E-04112-2013

1/11 Expediente Nº: E/04112/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades COFIDIS, S.A. SUCURSAL EN ESPAÑA, FINCONSUM E.F.C., SA, y NCG BANCO, S.A. en virtud de denuncia presentada por Dña. A.A.A., y D. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/06/2013, tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por Dª C.C.C., en calidad de tutora legal de Dª A.A.A. (en adelante denunciante 1), con NIF ***NIF.1, y D. B.B.B. (en adelante denunciante 2), con NIF ***NIF.2, en el que denuncian a las entidades NCG BANCO, S.A., (en lo sucesivo NOVACAIXA GALICIA), COFIDIS, S.A. SUCURSAL EN ESPAÑA (en lo sucesivo COFIDIS) y FICONSUM ESTABLECIMEINTO FINANCIERO DE CRÉDITO, S.A. (en lo sucesivo FICONSUM) manifestando lo siguiente: Que en septiembre de 2011 han descubierto los dos denunciantes que figuran como titulares de una cuenta corriente modalidad “onetic” de la entidad NOVACAIXAGALICIA ***CCC.1, que opera a través de internet, sin su consentimiento, sin haber firmado contrato, y que figura otro titular D.D.D. (en adelante denunciado), que fue la persona que apertura la cuenta. Según consta en certificación de código cuenta cliente, de fecha 13 de septiembre de 2011. La entidad financiera Certifica que, con fecha de 15 de septiembre de 2011, se procedió a dar de baja a los denunciantes como titulares de la citada cuenta corriente. Que figuran varios préstamos solicitados a COFIDIS a nombre del denunciante 2, sin su consentimiento, el primero en julio de 2009 y el último en julio de 2011, ninguno de ellos solicitados por el denunciante y el 19 de abril de 2013 recibe escrito en el que le requieren el pago de una deuda. Que figura un préstamo a nombre del denunciado y como cotitular la denunciante 1 en la financiera FINCONSUM, siendo incluidos sus datos personales en el fichero ASNEF y la financiera da respuesta a la reclamación de la denunciante, con fecha de 20 de septiembre de 2011, informando que no existe, en los archivos de esta entidad, dato alguno de financiación a nombre de la denunciante 1. Que los citados hechos fueron denunciados ante la Guardia Civil, el día 21 de septiembre de 2011, declarando lo siguiente: Que las personas perjudicadas son la denunciante 1 y el denunciante 2. Que la posible persona autora es el denunciado (hermano de C.C.C. e hijo de A.A.A.) y que en su día fue agente de seguros de su madre, de su hermana y de su cuñado teniendo acceso a documentación, DNI´s y cuentas bancarias. Que no han contratado la cuenta corriente, ni los préstamos personales con las entidades COFIDIS y FINCONSUM (…). Que se tramitan Diligencias Previas Procedimiento Abreviado *****/2011, en el Juzgado de Instrucción nº 1 de A Coruña, que en declaración de testigo, de fecha 18 de abril de 2013, el apoderado de NOVACAIXAGALICIA manifiesta que no se llegó a recibir el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 contrato firmado por los dos cotitulares (denunciantes). Se adjunta diversa documentación acreditativa de los hechos denunciados. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones de inspección E/4112/2013 que se transcribe: “ACTUACIONES PREVIAS DE INVESTIGACIÓN 1 Los denunciantes han informado a la Inspección de Datos, con fecha de 21 de agosto de 2013, en relación con las Diligencias Previas 0*****/2011, que se tramitan en el Juzgado de Instrucción nº 1 de A Coruña, por los mismos hechos que los investigados en las presentes actuaciones, que se están realizando actuaciones, entre otras, han solicitado oficio y declaración a NOVACAIXAGALICIA y que el denunciado ha manifestado ante el Juzgado que abrió sin autorización y falsificó la firma de su madre y de su cuñado (…). 2 CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DE LOS DENUNCIANTES EN EL FICHERO ASNEF: Los datos de los denunciantes, con fecha de 30 de julio de 2013, no se encuentran incluidos en el fichero denominado “ASNEF” (Datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias), cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L., según se detalla en el documento nº 1 y 5. Sin embargo, ha sido dada de baja una incidencias a nombre de la denunciante 1 con fecha de alta el día 5 de mayo de 2009 y de baja el día 14 de abril de 2010, de la entidad informante FINCONSUM en calidad de cotitular, por importe de 2590,22€, según consta en el documento nº 4. Si bien, del denunciante 2 no consta ningún tipo de información en el fichero ASNEF. 