1/14 Procedimiento Nº PS/00061/2016 RESOLUCIÓN: R/01521/2016 En el procedimiento sancionador PS/00061/2016, instruido por la Agencia Española de Protección de Datos a la entidad EQUIFAX IBERICA, S.L., TTI FINANCE, S.A.R.L., vista la denuncia presentada por A.A.A., y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha 13/03/15 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por D. A.A.A. (en lo sucesivo el denunciante), en el que exponía, entre otros extremos, que TTI FINANCE, S.A.R.L. (en lo sucesivo TTI), había incluido sus datos personales en ficheros de información de solvencia patrimonial sin haber efectuado requerimiento previo de pago. Junto a dicha denuncia se aporta diversa documentación en relación a los hechos denunciados. SEGUNDO: Por parte del Subdirector General de Inspección de Datos y en base al contenido de la denuncia se procedió a la apertura de actuaciones previas, con referencia E/2334/201, concluyendo la investigación con informe de la Inspección de Datos de fecha 19/11/15. TERCERO: La Directora de la Agencia Española de Protección de Datos acordó, con fecha 23/2/16 iiniciar procedimiento sancionador a TTI FINANCE SARL por la presunta infracción del art 4.3 de la LOPD CUARTO: Se han presentado escrito de alegaciones por parte de la entidad denunciada, con fecha 31/3/16 que acompaña de documentación, y en donde manifiesta, en síntesis, lo siguiente: - Falta de competencia de la AGPD para la incoación del presente procedimiento - Que con fecha 28/2/13 se adquirió de la entidad VODAFONE una cartera de deuda consistente en diversos créditos vencidos e impagados entre los cuales se encontraba el crédito frente a D. A.A.A. por importe de 214,56 euros - Con fecha 20/12/13 se adquirió de la entidad DTS CANAL SATELITE DIGITAL otra cartera de deuda entre los cuales se encontraba el crédito frente de a D. A.A.A. por importe de 508.15 euros. - Que la inclusión de los datos del denunciante se produjo como consecuencia de la adquisición por TTI de unas determinadas deudas, ciertas y exigibles. - TTI realiza los envíos de las comunicaciones a través de una tercera empresa EQUIFAX, suscribiendo el correspondiente contrato que se ha aportado al expediente. - Que la inclusión de los datos personales se llevaron a cabo de conformidad con la normativa vigente:
- a)En relación con la deuda de Vodafone C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 a.1 Copia de la carta de fecha 10/4/13 enviada al denunciante informándole de la cesión del crédito a favor de ITT, en el que se incluye expresamente el requerimiento previo de pago. Dicha carta fue enviada al domicilio facilitado por Vodafone en el momento de la transmisión del derecho. Que si bien el importe del crédito cedido ascendía a 214,56 el requerimiento se efectuó por 134.56 al haber renunciado ITT al cobro de unos derechos de cobro por importe de 80 euros a.2 Se aporta testimonio notarial que acredita expresamente que las notificaciones en la que estaba incluida la del denunciante, fueron puestas en el Servicio Postal de Correos en fecha 23/4/13. a.3 Se aporta albarán de entrega y depósito de Correos de la carta de fecha 23/4/13 a.4 Se aporta certificado expedido por Equifax, como prestador del servicio de cartas devueltas constando la devolución de la carta por desconocido con fecha 4/6/13.
