PS-00067-2018

(36)desde la fecha de su otorgamiento”. (El subrayado es de la AEPD) 4. Obra en la documentación una carta de fecha 18/08/2015 dirigida a la denunciante y enviada por SERVDEBT ESPAÑA, S.L., con NIF B86329752, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/32 entidad designada por la acreedora PRIME CREDIT para la gestión de los derechos y créditos. La carta informa a la denunciante que se ponen en contacto con ella como avalista del contrato suscrito el 26/06/2006 con Banco Popular Español/Banco Popular- E, S.A., que cedió el crédito que ostentaba frente a ella a PRIME CREDIT el 27/12/2013, hecho del que, según dice la carta, fue informada mediante “carta de notificación de cesión de créditos fechada el 29 de enero de 2014” y le requieren el pago de la deuda. - Al pie de la carta se indica que en caso de impago de las obligaciones dinerarias podrá notificarse el incumplimiento a ficheros comunes de morosidad. - Designa como “encargada de tratamiento ante la que se ejercitarán los derechos de acceso, rectificación, cancelación y oposición a GALATA ASSET MANAGEMENT, apartado de correos 40181, 28080 Madrid.” 5. Carta de fecha 09/12/2015 dirigida a la denunciante por SERVDEBT ESPAÑA, S.L., con NIF B86329752, que en esencia tiene el mismo contenido que la anterior y en la que le reiteran el requerimiento de pago de la deuda. 6. EQUIFAX IBÉRICA, S.L. (EQUIFAX) aporta impresión de pantalla de su fichero de notificaciones de inclusión en el que consta que se emitió el día 18/09/2015 una carta de notificación a nombre de la denunciante a la dirección ***DIRECCION.1, sin que conste la devolución a su origen. - Acredita tal extremo a través del certificado emitido por SERVIFORM, S.A. (antes EMFASIS Billing & Marketing Services, S.L.) prestador del servicio de generación de notificaciones de inclusión en el fichero ASNEF, en virtud del contrato marco, de fecha 22 de mayo de 2014, de 18/09/2015, en el que consta que recibió el fichero CARTAS_CREDI_INCLU_SP_20150918023600, con un total de 9132 registros, figurando como primera comunicación a procesar la de referencia 2015-09-1132958 y como última la de referencia 2015-09-1133779. Que en dicho proceso se generó la comunicación de referencia ***REFERENCIA.1 dirigida a la denunciante con domicilio en ***DIRECCION.1. Por lo que certifica la generación, impresión y puesta en el servicio de envíos postales el día 22 de septiembre de 2015. - Se aporta copia de la notificación de inclusión remitida a la denunciante, referenciada y personalizada, de fecha 18/09/2015. - Se aporta copia del albarán de entrega en Correos 22/09/2015, validado mecánicamente y del de UNIPOST de la misma fecha - Se aporta certificado de SERVINFORM B. En el curso del E/4716/2017 se realizaron actuaciones de investigación de las que resultan acreditados estos extremos: 1. PRIME CREDIT3, SARL, con CIF ***NIF.2, otorgó plenos poderes el 25/01/2016 a GESIF, S.A. (CIF A80053697), con domicilio social en Avenida de Manoteras 44, Madrid, y a CABOT ASSET PURCHASES LTD, de nacionalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/32 irlandesa, con CIF N0073084F, cuyo apoderado está domiciliado también en avenida de Manoteras, 44, de Madrid. GESIF, S.A., cambió su denominación social por la de CABOT FINANCIAL SPAIN, S.A., con NIF A80053697. El cambio de denominación social se inscribió en el Registro Mercantil el 13/03/2017 y fue publicado en el BORME el 22/03/2017. CABOT FINANCIAL SPAIN, S.A., tiene su domicilio social en Avenida de Manoteras 44, Madrid. 2. En el fichero ASNEF consta una incidencia informada por PRIME CREDIT, S.A.R.L., asociada al NIF de la denunciante en calidad de avalista, por un saldo impagado de 13.918,43 euros. - Como fecha de alta de la anotación figura el 17/09/2015. Como fecha de baja el 19/03/2016. - PRIME CREDIT confirmó a EQUIFAX el 25/02/2016 la incidencia, con ocasión de que la afectada ejercitara el derecho de cancelación. 3. En su respuesta al requerimiento informativo de la Inspección de 10/10/2017 CABOT FINANCIAL SPAIN, S.A.U, manifiesta que PRIME CREDIT 3, S.A.R.L., cedió la cartera de créditos adquirida de BANCO POPULAR a la sociedad irlandesa CABOT ASSET PURCHASES (IRELAND), LIMITED –CABOT IRELAND- que es la cesionaria del crédito. - Que esta sociedad fue constituida y está vigente bajo las leyes irlandesas, con domicilio social en Block D, Cookstown Court, Old Bergan Road, Tallagaht, Dublín, inscrita en el Registro Mercantil de Irlanda con el número 34901 y con CIF español N0073084F - Que la cesión de créditos entre PRIME CREDIT y CABOT IRELAND se acordó en escritura pública de 08/09/2016. - Que con el fin de gestionar en España esa cartera de créditos, el cesionario, CABOT IRELAND, contrató los servicios de CABOT FINANCIAL, perteneciendo ambas sociedades al 100% al mismo grupo empresarial - A efectos de acreditar que se informó a los deudores cedidos de la cesión de deuda efectuada aporta copia de una carta, personalizada a nombre de la denunciante y referenciada, que tiene fecha de 23/12/2016 en la que le informa de que en virtud de escritura pública de 08/09/2016 PRIME CREDIT 3, S.A.R.L., cede a CABOT ASSES PURCHASES (Ireland) Limited el crédito que ostentaba a la denunciante. En esta carta, CABOT ASSET PURCHASES LIMITED informa de que ha designado a SERDEBT como encargada de la gestión del cobro del crédito cedido debiendo dirigirse para ejercitar los derechos acceso, cancelación, oposición y rectificación y para comunicar cualquier modificación en sus datos a la siguiente dirección: SERDEBT. Avenida de Barajas, 24, Parque Empresarial Omega, Edificio GAMMA, 5ª PLANTA, oficina 1. 28018 ALCOBENDAS. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/32 TERCERO: Con fecha 15/02/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PRIME CREDIT 3, S.A.R.L., por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 29 de la citada Ley Orgánica, y en relación, asimismo, con el artículo 38.1.

1. c)del Reglamento de desarrollo de la LOPD (RLOPD), tipificada como infracción grave en el artículo 44.3.c), pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: El acuerdo de inicio del PS/00067/2018 se notificó electrónicamente a PRIME CREDIT, titular del NIF español ***NIF.2, y a su representante en España, la entidad CABOT FINANCIAL SPAIN, S.L., A. La fecha de puesta a disposición de la notificación del acuerdo de inicio en la dirección electrónica habilitada de PRIME CREDIT fue el 16/02/2018 y la fecha de rechazo automático el 26/02/2018. De ello deja constancia documental el certificado del Servicio de Notificaciones Electrónicas y Dirección electrónica Habilitada de la FNMT. Mediante escrito de fecha 27/02/2018, el letrado D. B.B.B., que afirma actuar en representación de PRIME CREDIT, solicita una ampliación del plazo inicialmente fijado para formular alegaciones. Ampliación que fue otorgada por la instructora del expediente, por el máximo permitido legalmente, en escrito de fecha 01/03/2018. PRIME CREDIT formula alegaciones al acuerdo de inicio el 09/03/2018 por correo administrativo que tiene entrada en el Registro de la AEPD el 15/03/2018. Solicita el archivo del expediente por falta de competencia de esta Agencia y, subsidiariamente, para el caso de no estimarse tal pretensión, que se acuerde el archivo de las actuaciones por inexistencia de infracción imputable a PRIME CREDIT. A su vez, con carácter subsidiario respecto a las anteriores pretensiones, solicita sustituir la multa propuesta por apercibimiento o, en su defecto, minorar el importe imponiendo una sanción por infracción leve en su grado mínimo. El letrado de la denunciada reitera su solicitud a la AEPD para que las notificaciones relativas al presente procedimiento se dirijan a su atención a la calle ***DIRECCION.3, “por no disponer Prime Credit de dirección electrónica habilitada que le permita recibir las notificaciones relativas al presente Procedimiento y no contar con un representante legal en España”. Por la instructora del expediente se responde a tal solicitud mediante email dirigido a ***EMAIL.1, en el que se informa de los términos del artículo 14.2.a, de la LPACAP. PRIME CREDIT, invoca en sus alegaciones al acuerdo de inicio, en apoyo de su pretensión, los argumentos siguientes: 1. Respecto a la falta de competencia de la AEPD indica que, como responsable del fichero al que están incorporados los datos de la denunciante, tiene sede y domicilio en Luxemburgo por lo que está sometida a la legislación Luxemburguesa y no al Derecho español en materia de protección de datos. Cita el artículo 4 de la Directiva 95/46 CE, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/32 del Parlamento Europeo y del Consejo, de 24/10/1995; el artículo 2.
2. a)de la LOPD y el 3.1.
