← España

PS-00104-2013

1/11 Procedimiento Nº PS/00104/2013 RESOLUCIÓN: R/01799/2013 En el procedimiento sancionador PS/00104/2013, instruido por la Agencia Española de Protección de Datos a la entidad COFIDIS, S.A. SUCURSAL EN ESPAÑA, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 20/04/2012 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara que en el Juzgado de 1a Instancia n° 4 de Fuenlabrada se tramita procedimiento monitorio *****/2010, a instancia de COFIDIS HISPANIA, ESTABLECIMIENTO FINANCIERO DE CREDITO, S.A.U.(con posterioridad devenida COFIDIS, S.A. SUCURSAL EN ESPAÑA, en lo sucesivo COFIDIS), frente a la reclamante y B.B.B.(en lo sucesivo el contratante), en reclamación de cantidad de 4.745,64 euros en concepto de devolución de capital e intereses de una línea de crédito. La reclamante fue requerida judicialmente en fecha 12/03/2012, momento en el que se le entrega la petición inicial de procedimiento monitorio y la documentación adjunta mediante requerimiento del propio Juzgado de 1a Instancia n° 4 de Fuenlabrada de fecha 07/03/2012. Una vez analizada la documentación, comprueba lo siguiente: -No consta documento alguno firmado por la afectada, en el que haya solicitado línea de crédito ni cantidad alguna a COFIDIS. -Los únicos datos correctos son nombre y apellidos y NIF, pero no existe ningún otro dato personal correcto, como podría ser mi residencia o dirección postal. Mediante Decreto de fecha 15-03-2012 de la Secretaria del Juzgado de 1a Instancia n° 4 de Fuenlabrada, se acuerda en el referido procedimiento monitorio *****/2010, tener por desistida a la parte demandante COFIDIS respecto de la afectada, precediéndose al sobreseimiento y finalización del proceso, continuando respecto del contratante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad COFIDIS, teniendo conocimiento de que: COFIDIS, es un establecimiento financiero de crédito dedicado principalmente a la actividad de crédito al consumo que opera a distancia. En el mes de marzo de 2007, COFIDIS suscribió un contrato de Línea de crédito con el contratante y los datos de la denunciante constaron asociados al contrato Línea de crédito debido a que por motivos de riesgo y control de solvencia, el contrato solicitado por el contratante, precisaba de datos adicionales para poder ser aprobado. Por ello en fecha 27/03/2007 se solicitaron telefónicamente al titular del contrato los datos de su cónyuge, y el titular del contrato facilitó telefónicamente los datos de la denunciante, posteriormente tales datos se remitieron por fax, como consta en las anotaciones informáticas del sistema de COFIDIS De este modo los datos de la denunciante quedaron asociados informáticamente al contrato n° ***CONTRATO.1 suscrito por el contratante. Debido a una incidencia informática, producida durante las operaciones de migración practicadas en los sistemas de la entidad, el software de la compañía catalogó a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 denunciante como cotitular firmante del contrato n° ***CONTRATO.1, de ahí que se asociaran a la denunciante los impagos del contratante. El contrato firmado por el contratante resultó impagado, por lo que se realizó la tramitación de reclamación mediante procedimiento monitorio contra el titular y la que erróneamente figuraba como cotitular del contrato. En cuanto se tuvo conocimiento por la llamada telefónica que los afectados realizaron a la compañía el 12/03/2012, el mismo 12 de marzo se desistió del proceso instado contra la denunciante, por lo que el día 15 de marzo se obtuvo la Resolución judicial que admitía el referido desistimiento. Los datos de la denunciante que figuran en los ficheros de COFIDIS se hallan actualmente cancelados TERCERO: Con fecha 20/02/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a COFIDIS por presunta infracción del artículo 4.3 de la Ley Orgánica de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de COFIDIS mediante email de fecha 15/03/2013 solicito copia del expediente administrativo, que fue remitido mediante escrito del instructor de fecha 19/03/2013. En fecha 21/03/2013, la citada representación de COFIDIS informaba que COFIDIS HISPANIA, EFC, se encontraba extinguida al producirse en el seno de la compañía un proceso de restructuración societaria, consistente en una fusión impropia con constitución de sucursal, consecuencia de la cual COFIDIS S.A. SUCURSAL EN ESPAÑA (en lo sucesivo COFIDIS), se subrogo en la posición de COFIDIS HISPANIA, EFC, SAU, constituyendo entidad dependiente de la matriz francesa COFIDIS S.A. También solicitaba ampliación del plazo para contestar, siéndole concedido otros siete días mediante escrito del instructor de fecha 01/04/2013. Mediante escrito de fecha 02/04/2013 la representación de COFIDIS, formuló en síntesis las siguientes alegaciones: -Que en el mes de marzo de 2007 COFIDIS suscribió un contrato de línea de crédito con D. B.B.B., solicitando dados adicionales para ser aprobado, entre los que se encontraban los del cónyuge; de este modo los datos de la denunciante quedaron asociados al citado contrato. - Solicitud de archivo por: ausencia de culpabilidad e inexistencia de perjuicios causados. - Subsidiariamente, aplicación subsidiaria del artículo 45.5 de la LOPD al darse causas de disminución de la antijuridicidad y culpabilidad. QUINTO: Con fecha 05/04/2013, se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/04318/2012. