1/6 Expediente Nº: E/03930/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad PROTOCOLO Y SERVICIOS FINANCIEROS, S.L., en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 26 de agosto de 2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que la entidad PROTOCOLO Y SERVICIOS FINANCIEROS, S.L., (la denunciada) conocida en la web como “creditorapid”, ha incluido sus datos personales en el fichero de solvencia patrimonial ASNEF asociados a un saldo impagado de 378,57 euros sin que previamente a la inclusión le hubiera requerido el pago, incumpliendo así el requisito exigido en el apartado
- c)del artículo 38.1 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), aprobado por el Real Decreto 1720/2007 (RLOPD). Acompaña a su denuncia, entre otros documentos, una copia del escrito que recibió de ASNEF EQUIFAX, S.L., por correo ordinario el 20/08/2015 que está fechado el 06/08/2015, en el que le informan de la inclusión de sus datos en el fichero ASNEF a instancia de PROTOCOLO Y SERVICIOS FINANCIEROS, S.L., con fecha de alta 05/08/2015. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<La empresa PROTOCOLO Y SERVICIOS FINANCIEROS SL, en adelante PROTOCOLO, en su escrito de fecha 14 de octubre de 2015 ha remitido la siguiente información aporta en su respuesta. 1. El requerimiento de pago se realizó por correo electrónico a través de “MailCertificado”, un servicio prestado por SERVICIOS DE MAILCERTIFICADO SL. 1.1. “MailCertificado” es descrito en el sitio web del prestador 1 como “un servicio de correo electrónico con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de apertura, dirección IP de la máquina desde la que se abrió, número de intentos de entrega y certificación de contenido” 1.2. Cuando un cliente (en este caso PROTOCOLO) desea enviar una notificación a un destinatario (en este caso la denunciante) el sistema envía un correo electrónico que no contiene la notificación sino un enlace a la notificación, que permanece almacenada en los servidores del prestador del servicio durante 5 1 https://www.mailcertificado.com C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 años. El Subinspector actuante ha podido comprobar a través de un envío recibido de MailCertificado en el ámbito de otro expediente2, que el destinatario de la notificación recibe un correo electrónico con un enlace a la misma y que dicho enlace efectivamente apunta a un recurso (la propia notificación) almacenado en el dominio mailcertificado.com. El correo electrónico MailCertificado). recibido identifica al remitente (al cliente de El Subinspector actuante pudo comprobar mediante el mensaje citado en el punto 1.2 que al acceder al enlace del primer mensaje se muestra la notificación en la que consta: correo electrónico de origen, correo electrónico de destino, fecha de envío, identificador del envío, texto del mensaje y, en su caso, ficheros adjuntos 1.3. El prestador del servicio manifiesta almacenar información sobre la negociación entre los servidores de correo electrónico, así como las respuestas que estos generan y utilizar dicha información para generar los certificados en los que pueden indicar si la notificación ha sido recibida, cuando y desde qué dirección IP. Los estados por los que pasa un correo electrónico enviado a través de este servicio, según son descritos en el sitio web del prestador del servicio son: En proceso (Se está intentado enviar notificación al destino) Enviado (Se ha enviado notificación al destino correctamente) Entregado (Se ha entregado la notificación al destinatario) Leído (El usuario ha accedido al enlace del mensaje, se especifica fecha e IP) Fallido 1.4. La información que corrobora los eventos “En proceso”, “Enviado” y “Fallido” se encuentra en el servidor de correo electrónico remitente, asumiendo que el estado fallido se produce al devolver el servidor de correo destino un mensaje de error. La información sobre el estado “Leído” se obtiene al pulsar el destinatario sobre el enlace, pues al acceder a la notificación almacenada en los servidores de MailCertificado el sistema puede registrar el evento 1.5. Puesto en contacto con los prestadores del servicio, éstos manifiestan en relación con la entrega de los mensajes y su correspondiente estado que: El servidor de Mailcertificado solicita por protocolo SMTP una confirmación de la entrega del mensaje que el servidor de correo electrónico de destino puede atender o ignorar según su configuración. En el caso de que el servidor destino responda puede hacerlo indicando que se ha entregado al servidor o que se ha entregado al destinatario al descargarlo éste en su cliente de correo. 2 E/05929/2015 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 2. Aportan copia de un certificado del servicio MailCertificado que informa de que de que un correo electrónico dirigido a B.B.B., referenciado e individualizado a nombre de la denunciante fue enviado el 4 de agosto de 2015 a las 11:52:37 horas y entregado los días 4, 6, 8 y 10 de agosto de 2015, pero no consta el estado “Leído”, que es el que implicaría que el usuario ha accedido al mensaje. (Documento 3) El correo detalle de la deuda y advertencia de que si no procede al pago en un plazo de 7 días puede ocasionar la inclusión de sus datos en ficheros de morosidad. En el caso que nos ocupa los prestadores del servicio Mailcertificado aportan copia de cuatro acuses de recibo, correspondientes a las fechas citadas más arriba en las que se informa de que el mensaje citado en el punto 1.2 (el que contiene el enlace a la notificación) fue entregado a B.B.B.. No consta que el titular del correo B.B.B. haya pulsado el enlace y accedido al contenido de la notificación. 