3. a)del RLOPD. Alude también al Dictamen 8/2010, del Grupo de Trabajo del artículo 29 y a los Informes Jurídicos de la AEPD 26/2005 y 224/2011. 2. 3. 4. 5. 6. 7. C/ Jorge Juan, 6 28001 – Madrid Menciona la resolución dictada por esta Agencia en el E/255/2016 – en la que acordó el archivo de las actuaciones seguidas frente a UBER SYSTEMS SPAIN, S.L.,- y concluye con esta afirmación: “Al igual que sucede en el caso de UBER anteriormente referenciado, PRIME CREDIT no trata datos a través de un establecimiento en España, y no tiene actividad mediante establecimiento en España. Sí tiene proveedor de servicios en España, que realiza funciones de encargado de tratamiento en lo que respecta a la prestación de servicios de gestión de cartera de créditos, pero esta situación está expresamente prevista en el artículo 3.1 del Reglamento LOPD, según el cual, en este caso, simplemente se aplicará la legislación española al encargado del tratamiento y en materia de medidas de seguridad” (El subrayado es de la AEPD) Pone de manifiesto las dificultades para dar cumplimiento a la obligación impuesta por el artículo 14 de la LPACAP. Indica que “no les consta” que la entidad denunciada tenga ninguna dirección electrónica habilitada por la Agencia Tributaria. Señala al respecto que no ha resultado posible que quien afirma ostentar la representación de PRIME CREDIT, D. B.B.B. remitiera a esta Agencia un poder de representación de la entidad y tener habilitada una dirección electrónica. Que el poder de PRIME CREDIT a favor de CABOT FINANCIAL SPAIN, S.L., se otorgó el 26/01/2016 con ocasión de la cesión de una cartera de créditos entre la que se encontraba el crédito frente a la denunciante, si bien en la actualidad el citado poder no se encuentra en vigor por lo que CABOT FINANCIAL SPAIN, S.L. no ostenta ninguna representación de PRIME CREDIT. Termina afirmando que “ante la ausencia de un representante en España y para una mayor seguridad jurídica, con carácter extraordinario, rogamos a la AEPD que se dirija a PRIME CREDIT a través del Sr. B.B.B. mediante correo postal certificado a la siguiente dirección: ***DIRECCION.3.” Con carácter subsidiario, niega la comisión de infracción alguna. Afirma que el requerimiento de pago a la denunciante consta acreditado a través de las cartas remitidas el 18/08/2015 y el 09/12/2015. Que en caso de apreciar la existencia de una infracción se sustituya la sanción por un apercibimiento pues concurren los requisitos descritos en los apartados a, y b, del artículo 45.6 LOPD. Con carácter subsidiario respecto a la anterior pretensión, solicita la aplicación del artículo 45.5.
4. a)LOPD, por cuanto, afirma, concurren las siguientes circunstancias del artículo 45.4 LOPD: La infracción no tiene carácter continuado; no hay volumen de tratamiento; no se ha obtenido ningún beneficio; no hay ningún grado de intencionalidad; no hay reincidencia. Solicita la aplicación del artículo 45.5.
5. b)LOPD. A tal efecto expone que la denunciante se dirigió a la AEPD el 31/03/2016 y que antes, el 19/03/2016 sus datos personales se dieron de baja del fichero ASNEF. www.agpd.es sedeagpd.gob.es 7/32 B. CABOT FINANCIAL SPAIN, S.A.U., es, con arreglo a la escritura pública de apoderamiento otorgada por PRIME CREDIT el 26/01/2016 su representante en España y en ella le faculta expresamente para representarla ante la Agencia Española de Protección de Datos. En esa condición le fue notificado el acuerdo de inicio del expediente sancionador. La fecha de puesta a disposición de la notificación fue el 16/02/2018 a las 09.19:44 horas y la fecha de aceptación también el 16/02/2018 a las 09:41.43 horas. Así lo acredita el certificado del Servicio de Notificaciones Electrónicas y Dirección electrónica Habilitada de la FNMT que obra en el expediente. El 02/03/2018 tiene entrada en la sede electrónica de la AEPD un escrito de CABOT FINANCIAL SPAIN, S.A.U., en cuya única alegación expone que no representará a PRIME CREDIT en el expediente que nos ocupa porque su representada le ha comunicado su intención de comparecer y responder en todos los actos del procedimiento directamente y en su propio nombre. Dice textualmente que “a pesar de que CABOT FINANCIAL es el legítimo representante de la sociedad denunciada, PRIME CREDIT, en España, siguiendo las instrucciones recibidas por nuestro representado, a los meros efectos aclaratorios se dirige respetuosamente a esta AEPD para comunicarle que no va a comparecer y contestar en nombre y representación de PRIME CREDIT en este procedimiento sancionador y que será PRIME CREDIT quien comparezca en su propio nombre” y solicita que se tenga por cumplido en tiempo y forma el trámite de contestación al acuerdo de inicio. (El subrayado es de la AEPD) QUINTO: De conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), con fecha 04/06/2018, se abrió un período de práctica de pruebas. La decisión de apertura de prueba y las diligencias de prueba que se solicitaron a diferentes entidades se notificaron dos veces: La primera en fecha 04/06/2018 al haberse producido fallos en el sistema de notificación electrónica que impedían obtener un certificado de la FNMT acreditativo de la fecha de acceso por lo que se procedió el 07/06/2018 a hacer una segunda notificación. Se acuerda la práctica de las siguientes diligencias de prueba: 1. Incorporar al procedimiento las actuaciones de inspección realizadas en el E/2433/2016, cuya incorporación al expediente de investigación E/04716/2017 tuvo lugar mediante diligencia de 17/10/2017; la documentación recabada en el curso de las actuaciones de investigación efectuadas en el marco de este último y el Informe de Actuaciones de Investigación Previa. Documentos todos ellos que integran el expediente E/04716/2017. 2. Incorporar las alegaciones al acuerdo de inicio del procedimiento PS/00067/2018 presentadas por PRIME CREDIT 3, S.A.R.L. en fecha 09/03/2018, que tuvieron entrada en el Registro de este organismo el 15/03/2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/32 3. Incorporar las alegaciones al acuerdo de inicio del procedimiento PS/00067/2018, presentadas por CABOT FINANCIAL SPAIN, S.L., en calidad de representante de PRIME CREDIT. 4. Se solicitó al BANCO POPULAR la información y documentación que se detalla: 1. En relación a la cuenta bancaria <<ES XX XXXX XXXX XX XXXXXXXXXX, S.S.S.>>, que facilite la identidad de la/s persona/s física/s o jurídica/s que figuraba/n como titular/es y como autorizado/s de dicha cuenta durante los años 2015 y 2016. 2. Asimismo, se les requiere para que faciliten cuanta información obre en su poder asociada a los titulares o autorizados de la citada cuenta: domicilios, centros de trabajo, nacionalidad etc. 3. Copia del contrato suscrito con BANCO POPULAR para la apertura de la cuenta bancaria indicada y en su caso, de las novaciones contractuales que se hubieran celebrado. 5. Se solicitó a Equifax Ibérica, S.L., los siguientes documentos e información: 1. Copia del contrato celebrado entre ASNEF EQUIFAX, S.L., y/o EQUIFAX IBÉRICA, S.L., y la entidad PRIME CREDIT 3, S.A.R.L. A tal efecto le recordamos que la citada entidad figura en la documentación que obra en poder de esta Agencia, relativa a los históricos de EQUIFAX, como entidad informante de diversas incidencias en el fichero ASNEF. 2. En todo caso, deberá informar sobre las siguientes cuestiones: -Datos de contacto que obraban en su poder respecto a PRIME CREDIT 3, S.A.R.L. Tanto datos de la persona jurídica como de las personas físicas que, eventualmente, asumieran su representación, con acreditación documental en su caso de este extremo. -Direcciones y domicilios de contacto. -Datos de las cuentas bancarias desde las que se abonaban a EQUIFAX los servicios prestados-Fecha de finalización del contrato con EQUIFAX y motivos. 6. Se solicitaron a SERVDEBT ESPAÑA, S.L., los siguientes documentos e información: 1. Copia del contrato de prestación de servicios suscrito por SERVDEBT a favor de PRIME CREDIT 3, SARL. Indicación de la fecha de inicio y fecha de finalización. 2. Datos de contacto de PRIME CREDIT 3, SARL que obraban en poder de esta entidad. 3. Medio de pago utilizado por PRIME CREDIT para el abono a SERVDEBT de los servicios prestados. Si el pago se realizó por transferencia bancaria datos de la cuenta desde la cual se ordenó el pago. 7. Se solicitó a GÁLATA ASSET MANAGEMENT, S.L., los siguientes documentos e información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/32 1. Copia del contrato de prestación de encargo de tratamiento suscrito entre GÁLATA ASSET MANAGEMENT, S.L. y PRIME CREDIT 3, SARL. Indicación de las fechas de inicio y de finalización 2. Medio de pago utilizado por PRIME CREDIT para el abono a GÁLATA ASSET MANAGEMENT, S.L. de los servicios prestados. Deberá acreditar documentalmente su respuesta. Si el pago se realizó por transferencia bancaria deberá facilitar los datos de la cuenta desde la cual se ordenó el pago. 3. Datos de contacto con representantes o empleados de GÁLATA ASSET MANAGEMENT, S.L. 8. Se solicitó a la Agencia Estatal de Administración Tributaria (AEAT) que informara sobre los tributos por los que la titular del NIF ***NIF.2 ha presentado liquidaciones tributarias. 