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00104/2013 presentadas por COFIDIS y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 SEXTO: En fecha 05/06/2013, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionara a COFIDIS, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. En fecha 02/07/2013, la representación de COFIDIS presentó escrito solicitando ampliación del plazo señalado para alegaciones. En fecha 09/07/2013, la representación de COFIDIS presentó escrito a reiterando las manifestaciones alegadas a lo largo del procedimiento y, además, que los hechos imputados no encajan en el tipo infractor, falta de tipicidad de la conducta; la incorrecta aplicación de la circunstancia previstas en el apartado
  3. e)del artículo 45.5 de la LOPD, así como la aplicación de criterios previstos en el artículo 45.4 de la LOPD que permitirán la aplicación de una sanción en cuantía menor a la señalada en la propuesta. HECHOS PROBADOS PRIMERO. En fecha 20/04/2012 tiene entrada en la AEPD escrito de la denunciante en el que declara que, a través de un requerimiento judicial, ha tenido conocimiento que en el Juzgado de Primera Instancia n° 4 de Fuenlabrada se tramita procedimiento monitorio *****/2010 en reclamación de cantidad por importe de 4.745,64 euros a instancias de COFIDIS, en el que es parte demandada, sin que tenga relación contractual, ni le conste que haya solicitado línea de crédito ni cantidad alguna con la citada entidad crediticia (folios 1 y 2). SEGUNDO. COFIDIS incorporó a su fichero de clientes los datos de la denunciante, asociados al contrato nº ***CONTRATO.1, modalidad línea de crédito Direct Cash, suscrito el 02/03/2007, con D. B.B.B., pareja de la denunciante (folios 19, 20 y 39). TERCERO. COFIDIS presentó en fecha 25/05/2010, demanda en petición de procedimiento monitorio, en reclamación de cantidad contra la denunciante y D. B.B.B., al haber incumplido la obligación de reintegrar el préstamo concedido, adeudándose el importe de 4.745,64 euros (folios 6 a 8). Constan, con fecha 30/06/2010, Diligencias de Ordenación procedimiento monitorio *****/2010, ante el Juzgado de Primera Instancia nº 4 de Fuenlabrada (Madrid), contra la denunciante y su pareja (folios 4 y 5). CUARTO. En fecha 07/03/2012, el Juzgado de Primera Instancia nº 4 de Fuenlabrada, dictó requerimiento judicial de deuda por importe de 4.745,64 euros, contra la denunciante en el que se indica “Si en veinte días no paga, ni comparece en este juzgado para alegar las razones de la negativa al pago, el Secretario Judicial dictará Decreto dando por terminado el proceso Monitorio, y dará traslado al acreedor par que inste el despacho de ejecución bastando para ello la mera solicitud, según lo previsto en el artículo 816 de la LEC” (folio 3). QUINTO. Consta Decreto de la Secretaria del Juzgado de Primera Instancia nº 4 de Fuenlabrada, Procedimiento Monitorio *****/2010, en cuya parte dispositiva se señala que “Se acuerda tener por DESISTIDA a la parte demandante, COFIDIS HISPANIA EFC S.A. de la prosecución del presente proceso frente a la denunciante, procediéndose al sobreseimiento respecto de ella, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Se declara finalizado este proceso respecto de ella, continuando respecto de B.B.B. (folio 30). SEXTO. COFIDIS en escrito de fecha 18/09/2012 ha manifestado que “Debido a una incidencia informática, producida durante las operaciones de migración practicadas en los sistemas de la entidad, la cual precisamente ya ha sido convenientemente subsanada, el software de la compañía catalogó a la denunciante como titular del contrato nº ***CONTRATO.1, de ahí que se asociaran a la denunciante los impagos del Sr. B.B.B.” (folio 37). