1/7 Procedimiento Nº PS/00001/2018 RESOLUCIÓN: R/00916/2018 En el procedimiento sancionador PS/001/2018, instruido por la Agencia Española de Protección de Datos, a la entidad BONDORA AS. (anteriormente, Isepankur as), vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 26/05/17, tiene entrada en esta Agencia, escrito de A.A.A., donde denuncia que: “La empresa ISEPANKU AS ha autorizado un préstamo personal a un cliente sin identificar, el cual utilizó mis datos personales sin mi consentimiento para solicitar los servicios autorizados por Isepanku as. A raíz de lo sucedido, la empresa me ha incluido en el fichero ASNEF. Los hechos han sido denunciados a la Guardia Civil y el caso está siendo investigado por el Juzgado de Instrucción nº 9 de Sevilla, el 06/03/17”. Aporta, la documentación ya indicada en la incoación del expediente y en la propuesta de resolución. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa BONDORA AS, remitió la información ya indicada en la incoación del expediente y en la propuesta de resolución. TERCERO: Con fecha 13/02/18, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad BONDORA AS, por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), tipificada como grave en el artículo 44.3.c de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley, argumentándolo: “Respecto a la contratación de un crédito, BONDORA AS solicitó al cliente que acreditara su identidad aportando para ello tanto una fotocopia de su DNI como un justificante que evidenciara su domicilio. También solicitó al cliente los extractos bancarios de los últimos 3 meses y las nóminas del periodo desde octubre de 2014 hasta diciembre 2014, demostrando una diligencia debida en la gestión del préstamo. Respecto del requerimiento previo de pago, BONDORA AS indica que lo realiza mediante SMS, correos electrónicos y llamadas telefónicas pero en ningún caso justifica la recepción de los mismos por parte de cliente. También indica que el requerimiento previo de pago se realiza mediante correo ordinario. En este caso aporta carta dirigida al denunciante a su domicilio, pero NO aporta certificado de generación, impresión y puesta en el servicio de envío postales del requerimiento previo de pago; NO aporta albarán de entrega en el servicio de envíos postales referenciado y sellado por la empresa; NO aporta albarán del servicio de envíos postales referenciado y validado y NO aporta certificado de “no” devolución del requerimiento previo de pago. Documentos necesarios para poder realizar una correcta trazabilidad del requerimiento previo de pago. De la documentación remitida se deprende que en la carta de requerimiento previo de pago se le concedía un plazo para regularizar la situación de 45 días. Los datos son incluidos en el fichero ASNEF el 04/09/15 y la carta de RPP es de 18/08/15, lo que indica que los datos son incluidos en el fichero 17 días después de haber impreso la carta y por consiguiente, antes de los 45 días de margen que se le concedían en la misma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia, mediante escrito de fecha 14/03/18, formuló, las siguientes alegaciones ya expuestas en la propuesta de resolución. QUINTO: Con fecha 21/03/18, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/3496/2017 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/001/2018, presentadas por la representación de la entidad denunciada. SEXTO: Con fecha 25/04/18, se notifica la propuesta de resolución sancionadora consistente en que, por la Directora de la Agencia Española de Protección de Datos se proceda al ARCHIVO del presente procedimiento al no existir vulneración a lo estipulado en la LOPD, argumentándolo, esencialmente en que: “BONDORA-AS solicitó al futuro cliente que acreditara su identidad antes de conceder el préstamo mediante la aportación de una fotocopia de su DNI así como de un justificante que evidenciara su domicilio. También le solicitó los extractos bancarios de los últimos 3 meses y las nóminas del periodo oct-2014 a dic-2014, demostrando una diligencia debida en la contratación del préstamo. Respecto del requerimiento previo de pago antes de la inclusión de los datos del denunciante en los ficheros de solvencia patrimonial y crédito como consecuencia de su incumplimiento de las obligaciones dinerarias a partir del 01/07/15, BONDORAAS lo realiza mediante SMS, correos electrónicos y llamadas telefónicas pero en ningún caso justifica la recepción de los mismos por parte de cliente. Respecto del requerimiento previo, realizó mediante correo postal aporta carta dirigida al denunciante a su domicilio con fecha 18/08/15 y en fase de alegaciones aporta certificado de generación, impresión y puesta en el servicio de envío postales del requerimiento previo de pago y aporta certificado de NO devolución del mismo. En la carta de requerimiento previo de pago se le concedía un plazo para regularizar la situación de 45 días desde su estado en deuda, que ocurrió a partir del 01/07/15. Los datos son incluidos en el fichero ASNEF el 04/09/15 y la carta de RPP fue enviada el 18/08/15, lo que indica que los datos son incluidos en el fichero de solvencia 65 días después de haber incurrido en mora y por lo tanto, posterior al plazo concedido para la regularización de su situación, que fue de 45 días. Respecto de las alegaciones presentadas tanto por BONDORA-AS como por ADARVE CORPORACIÓN JURÍDICA, respecto al establecimiento permanente en España por parte de BONDORA, es conviene reseñar la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, emitida por su Gran Sala, en el asunto C-131/12, que dice al respecto de la directiva 95/46: “el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 El art. 4.1.
