← España

PS-00089-2016

1/14 Procedimiento Nº PS/00089/2016 RESOLUCIÓN: R/01992/2016 En el procedimiento sancionador PS/00089/2016, instruido por la Agencia Española de Protección de Datos a la entidad MULTIGESTIÓN IBERIA 2014 S.L.U, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/03/2015 tuvo entrada una denuncia de Dña. A.A.A. (en lo sucesivo la denunciante) manifestando que recibe el 12/03/2015 una carta de recobro de MULTIGESTIÓN IBERIA 2014 SL en nombre de FRONTERA CAPITAL SARL, reclamándole el abono de una cantidad que no concreta, invitándola a ponerse en contacto. En la carta figura su nombre y apellidos, la dirección y se refieren a ella con el DNI acabado en ****

  1. La denunciante indica que no reconoce mantener relación alguna con ninguna de las dos entidades referidas. Aporta copia de la carta y de su NIF ***NIF.
  2. En la carta también figura una leyenda informativa del tenor: “Sus datos personales asociados a este expediente, obran en el fichero de nuestro cliente-su acreedor- quien nos ha encomendado la gestión de cobro de la deuda, única finalidad del tratamiento de sus datos…”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, se solicitó información a MULTIGESTIÓN IBERIA 2014 el 2/09/2015, que el 24/09/2015 indica: 1- No obra en sus sistemas ningún dato personal relativo al NIF ***NIF.1, ni su titular tiene contratado ningún servicio o producto con esta entidad ni se gestiona actualmente ningún expediente referido a dicho número de identificación fiscal. 2- Sí tiene encomendada la gestión del cobro de un expediente cuyo titular es D. A.A.A., con NIF 4…****1, en la ficha con los datos disponibles de la afectada las direcciones que constan son: Fecha alta Dirección Provincia 04/03/2015 (C/.....1) Palencia 17/08/2011 (C/.....2) Baleares 15/11/2011 (C/.....3) Baleares Calificación Falso Verdadero Falso Según manifiestan los representantes de la entidad "Falso" indica los domicilios que han sido anulados. Se aprecia que el domicilio de 4/03/2015 coincide con el de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Dicho expediente se recibe por encargo de FRONTERA CAPITAL, S.A.R.L. con el que MULTIGESTIÓN IBERIA, S.A.U. en su día suscribió contrato de prestación de servicios de recobro a 1/08/
  3. Este contrato fue cedido por MULTIGESTIÓN IBERIA, S.A.U. a MULTIGESTIÓN IBERIA 2014, S.L.U. con fecha 1/08/
  4. La gestión por parte de MULTIGESTIÓN IBERIA 2014 del expediente correspondiente a Dña. A.A.A., con NIF 4… ****
  5. proviene de una cesión de créditos efectuada por EFFICO IBERIA SA a FRONTERA CAPITAL. S.A.R.L. Aportan copia de la escritura de cesión de créditos de fecha 2/08/2011 y copia de la carta comunicando la cesión enviada en fecha 24/08/2011 a la dirección “(C/.....2) PALMA DE MALLORCA”. Según indican los representantes de la entidad no se ha recibido ninguna reclamación por escrito por parte de la denunciante ni de terceros en su nombre. MULTIGESTIÓN IBERIA 2014 no dispone de información relativa al procedimiento y documentación recabada cuando se formalizó la contratación, desconociendo la forma en que se formalizó dicha contratación inicial. TERCERO: Con fecha 3/03/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MULTIGESTIÓN IBERIA 2014 S.L.U por una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.c) de dicha norma. CUARTO: Con fecha 17/03/2016 se envía copia del expediente a la denunciada. QUINTO: Con fecha 5/04/2016, la denunciada efectúa alegaciones en las que reitera lo manifestado, añadiendo: 1) El dato de la dirección de la denunciante fue fruto de la búsqueda de datos adicionales de la deudora A.A.A. con NIF acabado en ****1 tras algunos intentos infructuosos. 2) La búsqueda de dichos datos por parte de DETECTIVES LUCENTUM SL (LUCENTUM) arrojó la dirección que ha sido objeto de denuncia a partir de un mandado concreto de fecha 25/02/2015 en que se encomendaba y daban los datos de A.A.A. con DNI acabado en ****