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II Se imputa a COFIDIS en el presente procedimiento una infracción del artículo 4.3 de la LOPD, que señala que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en el 4.4 señala que “ Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En este caso, COFIDIS incorporó a su fichero de clientes los datos de la denunciante, vinculándolos a una deuda derivada de un contrato de línea de crédito modalidad Direct Cash, que no había sido suscrito por la misma, sino por su pareja y, posteriormente, incluyó dichos datos erróneos en la demanda contra ambos en juicio monitorio nº *****/2010 ante el Juzgado de Primera Instancia nº 4 de los de Alcobendas (Madrid), motivado por el incumplimiento de la obligación de reintegrar el préstamo concedido en el citado contrato, adeudándose un importe de 4.745,64 euros. Este comportamiento de COFIDIS, supone una vulneración del principio de calidad de datos, recogido en el artículo 4.3, al incorporar a sus ficheros datos inexactos y que no respondían con veracidad a la situación actual de la denunciante (en aquel momento), datos que, además, fueron comunicados al Juzgado de Primera Instancia nº 4 de los de Alcobendas (Madrid), al ser incluidos en la demanda de procedimiento monitorio. II Alega la representación de COFIDIS la ausencia de culpabilidad en los hechos imputados, error reconocido e involuntario y que tan pronto como fue conocedora de los hechos procedió a la inmediata subsanación del mismo, así como la ausencia de perjuicios causados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Cabe señalar al respecto, entre otras, la Sentencia de la Audiencia Nacional dictada el 21/09/2005, Recurso 937/2003, que establece, “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción prevista en el artículo 44.3.
  5. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión “simple inobservancia” del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado” En este sentido la Sentencia de la Audiencia Nacional, de fecha 03/06/2010 señala que “Se aduce en segundo lugar, la falta de intencionalidad amparándose en que se trata de un hecho aislado originado por un error cometido por parte de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, que se subsanó en el momento en que se tuvo conocimiento del mismo. Se hace referencia al principio de culpabilidad y además se alega que se han implementado más medidas para evitar que vuelva a ocurrir otro hecho similar. En cuanto al principio de culpabilidad cabe reseñar que la responsabilidad objetiva está proscrita, ciertamente, en el ámbito administrativo sancionador, siendo preciso la existencia del elemento culpabilístico para que concurran los elementos de la infracción administrativa. Como señala la STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". En el caso de autos la infracción apreciada se puede cometer tanto de forma dolosa como culposa, siendo atribuible en este caso a título de culpa por falta de diligencia, pues la conducta típica pudo haberse evitado atendidos los parámetros ordinarios de cuidado y precaución. Es más la propia parte reconoce que la no cancelación de los datos del denunciante se produjo por un error de la persona encargada de tramitar las comunicaciones de baja de datos del Club Unión Fenosa, error que no viene sino a traslucir esa falta de cuidado o diligencia que constituye la esencia de la culpa. Finalmente reseñar que este es el criterio seguido por la Sala en supuestos semejantes al presente”. La Audiencia Nacional en Sentencia de 01/12/2004 expuso, en cuanto a la culpabilidad en la comisión de la infracción del artículo 4.3 de la LOPD, que “a la vista de la jurisprudencia sobre culpabilidad de las personas jurídicas en el Derecho administrativo sancionador, el alegato de la entidad recurrente sobre la concurrencia de un error no puede ser aceptado. El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Cierto es que esta simple inobservancia no puede ser entendida como la admisión de la responsabilidad objetiva, pues la jurisprudencia del Tribunal Supremo (a partir de sus Sentencias de 24 y 25 de enero y 9 de mayo de 1983) y del Tribunal Constitucional (después de su STC 76/1990) destacan que el principio de culpabilidad, aún sin reconocimiento explícito en la Constitución, se infiere de sus artículos 1.1 y 25.1 y requiere la existencia de dolo o culpa. Pues bien, la culpa constitucional y legalmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 exigida se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para comprobar que los datos remitidos eran veraces y exactos, y esa falta de diligencia es lo que configura el escrito de demanda no es un error sobre la prohibición, sino un error respecto de la exactitud de los datos remitidos al fichero, y esto es precisamente lo que prohíbe la LOPD, configurando al respecto una obligación específica en su artículo 4.3. En definitiva, resultaba exigible a la ahora actora comprobar la veracidad de los datos enviados, incurriendo, al no hacerlo, en una falta de diligencia que determina la existencia de culpa, la comisión de ilícito administrativo y, por ende, la sanción correspondiente.” (el subrayado es de la Agencia Española de Protección de Datos). Y añade la referida Sentencia, en cuanto al alegato de la recurrente relativa a la ausencia de perjuicios causados al afectado, que “es importante destacar que la comisión del ilícito administrativo no trae causa del