← España

PS-00038-2016

1/16 Procedimiento Nº PS/00038/2016 RESOLUCIÓN: R/01821/2016 En el procedimiento sancionador PS/00038/2016, instruido por la Agencia Española de Protección de Datos a la entidad SECURITAS DIRECT ESPAÑA S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 3/03/2014 se recibe en el registro de la Agencia Española de Protección de Datos escrito de A.A.A. en el que se pone de manifiesto los siguientes hechos: A través de su entidad bancaria, el 19/02/2014 ha tenido conocimiento de la incorporación de sus datos en el fichero ASNEF por una deuda de 256 €. Por este motivo, en la misma fecha solicita información ante el responsable del fichero, que le informa que se ha procedido a la subsanación del error en el identificador “***NIF.1” y que los datos fueron informados por la entidad SECURITAS DIRECT ESP. Adjunta a la denuncia se ha aportado copia del escrito de 3/03/2014, contestación de EQUIFAX IBÉRICA, apreciándose que a 3/03/2014 no figuran datos con su NIF y que en el literal figura que “respecto a su solicitud de acceso, informarle que los datos que hemos procedido a subsanar fueron aportados al fichero ASNEF por SECURITAS DIRECT ESP”. En histórico de consultas aporta las que figuran en los seis últimos meses, figurando una el 19/02/2014 y otra el 20/02/2014. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas E/01745/2014, por los Servicios de Inspección de esta Agencia se solicita información A) EQUIFAX IBÉRICA con fecha 28/04/2014 responde según figura en el Informe de actuaciones previas que se transcribe: “En relación con la inclusión de datos en el fichero de morosidad - Respecto del fichero ASNEF Con fecha 25/04/2014, fecha en que se realiza la consulta en el fichero ASNEF, no figura ninguna incidencia asociada al identificador ***NIF.1 - Respecto del fichero de NOTIFICACIONES C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 Constan dos notificaciones de inclusión, cuya entidad informante es SECURITAS DIRECT ESP y cuyo identificador es ***NIF.1 asociado a B.B.B.  Con fecha de emisión 25/12/2010 e importe 174,00 €.  Con fecha de emisión 28/07/2014 e importe 83,90 €. Como domicilio de notificación figura “(C/...1) Madrid”. Este domicilio no coincide con el aportado por el denunciante a esta Agencia - Respecto del fichero de BAJAS Constan dos bajas respecto de las incidencias informadas por SECURITAS DIRECT ESP:  Con fecha de alta 24/12/2010 y fecha de baja 25/02/2011, importe 174,0 € y motivo de la baja “F.PURA”.  Con fecha de alta 26/07/2012 y fecha de baja 03/03/2014, importe 259,72 € y motivo de la baja “INCONGR”. En estas pantallas donde se visualiza las bajas asociadas a las incidencias informadas por SECURITAS DIRECT ESP consta el identificador ***NIF.1 asociado al denunciante A.A.A.. - Respecto de los derechos ARCO En el Servicio de Atención al Cliente de la entidad constan asociados a los derechos del denunciante. dos expedientes  Con fecha 19/02/2014 consta un correo electrónico remitido por el denunciante solicitando el acceso a sus datos personales ante EQUIFAX IBÉRICA SL. siendo contestado en fecha 3/032014 donde le informan que ha sido subsanado el error.  Con fecha 20, 21 y 25 de febrero de 2014 constan correos electrónicos remitidos por el denunciante solicitando el acceso y la cancelación de sus datos personales ante EQUIFAX IBÉRICA SL. y con fecha 3/03 solicitando información respecto del motivo por el cual SECURITAS DIRECT ESP informo de sus datos al fichero ASNEF cuando no ha tenido ninguna relación con esta entidad. Esta reclamación fue contestada por EQUIFAX IBÉRICA SL en escrito de fecha 7/03 donde le indican que debe dirigirse a la entidad informante. “ B) Respecto de la entidad informante SECURITAS DIRECT ESPAÑA SA manifiesta el 30/04/2014 según el informe de actuaciones previas: - “Respecto de la inclusión en ficheros de morosidad 1. En los Sistemas de Información de SECURITAS DIRECT ESPAÑA