1/7 Procedimiento Nº PS/00015/2017 RESOLUCIÓN: R/01784/2017 En el procedimiento sancionador PS/00015/2017, instruido por la Agencia Española de Protección de Datos a la entidad TTI FINANCE, S.A.R.L.,vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: En fecha 10/03/2016 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que TTI FINANCE, S.A.R.L.,( en adelante TTI o la denunciada) le reclama una deuda que no le pertenece y ha incluido sus datos personales en el fichero de solvencia patrimonial BADEXCUG. La denunciante añade que en el fichero BADEXCUG, asociado a su NIF, consta un domicilio en la localidad de ***LOC.1, que no se corresponde con el suyo, ubicado en ***LOC.2. Anexa a la denuncia, entre otros documentos, copia de los siguientes: El NIF; una carta de fecha 12/02/2016 que dirige a EXPERIAN BUREAU DE CRÉDITO, S.A., (EXPERIAN) y una carta de esta entidad denegándole la cancelación de sus datos del fichero BADEXCUG al haber sido confirmados por la entidad informante. EXPERIAN le comunica que sus datos personales (DNI, nombre y dos apellidos) se encuentran incluidos en el fichero de solvencia por tres deudas, todas ellas del mismo importe (109,82 euros), con la misma fecha de vencimiento (el 01/02/2011) y con la misma fecha de alta (30/03/2014) La denunciante, en contestación al requerimiento de la AEPD para que subsanara su denuncia, aportó la siguiente documentación adicional: La reclamación presentada contra TTI en la OMIC del Ayuntamiento de Madrid el 14/03/2016 en la que afirma desconocer el origen de la deuda reclamada y deduce que han suplantando su identidad. La denuncia presentada en la Comisaría de Policía de Madrid-Usera el 06/12/2010 en la que explica que era cliente de Telefónica Móviles (TME o MOVISTAR) desde cinco años antes y titular de la línea ***TEL.1. Que el día 01/12/2010 recibió una factura de su operadora atribuyéndole una línea (número ***TEL.2) que no había contratado y que dos años antes le robaron el bolso La denuncia presentada en la Comisaría de Policía de Madrid-Usera en fecha 19/12/2010, que completa la anterior, en la que manifiesta que el 16/12/2010 recibió en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 su domicilio la copia de un contrato de MOVISTAR asociado al número ***TEL.2 y que, presentada reclamación telefónica ante la compañía, le asignaron la referencia ***REF.1. Manifiesta que TME le comunicó que había existido “una usurpación de su identidad y que proceden a darlo de baja”; que el 17/12/2010 recibió un nuevo contrato, número ***TEL.3, asignándole TME a su reclamación el número ***REC.1; que dieron de alta a su nombre una nueva línea, ***TEL.4 y que MOVISTAR le informó de que todas las líneas dadas de alta sin su autorización se habían dado de baja. Varias cartas recibidas entre los años 2011 y 2012 de diversas gestoras de crédito -CREDIT& RISK SOLUTIONS, S.L., Medina Cuadros, Diagonal Recobros- en las que, en nombre de TME, le requieren el pago de deudas. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Origen de los datos 1. El documento 1 del escrito de respuesta registrado con número de entrada 230789/2016, es un testimonio notarial que acredita que el 28/02/2013 TTI FINANCE SARL (TTI), adquirió de VODAFONE ESPAÑ SA (VODAFONE), una cartera de deuda en la que constaban a nombre de la denunciante 4 expedientes de crédito. El nombre, apellidos y NIF son coincidentes con los de la denunciante pero las dos direcciones postales que figuran en el testimonio no coinciden con la facilitada por la denunciante a esta Agencia o con la que consta en su DNI. Las direcciones son: (C/...1) 2. (C/...2) 3. El documento 2 del escrito es una impresión de pantalla de los datos que de la denunciante obran en los sistemas de información de TTI donde se observa que en los cuatro expedientes figuran únicamente las direcciones citadas en el testimonio notarial. 4. El contrato de cesión de cartera fue aportado dentro de la tramitación del expediente E/04655/2013 y se ha incluido en el presente expediente una diligencia con copia del mismo. En el contrato se establece: Clausula 1.3: TTI, antes de firmar el contrato, accedió a cierta información y documentación sobre los créditos y realizó su propio análisis. Clausula 1.4: Durante el proceso de análisis anterior se puso de manifiesto que VODAFONE no disponía de la totalidad de los contratos ni las facturas de la deuda cedida. Competencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 5. TTI manifiesta en su escrito de respuesta que al ser una sociedad Luxemburguesa sujeta a la ley nacional de dicho país, esta Agencia carece de competencia con respecto a ella. Documentación sobre la deuda 6. Se aporta como documento 3 del escrito copia de un correo electrónico, en el que no consta fecha de envío, donde TTI solicita a VODAFONE información relativa a los productos o servicios supuestamente contratados por la denunciante y los documentos relativos a éstos. A fecha del presente informe TTI no ha aportado descripción de los productos o servicios asociados a la deuda ni documentación acreditativa de los contratos. 