← España

PS-00102-2024

1/36  Expediente N.º: EXP202303454 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante la parte reclamante) con fecha 26/01/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SD IBERIAN PORTFOLIOS, S.A. con NIF ***NIF.1 (en adelante la parte reclamada o IBERIAN). Los motivos en que basa la reclamación son los siguientes: la reclamante manifiesta que sus datos personales se encuentran incluidos en ASNEF a instancias de la parte reclamada, en relación con una deuda cedida por BANCO SANTANDER, S.A. (en lo sucesivo SANTANDER), pese a que se le concedió la exoneración del pasivo insatisfecho; la parte reclamante solicitó la supresión de sus datos a ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L (en lo sucesivo ASNEF-EQUIFAX) aportando la publicación donde figuraba la exoneración, respondiendo con la baja cautelar de los datos asociados a su identificador. Documentación relevante aportada por la parte reclamante: - Publicación del Registro Público Concursal, dependiente del Ministerio de Presidencia, Justicia y Relaciones con las Cortes, en el que figura que a la reclamante se le concedió el BEPI con carácter definitivo el 02/11/2021, - Documento de ASNEF-EQUIFAX sobre la inclusión de sus datos a instancias de la reclamada en fechas 23/11/2022 y 26/01/2023. SEGUNDO: El establecimiento principal del responsable del tratamiento en la Unión Europea se encuentra situado en Luxemburgo, pero el asunto objeto de examen tiene únicamente repercusiones locales, a tenor de lo dispuesto en el artículo 56.2 RGPD, por lo que se siguió el trámite previsto en el art. 56.3 del RGPD y a su tramitación como caso de impacto local. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 30/03/2023 se dio traslado de dicha reclamación a SERVDEBT ESPAÑA, S.L. representante en España y encargado del tratamiento de la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/36 Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/04/2023 como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 26/04/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 26/04/2023 la parte reclamante presentó escrito en el que manifestaba que: “HABIENDO RECIBIDO ADMISIÓN DE LA MISMA POR TRANSCURSO DEL PLAZO, SE INDICA QUE LA ENTIDAD RECLAMADA ES SD IBERIAN PORTFOLIOS: SD IBERIAN PORTFOLIOS, S.A. 17, BOULEVARD F.W. RAIFFEISEN, L-241, LUXEMBOURG. SIN PERJUICIO DE QUE LA CEDENTE DEL CRÉDITO SEA BANCO SANTANDER, Y APARENTEMENTE LA CITADA ENTIDAD PUEDA EJECUTAR ACCIONES A TRAVÉS DE LA MERCANTIL SERVDEBT. EN VIRTUD DE LO ANTERIOR, PROCEDE DECLARAR COMO RECLAMADA A SD IBERIAN PORTFOLIOS, POR SER LA ENTIDAD QUE INSCRIBE LA DEUDA EN LOS FICHEROS DE MOROSIDAD”. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. SERVDEBT ESPAÑA, S.L el 21/08/2023 presenta escrito de contestación al traslado en el que manifiesta los siguientes extremos: - - - Que se encuentra mandatada por IBERIAN para hacer las gestiones de las deudas. En fecha 25/02/2021, SANTANDER ha cedido a IBERIAN (la “Cesionaria”), todos los derechos y acciones derivados de la Financiación −incluyendo capital, intereses, indemnizaciones y cualesquiera otras obligaciones pecuniarias derivadas del mismo− (el “Crédito”) en virtud de un contrato de compraventa intervenido en póliza en esa misma fecha por el notario de Madrid, don B.B.B. con número XX, Sección X de su libro registro de operaciones. SANTANDER ha transmitido al Cesionario aquellos datos personales relativos al Crédito que fueran facilitados por el reclamante y que son necesarios para la gestión y exigibilidad del mismo; IBERIAN como nuevo responsable del tratamiento de sus datos personales tras la cesión del Crédito, trata los datos personales con la finalidad de gestionar y controlar el Crédito, incluyendo el cobro de la deuda, así como cumplir con obligaciones legales; Asimismo, para el cumplimiento del contrato de prestación de servicios, el Cesionario ha facilitado a la parte reclamada sus datos personales relativos al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/36 - - - - Crédito, necesarios para su gestión y exigibilidad (entre otros, nombre, apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de los derechos de cobro, número de cuenta bancaria y titular de la misma, su inclusión o no en ficheros de solvencia patrimonial y de crédito, procedimiento judicial en su caso y otros relevantes para la finalidad perseguida). El 23/03/2021 se envió carta de cesión al reclamante informándole de la cesión que se había producido. Los datos personales que han sido transmitidos a la parte reclamada, como consecuencia del contrato de cesión entre SANTANDER como Cedente, e IBERIAN, como Cesionaria, son los siguientes: Tipo de Dato Personal Dato Nombre A.A.A. Número de identificación fiscal ***NIF.1 Dirección ***DIRECCIÓN.1 Números de teléfono ***TELÉFONO.1 ***TELÉFONO.2. Además, también se informó al denunciante de que, si no pagaba la deuda, sus datos se incluirían en los sistemas de información crediticia y concursal gestionados por las siguientes entidades sistemas de información crediticia y concursal gestionados por las siguientes entidades: ASNEF-EQUIFAX, según consta en la carta de 23/03/2021. El 07/07/2021, la denunciante envió un correo electrónico informando de la existencia de un procedimiento de insolvencia y de que estaba a la espera del BEPI definitivo: o From: A.A.A. Sent: (….) To: (...)Subject: Re: Expediente(

  1. s)n.º(
  2. s)***EXPEDIENTE.1 Buenos días, Como ya les he indicado en varias ocasiones a Banco Santander, me encuentro en concurso de acreedores de persona física (ley segunda oportunidad). Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les indiqué que podían personarse en el procedimiento que tenía plazo hasta el día 17 de marzo de 2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso. Un saludo. A.A.A.. El BEPI definitivo se publicó el 17/04/2023. Como resultado, el 28 de abril se eliminaron todos los datos del fichero ASNEF/EQUIFAX Documentación relevante aportada por la parte reclamante: - - Poder otorgado por SD IBERIAN PORTFOLIOS, S.A a favor de SERVDEBT ESPAÑA, S.L. para actuar como su apoderado para la gestión de créditos definidos en el contrato de cesión de una catera de créditos celebrado entre SD IBERIAN PORTFOLIOS, S.A y BANCO SANTANDER, S.A. el 25 de febrero de 2021. Carta de fecha 23 de marzo de 2021, de cesión de crédito entre BANCO SANTANDER, S.A. y SD IBERIAN PORTFOLIOS, S.A. enviada a la parte reclamante comunicándola dicha cesión (Dicha carta contiene una cláusula de “Información de protección de datos” en la que se indica: “A raíz de la cesión a la que se hace referencia en esta comunicación, Banco Santander S.A. ha transmitido al Cesionario aquellos datos personales relativos al Crédito que usted facilitó y que son necesarios para la gestión y exigibilidad del mismo. La base jurídica que legitima esta cesión es la existencia de un interés legítimo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/36 - - basado en una habilitación legal para realizar dicha cesión, El Cesionario, como nuevo responsable del tratamiento de sus datos personales tras la cesión del Crédito, tratará sus datos personales con la finalidad de gestionar y controlar el Crédito, incluyendo el cobro de la deuda, así como cumplir con obligaciones legales. Asimismo, este tratamiento tiene su base legal (
  3. i)en la necesidad de los mismos para la ejecución y el control de la relación contractual entre usted. y el Cesionario; (
  4. ii)en el interés legítimo si el titular del Crédito es una persona jurídica y usted actúa como su representante; y, en su caso, (iii) en el cumplimiento de obligaciones legales que le sean de aplicación (p.ej., prevención de blanqueo de capitales). Asimismo, para el cumplimiento del contrato de prestación de servicios, el Cesionario ha facilitado a ServDebt España S.L.U. sus datos personales relativos al Crédito, necesarios para su gestión y exigibilidad (entre otros, nombre, apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de los derechos de cobro, número de cuenta bancaria y titular de la misma, su inclusión o no en ficheros de solvencia patrimonial y de crédito, procedimiento judicial en su caso y otros relevantes para la finalidad perseguida). Sus datos personales serán conservados durante toda la vigencia de la relación contractual y, posteriormente, permanecerán bloqueados hasta el transcurso del plazo de prescripción de posibles reclamaciones o requerimientos legales. Podrán acceder a sus datos otros prestadores de servicios del Cesionario (p.ej. de los sectores de sistemas y tecnología, de gestión administrativa y destrucción de documentación, de servicios legales, notarios, de logística y recobro), así como a cualquier organismo, administración pública, cuerpo y fuerza de seguridad del Estado o tribunal, para cumplir con obligaciones legales. Del mismo modo, en el caso de no proceder al pago de la deuda en el plazo previsto, sus datos podrán ser incluidos en los ficheros de solvencia patrimonial y de crédito indicados en la presente carta”. Y en el cuerpo de la carta se indica que “Si usted no procede a la regularización de su deuda en el plazo de 30 días desde la recepción de esta comunicación, se podrán iniciar los trámites legalmente previstos para que sus