguiente: "Sin perjuicio de lo establecido en el apartado anterior, y a los solos efectos de entender cumplida la obligación de notificar dentro del plazo máximo de duración de los procedimientos, será suficiente la notificación que contenga, cuando menos, el texto íntegro de la resolución, así como el intento de notificación debidamente acreditado" .

Por otra parte, en el supuesto de que existan varias notificaciones, el art. 41.7 señala que: "Cuando el interesado fuera notificado por distintos cauces, se tomará como fecha de notificación la de aquélla que se hubiera producido en primer lugar".

Pues bien, a tenor de lo expuesto, para el supuesto del cómputo de la duración de los procedimientos, la notificación por medios electrónicos, bastará con que se produzca la puesta a disposición de la notificación, en el presente caso, del acuerdo de inicio del procedimiento sancionador. Por otro lado, consta en el expediente las circunstancias en relación con la notificación por medios electrónicos de dicha puesta a disposición, por lo que de conformidad con el art. 41.5 de la Ley 39/2915, de 1 de octubre , se tiene por efectuado el trámite, siguiéndose el procedimiento.

Así las cosas, la puesta a disposición de la notificación por medios electrónicos del acuerdo de inicio del procedimiento sancionador se produjo el 2 de marzo de 2018, que se tiene por válida, y la denuncia se presentó el 4 de marzo de 2017 al 11 de abril de 2018, por lo que no ha transcurrido el plazo de doce meses previsto en el art. 122.4 del RLOPD (LA LEY 13934/2007). En consecuencia, procede desestimar este primer motivo de impugnación.

TERCERO.- En segundo lugar, la parte actora aduce que la LOPD (LA LEY 4633/1999) no resulta de aplicación, ya que AVON pertenece a un grupo de empresas multinacional cuyo modelo de negocio se basa en la venta multinivel de productos cosméticos, y el beneficio económico que obtienen los distribuidores de AVON, es el margen entre el precio al que compran los productos AVON y el precio de venta al público. Ello conlleva, que la base de datos de los distribuidores de AVON sea una base de datos de empresarios y comerciantes, que actúan en el tráfico mercantil.

Pues bien, la Sala no puede compartir el citado argumento, ya que en el caso que nos ocupa, el denunciante no tenía ninguna relación contractual con la parte actora, no habiendo aportado contrato alguno ni D.N.I. de aquel o documento que le identificase Es decir, no se ha probado que el denunciante fuese un distribuidor de los productos de AVON, por lo que el tratamiento y la inclusión de los datos del denunciante en el fichero de solvencia, no tuvo por causa la relación comercial existente entre la sociedad mencionada y aquel, como en otros casos en los que si lo apreció la Sala, por lo que resulta de aplicación la LOPD (LA LEY 4633/1999) de conformidad con el art. 2 de la misma norma y el art. 2.1 del RLOPD (LA LEY 13934/2007).

Por tanto, procede desestimar este segundo motivo de impugnación.

CUARTO.- Por la parte demandante se alega prejudicialidad penal y la necesidad, por tanto, de suspender el procedimiento administrativo, por la existencia de unas denuncias por estafa formulada por el denunciante y por la propia parte actora, ante la Policía Nacional, así como las diligencias previas nº. 2.078/2016 que se siguen en el Juzgado de Instrucción nº. 11 de Madrid, en las que se investiga un ataque a los sistemas informáticos de AVON.

El art. 77.4 de la Ley 39/2015, de 1 de octubre (LA LEY 15010/2015) , dispone: " En los procedimientos de carácter sancionador, los hechos declarados probados por resoluciones judiciales penales firmes vincularán a las Administraciones Públicas respecto de los procedimientos sancionadores que substancien" y el artículo el art. 31.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LA LEY 15011/2015) , que establece: "No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento" .

Tal y como revela último citado precepto, la triple identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder constituye una exigencia ineludible para que la Administración demandada se encuentre obligada a suspender el procedimiento administrativo sancionador.