- a)de la Directiva 95/46 se interpreta por tanto, en el sentido de que se realiza un tratamiento de datos personales en un establecimiento, creado por el responsable del fichero, BONDORA AS con sede en Estonia, en otro estado miembro, en este caso en España, mediante un mecanismo para poder desarrollar la actividad que dirige a los habitantes de ese estado miembro. En el presente caso, el 18/04/16 BONDORA AS suscribe con ADARVE CORPORACIÓN JURÍDICA SL, un contrato de gestión de servicios por el cual esta última presta a BONDORA AS los servicios de: “(…) 1.1 El objeto del contrato es la prestación de servicios de cobro (en lo sucesivo Servicio de cobro), que consiste en la recopilación de los clientes (en lo sucesivo Deudor) por parte del proveedor y la administración correspondiente, manteniendo negociaciones con Deudores, concluyendo acuerdos, etc, sin asignar los reclamos. 1.2 El proveedor (ADARVE CORPORACIÓN), proporciona el servicio de cobro sobre la base de la orden escrita del Cliente (BONDORA-AS) y en nombre del Cliente en el Reino de España. 2.1. El Cliente acuerda entregar al Proveedor la información y copias de la documentación que evidencias el reclamo de la deuda sobre la base de la solicitud respectiva del Proveedor (…)”. Por lo tanto, se estaría ante un tratamiento de datos personales llevados a cabo por ADARVE CORPORACIÓN SL, en nombre de BONDORA AS, en territorio español realizado en el marco de las actividades en un establecimiento del responsable del tratamiento de los datos (BONDORA AS). El concepto de establecimiento del RLOPD indica que: “(…) se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” La Resolución 221/2009 de fecha 20/12/12 del Tribunal EconómicoAdministrativo Central dice en relación con el concepto de establecimiento permanente en el ámbito tributario que, sin ser estrictamente aplicable al caso, se encuentra en sintonía con lo establecido en el RLOPD: “Lo decisivo es que se tenga la disponibilidad de un local, lugar o espacio, cualquiera que sea el título jurídico que la proporcione. Poco importa que la empresa sea propietaria o arrendataria del local, instalaciones o medios, o disponga de ellos por otra causa. Por lo tanto, no es necesario que el uso del lugar fijo esté avalado por un contrato suscrito al efecto, de modo que, el hecho de que una empresa tenga un determinado espacio a su disposición para su utilización en actividades empresariales es suficiente para que constituya un lugar fijo de negocios". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Así, un lugar de negocios puede existir incluso cuando no se disponga ni se necesite local alguno para la realización de las actividades de la empresa. Poco importa que la empresa sea propietaria o arrendataria del local, instalaciones o medios, o disponga de ellos por otra causa. Así lo ha entendido también este Tribunal Central en resolución de 20 de abril de 2006 (R.G. 1979-03), al no considerar necesario que se ostente un título legal formal sobre las instalaciones que constituyan establecimiento permanente: "Ante todo ha de observarse que el Convenio no determina en virtud de qué título la empresa no residente ha de utilizar el lugar fijo en cuestión, siendo claro, por tanto, que no se exige titularidad dominical y ni siquiera condición de arrendatario, basta, por tanto, que disponga del lugar fijo para llevar a cabo en él su actividad (...)" Dicha resolución ha sido confirmada mediante sentencia de la Audiencia Nacional de 24 de enero de 2008, (Recurso 894/2008) que, entre otras consideraciones, indicó lo siguiente: “<<QUINTO.- Hay que preguntarse, pues, en primer lugar si (...) efectuaba toda o parte de su actividad mediante un lugar fijo de negocios en España. Esta opción se integra por tres elementos: un (
- a)lugar de negocios, que sea (
- b)fijo y en el que (
- c)se realicen actividades propias de la empresa. El primer elemento comprende cualquier espacio, instalación o medio material empleado para realizar el giro propio de la entidad, sirva o no exclusivamente a tal fin, siendo irrelevante el título por el que se dispongan, pudiendo tratarse incluso de los locales de otra compañía (...)>>." Por último, reseñar la sentencia del Tribunal de Justicia europeo (Sala Tercera) de fecha 1 de octubre de 2015, que, en el asunto C-230/14, viene a decir que dicha actividad, además de ser efectiva y real, basta que sea “mínima” utilizando los medios humanos o técnicos “necesarios para la prestación de los servicios”, y aunque se trate de una entidad “que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos relativos al tratamiento de los datos en cuestión”, tal y como se trata en el presente caso, por lo que se debe considerar a BONDORA AS, poseedora de un establecimiento permanente en España y por tanto sujeta a lo estipulado en la LOPD”. SÉPTIMO: Notificada la propuesta de resolución, la entidad BONDORA AS y a ADARVE CORPORACIÓN, NO se presenta alegaciones a la propuesta de resolución, en el periodo concedido al efecto, que finaliza el 14/05/18. HECHOS PROBADOS Previa.