datos sean incluidos en sistemas de información crediticia e insolvencia patrimonial gestionados por las siguientes entidades: ASNEF”). Publicación del Registro Público Concursal, dependiente del Ministerio de Presidencia, Justicia y Relaciones con las Cortes, en la que figura que a la reclamante se le concedió el BEPI con carácter definitivo el 02/11/2021 (figurando como fecha de emisión de esta publicación el 17/04/2023, fecha que se pretende hacer valer como de constancia del conocimiento de la inclusión del BEPI de la parte reclamante en el Registro Público Concursal por SERVDEBT). Pantallazo de exclusión del fichero ASNEF de los datos de la parte reclamante de fecha 28/04/2023. En fecha 18/01/2024 se enviaron requerimientos de información a ASNEF-EQUIFAX y a SERVDEBT ESPAÑA, S.L. En fecha 25/01/2024 ASNEF-EQUIFAX presenta escrito de contestación al requerimiento de información, en el que realiza, entre otras, las siguientes manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/36 - Según la consulta al fichero Auxiliar de Notificaciones en el fichero ASNEF, consta que la inclusión en el fichero de los datos de A.A.A., con DNI ***NIF.1, con fecha de alta 02/11/2022 y 09/01/2023 a instancias de la entidad IBERIAN, se ha notificado a la interesada mediante las comunicaciones de referencia 2022-11-1105567 y 2023-01-1153514, emitidas el 03/11/2022 y 10/01/2023 respectivamente. Se envían a través de correo postal ordinario a la dirección consignada por el acreedor, esto es, ***DIRECCIÓN.1. Se adjunta al presente escrito la documentación acreditativa correspondiente, incluyendo: o Certificación emitida por ARTEOS DIGITAL, S.L, como entidad sucesora de SERVINFORM, S.A. (antes EMFASIS BILLING & Marketing Services, S.L), prestador del Servicio de Generación, Impresión, y Puesta a Disposición del Servicio de Envíos Postales o Certificaciones de Correos y/o Unipost-, certificando la fecha de realización de la notificación de inclusión de referencia, junto al resto de comunicaciones emitidas en el mismo proceso sin que se produjese incidencia alguna en el mismo que hubiera impedido su ejecución, así como la fecha en la que fue puesta a disposición del servicio de envíos postales. o Copia de la notificación de inclusión. o Albarán y nota de entrega en la oficina de Correos 2812096 y de Hispapost, con su fecha valor de admisión. o Certificación emitida por el prestador del servicio para la grabación y custodia de las devoluciones de las notificaciones, Ilunion CEE Contact Center SA, certificando que la notificación de inclusión de referencia no les consta en depósito y custodia, ni ha sido objeto de su tratamiento por algún motivo de devolución, con fecha 22/01/2024. - Actualmente no constan datos dados de alta en nuestros ficheros ASNEF y ASNEF EMPRESAS asociados a Dª A.A.A., con DNI ***NIF.1, por parte de ninguna entidad acreedora. - Consultado nuestro fichero Auxiliar de Operaciones Canceladas en el fichero ASNEF, consta que los datos de Dª A.A.A., dados de alta en su momento por IBERIAN con fecha 02/11/2022, se cancelaron con fecha 30/11/2022, siendo el motivo de la baja “C. GDPR”, lo que implica que se dan de baja durante la gestión de ejercicios de derecho en nuestro Servicio de Atención al Consumidor (SAC) al no recibir respuesta por parte del acreedor durante el plazo establecido. - La inclusión con fecha de alta 09/01/2023 también fue cancelada de forma cautelar por nuestra parte, con fecha 06/02/2023, por los mismos motivos que ocasionaron la baja de la primera anotación. La consumidora ejerció nuevamente su derecho de cancelación en nuestros ficheros con fecha 26/01/2023, y dado que IBERIAN no se manifestó sobre la confirmación de datos que se le solicitó en ese momento, se procedió a dar de baja los datos. - Consta además una tercera inclusión de los datos de la parte reclamante por parte de IBERIAN. Los datos se dieron de alta por la misma operación el 10/04/2023 y se cancelaron el 28/04/2023, en este caso de forma directa por la propia entidad acreedora. - Aporta pantallazos referentes a las inclusiones y bajas en el fichero ASNEF. Por su parte, la reclamante presentó en fecha 30/01/2024 escrito de contestación al requerimiento en el que entre otros aspectos manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/36 - Que no siendo posible obtener del registro público concursal la fecha de la inscripción, si es posible acreditar que el BEPI estaba inscrito en fecha 21/11/2022, ya que esta es la fecha de emisión del listado de publicaciones que adjunta. - Que la primera inscripción en el fichero ASNEF fue el 2 de noviembre y que en fecha 09/01/2023 se vuelve a inscribir la deuda, teniendo ya pleno conocimiento de la existencia de la exoneración. SERVDEBT ESPAÑA, S.L presentó escrito de contestación al requerimiento, en fecha 01/02/2024, en el que manifiesta entre otros lo siguiente: - Que el 23/03/2021 se envió al reclamante una notificación de la cesión de créditos en la que se indicaba lo siguiente: • la cesión de créditos que tuvo lugar el 25/02/2021 • el acreedor actual • el número de contrato en cuestión • el importe adeudado en esa fecha • los detalles del pago • información sobre la protección de datos. - Además de la carta en la que se anunciaba la cesión de créditos, el 07/07/2021 se envió un correo electrónico en el que se solicitaba el pago (Se incorpora un pantallazo de un correo dirigido a la parte reclamante, pero en el que no figura ni la fecha, ni el correo electrónico al que se envía, ni quién lo envía). - Que en fecha 07/07/2021 recibió un correo de la parte reclamante en el que les comunica que “Como ya les he indicado en varias ocasiones a SANTANDER, me encuentro en concurso de acreedores de persona física (ley segunda oportunidad). Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les indiqué que podían personarse en el procedimiento que tenía plazo hasta el día 17/03/2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso. Un saludo”. - Que esta fue la primera comunicación enviada por el reclamante informando de la existencia de un concurso de acreedores (en concurso inicial); - Que después, el reclamante enviaría lo BEPI, lo que no ocurrió; Con lo BEPI, se cancelarían los datos en ASNEF y se eliminaría al demandante del fichero de retrasos; Por tanto, estamos a la espera del envió del BEPI para retirar al denunciante de ASNEF ya que la concesión provisional del beneficio de exoneración de la responsabilidad insatisfecha a la denunciante no constituye la exclusión de sus datos del fichero ASNEF. - Que SERVDEBT ESPAÑA, S.L sólo se enteró de la existencia de BEPI en17/04/2023; y como resultado, el 28 de abril se eliminaron todos los datos del fichero ASNEF/EQUIFAX. SEXTO: A través del “Sistema de Información del Mercado Interior” (IMI), regulado por el RGPD, cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, con fecha 08/03/2024, la AEPD solicitó a la Autoridad luxemburguesa de protección de datos tramitar el incidente como caso local, aunque la Autoridad de Luxemburgo era la competente para actuar, dado que el responsable del tratamiento tiene su sede social y establecimiento principal en Luxemburgo. La solicitud se realizó al concurrir las circunstancias establecidas en el artículo 56.2 del RGPD, al tratarse de una reclamación de una posible infracción del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/36 que si bien se refiere a un establecimiento situado en Luxemburgo, afecta a interesados en España. El 12/03/2024 la Autoridad de Luxemburgo comunicó a la AEPD autorización para tramitar la reclamación como un asunto local. SÉPTIMO: Con fecha 12/04/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  5. a)del RGPD. OCTAVO: Notificado el acuerdo de inicio, en fecha 10/05/2024, la parte reclamada ha manifestado en síntesis lo siguiente: la falta de acceso al expediente; exposición de cuáles han sido a su juicio los hechos que motivan el acuerdo de inicio del procedimiento; que en ningún momento IBERIAN ha tenido conocimiento de la concesión del BEPI hasta que se le comunicó por parte del SANTADER y que no fue notificada por ASNEF-EQUIFAX de las solicitudes de supresión ejercidas por la parte reclamante y que tampoco ésta informó a IBERIAN sobre la concesión definitiva del BEPI; que la parte reclamada ha cumplido siempre con la normativa aplicable y que además no se le puede imponer la obligación de consultar el registro público concursal por cada crédito adquirido; que la sanción propuesta es manifiestamente desproporcionada y que deberían aplicarse circunstancias atenuantes de la culpabilidad; que se proceda al archivo y, en caso contrario, subsidiariamente a la minoración de la sanción propuesta en grado mínimo. NOVENO: Con fecha 10/09/2024, se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los servicios de inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar al encargado del tratamiento para que aportara copia del contrato de compraventa de cesión de créditos, elevado a escritura pública suscrito con SANTANDER, S.A., de 25/02/2021 y en virtud del cual la parte reclamada adquiere la cartera de créditos acreedores, así como los datos relativos al crédito de la parte reclamante, necesarios para su exigibilidad: nombre, apellidos, NIF/CIF, DNI/NIE, dirección, fecha y número de