Por otro lado, el art. 40 de la L.E.Civil (LA LEY 58/2000) , de carácter supletorio en la materia, que regula la prejudicialidad penal, exige en su apartado 2 para la suspensión de las actuaciones civiles la concurrencia de una serie de circunstancias: 1ª Que se acredite la existencia de causa criminal en la que se estén investigando, como hechos de apariencia delictiva, alguno o algunos de los que fundamenten las pretensiones de las partes en el proceso civil, y

2ª Que la decisión del tribunal penal acerca del hecho por el que se procede en causa criminal pueda tener influencia decisiva en la resolución sobre el asunto civil.

En la misma línea la Sentencia del Tribunal Supremo de 13 de septiembre de 2002 -recurso nº. 2.347/1998 (LA LEY 7788/2002) -, señala que, "sólo habrá lugar a esta suspensión o paralización del recurso contencioso- administrativo cuando la causa penal ostente tal relieve que, sin su previo conocimiento y decisión en el ámbito del proceso penal, resulte imposible decidir sobre lo planteado en el recurso contencioso-administrativo --o, dicho de otro modo-- cuando la resolución penal sea imprescindible para la del recurso contencioso- administrativo".

Se funda la sociedad recurrente en la existencia de prejudicialidad penal en la existencia de dos denuncias presentadas ante la Policía Nacional. Pues bien, con lo expuesto, en primer lugar, no se acredita si continua la tramitación de dichas denuncias o han sido archivadas, ni siquiera, si se han incoado diligencias previas por algún órgano jurisdiccional, y, por otro lado, no existe identidad de sujeto, pues el sujeto infractor es obvio que no sería el mismo. Así, en relación con las infracciones de la LOPD (LA LEY 4633/1999) el responsable es la entidad AVON, en tanto que el responsable penal de un eventual delito de usurpación de estado civil o estafa sería el tercero que se hubiera hecho pasar por el denunciante, por lo que con lo dicho es suficiente para desestimar el motivo de impugnación que estamos analizando. Cabe decir lo mismo respecto a las diligencias previas que se tramitan en el Juzgado de Instrucción nº. 11 de Madrid, por un ataque a los sistemas informáticos de AVON.

Por lo que procede desestimar la pretensión de suspensión del presente recurso, por la existencia de prejudicialidad penal.

QUINTO.- La primera infracción por la que se sanciona a la parte demandante se encuentra recogida en el art. 44.3.b) de la LOPD (LA LEY 4633/1999) , que establece como infracción grave: "Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo" .

Asimismo, el art. 6 de la LOPD (LA LEY 4633/1999) establece en su apartado primero que, "el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa" . A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial.

El art. 3.h) de la LOPD (LA LEY 4633/1999) define el "consentimiento del interesado" como "toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen" .

El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia.

Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en Sentencia de 28 febrero 2007 -recurso nº.236/2005 -, el consentimiento ha de ser necesariamente "inequívoco". De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento.

Así las cosas, el denunciante ha negado tener alguna relación comercial con la parte aquí recurrente, y a pesar de ello, dicha parte demandante incorporó a sus sistemas de información los datos personales del denunciante, no existiendo contrato alguno, ni fotocopia del DNI del denunciante o documento que acreditara la identidad de aquel, ni cualquier medio de prueba que demuestre que el denunciante prestó su consentimiento para el tratamiento de sus datos personales.

Debe recordarse al respecto la gravedad de la falta de diligencia en que ha incurrido la compañía sancionada, al proceder al tratamiento de los datos personales del denunciante sin contar con su consentimiento, pues no ha justificado en modo alguno la razón por la que obraban en su poder, pese a recaer sobre aquella la carga de acreditar la existencia del consentimiento inequívoco del afectado para el tratamiento de sus datos de carácter personal, que no consta.

Por tanto, cabe apreciar la existencia de la infracción que estamos analizando, habiendo prueba suficiente de cargo para destruir la presunción de inocencia.

Una vez constatado que la parte demandante realizó la conducta infractora que aparece descrita en la resolución recurrida, en el curso de este proceso no se ha puesto de manifiesto la concurrencia de circunstancias que permitan excluir la culpabilidad de la misma. Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia ( art. 28 de la Ley 40/2015, de 1 de octubre (LA LEY 15011/2015) -). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998 , "... aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa" .

Ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción, y menos aún afirmar que la entidad sancionada prestase la debida diligencia. A tal efecto, debemos insistir en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación delictiva de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya propia, y la infracción analizada trae causa, a su vez, de la pretendida existencia de una relación comercial con el denunciante, es independiente de la conducta presuntamente delictiva de un tercero.

