E-05350-2015

1/8 Expediente Nº: E/05350/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad PAYMENT GESTIÓN, S.L., en virtud de la denuncia presentada por D.ª B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 19/05/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª B.B.B. (en lo sucesivo, la denunciante) en el que expone que PAYMENT GESTIÓN, S.L., ( en lo sucesivo, la denunciada o PAYMENT) ha revelado a terceras personas, sus vecinos, su condición de deudora. Manifiesta que la denunciada le reclama una deuda “ya juzgada y sentenciada” que dice haber comprado a otra empresa y afirma que ha visitado su domicilio en dos ocasiones, el 17/12/2014 y el 14/01/2015, situando en la parte externa de su buzón de correos, a la vista de quienes acceden a la finca, un documento en el que le notifican que han adquirido una deuda pendiente y una tarjeta del Grupo Torero del Moroso, y en la puerta de acceso a su vivienda una tarjeta del Grupo. Aporta con la denuncia fotografías de la puerta de entrada a una vivienda identificada con la letra “B” sobre la que aparece pegada una tarjeta del Grupo Torero del Moroso; de los buzones de un edificio con esa tarjeta pegada en el exterior y de los mismos buzones con la carta de notificación de la cesión de la deuda expuesta de la misma forma. Aporta también una declaración jurada de D. F.F.F.., vecino de la denunciante, acompañada de copia de su DNI, en la que afirma haber visto a un individuo pegando un papel en el buzón 2º B, en el que recibe el correo la denunciante, en el que se leía Grupo Torero del Moroso y le reclamaban el pago de una deuda. SEGUNDO: La Subdirección General de Inspección de Datos ha realizado las siguientes actuaciones de investigación para el esclarecimiento de los hechos: A. Se llevó a cabo en la sede social de PAYMENT GESTIÓN, S.L., en fechas 08/10/2015 y 28/10/2015, una investigación sobre el modus operandi que siguen las empresas pertenecientes al Grupo Torero del Moroso con ocasión de las acciones de recobro cuyos resultados se incorporaron al Acta de Inspección E/3701/2015-I/

1. En síntesis, se obtuvo la siguiente información
2. El citado Grupo está formado por cinco sociedades (Los Maestros del Cobro de Madrid, S.L.; Los Maestros del Cobro de Barcelona, S.L., Los Maestros del Cobro de Levante, S.L., Los Maestros del Cobro del Sur, S.L., y Payment Gestión, S.L.) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8
3. El representante de estas sociedades manifestó que El Torero del Moroso es una marca comercial que comparten las cinco sociedades; que todas las sociedades llevan a cabo acciones de recobro y que cuando un deudor cambia de lugar de residencia su expediente se traslada a la empresa que tenga asignada la zona de su nueva residencia.
4. El representante de las sociedades manifestó que cuando un cliente solicita un servicio se formaliza un contrato de prestación de servicio y se cumplimenta un impreso denominado “Ficha del deudor” en el que se incorpora información relativa a la persona física deudora o a la sociedad deudora. A ella se adjuntan la copia de las facturas pendientes que son objeto del recobro. Sin embargo, se verifica que entre la documentación entregada a la Inspección de la AEPD no existe un modelo de contrato de prestación de servicios de recobro sino el denominado “Contrato de Cesión de Créditos”.
5. Para la gestión de recobro las sociedades del Grupo cuentan con agentes con los que suscriben un contrato de trabajo que incluye una cláusula de confidencialidad que éstos han de firmar.
6. Manifiesta el representante de las sociedades del Grupo que en caso de que los agentes realicen visitas éstas se harán a los lugares de trabajo de quienes figuran como responsables de las empresas reclamadas.
7. Afirma que los datos utilizados son, además de los proporcionados por el cliente, los obtenidos a través de internet, Páginas Blancas, Informa y demás fuentes de acceso público. Declara que no está permitido hacer visitas a personas del entorno no relacionadas con la empresa deudora (tales como cónyuge, amigos etc.)