contrato, importe de los derechos de cobro, etc. incluidos en el citado contrato. Con fecha 24/09/2024 dio respuesta a la prueba practicada cuyo contenido obra en el expediente. DÉCIMO: Con fecha 21/02/2025 fue emitida Propuesta de Resolución en el sentido de que por la Presidencia de la Agencia Española de Protección de Datos se sancionara a la parte reclamada por infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. UNDÉCIMO: Con fecha 17/03/2025 se recibe escrito de alegaciones de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/36 De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 26/01/2023 tiene entrada en la AEPD escrito de la parte reclamante manifestando que sus datos de carácter personal han sido incluidos en el fichero ASNEF a instancias de la parte reclamada, vinculados a deuda cedida por SANTANDER; SANTANDER fue notificado del procedimiento de concurso tanto judicial como extrajudicial de pago, no encontrándose prevista la posibilidad de ceder datos a ficheros de solvencia en contrato original; la parte reclamada incluyó la citada deuda en el fichero ASNEF y otros; solicitada la “cancelación” de los datos al fichero ASNEF-EQUIFAX responden con baja cautelar, enviándosele la publicación del Registro Público Concursal donde consta el BEPI. Posteriormente se vuelve a incluir, y se vuelve a solicitar cancelación. SEGUNDO. Consta aportada por la parte reclamante autorización a D. C.C.C., letrado, para actuar en su nombre. TERCERO. Consta aportada carta de SANTANDER dirigida a la parte reclamante de fecha 23/03/2021 en la que le informaba que en fecha 25/02/2021, había cedido a la parte reclamada los derechos y acciones derivados del crédito impagado en virtud de un contrato de compraventa elevado a escritura ante el notario de Madrid, don B.B.B.. CUARTO. Consta aportada publicación del Registro Público Concursal, dependiente del Ministerio de Presidencia, Justicia y Relaciones con las Cortes, en el que figura que a la parte reclamante se le concedió el BEPI (Beneficio de Exoneración del Pasivo Insatisfecho) con carácter definitivo el 02/11/2021. QUINTO. Consta aportada copia del contrato suscrito entre ASNEF-EQUIFAX SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO SL y la parte reclamada para la Prestación de Servicios del Bureau. SEXTO. La parte reclamante, en fecha 17/01/2023, se dirigió al responsable del fichero ASNEF, entidad que mantiene el sistema común de información crediticia ASNEF-EQUIFAX, ejercitando el derecho de acceso a sus datos de carácter personal, quien el 26/01/2023 le remitía la información asociada a su identificador ***NIF.1, informadas por la parte reclamada, por producto descubiertos en c/c, naturaleza titular, con fechas de alta 09/01/2023; fecha de visualización 08/02/2023; fecha de primer y último vencimiento 29/05/2019 y 29/05/2019, por saldo impagado de (...)euros. Asimismo, le informaba que sus datos habían sido consultados por (…). SÉPTIMO. La parte reclamante, en fecha 30/11/2022, se dirigió al responsable del fichero ASNEF, entidad que mantiene el sistema común de información crediticia ASNEF-EQUIFAX, ejercitando el derecho de cancelación de sus datos de carácter personal, quien el 30/11/2022 le comunicaba que, tras las comprobaciones pertinentes, se había procedido a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el sistema de los datos asociados al identificador: ***NIF.1. Asimismo, le informaba que sus datos habían sido consultados por (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/36 OCTAVO. La parte reclamada ha aportado copia del contrato de compraventa de cesión de créditos, elevado a escritura pública suscrito con BANCO de SANTANDER, S.A., de 25/02/2021 y en virtud del cual adquiría cartera de créditos acreedores, entre los que se encontraba el relativo a la parte reclamante. NOVENO. Consta aportado documento de ASNEF-EQUIFAX, de 03/11/2022, Nº ***REFERENCIA.1, remitido a la parte reclamante en el que se le indica: Le comunicamos que con fecha 02/11/2022 la entidad parte reclamada ha solicitado el alta en el fichero ASNEF los siguientes datos personales relativos al impago del contrato que mantiene con dicha entidad: PRODUCTO (…) IMPORTE IMPAGADO (…) CALIDAD (…) ARTEOS DIGITAL, S.L., en escrito de fecha 22/01/2024, ha manifestado que la generación, impresión, y puesta en el servicio de envíos postales, el día O4/11/2022 de la comunicación con el número de referencia ***REFERENCIA.1. E Ilunion CEE Contact Center, S.A., en escrito de fecha 22/01/2024, señalaba que consultados los archivos relativos a la prestación de servicio que se mantiene con Equifax, no consta en depósito y custodia en las oficinas de Ilunion CEE Contact Center, S.A. la Notificación de Referencia ***REFERENCIA.1 ni ha sido objeto de su tratamiento por algún motivo de devolución. DÉCIMO. Consta aportado documento de ASNEF-EQUIFAX, de 10/01/2023, Nº ***REFERENCIA.2, remitido a la parte reclamante en el que se le indica: Le comunicamos que con fecha 09/01/2023 la entidad parte reclamada ha solicitado el alta en el fichero ASNEF los siguientes datos personales relativos al impago del contrato que mantiene con dicha entidad: PRODUCTO IMPORTE IMPAGADO CALIDAD (…) (…) (…) ARTEOS DIGITAL, S.L., en escrito de fecha 22/01/2024, ha manifestado que la generación, impresión, y puesta en el servicio de envíos postales, el día 12/01/2023 de la comunicación con el número de referencia ***REFERENCIA.2. E Ilunion CEE Contact Center, S.A., en escrito de fecha 22/01/2024, señalaba que consultados los archivos relativos a la prestación de servicio que se mantiene con Equifax, no consta en depósito y custodia en las oficinas de Ilunion CEE Contact Center, S.A. la Notificación de Referencia ***REFERENCIA.2, ni ha sido objeto de su tratamiento por algún motivo de devolución. DÉCIMO PRIMERO. Consta que la parte reclamante, a través de su representante, se dirigió al fichero ASNEF el 22/11/2022 señalando “Por medio del presente se solicita la *cancelación* de los datos incluidos en el fichero por SD IBERIAN PORTFOLIOS toda vez que existe exoneración de deudas judicial, inscrita en el Registro Público Concursal. En caso de que aún no consten inscritos, se ejercita la *oposición*. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/36 Consecuentemente, no se puede tratar los datos solicitados por deudas anteriores a la publicación de dicha resolución”. El 30/11/2022 el fichero Asnef se dirigió a la parte reclamada señalando: “En relación con el Expediente relativo a la parte reclamante con identificador … que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 23 de noviembre de 2022, le comunicamos que, ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder. DÉCIMO SEGUNDO. Consta que la parte reclamada, a través de su representante, se dirigió a la entidad que mantiene el sistema común de información crediticia al fichero ASNEF, el 26/01/2023 señalando: “Es la segunda vez que ustedes inscriben en el fichero la misma deuda pese a haber acreditado documentalmente la inexistencia de la misma con la resolución del registro público concursal, como se hace de nuevo. En virtud de lo anterior les requiero formalmente para que cesen en dicha actuación, bajo apercibimiento de instar procedimiento judicial por vulneración del Derecho al Honor, así como denuncia ante la AEPD”. El 06/02/2023 el ASNEF-EQUIFAX se dirigió a la parte reclamada señalándole: “En relación con el Expediente relativo a la parte reclamante con identificador … que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 30 de enero de 2023, le comunicamos que, ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder”. DÉCIMO TERCERO. Por último, la parte reclamada incluyó los datos de la parte reclamante en el sistema común de ASNEF con fecha 10/04/2023. PRODUCTO IMPORTE IMPAGADO CALIDAD (…) (…) (…) En escrito de 25/01/2024 Equifax Ibérica, S.L., señalaba que “Los datos se dieron de alta por la misma operación el 10/04/2023 y se cancelaron el 28/04/2023, en este caso de forma directa por la propia entidad acreedora”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/36 DÉCIMO CUARTO. Consta requerimiento de pago, sin fecha (la parte reclamada manifiesta ser de 07/07/2021), aportado por la parte reclamada dirigido a la reclamante solicitando el pago de la deuda, señalando en relación a la misma “que, en el momento de la cesión de crédito, la deuda ascendía a la cantidad de (…) euros. Sin embargo, a consecuencia del tiempo transcurrido, actualmente asciende a la cantidad de (…) euros” En respuesta al mismo, la parte reclamante remite correo electrónico 07/07/2021 en el que les señala: “(…) Como ya les he indicado en varias ocasiones a Banco Santander, me encuentro en concurso de acreedores de persona física (Ley de segunda oportunidad). (…) Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda de sus ficheros o bases de datos. (…)”. DÉCIMO QUINTO. La parte reclamada en escrito de 01/02/2024, en respuesta a la cuestión planteada por la AEPD: “Actuaciones realizadas por esa entidad cuando la parte reclamante les comunicó la Resolución de reconocimiento con carácter definitivo de la exoneración del pasivo insatisfecho inscrita en el Registro de Publicaciones Concursales” indicaba que:
  6. a)Servdebt sólo se enteró de la existencia de BEPI el 17 de abril de 2023;
