PS-00106-2017

1/8 Procedimiento Nº PS/00106/2017 RESOLUCIÓN: R/01170/2017 En el procedimiento sancionador PS/00106/2017, instruido por la Agencia Española de Protección de Datos a la entidad BANCO SABADELL SA, vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 24 de marzo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad BANCO SABADELL SA, mediante el Acuerdo que se transcribe: <<HECHOS PRIMERO: Con fecha 7 de abril de 2016 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que sus datos han sido incluidos el 11 de octubre de 2015 en los ficheros de solvencia patrimonial ASNEF y BADEXCUG por una deuda con un importe de 13.247,41 euros informada por el BANCO SABADELL SA (en lo sucesivo BANSA). La denuncia da lugar al expediente con código E/02137/2016. Manifiesta el denunciante que cuando el 13/07/2015 trató de hacer efectivo el pago BANSA se negó a recoger el dinero. En el escrito manifiesta que BANSA no contesta a sus reclamaciones ni le proporciona información sobre el origen de la deuda, a pesar de haber interpuesto una reclamación ante el BANCO DE ESPAÑA que resuelve que la falta de atención de la reclamación interpuesta ante BANSA podría haber quebrantado la normativa de transparencia y se aleja de las buenas prácticas. Manifiesta por último el denunciante que sus datos fueron incluidos en los ficheros de solvencia sin que se le hubiese notificado previamente la existencia de la deuda, recibiendo el 22/12/2015 la primera notificación fechada el 15/12/2015 cuando sus datos ya estaban incluidos en los ficheros y los datos de contacto de que dispone BANSA eran correctos. 1. El 21/04/2016 esta Agencia acuerda no iniciar actuaciones previas de investigación en relación a los hechos denunciados en el E/02137/2016. La resolución establece que esta Agencia no es competente para dirimir cuestiones civiles y que en la denuncia no se aporta evidencia alguna de que exista reclamación administrativa que impidiese la inclusión de los datos del denunciante en los ficheros de solvencia. 2. El 23/06/2016 se recibe el recurso de reposición, identificado con el código RR/00426/2016, reiterándose el denunciante en los hechos expuestos previamente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 3. El 19/09/2016 esta Agencia resuelve estimar parcialmente el recurso RR/00426/2016 en lo relativo exclusivamente a la práctica del requerimiento previo de pago por parte de BANSA e iniciar las presentes actuaciones de investigación previas para aclarar dichos hechos. 4. El 21/06/2016 tiene entrada en esta Agencia un escrito del denunciante en el que manifiesta que EXPERIAN BUREAU DE CRÉDITO, S.A. (EXPERIAN) no le notificó la inclusión de sus datos en el fichero en el plazo de 30 días siguientes al 11/10/2015 (fecha de inclusión) y que habiendo solicitado a EXPERIAN aclaraciones al respecto no ha obtenido respuesta. La denuncia da lugar al expediente con código E/03999/2016. 5. El 27/07/2016 esta Agencia acuerda no iniciar actuaciones previas de investigación en relación a los hechos denunciados en el E/03999/2016. 6. El 22/08/2016 se recibe el recurso de reposición, identificado con el código RR/00588/2016 mediante el que se impugna la resolución anterior, reiterándose en los hechos expuestos previamente al entender que esta Agencia no ha atendido al fondo de los hechos denunciados. 7. El 06/10/2016 esta Agencia resuelve estimar el recurso RR/00588/2016 e iniciar las presentes actuaciones de investigación previas. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO SABADELL SA, teniendo conocimiento de que: Requerimiento previo de pago por BANSA 1. Según se desprende del documento 2 del primer escrito1 de EXPERIAN, los datos del denunciante constan incluidos desde el 11/10/2015 en el fichero BADEXCUG asociados a una deuda informada por BANSA por un préstamo personal con un importe de 13.247,41 euros. A 18/11/2016 los datos del denunciante seguían incluidos en el fichero BADEXCUG. 2. BANSA en su escrito de fecha 24/10/2016 registrado con número de entrada 35406/2016 ha remitido la siguiente información:  Carta de fecha 15/12/2015 referenciada e individualizada a nombre del denunciante a la dirección del denunciante, con detalle de la deuda (5.313,99 euros) y advertencia de que su impago en el plazo de 5 días puede ocasionar la inclusión en ficheros de morosidad. Aportan copia impresa de los datos que figuran en sus sistemas relativos al denunciante donde consta domicilio (C/...1) (Pontevedra). Este domicilio coincide con el que figura en su D.N.I.  