8. Sobre la persona vestida de torero indican que su función es exclusivamente publicitaria pero que nunca se informa a esta persona de los datos del deudor, limitándose a enviarles a las zonas donde se ubican los deudores. B. En relación a los hechos sobre los que versa la presente denuncia se practicaron las siguientes actuaciones:
9. Las inspectoras actuantes solicitaron al representante de PAYMENT GESTION, S.L., el acceso al expediente de recobro en el que figure como deudora B.B.B. quien ha denunciado que le están requiriendo el pago de una deuda ya juzgada y que han realizado visitas a su domicilio en fechas 17/12/2014 y 14/01/
10. La denunciante ha declarado que en la primera visita dejaron pegada en la parte exterior del buzón una notificación de cesión de crédito, a la vista de los vecinos, y en la segunda una tarjeta de visita pegada a la parte externa del buzón de correos y otra en la puerta de la vivienda. Ha aportado con la denuncia fotografías con las tarjetas y la notificación de cesión pegadas al buzón de correos y a la puerta de la vivienda. En el transcurso de la inspección se pusieron de manifiesto los siguientes hechos 1.1 C/ Jorge Juan, 6 28001 – Madrid Con fecha 17/12/2014, D. A.A.A., en representación de la empresa Motesa, S.L., suscribió un contrato con la entidad PAYMENT GESTION, S.L. Se adjunta copia del contrato denominado “Contrato de cesión de créditos”, de fecha 17/12/2014 en cuya estipulación www.agpd.es sedeagpd.gob.es 3/8 primera se recoge que “El cedente cede al cesionario los créditos que ostenta frente a terceros….”. 1.2 Se solicita el acceso a los datos existentes en el sistema informático relativos a este expediente, ante lo que manifiestan que esta información se encuentra en el fichero de la entidad ubicado en Coruña, comprometiéndose a remitir dicha información a la Agencia en el plazo más breve posible. 1.3 Con fecha 13/01/2016 se recibe correo electrónico de D.D.D., representante de la entidad PAYMENT GESTIÓN S.L., en el que comunica que no cuentan con información de la denunciante en sus registros informáticos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD se refiere en el artículo 10 al deber de secreto y dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El citado precepto tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Ese deber de sigilo resulta esencial en las sociedades actuales, cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como la intimidad o el derecho a la protección de los datos del artículo 18.4 de la CE. Derecho fundamental que a tenor de la STC 292/2000, de 30 de noviembre, “persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino”, e impide que se produzcan situaciones atentatorias frente a su dignidad. La Audiencia Nacional, de manera reiterada, ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión implica que los datos revelados hayan sido necesariamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 28/05/2009, Rec 499/2008) y pone el acento en que la infracción del artículo 10 de la LOPD exige una revelación a un tercero “no legitimado para acceder a tales datos” (SAN de 29/05/2013, Rec. 356/2012). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 En ese sentido es muy esclarecedora la SAN de 28/05/2009 (Rec 499/2008) en la que el Tribunal estimó el recurso contencioso administrativo interpuesto contra la Resolución dictada por la AEPD en la que sancionaba a una entidad financiera por vulneración del artículo 10 de la LOPD habida cuenta de que la denunciada había enviado una carta al denunciante, cliente suyo, en un sobre de ventanilla a través de la que se visualizaban no solo sus datos personales (nombre, apellidos y dirección postal) imprescindibles para dicho envío sino también el texto que decía que “a fecha de hoy, su banco nos ha devuelto impagado el recibo que habíamos presentado en su cuenta bancaria”. Sin embargo, la Audiencia Nacional estimó el recurso contencioso interpuesto por la entidad sancionada, anuló la resolución dictada por la AEPD y dejó sin efecto la sanción impuesta argumentando que la Agencia no había acreditado que los datos del denunciante que podían visualizarse a través de la ventanilla del sobre hubieran sido realmente conocidos por terceras personas. En el Fundamento de Derecho Tercero la SAN precitada dice: “La infracción tipificada en el art. 44.3.g) es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional -como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a un tercero, sin que pueda presumirse que tal revelación se ha producido. Efectivamente, la