← España

PS-00045-2019

1/9 Procedimiento Nº: PS/00045/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/0045/2019, instruido por la Agencia Española de Protección de Datos a LINDORFF HOLDING SPAIN, S.A.U. (en la actualidad INTRUM), vista la denuncia presentada por Dña. A.A.A. (en lo sucesivo la reclamante), y en base a los siguientes ANTECEDENTES PRIMERO: El 26/07/2018 tiene entrada en esta Agencia Española de Protección de Datos escrito de la reclamante, en el que reclama a la entidad LINDORFF HOLDING SPAIN, S.A.U., (en la actualidad INTRUM y en lo sucesivo LINDORFF), por los siguientes hechos: La inclusión de sus datos de carácter personal en el fichero ASNEF por una deuda a instancia de la entidad LINDORFF; deuda que no es cierta no habiendo sido notificada de la inclusión en el fichero ni requerida para su pago por la entidad acreedora, que desconoce quién es; que solicitada la cancelación de los datos a EQUIFAX IBERICA, S.L. le ha respondido comunicándole la baja cautelar de la deuda con LINDORFF, inclusión que le ha perjudicado en operaciones con otras entidades. SEGUNDO: A la vista de los hechos denunciados en la reclamación, de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. El 26/09/2018 fue trasladada a LINDORFF la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. LINDORFF, en escrito de 29/10/2018, manifiesta en respuesta al requerimiento de información de la AEPD lo siguiente: que Liberbank y el Banco Castilla La Mancha celebraron con LINDORFF elevaron a escritura pública de fecha 21/04/2017 la adquisición de la cartera de créditos entre el que se encontraba el correspondiente a la reclamante; que por tanto LINDORFF gestiona el citado crédito como nuevo acreedor; que el 13/072018 recibió de Equifax Ibérica, S.L. solicitud de confirmación de los datos que figuran en el fichero ASSNEF por solicitud de cancelación a instancias de la reclamante; que LINDORFF inició procedimiento interno para determinar la verificación de la duda, procediendo a la paralización de la gestión y baja cautelar den los ficheros de solvencia; que tras las comprobaciones oportunas se concluyó que la deuda era liquida, vencida y exigible. Asimismo, en escrito de 07/11/2018 LINDORFF aporta el acuse de 29/10/2018 relativo a la respuesta ofrecida a la reclamante. TERCERO: Con fecha 24/06/2019 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1.

  1. a)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  2. a)del citado RGPD. CUARTO: Notificado el acuerdo de inicio, LINDORFF, solicito mediante escrito de fecha 25/06/2019 copia del expediente y ampliación del plazo de alegaciones; el 02/07/2019 le fue trasladada al representante del reclamado tanto la copia como la ampliación solicitada. El 15/07/2019 el representante del reclamado formuló en síntesis las siguientes alegaciones: que no ha incumplido disposición alguna del RGPD; que recibido el requerimiento de la Agencia se procedió a determinar la verificación de la deuda, paralizando su gestión y concluyendo que era cierta, liquida y exigible; que la entidad ha tratado los datos de la reclamante porque los mismo fueron cedidos por Liberbank en consideración al contrato de cesión suscrito entre ambas entidades; que dispone de un interés legítimo para el tratamiento con la finalidad del cobro de la deuda por procedimientos judiciales y extrajudiciales; además, LINDORFF, pese al contrato de cesión solicito al cedente el contrato que dio origen a la deuda pero a pesar de los esfuerzos realizados aquél no respondió; que existe una falta de culpabilidad de la entidad al actuar en la condición de cesionario de la deuda; que sean archivadas las actuaciones presentes. QUINTO: Con fecha 31/07/2019 se inició un período de práctica de pruebas, acordándose las siguientes -Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 -Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por LINDORFF, y la documentación que a ellas acompaña. -Solicitar al reclamado, copia del contrato de cesión suscrito con LIBERBANK. El 06/08/2019 LINDORFF dio respuesta a la prueba formulada cuyo contenido obra en el expediente. SEXTO: De conformidad con lo señalado en el artículo 89 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo LPACAP), se procede a dictar resolución con finalización del procedimiento y