Certificado de la empresa EXPERIAN, encargada de la impresión y envío de requerimientos previos de pago por BANSA, de la tramitación de la carta del denunciante con fecha 13/12/2015, remitida al domicilio (C/...1) (Pontevedra). A pesar de que en el escrito manifiesta aportarlo, no se adjunta copia del contrato entre BANSA y EXPERIAN para la prestación del servicio de impresión 1 Registrado con número de entrada 389129/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 y envío de requerimientos previos de pago anteriores a la inclusión de operaciones impagadas en ficheros de solvencia patrimonial. EXPERIAN manifiesta en el certificado que una de las empresas a quienes tiene subcontratado el servicio es CTI TECNOLOGIA Y GESTION SA. Documento acreditativo del gestor postal UNIPOST en el que figura la remisión de 13.373 documentos con fecha 15/12/2015 en nombre de CTI TECNOLOGIA Y GESTION SA sin individualizar una referencia a la carta al denunciante, y validado por el gestor postal.  En el certificado anterior, EXPERIAN manifiesta prestar a BANSA el control de devolución de requerimientos previos de pago y no tener constancia a 20/10/2016 de la devolución del citado requerimiento. No se aporta copia del contrato entre BANSA y EXPERIAN donde conste la contratación del servicio de control de devolución de requerimientos previos de pago. 3. De los hechos descritos en los dos puntos anteriores se desprende que la deuda fue incluida al menos dos meses antes de que se requiriese el pago al denunciante y además el importe por el que fue incluido (13.247,41 euros) difiere del reclamado con posterioridad (5.313,99 euros) Notificación de inclusión en el fichero BADEXCUG Los documentos citados a partir de este punto son aportados dentro del escrito con número de registro de entrada 389129/2016 4. Según se desprende del documento 2 del primer escrito2 de EXPERIAN, resultado de una consulta al fichero BADEXCUG, los datos del denunciante fueron incluidos el 11/10/2015 en el fichero BADEXCUG por una deuda informada por BANSA. 5. En el documento 3 del primer escrito de EXPERIAN, se muestra el resultado de una consulta al fichero de notificaciones BADEXCUG donde consta registrada la emisión de una notificación de inclusión el 13/10/2015 al domicilio (C/...1), domicilio que coincide con el que figura en el D.N.I. del denunciante. 6. EXPERIAN en su escrito de fecha 17/02/2017 registrado con número de entrada 54525/2017 ha remitido la siguiente información en relación con la notificación de inclusión:  Como documento 9, copa de una notificación de inclusión en el fichero BADEXCUG de fecha 13/10/2015 referenciada e individualizada a nombre del denunciante a la dirección citada en el punto anterior, por una deuda de 13.247,41 euros. La notificación tiene como referencia ***REF.1.  EXPERIAN manifiesta que IMPRE-LASER SL es la entidad encargada de generar e imprimir sus requerimientos de inclusión, pero no aporta copia del contrato firmado con la entidad. Como documento 10 se aporta listado emitido por IMPRE-LASER SL de las notificaciones BADEXCUG con fecha de carga del fichero de 11/10/2015 2 Registrado con número de entrada 389129/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 agrupadas por entidad informante. Entre las entidades informantes se encuentra BANSA, cuyos identificadores oscilan entre ******1 y ******2. Los identificadores de inclusión comienzan todos por 3, continúan con el código de la entidad informante, ente caso *****, siguen con un número secuencial de 6 dígitos y finalizan con la fecha de impresión, en este caso ******** (aaaammdd). Si bien EXPERIAN describe el documento como un certificado, no se aprecia que el documento contenga un texto que describa dicha función.  EXPERIAN manifiesta que CTI TECNOLOGIA Y GESTION S.A. es la entidad encargada de enviar al operador postal UNIPOST sus requerimientos de inclusión, pero no aporta copia del contrato firmado con la entidad. Como documento 11 se aporta copia de un recibí sellado por CTI TECNOLOGIA Y GESTION S.A. en el que no figura otra fecha que la de la carga del fichero y que incluye el número de notificaciones desglosado por entidad informante, constando un total de 3.828 notificaciones vinculadas a BANSA. Si bien EXPERIAN describe el documento como un certificado, no se aprecia que el documento contenga un texto que describa dicha función.  