  7. b)Como resultado, el 28 de abril se eliminaron todos los datos del fichero ASNEF/EQUIFAX FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Respuesta a las alegaciones al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/36 1. En primer lugar, la parte reclamada alega la falta de acceso al expediente administrativo. Sorprende la citada manifestación porque no ha sido una, sino dos las veces que se le dio traslado de dicho contenido: la primera, al responsable del tratamiento remitida por la Agencia Española de Protección de Datos el día 10/05/2024 13:00 ha sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, fecha de 21/05/2024 y, la segunda, remitida al encargado del tratamiento siendo la fecha de puesta a disposición: 27/05/2024 y la fecha de acceso al contenido de la notificación: 28/05/2024. 2. Alega la parte reclamada que ha cumplido siempre con la normativa aplicable y que además no se le puede obligar a consultar el registro público concursal por cada crédito adquirido, que en ningún momento ha tenido conocimiento de la concesión del BEPI y que no fue notificada por ASNEF-EQUIFAX de las solicitudes de supresión ejercidas por la parte reclamante y que tampoco la parte reclamante le informó sobre la concesión definitiva del BEPI. Ciertamente no pueden ser aceptadas las citadas manifestaciones y las mismas vuelven a sorprender a la vista de la documentación aportada al expediente. En el presente caso, hay que señalar que fue la propia reclamante quien informó del proceso en el que se encontraba inmersa a través del correo electrónico de fecha 07/07/2021 remitido al encargado del tratamiento en el que daba respuesta escrito de requerimiento de deuda, del modo en que sigue: From: A.A.A. ***EMAIL.1 Sent: (…) To: (…) Subject: Re: Expediente(
  8. s)n.º(
  9. s)***EXPEDIENTE.1 “(…) Como ya les he indicado en varias ocasiones a Banco Santander, me encuentro en concurso de acreedores de persona física (Ley de segunda oportunidad). (…) Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda de sus ficheros o bases de datos. (…)”. Y ante la inclusión de sus datos de carácter personal en el sistema común de información crediticia ASNEF la parte reclamante se dirigió al corresponsable del tratamiento en dos ocasiones: primero, el 22/11/2022 indicándole que “Por medio del presente se solicita la *cancelación* de los datos incluidos en el fichero por SD IBERIAN PORTFOLIOS toda vez que existe exoneración de deudas judicial, inscrita en el Registro Público Concursal. En caso de que aún no consten inscritos, se ejercita la *oposición*. Consecuentemente, no se puede tratar los datos solicitados por deudas anteriores a la publicación de dicha resolución”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/36 A la solicitud de cancelación se adjuntaba entre otros la concesión del BEPI (Beneficio de Exoneración del Pasivo Insatisfecho) de fecha 02/11/2021. Como consecuencia de la solicitud anterior, la entidad que mantiene el sistema común de información crediticia responsable del fichero ASNEF se dirigió a la parte reclamada el 30/11/2022 indicando: “En relación con el Expediente relativo a la parte reclamante con identificador … que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 23 de noviembre de 2022, le comunicamos que, ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder. Pues bien, la parte reclamante nuevamente se dirigió a la entidad que mantiene el sistema común de información crediticia del fichero ASNEF el 26/01/2023 como consecuencia de la notificación de una nueva inclusión de sus datos de carácter personal en el fichero, señalando: “Es la segunda vez que ustedes inscriben en el fichero la misma deuda pese a haber acreditado documentalmente la inexistencia de la misma con la resolución del registro público concursal, como se hace de nuevo. En virtud de lo anterior les requiero formalmente para que cesen en dicha actuación, bajo apercibimiento de instar procedimiento judicial por vulneración del Derecho al Honor, así como denuncia ante la AEPD”. Y nuevamente, el responsable del fichero ASNEF se dirigió a la parte reclamada en escrito de 06/02/2023 indicándole: “En relación con el Expediente relativo a la parte reclamante con identificador … que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 30 de enero de 2023, le comunicamos que ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder”. Es más, la parte reclamada volvió a dar de alta a los datos de la reclamante en el sistema común ASNEF con fecha 10/04/2023. 3. Alega la parte reclamada que la sanción propuesta es manifiestamente desproporcionada y que deberían aplicarse a efectos de la sanción circunstancias atenuantes de la culpabilidad que no han sido tenidas en cuenta En relación con la supuesta vulneración del principio de proporcionalidad en la cuantía de la sanción, se informa a la parte reclamada que el artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/36 Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Por lo tanto, las multas según se deduce del precepto que antecede han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Es cierto, que para que dicho sistema funcione con todas las garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso, no se vulnera el principio de proporcionalidad en la determinación de la sanción resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. En cuanto a que no han sido tenidas en cuenta circunstancias que concurren en el presente caso y que atenuarían la culpabilidad a efectos de graduación de la sanción, entre ellas: El grado de cooperación con la autoridad (la parte reclamada ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/36 actuado en todo momento en cooperación con la AEPD), Categorías de datos y afectación de los derechos de los menores (los datos objeto de tratamiento no son categorías especiales de datos y no se han visto afectados los derechos de los menores) y Carácter continuado de la infracción (no puede entenderse que se trate de una infracción de carácter continuado). Hay que señalar que cualquier entidad, sociedad, empresa, etc., con independencia de su tamaño, tiene la obligación de cumplir la normativa en materia de protección de datos de carácter personal desde el momento en que realiza tratamientos con datos personales; las empresas, pequeñas, medianas y grandes, que realicen un tratamiento de datos de clientes, proveedores, empleados, socios o cualquier otra figura para el desarrollo de sus actividades está obligada a cumplir con el RGPD y la LOPDGDD. Siendo una obligación el cumplimiento normativo de la protección de datos por la parte reclamada, ésta no puede pretender que la cooperación con la autoridad independiente o supervisor y que los datos tratados no tengan la condición de especialmente protegidos puedan considerarse como circunstancias atenuantes de la culpabilidad de la parte reclamada a efectos de minorar la sanción a imponer, aunque por el contrario sí que podrían ser utilizadas como circunstancias agravantes de la conducta en caso de que dichas circunstancias se hubieran producido provocando un incremento de la sanción a imponer. Por todo ello, las alegaciones formuladas por la parte reclamada deben ser rechazadas. III Respuesta a las alegaciones a la Propuesta de Resolución 1. Alega la parte reclamada su disconformidad sobre los hechos consignados en la Propuesta y, aunque no niega haber recibido las comunicaciones enviadas por ASNEF-EQUIFAX, sí que rechaza que ASNEF pusiera en su conocimiento el documento de concesión del BEPI a la parte reclamante. Como ya se señalaba en el fundamento anterior la parte reclamante informó a la parte reclamada del proceso concursal en el que se encontraba inmersa a través del correo electrónico de fecha 07/07/2021 y que estaba a la espera del beneficio de exoneración del pasivo insatisfecho definitivo: From: A.A.A. ***EMAIL.1 Sent: (…) To: (...) Subject: Re: Expediente(
  10. s)n.º(
