← España

PS-00053-2023

1/13  Expediente N.º: EXP202213626 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 09/11/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ONEY SERVICIOS FINANCIEROS E.F.C., S.A., con NIF A83113324 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la reclamante manifiesta que, en el mes de mayo de 2022, el reclamado inicia un procedimiento monitorio reclamándole un importe pendiente de pago. Tras finalizar el procedimiento, se dicta auto en fecha 21/06/2022 declarando nula por abusiva la comisión por reclamación de impago, "no siendo admisible integrar como capital debido cantidades que se cargaron en concepto de cláusula abusiva". Junto a su reclamación aporta informe de ASNEF de 09/09/2022 de inclusión de sus datos personales por parte de la entidad CABOT FINANCIAL SPAIN S.A.U. (en lo sucesivo CABOT), tras cesión de la deuda al reclamado y, correo electrónico de 16/08/2022 dirigido al reclamado indicando acciones legales si incluyen sus datos personales en ficheros de morosidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 09/01/2023 se dio traslado de dicha reclamación al reclamado para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/01/2023 como consta en el acuse de recibo que obra en el expediente. El reclamado en escrito de 27/01/2023 señalaba que el 18/07/2022 se produce la cesión a CABOT del crédito acreedor de la reclamante, si bien se comunicó con respecto al mismo su carácter litigioso; que en julio de 2022 el reclamado procedió a excluir de los ficheros de morosidad a todos sus clientes, entre los que se encontraba la reclamante, en concreto fue dada de baja el 22/07/2022. Por tanto, a partir de dicha fecha no es el reclamado el acreedor del crédito impagado por lo que la posterior responsabilidad que pudiera existir por la inclusión en el fichero es del adquirente de la cartera de créditos. TERCERO: Con fecha 06/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 CUARTO: Con fecha ***FECHA.1, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 5.1.

  1. d)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  2. a)del citado RGPD. QUINTO: Notificado el acuerdo de inicio, el reclamado presento escrito de alegaciones el 08/06/2023 señalando en síntesis: que el 21/06/2022 se dictó Auto declarando nula por abusiva la comisión de impago; que no obstante, la deuda seguía existiendo siendo cierta vencida y exigible aunque no por el importe establecido en un principio y en este sentido se puede discrepar sobre el importe anotado en el fichero pero no que la deuda exista o bien sobre su supresión; que en lo relativo a la cesión de la deuda es cierto que la deuda debió ser minorada con motivo del auto judicial, pero todo lo sucedido con posterioridad a dicha operación escapa del control y responsabilidad del reclamado al haber dado conocimiento al comprador de los datos e información relativas a la deuda entre ellas el auto judicial; que se ha solicitado a Cabot la devolución del expediente y como deferencia se ha procedido a la cancelación de la deuda. SEXTO: Con fecha 28/06/2023, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar al reclamado copia del contrato privado de compraventa de fecha 18/07/2022, por el que llevó a cabo la cesión de su crédito que tenía con la reclamante a la entidad Cabot e información realizada del reclamado a Cabot de que el crédito estaba siendo objeto de un procedimiento monitorio y que era litigioso. En fecha 06/07/2023 el reclamado dio respuesta a las pruebas practicadas cuyo contenido obra en el expediente. SEPTIMO: Con fecha 29/08/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por infracción del artículo 5.1.
  3. d)del RGPD, tipificada en el artículo 83.5.