  6. Aportan parte de copia del contrato de servicios y copia del encargo de investigación a LUCENTUM de 25/02/2015 en el que consta en el listado A.A.A., con fecha nac DD/MM/AA (no consta dni). Aporta copia de ficha, respuesta enviada por la Agencia de detectives LUCENTUM en la que destaca: a. No porta fecha. b. Figura la dirección, (C/.....1), Palencia, nombre y apellidos de la denunciante, así como el NIF que no es de la denunciante sino del DNI 4…****1, y fecha nacimiento DD/MM/AA de esta 3) Añade que no necesita el consentimiento del afectado para tratar sus datos ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 que es necesario para la prestación de un servicio, preciando que está habilitada legalmente para tratar los datos de A.A.A. DNI acabado en ****1 sin necesidad de su consentimiento. 4) No podía imaginar que los datos proporcionados no fueran de la deudora sino de una tercera ajena. MI no ha tenido parte ninguna en este error o negligencia, pues adoptó una medida adicional de diligencia, la fecha de nacimiento para evitar lo que ocurrió (Se debe indicar que tampoco la fecha de nacimiento proporcionada por la denunciada, 22-05-81

(225)coincide con la que figura en el NIF de la denunciante que aporta en su denuncia
(4). 5) En el momento en que se percató del error, al recibir información sobre la AEPD hizo constar la inexactitud de la dirección localizada en de fichero del deudor a través de la anotación de “falso”, y a bloquear el dato erróneo. Manifiestan que adjuntan ficha actual del expediente en documento 4 (folio 228), en el que consta suprimida la dirección errónea facilitada por LUCENTUM. En la ficha, imprimida el 4/04/2016 constan los datos de la denunciante: nombre y apellidos, coincidentes con el de la deudora, y la dirección (C/.....3), que no es la de la denunciante. 6) Solicita la aplicación del artículo 45.5.
  1. a)pues concurren varios criterios circunscritos entre las letras
  2. a)a
  3. j)del artículo 45.4 de la LOPD, entre los que enumera: a. El tratamiento de la dirección ha sido puntual, pues solo la denunciante ha recibido la carta objeto de la denuncia, a efectos del 45.4.b). b. Ausencia de beneficios obtenidos (45.4.e). c. Falta de intencionalidad (45.4.f). Nada hacía presagiar que la dirección facilitada fuese de otra persona, pues coincidían nombre y apellidos y fecha de nacimiento, no existe coincidencia del DNI. d. Inexistencia de perjuicios causados a la denunciante (45.4 h). e. En relación con el artículo 45.4.
  4. i)aportan copia de: i.Instrucción Técnica 6.0.7, “Gestión de localización” fecha 8/14, que recoge el procedimiento de gestión técnica de localización, puesto a disposición de los gestores “de toda la organización de MI” (folios 230 y ss.), en la Intranet. En concreto en el punto B.2 1) se halla el “sistema de localización mediante proveedores externos con quienes existen contratos suscritos y vigentes y que garantizan la legalidad en la obtención y tratamiento de datos”. No constan los medios implantados para garantizar esta legalidad en la obtención de los datos. A los proveedores se les proporciona “como mínimo el nombre y apellidos, número de documento identificativo, fecha de nacimiento si se dispone”, y que “El proveedor externo facilitará a MI los datos de contacto de todas aquellas personas físicas o jurídicas respecto de las que haya logrado obtenerlos por sus medios y exista concordancia entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 nombre y apellidos y el número de documento identificativo”. Entre otros datos a localizar figura el del domicilio distinto del proporcionado por el cliente. Existe un apartado C2) denominado “Validación dato domicilio”, en el que indica que el dato domicilio se validará o invalidará cuando se remita carta al interviniente y esta resulta devuelta o bien se solicite su rectificación aportando un domicilio nuevo, sin que se contemple la posibilidad de envío a un domicilio con los mismos nombres y apellidos de un no deudor, como es el presente caso. No se alude a los medios o formas de conservar las fuentes de obtención de los datos como modo de verificar la corrección de la obtención de los mismos y del tratamiento del que se deriva la obtención. ii.Copia de Instrucción PRO.12.4 “Gestión de reclamaciones” de 8/14 que define las acciones a realizar para el control y corrección de las reclamaciones. Entre los puntos que se contienen no figura el de dar acuse de recibo y asignación de número a la reclamación recibida, principio de gestión que se incluye en la Ley 26/1984, de 19 de julio, General para la Defensa de los Consumidores y Usuarios, artículo decimotercero, apartado 4. iii.Copia de certificado que emite la Asociación Nacional de Entidades de Gestión de Cobro que acredita que se cumple con el código ético de buenas prácticas seguido por ANGECO. iv.MI está adherida al “Código tipo para el tratamiento de datos de carácter personal de la Asociación Nacional de Entidades de Gestión de Cobro”. v.No existe reincidencia. 