3 CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DE LA AFECTADA EN EL FICHERO BADEXCUG: De la documentación remitida por la compañía Experian Bureau de Crédito, S.A. responsable del fichero sectorial denominado BADEXCUG cuya finalidad es la prestación de servicios sobre solvencia patrimonial y crédito, con fecha de consulta el día 2 de agosto de 2013, no figura ni ha figurado ninguna operación impagada a nombre de la denunciante 1 ni del denunciante 2. 4 CON RESPECTO A LA COMPAÑÍA COFIDIS: La financiera ha comunicado a la Inspección de Datos, con fecha de 12 de agosto de 2013, lo siguiente:  El denunciante 2 suscribió un contrato de crédito “DINERO YA”, nº ***NÚMERO.1, con fecha de 17 de julio de 2009, por importe de 2.400€ y en la actualidad se encuentra bloqueado, cuando tuvieron conocimiento del presunto fraude, mediante burofax de fecha 15 de septiembre de 2011, que fue dado respuesta el 9 de noviembre de 2011, por lo que se paralizaron las reclamaciones de deuda y se excluyeron los datos del fichero ASNEF. Se adjunta copia del escrito de respuesta a la reclamación del denunciante 2. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 El contrato figura suscrito por el denunciante 2, cuya copia se adjunta y el DNI a los efectos de acreditar la identidad.  Añaden que no tuvieron constancia de ninguna irregularidad durante el proceso de contratación ya que se cumplieron los requisitos y procedimientos establecidos en la contratación a distancia.  En cuanto al requerimiento de pago de la deuda, de fecha abril de 2013, indican que tal y como se informó telefónicamente al denunciante 2, el día 19 de abril de 2013, y por escrito, el día 29 de abril de 2013, se debió a una incidencia interna y sin que se comunicaran sus datos personales a ficheros de cumplimiento o incumplimiento de obligaciones dinerarias. Se adjunta copia del citado escrito.  El Juzgado de Instrucción nº 1 de A Coruña en el marco de las Diligencias Previas *****/2011 ha requerido a COFIDIS el contrato original que fue remitido el día 22 de octubre de 2012, según consta en el escrito de remisión que se adjunta. 5 CON RESPECTO A LA COMPAÑÍA FINCONSUM: La financiera ha comunicado a la Inspección de Datos, con fecha de 3 de septiembre de 2013, en relación con el contrato suscrito supuestamente por la denunciante 1 lo siguiente:  El contrato nº ***CONTRATO.1 fue suscrito el día 31 de octubre de 2008, por el denunciado (titular) y la denunciante 1 (cotitular), cuya copia se adjunta junto con diversa documentación como DNI´s de ambos. El citado contrato de financiación se halla cancelado por decisión de FINCONSUM en deferencia a determinados hechos expuestos a esta entidad financiera en el año 2010, por la hija de la denunciante 1 a través del Defensor del Cliente de las Cajas de Ahorro Catalanas. La representante de la denunciante 1 acreditaba el estado de incapacidad de su madre declarado en virtud de resolución de la Xunta de Galicia de fecha 11 de diciembre de 2009, con posterioridad, por tanto, al otorgamiento del referido contrato de financiación.  Con fecha de 9 de octubre de 2012, FINCONSUM facilitó el citado contrato de financiación al Juzgado de Instrucción número 1 de A Coruña, a requerimiento de éste en virtud del procedimiento judicial seguido ante el mismo.  No obstante, en fecha 15 de septiembre de 2011 (más de un año después de haberle sido comunicada la resolución del Defensor del Cliente de las Cajas de Ahorro Catalanas), se comunicó erróneamente a la denunciante 1 la inexistencia de contrato alguno, tal error fue posteriormente subsanado mediante escrito informándole que el contrato sí existió pero que había sido cancelado en fecha 18 de junio de 2010.  Los datos relativos a la deuda dimanante del referido contrato de financiación fueron incluidos en el fichero de solvencia patrimonial y crédito ASNEF, que correspondía a los recibos no atendidos a su debida fecha de vencimiento -28 de febrero y 30 de marzo de 2009-, con motivo de la referida reclamación interpuesta ante el Defensor del Cliente, se solicitó la exclusión cautelar de sus datos del referido fichero ASNEF. 