En relación con el control de devolución de las notificaciones de inclusión, EXPERIAN manifiesta que no les consta ninguna incidencia en su envío y entrega al destinatario. TERCERO: En consecuencia, hay que considerar no se requirió de pago al denunciante con carácter previo a la inclusión de sus datos personales en el fichero de solvencia patrimonial y de crédito BADEXCUG, y con ello advertirle de la posibilidad de dicha inclusión en caso de impago. Significar, a modo de resumen, que dicha entidad denunciada ha aportado a esta Agencia documentación en la cual consta que la fecha del requerimiento de pago es de 15 de diciembre de 2015, y la fecha de inclusión es de 11 de octubre de 2015. En conclusión el requerimiento previo de pago se realizó dos meses posteriores a su inclusión. FUNDAMENTOS DE DERECHO Los hechos expuestos podrían suponer infracción del artículo 4.3, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) y el 38.1.

1. c)del RLOPD (Reglamento de Desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre). Dichos artículos establecen: “Artículo 4. Calidad de los datos. 3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado." El Artículo 38 del Reglamento de la LOPD fija los requisitos para la inclusión de los datos en los ficheros de morosos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 "1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
3. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación." La infracción del artículo 4.3 de la LOPD se hallan tipificada como grave en el artículo 44.3.c): "Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” La infracción puede ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que BANCO SABADELL S.A. realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos (art. 4.3 de la LOPD) y las normas reglamentarias (38.1.
5. c)del RLOPD) relacionadas con la inclusión en los ficheros de morosos, incluyéndole sin notificarle el requerimiento de pago previo a la inclusión. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD: -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la comercialización de productos financieros, y tiene un constante tratamiento de datos de carácter personal pues sus clientes son mayoritariamente personas físicas. Estando, por tanto, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.
6. c)-El volumen de negocio o actividad del infractor (45.4.
7. d)-Son numerosos los procedimientos sancionadores tramitados a la entidad por infracciones similares, (45.5.g). Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a BANCO SABADELL S.A.. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3c) de la citada Ley. 2. NOMBRAR como Instructor a…., y como secretaría a…. indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por el denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección, todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
8. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
9. b)del RLOPD, la sanción que pudiera corresponder sería de 50.000 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a BANCO SABADELL S.A. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
10. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
11. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 10.000 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 10.000 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 Euros y su pago implicará la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 30.000 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (40.000 Euros o 30.000 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00106/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
12. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno>>. SEGUNDO: Con fecha 8 de abril de 2017 el denunciado ha procedido al pago de la sanción en la cuantía de 30.000 euros haciendo uso de las reducciones previstas en el Acuerdo de Inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 17 de abril de 2017 tuvo entrada en esta Agencia escrito del denunciado, de fecha 7 de abril de 2017, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/106/2017, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a BANCO SABADELL S.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es