Por tanto, cabe apreciar falta de diligencia en la actuación de la parte actora, sin que quepa apreciar falta de culpabilidad.

Por otro lado, volvemos a recordar que la carga de acreditar la existencia del "consentimiento inequívoco" , a que hace referencia el art. 6.1 de la LOPD (LA LEY 4633/1999) , recae sobre la entidad responsable del fichero o encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos ( Sentencia de esta Sección de 8 noviembre 2012 -recurso nº. 789/2010 -).

SEXTO.- La segunda infracción que se le imputa a la parte actora, se funda en la conculcación del art. 44.3.c) de la LOPD (LA LEY 4633/1999) , que tipifica como infracción grave: "Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave" .

Mientras que el art. 4 .3 de la LOPD (LA LEY 4633/1999) establece, dentro del principio de calidad de datos, la exigencia de la exactitud y veracidad de los datos: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado" .

Precepto que hay que conectar en el caso de autos, con el art. 29 de la citada Ley , que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, distingue dentro de ellos dos supuestos. Uno de los cuales es el relativo a los ficheros de solvencia patrimonial en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés, que se regulan en el apartado 2.

Estos ficheros se caracterizan porque no necesitan del consentimiento del afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (LA LEY 4633/1999) (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal.

Por otra parte, el art. 38 del RLOPD (LA LEY 13934/2007), fija los "requisitos para la inclusión de los datos" en esos ficheros, precepto que ha sido impugnado en algunos de sus apartados ante el Tribunal Supremo, habiéndose dictado la Sentencia de dicho Tribunal de 15 de julio 2010 -recurso nº. 23/2008 - que anula entre otros apartados, por disconformes a derecho, el último inciso del art 38.1.a) y el apartado 2 del citado art. 38 del RLOPD (LA LEY 13934/2007).

La redacción del art. 38 del RLOPD (LA LEY 13934/2007), tras la aplicación de la citada Sentencia de 15 de julio de 2010 , es la siguiente: "1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:

a) Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.

b) Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.

c) Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.

2. El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente" .

Y el art. 39 del citado RLOPD (LA LEY 13934/2007), a su vez, dispone: "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c) del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término prevenido para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" .

Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, se requiere que la deuda sea cierta (al inicio del apartado 1.a) del art. 38, y que haya sido previamente requerida de pago, requerimiento previo que no concurre en el supuesto de autos en relación con la inclusión de los datos del denunciante en los ficheros de morosidad.

En el caso que nos ocupa, la parte actora incorporó a sus sistemas informáticos datos personales del denunciante asociado a una deuda. Posteriormente, dicha parte informó los datos personales de la denunciante al fichero de solvencia patrimonial Asnef en relación con una deuda que no era cierta, vencida y exigible, ya que el denunciante no era distribuidor de la parte actora, por lo que cabe apreciar la existencia igualmente de dicha infracción.

Por lo demás, en cuanto a la existencia de culpabilidad de la parte actora, nos remitimos a lo expuesto en relación con la primera infracción analizada, insistiendo en que la culpabilidad de la parte actora no puede considerarse excluida ni atenuada por el hecho de que haya mediado la posible actuación fraudulenta de un tercero, pues la responsabilidad de la parte actora no deriva de la actuación de éste, sino de la suya propia.

Por lo que existe el elemento de culpabilidad en la infracción que estamos analizando, encontrándose suficientemente motivada la conducta infractora en la resolución recurrida.

SÉPTIMO.- Finalmente, la parte actora, invoca, con carácter subsidiario, que se minore las sanciones ante al total ausencia de responsabilidad, al haber sido víctima de un fraude de suplantación de personalidad, como en otros acaso ha estimado la Agencia Española de Protección de Datos.

La Administración aplica el art. 45.5 de la LOPD (LA LEY 4633/1999) , y cuantifica los importes de las sanciones en base a los siguientes argumentos: "En el caso que nos ocupa al negar el denunciante que hubiera contratado con AVON, y no haberse aportado ningún medio de prueba suficiente que acredite dicha contratación, debe considerarse vulnerado, en primer lugar, el art. 6 de la LOPD (LA LEY 4633/1999) .