daño concreto a los intereses de la persona física afectada, sino de la cesión misma del dato erróneo”. Por tanto, es a COFIDIS a quien le corresponde adoptar las medidas adecuadas para la perfecta identificación de sus clientes, sin que pueda constituir elemento alguno de atenuación de la responsabilidad, sino el cumplimiento de una obligación ordinaria exigible a las empresas, que como la denunciada, trabajan con grandes volúmenes de datos personales y, sin que pueda considerarse la adopción de estas medidas base para la apreciar disminución de la culpabilidad. En este caso, la cuestión que se suscita es si la entidad denunciada empleo o no una diligencia razonable a la hora de tratar los datos de su cliente e identificar a sus deudores. Pues bien, COFIDIS en ningún caso debió incluir en sus ficheros los datos de la denunciante y asociar la deuda a la denunciante puesto que no era cliente de la entidad, debiendo poner especial cuidado en garantizar el principio de calidad del dato y de veracidad. Tampoco actuó de manera diligente para impedir que los datos de la denunciante fueran incluidos en la demanda en procedimiento monitorio, remitida al Juzgado asociándolos a un saldo impagado, del que en ninguno modo era deudora. En este sentido, ha señalado la Audiencia Nacional, en Sentencia de 27/10/2004, que “quien informa del dato debe adoptar las medidas necesarias (deber de diligencia) para garantizar el principio de calidad (art. 4 LOPD), lo que entre otras cosas implica su exactitud y puesta al día.” Por tanto, COFIDIS no actuó con la diligencia debida al no comprobar la identidad de la persona que contrataba con ella y la exactitud de los datos remitidos al Juzgado, por ello, debe considerarse que COFIDIS ha vulnerado la LOPD. III Alega la representación de COFIDIS que los hechos imputados no encajan en el tipo infractor, existiendo falta de tipicidad de la conducta. Procede abordar si la conducta observada por COFIDIS, que estimamos vulnera el artículo 4 de la LOPD, puede subsumirse en el tipo sancionador y si, en tal caso, la infracción es imputable a esta entidad. En relación con la primera de las cuestiones planteadas ha quedado acreditado que la entidad vulneró el principio de exactitud o veracidad que consagra el artículo 4.3 de la Ley Orgánica 15/1999, habida cuenta de que mantuvo en sus ficheros datos inexactos relativos a la denunciante asociados al contrato nº ***CONTRATO.1 y que no respondían con veracidad a la situación de la misma; además, COFIDIS incluyo los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 datos erróneos relativos a la denunciante en el escrito de demanda presentado en fecha 25/05/2010, demanda en petición de procedimiento monitorio en reclamación de cantidad contra la afectada ante el Juzgado de Primera Instancia nº 4 de Fuenlabrada (Madrid), dictándose requerimiento judicial de deuda por importe de 4.745,64 euros, contra la denunciante en el que se indica “Si en veinte días no paga, ni comparece en este juzgado para alegar las razones de la negativa al pago, el Secretario Judicial dictará Decreto dando por terminado el proceso Monitorio, y dará traslado al acreedor par que inste el despacho de ejecución bastando para ello la mera solicitud, según lo previsto en el artículo 816 de la LEC” , deuda que era inexistente en lo que se refiere a la denunciante, que no era cliente de la entidad. Así lo vino a reconocer COFIDIS señalando que “…el software de la compañía catalogó a la denunciante como titular del contrato nº ***CONTRATO.1, de ahí que se asociaran a la denunciante los impagos del Sr…”. Constatado que la entidad realizó la acción típica, infracción del referido principio de calidad del dato consagrado en el artículo 4 de la LOPD, corresponde analizar si concurre en este caso el elemento subjetivo de la culpabilidad, que se concreta en la omisión por la denunciada de la diligencia que era exigible en el tratamiento de los datos de la afectada. Falta de diligencia que se evidencia en el devenir de los hechos que han resultado probados. En cuanto a si la infracción es imputable a la entidad, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. El artículo 3
  6. d)del citado texto legal considera “ responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. En consecuencia, la infracción del artículo 4.3 de la LOPD se imputa a la denunciada, COFIDIS, en tanto es la responsable del fichero en el que figuraron datos inexactos de la denunciante y que no respondían con veracidad a su situación. IV De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
  7. c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. En el supuesto que nos ocupa, la conducta de COFIDIS ha vulnerado el principio de calidad del dato, artículo 4.3 de la LOPD; infracción que, tras la reforma introducida por la Ley 21/2011, se encuentran tipificada en el artículo 44.3.