  4. a)del RGPD, con multa de 50.000 € (cincuenta mil euros). Con fecha 07/09/2023 el reclamado presentó escrito de alegaciones formulando en síntesis: una sucinta referencia cronológica a los hechos que habían dado lugar al procedimiento; que respecto a las actuaciones realizadas tras la notificación del Auto judicial que resolvía la demanda presentada, el respeto en cuanto a los plazos de cumplimiento de las resoluciones judiciales y la respuesta al derecho de rectificación de los afectados así como los fines de los ficheros de información crediticia; por último, que se procediera al archivo del procedimiento. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 HECHOS PROBADOS PRIMERO. El 09/11/2022 tiene entrada en la AEPD escrito de la reclamante en el que manifiesta en de mayo de 2022, el reclamado inició un procedimiento monitorio para reclamarle un importe pendiente de pago (derivado de una tarjeta de crédito) y, que tras finalizar el procedimiento, se dictó auto en fecha 21/06/2022 por el Juzgado de 1ª Instancia Nº 14 de los de ***LOCALIDAD.1 declarando nula por abusiva la comisión por reclamación de impago "no siendo admisible integrar como capital debido cantidades que se cargaron en concepto de cláusula abusiva"; en agosto le comunican la cesión del crédito a Cabot, respondiendo que no le incluyan en ASNEF porque el tema esta juzgado y no debe dicha cantidad; a pesar de ello es incluida en el fichero creándole un problema ya que necesita un crédito y no puede pedirlo. SEGUNDO. Consta aportada Solicitud de Tarjeta Alcampo donde figuran los datos personales y bancarios de la reclamante y su firma. TERCERO. Consta aportada demanda de procedimiento monitorio presentada por el reclamado el 27/04/2022, ante el Juzgado de 1ª Instancia decano de ***LOCALIDAD.1, en reclamación de cantidad, más intereses, gastos y costas. CUARTO. Consta aportado Auto de 21/06/2022 dictado por el Juzgado de 1ª Instancia Nº 14 de los de ***LOCALIDAD.1, en cuya parte dispositiva se señala: “Se declara nula por abusiva la reclamación por comisión de impago, determinando dicha nulidad la inadmisión de la demanda. (…)” La citada resolución consta notificada el 01/07/2022. QUINTO. Consta aportado Contrato de Compraventa de Cartera de créditos suscrito entre el reclamado y Cabot y formalizado en Madrid, el 18/07/2022. SEXTO. Consta aportado por el reclamado cuadro de Excel donde figura el crédito de la reclamante por importe de 758,11 y que este era objeto de monitorio por cláusulas abusivas que, según el reclamado, forma parte del documento de Excel en CD que se entregó a Cabot con la formalización del contrato de cesión. SEPTIMO. Consta correo electrónico de 16/08/2022 dirigido por el letrado de la reclamante a ONEY, en el que se indica: “(…) Por encargo de la reclamante tengo a bien ponerme en contacto con Vds., sobre una carta recibida sobre cesión de derechos de crédito. Informarles que ONEY inicio un procedimiento judicial solicitando dicha deuda, procedimiento que perdió ante el Juzgado de ***LOCALIDAD.1. Por lo tanto, mi cliente no debe nada, al contrario puede ser que Vds., le deban a ella por los intereses abusivos que se aplicó en su momento, y no lo dice este despacho, que también, sino el juzgado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 Es por ello que desde este mismo momento ponemos en su conocimiento que no debiendo nada por orden judicial, le indicamos saquen de manera inmediata de sus archivos la reclamante, También les advertimos que si se les ocurre de meter en el ASNEF a mi mandante, se iniciara las acciones judiciales pertinentes en defensa de los derechos que nos amparan. (…)”. OCTAVO. Consta aportado requerimiento de pago de EQUIFAX-IBERICA de fecha 09/09/2022 en el que se indica que: “Le comunicamos que con fecha 08/09/2022 la entidad CABOT SECURITISATION EUROPE LIMITED ha solicitado el alta en el fichero ASNEF los siguientes datos personales relativos al impago del contrato que mantiene con dicha entidad PRODUCTO IMPORTE IMPAGQADO CALIDAD TARJETAS DE CREDITO 780,80 TITULAR” NOVENO. En escrito de 27/01/2023 el reclamado ha manifestado que: “Primero.- La reclamante, …, suscribió un contrato de tarjeta Alcampo con Oney Servicios Financieros en fecha 11 de marzo de 2008. Con fecha 18 de julio de 2022, mediante contrato privado de compraventa, elevado a público ese mismo día ante el Notario del Ilustre Colegio de Madrid D. B.B.B., Oney Servicios Financieros E.F.C. S.A.U. (en adelante, ONEY) llevó a cabo la cesión de su crédito a la entidad Cabot Securitisation Europe Limited (en adelante, CABOT), con domicilio en el Edificio Delta Nova 4 Av. Manoteras, 46, Madrid – 28050. A partir de esa fecha, esta entidad adquirió la condición de nuevo y único acreedor frente a varios clientes, entre ellos la Sra. A.A.A. (hoy reclamante). El auto indicado anteriormente, fue trasladado por Oney a Cabot para que el comprador, realizase las gestiones oportunas en lo que respecta a la reclamación de la deuda de la Sra. A.A.A.. De