  11. s)***EXPEDIENTE.1 “Como ya les he indicado en varias ocasiones a Banco Santander, me encuentro en concurso de acreedores de persona física (ley segunda oportunidad). Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les indiqué que podían personarse en el procedimiento que tenía plazo hasta el día 17 de marzo de 2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación de la deuda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/36 Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso. Un saludo.” Por tanto, la parte reclamada no puede aducir que no conociera la situación de la reclamante, pues no solo hablaron personalmente del asunto en conversaciones telefónicas los días 7 y 21/07/2021(parte reclamada dixit), sino que a través del correo electrónico les informaba que se encontraba a la espera del BEPI e incluso les invitaba a participar en el procedimiento concursal mediante la personación en el mismo. Alega la parte reclamada que “lo más a lo que podía albergar la Reclamante era una esperanza en que finalmente se le concediera la exoneración…, pero en momento alguno esa esperanza requiere que la parte reclamada exonere la deuda de la Reclamante”. Sin embargo, tal alegato ha de ser rechazado porque la parte reclamada carece de competencia para conceder la exoneración ya que esta es una herramienta que concede el juez a aquellas personas que no pueden hacer frente al pago de sus deudas. A mayor abundamiento, ante el correo de la reclamante el acreedor debió mostrar una mayor diligencia y sensibilidad ante la situación por la que atravesaba la misma y haber tenido en cuenta lo pactado en el contrato de compraventa de créditos, de fecha 25/02/2021, celebrado con el SANTANDER donde este tipo de situaciones es contemplado (Fundamento de Derecho V); así, la Clausula 1 Objeto, apartado 1.3 Limitación de la responsabilidad del vendedor, establece que: “(…) 1.3.2. Asimismo, tras las reuniones entre las Partes y el proceso de due diligence realizado por el Comprador, de conformidad con lo previsto en el Expositivo VI anterior, el Comprador declara que conoce y acepta las características de los Créditos y de los Datos de los Créditos. En particular, el Comprador conoce y acepta que, sin perjuicio de las declaraciones y garantías del Vendedor bajo este Contrato: (A) … (B) en la fecha de efectividad algunos de los Deudores cuyos Créditos se transmiten pueden encontrarse en situación de insolvencia, haber sido declarados en concurso o haber solicitado su declaración, sin perjuicio de la garantía contemplada en la Cláusula 5.1 (E), y (E) … (…)” Por tanto, una vez concedida la exoneración el RGPD y la propia Ley Concursal exigen que las solicitudes de supresión de datos sean tratadas de manera rápida y eficaz, especialmente cuando los datos pueden causar un perjuicio al interesado. Ahora bien, en el presente caso, y como se expondrá, no consta que la actuación desarrollada por la parte reclamada fuera acorde con la normativa de protección de datos, acreditando la ausencia de diligencia que la reclamada no haya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/36 demandado documentación adicional con el propósito de verificar la exoneración; todo lo contario, se limitó a proceder a la inclusión de los datos en el fichero ASNEF, revelando su negligencia que no puede justificar mediante la manifestación de que lo que albergaba la reclamante era una mera esperanza. Si se analizan cronológicamente los hechos, con fecha 02/11/2021 se dicta resolución de reconocimiento con carácter definitivo de la exoneración del pasivo insatisfecho a la parte reclamante y en esa misma fecha la parte reclamada instó el alta de la deuda de la parte reclamante de (…) €, por el producto “descubiertos en C/C”, en el fichero ASNEF. Como así se recoge en el punto 2 del Fundamento de Derecho anterior, con fecha 03/11/2022, ASNEF-EQUIFAX remitió a la parte reclamante la notificación de la inclusión de sus datos en el fichero. La generación, impresión, y puesta en el servicio de envíos postales por la empresa contratista se produjo el día 04/11/2022. Con fecha 22/11/2022 la parte reclamante, ante la notificación de la inclusión en el fichero, solicitó la supresión de los datos incluidos en el mismo por la parte reclamada como consecuencia de la exoneración de deudas judicial, inscrita en el Registro Público Concursal, aportando a la citada solicitud la concesión del BEPI (Beneficio de Exoneración del Pasivo Insatisfecho) de fecha 02/11/2021 quejándose de tal circunstancia y manifestando en este sentido que a pesar de las múltiples comunicaciones efectuadas a la acreedora relativas a la situación concursal: “PRIMERO. INCLUSIÓN DE DATOS EN EL FICHERO ASNEF Que habiendo sido informado por parte de los responsables del fichero mediante documento expedido en fecha 3 de noviembre de 2022 de los datos incorporados al fichero, se ha solicitado la inclusión por parte de SD IBERIAN PORTFOLIOS por importe impagado de (…) euros. SEGUNDO. DE LA INEXISTENCIA DE DEUDA. CONCURSO DE ACREEDORES. BENEFICIO DE EXONERACIÓN DEL PASIVO INSATISFECHO. PUBLICIDAD DEL REGISTRO PÚBLICO CONCURSAL. Pese a las múltiples comunicaciones efectuadas a la acreedora relativas a la situación concursal, se ha solicitado de forma indebida la inclusión de los datos de mi representada. En efecto, Dª. Elisabeth fue exonerada de cualquier deuda existente en fecha 2/11/2021 con la declaración del BEPI, tal y como consta en el registro público concursal, de cuya copia de la sección I de Edictos concursales se adjunta copia como documento nº1.” A este escrito, la parte reclamante remitió copia de la publicación de la resolución de reconocimiento con carácter definitivo de la exoneración del pasivo insatisfecho. Con fecha 30/11/2022, ASNEF-EQUIFAX procedió a la baja cautelar de la inscripción de la deuda, remitiendo a la parte reclamada la siguiente información: “En relación con el Expediente relativo a A.A.A. con identificador ***NIF.1 que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 23 de noviembre de 2022, le comunicamos que, ante la falta de contestación de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/36 estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder. (…)” En esa misma fecha, ASNEF-EQUIFAX remitió la siguiente comunicación a la parte reclamante: “De acuerdo con su solicitud de CANCELACIÓN de sus datos, registrada en nuestras oficinas con fecha 21 de noviembre de 2022, le comunicamos que, tras las comprobaciones pertinentes, se ha procedido a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***NIF.1. Adjunto le remitimos impresión de pantallas en la que consta expresamente la no existencia de datos. Asimismo, le informamos que la información que adjuntamos como Histórico de Consultas, en cumplimiento de la normativa vigente, se refiere a las entidades que han consultado sus datos en los últimos seis meses, en el caso de que tales consultas se hayan producido. Los datos que incluyen las entidades en el fichero ASNEF se utilizan con la finalidad de ayudar a las entidades que consultan y aportan información al mismo a prevenir la morosidad y analizar la solvencia. Los datos incluidos en el fichero podrán ser tratados de manera anonimizada para realizar análisis estadísticos. Los datos incluidos serán cancelados o dados de baja una vez que se haya realizado el pago de las deudas y, en todo caso, a los 5 años desde la fecha de cada uno los vencimientos impagados incluidos en el fichero ASNEF.” Con fecha 09/01/2023, la parte reclamada incluyó la deuda de la parte reclamante de (...)€, por el producto “descubiertos en C/C” en el fichero ASNEF. Con fecha 10/01/2023, ASNEF-EQUIFAX remitió a la parte reclamante la notificación de la inclusión de sus datos en ASNEF. La generación, impresión, y puesta en el servicio de envíos postales por la empresa contratista se produjo el día 12/01/2023. Con fecha 26/01/2023 la parte reclamante se dirigió a ASNEF-EQUIFAX señalando: “Estimados señores, Se envía cancelación de datos de la perjudicada. Es la segunda vez que ustedes inscriben en el fichero la misma deuda pese a haber acreditado documentalmente la inexistencia de la misma con la resolución del registro público concursal, como se hace de nuevo. En virtud de lo anterior les requiero formalmente para que cesen en dicha actuación, bajo apercibimiento de instar procedimiento judicial por vulneración del Derecho al Honor, así como denuncia ante la AEPD.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/36 Con fecha 06/02/ 2023, ASNEF-EQUIFAX procedió a la baja cautelar de la inscripción de la deuda referida anteriormente, remitiendo a la parte reclamada la siguiente comunicación: “En relación con el Expediente relativo a A.A.A. con identificador ***NIF.1 que ha solicitado la Cancelación de sus datos, y del que se le ha dado cuenta con fecha 30 de enero de 2023, le comunicamos que, ante la falta de contestación de su estimada entidad, conforme a las normas de funcionamiento del Fichero ASNEF hemos procedido a la baja cautelar del dato. Esta baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder. Atentamente” En esa misma fecha, ASNEF-EQUIFAX remitió la siguiente comunicación a la parte reclamante: “De acuerdo con su solicitud de CANCELACIÓN de sus datos, registrada en nuestras oficinas con fecha 26 de enero de 2023, le comunicamos que, tras las comprobaciones pertinentes, se ha procedido a la Baja cautelar con la/s entidad/es SD IBERIAN PORTFOLIOS en el Fichero ASNEF de los datos asociados al identificador: ***NIF.1. Adjunto le remitimos impresión de pantallas en la que consta expresamente la no existencia de datos. Asimismo, le informamos que la información que adjuntamos como Histórico de Consultas, en cumplimiento de la normativa vigente, se refiere a las entidades que han consultado sus datos en los últimos seis meses, en el caso de que tales consultas se hayan producido. Los datos que incluyen las entidades en el fichero ASNEF se utilizan con la finalidad de ayudar a las entidades que consultan y aportan información al mismo a prevenir la morosidad y analizar la solvencia. Los datos incluidos en el fichero podrán ser tratados de manera anonimizada para realizar análisis estadísticos. Los datos incluidos serán cancelados o dados de baja una vez que se haya realizado el pago de las deudas y, en todo caso, a los 5 años desde la fecha de cada uno los vencimientos impagados incluidos en el fichero ASNEF. (…)” Con fecha 10/04/2023, la parte reclamada incluyó nuevamente una deuda de la parte reclamante de (…) €, por el producto “descubiertos en C/C” en el fichero ASNEF. Con fecha 28/04/2023, los datos de la