7) Solicita que se aplique el procedimiento de apercibimiento. SEXTO: Con fecha 4/07/2016 se emitió la propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a MULTIGESTION IBERIA 2014, SL, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  5. c)de la LOPD, con una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD.” SÉPTIMO: Con fecha 29/07/2016 se reciben alegaciones a la propuesta reiterando lo manifestado y añadiendo: 1) Indica que MULTIGESTION IBERIA 2014 SL no es un mero cambio de nombre de MULTIGESTION IBERIA SAU, ya que la denunciada se creó como nueva empresa el 7/01/2014 con el nombre de ELLENDALE SL y que a 31/07/2014 compró parte de los activos y pasivos de MULTIGESTION IBERIA SAU. Adjuntan copia de documentación que lo acredita. 2) Reitera que no trató los datos de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 3) Se muestra disconforme con la imposición de 20 mil euros añadiendo que se debe tener en cuenta que se produjo un tratamiento puntual de los datos (45.4.a), falta de intencionalidad (45.4.
  6. f)y no se perseguía beneficio económico sino resarcirse de impagos, (45.4.e). Además, añade que se disponían de procedimientos implantados adecuados para la recogida y tratamiento de datos siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. HECHOS PROBADOS 1. A la denunciante, le reclaman por carta de 12/03/2015, enviada por MULTIGESTIÓN IBERIA 2014 SL (MI) el pago de una deuda que no concretan, en nombre de FRONTERA CAPITAL SARL- La denunciante denuncia que desconoce dichas entidades por no mantener relación alguna con las mismas. 2. En la carta figura su nombre y apellidos, la dirección, en un pueblo de Palencia, que coincide con el consignado por la denunciante en su denuncia ante la AEPD y se refieren a ella con el DNI 4… ****1. El DNI de la denunciante es el NIF ***NIF.1. (1, 3, 4). 3. En los sistemas de información de MI (antes de 31/07/2014, llamada MULTIGESTION IBERIA SAU (folio 10, 12 a 33) figuraban los datos de A.A.A. DNI 4…****1 y una dirección en Palma de Mallorca. Estos datos se proporcionan a MI por su cliente, FRONTERA CAPITAL SARL, a la que presta servicios de recobro. (37, 41). Los datos proceden de una adquisición de créditos por parte de FRONTERA, según escritura de 2/08/2011 que consta en el expediente. (38, 39147 y ss., 196). Adicionalmente, a fecha de impresión del documento FICHA, de MI, es decir a 21/09/2015, junto a dichos datos figura 17/08/2011, y la deuda de 667,31 €. En la FICHA, con fecha 4/03/2015, también en relación a la misma deuda, figuran los datos de la denunciante: nombre y apellidos, con la dirección de Palencia que coincide con la de su denuncia ante la AEPD
(39). 4. La denunciada tenía suscrito un contrato para investigación y localización relacionada con la gestión de pagos con la empresa DETECTIVES LUCENTUM S.L (LUCENTUM en lo sucesivo). (221 a 224, 226) del que se aporta solo el ANEXO 1, “Clausulas”. En dichas clausulas no se contiene el control y la justificación de la información obtenida sobre el origen de los datos que pueda recabar la Agencia de detectives. En una hoja Anexa que se aporta se contiene el listado de investigados, en el que el 25/02/2015, la denunciada encomienda a LUCENTUM la realización de gestiones. En dicho listado consta: A.A.A., fecha nac DD/MM/AA
(225). Según la denunciada, LUCENTUM halló los datos, aportando ficha informativa BASICA de LUCENTUM (no consta fecha), figurando los datos que eran nombre y apellidos: A.A.A., DNI 4….****1, domicilio (C/.....1), Palencia (208, 227). La denunciante cuenta con el manual de “Gestión de localización” de 8/14 para sus empleados, en el que menciona la posibilidad de localización de datos de deudores C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 por parte de proveedores externos con los que se contrate, que “garantizan la legalidad de la obtención y tratamiento de los datos”
(232)aunque no se menciona modalidad alguna. En la instrucción consta un modo de validación de domicilio a posteriori, una vez enviada la carta. En el presente supuesto se desconoce el origen de obtención de los datos que LUCENTUM proporciona a la denunciada: nombre y apellidos y dirección de la denunciante, así como el DNI a pesar de que la denunciada indicó en alegaciones al acuerdo que no había dado ese dato a LUCENTUM
(210). La denunciada cuenta con un procedimiento de gestión de reclamaciones (234, 244 a 246), si bien no se acredita que la denunciante se puso en contacto con la denunciada o efectuase alguna reclamación.