- b)En relación con la deuda de DTS, se manifiesta que se produjo un error en la expedición de los certificados adjuntándose la siguiente documentación rectificada: b.1 Copia de la carta de fecha 27/12/13 enviada al denunciante informándole de la cesión del crédito. b.2 Se aporta testimonio notarial que acredita expresamente que las notificaciones en la que estaba incluida la del denunciante, fueron puestas en el Servicio Postal de Correos en fecha 2/1/14 b.3 Se aporta albarán de entrega y depósito de Correos de la carta de fecha 8/1/14 b.4 Se aporta certificado expedido por Equifax, como prestador del servicio de cartas devueltas no constando que la carta haya sido devuelta por motivo alguno. QUINTO: Por el instructor del procedimiento se apertura periodo de prácticas de pruebas, consistente en la incorporación de las alegaciones y documentación presentada en las actuaciones previas de investigación E/2334/14 y las alegaciones presentadas ante el Acuerdo de Inicio. SEXTO: Por resolución de 30/5/16 se acordó por la Agencia el cambio de instructor del presente procedimiento. Dicho Acuerdo fue notificado al denunciado y denunciante, SEPTIMO: Con fecha de 15/6/16 se dictó la siguiente propuesta de resolución: <<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a TTI FINANCE, S.A.R.L. con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma. >>>>> OCTAVO. Se ha presentado escrito de alegaciones la propuesta, con fecha 29/7/16, solicitando el archivo del presente procedimiento o subsidiariamente, la imposición de una sanción de 900 euros, y en base a las circunstancias ya valoradas en el curso del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 HECHOS PROBADOS 1º Consta denuncia presentada, con fecha 13/03/2015, por D. A.A.A., contra TTI FINANCE, S.A.R.L. por la inclusión de sus datos personales en ficheros de información de solvencia patrimonial sin haber efectuado previo requerimiento de pago 2º Consta la siguiente documentación aportada por el denunciante: 2.1 Copia de escrito de 21/07/2014 remitido por EXPERIAN BUREU DE CRÉDITO S.A. (en lo sucesivo EXPERIAN) en el que se informa de que sus datos personales están incluidos en BADEXCUG a instancia de, entre otras entidades, TTI, como consecuencia de dos operaciones impagadas. 2.2 Copia de escrito de 28/07/2014 remitido por EQUIFAX IBÉRICA S.L.(en lo sucesivo EQUIFAX), en respuesta a un previo ejercicio del derecho de cancelación en relación a una deuda informada en ASNEF por una tercera entidad distinta de TTI. Junto con el escrito se adjunta un informe que refleja que sus datos se encuentran incluidos en ASNEF a instancia de, entre otras entidades, TTI, como consecuencia de dos operaciones impagadas. 2.3 Reclamación presentada ante la OMIC del Ayuntamiento de Talavera de la Reina con fecha 24/04/2015. 2.4 Solicitud de cancelación fechada a 24/04/2015 y dirigida por e-mail a TTI a la dirección de correo electrónico ...@tti-finance.com, junto con la que se adjuntaba copia de la solicitud de arbitraje referida en el apartado anterior. 2.5 Copia de correo electrónico de TTI, fechado a 05/05/2015, recibido en respuesta a uno previo remitido por el denunciante y relativo a la cancelación de la deuda identificada con la referencia ***REF.1. Se le informa de que esa deuda está cerrada, pero que permanece pendiente de cobro la deuda identificada con la referencia ***REF.2, señalándose un número de teléfono al que el afectado se puede dirigir para recibir información. 3º Consta testimonio notarial relativo a la cesión de una deuda de VODAFONE a TTI FINANCE, de fecha 28/2/13, constando entre los créditos cedidos uno relativo a D. A.A.A. por importe de 214.56 euros 4º Consta testimonio notarial relativo a la cesión de una deuda de DTS a TTI FINANCE, de fecha 20/12/13, contando entre los créditos cedidos uno relativo a D. A.A.A., con domicilio en (C/.....1), por importe de 508,15 euros. 