SA consta el NIF ***NIF.1 asociado al cliente B.B.B.con domicilio en “(C/...1) Madrid” como titular del servicio contratado SDVFAST con fecha de contratación 03/09/09 y fecha de baja 15/02/13. SECURITAS DIRECT ESPAÑA SA ha aportado contrato suscrito en 2009 a nombre de B.B.B.donde consta como DNI ***NIF.1 en diversos apartados. Asimismo ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 aportado dos “Parte de Servicio-Ampliación” de los años 2010 y 2011 para el domicilio mencionado y certificado emitido por la Policía en el año 2000 en el que se hace referencia a la inscripción del cliente B.B.B.con domicilio en “(C/...1)” en el libro de Registro Catálogo de Instalaciones y Revisiones. 2. A este cliente se han emitido facturas desde el 30/09/2009 hasta el 01/02/2013 resultando impagadas facturas por un importe total de 259,72 €. 3. Respecto de los contactos mantenidos con el cliente, SECURITAS DIRECT ESPAÑA ha aportado diversos contactos realizados por el Departamento de Gestión de Cobros de la entidad y otros contactos sobre incidencias técnicas. 4. SECURITAS DIRECT ESPAÑA manifiesta que no ha habido ninguna reclamación del denunciante en su entidad. “ TERCERO: Por los citados hechos se acordó el inicio del procedimiento sancionador PS/00070/2015 firmado el 26/02/2015 contra SECURITAS DIRECT ESPAÑA S.A. y EQUIFAX IBÉRICA SL por la comisión de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma. El acuerdo de inicio contra SECURITAS DIRECT ESPAÑA S.A. se dirigió a Jose Echegaray 1, Esquina Vicente Aleixandre 1, de Las Rozas, Madrid, a través de la empresa de mensajería MRW, figurando un sello de 3/03 y la observación “Dest trasladado a otra di”. El mismo envío se consiguió entregar en dicho domicilio a través del servicio de Correos el 11/03/2015 según consta en la copia del acuse rosa. EQUIFAX IBÉRICA efectuó alegaciones SECURITAS se presentaron el 30/03/2015 el 20/03/2015, mientras que El procedimiento se resuelve el 12/05/2015 con el siguiente resultado:
  2. a)Se archiva la imputación a EQUIFAX IBERICA
  3. b)Se declara la caducidad de actuaciones previas por sobrepasar estas el plazo de un año previsto en el art 122 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD), esto es, desde la presentación de la denuncia hasta la efectiva notificación del acuerdo de inicio.
  4. c)Al no constar prescrita la eventual infracción se acuerda iniciar nuevas actuaciones previas E/2930/2015 para esclarecer las circunstancias y responsabilidades por parte de SECURITAS DIRECT. CUARTO En el seno de las nuevas actuaciones previas se solicitó al denunciante copia del DNI que no figuraba en el procedimiento, mientras que a la Dirección General de la Policía se le solicitó que informara la titularidad del DNI ***NIF.1, respondiendo el 17/06/2015 que su titular es A.A.A. que efectuó su última renovación el 22/05/2012. En estas nuevas actuaciones previas mediante Diligencia de Inspección de 13/11/2015 se incorporaron a las nuevas actuaciones previas E/2930/2015 diversa documentación originaria contenida en la denuncia , las E/01745/2014 y del PS/00070/2015. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 QUINTO: Con fecha 8/02/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SECURITAS DIRECT ESPAÑA S.A., por una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  5. c)de dicha norma. SEXTO: Notificado el acuerdo de inicio, mediante escrito de fecha 3/10/2013 la denunciada alega las mismas circunstancias que alegó previamente en el PS/00070/2015, en concreto: 1) El número del DNI del denunciante figuraba en los sistemas de SECURITAS asociado a B.B.B., cliente de SECURITAS, titular de una instalación de seguridad que se dio de alta mediante contratación presencial el 30/09/2009, adjuntan copia del contrato en el que figura el mismo número de NIF que el del denunciante ***NIF.1 . Acompañan copia del contrato rellenado de forma manuscrita. 