9. Se solicitó al BANCO SANTANDER, S.A., en fecha 15/06/2018 que en relación a la cuenta bancaria identificada con los dígitos ESRR RRRR RRRR RRRR RRRR RRRR, facilitada por EQUIFAX, nos comunicara los datos identificativos de las personas, físicas o jurídicas, que figuran o han figurado desde la apertura de la cuenta como titulares o autorizado. El resultado de las pruebas practicadas fue el siguiente: 1. EQUIFAX responde en escrito de entrada en la AEPD el 11/06/2018. - Aporta copia del contrato de adhesión firmado entre Asnef Equifax, Servicios de Información sobre solvencia patrimonial y crédito, S.L., y PRIME CREDIT, representada por D. P.M.R, el 19/02/2013. Precisa que en la actualidad el contrato continúa vigente - Aporta escrito firmado por D. P.M.R., en representación de PRIME CREDIT, de fecha 19/02/2013, en el que designa como “interlocutor válido” con EQUIFAX “en el contexto del cumplimiento y ejecución del contrato, relaciones con el Servicio de Atención al Cliente que tramita ejercicio de derechos así como encargada de realizar las gestiones de alta/modificación/baja del fichero “Asnef”, a la sociedad COBRALIA”. El domicilio de esta entidad es ***DIRECCION.2, 28023 Madrid, y la persona de contacto D. JM.C.A. - Indica que los datos de la cuenta bancaria de PRIME CREDIT desde la cual se abonan a EQUIFAX los servicios prestados son ESRR RRRR RRRR RRRR RRRR RRRR. BANCO SANTANDER, S.A., comunicó a la AEPD, en respuesta a la prueba solicitada sobre el titular y cotitulares de la cuenta bancaria desde la cual, supuestamente, se abonaban por PRIME CREDIT los servicios del fichero ASNEF que tal cuenta pertenece a ASNEF EQUIFAX, Servicios de Información sobre solvencia patrimonial y crédito, S.L., EQUIFAX, en escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/32 fecha 25/06/2018, procede a rectificar la información inicial y manifiesta que PRIME CREDIT hace sus pagos a través de transferencia bancaria por lo que ignoran el número de cuenta de la que procede el ingreso. Aporta resguardo de Banco Santander de 08/06/2018 relativo a una transferencia ordenada por 2014 PRIME CREDIT 3, S.A., en el que el único dato bancario que figura es el de la cuenta de destino que nos facilitó en su día. 2. BANCO POPULAR responde en escrito de fecha 04/06/2018: - Respecto a la cuenta bancaria ESXX XXXX XXXX XX XXXXXXXXXX, aportan copia del contrato de cuenta corriente suscrito el 24/12/2013 y de las modificaciones posteriores, de fechas 11/04/2016, 06/05/2016, 14/06/2016 motivadas por el cambió de las personas físicas que constan como apoderados. - En cuanto a las personas que figuran como titulares y autorizados de la cuenta bancaria durante los años 2015 y 2016, se indica que el titular es PRIME CREDIT3, S.A.R.L. (***TELEFONO.1). Y como apoderados desde la apertura de la cuenta hasta la actualidad D. J.M.G.R.C y D. V.C.M. cuyos NIF constan en la documentación remitida. Desde el 27/02/2014 hasta el 14/02/2018 figuran como apoderados dos personas más, cuyos nombres y DNI se facilitan. Desde el 11/04/2016 hasta la actualidad cuatro personas, cuyos nombres y DNI se facilitan. Y otra persona, cuyos datos identificativos se facilitan, figura también como apoderado desde el 16/05/2016 hasta la actualidad. 3. La AEAT, en escrito de 20/06/2018, manifiesta que, a tenor de los dispuesto en los artículos 95 de la LGT (Ley 58/2003) y Disposición Adicional primera de la Ley 39/2015, del procedimiento administrativo común de las Administraciones Públicas, que no se cumplen las condiciones que permitan facilitarnos la información solicitada. 4. SERVEDEBT ESPAÑA, S.L., responde a la prueba solicitada en escrito de fecha 28/06/2018 en el que declara que únicamente contrató con GALATA ASSET MANAGEMENT, S.L. (GÁLATA), actuando esta entidad como principal prestador de servicios de gestión y recuperación de créditos de PRIME CREDIT respecto a los contratos que esta última había adquirido de BANCO POPULAR, por lo que ignora los datos de contacto de la denunciada, PRIME CREDIT. - Explica que los servicios de gestión y recobro que SERVEDEBT prestó a GÁLATA en virtud del citado contrato se iniciaron en febrero de 2015 y finalizaron el 29/02/2016. 5. GÁLATA respondió a las pruebas solicitadas en escrito remitido por correo administrativo de 19/06/2018 que ha tenido entrada en la AEPD el 22/06/2018. -Aporta copia del contrato marco de prestación de servicios formalizado entre GÁLATA y PRIME CREDIT el 27/12/2013 que estuvo en vigor hasta el 26/05/2016. Adjunta como Anexo II la copia del “Adjunto Miró” y la traducción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/32 jurada. - Indica que los servicios fueron abonados por PRIME CREDIT mediante transferencia bancaria. QUINTO: Con fecha 16 de julio de 2018, por la instructora del expediente se emitió propuesta de resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a PRIME CREDIT 3, S.A.R.L. con NIF ***NIF.2, con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3, de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), en relación con su artículo 29.4 y con el artículo 38.1.c del Reglamento de desarrollo de la LOPD (RLOPD), tipificada como infracción grave en el artículo 44.3.
6. c)de dicha norma.>> SEXTO: La propuesta de resolución fue notificada electrónicamente a PRIME CREDIT, siendo la fecha de “puesta a disposición” el 16/07/2018 a las 16:21:25 horas y la “fecha de aceptación”, el mismo día a las 17:12:08 horas. Así lo acredita el Certificado emitido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre. El plazo de diez días hábiles conferido a PRIME CREDIT para presentar alegaciones a la propuesta de resolución (ex artículo 73.1 LPACAP) finalizó el 30 de julio de 2018. En fecha 2 de agosto de 2018 no se tiene noticia de la entrada en el Registro de esta Agencia de las alegaciones de PRIME CREDIT a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con DNI ***NIF.1, y domicilio en ***DIRECCION.4, según consta en su DNI (folio 12) denuncia que sus datos personales han sido incluidos en el fichero ASNEF sin hacer el requerimiento previo de pago y sin que la entidad responsable del fichero le haya notificado la inclusión. (Folio 1) SEGUNDO: La denunciante afirma haber conocido los hechos que denuncia con ocasión de recibir una carta de SANTANDER CONSUMER FINANCE comunicándole la inminente cancelación de su tarjeta EROSKI por “incremento del riesgo crediticio”. La carta (folio 2) tiene fecha de “febrero de 2016”. TERCERO: Los datos personales de la denunciante -NIF, nombre y dos apellidosfueron comunicados al fichero de solvencia ASNEF, con fecha de alta 17/09/2015, por PRIME CREDIT 3, S.A.R.L., por un saldo impagado de 13.918,43 euros en calidad de avalista. El domicilio que consta en ASNEF asociado a la denunciante no es el suyo sino el siguiente: ***DIRECCION.1 (Folio 6) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/32 La inclusión se dio de baja, según consta en el fichero FOTOCLÍ, auxiliar de ASNEF, el 19/03/2016 (folio 92) CUARTO: La deuda atribuida a la denunciante, por la que fue incluida en el fichero ASNEF, formaba parte de una cartera de créditos que BANCO POPULAR ESPAÑOL, S.A./ BANCO POPULAR-E,S.A., vendió a la sociedad PRIME CREDIT. El contrato se elevó a escritura pública por el Notario D. A.L.G.R. el 27/12/2013. Los datos de la cartera de créditos quedaron protocolizados en la escritura en un soporte CD-ROM. La estipulación primera del contrato de préstamo suscrito entre ambas entidades detalla que los créditos que integran la cartera de créditos son los relacionados en el CD- ROM que se incorpora como anexo al contrato, formando parte inseparable del mismo. Se detalla la información que se recoge en el CD-ROM, entre ella (