6 CON RESPECTO A NCG BANCO: La entidad financiera ha comunicado a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Inspección de Datos, con fecha de 17 de septiembre de 2013, en relación con el contrato suscrito supuestamente por la denunciante 1 lo siguiente: 1)La inclusión de D. B.B.B. y de Da A.A.A. en la cuenta n° ***CCC.1 se produjo con motivo de las solicitudes que, a tal efecto, D. D.D.D., titular de dicha cuenta y pariente de los citados Sr. B.B.B. y Sra. A.A.A., formuló a través del servicio de banca telefónica de la Caja. 2)Concretamente, la inclusión de D. B.B.B. en la cuenta referida fue solicitada por D. D.D.D. el 7 de Enero de 2009 y, posteriormente, el 4 de Enero de 2011, después de que el 19 de Abril de 2010 el propio D. D.D.D. hubiese solicitado, asimismo a través del servicio de banca telefónica de la Caja, la exclusión del citado Sr. B.B.B. de la cuenta de que se trata. En lo que respecta a Da A.A.A., su inclusión en la cuenta mencionada fue solicitada por D. D.D.D. el día 19 de Abril de 2010. 3)Por error, las altas como titulares en la cuenta referida de D. B.B.B. y de Da A.A.A. se produjeron sin que, previamente a tales altas, se hubiesen recibido en la Caja los correspondientes documentos contractuales relativos a dicha cuenca firmados por aquéllos. 4)Como consecuencia de lo expuesto en el precedente apartado 3), no nos es posible aportar copia del contrato relativo a la susodicha cuenta n° ***CCC.1 firmado por D. B.B.B. y por Da A.A.A., pues no nos consta dicha firma. 5)El 14 de Septiembre de 2011, D. B.B.B. y Da A.A.A., representada esta última por su hija Da C.C.C., dirigieron un escrito la oficina urbana n° 45 de NCG Banco, S.A. en A Coruña en el que ponían de manifiesto que, con ocasión de la recepción de la información relativa a la nueva numeración de sus respectivas cuentas resultante de la fusión de las antiguas Cajas de Ahorro Gallegas (Caixa Galicia y Caixanova), habían tenido conocimiento de la existencia de la cuenta n° ***CCC.1 y del hecho de que figuraban como titulares de la misma, solicitando por ello en dicho escrito, y entre otros extremos, que se adoptasen de inmediato las medidas oportunas para su exclusión de la cuenta mencionada. Comprobado el error padecido en las altas de D. B.B.B. y de Da A.A.A. en la cuenta mencionada, esa petición fue inmediatamente atendida por NCG Banco, S.A., de manera que el 15 de Septiembre de 2011 (es decir, al día siguiente al de la recepción de dicha petición) se procedió a dar de baja en la cuenta de que se trata a D. B.B.B. y a Da A.A.A., expidiéndose en fecha 20 de Septiembre de 2011, a solicitud de los propios interesados, certificación acreditativa de dicha baja. 6)Adjuntamos al presente copias de: - C/ Jorge Juan, 6 28001 – Madrid el antes citado escrito de fecha 14 de Septiembre de 2011, dirigido por los denunciantes a la oficina urbana n° 45 de NCG Banco en A Coruña; el nuevo escrito que, sobre el mismo asunto, el siguiente día 16 de Septiembre los denunciantes dirigieron igualmente a la referida oficina urbana n° 45; el escrito que, también acerca del mismo asunto, los denunciantes presentaron el 20 de Septiembre de 2011 ante el Servicio de Atención al www.agpd.es sedeagpd.gob.es 5/11 - Cliente de NCG Banco, S.A; y la respuesta que el Servicio de Atención al Cliente de NCG Banco, S.A. cursó a los denunciantes mediante escrito de fecha 21 de Noviembre de 2011. Adjunto a dicho escrito, el Servicio de Atención al Cliente de NCG Banco, S.A. aportó la copia del certificado de fecha 20 de Septiembre de 2011 acreditativo de la exclusión de D. B.B.B. y Dª A.A.A. de la cuenta n° ***CCC.1, así como el certificado de fecha 14 de Noviembre de 2011, relativo a la falta de constancia de que el documento "Adeudo por Domiciliaciones" del que los denunciantes habían hecho entrega al citado Servicio de Atención al Cliente, hubiera sido emitido por la entidad Caíxa Galicia. Acompañamos también al presente copia de tales certificados de 20 de Septiembre y 14 de Noviembre de 2011. 7)La precitada cuenta n° ***CCC.1 figura cancelada en los sistemas de NCG Banco, S.A. Según consta en dichos sistemas, la cancelación de la misma tuvo lugar en fecha 4 de Junio del pasado año 2012. 