2) Detalla el proceso de contratación que entonces era manual y presencial consistente en que el comercial instalador accedía al local o vivienda del cliente para efectuar un estudio de seguridad que luego quedaba reflejado en la documentación del contrato si se produce la contratación. Seguidamente, en el supuesto de que deseara contratar, el comercial-instalador recababa los datos facilitados por el titular, verificando la identidad de este mediante la exhibición del DNI y formalizando con la firma manuscrita del cliente el contrato. Después se instala. Tras la gestión del alta se comenzó la prestación del servicio. Ante el impago del mismo, se generó una primera deuda de 5 cuotas mensuales por pago aplazado de equipo, habiendo abonado con normalidad las cuotas mensuales. Se informó inicialmente al fichero el 23/12/2010 pero abonó la deuda, procediendo a su baja del fichero. Ante los continuos impagos se incluyeron con posterioridad de nuevos los datos en dicho fichero. Aportan copia del contrato de 30/09/2009 que contiene los datos manuscritos de B.B.B., una firma, y el DNI del denunciante, acompañado de un “proyecto de instalación de seguridad” de la misma fecha con el mismo DNI. Se emitieron facturas por el servicio desde septiembre de 2009 a julio de 2012, sin que existiera contacto por parte de este manifestando algo sobre el número del NIF. El primer conocimiento del posible error se tuvo conocimiento el 3/03/2014 a través del comunicado de EQUIFAX, cancelándose el dato el mismo día. Con posterioridad a los hechos denunciados, se han reforzado los procesos de contratación, no siendo suficiente la exhibición del DNI sino que se recoge una captura de imagen del DNI a través de Tablet. Aporta copia del historial de la gestión de cobros hasta 15/02/2013 en el que figuran anotaciones como “dejo mensaje” “envío carta”. Aporta copia de historial de pagos hasta 31/07/2014 (216 y ss.) en el que desde 23/11/2012 consta impagado 259,72 € C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 Si se dio el número del NIF al fichero ASNEF lo fue, entendiendo que era el del contratante, que era el correcto, exacto y veraz, y que en materia de protección de datos actuó conforme a la normativa aplicable. Añade que concurre la circunstancia del artículo 45.5.
  6. c)de la LOPD para aplicar la reducción que pregona dada la coincidencia de apellidos de cliente y denunciante, concurriendo también falta de culpabilidad y habiendo regularizado la situación de forma diligente, no reportándole beneficio la comisión de la infracción SÉPTIMO: Con fecha 13/06/2016, se emitió propuesta con el literal: ”Que por la Directora de la Agencia Española de Protección de Datos se sancione a SECURITAS DIRECT ESPAÑA S.A. con multa de 50.000 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  7. c)de dicha norma, de conformidad con el artículo 45. 2 y 4 de dicha LOPD. Con fecha 11/07/2016 se reciben alegaciones al acuerdo reiterando lo manifestado, y señalando: 1) Fue cuando se tuvo conocimiento por primera vez, a través del escrito remitido por EQUIFAX cuando se regularizó la situación cancelando el dato y excluyendo el DNI del fichero. 2) Al producirse las contrataciones por el comercial en el domicilio se dificultaba la obtención de copia del DNI, pero se ha introducido la modalidad de contratación de que no es suficiente la exhibición del DNI al comercial sino que se captura en imagen a través de los dispositivos “Tablet” que los comerciales portan, conservando una copia de dicho documento. 3) Considera que se cumplen varios artículos del 45.4 de la LOPD para rebajar la cuantía de la sanción. a. Transcurrió muy breve periodo de tiempo entre el conocimiento de los hechos y la solución que tuvo lugar el mismo día. b. El origen de los datos que se dieron por el cliente, acreditándose le buena fe contractual. c. No ha existido reincidencia. d. El volumen de tratamientos se refiere a un solo afectado, la coincidencia de apellidos siendo SECURITAS una entidad que presta servicios a más de 800.000 clientes. e. No se han obtenido beneficios de la comisión de la infracción, no habiendo podido cobrar la cantidad adeudada por unos servicios prestados. f. No existió intencionalidad pues a ella no le reporta beneficio recabar datos inexactos de clientes para la prestación del servicio. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 1. El denunciante, A.A.A., denuncia que se apercibió por casualidad al acudir a su sucursal bancaria el 19/02/2014 que figuraban sus datos incluidos en el fichero ASNEF. Ejercitó su derecho de cancelación y obtuvo el mismo, sin que figurase a partir del 3/03/2014 (1, 3) pues el responsable del fichero ante el error en el identificador del NIF subsanó

(4). También se le indicaba en la respuesta que los datos se cedieron por SECURITAS DIRECT ESPAÑA
(4). 2. SECURITAS DIRECT ESPAÑA SA disponía del dato NIF del denunciante por figurar contenido de forma manuscrita en un contrato y en el proyecto de instalación de Seguridad, firmado el 30/09/2009 asociados al cliente titular, B.B.B. (67, 69 a 71, 212 a 213). SECURITAS indica que el mecanismo de recogida de datos entonces, era través de un comercial que pedía se le exhibiera el NIF a la persona que se desplazaba al domicilio para ofrecer el análisis o proyecto de seguridad y la firma del contrato a continuación
(204), manifestando que el proceso se ha modificado y ahora con cada contrato se registra una copia del DNI en una tablet. 3. Por el servicio contratado, SECURITAS emitió facturas desde septiembre de 2009 a julio 2012, fecha en que resolvió el contrato por impago de su titular
(205). Ante el impago intermitente de su cliente, la denunciada cedió sus datos al fichero ASNEF.
  1. La entidad encargada del fichero ASNEF, EQUIFAX, certifica a 25/04/2014, que los datos del NIF del denunciante: ***NIF.1 figuraron incluidos a instancia de SECURITAS DIRECT ESPAÑA, de 24/12/2010 a 25/02/2011 por impago de 174 € y de 26/07/2012 a 3/03/2014 por impago de 83,90 y al final en cantidad actualizada por 259,72 € (18, 20, 21,25, 30, 44, 45). A EQUIFAX, le figura el ejercicio del derecho de cancelación del denunciante el 25/02/2014 que fue contestado el 3/03/2014 (36, 37) cancelando sus datos.
  2. La D. Gral. de la Policía certifica el 17/06/2015 que el DNI que constaba en el fichero de solvencia y en el contrato y proyecto de instalación de seguridad aportado por la denunciada, número ***NIF.1 corresponde al denunciante
(183). 6. Según manifiesta la denunciada, la deuda que motiva la primera inclusión de los datos del denunciante al fichero de solvencia por 174 € correspondían al cargo por el equipo que resultó abonada, y tras la baja en fichero, se produjo una segunda inclusión de 83,90 euros que con el trascurso de las actualizaciones llegó a 259,72 €, aportando historial de pagos (204, 205, 216 a 219). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a SECURITAS DIRECT ESPAÑA S.A. la comisión de una infracción del artículo 4.3 de la LOPD como consecuencia de asociar un DNI, el del denunciante, al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 fichero de solvencia sin ser realmente el titular del contrato celebrado el 30/09/2009. El precepto señala: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” Consta acreditado en esta Agencia que las entidades asociadas a los ficheros “Asnef” y “Badexcug” suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el fichero siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. En el presente supuesto, nombre y apellidos u otra serie de datos no figuraban en los ficheros de la denunciada, constando el dato del NIF, que a la postre, mediante su inclusión en el fichero de solvencia ha identificado por dicho dato al denunciante. Pese a no corresponderse con el nombre de la persona que figuraba incluida: B.B.B., el DNI identifica al denunciante