5º Consta copia de la carta remitida al denunciante el día 10/4/13 informándole de la cesión del crédito y de la posibilidad de inclusión del mismo en los ficheros de morosidad. En relación a la deuda contraída con Vodafone. Dicha carta se remitió a la dirección (C/.....2), Siendo este el domicilio facilitado por la entidad vendedora en el momento de la adquisición de la cartera y no haber solicitado el deudor la rectificación de dichos datos frente a esa sociedad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 6º Que en relación al requerimiento anterior consta acta notarial que acredita que dicha notificación con referencia NT******** dirigida al denunciante fue puesta en el Servicio Postal de Correos en fecha 23/4/16. Consta albarán de entrega en Correos de dicha fecha 7º Que en relación al mismo requerimiento consta certificación de EQUIFAX como prestador del Servicio de Gestión de Cartas Devueltas, acreditando que la notificación de requerimiento previo enviado el día 15/4/16 y con referencia NT********1 fue devuelta por motivo desconocido con fecha 4/6/13. 8º Consta copia de la carta remitida al denunciante el día 27/12/13 informándole de la cesión del crédito y de la posibilidad de inclusión del mismo en los ficheros de morosidad. En relación a la deuda contraída con DTS. Dicha carta se remitió a la dirección (C/.....1). 9º Que en relación al requerimiento anterior consta acta notarial que acredita que dicha notificación con referencia NT********2 dirigida al denunciante fue puesta en el Servicio Postal de Correos en fecha 8/1/14. Consta albarán de entrega en Correos de dicha fecha 10º Consta así mismo, en relación al mismo requerimiento certificación de EQUIFAX como prestador del Servicio de Gestión de Cartas Devueltas, acreditando que la notificación de requerimiento previo enviado el día 27/12/13 y con referencia NT********2 no ha sido devuelta por motivo alguno. 11º Consta que los datos del denunciante han estado incluidos en el fichero BADEXCUG a instancia de TTI con motivo de dos operaciones distintas: 11.1 Por una deuda por valor de 134,56 €. Esta deuda se dio de alta el 16/03/2014 y se dio de baja el 25/03/2015 como consecuencia del ejercicio del derecho de cancelación por parte del afectado. Esta inclusión fue notificada mediante el envío de una carta de 18/03/2014 a (C/.....2). 11.2 Por una deuda por valor de 508,15 €. Esta operación estuvo incluida en BADEXCUG durante los siguientes intervalos de tiempo: * Entre el 16/03/2014 y el 26/03/2014, * Entre el 02/04/2014 y el 16/06/2014, * Entre el 20/07/2014 y el 25/03/2015, * Con fecha 26/04/2015 volvió a ser dada de alta, permaneciendo incluida en el fichero en el momento en que EXPERIAN respondió al requerimiento de información formulado desde la AEPD (22/05/2015). Estas inclusiones fueron notificadas a (C/.....1). 12º Consta que los datos del denunciante se incluyeron en ASNEF a instancia de TTI con motivo de dos operaciones distintas: 12.1 Por una deuda por valor de 134,56 €. Esta operación estuvo incluida en ASNEF durante los siguientes intervalos de tiempo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 * Entre el 26/12/2011 y el 13/06/2014,. Inicialmente esta deuda fue informada por VODAFONE ESPAÑA S.A., constando TTI como nueva entidad informante a partir del 14/05/2013. * Entre el 23/06/2014 y el 16/03/2015. * Entre el 27/03/2015 y el 25/04/2015 Estas inclusiones fueron notificadas a (C/.....2). Las dos primeras notificaciones figuran como devueltas. La última no constaba como devuelta a 29/05/2015, fecha en la que EQUIFAX extrajo los datos de sus sistemas para dar respuesta al requerimiento de información formulado desde la AEPD. 12.2 Por una de una deuda por valor de 508,15 €. Esta operación estuvo incluida en ASNEF durante los siguientes intervalos de tiempo: * Entre el 19/03/2014 y el 13/06/2014. * Entre el 23/06/2014 y el 16/03/2015. * Entre el 27/03/2015 y el 30/04/2015. * Con fecha 22/05/2015 volvió a ser dada de alta a instancia de TTI. Las citadas inclusiones fueron notificadas, sin constar devueltas, a (C/.....1). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD II Sobre la falta de competencia de la AGPD para la incoación del presente procedimiento Antes de entrar en el fondo del asunto es preciso responder a la alegación de TTI FINANCE, S.A.R.L. en el sentido de que no es aplicable la LOPD al presente caso, con respecto a esta entidad, al tratarse de una empresa domiciliada en Luxemburgo sujeta a su ley nacional, por lo que la LOPD y su Reglamento no son aplicables al caso. Se debe partir del artículo 1, de la LOPD que dispone que “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), aquí en relación con el tratamiento de datos personales producidos después de un cesión indebida, dice en relación con el derecho allí recogido que “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” El