E-07065-2016

1/8 Expediente Nº: E/07065/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en consideración a los siguientes, HECHOS PRIMERO: D. B.B.B. (el denunciante) presentó en esta Agencia Española de Protección de Datos (AEPD), en fecha 02/12/2014, un escrito en el que manifestaba que la entidad NBQ THECNOLOGY, S.A.U., había incluido indebidamente sus datos personales en el fichero ASNEF al no haberle requerido previamente el pago y que ejercido el derecho de cancelación de sus datos ante EQUIFAX IBÉRICA, S.L., la entidad informante había confirmado la deuda y denegado su baja del citado fichero de solvencia. El Director de la AEPD, en escrito firmado el 09/02/2015, acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador ya que la entidad denunciada había considerado que la deuda incluida en ASNEF era cierta por lo que se invitaba al denunciante a acudir a la instancia arbitral o jurisdiccional competente para resolver la controversia planteada, toda vez que esta Agencia carece de competencia para pronunciarse sobre la existencia o inexistencia de las obligaciones derivadas de los contratos. El denunciante interpuso recurso de reposición en escrito que tuvo entrada en la AEPD el 01/04/2015 -recurso tramitado con la referencia RR/300/2015- en el que reiteró que el motivo principal de su denuncia era haber sido incluido en el fichero de solvencia sin que la entidad informante le hubiera requerido previamente el pago la deuda que le atribuía. En fecha 26/05/2015 el Director de la AEPD dictó resolución en la que acordó estimar el RR/300/2015. Sin embargo, por una incidencia surgida en la gestión documental, motivada por la abultada carga de trabajo dado el notable incremento de denuncias recibidas en este organismo que no ha ido acompañado de un incremento de los medios disponibles, no llegó a darse al citado expediente el curso que era procedente, de modo que no se practicaron las actuaciones de investigación previa necesarias para determinar si los hechos sobre los que versó la denuncia eran o no constitutivos de una infracción de la normativa de protección de datos de carácter personal. Transcurridos dieciocho meses desde la fecha en la que se dictó la resolución estimatoria del RR/300/2015, el 04/11/2016, D. B.B.B. se dirigió a esta Agencia interesándose por el estado de las actuaciones llevadas a cabo con posterioridad a dicha resolución. Con el propósito de realizar las actuaciones de investigación pertinentes a fin de determinar si los hechos expuestos en su día por D. B.B.B. eran constitutivos de una C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 infracción de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) la AEPD abrió el expediente de investigación E/0765/2016. SEGUNDO: La Subdirección General de Inspección de Datos procedió realizar actuaciones tendentes al esclarecimiento de los hechos y, a tal fin, efectuó en fechas 02/02/2017 y 25/2/2017 sendos requerimientos informativos a las entidades EQUIFAX IBÉRICA, S.L., encargada de tratamiento del fichero ASNEF, y NBQ THECNOLOGY, S.A.U., respectivamente. a. NBQ THECNOLOGY respondió el 21/02/2017 manifestando lo siguiente: -Aporta una captura de pantalla de sus sistemas en la que consta, asociada al NIF, nombre y dos apellidos del denunciante, la dirección postal de calle A.A.A.. Manifiesta que los datos del domicilio no habían sido actualizados en ningún momento. -Aporta copia de una carta de requerimiento de pago dirigida al denunciante, a la dirección postal que consta en sus sistemas, dice, “con carácter previo a la inclusión de sus datos personales en ficheros de solvencia patrimonial”. La carta, personalizada a nombre del denunciante y referenciada, tiene impresa la fecha de “9 de marzo de 2016”. En ella informan al destinatario que tiene una deuda pendiente de 400 euros y de que en caso de no producirse el pago antes de 15 días, sus datos serán incluidos en el fichero ASNEF. -Aportan copia de un contrato suscrito el 28/05/2014, entre EQUIFAX IBÉRICA, S.L., y NBQ TECHNOLOGY, S.A.U., que tiene por objeto la prestación de servicios de requerimiento previo de pago. Tres anexos al contrato. Una notificación a NBQ por parte de EQUIFAX comunicándole que los servicios prestados por SERVINFORM pasan a ser prestados por EMFASIS BILLING &MARKETING, S.L.U. Un certificado expedido por esta última entidad, de fecha 09/02/2017, en el que manifiesta que el 10/03/2016 se recibió un fichero remitido