  8. c)de la Ley Orgánica 15/1999. COFIDIS ha incurrido en las infracción descrita ya que ha vulnerado dicho principio, consagrado en el artículo 4.3 de la LOPD, cuando incorporó a su fichero de clientes los datos de la denunciante, vinculándolos al contrato nº ***CONTRATO.1, que había sido suscrito por su pareja, incluyendo los datos erróneos en la demanda en reclamación de deuda, proceso monitorio seguido ante el Juzgado de Primera Instancia nº 4 de Alcobendas(Madrid) y que encuentran su tipificación en los artículos 44.3.
  9. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 V El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. COFIDIS ha solicitado la aplicación subsidiaria del artículo 45.4 y 5 de la LOOPD, como consecuencia de las circunstancias concurrentes en el presente caso (no culpabilidad, no intencionalidad, no se han causado perjuicios al denunciante, ausencia de beneficios para la denunciada, etc.), que disminuyen de forma cualificada la antijuridicidad del hecho y la culpabilidad de la entidad denunciada, reduciendo la cuantía y aplicando la escala relativa a la clase de infracciones leves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 En cuanto a la circunstancia previstas en el apartado
  25. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la citada operadora hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a titulo de simple negligencia; por lo que se refiere a las circunstancias previstas en los apartados
  26. e)y
  27. h)del articulo 45.4 tampoco pueden aceptarse. Hay que señalar que con motivo de los hechos acaecidos la afectada fue objeto de un procedimiento judicial, siéndole atribuida la condición de deudora respecto de una deuda que no le correspondía. En este mismo sentido se ha pronunciado la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señalando que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados” y en cuanto a la ausencia de perjuicios ya se ha comentado con anterioridad (Fundamento II) que “es importante destacar que la comisión del ilícito administrativo no trae causa del daño concreto a los intereses de la persona física afectada, sino de la cesión misma del dato erróneo” y, además, en sentencia de fecha 02/12/2010, la Audiencia Nacional señala que “También ha considerado la Sala irrelevante a los efectos de la aplicación de la citada atenuación privilegiada la falta de beneficios para la recurrente o la ausencia de perjuicios para el denunciante”. En cuanto a la circunstancia previstas en el apartado
  28. i)del artículo 45.4 de la LOPD, disponiendo de procedimientos adecuados en la recogida y tratamiento de datos de carácter personal, no puede ser invocada como atenuante de la conducta infractora, persiguiendo de esta forma premiar el cumplimiento de deberes que la ley impone. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso examinado, de las actuaciones practicadas ha quedado acreditado que COFIDIS vulneró el artículo 4.3 de la LOPD, al incorporar a su fichero de clientes los datos de la denunciante no respondiendo con veracidad a su situación actual (en aquel momento), ya que no era cliente de la entidad, asociándolos a una deuda que no le correspondía y vinculándolos al contrato nº ***CONTRATO.1, que había sido suscrito por su pareja, presentando demanda en reclamación de deuda, proceso monitorio seguido ante el Juzgado de Primera Instancia nº 4 de Alcobendas(Madrid), por lo que ha de entenderse conculcado el principio de calidad de datos y, por tanto, su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultades contempladas en el artículo 45.5, debido a la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 de la circunstancia prevista en el apartado b), al haber regularizado COFIDIS la situación irregular de manera diligente, puesto que tan pronto como tuvo conocimiento de los hechos realizó las actuaciones necesarias para obtener su inmediata corrección y, además, la circunstancia prevista en el apartado
  29. e)“Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, del citado artículo 45.5 de la LOPD, consecuencia del otorgamiento de la escritura de fusión impropia con constitución de sucursal, el 22/11/2011, en virtud de la cual COFIDIS S.A. SUCURSAL EN ESPAÑA (sociedad absorbente) se subrogaba en la posición de COFIDIS HISPANIA EFC, SAU (sociedad absorbida)(folio 87) y dado que la infracción fue anterior a dicho proceso, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación, es por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia la concurrencia de circunstancias agravantes: el importante volumen de negocio (apartado d, del artículo 45.4), toda vez que se trata de una gran entidad financiera por volumen de negocio y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado c, del artículo 45.4), pues es evidente que en el desarrollo de la actividad que desempeña la entidad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 se impone una sanción de 10.000 €, por vulneración del artículo 4.3 de la LOPD, de la que COFIDIS debe responder. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad COFIDIS, S.A. SUCURSAL EN ESPAÑA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  30. c)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a COFIDIS, S.A. SUCURSAL EN ESPAÑA y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.