artículo 2 a la hora de delimitar el “Ámbito de aplicación”, señala que: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento”. Asimismo, el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), en su artículo 3, incide en este tema, en sintonía con la Directiva 95/46/CE, estableciendo que: “1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. (…) 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” Para aclarar lo expuesto hasta ahora conviene reseñar la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, emitida por su Gran Sala, en el asunto C-131/12, que dice al respecto “que el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante» En el presente caso concreto, constan sendos testimonios notariales relativos a la cesión de dos deudas (por VODAFONE y DTS a TTI FINANCE) en virtud de dos contratos realizados en España. Por lo tanto, se estaría ante un negocio jurídico realizado en territorio nacional con el consiguiente tratamiento de datos personales asociados a tal negocio. El art. 3.2 del RLOPD define establecimiento como: “A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.”. Debiéndose tener en cuenta la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 dice que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», sin «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante”. Por otra parte, la Resolución 221/2009 de fecha 20 de diciembre de 2012 del Tribunal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 Económico-Administrativo Central dice, en relación con el concepto de establecimiento permanente en el ámbito tributario, que: “Lo decisivo es que se tenga la disponibilidad de un local, lugar o espacio, cualquiera que sea el título jurídico que la proporcione. Poco importa que la empresa sea propietaria o arrendataria del local, instalaciones o medios, o disponga de ellos por otra causa. Por lo tanto, no es necesario que el uso del lugar fijo esté avalado por un contrato suscrito al efecto, de modo que, el hecho de que una empresa tenga un determinado espacio a su disposición para su utilización en actividades empresariales es suficiente para que constituya "un lugar fijo de negocios". Así los comentarios al artículo 5 del Modelo de convenio de la OCDE señalan en su número 4 que: "Un lugar de negocios puede existir incluso cuando no se disponga ni se necesite local alguno para la realización de las actividades de la empresa, y ésta simplemente disponga de cierto espacio. Poco importa que la empresa sea propietaria o arrendataria del local, instalaciones o medios, o disponga de ellos por otra causa. Así lo ha entendido también este Tribunal Central en resolución de 20 de abril de 2006 (R.G. 1979-03), al no considerar necesario que se ostente un título legal formal sobre las instalaciones que constituyan establecimiento permanente: "Ante todo ha de observarse que el Convenio no determina en virtud de qué título la empresa no residente ha de utilizar el lugar fijo en cuestión, siendo claro, por tanto, que no se exige titularidad dominical y ni siquiera condición de arrendatario, basta, por tanto, que disponga del lugar fijo para llevar a cabo en él su actividad (...)" Dicha resolución ha sido confirmada mediante sentencia de la Audiencia Nacional de 24 de enero de 2008, (Recurso 894/2008) que, entre otras consideraciones, indicó lo siguiente:<<QUINTO.- Hay que preguntarse, pues, en primer lugar si (...) efectuaba toda o parte de su actividad mediante un lugar fijo de negocios en España. Esta opción se integra por tres elementos: un (
- a)lugar de negocios, que sea (
- b)fijo y en el que (
- c)se realicen actividades propias de la empresa. El primer elemento comprende cualquier espacio, instalación o medio material empleado para realizar el giro propio de la entidad, sirva o no exclusivamente a tal fin (parágrafo 2 de los comentarios al artículo 5 del Modelo de Convenio ), siendo irrelevante el título por el que se dispongan, pudiendo tratarse incluso de los locales de otra compañía.(...)