No obstante se atiende a lo estipulado en el artículo 45.5.b) de la LOPD (LA LEY 4633/1999) , donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el 23/02/17, la empresa procede a dar de baja la deuda y los datos del denunciante del fichero de solvencia y crédito ASNEF con fecha de 28/02/17.

Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD (LA LEY 4633/1999) :

a).- El carácter continuado de la infracción, al estar los datos del denunciante gestionado por la empresa desde el 14/08/15 hasta el 28/02/17 (18 meses y 14 días), sin su consentimiento, (apartado 4.a agravado).

b).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d),

c).- El protocolo utilizado por la empresa AVON al realizar el tratamiento de los datos de carácter personal en el proceso de alta, a través de la Delegada de Ventas y después la confirmación a través de web no garantiza la calidad del dato por lo que es susceptible de producir situaciones de fraude (apartado j).

El balance de las circunstancias contempladas en el artículo 45 de la LOPD (LA LEY 4633/1999) , con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 de la LOPD (LA LEY 4633/1999) , permite fijar una sanción de 28.000 (veintiocho mil euros). En segundo lugar, la incorporación de los datos de la denunciante a los ficheros de morosidad en relación a una deuda que no le correspondía, supone una infracción de artículo 4.3 de la LOPD (LA LEY 4633/1999) , donde se establece que no es posible la inclusión en ficheros de solvencia patrimonial si la deuda no es cierta ni exigible respecto a la persona incluida en el mismo.

No obstante. Procede atender a lo estipulado en el artículo 45.5.b) de la LOPD (LA LEY 4633/1999) , donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el 23/02/17, la empresa procede a dar de baja los datos del denunciante del fichero ASNEF con fecha 28/02/17.

Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD (LA LEY 4633/1999) :

a).- El carácter continuado de la infracción, al estar los datos incluidos en ASNEF desde el 24/11/15 y hasta el 28/02/17, 15 meses, (apartado 4.a agravado).

b).- Por el volumen de negocio de la entidad denunciada, (apartado 4.d).

c).- El perjuicio causado a la persona interesada (apartado h).

Como criterios atenuantes, se deben considerar la NO reincidencia por comisión de infracciones de la misma naturaleza de la entidad denunciada ( apartado 4.g) del mismo artículo 45.4 de la LOPD (LA LEY 4633/1999) .

El balance de las circunstancias contempladas en el artículo 45 de la LOPD (LA LEY 4633/1999) , con respecto a la infracción cometida al vulnerar lo establecido en el artículo 4.3 de la LOPD (LA LEY 4633/1999) , en relación con el artículo 38.1.a) del RLOPD (LA LEY 13934/2007), permite fijar una sanción de 28.000 (veintiocho mil euros)" .

El principio de proporcionalidad de las sanciones comporta, según reiterada jurisprudencia del Tribunal Supremo, como la Sentencia de 12 de abril de 2012 -recurso nº. 5.149/2009 (LA LEY 43163/2012) -, entre otras, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, como dispone el número 3 del art. 131 de la Ley 30/1992, de 26 de noviembre (LA LEY 3279/1992) .

Dicho principio no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras.

Pues bien, de conformidad con las consideraciones expuestas acerca de la proporcionalidad existente entre las sanciones impuestas y la gravedad de la infracciones sancionadas atendidas las circunstancias concurrentes en el presente caso, estima la Sala que la resolución sancionadora no ha infringido el principio de proporcionalidad en la determinación de la sanciones impuestas, que resulta ponderada y proporcionada a la gravedad de las infracciones cometidas y la entidad de los hechos, sin que se aprecien razones que justifiquen su minoración. Debemos añadir simplemente que, en cuanto a la ausencia de intencionalidad, las infracciones apreciadas se pueden cometer de forma culposa, y que en este caso la falta de diligencia de la parte recurrente ha sido clara, existiendo una falta de diligencia en el tratamiento de los datos del denunciante como ya se ha expuesto anteriormente.

En consecuencia, procede desestimar el presente recurso contencioso-administrativo.

OCTAVO .- A tenor del art. 139.1 de la Ley de la Jurisdicción , procede imponer las costas procesales a la parte demandante.