7. ii)la identidad de cada uno de los deudores o avalistas de los créditos, incluyendo DNI o CIF (iii) los datos de contacto de cada uno de los deudores incluyendo las direcciones completas y los distintos teléfonos disponibles. (Folios 49, 162, 163 y 172) QUINTO: PRIME CREDIT manifiesta que el 18/08/2015, a través de SERVDEBT S.L., (SERVDEBT) remitió una notificación a la denunciante informándole de la cesión del crédito e instándole a pagar la cantidad debida. Que el 09/12/2015 le remitió otra notificación, informándole igualmente de la cesión del crédito, instándole al pago de la cantidad debida y manifestando su voluntad de llegar a una solución extrajudicial para regularizar y/o cancelar la deuda. (Folios 34 y 35) SEXTO: PRIME CREDIT aporta copia de las cartas de fecha 18/09/2015 y 09/12/2015, que afirma haber enviado a la denunciante a través de la empresa SERVDEBT, en las que supuestamente le habría requerido el pago de la deuda. (Folios 53, 54, 123 y 124) SÉPTIMO: Las cartas, de fecha 18/09/2015 y 09/12/2015, tienen las siguientes características: - C/ Jorge Juan, 6 28001 – Madrid Ambas llevan el anagrama de SERVDEBT y en su parte superior izquierda consta, como “Asunto”, “Contrato número ***CONTRATO.1”. Ambas van dirigidas a la denunciante (figura su nombre y dos apellidos) y a la dirección de ***DIRECCION.1 En cada una de ellas figura, respectivamente, “(DoclD: 197817)” y “(DoclD: 219768)”. En ambas se informa de que la deuda procede de un contrato de préstamo suscrito por la denunciante en calidad de “Titular/Avalista con Banco Popular Español, S.A.,” el 26/06/2006. En ninguna de las cartas se informa del importe adeudado Al pie de ambos escritos se informa de que en caso de impago de cualquiera de las obligaciones dinerarias los datos podrán incluirse en ficheros comunes de morosidad. Designa como “encargada de tratamiento ante la que se ejercitarán los derechos de acceso, rectificación, cancelación y oposición a GALATA ASSET MANAGEMENT, apartado de correos 40181, 28080 www.agpd.es sedeagpd.gob.es 13/32 Madrid.” (Folios 53, 54, 123 y 124) OCTAVO: PRIME CREDIT no ha facilitado ningún documento acreditativo del envío de las cartas mencionadas, cuya copia aporta, ni de los trámites seguidos de los que pudiera inferirse que, efectivamente, las cartas fueron recibidas por la destinataria y actual denunciante. NOVENO: PRIME CREDIT ha remitido a esta Agencia un “Testimonio” notarial “de la exhibición de copia autorizada de escritura de elevación a público de contrato de compraventa de cartera de créditos sin garantía real otorgada” entre Banco Popular Español, S.A., Banco Popular-E, S.A., y PRIME CREDIT 3, SARL, “autorizada por mí, el día 27 de diciembre de 2013, bajo el número 11.234 de mi protocolo…” En el Testimonio se indica que PRIME CREDIT compró una cartera de créditos cuyos datos de identificación han quedado protocolizados en dicha escritura en soporte CD-ROM y que “entre dichos créditos figura/n lo/s siguiente/s:” A continuación, en el mismo documento notarial (página “CZ0808779”), se recoge esta información: -“Referencia ***REFERENCIA.2 - Código contrato: - Código de identificación: ***CONTRATO.1”. - Bajo las rúbricas “Nombre” y “NIF” y en filas sucesivas consta lo siguiente: “Juguetes Gloria S.L. B92514488; F.F.F. *****; J.J.J., *******; A.A.A., ***NIF.1…..” (Folios 49 y 50) DÉCIMO: PRIME CREDIT ha facilitado una captura de pantalla de sus sistemas (folios 51 y 52). No se trata de un documento extendido en papel timbrado de la Notaría ni forma parte del Testimonio notarial mencionado en el Hecho probado precedente. En ella se recoge la siguiente información relevante: - - En la cabecera de la pantalla figura “Gesif, S.A.- Web de reporters e i… y en la primera pestaña de la pantalla “GESIFSGI”. Parece estar activada la casilla “Intervinientes (F16)”. En un desplegable, bajo las rúbricas “Tipo”, “Nombre”, “DNI”, “Número cliente”, “Fecha nac” y “Operación”, en líneas sucesivas, se ofrecen los datos relativos al “Guarantor 2” “J.A., G, D”; “Guarantor 5”, “A.A.A.” “***NIF.1”. En un recuadro situado en la parte inferior izquierda de la pantalla, con la rúbrica “Direcciones de A.A.A.” consta la siguiente dirección: “***DIRECCION.1”. (Folios 50 y 51) UNDÉCIMO: BANCO POPULAR ha aportado copia de la póliza de crédito, intervenida notarialmente, de 26/06/2006, número de contrato ***CONTRATO.2, con JUGUETES GLORIA, S.L., en calidad de titular, en la que la denunciante tenía la condición de avalista. En el documento contractual aparecen los datos del DNI/NIF y el domicilio tanto de la titular del préstamo, la entidad Juguetes Gloria, S.A., como de los cinco avalistas. La avalista 5 es la denunciante y el domicilio que figura en el contrato es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/32 “***DIRECCION.4.” De los cinco avalistas cuyos datos están reflejados en la póliza de préstamo sólo el avalista 1, D.ª F.F.F.. está domiciliada en ***DIRECCION.1. (Folios 211 a 216) DUODÉCIMO: BANCO POPULAR ha aportado copia de los datos asociados a la denunciante que figuraban en sus sistemas informáticos, debidamente bloqueados. La dirección coincide con la que se refleja en la póliza de préstamo: ***DIRECCION.4. La misma que consta en su DNI y en la denuncia presentada ante la AEPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 del citado texto legal dispone en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con las definiciones recogidas en los artículos 3.a), 3.
9. e)y 3.
10. c)de la LOPD referentes a lo que debe entenderse por “datos de carácter personal”, “afectado o interesado” y “tratamiento de datos”, respectivamente: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
11. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en su artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/32 “ 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (….)
12. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). A su vez, el artículo 39 del RLOPD, “Información previa a la inclusión”, establece que “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
13. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Por otra parte, el artículo 43.1 (“Responsabilidad”) del RLOPD dispone: “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Los requisitos que el artículo 38.1 del RLOPD exige para poder incluir datos de carácter personal en ficheros de solvencia patrimonial y crédito son una manifestación del principio de calidad de los datos que proclama el artículo 4.3 de la LOPD. Este principio significa que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. El cumplimiento de tal obligación incumbe a los responsables de los ficheros y a los encargados de tratamiento quienes deberán velar para que su actuación se ajuste a las disposiciones reguladoras de este derecho fundamental. III Se analiza con carácter previo la supuesta falta de competencia de la AEPD para conocer del expediente sancionador que nos ocupa que ha sido invocada por PRIME CREDIT en su defensa. La denunciada alega que tiene sede y domicilio en Luxemburgo por lo que está sometida a la legislación luxemburguesa y no al Derecho español en materia de protección de datos. Cita el artículo 4 de la Directiva 95/46 CE, del Parlamento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/32 Europeo y del Consejo, de 24/10/1995; el artículo 2.
14. a)de la LOPD y el 3.1.
15. a)del RLOPD. Alude también al Dictamen 8/2010, del Grupo de Trabajo del artículo 29 y a los Informes Jurídicos de la AEPD 26/2005 y 224/2011. El artículo 2 de la LOPD, determina en su apartado 1 el ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
16. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
17. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
18. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen con fines de tránsito”. Este precepto traspuso el artículo 4 de la Directiva 95/46/CE, que literalmente señalaba: “Derecho nacional aplicable: 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
19. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable; (…)” Parece conveniente traer a colación la SAN de 02/12/2014 (Recurso 363/2010) en la que la Sala de lo Contencioso de la Audiencia Nacional afirma lo siguiente: << A la interpretación del artículo 4.1.
20. a)de la Directiva 95/46/CE, de 24 de octubre, se refiere la STJUE de 13 de mayo de 2014, cuestión prejudicial Google Spain S.L. y Google Inc./AEPD, C-131/2012, donde en contestación a la cuestión prejudicial planteada por esta misma Sala se afirma lo siguiente: “El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro”. El hecho de que la STJUE haga referencia al empleo de una sucursal o filial C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/32 con la finalidad concreta de garantizar la promoción y la venta de espacios publicitarios propuestos por gestor del motor de búsqueda no constituye obstáculo alguno para aplicar la doctrina que expresa al caso que nos ocupa. […] Recordemos antes de exponer el fundamento de tal afirmación que el artículo 4, apartado 1, letra a), de la Directiva 95/46, bajo el título «Derecho nacional aplicable», dispone lo siguiente: “1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
21. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable” Asimismo, el artículo 2.1.
22. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), dispone la aplicación de dicha Ley Orgánica a todo tratamiento de datos de carácter personal cuando, entre otros supuestos, “el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento”. En este mismo sentido, establece el artículo 3.1.
23. a)del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el reglamento de la LOPD, que se regirá por ese reglamento todo tratamiento de datos de carácter personal cuando, entre otros supuestos, “el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español”. […] […] resulta especialmente relevante recordar que, conforme a lo previsto en el artículo 28, apartados 3 y 4, de la Directiva 95/46, toda autoridad de control entenderá de las solicitudes de cualquier persona relativas a la protección de sus derechos y libertades en relación con el tratamiento de datos personales y que dispone de poderes de investigación y de poderes efectivos de intervención, que le permiten, en particular, ordenar el bloqueo, la supresión o la destrucción de datos, o prohibir provisional o definitivamente un tratamiento (véase la sentencia Google Spain/AEPD, C-131/12, apartados 77 y 78). En este mismo sentido, el artículo 37.1.