>>." Por último, y ya más centrado el tema en la protección de datos personales, reseñar la sentencia del Tribunal de Justicia europeo (Sala Tercera) de fecha 1 de octubre de 2015, que, en el asunto C-230/14, viene a decir que dicha actividad, además de ser efectiva y real, basta que sea “mínima” (incluso un “único agente”, utilizando los medios humanos y técnicos “necesarios para la prestación de los servicios”), y aunque se trate de un entidad “que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión”. Por lo tanto las alegaciones de TTI FINANCE, S.A.R.L. en el sentido de que no es aplicable la LOPD al presente caso concreto, y consecuentemente la incompetencia de esta Agencia, deben ser desestimadas. III Sobre los hechos imputados a la entidad denunciada y su calificación jurídica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 En el presente expediente se analiza si la inclusión de los datos del denunciante en los ficheros de morosidad por parte de la entidad denunciada ha contravenido las garantías establecidas en el art. 4 de la LOPD, y en particular a lo referente a que dicha inclusión debe ser previamente advertida al titular de los datos mediante el requerimiento previo de pago. El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que:”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
- b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. IV Sobre la culpabilidad de la entidad denunciada La cuestión que se analiza es si consta acreditado o no la realización del requerimiento en cuestión; en los términos exigidos por el citado artículo 39 RLOPD, habiendo reiterado la Sala ( SSAN, Sec 1ª, de 9 mayo 2003, Rec.1067/1999 ; 8 de marzo de 2006, Rec. 319/2004 ; 18 de julio de 2007, Rec. 17/2006; 28 de mayo de 2008, Rec. 107/2007; 17 de febrero 2011, Rec. 177/2010 ; 20 de septiembre de 2012, Rec. 127/2011 etc.) que cuando el destinatario niega la recepción del requerimiento, recae sobre el responsable del fichero o tratamiento la carga de acreditar el cumplimiento de dicha obligación: siendo insuficiente los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación. En el presente caso, con respecto a este requisito, ITT FINANCE expone que para realizar el envío de las cartas de requerimiento previo de pago, en relación a las deudas adquiridas mediante contrato de cesión con VODAFONE y DTS, utilizó los servicios de una tercera empresa, en este caso EQUIFAX IBERICA. En relación a la deuda cedida de VODAFONE se ha aportado testimonio notarial relativo a dicha cesión, constando entre los créditos cedidos uno relativo a D. A.A.A. por importe de 214.56 euros. Se ha aportado así mismo copia de la carta remitida al denunciante, el día 10/4/13, informándole de la cesión del crédito y de la posibilidad de inclusión del mismo en los ficheros de morosidad. Dicha carta se remitió a la dirección (C/.....2), Consta además acta notarial que acredita que dicha notificación con referencia NT******** dirigida al denunciante fue puesta en el Servicio Postal de Correos en fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 23/4/16 y se ha aportado copia albarán de entrega en Correos de dicha fecha. En relación al mismo requerimiento consta certificación de EQUIFAX como prestador del Servicio de Gestión de Cartas Devueltas, acreditando que la notificación de requerimiento previo enviado el día 15/4/16 y con referencia NT********1 fue devuelta por desconocido con fecha 4/6/13. Siendo ese domicilio el que fue facilitado por la entidad vendedora en el momento de la adquisición de la cartera. La carta remitida fue devuelta al ser su destinatario “desconocido” por lo que no se ha acreditado la notificación. En relación a la deuda cedida de DTS CANAL SATELITE se ha aportado testimonio notarial relativo a dicha cesión, constando entre los créditos cedidos uno relativo a D. A.A.A. por importe de 508.15 euros. Se ha aportado copia de la carta remitida al denunciante el día 23/4/13 informándole de la cesión del crédito y de la posibilidad de inclusión del mismo en los ficheros de morosidad. Dicha carta se remitió a la dirección (C/.....1). Consta acta notarial que acredita que dicha notificación con referencia NT******** dirigida al denunciante fue puesta en el Servicio Postal de Correos en fecha 23/4/13. Consta albarán de entrega en Correos de dicha fecha En relación al mismo requerimiento se ha presentado certificación de EQUIFAX como prestador del Servicio de Gestión de Cartas Devueltas, acreditando que la notificación de requerimiento previo, enviado el día 27/12/13, y con referencia NT********2 no ha sido devuelta por motivo alguno. Debe concluirse por tanto, en relación al primer requerimiento, que no hay constancia de que se produjeran éste con arreglo a lo que exige el artículo 38.1.