archivo de las actuaciones, al ponerse de manifiesto durante la instrucción las siguientes circunstancias: que los hechos probados no constituyen, de modo manifiesto, infracción administrativa. HECHOS PROBADOS PRIMERO. El 26/07/2018 tiene entrada en esta Agencia Española de Protección de Datos escrito de la reclamante, en el que reclama que LINDORFF ha incluido sus datos de carácter personal en el fichero ASNEF por una deuda que no es cierta, no habiendo sido notificada la inclusión en el fichero ni requerida para su pago por la entidad acreedora, que además desconoce quién es; que solicitada la cancelación de los datos a EQUIFAX le han comunicándole la baja cautelar de la deuda, inclusión que le ha perjudicado en operaciones con otras entidades. SEGUNDO. Consta que los datos de carácter personal de la reclamante fueron incluidos en el fichero ASNEF a instancias de LINDORFF a consecuencia de una deuda de 345,37 euros siendo la fecha de alta el 02/11/2017. TERCERO. LINDORFF ha informado que Liberbank y Banco Castilla-La Mancha cedieron a LINDORFF mediante contrato formalizado en escritura pública una cartera de créditos entre el que se encontraba un crédito por importe de 345,37 euros frente a la reclamante y que ha gestionado el crédito como responsable del tratamiento hasta el 23/07/2018. También señala que el 13/07/2018 recibió de EQUIFAX IBERICA, S.L., encargado del fichero ASNEF, comunicación solicitando confirmación de los datos que figuraban en el fichero por solicitud de cancelación, por lo que se inició un procedimiento interno para la verificación del crédito procediendo a la paralización de la gestión y a la baja cautelar en ASNEF el 23/07/2018. Continua que tras las comprobaciones oportunas concluyó que la deuda era cierta vencida y exigible. CUARTO. Consta copia de los e-mails cruzados de LINDORFF y LIBERBANK en relación con la deuda de la reclamante. El 16/07/2018 LINDORFF le remite e-mail y pregunta sobre la deuda indicando: “Hemos recibido a través de Equifax reclamación por parte del titular y necesitaríamos que nos indicaras si la deuda es exigible o no”, no constando respuesta alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 El 04/10/2018 LINDORFF le remite e-mail y pregunta sobre la misma cuestión: “Debemos dar respuesta a denuncia de la AEPD, por lo que necesitaríamos que nos indicaran si la deuda es exigible y nos aportaran los movimientos que originaron la deuda”. El 22/10/2018, LIBERBANK responde por la misma vía señalando que: “No disponemos de ninguna información que indique lo contrario”. QUINTO: Consta que LINDORFF remitió a LIBERBANK nuevos e-mails los días 25/06/2019, 01/07/2019 y 15/07/2019 en los que le solicitaba que le remitieran las evidencias sobre la existencia de la deuda cedida en virtud del contrato de cesión suscrito por ambas entidades, no constando respuesta alguna a los citados correos. SEXTO: Consta aportada certificación de LIBERBANK señalando que el contrato de Tarjeta de Crédito VISA número XXXX.XXXX.XXXXXXXXXX a nombre de la reclamante presentaba a 21/04/2017 una deuda de 345,37 euros e impresiones de pantalla de los movimientos de la tarjeta asociada al contrato. SEPTIMO: Consta carta informativa de fecha 05/06/2017 remitida al domicilio de la reclamante en la que se le informaba de la cesión de la deuda de LIBERBANK a LINDORFF. LINDORFF ha aportado escrito de SERVINFORM como prestador del envío de requerimientos de pago y cesión de créditos de LINDORFF en el que señala que el proceso de generación, impresión y puesta en correos de la carta de requerimiento anterior se realizó sin que se produjesen hechos que impidiesen el normal desarrollo del mismo; el albarán de entrega, de fecha 09/06/2017, admitido por la oficina postal debidamente validado y, la certificación de EQUIFAX de que la carta dirigida a la reclamante, con referencias NT17060113333 no había sido devuelta por motivo alguno al apartado de Correos designado al efecto. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece en su artículo 89, Propuesta de resolución en los procedimientos de carácter sancionador, apartado 1, lo siguiente: “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
  3. a)La inexistencia de los hechos que pudieran constituir la infracción.
  4. b)Cuando los hechos no resulten acreditados.