hecho, en el momento de formalización de la compraventa de la cartera, Oney informó a Cabot que ese crédito era un crédito litigioso. Ello se prueba a través del cuadro de Excel que se adjunta a este escrito de alegaciones como Documento nº 1, en el que consta específicamente que el crédito referido a la reclamante estaba siendo objeto de un procedimiento monitorio que continuaba en curso. Este extracto forma parte del cuadro de Excel que se entregó en un CD a Cabot, ante notario, en el acto de formalización y firma de la escritura pública de cesión de créditos. Segundo. - Que en julio de 2022, mes en el que se realizó la citada operación de cesión de créditos, ONEY excluyó a todos los clientes que formaron parte de esta cesión, de los ficheros de solvencia en los que habían sido incluidos. En concreto, ONEY procedió a dar de baja del meritado fichero de solvencia de Experian a la Sra. A.A.A. en fecha 22 de julio de 2022 (tal y como se podría probar, llegado el caso, a través de la consulta a los ficheros de Experian). (…)” FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los hechos denunciados se materializan en la inclusión de los datos de carácter personal de la reclamante en sistemas comunes de información crediticia derivado de una deuda reclamada en procedimiento monitorio ante el Juzgado, cuya resolución declaro como abusivas determinadas clausulas por lo que no existía exactitud sobre la deuda al no estar determinada; posteriormente la deuda sin ser recalculada es adquirida por CABOT, quien a su vez incluye los datos en el fichero de morosidad por el mismo importe, por lo que se considera la supuesta vulneración de la normativa en materia de protección de datos personales. El artículo 58 del RGPD, Poderes, establece en su apartado 2: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  5. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” III El RGPD se ocupa en su artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos el de exactitud, señalando que: “1. Los datos personales serán: (…)
  6. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); (…)” Lo señalado en la citada norma hay que ponerlo en relación con el artículo 5, Exactitud de los datos, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), que establece en su apartado 1 que: “1. Conforme al artículo 5.1.
  7. d)del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados. 2. A los efectos previstos en el artículo 5.1.
  8. d)del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que este haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:
  9. a)Hubiesen sido obtenidos por el responsable directamente del afectado.
  10. b)Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.
  11. c)Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.
  12. d)Fuesen obtenidos de un registro público por el responsable". Con relación a este principio, en el considerando 39 del RGPD entre otras cuestiones indica que: “

(39)(…) para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. Y el considerando 71: “ (...) a fin de garantizar un tratamiento leal y transparente respecto del interesado, teniendo en cuenta las circunstancias y contexto específicos en los que se tratan los datos personales, el responsable del tratamiento debe utilizar procedimientos matemáticos o estadísticos adecuados para la elaboración de perfiles, aplicar medidas técnicas y organizativas apropiadas para garantizar, en particular, que se corrigen los factores que introducen inexactitudes en los datos personales y se reduce al máximo el riesgo de error, asegurar los datos personales de forma que se tengan en cuenta los posibles riesgos para los intereses y derechos del interesado e impedir, entre otras cosas, efectos discriminatorios en las personas físicas por motivos de raza u origen étnico, opiniones políticas, religión o creencias, afiliación sindical, condición genética o estado de salud u orientación sexual, o tratamiento que dé lugar a medidas que produzcan tal efecto". IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  1. a)del RGPD, que considera que la infracción de “los principios básicos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  2. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V 1. De la documentación obrante en el expediente se evidencia que el reclamado ha vulnerado el artículo 5.1.d), principio de exactitud, en relación con el artículo 5 de la LOPGDD, Exactitud de los datos, al ser cedidos los datos de la reclamante a un tercero, adquiriente del crédito, quien a su vez los incluyo en el fichero ASNEF, vinculados a una deuda sobre la que existía contienda judicial y cuyo Auto posterior declaró que contenía intereses abusivos, por lo que no existía certeza sobre la misma debiendo ser recalculada. En relación con el citado artículo y su actualización (que sería la manifestación del principio de exactitud que se entiende incumplido), exige que se adopten “las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan”. Es decir, el artículo 5.1.