(38). 5. A fecha 4/04/2016, los datos de la denunciante no figuran como identificables ni la identifican en sus sistemas, pues según la impresión que aporta, figura: A.A.A., en (C/.....2), NIF 4….****1, (228 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada el artículo 4.3 de la LOPD que indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado.” Ya el Convenio de 1981 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, ratificado por España en el año 1984, establecía como principio básico para la protección de datos el denominado “principio de calidad de los datos”, que obligaba expresamente a que los datos se obtuvieran y trataran leal y legítimamente, que se registraran para finalidades determinadas y legítimas, y no se utilizaran de forma incompatible con dichas finalidades, que fueran adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado, que fueran exactos y si fuere necesario puestos al día y, finalmente, que se conservaran bajo una forma que permita la identificación de las personas concernidas durante un período de tiempo que no exceda del necesario para las finalidades para las cuales se hayan registrado. Requisitos de exactitud y veracidad de los datos personales, establecidos en la repetida LOPD, que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3, no solo en lo que atañe a la recogida y conservación de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 personales en los propios ficheros, o a su comunicación a un fichero sobre solvencia patrimonial o crédito (que es el supuesto más frecuente), sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales. Ello, teniendo en cuenta el concepto amplio que de tratamiento deriva del artículo 3.
  2. c)de la LOPD , que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. De donde resulta que en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. Junto a ello se debe englobar el concepto de dato personal, que se contiene en el artículo 3.
  3. a)de la LOPD como “cualquier información concerniente a personas físicas identificadas o identificables”” En el presente supuesto, la denunciada es la responsable del tratamiento consistente en enviar la carta a la denunciante. Para ello, parte de la base de los datos que le proporciona la responsable del fichero, en este caso FRONTERA, que no le dio los datos de la denunciante, sino de la verdadera titular de una relación contractual. La denunciada contrata con otra empresa la averiguación de datos adicionales con el fin de localizar deudores. En el presente supuesto, no cabe duda que se produce una búsqueda de datos de deudores, y teniendo en cuenta la coincidencia plena de nombre y apellidos de la verdadera deudora y de la denunciante, algo no inusual, se consagra como dato de deudora, la dirección de la denunciante asociado a su nombre y apellidos, asociando pues deudora con la persona de la denunciante que se manifiesta al recibir esta la carta. La coincidencia total de nombre y apellidos, no supuso obstáculo para que la denunciada entendiendo que era la misma persona le enviara la carta, conteniendo la reclamación de pago. Este requerimiento de pago se envía a la persona que no es deudora. Queda acreditado que por la coincidencia de apellidos y nombre, la denunciada no se asegura y envía la carta de requerimiento de pago a una persona que no es tal. Se acredita que la denunciante no era la deudora y nada adeudaba a FRONTERA y la entidad de recobro le remite una carta que le identifica como deudora sobre la base de la coincidencia de nombre y apellidos, sin conocerse como la Agencia de detectives localiza no solo los datos de la dirección sino el DNI que manifiesta la denunciada, no se lo proporcionó, si bien se desconoce porque, pues en sus protocolos se indica que para localizar a la personas se proporciona el DNI. Partiendo del nombre y apellidos, la denunciada contrata con un tercero y obtiene una dirección, desconociendo su procedencia, en la que considera que es la deudora a la que le exige el abono de la deuda, sin constar verificación alguna en relación a la obtención de datos adicionales para el cobro En la base de datos de la denunciada, esta, motu proprio, agregó a los datos de nombre y apellidos con los de la persona deudora, una dirección producto de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 búsqueda que contrata con una Agencia como proveedora externa. Si bien la denunciada no da detalles ni explicaciones de cuál es el origen de los