8)En lo que respecta al procedimiento judicial Diligencias Previas 00*****/2011, del Juzgado de Instrucción n° 1 de A Coruña, les participamos que NCG Banco, S.A. no es parte en dicho procedimiento judicial.” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la LOPD dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Se puede afirmar, tal y como tiene sentado consolidada jurisprudencia del Tribunal Supremo - por todas las Sentencias de 8 de febrero de 1.964, 26 de mayo de 1.986 y 11 de junio de 1.991 - en interpretación del artículo 1.253 del Código Civil, que existen tres modos o formas básicas del consentimiento: expreso, manifestado mediante un acto positivo y declarativo de la voluntad; tácito, cuando pudiendo manifestar un acto de voluntad contrario, éste no se lleva a cabo, es decir, cuando el silencio se presume o se presupone como un acto de aquiescencia o aceptación; y presunto, que no se deduce ni de una declaración ni de un acto de silencio positivo, sino de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación. A efectos de la Ley Orgánica 15/1999 y con carácter general, son admisibles las dos primeras formas de prestar el consentimiento. En este sentido la Sentencia de la Audiencia Nacional de 21 de noviembre de 2007 ( Rec 356/2006) en su Fundamento de Derecho Quinto señala que “ por lo demás, en cuanto a los requisitos del consentimiento, debemos señalar que estos se agotan en la necesidad de que este sea “inequívoco”, es decir, que no exista duda alguna sobre la prestación de dicho consentimiento, de manera que en esta materia el legislador, mediante el articulo 6.1 de la LO de tanta cita, acude a un criterio sustantivo, esto es, nos indica que cualquiera que sea ,la forma que revista el consentimiento éste ha de aparecer como evidente, inequívoco – que no admite duda o equivocación- , pues éste y no otro es el significado del adjetivo utilizado para calificar al consentimiento. Por tanto, el establecimiento de presunciones o la alusión a la publicidad de sus datos en otro lugar resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar, esto es, que el poder de disposición de los datos corresponde únicamente a su titular” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 III De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por NOVACAIXAGALICIA, COFIDIS y FINCONSUM puede subsumirse o no en tales definiciones legales, es decir, si son responsable del fichero y/o tratamiento, y en caso afirmativo si están o no legitimadas para el tratamiento de datos de los denunciantes, y por ende verificar la prestación del consentimiento de éstos o la ausencia del mismo. IV El artículo 44.3.
2. b)de la LOPD considera infracción grave “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” La Audiencia Nacional ha manifestado, en su Sentencia de 22/10/03, que “la descripción de conductas que establece el artículo 44.3d) de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos, realizando envíos publicitarios.” En el presente caso las actuaciones de inspecciones acreditan que NOVACAIXAGALICIA, COFIDIS y FINCONSUM vulneraron el principio de consentimiento recogido en el artículo 6 de la LOPD según se detalla a continuación. Con respecto a NOVACAIXAGALICIA la propia entidad reconoce que el alta de los denunciantes como cotitulares de la cuenta n° ***CCC.1 se produjo sin que existieran documentos contractuales firmados por éstos. Así pues la entidad no contaba con el consentimiento de los denunciantes para el tratamiento de sus datos por cuanto éstos lo niegan y no se ha aportado prueba alguna que lo acredite, ni tampoco existía una relación contractual entre las partes que eximiría a NOVACAIXAGALICIA del requisito del consentimiento para el tratamiento de los datos personales de los denunciantes (artículo 6.2 LOPD). Asimismo la entidad financiera acredita que en fecha 15/09/2011 los denunciantes fueron dados de baja como cotitulares de la citada cuenta bancaria, tras recibir el día anterior la reclamación de los denunciantes, resultando por tanto que la entidad atendió su reclamación en el plazo de un día. En este punto debe recordarse lo establecido en el artículo 47 de la