24. a)de la LOPD atribuye a la Agencia Española de Protección de Datos la función de velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos. Pues bien, no sería posible garantizar una adecuada tutela del derecho a la protección de datos que tanto la Carta, en su artículo 8, como nuestra Constitución, en su artículo 18.4, consagran, si se negara competencia a la Agencia Española de Protección de Datos para garantizar el derecho de su titular a oponerse al tratamiento de sus datos personales o solicitar su cancelación, antes examinados a la luz de la Directiva y del Derecho español cuando el tratamiento se efectúa por una entidad radicada en otro Estado miembro, en el marco de las actividades de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/32 establecimiento de tal entidad ubicado en territorio español. Así se pone de manifiesto por los términos en que se expresa el considerando 19 de la Directiva 95/46/CE al establecer lo siguiente: “Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades”. Igualmente, así se desprende del alcance y consecuencias que la Directiva 95/46/CE atribuye al ejercicio de los derechos reconocidos en los artículos 12, letra b), y 14, párrafo primero, letra a), recogidos en los regulados en los artículos 6.4, 16 y 17 de la LOPD, antes expuestos. Y, así se desprende también con claridad del contenido del artículo 2.1.
25. a)de la LOPD y del artículo 3.1.
26. a)de su reglamento, antes transcritos. Por último, así se deduce del Dictamen 8/2010 del GT29, de 16 de diciembre, que en interpretación del citado artículo 4.1.
27. a)de la Directiva afirma lo siguiente: “un Estado miembro aplicará su Derecho nacional de protección de datos cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Para la determinación de un establecimiento relevante para los efectos del artículo 4, apartado 1, letra a), es clave que el organismo en cuestión realice un ejercicio efectivo y real de actividades. Además, la referencia a «un» establecimiento significa que la aplicabilidad del Derecho de un Estado miembro se desencadenará por la ubicación de un establecimiento del responsable del tratamiento en ese Estado miembro y los Derechos de otros Estados miembros podrían desencadenarse por la ubicación de otros establecimientos de ese responsable del tratamiento en esos Estados miembros. La noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del ámbito del Derecho aplicable. La noción de «marco de actividades» implica que el Derecho aplicable no es el del Estado miembro en el que esté establecido el responsable del tratamiento, sino en el que un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos personales. En este contexto, es crucial el grado de implicación del (de los) establecimiento(
28. s)en las actividades en cuyo marco se traten los datos personales. Además debe considerarse la naturaleza de las actividades de los establecimientos y la necesidad de garantizar una protección efectiva de los derechos de las personas. En el análisis de estos criterios debe adoptarse un enfoque funcional: más que la indicación teórica por las partes del Derecho aplicable, lo que debería ser decisivo son su comportamiento e interacción en la práctica”. Por consiguiente, debe concluirse que la Ley Orgánica de Protección de Datos y su reglamento serán aplicables al tratamiento de datos personales efectuado «en el marco de las actividades» de un establecimiento del responsable del tratamiento, cuando el establecimiento se encuentre ubicado en territorio español y el responsable del tratamiento tenga su domicilio social en otro Estado miembro, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/32 correspondiendo, por ende, la competencia para resolver las solicitudes de tutela del derecho de cancelación y oposición en relación con dicho tratamiento a la Agencia Española de Protección de Datos.>> (El subrayado es de la AEPD) A. Especial relevancia tiene el hecho de que PRIME CREDIT tuviera designado un representante en España (la sociedad GESIF, S.A.U., con domicilio en avenida de Manoteras, Madrid), mediante Escritura Notarial de apoderamiento autorizada el 25/01/2016. Documento que la denunciada facilitó a la Inspección de Datos en el curso de la investigación previa (folios 18 a 30). En ella, PRIME CREDIT, representada de nuevo por D. B.B.B., “confiere poder tan amplio y bastante como en derecho pudiese ser necesario” a favor de GESIF, S.A.U., CIF A-80053697. A propósito del apoderamiento conferido a la sociedad GESIF (cuya denominación social actual es CABOT FINANCIAL SPAIN, S.A.U.) se plantean dos cuestiones:
29. a)La primera, relativa a la vigencia del citado apoderamiento, toda vez que en sus alegaciones al acuerdo de inicio del procedimiento sancionador PRIME CREDIT ha declarado que cesó el “8 de septiembre de 2016”. La denunciada dice que se otorgó “durante el periodo transitorio que transcurre entre el 25 de enero y el 8 de septiembre de 2016 un poder para que CABOT FINANCIAL SPAIN, S.L., gestionase la cartera objeto de compraventa, si bien, a día de hoy dicho poder no se encontraría en vigor para la gestión del crédito de la Sra. A.A.A.. Por lo tanto, desde el 8 de septiembre de 2016 CABOT FINANCIAL SPAIN, S.L, no tiene la consideración de representante de PRIME CREDIT”. (El subrayado es de la AEPD) Frente a esa afirmación se han de hacer varias consideraciones: La primera de ellas, que la Escritura Notarial de apoderamiento conferido por PRIME CREDIT a la entonces GESIF (que data del 25/01/2016), en el punto 10, “Ratificaciones”, párrafo cuarto, dice que “Las facultades conferidas en virtud del presente poder serán válidas durante un periodo de treinta y seis meses desde la fecha del otorgamiento.” (El subrayado es de la AEPD) Lo cual significa que habiéndose otorgado el poder el 25/01/2016 estaría vigente hasta el 25/01/2019. Añadir también que, si bien con arreglo al Código Civil español la revocación del mandante es causa de extinción del mandato, es significativo que la entidad apoderada, GESIF (en la actualidad CABOT FINANCIAL SPAIN) no tenga ninguna noticia de esa supuesta extinción. En un escrito reciente que presentó ante esta Agencia, de 02/03/2018, afirma ser la legítima representante en España de la denunciada. Nos remitimos a las alegaciones al acuerdo de inicio del expediente sancionador que GESIF/ CABOT FINANCIAL presentó, en las que dice textualmente (folio 257) que “a pesar de que CABOT FINANCIAL es el legítimo representante de la sociedad denunciada, PRIME CREDIT, en España, siguiendo las instrucciones recibidas por nuestro representado, a los meros efectos aclaratorios se dirige respetuosamente a esta AEPD para comunicarle que no va a comparecer y contestar en nombre y representación de PRIME CREDIT en este procedimiento sancionador y que será PRIME CREDIT quien comparezca en su propio nombre” (El subrayado es de la AEPD)
30. b)La segunda cuestión relacionada con el poder de representación que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/32 denunciada otorgó a GESIF, hoy CABOT FINANCIAL, es su alcance o extensión y si las actividades para las que ha sido apoderada conllevan un tratamiento de datos de carácter personal. La escritura de apoderamiento detalla las actividades objeto del apoderamiento, entre las cuales existen muchas que entrañan o llevan implícito, necesariamente, un tratamiento de datos de carácter personal. Así, cabe recordar que GESIF queda facultada para “1. (..) vender y enajenar a título oneroso mediante cualquier instrumento jurídico los Créditos” ; “2.2. Gestionar con los deudores el pago total o parcial de los créditos, admitiendo en su pago bienes y derechos, transigiendo, concediendo quitas o esperas, condonando la deuda (en su caso). 2.3. Efectuar cualquier otra actividad relativa a la recuperación de Créditos”. El apartado “3. Representación General” dice: “Representar a la Poderdante, en relación con los Créditos, en toda clase de actos, negocios, expedientes, trámites, procedimientos, diligencias y gestiones ante las Autoridades, Organismos, Centros y dependencias de la Administración Central, Autonómica o Municipal de cualquier ámbito…”. En el sub apartado (
31. c)añade: “Representar a la Poderdante ante los deudores de los Créditos, en particular responder a las solicitudes de acceso, rectificación, cancelación y oposición formuladas por los deudores de los Créditos en relación con sus datos personales, en nombre y por cuenta del Poderdante (responsable del fichero)” . En el sub apartado (
32. d)dice: “Representar a la poderdante en toda clase de actos, negocios, expedientes, trámites, procedimientos, diligencias y gestiones ante organismos administrativos, entre ellos la Agencia Española de Protección de Datos….” El punto “4” “Garantías” alude a “aceptar en relación con los Créditos, y en su caso, liberar y cancelar en nombre del Poderdante, hipotecas, prendas y demás garantías ya sean de carácter personal o real que se constituyan a favor del poderdante en garantía de los créditos así como aceptar y gestionar la adjudicación de cualquier otra naturaleza bajo los Créditos”. El punto 6, “Correspondencia” dice que “En relación con los Créditos, recibir y contestar toda clase de notificaciones, citaciones y pliegos de cualquier autoridad. Retirar de las oficinas de correos y telégrafos cartas, certificados, despachos, paquetes, giros y valores declarados ….”