datos que obtiene, de cómo esa empresa contratada procede a la búsqueda de tales datos, se acredita que esa dirección y ese nombre sirven para dirigir una carta de requerimiento a la denunciante que no es deudora, incurriendo en un uso de datos que revela falta de calidad, veracidad y realidad en esos datos, y que identifican a una persona que no es la deudora. III En cuanto a las alegaciones de la denunciada referentes a la posibilidad de obtener datos nuevos que respondan a la actualización de los que se hubieran proporcionado y no hubieran dado resultados en los envíos gestionados, aquí no se discute dicha acción, pues es claro que existe dicha posibilidad. Aquí lo que se discute y se considera infringido es que los datos que se obtienen no son los del deudor sino los de una tercera persona que no es deudor de cantidad alguna, fuese por no haber obtenido los datos de una fuente fiable, fuese por no verificar la fuente de obtención de los mismos. De cualquier modo, la denunciada no explica ni ha aportado la fuente de procedencia de los datos del denunciante. IV La infracción se tipifica como grave en el artículo 44.3.
  4. b)de la LOPD que indica: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” V El artículo 45.6 de la LOPD se refiere al procedimiento de apercibimiento indicando: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  5. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  6. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” En cuanto a la aplicación del procedimiento de apercibimiento, figuran en esta AEPD al menos dos procedimientos sancionadores que se han abierto y concluido con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 infracción por parte de la denunciada. Con independencia de que se eventualmente se hayan recurrido a la Audiencia Nacional (PS/00651/2015: 20.000 euros y PS/500/2015: 40.001 €, no es posible la aplicación de dicho procedimiento porque la entidad ha sido sancionada anteriormente. VI En relación con la culpabilidad, el art. 130.1 de la Ley 30/1992, de 26/11, preceptúa “solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos”, pero añadiendo que incluso "a título de simple inobservancia" Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En el presente supuesto, se observa falta de diligencia al no recoger la denunciada en el contrato de encargo de tratamiento extremo alguno en relación con el origen u obtención de los datos de localización. Tampoco la norma interna que aportó la denunciada, IT.6.0.7, “Gestión de localización” destinada a los empleados, se ocupa del asunto, refiriendo tan solo que los proveedores con los que se tienen contratos suscritos, garantizan la legalidad en la obtención y tratamiento de datos, observándose que en este caso no se introducen mecanismos de control de dicha obtención de datos. De este modo, se desconoce dónde se obtuvo por el proveedor externo, el DNI y la dirección de la denunciante que la han identificado como deudora al remitirle una carta exigiendo el abono de una deuda con la que no guarda relación La circunstancia de que no sirve cualquier medio de acceso a los datos ha sido objeto de valoración por parte de la AN, a las Sentencias de 20/05 y 12/11/2010, referidas a un responsable que mantenía un fichero con datos de 37 millones de personas para la mencionada puesta a disposición de los terceros que lo solicitasen, señalando precisamente en relación con el hecho de que los datos habían sido obtenidos de investigadores privados que: “Argumenta también Saberlotodo que viene actualizando los datos de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 particulares contenidos en sus bases de datos mediante una mercantil dedicada a la seguridad privada y ningún detective privado tiene obligación de desvelar sus fuentes de información amparándose en el secreto profesional que asiste a su labor profesional. Argumentación que podría justificar, en su caso, la exención de la necesidad de consentimiento para la inclusión de los datos personales en los ficheros de tal empresa de detectives, pero no para la inclusión de los datos en los propios ficheros de la entidad sancionada y su cesión a un tercero. En definitiva, ha quedado acreditado que Saberlotodo comunicó los datos personales del señor B.B.B. sin que haya demostrado que contaba con su consentimiento, cesión indebida de datos que constituye una infracción del artículo 11.1 de la LOPD, tipificada como muy grave en el artículo 44.4.