Agencia Española de Protección de Datos en su resolución se limita a poner de manifiesto que el sistema de cierre, mediante ventanilla transparente, de los sobres utilizados por el Banco para realizar determinadas comunicaciones a sus clientes pudiera dar lugar a que determinados datos personales contenidos en esas comunicaciones puedan ser conocidas por terceras personas respecto de las que deba mantenerse el secreto. No prueba sin embargo que los datos fueran efectivamente conocidos por dichos terceros. Estaríamos, por tanto, como sostiene el recurrente, ante una posible infracción de medidas de seguridad -que es una infracción de actividadpero no ante la infracción que se le imputa que exige la puesta en conocimiento de un tercero de los datos personales”. (El subrayado es de la AEPD). Ese ha sido el criterio mantenido de forma constante por la Audiencia Nacional en Sentencias posteriores, por todas la de 28/05/2009 (Rec. 499/2008) y 11/06/2009 (Rec. 500/2008). Así las cosas, la comisión de una infracción del deber de guardar secreto que recoge el artículo 10 de la LOPD, en tanto es una infracción de resultado, presupone que se ha producido una efectiva revelación de datos a un tercero no legitimado para conocerlos. De tal modo que aunque la conducta desplegada pudiera dar lugar a una revelación de datos a terceras personas, si ésta no se ha producido de manera efectivamente y ha quedado acreditada -sin que sea admisible la simple presunción- no es posible imputar una infracción del artículo 10 de la LOPD. III La denuncia que examinamos versa sobre la supuesta revelación a terceros de datos personales de la denunciante –en particular, de su condición de deudora morosaconducta de la que responsabiliza a PAYMENT, empresa que pertenece al Grupo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Torero del Moroso. La denunciante afirma que esa entidad colocó en la zona de los buzones de correos de la finca en la que vive, pegada a la parte externa de su buzón, tanto un escrito del Grupo Torero del Moroso informándole de que el crédito por importe de 12.473,25 euros del que es deudora había sido cedido a PAYMENT -y en el que se indicaba también que como legítimos acreedores le exigían el pago de la deuda y le informaban de que sería incrementada con los intereses y gastos de gestión conforme a la Ley, escrito que lleva impreso el sello de la empresa cedente y la firma de un abogado en nombre de la denunciada- como una tarjeta del Grupo Torero del Moroso con la leyenda “Rogamos se pongan en contacto con nosotros”. Y en la puerta de acceso a su vivienda otra tarjeta del Grupo. La inspección practicada por la AEPD ha permitido conocer que D. G.G.G.., en representación de MOTESA, S.L., suscribió el 17/12/2014 con PAYMENT un contrato de cesión de deuda por importe de 13.363 euros. La denunciada facilitó a la Inspección copia de las facturas a nombre de la denunciante emitidas por MONTESA, S.L., de las que resulta un saldo deudor de 12,473,25 euros. En la ficha cliente asociada a esa operación no consta que PAYMENT hubiera efectuado ninguna gestión de requerimiento de deuda ante la denunciante. Cuando la Inspección de la AEPD solicitó a PAYMENT acceder a los datos existentes en su sistema informático asociados al expediente investigado le comunicaron que la información estaba en un fichero ubicado en Coruña, por lo que a requerimiento de los inspectores actuantes se comprometieron a facilitar tal información. Sin embargo, en un correo electrónico enviado a la Subdirección de Inspección días más tarde se limitaba a decir “no poseemos registros informáticos de C.C.C.”. La denunciante ha aportado en prueba de los hechos que denuncia, además de la fotografías a las que se hace mención en el Hecho Primero de esta resolución, un escrito de D. F.F.F.., vecino suyo, en el que declara bajo juramento que ha <<visto a un individuo pegando un papel en el buzón 2ºB en el que recibe el correo B.B.B., pudiendo leer con toda claridad “Grupo Torero del Moroso” exigiéndole el pago de una deuda y montar en un coche blanco rotulado con el nombre “El Torero del Moroso>>. A tenor de la documentación que obra en el expediente, tanto la aportada por la denunciante como la recabada en el curso de la inspección practicada en la sede de PAYMENT, han de hacerse las siguientes precisiones: La primera, respecto a los documentos que presuntamente colocó un empleado de PAYMENT en la puerta de su vivienda y en el exterior del buzón en el que recibe el correo la denunciada, de los que aporta varias fotografías. Recordemos: una