  5. c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
  6. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
  7. e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción”. III El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán:
  8. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia (…)
  9. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…) 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (responsabilidad proactiva)” A su vez en el artículo 6, Licitud del tratamiento, del RGPD establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” El artículo 4 del RGPD, Definiciones, en su apartado 11, señala que: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 le conciernen”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. Y el artículo 20, Sistemas de información crediticia, que establece: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  12. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  13. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  14. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. (…) 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 IV En el presente caso, la reclamación examinada versa sobre la ilicitud en el tratamiento de los datos personales de la reclamante llevada a cabo por LINDORFF materializada en la inclusión de los datos de carácter personal en el fichero ASNEF por una deuda que no consta sea cierta, vencida y exigible. Como prueba del tratamiento de los datos efectuado por el reclamado nos remitimos a la documentación que obra en el expediente, especialmente la aportada por el encargado del fichero ASNEF señalando que los datos de carácter personal de la reclamante fueron incluidos en el fichero ASNEF a instancias de LINDORFF a consecuencia de una deuda de 345,37 euros siendo la fecha de alta el 02/11/2017. En el acuerdo de inicio del presente procedimiento se señalaba que el contrato del que trae causa el origen de la deuda y que se atribuyó a la reclamante, permaneciendo asociada a sus datos personales en el fichero de información crediticia, no ha sido acreditado. En tanto no consta que la reclamante consintiera en la contratación la deuda derivada de dicho contrato le es ajena. La atribución a la reclamante de la citada deuda es un dato inexacto. Es por ello que la conducta de la reclamada contraria al principio de licitud ha consistido en comunicar a un sistema de información crediticia (el fichero ASNEF) una deuda que, respecto al supuesto deudor, la reclamante, no era cierta, ni vencida ni exigible. Además, la entidad no ha aportado ni acreditado las comprobaciones por las que determinó y concluyó que la deuda era liquida, vencida y exigible. El documento que la reclamada ha aportado a la Agencia se ha centrado exclusivamente en la escritura de cesión de créditos suscrita con Liberbank; certificado de la entidad crediticia manifestando que el contrato a nombre de la reclamante presentaba a 21/04/2017 una deuda de 345,37 euros e impresiones de pantalla de sus sistemas referidas a los movimientos realizados con la tarjeta asociada al contrato de cuenta; sin embargo, no consta prueba alguna de la que se desprenda que dicha deuda sea atribuible a la reclamante. No obstante, de la documentación que obra en poder de esta Agencia y que ha sido aportada por el reclamado, evidencia que a pesar de lo que antecede desplegó la diligencia mínima que resultaba procedente atendidas las circunstancias del caso, lo que nos impide apreciar en el supuesto examinado la concurrencia de culpa o negligencia imputable a la citada entidad, necesarias para poder exigir responsabilidad administrativa por una conducta que, en principio, es antijurídica. Como consta en los hechos probados LINDORFF ante la comunicación recibida del encargado del fichero ASNEF, EQUIFAX solicitando la confirmación de los datos vinculados a la reclamante consecuencia del ejercicio del derecho de cancelación formulado por la misma el 12/07/2018, paralizó la gestión procediendo a la baja cautelar en el fichero y se dirigió al cedente de la deuda mediante e-mails de 16/07/2018 y el 04/10/2018 solicitando información acerca de si la deuda era cierta y exigible, respondiendo LIBERBANK el 22/10/2018 señalando que no disponía de ninguna información que indicara lo contrario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Posteriormente, abierto el procedimiento sancionador se dirigió nuevamente mediante e-mails el 25/06/2019, 01/07/2019 y 15/07/2019 solicitando se le ofrecieran evidencias sobre la existencia de la deuda cedida en virtud del contrato de cesión suscrito por ambas entidades, no constando respuesta alguna de la cedente a los citados correos. En este sentido, la SAN de 26/04/2002 (Rec. 895/2009) expone: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” También la SAN de 29/04/2010, en su Fundamento Jurídico sexto, a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. La exigencia de responsabilidad sancionadora lleva implícita la concurrencia del elemento subjetivo de la infracción, requisito esencial por cuanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido confirmada por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. En el mismo sentido, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” En definitiva, de la documentación facilitada por el reclamado se evidencia que actuó con una diligencia razonable y adoptando las medidas pertinentes y adecuadas a fin de garantizar que la deuda que había sido adquirida de LIBERBANK cumplía los requisitos para ser incluida en el fichero de morosidad. Así pues, estando ausente el elemento subjetivo de la infracción, ninguna responsabilidad sancionadora se deriva de los hechos que se someten a la valoración de este organismo, lo que obliga a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a LINDORFF HOLDING SPAIN, S.A.U. (en la actualidad INTRUM), con NIF A86128147, por la presunta infracción del artículo 6.1.
  15. a)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  16. a)del citado RGPD. SEGUNDO: NOTIFICAR la presente resolución a LINDORFF HOLDING SPAIN, S.A.U. (en la actualidad INTRUM). De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.