. El punto 7 indica que “En relación con los créditos, formular requerimientos notariales y enviar, en nombre y por cuenta de la poderdante cualesquiera cartas, faxes y cualesquiera otras modalidades de comunicación, por conducto notarial, por burofax o por cualquier otro medio”. El punto 8 hace referencia a “Firmar cualquier documento público o privado relacionado con las facultades previstas en este apoderamiento en relación con los Créditos”. El punto 9, bajo la rúbrica “Actos conexos y complementarios” alude a “Realizar cuantos actos accesorios, conexos o complementarios sean necesarios para la más completa ejecución del mandato recibido en este apoderamiento en relación con los créditos.” B. Sentado lo anterior, hemos de poner de manifiesto que entre las actividades que PRIME CREDIT desarrolla se encuentra la adquisición de carteras de deuda con la finalidad, evidente, de cobrar su importe. Entre las operaciones que ha realizado en España cabe mencionar la compra en 2013 (el contrato se elevó a Escritura Pública el 27/12/2013) a Banco Popular Español, S.A. y Banco Popular-E, S.A., de una cartera de deuda cuyo precio superó los once millones de euros lo que permite tener una idea C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/32 del volumen de créditos, y por tanto, de datos personales que han sido objeto de tratamiento a raíz de la citada operación financiera. La actividad empresarial de PRIME CREDIT está indisolublemente unida al tratamiento de los datos personales de los titulares de las deudas o de quienes aparecen como tales. Tratamiento que respecto a la cartera de deuda adquirida a BANCO POPULAR se ha realizado en territorio español pues es donde residen la inmensa mayoría de los deudores cedidos. En territorio español se realiza un conjunto muy variado de acciones encaminadas al cobro de la deuda comprada. Se trata de una actividad compleja y prolongada en el tiempo que entraña a su vez actividades profesionales muy diversas. Desde la contratación de servicios jurídicos que ofrezcan asesoramiento y, eventualmente, defensa ante los Tribunales de Justicia para hacer efectivo el cobro de las deudas, hasta los servicios prestados por los Ficheros de solvencia patrimonial o los prestados por empresas que gestionen materialmente el pago de las deudas. PRIME CREDIT, sociedad de nacionalidad luxemburguesa, es poseedora de un NIF español, asignado por la AEAT: ***NIF.2. Este NIF se facilita por la AEAT a aquellas personas jurídicas extranjeras no residentes en territorio español que estén obligadas a tributar en España. Tributación que, por sí sola, es ya un indicio sólido de actividad. En segundo término, PRIME CREDIT tiene abierta en España, al menos, una cuenta corriente. La cuenta bancaria ESXX XXXX XXXX XX XXXXXXXXXX. Es digno de mención que la citada cuenta se abrió días antes de la compra de la cartera de créditos a BANCO POPULAR, en fecha 24/12/2013, y se encontraba abierta en la fecha en la que fueron objeto de tratamiento los datos personales de la denunciante y continúa abierta en la actualidad. La documentación que BANCO POPULAR ha aportado evidencia que constan como apoderados de la titular de la cuenta, PRIME CREDIT, desde la fecha en la que aquella se abrió y hasta el día de hoy D. V.C.M. y D. B.B.B.; la misma persona que ha comparecido ante esta Agencia, en el PS/67/2018, en calidad de representante de PRIME CREDIT pero sin aportar documento que así lo acredite porque, según ha manifestado en sus escritos, le ha sido imposible lograr una autorización a su nombre de su representada –PRIME CREDIT-. Afirma que igualmente imposible ha sido obtener a su propio nombre una firma electrónica. Afirmaciones que llaman poderosamente la atención: la imposibilidad de acreditar la representación porque viene actuando en nombre de la entidad desde 2013. Y la falta de dirección electrónica a su nombre, porque en el ejercicio de su profesión es una exigencia tanto para relacionarse con la Administración pública en calidad de representante de una persona jurídica, como es el caso que nos ocupa, artículo 14 de la LPACAP, como en las relaciones con los Tribunales de Justicia una vez implantada Lexnet. Tan llamativo como el pretendido desconocimiento de que según la normativa de la AEAT todas las entidades que tienen asignado un NIF como el que posee PRIME CREDIT, preceptivamente, han de comunicarse con ella a través de una dirección electrónica habilitada. Parece evidente que la cuenta bancaria a nombre de PRIME CREDIT tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/32 una actividad importante si se valora el número de apoderados, personas físicas, con los que cuenta. De los dos iniciales, en la actualidad figuran siete personas como apoderadas. En tercer lugar, PRIME CREDIT, representada por D. P.M.R., para el desarrollo de su actividad necesitó suscribir un contrato con Asnef Equifax Servicios de Información de Solvencia Patrimonial y Crédito, S.L., en fecha 19/02/2013, contrato que continúa vigente, en virtud del cual comunica al fichero de solvencia ASNEF los datos de los deudores que incumplen las obligaciones de pago. Ahora bien, toda vez que la utilización de los servicios de un fichero de solvencia y el cumplimiento de la normativa de protección de datos española requiere una actividad continua, como consta en el expediente, el representante de PRIME CREDIT, D. P.M.R., dirigió a Asnef Equifax Servicios de Información de Solvencia Patrimonial y Crédito, S.L., una carta de esa misma fecha, 19/02/2013, en la que, en relación con el contrato de prestación de servicios sobre solvencia patrimonial y crédito firmado el 19/02/2013, le comunica lo siguiente: <<I. Prime Credit 3, S.A.R.L. (el acreedor) y Cobralia Servicios Integrales de Recuperación, S.L., (el gestor) con CIF B-83261602 (en adelante Cobralia) mantienen una relación contractual, en virtud de la cual, Cobralia realiza para PRIME CREDIT actividades de gestión de recuperación de los créditos propiedad de ésta y de tratamiento de datos personales de los deudores ligados a tales créditos, como encargado del tratamiento autorizado por PRIME CREDIT. II. Por tanto, será Cobralia por cuenta de PRIME CREDIT, la entidad encargada de realizar todas las gestiones de alta/modificación/baja del fichero Asnef de información de morosidad de las obligaciones dinerarias incumplidas que provengan de operaciones financieras de cualquier modalidad y de servicios de telecomunicaciones de las carteras de crédito propiedad de PRIME CREDIT,…” (El subrayado es de la AEPD) Se indica además (estipulación IV) que COBRALIA designa como dirección de notificaciones –a la Att. De D. J.M.C.A- la ***DIRECCION.2. La actividad desarrollada en España por PRIME CREDIT se pone de manifiesto igualmente a través del contrato que celebró el 27/12/2013 –la misma fecha de elevación a público del contrato de compra de la cartera de créditos- con GÁLATA ASSET MANAGEMENT, S.L. (GÁLATA) y que ha permanecido en vigor hasta el 26/05/2016. Contrato en el que interviene como representante de PRIME CREDIT D. B.B.B.. El anexo al contrato denominado Anexo Miró se refiere a la prestación de los servicios en relación con la cartera de deuda comprada a BANCO POPULAR. Se hace constar en él el importe de la deuda adquirida que estaba pendiente de pago, lo que permite tener una idea aproximada de la actividad que se ha visto obligada a desarrollar la denunciada en territorio español para el cobro de esas deudas: 27.662.504,50 euros. El objeto del contrato marco, es la prestación por GÁLATA de los servicios de administración y gestión con respecto a las carteras de deuda. (Folios 372 a 500) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/32 GÁLATA, contrató con la entidad SERVDET ESPAÑA, S.L., la gestión del cobro de la deuda a la denunciante, tal y como se desprende de las cartas que PRIME CREDIT ha aportado. En definitiva, ha existido, a raíz de la operación de compra por PRIME CREDIT de una cartera de deuda entre la que figuraba una asociada a la denunciante, un tratamiento de datos personales vinculado al ejercicio efectivo y real en el territorio español de la actividad empresarial que es propia de PRIME CREDIT. La entidad ha actuado en España a través de un representante -una sociedad española con domicilio en Madrid, facultada para numerosísimas actividades que entrañan claramente un tratamiento de los datos personales de los deudores cedidos, para lo que basta remitirse al poder otorgado por la poderdante de cuyo contenido se ha hecho una significativa reseña- y, además, se ha apoyado en diversos medios situados en territorio español: Los ficheros de solvencia, entre ellos ASNEF, imprescindibles para obtener una solución eficaz a sus reclamaciones; una cuenta bancaria abierta a su nombre en el BANCO POPULAR, cuyo número de apoderados se ha incrementado notablemente desde la fecha de su apertura o un contrato celebrado con GÁLATA ASSET MANAGEMENT, S.L., el 27/12/2013, en cuya virtud esta entidad le presta servicios de gestión y recuperación de créditos. El tratamiento de datos personales efectuado en territorio español a través de estas entidades se confirma por la circunstancia de que las cartas de requerimiento de pago se envíen a los deudores cedidos a través de la empresa SERVDEBT ESPAÑA, S.L., con quien a su vez había contratado GÁLATA (ver respuesta de SERVDEBT a las pruebas practicadas). Extremo que ha de conectarse con la circunstancia de que, como se infiere de la escritura pública de venta de deuda entre BANCO POPULAR y PRIME CREDIT, el CD con los datos personales de los deudores entregado por los vendedores se dejó en depósito ante el Notario, debido a la incomparecencia de GÁLATA al acto de otorgamiento, a fin de que le fuera entregado más adelante. A tenor de la exposición precedente, ninguna duda puede suscitar el hecho de que PRIME CREDIT ha realizado en territorio español un abundante tratamiento de datos personales en el marco de una actividad efectiva y real a través de una “instalación estable”: Una representante con poderes amplísimos. Y ha utilizado para el desarrollo de su actividad, por ser imprescindibles para ello, los servicios prestados en territorio español por entidades españolas. Prestación de servicios que se instrumenta a través de la celebración de varios contratos. Es en ese marco, el propio de la actividad empresarial de PRIME CREDIT, a través de una instalación estable física y temporalmente -el tratamiento de los datos se inicia en 2013, con ocasión de la compra de la cartera de deuda y por lo que atañe a la infracción imputada finaliza el 19/03/2016- en el que tiene lugar la conducta infractora de la que se responsabiliza a la denunciada. IV En el procedimiento sancionador que nos ocupa se atribuye a PRIME CREDIT la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con artículo 38.1.