7. TTI aporta como documentos 4 a 7, copia de las cuatro facturas cuyo pago reclama al denunciante. Tres de las facturas, de fecha 26/02/2011, se refieren a los servicios prestados a las líneas ***TEL.5, ***TEL.6 y ***TEL.7. Ninguna de esas tres muestra consumos. En la cuarta factura, relativa a la línea ***TEL.8, no consta consumo de llamadas pero sí de datos. Todas las facturas van dirigidas a nombre de la denunciante, a la dirección (C/...1). Ficheros de solvencia 8. El escrito del responsable del fichero BADEXCUG aportado por la denunciante en su escrito con número de registro de entrada ***REG.1 acredita que sus datos estuvieron incluidos en el fichero al menos entre el 30/03/2014 y el 19/02/2016. En el fichero constaban los datos de la denunciante vinculados a tres deudas informadas por TTI, cada una de ellas de 109,82 euros. El domicilio que aparece en las tres deudas es el de ***LOC.1 citado previamente. 9. A pesar de haberle sido requerido expresamente, TTI manifiesta que no puede proporcionar información sobre las fechas en las que incluyó los datos de la denunciante dado que a 22/06/2016 no están incluidos “no habiéndose podido obtener información adicional de dichos ficheros ya que, tratándose de información sensible, no es facilitada por los mismos.”>> TERCERO: En fecha 09/03/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TTI FINANCE, S.A.R.L., por la presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la LOPD, infracciones tipificadas como graves en los artículo 44.3.
- b)y 44.3.
- c)de la LOPD, respectivamente. CUARTO: El acuerdo de inicio del PS/00015/2017 fue notificado por correo certificado al domicilio que TTI facilitó a esta Agencia: (C/...2). El envío se admitió en Correos el 09/03/2017 y fue entregado al destinatario el 16/03/2017 a las 11:01 horas siendo receptor “B.B.B.” con NIF ***NIF.1 QUINTO: El 06/04/2017 tuvieron entrada en el Registro de la AEPD las alegaciones de TTI al Acuerdo de Inicio del expediente sancionador -previa ampliación del plazo inicialmente concedido para formular alegaciones y la entrega de una copia del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 expediente administrativo- en las que solicita que se “decrete el sobreseimiento libre y archivo del expediente”. Invoca en apoyo de su pretensión los siguientes argumentos: a. La falta de competencia de la AEPD, pues TTI es una sociedad de nacionalidad luxemburguesa y queda sometida exclusivamente a su ley nacional de protección de datos. b. Con carácter subsidiario, la caducidad de las actuaciones previas del E/01640/2016 de las que deriva el PS/00015/2017 y solicita por tal motivo que se anule y deje sin efecto el acuerdo de inicio del expediente. c. Con carácter subsidiario, que se declare no ajustada a Derecho y por tanto, nulo y sin valor alguno el Acuerdo de Inicio del expediente sancionador dictado el 09/03/2017 en el procedimiento PS/00015/2017. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 48 de la LOPD dispone en su apartado 3 que “Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses.” Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala en su artículo 128: “1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones”. (El subrayado es de la AEPD) La Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) en su artículo 84 dispone: “1. Pondrán fin al procedimiento la resolución, el desistimiento, la renuncia al derecho en que se funde la solicitud, cuando tal renuncia no esté prohibida por el ordenamiento jurídico, y la declaración de caducidad”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El artículo 95 de la LPACAP, relativo a los requisitos y efectos de la caducidad, advierte que “3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia del interesado”. (El subrayado es de la AEPD) A tenor de la exposición precedente, toda vez que el acuerdo de inicio del PS/0015/2017 se firmó por la Directora de la