al corresponderse a su titularidad. Así sucedió cuando según manifiesta el denunciante en 2/2014 acudió a un Banco y se le manifestó que sus datos estaban en dicho fichero. Este dato NIF ha sido comunicado al responsable del fichero de solvencia, en este caso “ASNEF” a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3. d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por la denunciada puede subsumirse o no en tales definiciones legales. En el presente caso, la denunciada trató automatizadamente el dato del DNI relativo al denunciante y decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación (artículo 4.3 en relación al 29.2) al fichero común de solvencia patrimonial y crédito, en concreto al de ASNEF. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implica un tratamiento automatizado de datos como es su incorporación a una cinta magnética cuyo destino es, también, ser tratada automatizadamente por el responsable del fichero de solvencia, siendo dados de alta en los ficheros “Asnef” al culminar el proceso descrito en fecha y actualizándose periódicamente, siendo la última fecha conocida de permanencia, la de su baja. La denunciada ha comunicado el dato del DNI al fichero común, y, ha decidido sobre la finalidad del tratamiento incorporándolos a ficheros comunes de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo. III El Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, dispone: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  3. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, se requiere entre otros requisitos que la deuda sea cierta (al inicio del apartado 1.
  4. a)del artículo 38. Se analiza en este procedimiento preferentemente la certeza y veracidad de la deuda informada a ASNEF en dos ocasiones habiendo quedado acreditado que el denunciante no era titular de contrato alguno con la denunciada. Existía una deuda pero no era imputable al denunciante. Como ha señalado la Audiencia Nacional en numerosas ocasiones, entre otras, en la Sentencia de la Audiencia Nacional de 20/04/2006 (rec. 555/2004 ) y de 28/09/2012 (rec. 110/2011 ), “el que utiliza un medio extraordinario de cobro de la deuda como es el de la anotación de la deuda en un registro de solvencia patrimonial y de crédito, para evitar que no se convierta en un medio de presión sin el suficiente aseguramiento, es el que debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo).” Por lo tanto, la denunciada es responsable de haber infringido el principio de calidad de datos al incluir en ASNEF los datos del denunciante en dos ocasiones, infringiendo el artículo 4.3 de la LOPD. IV El artículo 44.3.
  5. c)de la LOPD tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La denunciada informó los datos de denunciante al fichero “ASNEF”, esto es, facilitó en dos ocasiones una información que no es exacta ni respondía a la situación actual del mismo por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.c). V En relación con la culpabilidad, como preceptúa el art. 130.1 de la Ley 30/1992, de 26/11, “solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos”, pero añadiendo que incluso "a título de simple inobservancia" A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. La denunciada empleaba según manifiesta, aunque no se puede acreditar, un control por parte del comercial instalador de los datos del contrato. Así, el DNI se cotejaba pidiendo la exhibición del mismo, resultando que esta modalidad de verificación como se demuestra en este caso, no es suficiente, pues puede dar lugar a errores tanto al copiarse, o a través de la consignación de un dato de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 un DNI conocido de alguna persona sin que sea ella. Alguna sentencia de la Audiencia Nacional se refiere al asunto, como la de 29/04/2010, Rec.700/2009, señala: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación.” Por otro lado, la sentencia de