parte reclamante fueron suprimidos a instancias de la parte reclamada, al tener conocimiento del BEPI. Es relevante mencionar que la baja cautelar en el fichero ASNEF, es una medida temporal que aplica ASNEF-EQUIFAX mientras se recibe la respuesta del acreedor en relación con una solicitud de supresión o rectificación realizada por el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/36 Se trata de una medida efectiva cuando se sospecha que la inclusión, el alta, no es correcta, se ha cometido algún error en el procedimiento de registro, se ha pagado la deuda o, como el caso presente, cuando la deuda deja de ser exigible. Es importante tener en cuenta como se indicaba que la baja cautelar es temporal disponiendo el corresponsable, ASNEF-EQUIFAX, de un plazo de un mes para resolver y dar respuesta a la solicitud que puede prorrogarse por otros dos meses si es necesario, conforme determina el art. 12 del RGPD. Por tanto, si ASNEF-EQUIFAX confirma, tras la consulta al acreedor, que la deuda no existe, los datos ya no volverán a ser incluidos en el fichero, pero si por el contrario se confirma que la deuda es cierta, vencida y exigible los datos volverán a ser incluidos en el fichero. La parte reclamada no niega las comunicaciones de ASNEF-EQUIFAX, pero mantiene que no le consta que le trasladara tanto el 30/11/2022 como el 06/02/ 2023, junto a la solicitud de supresión ejercitada por la parte reclamante el documento por el que se concedía el BEPI. Ahora bien, consta que con posterioridad a las cartas trasladadas a la parte reclamada comunicando las bajas cautelares causadas por ASNEF-EQUIFAX atendiendo a la solicitud de supresión de la parte reclamante, y en la que además se le señalaba que la baja se produce de acuerdo con las normas establecidas y por exigencia de la normativa de protección de datos. No obstante, si su entidad no está de acuerdo con esta baja y lo estimara oportuno, puede volver a dar de alta al cliente con los datos que obran en su poder, en fechas 09/01/2023 y el 10/04/2023, el acreedor volvió a incluir los datos personales de la parte reclamante en el sistema de información crediticia ASNEF. Por tanto, aun dando por cierto que ASNEF no trasladara a la parte reclamada la certificación definitiva del BEPI, ante las solicitudes de supresión de la reclamante la reclamada no llevó a cabo actuación alguna tendente a verificar si la deuda era cierta, vencida y exigible; como se ha señalado la actuación de la parte reclamada fue la de proceder nuevamente a incluir los datos de la reclamante en el fichero de solvencia con los perjuicios que tal actuación provoca. 2. Alega la parte reclamada el cumplimiento de la normativa de protección de datos en materia de información crediticia, existiendo base de legitimación suficiente. La reclamada justifica el tratamiento efectuado en que su actuación era acorde con el RGPD y la LOPDGDD pues la inclusión en el fichero se produjo en un momento en que la deuda era exigible, por lo que actuó diligentemente de acuerdo con la información que tanto la reclamante como el corresponsable ASNEF-EQUIFAX le facilitaron. Sin embargo, tal argumento no puede ser admitido a la luz de la documentación aportada al expediente; la parte reclamada no observó la diligencia a la que está obligada por el RGPD, ni con lo recogido en el contrato suscrito con SANTANDER: cumplir las obligaciones que le impone dicho Reglamento, por lo que ahora interesa cumplir con el principio de legitimación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/36 Sobre su voluntad de cumplir con las disposiciones del RGPD y la LOPDGDD, hay que remitirse al Fundamento V de esta resolución en el que queda patente que el tratamiento de datos realizado no estaba fundado en ninguna de las bases de licitud recogidas en el artículo 6.1 del RGPD. 3. Alega la parte reclamada su disconformidad con las medias correctoras incluidas en la Propuesta. Y sorprende que la parte reclamada se sorprenda de que se ordene la adopción de medidas correctoras a fin de evitar incidencias como la producida y que ha dado lugar a la apertura del procedimiento sancionadora por infracción del artículo 6.1 del RGPD; poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control y que se relacionan en su artículo 58.2, apartados
  12. a)a j). Concretamente la letra
  13. d)del precepto establece que la autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Ya se contemplaba en la Propuesta dicha medida y, además, se señalaba que en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que, en su caso, se dictase adecuara los tratamientos objeto del presente procedimiento a la normativa aplicable y que “En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD” y se señalaba “como posible medida a adoptar se señala que cuando conste acreditado que el BEPI (exoneración del pasivo) figure inscrito en el Registro Público Concursal sea eliminada toda posibilidad de alta de la deuda en los citados sistemas de información patrimonial”. Hay que destacar el poder correctivo del artículo 58.2.
  14. d)del RGPD, pues a su tenor se puede ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado. Esta medida es fundamental y constituye una garantía para hacer efectivo el Derecho Fundamental a la Protección de Datos de Carácter Personal. Por último, las medidas correctivas son importantes porque tienden a solventar la infracción cometida y que puedan ser corregidos los efectos de la infracción. Y esto únicamente se puede lograr si se declara la existencia de la infracción a través del procedimiento que corresponda de los previstos en el artículo 64 de la LOPDGDD, pues declarada la misma, habrá que ordenar que se cumpla con la legalidad vigente, y ello a los efectos de que no se siga vulnerando el Derecho Fundamental a la protección de datos de carácter personal de los interesados, aunque siempre es de reconocer y valorar el gesto de la parte reclamada en la adopción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/36 medidas motu propio, como es la manifestada de retirar los datos de todos los deudores incluidos en ficheros titularidad de ASNEF-Equifax. 4. Alega la parte reclamada que la AEPD no tiene en cuenta el cumplimiento de otros hechos, como la notificación a la parte reclamante de la cesión y la supresión de la inscripción de los datos en el momento que tuvo conocimiento del BEPI. Y es que lo que la parte reclamada pretende que sean valorados como hechos ajenos a su responsabilidad lo que no son sino obligaciones de obligado cumplimiento. Así, el Contrato de compraventa de la cartera de créditos sin garantía real suscrito entre Santander y la parte reclamada, en fecha 25/02/2021, contempla en su Clausula 7, Comunicación de la Cesión. Protección de datos, apartado 7.1 Comunicación a los deudores, donde se establece: 7.1.1 Las Partes manifiestan que procede comunicar a los Deudores… 7.1.2 A tal efecto, las Partes han acordado el envío de comunicaciones conjuntas, en forma de una carta firmada por un representante de cada Parte… 7.1.3 Las Partes acuerdan que las comunicaciones sean enviadas por la entidad que el Comprador comunique al Vendedor… (…)” Y en lo relativo a la supresión de la inscripción de los datos en el momento que tuvo conocimiento del BEPI, ya se recoge en la Propuesta de Resolución que el Real Decreto Legislativo 1/2020, de 5 de mayo, por el que se aprueba el Texto Refundido de la Ley Concursal en su artículo 492 ter. Efectos de la exoneración respecto de sistemas de información crediticia, establece que: “1. La resolución judicial que apruebe la exoneración mediante liquidación de la masa activa o la exoneración definitiva en caso de plan de pagos incorporará mandamiento a los acreedores afectados para que comuniquen la exoneración a los sistemas de información crediticia a los que previamente hubieran informado del impago o mora de deuda exonerada para la debida actualización de sus registros. 2. El deudor podrá recabar testimonio de la resolución para requerir directamente a los sistemas de información crediticia la actualización de sus registros para dejar constancia de la exoneración”. 5. Alega la parte reclamada que la sanción es desproporcionada y deberían tenerse en cuenta circunstancias atenuantes. Las alegaciones sobre la falta de proporcionalidad de la sanción impuesta y las objeciones que se hacen a las agravantes contenidas en la Propuesta y la petición de que se aprecien como atenuantes determinados factores, son una reiteración de lo expuesto en el escrito de alegaciones al acuerdo de inicio; cuestiones que se recogen en la propuesta de resolución y también en esta resolución. En cuanto a las circunstancias que deberían ser tenidas en cuenta minorando la sanción a imponer: “la ausencia de una intensidad dolosa en el tratamiento de datos, así como un interés legítimo por su parte” (Sentencia de la Audiencia Nacional de 18 de marzo de 2024), “la falta de intencionalidad, la actitud diligente de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/36 actora, y la ausencia o falta de beneficios económicos obtenidos” (Sentencia de la Audiencia Nacional de 3 de enero de 2021). Sobre la falta de beneficios obtenidos, cabe señalar que tal circunstancia solo puede operar como agravante y en ningún caso como atenuante. El artículo 83.2.