  3. d)no impone adoptar medidas desproporcionadas para actualizar los datos, sino las razonables, atendiendo a los medios disponibles y el fin para el que se usan los datos. Así lo expresa también el considerando 39 del RGPD, “(…) para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos”. 2. En el presente caso, el reclamado como consecuencia del incumplimiento por la reclamante de sus obligaciones de pago adeudando la cantidad de 758,11 € presentó demanda de procedimiento monitorio de conformidad con los artículos 812 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 siguientes de la LEC en reclamación de cantidad más intereses, gastos y costas ante el Juzgado de 1º Instancia decano de ***LOCALIDAD.1 el 27/04/2022, siendo dictado por el Juzgado de 1ª Instancia Nº 14 de los de ***LOCALIDAD.1, Auto el 21/06/2022 anulando por abusivas determinadas comisiones. Señala el citado Auto en su parte dispositiva que: “Se declara nula por abusiva la reclamación por comisión de impago, determinando dicha nulidad la inadmisión de la demanda. (…)” A pesar de ello, la deuda reclamada estuvo dada de alta en el fichero de morosidad por el reclamado hasta el 22/07/2022, en el que procedió a su baja, motivado porque el 18/07/2022, formalizó mediante contrato privado de compraventa y elevado a público ante el Notario del Ilustre Colegio de Madrid D. B.B.B., la cesión del crédito a la entidad CABOT, quien a su vez daría de alta los datos de la reclamante en el fichero ASNEF por el mismo importe, según consta acreditado mediante el requerimiento de EQUIFAX-IBERICA de fecha 09/09/2022. Por tanto, la deuda cedida en el citado negocio jurídico no fue objeto de actualización sin que el reclamado hubiera recalculado la misma; el reclamado ha manifestado que informó a CABOT de que la deuda estaba discutida, pero tanto el importe cedido como el incluido en ASNEF por el cesionario continuó siendo el mismo. Además, desde la fecha de notificación del citado Auto 01/07/2022, hasta el 22/07/2022 (con posterioridad a la fecha de la cesión del crédito), la deuda estuvo inscrita en el fichero de morosidad por el reclamado sin que el importe se hubiera recalculado y comunicado al fichero Experian, como el mismo ha manifestado en escrito de 27/01/2023: “Que en julio de 2022, mes en el que se realizó la citada operación de cesión de créditos, ONEY excluyó a todos los clientes que formaron parte de esta cesión, de los ficheros de solvencia en los que habían sido incluidos. En concreto, ONEY procedió a dar de baja del meritado fichero de solvencia de Experian a la Sra. A.A.A. en fecha 22 de julio de 2022 (tal y como se podría probar, llegado el caso, a través de la consulta a los ficheros de Experian)”. Asimismo, en escrito de 08/06/2023 el reclamado confirmaba los hechos manifestando que “No obstante, si bien es cierto que Oney no actuó diligentemente en este caso, reduciendo el importe de la deuda en virtud de lo dispuesto en el Auto del Juzgado, dado que se declaraba nula por abusiva la comisión de impago, también es cierto que la deuda del cliente seguía siendo real, cierta, vencida y exigible, aunque no lo fuera por el importe indicado”. Y que “En lo que se refiere a la cesión de la información relativa a esta deuda por parte de Oney a la entidad Cabot, es cierto que el importe debería haberse reducido en 240 euros, con motivo de la declaración de nulidad de la comisión de impago por el juzgado…” 3. El reclamado en alegaciones a la Propuesta de Resolución ha manifestado que cuando se formalizo el contrato de cesión de créditos se informó al cesionario de que algunos créditos tenían la consideración de litigiosos entre ellos el crédito que afectaba a la reclamante y prueba de ello es el cuadro de Excel que se adjuntó al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 escrito de alegaciones al acuerdo de inicio del sancionador y que se dio acceso al comprador a los datos e informaciones, incluido el Auto judicial que no era firme ya que cabía recurso de apelación contra el mismo en el plazo de 20 días hábiles; además, que como la resolución judicial tenía como consecuencia la necesidad de que se rectificasen los datos titularidad de la reclamante obrantes en el fichero de solvencia parece razonable que el transcurso de quince días hábiles desde que se recibió la resolución judicial hasta la baja efectiva de sus datos en el fichero es un plazo más que razonable para entender cumplidas las obligaciones que se refieren a la rectificación del citado dato. Sin embargo, al respecto de esta última argumentación ha de decaer la misma puesto que el principio de exactitud requiere que el responsable del tratamiento reduzca al máximo el riesgo de inexactitud sobre todo si se tiene en cuenta que la interposición del posible recurso de apelación no producía efectos suspensivos, así como los perjuicios que suponía para