por EQUIFAX que contenía un total de 26416 registros y entre los que se encontraba el de referencia ***NT.1, dirigida a nombre del denunciante y al domicilio anteriormente transcrito. Que se generaron, imprimieron y pusieron a disposición del servicio de envíos postales el día 11/03/2016. Aporta copia del albarán de entrega en Correos, validado mecánicamente, en fecha 11/03/2016 de 26416 cartas. Un certificado de EQUIFAX, en su condición de prestador del servicio de Gestión de Cartas devueltas de Notificaciones de requerimiento previo de pago, de fecha 09/02/2017, en el que declara que no consta devuelta la carta con referencia ***NT.1. b. EQUIFAX IBÉRICA, S.L., (EQUIFAX), en respuesta al requerimiento informativo de la Inspección, aportó documentación de la que se desprende lo siguiente: - En fecha 06/02/2017 existe una incidencia en el fichero ASNEF, asociada al NIF del denunciante, comunicada por NBQ. Como fecha de alta de la incidencia figura el 28/03/2016; como fecha de primer y último vencimiento impagado enero de 2014; como saldo actualmente impagado el importe de 400 euros. - Aporta copia del fichero Fotocli de incidencias canceladas, auxiliar de ASNEF, en el que consta que NBQ informó al citado fichero los datos personales del denunciante en dos ocasiones: a. La primera inclusión se dio de alta el 10/04/2014 y se dio de C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 baja el 26/12/2014, siendo el importe impagado de 463,36 euros y la fecha de vencimiento primero y último el 05/01/2014. b. La segunda inclusión en ASNEF, informada por NBQ, tiene fecha de alta el 02/01/2015 y se dio de baja el 04/03/2016. El vencimiento impagado es de fecha 05/01/2014 y el saldo deudor de 400 euros. - En el fichero ASNEF, figura como dirección postal del denunciante, la calle San Cristobal 42, 2G, Villena, Alicante. A esa dirección figura que EQUIFAX remitió, a nombre del denunciante, una carta en la que notificaba la inclusión de sus datos en el fichero de solvencia, emitida el 12/04/2014. La carta no figura como devuelta. - El denunciante se dirigió a EQUIFAX mediante correo electrónico de fecha 18/09/2014 y ejerció el derecho de acceso a sus datos personales que figuraban incluidos en ASNEF. Reiteró su petición de acceso mediante nuevos correos enviados a EQUIFAX el 28/09/2014 y el 09/10/2014. EQUIFAX respondió al acceso mediante email de fecha 14/10/2014. - El denunciante ejerció el derecho de cancelación de sus datos incluidos en el fichero ASNEF mediante correo electrónico de fecha 19/11/2014. En escrito remitido por correo electrónico de fecha 27/11/2014 EQUIFAX le comunica que no puede efectuarse la cancelación de la incidencia informada por NBQ por haber sido confirmados esos datos por la entidad. - El denunciante ejerció de nuevo el derecho de acceso a sus datos en ASNEF en escrito dirigido a EQUIFAX y remitido por email de fecha 16/12/2014. La entidad responde al denunciante en escrito de fecha 16/12/201, remitido mediante un email enviado el 18/12/2014, con el que adjunta la información asociada a su identificador. - El denunciante solicita por segunda vez la cancelación de sus datos que constan en ASNEF, informados por NBQ, mediante un email enviado el 18/12/2014. EQUIFAX responde en escrito de fecha 26/12/2014, remitido por email de esa misma fecha, en el que le comunican que han procedido a la “baja cautelar” de la incidencia. -El 19/01/2015 el denunciante ejerce por tercera vez ante EQUIFAX el derecho de acceso a sus datos. Mediante email de 20/01/2015 la entidad le responde adjuntando la información asociada a su identificador. Entre la información facilitada consta la segunda inclusión de sus datos en ASNEF, informada por NBQ, con fecha de alta 02/01/2015. - Consta en la documentación facilitada por EQUIFAX los escritos del denunciante ejerciendo los derechos de cancelación (de fecha 26/01/2015); acceso/cancelación (de fecha 09/201/2015); de acceso (de fecha 27/04/2015); de acceso (de fecha 01/10/2015) y de acceso (de fecha 27/10/2016). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 II Los principios generales de protección de datos, regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional, en diversas sentencias (entre otras SAN de 24/03/2004 y 7/07/2006) ha señalado que los principios generales recogidos en dicho Título definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD) se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (….)
2. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. . El artículo 38 del RLOPD, apartado 3, añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. La infracción del artículo 4.3 LOPD se encuentra tipificada como infracción grave en el artículo 44.3.
3. c)precepto que indica: C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 “Son infracciones graves: (…)
4. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de esta Ley y las disposiciones que los desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Por otra parte, el artículo 47 de la LOPD, “Prescripción”, dispone: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido”. III Los hechos que el Sr. B.B.B. relató en su denuncia ante la AEPD versaron sobre la inclusión de sus datos personales en el fichero de solvencia patrimonial ASNEF, a instancia de NBQ TECHNOLOGY, S.A.U., con fecha de alta 26/06/2014 y sin que la entidad le hubiera requerido el pago de la deuda. Se refirieron también a la negativa de la entidad denunciada a dar de baja esa incidencia pese a que había ejercitado el derecho de cancelación ante EQUIFAX. El afectado en ningún momento llegó a plantear, ni en ese escrito ni en otros de fecha posterior, que la deuda que la entidad informante NBQ TECHNOLOGY, S.A.U., le atribuía no fuera una deuda cierta. Por otra parte, a tenor de la información ofrecida por EQUIFAX, resulta acreditado que el denunciante se dirigió a esa entidad en diversas ocasiones y ejerció los derechos de acceso y cancelación de sus datos que obraban en ASNEF comunicados por NBQ. Así, consta que el denunciante ejerció ante EQUIFAX el derecho de acceso a sus datos que figuraban en ASNEF mediante varios email remitidos en fechas 18/09/2014, 28/09/2014 y 09/10/2014 y que EQUIFAX respondió al acceso mediante un email de fecha 14/10/2014. La documentación anexa al email enviado informaba al denunciante de que sus datos figuraban incluidos en el fichero ASNEF, con fecha de alta 10/04/2014, como titular de una deuda de 463,36 euros, comunicados por NBQ. Por tanto, a la luz de la documentación que EQUIFAX ha remitido a esta Agencia queda acreditado que el 14/10/2014 el denunciante conocía su inclusión en ASNEF, a instancia de NBQ y la cuantía de la deuda que le atribuía. Es más, en fecha 19/11/2014 el denunciante ejerce ante EQUIFAX el derecho de cancelación de sus datos de ASNEF, lo que demuestra era perfectamente conocedora de que estaba incluido en el fichero de solvencia. Paralelamente, se ha de señalar que el artículo 47 de la LOPD, de la prescripción, dedica el apartado 1 a los plazos de prescripción de las infracciones. Tratándose de infracciones graves -carácter que tiene la vulneración del artículo 4.3 LOPD- se fija un plazo de prescripción de dos años. Conforme al artículo 47.2 LOPD, el plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. Por lo que concierne al término inicial del plazo de prescripción del artículo 4.3 LOPD - pese a que estamos ante una C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 infracción permanente, de modo que la prescripción comienza cuando cesan los efectos de aquella- en los supuestos en los que la vulneración del citado precepto está relacionada con la falta de requerimiento previo de pago se viene considerando que el cómputo del plazo comienza el día en que el afectado conoce, cualquiera que sea el vehículo informador, su inclusión en un fichero de solvencia patrimonial. A propósito de tal cuestión es muy esclarecedora la SAN de 03/11/2011 (Rec 611/2010) que estimó y dejó sin efecto la resolución sancionadora dictada por la AEPD, por infracción del artículo 4.3 LOPD en relación con el artículo 38.1.c, RLOPD, en cuyo Fundamento Jurídico Tercero dice lo siguiente: <<La parte recurrente comienza por invocar la prescripción de la infracción. El adecuado análisis de este motivo exige partir de lo previsto en el artículo 47 de la LOPD según el cual: "1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.(…) La determinación del "dies a quo" para el computo del plazo de prescripción de dos años debe tener en cuenta el tipo de infracción cuya sanción se recurre. La infracción administrativa por la que se sanciona a la recurrente es la prevista en el artículo 44.3.