  15. k)del RGPD se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Y el artículo 76.2.
  16. c)de la LOPDGDD dice que: “2. De acuerdo a lo previsto en el artículo 83.2.
  17. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: (…)
  18. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios obtenidos”, pero no la “ausencia” o “inexistencia” de éstos, que es lo que la parte reclamada pretende. A este respecto, la Sentencia de la AN, de 05/05/2021, rec. 1437/2020, se refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el artículo cita-do. En esta Sentencia se indica: “…el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. En cuanto a “la falta de intencionalidad, la actitud diligente de la parte actora”, hay que señalar que, en el presente caso, se aprecia que la parte reclamada no obró con la diligencia que era procedente. Hay que recordar que la exigencia de responsabilidad presupone que esté presente el elemento subjetivo de la infracción, es decir la culpabilidad, requisito esencial pues rige en nuestro Derecho Administrativo sancionador, que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o culpabilidad en sentido amplio, como condición para que nazca la responsabilidad ha sido confirmada por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. En el mismo sentido, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, Responsabilidad, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/36 “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Por tanto, la responsabilidad administrativa puede exigirse a título de dolo o de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Son ejemplos de falta de diligencia en el cumplimiento de las obligaciones que impone al responsable del tratamiento la normativa de protección de datos las citas que hacen estas Sentencias de la Audiencia Nacional (SAN): En la SAN de 17/10/2007 (Rec. 63/2006) se dice: “el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Y la SAN de 29/04/2010 que, en su Fundamento Jurídico sexto, indicó: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Conviene recordar lo que la STC 246/1991 ha dicho a propósito de la culpabilidad de la persona jurídica: que no falta en ella la “capacidad de infringir las normas a las que están sometidos”. “Capacidad de infracción (…) que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz (…)”. En conexión con lo expuesto hay que referirse al artículo 5.2 del RGPD (principio de responsabilidad proactiva), según el cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa en materia de protección de datos, sino también la de poder demostrar dicho cumplimiento. El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173emitido durante la vigencia de la derogada Directiva 95/46/CEE, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/36 Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. Y sobre esta cuestión no hay que olvidar el artículo 24.1 del RGPD que sobre la responsabilidad del responsable del tratamiento dispone: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario." Cabría señalar cual fue la diligencia observada por la parte reclamada en relación con la conducta que debía haber observado en relación con la conducta examinada. La respuesta es que la diligencia que debió observar era la precisa para cumplir las obligaciones que le imponía el artículo 6.1 del RGPD y que motivó la apertura del procedimiento. Por tanto, de conformidad con el principio de proactividad la parte reclamada no adopto una actitud diligente para cumplir las previsiones del RGPD, vulnerando el principio de licitud, infracción que ocasionó que los datos de la parte reclamante fueran incluidos en los sistemas de información crediticia sin que la deuda fuera exigible, conducta que ha existido, evidenciando la ausencia de diligencia. En cuanto a “la ausencia de una intensidad dolosa en el tratamiento de datos, así como un interés legítimo por su parte”, el artículo 83.2.
  19. k)contiene una cláusula residual sobre la apreciación de cualquier otro factor, atenuante o agravante aplicable a las circunstancias del caso”; sin embargo, en el presente caso acreditada la culpabilidad de la parte reclamada la ausencia de intencionalidad dolosa no puede ser apreciada puesto que ha quedado acreditado que la parte reclamada no actuó con la diligencia que le era exigible. IV Obligación incumplida: artículo 6.1 del RGPD Los hechos denunciados se materializan en la inclusión de los datos de carácter personal de la parte reclamante en sistemas comunes de información crediticia, en relación con una deuda adquirida al SANTANDER por la parte reclamada y, pese a que le fue concedido la exoneración del pasivo insatisfecho, la deuda accedió al fichero lo que podría constituir vulneración de la normativa en materia de protección de datos. El RGPD en su artículo 5 establece los principios que deben presidir el tratamiento de los datos personales, y en su apartado 1 señala que: “1. Los datos personales serán:
  20. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>). (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/36 Y en su apartado 2, establece que: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>).” Por su parte, el artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  21. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  22. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  23. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  24. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  25. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  26. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  27. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/36 “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece que: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  28. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  29. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  30. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  31. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  32. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  33. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  34. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/36 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia”. 1. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa a la parte reclamada la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento de los datos titularidad de la parte reclamante. La parte reclamada llevó a cabo el tratamiento de los datos de la parte reclamante sin legitimación alguna puesto que no resulta de aplicación la presunción de licitud que contempla el artículo 20 de la LOPDGDD, toda vez que no se han respetado las garantías que prevé el citado artículo, dado que la deuda carecía del requisito de exigibilidad, al haberse concedido a la parte reclamante el beneficio de la exoneración de la deuda. No hay que olvidar que la parte reclamada había tenido conocimiento de la exoneración de la deuda por las solicitudes de supresión de datos de la parte reclamante presentadas por ASNEF-EQUIFAX. La LOPDGDD introduce una presunción «iuris tantum» de prevalencia del interés legítimo del responsable del tratamiento en algunos supuestos determinados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/36 entre ellos, el relativo al tratamiento de los datos en sistemas de información crediticia. Así las cosas, cuando se observen las garantías que el artículo 20 de la LOPDGDD prevé, el tratamiento podrá presumirse lícito al amparo del artículo 6.1.
  35. f)del RGPD, sin perjuicio de que la legitimidad deba ser valorada caso a caso y sin perjuicio de que el responsable pueda realizar la ponderación legalmente exigible cuando no se cumplan las citadas garantías, como aclara el preámbulo de la ley al recoger: “En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos», incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquellos respecto de los que el legislador establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo.” Entre las citadas garantías, el artículo 20 de la LOPDGG contempla la consistente en que “los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes” (art. 20.1.