los derechos y libertades del reclamante el mantenimiento de sus datos en un sistema de información crediticia. De todos modos, no se le está atribuyendo al reclamado la vulneración del RGPD, exclusivamente, por mantener la deuda en el fichero de solvencia patrimonial por una deuda inexacta conforme al Auto dictado el 20/06/2022 por el Juzgado de 1ª Instancia Nº 14 de los de ***LOCALIDAD.1. Es cierto, que el reclamado procedió a dar de baja a los datos en el fichero de solvencia, pero también lo es que la citada baja estaba motivada como consecuencia de la formalización del contrato de contraventa de créditos morosos llevada a cabo con Cabot el 18/07/2022, créditos morosos entre los que se encontraba el relativo a la reclamante Por tanto, la cesión del crédito que el reclamado mantenía con la reclamante en el negocio jurídico formalizado el 18/07/2022 con Cabot y que posteriormente éste incluiría en el fichero ASNEF, tampoco es conforme con la normativa en materia de protección de datos de carácter personal, artículo 5.1.
  4. d)del RGPD. VI A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  5. a)a
  6. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  7. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  8. b)la intencionalidad o negligencia en la infracción;
  9. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  10. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  13. g)las categorías de los datos de carácter personal afectados por la infracción;
  14. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  15. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  16. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  18. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  19. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  20. a)El carácter continuado de la infracción.
  21. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  22. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  24. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  25. f)La afectación a los derechos de los menores.
  26. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  27. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  28. a)y artículo 5.1.
  29. d)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de exactitud, que la norma sanciona con la mayor gravedad; no hay que olvidar que la deuda no estaba determinada en cuanto a su certeza puesto que el Juzgado había declarado como abusivo ciertos conceptos de la misma por lo que con posterioridad a la resolución judicial era necesario recalcularla (artículo 83.2.
  30. a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  31. b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción. En el presente caso se aprecia una grave falta de diligencia en la actuación del reclamado al ser cedida la deuda y ser incluida en ficheros de solvencia por el cesionario sin que su importe fuera cierto al no estar determinada en cuanto a su exactitud. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  32. b)del RGPD). Por tanto, a conformidad con lo que antecede se considera adecuado una sanción de 50.000 € (cincuenta mil euros) por infracción del artículo 5.1.
  33. d)del RGPD. VII Al haberse confirmado la infracción, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  34. d)del RGPD, según el cual cada autoridad de control podrá “
  35. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 En el presente caso, se requiere al reclamado para que en el plazo de dos meses a partir de la notificación de la presente resolución: - Acredite la adopción de medidas adecuadas para evitar que en el futuro se produzcan incidencias como las que han provocado la apertura del presente procedimiento sancionador vulnerando el principio de exactitud de los datos, articulo 5.1.
  36. d)de la LOPGDD, como consecuencia de la cesión de los mismos a un tercero, vinculados a una deuda, que en sentencia judicial declaro contener intereses abusivos, no existiendo certeza sobre la misma debiendo haber sido recalculada. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ONEY SERVICIOS FINANCIEROS EFC SA, con NIF A83113324, por infracción del artículo 5.1.
  37. d)del RGPD, tipificada en el artículo 83.5.
  38. a)del RGPD, una multa de 50.000 € (cincuenta mil euros). SEGUNDO: ORDENAR a ONEY SERVICIOS FINANCIEROS EFC, S.A., con NIF A83113324, que en virtud del artículo 58.2.
  39. d)del RGPD, en el plazo de dos meses a partir de la presente resolución, acredite haber procedido al cumplimiento y adopción de medidas adecuadas para ajustar su actuación a lo establecido en el artículo 5.1.
  40. d)del RGPD. TERCERO: NOTIFICAR la presente resolución a ONEY SERVICIOS FINANCIEROS E.F.C., S.A. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  41. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  42. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.