carta informándole de que el crédito que adeuda ha sido cedido a PAYMENT y una tarjeta de visita del Grupo Torero del Moroso. Pues bien, únicamente el primero de esos documentos, en el que sí se identifica a la denunciante como deudora, podría haber sido medio adecuado para que terceras personas conocieran esa condición. No lo sería la tarjeta de visita del Grupo Torero del Moroso, en la que no se da a conocer la condición de deudora de la denunciante limitándose a pedir que se ponga en contacto con el Sr. E.E.E. sin especificar el motivo por el cual debe hacerlo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La segunda, que no se han obtenido pruebas que permitan concluir que fue PAYMENT, a través de sus empleados, quien colocó en zonas del inmueble en el que vive la denunciante a las que los vecinos tenían libre acceso el documento informando de la cesión de la deuda. Tampoco que terceras personas hubieran conocido la condición de deudora morosa de la denunciante a consecuencia de la actuación de PAYMENT que se denuncia. Es cierto que la denunciante ha aportado una declaración jurada de D. F.F.F.., vecino suyo, junto con una copia de su DNI, en la que afirma que vio como una persona, que seguidamente se marchó en un coche con el logotipo del Torero del Moroso, colocaba en el exterior del buzón de correos el documento informando de la cesión de una deuda de la denunciante a favor de PAYMENT. No obstante, la valoración que cabe otorgar de la declaración jurada del vecino de la denunciante que ella ha aportado ha de ser congruente con el criterio adoptado por la Audiencia Nacional, Sala de lo Contencioso Administrativo, cuando el medio de prueba determinante para apreciar la comisión de una infracción del deber de secreto es la declaración jurada de un tercero. Es muy significativa en tal sentido la Sentencia de la Audiencia Nacional de 14/03/2013 (Rec.394/2011) que estimó el recurso contencioso administrativo interpuesto contra la resolución de la AEPD que sancionaba a Cofidis por vulneración del artículo 10 LOPD (por cuanto había revelado datos personales de sus clientes a terceros), anuló la Sentencia y dejó sin efecto la sanción impuesta a la recurrente. La Audiencia Nacional valoró en los siguientes términos la prueba -la declaración jurada de un hermano del denunciante- en consideración a la cual se había concluido que efectivamente la denunciada y entonces recurrente había facilitado a terceras personas datos personales de los clientes: “Considera la Sala ( ….) que efectivamente se trata de una declaración muy genérica e imprecisa. Así, por ejemplo, no consta en dicha declaración cuál era el número de teléfono del domicilio particular al que dice el declarante que le llaman, (…) Tampoco precisa en la citada declaración las fechas en las que se recibían las llamadas (…) la citada declaración aportada por el denunciante número 5 carece de consistencia para desvirtuar la presunción de inocencia que ampara a Cofidis y acreditar la infracción del deber de secreto imputada”. (El subrayado es de la AEPD). En este orden de ideas debemos indicar que en el Derecho Administrativo sancionador están vigentes -con alguna matización pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el artículo 24.2 de la Constitución, que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 absolutorio”. De acuerdo con este planteamiento, el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “
11. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” La citada SAN de 14/03/2013 (Rec. 394/2011) invocó los mismos argumentos: “El principio de presunción de inocencia recogido en el artículo 24.2 de la Constitución y 1371 de la LRJPAC, y que la doctrina del Tribunal Constitucional ha considerado aplicable al derecho administrativo sancionador (…) implica que la carga de la prueba de los hechos constitutivo de la infracción recaiga sobre la Administración…”. En atención a lo expuesto, habida cuenta de que no se han obtenido elementos probatorios de los que se infiera que terceras personas tuvieron un conocimiento efectivo de la condición de deudora morosa de la denunciante fruto de la conducta de PAYMENT sobre la que versa la denuncia examinada, no existen elementos para calificar la actuación de la denunciada de infracción del artículo 10 de la LOPD debiendo por ello acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
12. PROCEDER AL ARCHIVO de las presentes actuaciones.
13. NOTIFICAR la presente Resolución a B.B.B.. PAYMENT GESTIÓN, S.L y a D.ª De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es