33. c)del RLOPD; infracción tipificada como grave en el artículo 44.3.
34. c)de la citad Ley Orgánica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/32 precepto que dispone: “Son infracciones graves: (…) Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Los datos personales de la denunciante (NIF, nombre y dos apellidos) fueron incluidos en el fichero de solvencia patrimonial ASNEF, a instancia de PRIME CREDIT, con fecha de alta 17/09/2015, por un saldo deudor de 13.918,43 euros, en calidad de avalista. Corresponde por ello examinar si la comunicación de los datos de la denunciante a ASNEF instada por la denunciada fue respetuosa con la normativa de protección de datos, en particular el artículo 4.3 de la LOPD y 38.1.a del RLOPD. A. A la luz de la documentación que obra en el expediente no está acreditado que PRIME CREDIT hubiera cumplido el deber que el artículo 38.1.
35. c)le impone de requerir el pago al deudor con carácter previo a la inclusión de sus datos personales en un fichero de solvencia patrimonial y de informarle de que, en caso de no pagar en el plazo fijado para ello, sus datos podrían ser incluidos en un fichero de esa naturaleza (ex artículo 39 RLOPD). Es un hecho probado que la entidad denunciada informó a ASNEF los datos personales de la denunciante con fecha de alta 17/09/2015. PRIME CREDIT ha remitido copia de las cartas de 18 de agosto de 2015 y de 9 de diciembre de 2015 que iban dirigidas a la denunciante –constaba en ellas su nombre y dos apellidos- informándole de la cesión del crédito, instándole a pagar y comunicándole la posibilidad de que sus datos personales fueran incluidos en un fichero de solvencia si no atendía el pago. La denunciada parece considerar que a través de estos documentos que nos ha facilitado ha acreditado que efectuó el preceptivo requerimiento previo de pago y que cumplió la exigencia del artículo 38.1.c del RLOPD. Sin embargo, PRIME CREDIT no ha facilitado a esta Agencia documentos que prueben el envío y la recepción de ninguna de las cartas a través de las cuales –según la tesis que defiende- habría requerido el pago de la deuda a la denunciante. Así, no ha facilitado ningún documento que pruebe ni tan siquiera el envío de las cartas de 18/09/2015 y 09/12/2015 que aporta (Hechos probados sexto y séptimo). Añadir, además, que de las dos cartas, sólo la primera de ellas sería anterior a la comunicación de los datos de la denunciante en el fichero de solvencia. Y ello, cuando la AEPD viene exigiendo para entender acreditado el cumplimiento de la obligación del artículo 38.1.
36. c)RLOPD que se acredite, además del envío de las comunicaciones, los mecanismos utilizados para poder seguir su trazabilidad, de forma tal que se disponga de indicios razonables y sólidos de la recepción de la comunicación por su destinataria No puede obviarse, tampoco, que en ninguna de las dos cartas cuya copia ha aportado PRIME CREDIT se informa del importe de la deuda (no hay en ellas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/32 mención a ninguna cuantía) y, lo que es más importante, en ambas cartas la dirección de envío es incorrecta (pues no coincide con la que la denunciante facilitó con ocasión de la celebración del contrato de préstamo, en el que intervino como avalista, que es también la que estaba registrada en los ficheros de BANCO POPULAR y la que figura en el DNI de la denunciante). A propósito del requerimiento previo de pago y del alcance de la obligación que impone al responsable del fichero el artículo 4.3 LOPD, en relación con el 29.4, de la misma norma y en relación con el artículo 38.1.
37. c)del RLOPD, la Sala de lo Contencioso Administrativo de la Audiencia Nacional ha manifestado que éste debe estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor -utilizando para ello un medio que deje constancia efectiva de haberlo efectuado- y que tal requerimiento ha sido recibido por el destinatario. Puede citarse la SAN de 23/07/2012 (RCA 851/2010) cuyo Fundamento Jurídico Tercero, dice: “No consta acreditado, sin embargo, que las cartas que la entidad manifiesta haber emitido fueran recibidas por el destinatario, (…)Este Tribunal en su sentencia de SAN, Sección 1 del 15 de septiembre de 2011 (Recurso : 341/2010) siguiendo una línea jurisprudencial consolidada ha sostenido que, a los efectos de entender cumplido el requisito del requerimiento de pago antes de incluir los datos personales en un fichero de solvencia patrimonial, no resulta una prueba válida una copia de una carta que le requiriese de pago sin que conste su envío ni mucho menos la recepción por los denunciantes”. (El subrayado es de la AEPD) Más recientemente, la SAN de 28/06/2016 (RCA 1703/2015) expone en su Fundamento Jurídico segundo, in fine, que “(…) el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de comunicación a los deudores de requerimientos de pago como el que nos ocupa, Delion Comunications, S.L.U., y que se justificara suficientemente su entrega a UNIPOST, S.A., para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo”. (El subrayado es de la AEPD) B. Sin perjuicio de las consideraciones precedentes, se ha de señalar que, incluso en la hipótesis de que PRIME CREDIT hubiera podido acreditar –lo que no ha hecho- que envió las cartas de requerimiento de pago dirigidas a la denunciante, éstas carecerían de virtualidad para entender cumplido el requisito del artículo 38.1.
38. c)RLOPD. El fundamento de tal afirmación no es otro que el hecho de que el domicilio que consta en las dos cartas que PRIME CREDIT nos ha facilitado no es el domicilio de la denunciante. Ambas cartas van dirigidas a la ***DIRECCION.1 y el domicilio de la denunciante, domicilio que está en la póliza del contrato que celebró con BANCO POPULAR, S.A., como avalista, del que deriva la deuda que PRIME CREDIT adquirió, es ***DIRECCION.4. BANCO POPULAR ha aportado la copia de la póliza de préstamo intervenida notarialmente en la que se reflejan todos los datos (NIF/CIF y domicilio) tanto del titular C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/32 del préstamo, Juguetes Gloria, S.L., como de los cinco avalistas. La denunciante consta en el contrato de préstamo como avalista 5 y en el documento están correctamente incorporados su NIF y su domicilio en ***DIRECCION.4. Sólo uno de los cinco avalistas, la avalista 1, está domicilia en ***DIRECCION.1, que es el domicilio que PRIME CREDIT atribuye a la denunciante. Además, BANCO POPULAR, en respuesta al requerimiento de esta Agencia ha facilitado, previo desbloqueo, los datos personales que figuraban en sus sistemas asociados a la denunciante. Datos, en particular el domicilio, que coinciden con el de la póliza de préstamo que es también el domicilio que la denunciante ha facilitado a esta Agencia y el mismo que figura en su DNI. En el contrato de venta de deuda celebrado entre BANCO POPULAR y PRIME CREDIT se estipula (estipulación primera) que en un CD-ROM –anexo que forma parte inseparable del contrato- se detalla la identidad de los deudores y avalistas, incluyendo su DNI/CIF, datos de contacto, direcciones completas y los teléfonos disponibles. Conforme a lo expuesto, resulta acreditado que el dato del domicilio de la denunciante que obraba en los ficheros de BANCO POPULAR y que figuraba en el contrato de préstamo, del que era avalista, era correcto. Además, el contrato de venta de deuda pone especial énfasis en la que la cedente facilite a la cesionaria los datos de identidad y de contacto de deudores y avalistas. Lo anterior lleva a concluir que no existe indicio alguno de que la inexactitud del dato del domicilio de la denunciante que figura en los sistemas de PRIME CREDIT pueda vincularse o relacionarse a BANCO POPULAR (cedente de la deuda). Inexactitud que sólo sería atribuible a la denunciada. Llama la atención sobre ese particular que habiendo aportado un Testimonio Notarial en el que el Notario autorizante de la escritura de venta reconoce que el crédito del que eran deudor principal y avalistas las personas que se identifican en dicho testimonio por su nombre, apellidos y NIF, no diga nada a propósito del domicilio. No obstante las reflexiones precedentes, se ha de subrayar, que con independencia de la circunstancia de la inexactitud del domicilio y de quién sea el responsable del dato inexacto, la conducta infractora sobre la que versa el expediente sancionador que nos ocupa, se concreta en el incumplimiento del deber de requerir al deudor el pago de la deuda con carácter previo a la inclusión de sus datos en un fichero de solvencia, lo que vulnera el artículo 38.1.c, RLOPD, en relación con los artículos 4.3 y 29.4 LOPD. V La exigencia de responsabilidad sancionadora presupone la existencia del elemento subjetivo de la culpabilidad, esencial para que nazca responsabilidad en el ámbito del Derecho Administrativo Sancionador pues no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente para imponerlas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/32 (STC 76/1999). El artículo 28 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ha reconocido reiteradamente el Tribunal Supremo. La Audiencia Nacional, Sentencia de 17/10/2007 (Rec. 63/2006), ha manifestado que “....el ilícito administrativo previsto en el artículo 44.3.
39. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva……..” El Tribunal Supremo, por su parte, entiende que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. La denunciada incluyó a la denunciante en un fichero de morosidad sin haberle requerido previamente el pago, incumpliendo con ello el requisito del artículo 38.1, c, del RLOPD. La normativa de protección de datos no sólo supedita la legitimidad de la inclusión de los datos del deudor en un fichero de solvencia a que se cumplan los requisitos descritos en el artículo 38 del RLOPD sino que, además, “refuerza” la diligencia que debe desplegar el acreedor informante pues el artículo 43.1 RLOPD insiste en que tiene el deber de “asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39” en el momento de notificar los datos adversos al responsable del fichero común” . PRIME CREDIT obró con una grave falta de diligencia al haber incluido los datos personales de la denunciante en el fichero ASNEF incumpliendo la obligación que le impone el artículo 38.1.
40. c)del RLOPD así como también los artículos 39 y 43.1 del RLOPD. En definitiva, está presente en los hechos analizados el elemento subjetivo de la culpabilidad: la falta de diligencia de la infractora se materializa en la ausencia de controles para verificar el cumplimiento las condiciones exigidas por la ley para incluir los datos de un tercero en un fichero de solvencia. A tenor de lo expuesto, se concluye que la conducta de PRIME CREDIT sometida a la consideración de esta Agencia vulnera el artículo 4.3, en relación con el 29.4, de la LOPD y el 38.1.c, del RLOPD, y es subsumible en el artículo 44.3.
41. c)LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/32 VI Estimamos conveniente poner de manifiesto que no existe prescripción de la infracción imputada a PRIME CREDIT. Cuando el acuerdo de inicio del expediente sancionador se notificó a su representante en España, GESIF S.A.U. (en la actualidad, CABOT FINANCIAL SPAIN, S.L.), el 16/02/2018, la infracción no estaba prescrita. El artículo 47 LOPD dispone, a propósito de la prescripción, que las infracciones graves prescribirán a los dos años y que “El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido”. Esta regla sobre el cómputo del plazo de prescripción ha de ponerse en relación con la doctrina sentada por la Audiencia Nacional, Sala de lo Contencioso Administrativo, que la matiza. El criterio adoptado -reflejado, por todas, en SAN de 03/11/2011; Rec. 611/2010- estima que en aquellos supuestos en los que la infracción del artículo 44.3.
42. c)LOPD deriva de haber omitido el preceptivo requerimiento de pago previo a la inclusión de datos de terceros en un fichero de morosidad (esto es, por infracción del artículo 38.1.c, RLOPD) el término inicial del cómputo del plazo de prescripción será la fecha en la que se tenga constancia de que el deudor conoce que la deuda ha sido incluida en un fichero de solvencia por la entidad informante. El Fundamento Jurídico Tercero de la SAN precitada dice al respecto que la infracción del principio de calidad del dato, concretado en la inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor “(…) priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. (….)Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de la situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción”. (El subrayado de la AEPD) Así las cosas, en el supuesto analizado, el término inicial para el cómputo del plazo de prescripción de la infracción – plazo que es de dos años (ex artículo 47 LOPD)- se situaría, como muy pronto el 17/02/2016. La razón de tomar esta fecha en consideración es que, a tenor de la documentación obrante en el expediente, la denunciante, después de que Santander Consumer Finance le hubiera retirado la tarjeta Eroski “por incremento del riesgo crediticio”, ejercitó ante EQUIFAX el derecho de acceso a sus datos. EQUIFAX respondió al derecho de acceso mediante escrito dirigido a la dirección electrónica de la denunciante que tiene fecha de 1/0/20/2016. VII El artículo 45 de la LOPD, apartados 1 a 5, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/32 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
43. a)El carácter continuado de la infracción.
44. b)El volumen de los tratamientos efectuados.
45. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
46. d)El volumen de negocio o actividad del infractor.
47. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
48. f)El grado de intencionalidad.
49. g)La reincidencia por comisión de infracciones de la misma naturaleza.
50. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
51. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
52. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
53. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
54. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
55. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
56. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
57. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La graduación de la sanción debe hacerse tomando en consideración el artículo 45.4 LOPD, toda vez que no resulta aplicable ninguna de las circunstancias descritas en el artículo 45.5 LOPD. La denunciada ha solicitado la aplicación de las atenuantes cualificadas del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/32 artículo 45.5 LOPD, apartados a, y b. Respecto a este último apartado, que versa sobre la reacción diligente, invoca que antes de que la denunciante se dirigiera a la AEPD, en fecha 19/03/2016, sus datos se dieron de baja del fichero ASNEF. Sobre este particular, señalar que consta acreditado en el expediente que la denunciante ejercitó el derecho de cancelación de sus datos ante EQUIFAX en dos ocasiones (el 25/02/2016 y el 03/03/2016) y que en ambos casos PRIME CREDIT confirmó la incidencia. Por otra parte, se desconoce cuál fue el motivo de la baja de la incidencia pues la denunciada no ha aportado ninguna prueba de que, tal y como afirma, la baja de la incidencia esté conectada con la reclamación de la denunciante. Tampoco se dan las circunstancias del artículo 45.4 que permitan apreciar una disminución cualificada de la culpabilidad del hecho o de la antijuridicidad de la conducta, de modo que en ningún caso puede estimarse la pretensión de que se aperciba a la entidad en lugar de imponerle una sanción (ex artículo 45.6 LOPD). Se aprecian en el presente caso en calidad de agravantes las siguientes circunstancias descritas en el artículo 45.4 LOPD: -“El carácter continuado de la infracción” (apartado a,) pues los datos personales de la afectada permanecieron incluidos en el fichero de solvencia patrimonial ASNEF sin cumplir las condiciones a las que el RLOPD (artículo 38.1) supedita la legalidad de dicha inclusión durante más de seis meses, desde el 17/09/2015 y hasta el 19/03/2016 -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de PRIME CREDIT, especializada en la compra y gestión de carteras de créditos, exige un continuo tratamiento de datos personales de clientes. - “El volumen de negocio o actividad del infractor” (apartado d). Es cierto que se desconoce la cifra exacta del volumen de actividad de PRIME CREDIT en la fecha en la que los hechos se cometieron, pero existen sólidos indicios de que esta cifra de negocio es alta, lo que conduce a apreciar esta circunstancia en calidad de agravante. Basta indicar que conforme a la documentación que obra en el expediente (la copia del contrato de venta de créditos celebrado entre la denunciada y BANCO POPULAR) el precio “conjunto, fijo y único de la Cartera de Créditos objeto del Contrato asciende a la suma de” 11.346,324 euros (folio 173) - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado h,) En ese sentido recordemos que la Audiencia Nacional, en SAN de 16/02/2002 (Rec. 1144/1999), ha declarado que “(…) la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. Se suma a lo anterior que a raíz de la inclusión en ASNEF de sus datos personales la afectada se vio privada de la tarjeta Eroski Visa, como lo acredita la carta que le remitió Santander Consumer Finance que obra en el expediente administrativo. -“El grado de intencionalidad” (apartado f), expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/32 sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Recordemos que el artículo 43.1 del RLOPD “refuerza” en cierto modo la diligencia exigible a quien informa datos de un tercero a un fichero de solvencia patrimonial al establecer que el acreedor “deberá asegurarse” que se cumplen esos requisitos cuando informa los datos personales a un fichero de morosidad. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PRIME CREDIT 3, S.A.R.L., con NIF ***NIF.2, por una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la citada Ley Orgánica y 38.1.
58. c)del Reglamento de desarrollo de la LOPD, tipificada como infracción grave en el artículo 44.3.
59. c)de la LOPD, una multa de 50.000 euros (cincuenta mil euros) de conformidad con lo establecido en los artículos 45.2 y 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a PRIME CREDIT 3, S.A.R.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
60. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/32 la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que, conforme a lo previsto en el art. 90.3
61. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es