LOPD: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.” NOVACAIXAGALICIA cesó en el tratamiento sin consentimiento de los datos personales, de los denunciantes al darles de baja como cotitulares de la cuenta bancaria en fecha 15/09/2011, por lo que la presunta infracción del artículo 6.1 de la LOPD prescribió en fecha 14/09/2013 conforme a lo dispuesto en el citado artículo 47 de la LOPD. En este punto cabe señalar que los denunciantes afirman que en fecha 13/09/2011 tuvieron conocimiento de los hechos denunciados ante esta Agencia, formulando denuncia el 14/06/2013 y teniendo entrada en esta Agencia el 20/06/2013. Esto es, la denuncia se presentó más de 21 meses después de de conocer los hechos y menos de 3 meses antes que se produjera la prescripción sin tiempo suficiente para que esta Agencia realizara las pertinentes actuaciones de inspección. Con respecto a COFIDIS y FINCONSUM que asimismo trataron sin consentimiento los datos personales de los denunciantes vulnerando el principio del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 consentimiento recogido en el artículo 6 de la LOPD, a la vista de sus alegaciones y pruebas aportadas (fotocopia del DNI de los denunciantes, nóminas y justificantes bancarios de titularidad de cuenta), cabe cuestionar si ha existido culpabilidad de dichas entidades en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 202 y 13 de abril y 18 de mayo de 2005). Asimismo, en cuanto a la buena fe, la Audiencia Nacional en su Sentencia de 24 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 de mayo de 2002 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. Conforme a este criterio, es evidente que documentación aportada tanto por COFIDIS y FINCONSUM les indujeron actuar, en el convencimiento de que contaban con el consentimiento de los titulares de los datos sin que pudiera inferirse de la misma que se trataba de otra persona que suplantaba la identidad de los titulares de los datos A este respecto cabe señalar lo resuelto por la Audiencia Nacional, en sentencia de fecha 02/03/09: “...esta Sala considera que en el presente supuesto concurren una serie de especiales circunstancias, que han quedado acreditadas y que ponen en evidencia la ausencia de culpabilidad de la entidad actora respecto de las graves irregularidades cometidas al suscribir el contrato de financiación origen de este pleito. Y ello puesto que dicho contrato se firmó en los locales de la entidad vendedora, haciendo figurar como cotitular a una persona que no estaba presente en dicho momento, y permitiendo aportar como documentación acreditativa de solvencia de los compradores, la declaración de IRPF perteneciente a dicha persona ausente. Y no solo ello, sino que incluso se permitió que dicho contrato fuera firmado, en lugar de por el repetido cotitular, por la hija de éste, suplantando su personalidad. Con independencia de la responsabilidad que respecto a dichos hechos pueda ostentar la entidad vendedora de los muebles, que no compete aquí dilucidar, lo cierto es que esta Sala considera excesivo exigir también en este caso, a la financiera actora, la comprobación fehaciente de dicha prestación del consentimiento inequívoco por parte del cotitular del contrato de financiación. . . En definitiva, entendemos que la ahora recurrente actuó con el convencimiento legítimo de que el repetido consentimiento, por parte del Sr. xxxx, había sido prestado en el acto de la firma, tal y como la empresa mediadora le dio a entender con la remisión no solo del contrato, supuestamente firmado por él (y realmente firmado por su hija) sino también de la documentación adjuntada al mismo, y en la que se basó tal Santander Consumer para conceder el préstamo” En consideración a todo lo expuesto anteriormente se considera que COFIDIS y FINCONSUM no son responsables de la presunta infracción del 6.1 de la LOPD, infracción que, como anteriormente se ha argumentado se encuentra prescrita en el caso de NOVACAIXAGALICIA, sin perjuicio de las actuaciones que, sobre los hechos denunciados, está conociendo la jurisdicción penal. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a COFIDIS, S.A. SUCURSAL EN ESPAÑA, FINCONSUM E.F.C., SA, NCG BANCO, S.A. y a Dña. A.A.A. y D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es