la Audiencia Nacional de 8/06/2006 (Rec. 244/04) indica que “si bien ni la normativa civil o mercantil, ni la específica aplicable a los consumidores y usuarios, establece que sea condición necesaria la solicitud de una copia del DNI o pasaporte a todos aquellos consumidores o usuarios que quieran contratar un determinado servicio con un empresario o profesional, ello no puede interpretarse, en el sentido de que le excuse de exigir medidas de prevención. Por tanto, decíamos en dicha sentencia "no es obligatoria la copia del DNI o pasaporte para contratar un servicio, pero a efectos del ámbito de la protección de datos en que nos hallamos, deben adoptarse las medidas de prevención adecuadas para verificar la identidad de una persona cuyos datos personales van a ser objeto de tratamiento, medidas que pueden plasmarse, a título de ejemplo, en la repetida copia del DNI, y que, como hemos visto, no han sido adoptadas por la entidad demandante "Se trata en definitiva de que "se verifique la identidad del solicitante de los servicios mediante la exigencia de fotocopia del documento que acredite dicha identidad, a fin de contratar y facilitar el servicio a la persona que efectivamente lo reclama". A la misma conclusión se llega en la sentencia de la Audiencia Nacional de 17/12/2010, recurso 573/2009, en un supuesto similar al aquí analizado, cuyo fundamento de derecho SEXTO indica (el subrayado es de la Agencia) : “Es cierto que las dos líneas contratadas lo fueron a través de Teabla que, conforme al contrato obrante a los folios 135 y siguientes del expediente administrativo, debe fiscalizar la veracidad o no de la documentación aportada, y para ello en el citado contrato se establece que, para la formalización de los contratos de abono al servicio, el Distribuidor obtendrá del cliente la documentación que se indica, entre otra, fotocopia del documento nacional de identidad, o del pasaporte, tarjeta de residencia y número personal de identificación de extranjeros etcétera. Para la gestión del contrato el distribuidor deberá enviar a Telefónica Móviles los contratos de abono al servicio debidamente formalizados y acompañados, entre otros, de los documentos que hemos descrito (documento nacional de identidad o pasaporte).” Sin embargo, la recurrente dio por buena una contratación en la que no consta evidencia alguna de que la persona que figura como contratante haya prestado el consentimiento pues no consta que sean comprobase el DNI ni se hiciese con una fotocopia del mismo y, en consecuencia, no remitió fotocopia del DNI a Telefónica Móviles, como se exigía en el contrato de distribución, pese a lo cual la recurrente incorporó a sus ficheros los datos de la denunciante.” En el presente supuesto, no se considera que se tomaron todas las medidas necesarias para evitar la infracción, acreditándose la falta de diligencia en la recogida de datos llevada a cabo por la denunciada, y concurriendo culpabilidad en la acción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 VI El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La denunciada solicita que se aplique el artículo 45.5 al concurrir distintas circunstancias del 45.4 de la LOPD, en concreto: 1) Coincidencia de apellidos de cliente y denunciante. El volumen de tratamientos se refiere a un solo afectado, siendo SECURITAS una entidad que presta servicios a más de 800.000 clientes. 2) No obtención de beneficios, han perdido la cantidad impagada y el servicio se prestó. 3) Falta de culpabilidad al consignarse manualmente el dato DNI en el contrato firmado, habiéndose producido abonos de facturas por parte del cliente sin que pareciera que existiera error alguno acreditándose le buena fe contractual 4) No ha existido reincidencia. 5) No existió intencionalidad pues a ella no le reporta beneficio recabar datos inexactos de clientes para la prestación del servicio. Además la denunciada indica que concurre el 45.5.