  36. b)RGPD). 2. De la documentación aportada se desprende que la parte reclamante suscribió con SANTANDER un contrato, del cual se generaría una deuda. En fecha 25/02/2021, SANTANDER y la parte reclamada suscribieron contrato de compraventa de créditos intervenido en póliza en esa misma fecha por el notario de Madrid, don B.B.B.. La parte reclamada como nuevo responsable del tratamiento tras la cesión del crédito, trató los datos personales de la parte reclamante con la finalidad de gestionar y recuperar el crédito, entre ellos el cobro de la deuda, así como cumplir con las obligaciones legales. De esta forma, el 23/03/2021 envió carta de a la parte reclamante informándole de la cesión producida y, además, que si no pagaba la deuda, sus datos se incluirían en los sistemas de información crediticia. La parte reclamante con fecha 07/07/2021, remitió correo electrónico informando de la existencia de un procedimiento de insolvencia y de que estaba a la espera del BEPI: “Como ya les he indicado en varias ocasiones a Banco Santander, me encuentro en concurso de acreedores de persona física (ley segunda oportunidad). Creo que ustedes me llamaron hace unos meses y les indiqué la situación, les indiqué que podían personarse en el procedimiento que tenía plazo hasta el día 17 de marzo de 2021. Pero ustedes no se han personado por lo que entiendo que ya no cabe la reclamación de la deuda. Estoy a la espera del BEPI, una vez lo obtenga deberán retirar mi deuda se sus ficheros o bases de datos. Les envió adjunto la copia sellada del concurso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/36 Es decir, que no es cierto como afirmaba la parte reclamada en escrito de 01/02/2024, como así se recoge en los hechos probados, que “Servdebt sólo se enteró de la existencia de BEPI el 17 de abril de 2023; la parte reclamante en fecha 07/07/2021 ya informó del concurso en el que estaba inmerso y que se encontraba a la espera de la resolución definitiva, incluso les invitaba a personarse en el mismo, cuestión que desestimaron. Y la actuación de la parte reclamada fue la inclusión de los datos de la parte reclamante en sistemas comunes de información crediticia, comúnmente llamados ficheros de morosidad; y no solo una vez sino tres: 02/11/2022, por una deuda de (…) euros; el 09/01/2023, por una deuda de (...)euros y el 10/04/2023, por una deuda de (…) euros. A mayor abundamiento, no solo fue la reclamante quien informó a la parte reclamada de la existencia del citado procedimiento, ya que el mismo corresponsable del sistema de información crediticia ASNEF-EQUIFAX informo de la existencia del BEPI y no solo una vez sino dos. ASNEF-EQUIFAX en su escrito de 25/01/2024 manifestaba que En este momento la consumidora constaba dada de alta en nuestro fichero ASNEF a instancias de la entidad SD IBERIAN PORTFOLIOS, por lo que se solicitó a dicha entidad una confirmación de datos. No obtuvimos respuesta por su parte durante el periodo de tiempo facilitado para ello, por lo que tuvimos que actuar cancelando cautelarmente los datos. Y que La inclusión con fecha de alta 09/01/2023 también fue cancelada de forma cautelar por nuestra parte, con fecha 06/02/2023, por los mismos motivos que ocasionaron la baja de la primera anotación. La consumidora ejerció nuevamente su derecho de cancelación en nuestros ficheros con fecha 26/01/2023, y dado que SD IBERIAN no se manifestó sobre la confirmación de datos que se le solicitó en ese momento, se procedió a dar de baja los datos” Por otra parte, hay que señalar que el Real Decreto Legislativo 1/2020, de 5 de mayo, por el que se aprueba el Texto Refundido de la Ley Concursal establece en su artículo 492 ter. Efectos de la exoneración respecto de sistemas de información crediticia, lo siguiente: “1. La resolución judicial que apruebe la exoneración mediante liquidación de la masa activa o la exoneración definitiva en caso de plan de pagos incorporará mandamiento a los acreedores afectados para que comuniquen la exoneración a los sistemas de información crediticia a los que previamente hubieran informado del impago o mora de deuda exonerada para la debida actualización de sus registros. 2. El deudor podrá recabar testimonio de la resolución para requerir directamente a los sistemas de información crediticia la actualización de sus registros para dejar constancia de la exoneración”. A mayor abundamiento, en el contrato de compraventa de créditos, suscrito con BANCO de SANTANDER, S.A., de fecha 25/02/2021, en su Clausula 1 Objeto, apartado 1.3 Limitación de la responsabilidad del vendedor, se establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/36 “(…) 1.3.1 Las Partes reconocen que el objeto del contrato es la compraventa de la Carter de Créditos en su conjunto, sin consideración individualizada de cada uno de los Créditos que la componen y que se adquieren por el Comprador. 1.3.2. Asimismo, tras las reuniones entre las Partes y el proceso de due diligence realizado por el Comprador, de conformidad con lo previsto en el Expositivo VI anterior, el Comprador declara que conoce y acepta las características de los Créditos y de los Datos de los Créditos. En particular, el Comprador conoce y acepta que, sin perjuicio de las declaraciones y garantías del Vendedor bajo este Contrato: (A) … (B) en la fecha de efectividad algunos de los Deudores cuyos Créditos se transmiten pueden encontrarse en situación de insolvencia, haber sido declarados en concurso o haber solicitado su declaración, sin perjuicio de la garantía contemplada en la Cláusula 5.1 (E), y (E) algunos de los Créditos pueden quejar sujetos a la Ley 7/1995 de Crédito al Consumo (o, cuando sea aplicable, a la nueva Ley 16/2011, de Contratos de Crédito al Consumo) y, en su caso, a la ley 7/1998 d 13 de abril, sobre Condiciones Generales de la Contratación, así como al resto de normativa concordante. (…)” Por tanto, de todo lo que antecede se considera que la actuación de la parte reclamada supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo 20.1 de la LOPDGDD, infracción del principio de licitud en el tratamiento de los datos que requiere la existencia de una base legal que lo legitime; infracción que ocasionó que los datos de la reclamante fueran incluidos en los sistemas de información crediticia sin que la deuda fuera cierta, vencida y exigible, infracción tipificada en el artículo 83.5.
  37. a)del RGPD. V Tipificación de la infracción del artículo 6.1 del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  38. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a los solos efectos del cómputo de la prescripción, que son: “Infracciones consideradas muy graves: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/36 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  39. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) VI Propuesta sanción por infracción del artículo 6.1 del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  40. a)a
  41. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  42. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  43. b)la intencionalidad o negligencia en la infracción;
  44. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  45. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  46. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  47. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  48. g)las categorías de los datos de carácter personal afectados por la infracción;
  49. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  50. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/36
  51. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  52. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  53. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  54. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  55. a)El carácter continuado de la infracción.
  56. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  57. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  58. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  59. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  60. f)La afectación a los derechos de los menores.
  61. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  62. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  63. a)y artículo 6.1 del RGPD (inclusión en ficheros de morosos sin legitimación), de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad; los perjuicios sufridos por la parte reclamante que afectan a su solvencia económica incluyendo sus datos de carácter personal en sistemas comunes de información crediticia a instancias de la parte reclamada en relación con una deuda que carecía del requisito de la exigibilidad al haber sido exonerado de la misma, siendo evidentes los perjuicios originados al denunciante, al ver sus datos personales indebidamente incluidos en el fichero, así como propósito de la operación de tratamiento que no era otra que la de proceder al cobro de una deuda inexistente (artículo 83.2.
  64. a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada de modo habitual con el tratamiento de datos de carácter personal que se examina en el presente procedimiento. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus deudores, por lo que, dado el objeto de su negocio la transcendencia de la conducta objeto de la presente reclamación es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/36 innegable (artículo 76.2.
  65. b)de la LOPDGDD en relación con el artículo 83.2.k). (artículo 76.2.
  66. b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción, pues el reclamado incluyó los datos en sistemas comunes de información crediticia sin que la deuda cumpliera los requisitos del artículo 20.1 de la LOPDGDD y sin efectuar la necesaria ponderación para acreditar la prevalencia de su interés legítimo; es más, la parte reclamada conociendo la situación concursal de la parte reclamante, puesto que tanto ASNEFEQUIFAX como la parte reclamante le habían servido información sobre la misma y, aun así, volvió a dar de alta a los datos de carácter personal de la parte reclamante en el sistema común fichero comúnmente llamado de morosos con las consecuencias y perjuicios que ello puede acarrear. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  67. b)del RGPD). VII Medidas correctoras Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
  68. a)a j). Al confirmarse la infracción, se acuerda proponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  69. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se considera procedente ordenar que el reclamado en el plazo de seis meses a partir de la firmeza de la resolución sancionadora que, en todo caso, se dicte adecúe los procedimientos relacionados con el tratamiento de datos personales en sistemas de información crediticia, a la normativa aplicable, en particular el procedimiento para la atención de las solicitudes de ejercicio de derechos planteadas por las personas físicas concernidas por estos tratamientos. En el texto de este acuerdo se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/36 medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en el presente caso y como posible medida a adoptar se señala que cuando conste acreditado que el BEPI (exoneración del pasivo) figure inscrito en el Registro Público Concursal sea eliminada toda posibilidad de alta de la deuda en los citados sistemas de información patrimonial. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SD IBERIAN PORTFOLIOS, S.A., con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  70. a)del RGPD, una multa de 200.000 euros (doscientos mil euros). SEGUNDO: ORDENAR a SD IBERIAN PORTFOLIOS, S.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
  71. d)del RGPD, en el plazo de seis meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas adecuadas que eviten incidencias como las producidas de conformidad con los establecido en el artículo 6.1 del RGPD y, en especial, la señalada en el Fundamento VII. TERCERO: NOTIFICAR la presente resolución a SD IBERIAN PORTFOLIOS, S.A. Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  72. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/36 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  73. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.