Agencia Española de Protección de Datos el 9 de marzo de 2017, y tomando en consideración que en fecha 9 de septiembre de 2017 –cuando se cumplía el plazo de duración máxima del procedimiento que contempla la Ley- no se había dictado resolución sancionadora, procede declarar la caducidad del citado expediente sancionador. La consideración anterior ha de entenderse sin perjuicio de que, como se detalla más adelante, al no haber prescrito las presuntas infracciones que motivaron su apertura -la fecha estimada de prescripción es febrero de 2018- nada impide el inicio de un nuevo expediente sancionador sobre los mismos hechos (ex artículo 95.3 LPACAP III Paralelamente, procede señalar que el RLOPD en su artículo 122 dice: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 de procedimiento sancionador producirá la caducidad de las actuaciones previas”. (El subrayado es de la AEPD) Trasladando la disposición transcrita a los hechos que nos ocupan se observa que el escrito de denuncia que dio lugar al PS/00015/2017 tuvo entrada en el Registro de la AEPD en fecha 10 de marzo de 2016 por lo que el plazo de doce meses dentro del cual han de practicarse las actuaciones de investigación y tiene que dictarse el acuerdo de inicio de procedimiento sancionador así como notificarse al presunto responsable (ex artículo 122 RLOPD) finalizó el día 9 de marzo de 2016. Pues bien, la Directora de la AEPD dictó el acuerdo de inicio del procedimiento sancionador PS/00015/2017 el día 9 de marzo de 2017 y también en esa fecha se hizo la notificación a TTI, al (C/...2). Aunque la carta de la AEPD se recibió en Correos en ese mismo día, hasta el 16 de marzo de 2017 no fue recogida del Apartado de Correos -según consta en el documento expedido por Correos y Telégrafos, S.A.E., acreditativo de la entrega-, cuando se había sobrepasado en siete días el plazo máximo fijado por la norma. Resulta por ello que, en tanto la notificación del acuerdo de inicio del PS/00015/2017 a TTI tuvo lugar días después de que se cumpliera el plazo de doce meses establecido por el artículo 122.4 RLOPD, se produce el efecto jurídico contemplado esa disposición: la caducidad de las actuaciones previas. En consecuencia, se declaran caducadas las actuaciones previas efectuadas en el marco del expediente E/01640/2016, precedentes del PS/00015/2017. IV La denuncia que dio origen a las actuaciones de investigación en el marco del E/01640/2016 versó sobre la presunta comisión por TTI de dos infracciones graves de la LOPD, presuntamente del artículo 4.3, en relación con el 29.4, de la citada Ley Orgánica y en relación con el artículo 38.1.a, del RLOPD, por una parte y, por otra, del artículo 6.1 de la LOPD, siendo su plazo de prescripción (ex artículo 47.1 LOPD) de dos años. El término inicial o dies a quo del cómputo del plazo de prescripción –según se infiere de la documentación que obra en el expediente- sería, en el peor de los escenarios, el 19/02/2016, pues ha quedado acreditado que en esa fecha TTI, seguía tratando los datos personales de la afectada y atribuyéndole una deuda que no era cierta, toda vez que entonces sus datos continuaban incluidos en el fichero de solvencia BADEXCUG. Conforme al artículo 47.1 LOPD las infracciones presuntamente cometidas por TTI prescribirían como muy pronto el 19/02/2018, por lo que ningún impedimento existe para que la AEPD pueda acordar la apertura de nuevas actuaciones de investigación previa y, en su caso, la apertura de un nuevo expediente sancionador contra la citada entidad dentro del plazo de prescripción indicado. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR LA CADUCIDAD DEL PROCEDIMIENTO SANCIONADOR C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 PS/00015/2017 y el consiguiente archivo de las actuaciones practicadas conforme a los artículos 84.1 de la LPACAP y 48.3 de la LOPD en relación con el 128.2 del RLOPD. SEGUNDO: DECLARAR LA CADUCIDAD de las ACTUACIONES DE INVESTIGACIÓN PREVIA practicadas en el E/001640/2016, por el transcurso del plazo que fija el artículo 122.4 del RLOPD. TERCERO: ACORDAR que por la Subdirección de Inspección de Datos se lleven a cabo nuevas actuaciones de investigación previa en el marco del expediente E/4184/2017 al no haber prescrito las presuntas infracciones de la normativa de protección de datos de las que es presunta responsable TTI FINANCE, SARL. CUARTO: NOTIFICAR la presente resolución a A.A.A.. TTI FINANCE, S.A.R.L., y a D.ª De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es