  21. b)de la LOPD: por regularización diligente de la situación en cuanto tuvo conocimiento de los hechos, cuando ejercitó el derecho de cancelación, sin volver a ser incluido. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional (AN) tiene establecido en multitud de sentencias en relación al art. 45.5 LOPD, que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992), incluido en el más general de prohibición de exceso, y reconocido por la jurisprudencia como principio general del derecho. Ha añadido la AN que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos (por todas SAN, Sec. 1ª, de 24/09/2010 (Rec 245/2010). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 La posibilidad prevista en el artículo 45.5 LOPD, no es sino consecuencia del valor justicia que informa nuestro ordenamiento jurídico (art. 1 C.E., en relación con las STC 50/1995 y 173/1995), siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. Con fundamento en dicha doctrina estima A.N. que su aplicación debe ser individualizada, en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar las circunstancias de las que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. En consecuencia, pues, no es posible establecer criterios generales para la aplicación del citado artículo 45.5 de la LOPD. En este caso concreto se alegan dos motivos para aplicación del 45.5, el primero por el cúmulo de circunstancias incluidas en el 45.4, el segundo por 45.5
  22. b)regularización de la situación irregular de forma diligente al dar de baja del fichero en el mismo momento en que ejercitó el derecho de cancelación, si bien en este caso la iniciativa partió del responsable del fichero al verificar el error en el DNI. En primer lugar, se debe señalar que una vez se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra u otras de dichas circunstancias puesto que la reducción ya se ha producido (SAN 28/04/2015). En cuanto a la regularización diligente por la baja en el fichero ASNEF cuando ejercita el derecho de cancelación, esta acción que realiza el responsable del fichero se produce tras la verificación del DNI, no pudiendo aprovechar dicha actuación la denunciada, ya que directamente no fue la que reaccionó en modo alguno. En cuanto al resto de los motivos alegados, que se incardinan en varios artículos del 45.4 de la LOPD, y en concreto respecto a la falta de intencionalidad y la apariencia de veracidad de los datos, se reitera que la mayoría de infracciones se cometen por falta de diligencia, y en el presente supuesto, como ya se ha expresado, no se considera que se tomó medida efectiva alguna para contrastar los datos y la veracidad de los mismos. Se acredita así la falta de diligencia en la recogida de datos llevada a cabo por la denunciada, y la concurrencia de concurriendo culpabilidad en la acción. En cuanto a la coincidencia de apellidos del cliente y denunciante, puede ser algo normal, y la no obtención de beneficios no resulta significativo y trascendente para la aplicación de la atenuación privilegiada que se propugna. Finalmente, la cuestión de la reincidencia está más relacionada con el agravamiento de la infracción. Por tanto, no concurre circunstancia habilitante para la aplicación del 45.5 de la LOPD alegado. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD se han de considerar: 1. En relación con la aplicación de lo dispuesto en el apartado 45.4
  23. a)se debe señalar que los datos del denunciante permanecieron en el fichero de morosos en dos ocasiones, por lo que debe ser calificada de infracción continuada constituyendo una circunstancia agravante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 2. La vinculación de la actividad de la denunciada con la realización de tratamientos de datos personales 45.4.c), pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro, constituyendo una circunstancia agravante. 3. El importante volumen de negocio 45.4.d), siendo la denunciada una de las cinco empresas más importantes del sector de seguridad privada, que es un hecho notorio, constituyendo una circunstancia agravante. 4. Sobre los perjuicios causados 45.4
  24. h)al afectado, basta con una remisión al relato de los hechos y a la denuncia, destacando que el denunciante tuvo que acudir al ejercicio de sus derechos. En este mismo sentido, se ha pronunciado la sentencia de la Audiencia Nacional en varias sentencias, entre otras la de 11/03/2010, rec 429/2009, indica que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la espera privada de los afectados por los datos tratados”. Por otro lado, en relación con la importancia de la inclusión y mantenimiento de los datos personales en ficheros de morosidad, el tema ha sido tratado en numerosas sentencias por parte de la Audiencia Nacional. Así, reiterar la doctrina que en la sentencia dictada el 16/02/2002 (recurso 1144/1999), por todas, se recoge: “... la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Y hay que recordar además de que los datos del denunciante estuvieron indebidamente incluidos en dos ocasiones, por un total de más de un año y medio en el fichero ASNEF, constituyendo una circunstancia agravante. 5. En cuanto a las medidas o procedimientos adoptados (45.4.i), en este caso habría bastado tomar las cautelas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 propias en una contratación en persona, con recogida de copia del DNI, lo que permite considerar que no es una anomalía de funcionamiento de los procedimientos, sino un claro incumplimiento de los mismos. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones reseñados, para la denunciada, se impone una sanción de 50.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SECURITAS DIRECT ESPAÑA S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  25. c)de la LOPD, una multa de 50.000 euros, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SECURITAS DIRECT ESPAÑA S.A., y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.