3. Correo electrónico de 8 de julio de 2015 dirigido a referenciado e individualizado a nombre de la denunciante a la dirección del denunciante, con detalle de la deuda y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad (Documento 2). Aportan (Documento 1) copia impresa de los datos que figuran en sus sistemas relativos al denunciante donde consta domicilio (C/....1)Valencia (Valencia). En los sistemas del denunciando consta un registro con la dirección del denunciante que coincide con la facilitada por la denunciante a la Agencia y con la que figura en su D.N.I. 4. Certificado de la empresa EMFASIS BIlling & Marketing Services SL, a quien EQUIFAX IBERICA SL subcontrató la generación, impresión y puesta en correos de los requerimientos previos de pago de FERRATUM SPAIN SL, de la tramitación de la carta del denunciante con fecha 22 de julio de 2015, remitida al domicilio facilitado por la denunciante (Documento 5). Se adjunta contrato entre la FERRATUM SPAIN SL y EQUIFAX IBERICA SL de fecha 1 de noviembre de 2013 (Documento 4). Documento acreditativo del gestor postal CORREOS en el que figura la remisión de 27 documentos con fecha 22 de julio de 2015 en nombre de EQUIFAX IBERICA SL sin individualizar una referencia a la carta al denunciante, y validado por el gestor postal (Documento 6). 5. A pesar de haberle sido requerido, la entidad no proporciona ninguna información sobre el control de devoluciones de notificaciones que tiene implementado. Con fecha 5 de agosto de 2015 figura el alta de la incidencia en el fichero de solvencia ASNEF asociada al denunciante e informada por la entidad PROTOCOLO Y SERVICIOS FINANCIEROS SL por importe 378,57 euros, como acredita la notificación de alta de en el fichero aportada en el escrito de denuncia.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 122 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RLOPD) señala que: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. III De conformidad con el precepto anterior, las actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en que la denuncia o petición razonada a la que se refiere el apartado 2 del artículo 122 del RLOPD hubiera tenido entrada en la AEPD o, en caso de no existir aquellas, desde que la Directora de la Agencia acordase la realización de dichas actuaciones. Asimismo, el vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas. En el presente caso, el escrito de denuncia tiene fecha de registro de entrada en la AEPD el 26/08/2015 por lo que habiendo transcurrido el plazo de doce meses a que se refiere el artículo 122.4 del RLOPD procede declarar la caducidad de las actuaciones de investigación practicadas en el E/3930/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 IV Sin perjuicio de lo anterior, se advierte que con el objeto de comprobar si concurren en relación con los hechos sobre los que versa la denuncia circunstancias que justifiquen la apertura de un procedimiento sancionador y de fijar los aspectos relevantes en aras a la determinación de una presunta conducta infractora y del sujeto responsable la Directora de la AEPD, al amparo del artículo 122.4 del RLOPD, ha ordenado a la Subdirección de Inspección que lleve a cabo nuevas actuaciones de investigación en el marco del E/4569/2016. A ese respecto hay que indicar que conforme a la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, (LRJPAC) artículo 92.3, "La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción”. La denuncia que dio origen a las actuaciones de investigación en el marco del E/3930/2016 (expediente que ha caducado) versó sobre la presunta comisión por PROTOCOLOS Y SERVICIOS FINANCIEROS, S.L., de una infracción grave de la LOPD, presuntamente del artículo 4.3, en relación con el 29.4, de la citada Ley Orgánica, en relación asimismo con el artículo 38.1.c, del RLOPD, cuyo plazo de prescripción (ex artículo 47.1 LOPD) es de dos años, siendo el término inicial o C.C.C. del cómputo del plazo (en tanto no sea posible acreditar la fecha en la que la denunciante recibió la carta del fichero de morosos) el 6 de agosto de 2015, fecha de la carta remitida a la denunciante por ASNEF EQUIFAX a raíz de la cual tuvo conocimiento de que la denunciada había comunicado sus datos personales al fichero de solvencia. Así pues, la presunta infracción cometida por PROTOCOLOS Y SERVICIOS FINANCIEROS, S.L., prescribiría el 06/08/2017, por lo que ningún impedimento existe –de acuerdo con lo dispuesto en el artículo 92.3 de la LRJPAC- para que la AEPD pueda acordar la apertura de un procedimiento sancionador contra dicha entidad dentro del plazo de prescripción indicado. Criterio que ha sido confirmado el Tribunal Supremo en Sentencia de 12/06/2013 (Rec 18/2002), dictada en Interés de la Ley, en la que afirma taxativamente que “la caducidad declarada en un procedimiento sancionador no constituye obstáculo alguno para la posibilidad de iniciar o reiniciar otro procedimiento sobre el mismo objeto dentro del plazo de prescripción”. En el mismo sentido, por todas, STS de 24 de febrero de 2004 (Rec 3754/2001) o SAN de 15 de abril de 2010 (Rec 353/2010). En atención a lo expuesto se acuerda el archivo de las presentes actuaciones de investigación previa (E/3930/2016) por haber transcurrido el plazo de caducidad que fija el artículo 122.4 del RLOPD y se insta a la Subdirección General de Inspección de Datos a que inicie nuevas actuaciones de investigación en el marco del expediente E/4569/2016. Se le informa que en las comunicaciones que dirija a la AEPD en lo sucesivo relativas a su denuncia deberá hacer mención a las nuevas actuaciones con referencia E/4569/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO POR CADUCIDAD de las presentes actuaciones de investigación, E/3930/2016 Y ORDENAR A LA INSPECCIÓN DE DATOS QUE INICIE NUEVAS ACTUACIONES DE INVESTIGACIÓN PREVIA EN EL MARCO DEL E/4569/2016. 2. NOTIFICAR la presente Resolución a PROTOCOLOS Y SERVICIOS FINANCIEROS, S.L., y a D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD) y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es