5. d)de la Ley Orgánica de tanta cita, por infringir el principio de calidad del dato. Pues bien, el plazo de prescripción comienza a contarse desde el día en que la infracción se hubiera cometido, ex artículo 47.2 de la citada Ley Orgánica, pero la infracción no se comete, como parece entender la parte recurrente, tan solo en el momento en el que se inscribe el dato en el fichero de solvencia patrimonial sino que se sigue produciendo mientras persiste. Esta infracción participa de la naturaleza propia de las denominadas infracciones permanentes en las que su consumación se proyecta en el tiempo más allá del hecho inicial consistente en el acceso del dato personal erróneo al fichero de solvencia patrimonial, extendiéndose durante todo el periodo en el que el dato inexacto permanece en el citado fichero, es decir, hasta que deja de producirse dicha lesión a los derechos del afectado, por corregirse la irregularidad que permitió que dicho dato accediese y permaneciese inscrito en dicho fichero. (...) Ahora bien, a los efectos del cómputo del plazo de prescripción de la infracción, debe distinguirse entre los supuestos en los que el principio de calidad del dato se vulnera por la inclusión y el mantenimiento en el fichero de solvencia patrimonial de datos inexactos o no actualizados; y aquellos otros en los que la infracción del citado principio tiene su origen en la falta de requerimiento previo de pago al deudor aunque el dato de la deuda inscrito sea exacto. En el primer supuesto,(….) En el segundo -inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor-, la infracción del principio de calidad del dato encuentra su razón de ser en la falta de requerimiento previo de pago al deudor, en cuanto priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. Como ya dijimos en nuestra sentencia de 20 de abril de 2006 "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos". De modo que aquel que incluye los datos personales de una persona en un fichero de solvencia patrimonial sin haber efectuado un previo requerimiento de pago al deudor del que exista constancia, comete una infracción de la LOPD relacionada con el principio de calidad del dato, que no solo se produce en el momento de la inscripción sino que persiste mientras no se repara la irregularidad cometida. Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, ésta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción.>> Así las cosas, en el supuesto que nos ocupa es evidente que el término inicial del plazo de prescripción de la infracción relativa a la omisión del preceptivo requerimiento previo de pago, -artículo 4.3 en relación con el 29.4 de la LOPD y 38.1.c del RLOPD- , sería el 14/10/2014. Es en esa fecha cuando el denunciante conoció a través del email que le remitió EQUIFAX, en respuesta al acceso solicitado, que sus datos personales estaban incluidos en el fichero de solvencia ASNEF a instancia de NBQ. Y el término final del plazo de prescripción, a partir del cual la presunta infracción habría prescrito, se habría cumplido el 14/10/2016. Por ello se ha de subrayar que el 04/11/2016, fecha en la que el Sr. B.B.B. se dirige a esta Agencia Española de Protección de Datos interesándose por la actuaciones practicadas a raíz de que se hubiera estimado el recurso de reposición interpuesto, la infracción de la LOPD que atribuía a NBQ habría prescrito. Así las cosas, ninguna responsabilidad sancionadora cabe exigir a esa entidad en relación con la conducta examinada. El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” Por lo tanto, a tenor de lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.PROCEDER AL ARCHIVO de actuaciones de investigación efectuadas en el marco del E/ 7065/2016, relativo a los hechos que en su día denunció D. B.B.B. B.B.B., habida cuenta de que la presunta infracción de la LOPD en la que podría haber incurrido NBQ TECHNOLOGY, S.A.U., estaría prescrita desde el 14/10/2016, un mes C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 antes de que se recibiera en esta Agencia Española de Protección de Datos la solicitud informativa sobre el estado de las actuaciones practicadas a raíz de la Resolución estimatoria del RR/200/2015. 2. NOTIFICAR la presente Resolución a NBQ THECNOLOGY, S.A.U., y a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge C.C.C., 6 28001 – Madrid www.agpd.es sedeagpd.gob.es