  7. b)de la citada Ley Orgánica, procediendo, por ello, la desestimación del recurso.” En consecuencia, para que la actividad a la que se refiere la consulta pueda considerarse lícita será necesaria la concurrencia de dos requisitos: por una parte que la fuente de la que se obtiene la información se encuentre legitimada para su tratamiento y, por otra, que la información sea facilitada directamente al responsable legitimado para el tratamiento y actualización de los datos o a quien actúe como encargado del tratamiento por cuenta de aquél.” De ello se deduce que la actividad a la que se refiere la denunciada será lícita en cuanto la recogida de los datos resulte a su vez conforme a lo dispuesto en el artículo 6 de la LOPD, lo que sin duda ocurrirá en cuanto a la información contenida en fuentes accesibles al público, pero no se determina la fuente de obtención por los detectives privados, dando lugar a un envío de carta a la denunciante que no reúne los requisitos de calidad en cuanto veracidad de datos como deudora, acreditándose que la búsqueda de datos de localización no ha sido de la verdadera deudora. VII El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. La denunciada solicita la aplicación del artículo 45.5
  23. a)de la LOPD, alegando que concurren varias atenuantes que se reflejan en el 45.4:
  24. a)El tratamiento de la dirección ha sido puntual, pues solo la denunciante ha recibido una carta, la que fue objeto de la denuncia, a efectos del 45.4.
  25. a)y b).
  26. b)Ausencia de beneficios obtenidos 45.4.e).
  27. c)Falta de intencionalidad, pues no fue ella la que recabó los datos, sino un proveedor, y no podía imaginar que los datos no fueran de la deudora 45.4.f).
  28. d)No existe reincidencia (45.4.g). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  29. e)Inexistencia de perjuicios causados a la denunciante 45.4 h).
  30. f)Antes de la infracción disponía de procedimientos adecuados para la recogida de datos siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos, no debida a una falta de diligencia exigible al infractor 45.4
  31. i)
  32. g)Actuó con diligencia pues corrigió en sus sistemas los datos de la denunciante al recibir la información de la AEPD. Hay que señalar que el citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad o antijuridicidad del imputado, como consecuencia “significativa” de algunos de los elementos contenidos en el artículo 45.4) o bien de alguna otra de las circunstancias que el mismo precepto 45.5
  33. b)a
  34. e)cita. El concepto jurídico indeterminado consistente en la cualificada disminución de la culpabilidad o de la antijuridicidad queda ahora definido y concretado al tener que derivar de la concurrencia, y de manera importante, de dos o más de los criterios de atenuación del apartado 4 del mismo artículo 45 apartado a). En primer lugar, se debe señalar que una vez se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra u otras de dichas circunstancias puesto que la reducción ya se ha producido (SAN 28/04/2015). Pues bien, resultando aplicable a este supuesto la doctrina de la AN antes expresada, dadas las concretas circunstancias del caso que nos ocupa, se aprecia que el tratamiento inexacto se concreta en un único envío (45.4.
  35. a)a una persona con nombre y apellidos comunes, bastante usuales, que solo las diferenciaba el domicilio, y no se acredita intencionalidad, (45.4.
  36. f)sino falta de diligencia en la denunciada en el legítimo ejercicio del derecho de localización de datos adicionales de deudores, actividad que no conlleva la búsqueda de un beneficio económico (45.4.
  37. e)sino resarcirse de los eventuales impagos. concurriendo la circunstancia expresada en el artículo 45.5.b), permitiendo aplicar la citada atenuación privilegiada. Una vez considerada para la denunciada la aplicación del artículo 45.5 de la LOPD, en el presente caso, se han de tener en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular: La vinculación de la actividad de la denunciada con la realización de tratamientos de datos personales (apartado 45.4.
  38. c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros, siéndole exigible una especial diligencia. En cuanto a las medidas adoptadas, en este caso habría bastado tomar la cautela propia de haber implementado en el contrato un control de la obtención u origen de los datos, dado que todo y cualquier acceso a datos de afectados ha de contar con legitimación, y aunque proceda de fuentes de acceso público ha de poderse acreditar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 origen del datos por parte de su responsable, el que decide sobre su finalidad, MI. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones reseñados, para la denunciada, se impone una sanción de 20.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MULTIGESTIÓN IBERIA 2014 S.L.U, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  39. c)de la LOPD, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a MULTIGESTIÓN IBERIA 2014 S.L.U, y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.