- c)del Reglamento de desarrollo de la LOPD, como previo a la inclusión de los datos personales del denunciante en los ficheros de solvencia. Es por ello, que correspondía a ITT probar la realización del mismo, es decir, su envío y recepción por el interesado informando de que se había producido un impago, y legitimando así que sus datos fueran comunicados a los ficheros de solvencia, con expresión de la deuda impagada, La Audiencia Nacional en sentencia de fecha 23/05/2007, establece que "Pues bien, el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues solo así puede tenerse certeza de su recepción, si estos niegan la misma. En todo caso ha de realizarse el requerimiento expresando el concepto y el importe de la deuda determinante de la remisión de los datos al fichero de solvencia patrimonial, sin que pueda aceptarse, como señala la parte recurrente en su escrito de demanda, que hubiera bastado con que el titular de los datos hubiera realizado unas operaciones aritméticas para conocer el importe de la deuda que daría lugar a la inclusión de sus datos en el fichero "Asnef". Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo -norma primera de la Instrucción 1/1995- y una Ley Orgánica que tipifica como infracción grave el incumplimiento de la misma (artículo 44.3 .d/ de la LO 15/1999) debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental -artículo 18.4 de la CE bajo la referencia al uso de la informática- que extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud del dato, mediante la previa comprobación en el requerimiento previo". Por tanto, los hechos denunciados son contrarios al principio de calidad de datos consagrado en el artículo 4.3 en relación con el 29.4, ambos de la LOPD, y el artículo 38.1
- c)del Reglamento de desarrollo de la LOPD toda vez que ITT instaron la inclusión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 de los datos del denunciante, con motivo de deudas en el fichero ficheros de morosidad sin que hayan acreditado que hubiera sido requerido previamente de pago, con expresión de la cuantía de la deuda impagada y conforme exige la normativa precitada. V Sobre la sanción propuesta El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que ITT ha vulnerado el artículo 4.3 de la LOPD, al informar los datos de carácter personal del denunciante al fichero de morosidad sin el preceptivo requerimiento de pago previo a las citadas inclusiones, por lo que la actuación de dicha entidad ha de ser objeto de sanción. No dándose las circunstancias establecidas para la aplicación de la facultad contemplada en el art. 45.5, debido, por un lado, que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
- d)y
- e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). No obstante, hay que hacer mención a otras circunstancias que se producen en el presente caso que en cierto modo atenúan la culpabilidad de ITT; es cierto que la entidad denunciada no llevó a cabo un adecuado y diligente control de la devolución de la carta que incluía el requerimiento de pago dirigido al denunciante y que fue devuelto a la entidad remitente; sin embargo, no lo es menos que ha quedado acreditado el intento de ITT en la realización del requerimiento de pago, frustrado por la no recepción y recogida del mismo, y que dicho domicilio le fue suministrado por la empresa cedente de la deuda. En cuanto a la circunstancia prevista en el apartado
- f)del artículo 45.4, relativa al grado de intencionalidad, dicha expresión debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec. 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que las entidades hubieran actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en el apartado
- i)del artículo 45.4, existencia de protocolos y procedimientos adecuados de control para realizar comunicaciones de conformidad con lo establecido con la Ley, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se ha tratado de una anomalía del funcionamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 de los procedimientos implantados, sino un claro incumplimiento de los mismos a la vista de los hechos considerados probados a lo largo del procedimiento. En este sentido la Audiencia Nacional en sentencia de 24/01/2014 señala que “…, omisiones que ponen de relieve lo inadecuado de los procedimientos implantados…. El hecho de que a raíz de estas actuaciones se haya suscrito un contrato con Experian al objeto de asegurarse un mejor cumplimiento de las obligaciones impuestas por los artículos 38 y 39 RLOPD y, la acreditación de su realización frente a terceros, no puede tener los efectos atenuatorios que ella pretende, pues es obligación de la citada entidad la implementación de las medidas adecuadas a tal fin. Téngase en cuenta que la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que le es exigible una especial diligencia en el tratamiento de datos personales conforme reiterado criterio de esta Sala”. En cuanto a la circunstancia prevista en el apartado
- g)del artículo 45.4, la ausencia de reincidencia tampoco puede admitirse; hay que señalar que la reincidencia no se contempla como circunstancia atenuante, sino como agravante de la conducta infractora. La Audiencia Nacional en sentencia de 26/02/2014 establece que “Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del artículo 45 LOPD , deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera "significativa", que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notoria la reiteración de conductas infractoras en materia de protección de datos por parte de France Telecom, de todo ello concluimos que el artículo 45.5 LOPD no puede ser aplicado en el caso”. En cuanto a la circunstancia prevista en el apartado
- h)del artículo 45.4, es evidente la existencia de los mismos al ser incluido el denunciante en ficheros de morosidad incumpliendo los requisitos formales; por otra parte, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En cuanto a la ausencia de beneficios, la LOPD prevé en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad, por ello, al margen de que en la conducta de la compañía aseguradora se aprecie la circunstancia prevista en el apartado
- e)la ausencia de beneficios, la concurrencia de las circunstancias agravantes expresadas en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. En consecuencia una vez valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 tanto favorables como adversos se considera procedente y proporcional a los hechos imponer una sanción de 50.000 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 PRIMERO: IMPONER a la entidad TTI FINANCE, S.A.R.L., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c de la LOPD, una multa de 50.000€ (Cincuenta mil euros), de conformidad con lo establecido en el artículo 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TTI FINANCE, S.A.R.L., y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es