- El DNI indicado en la denuncia por el Sr. A.A.A. como falso y el DNI aportado por BONDORA en el periodo de investigaciones previas, se diferencian en el domicilio y nº de equipo. No obstante, la dirección indicada en el DNI aportada por BONDORA concuerda con la direcciones indicadas en las nóminas y en la factura telefónica 1º.- El día 05/02/15 BONDORA-AS, (ISEPANKUR AS), concedió a D. A.A.A., con C.C.C. un préstamo de 3.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 2º.- Antes de la concesión del crédito, BONDORA solicitó al cliente que acreditara su identidad aportando copia de su DNI y justificante que evidenciara su domicilio. También le solicitó los extractos bancarios de los últimos 3 meses y las nóminas del periodo oct-2014 a dic-2014. Documentación aportada por la empresa en la fase de actuaciones previas. 3º BONDORA aporta las órdenes de pago emitidas por el denunciante, con fechas 31/03/15 y 30/04/15 y 01/06/15. Según se desprende de la información suministrada por BONDORA, el denunciante incumplió sus obligaciones de pago a partir de 01/07/15. 4º.- El requerimiento previo de pago efectuado por BONDORA, a parte del envío de correos electrónicos a la dirección aportada por el cliente en el contrato, así como SMS al número de teléfono indicado, fue realizado mediante carta referenciada e individualizada a nombre del denunciante, fechada el 18/08/15 con el siguiente detalle: “(…) En caso de impago de la deuda pendiente nos veremos obligados a tomar los siguientes pasos para la recuperación de la deuda: 1).- Tras 45 días en deuda, procederemos a entregar sus datos al registro de impagos (…)”. 5º.- En fase de alegaciones a la incoación del expediente sancionador, la entidad BONDORA AS, ha presentado: a).- certificado de tercera entidad independiente que acredita su generación, impresión y puesta en correos (OMNIVA); b).- documento acreditativo del correspondiente gestor postal de su tramitación (OMNIVA), y c).- certificado de un control auditable devolución de dicho requerimiento previo de pago, sin que conste como devuelta la carta. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II Se imputa a BONDORA AS la comisión de una infracción del artículo 4.3 de la LOPD, donde se establece la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Por su parte, el artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. La regulación de los preceptos indicados han sido desarrollados en el RD 1720/2007, de 21 de diciembre, (RLOPD, Reglamento de desarrollo de la LOPD), artículos 38, 39 y 43. III Se inicia procedimiento sancionador contra BONDORA AS por no aportar documentación suficiente que acredite que realizara el preceptivo requerimiento previo de pago al denunciante, y por tanto se vulnera lo establecido en el artículo 4.3, en relación con el 29 de la LOPD. No obstante, en periodo de alegaciones, BONDORA AS aporta certificado de generación, impresión y puesta en el servicio de envío postales del requerimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 previo de pago; aporta albarán de entrega en el servicio de envíos postales referenciado y sellado por la empresa; aporta albarán del servicio de envíos postales referenciado y validado y aporta certificado de “no” devolución del requerimiento previo de pago. Documentos necesarios para poder realizar una correcta trazabilidad del requerimiento previo de pago. IV A tenor de las consideraciones precedentes, habida cuenta de las particulares circunstancias que concurren en los hechos sometidos a nuestra consideración y el carácter restrictivo y excepcional del procedimiento administrativo sancionador, no existen elementos para apreciar una infracción de la normativa reguladora del derecho a la protección de datos de carácter personal, por lo que debe acordarse el archivo del procedimiento. En conclusión, habida cuenta de todo lo expuesto, podemos deducir que no existe por BONDORA AS, comportamiento alguno que vulnere la normativa en materia de protección de datos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad BONDORA AS, por una supuesta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la misma Ley. SEGUNDO: NOTIFICAR la presente resolución a CORPORACIÓN. BONDORA AS y a ADARVE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es