← España

PS-00123-2017

1/26 Procedimiento Nº PS/00123/2017 RESOLUCIÓN: R/03039/2017 En el procedimiento sancionador PS/00123/2017, instruido por la Agencia Española de Protección de Datos a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L., vista la denuncia presentada por D. C.C.C. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 28/06/2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. C.C.C. (en lo sucesivo, el denunciante) en el que manifiesta que VODAFONE ONO, S.A.U., entidad con la que nunca ha tenido relación contractual, ha cedido sus datos personales a SIERRA CAPITAL MANAGEMENT, 2012, S.L., (en lo sucesivo, SIERRA CAPITAL o la denunciada) y ha procedido a incluirlos en los ficheros de morosidad ASNEF y BADEXCUG por una deuda que no le pertenece sin requerirle previamente el pago. Acompaña a la denuncia una copia de la carta recibida de SIERRA CAPITAL, de fecha 10/06/2016, en la que, en respuesta al derecho de acceso ejercido, le envía tres facturas emitidas por VODAFONE ONO, S.A.U., (en adelante, VODAFONE) y explica que tales facturas son “justificativas de la antedicha deuda en la que, los tres últimos números de su DNI así como la letra del mismo son coincidentes con los de la copia del DNI que usted nos ha facilitado” El denunciante remitió a la AEPD la siguiente documentación adicional en el trámite de subsanación de la denuncia: - Escrito dirigido a Experian Bureau de Crédito, S.A.,(EXPERIAN) en el que ejerce el derecho de acceso a los datos que obran en BADEXCUG y respuesta de esta entidad. - Denuncia presentada en la Guardia Civil el 28/06/2016. En ella manifiesta que ha tenido noticia el 01/03/216 por su entidad bancaria que está incluido en ficheros de morosos por una deuda de 80,62 euros informada por SIERRA CAPITAL. Que tras ponerse en contacto con esa entidad, le comunica que la deuda procede de VODAFONE. Añade que nunca ha sido cliente de la operadora y que los datos que obran en poder de SIERRA CAPITAL asociados a su DNI y a la deuda de VODAFONE coinciden con su nombre y apellidos pero la dirección postal, la fecha de nacimiento, el email, el número de teléfono y los datos bancarios no se corresponden con los suyos. - Carta recibida de la OMIC del Ayuntamiento de E.E.E. de fecha 28/06/2016 informando del traslado de su reclamación a la Dirección General de Consumo de la CAM. - Dos cartas de SIERRA CAPITAL, de fechas 11/07/2016 y 12/07/2016 con la referencia “***REFERENCIA.1”: La de fecha 11/07/2016, acusa recibo de su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/26 solicitud. La de fecha 12/07/2016, le comunica que : “(…) como consecuencia de la retrocesión de operaciones pactada en el Contrato de Cesión de Créditos firmado entre Vodafone España, S.A.U. y Sierra Capital Management 2012, S.L., nuestra compañía ya no es titular y propietaria de su deuda, la cual es gestionada actualmente por Vodafone España, S.A.U., -a quien deberá dirigirse para cualquier actuación relativa a su expediente- por lo que se ha procedido a la comunicación de dicha cancelación a los ficheros ASNEF y Experian y no procederemos a realizar tratamiento alguno de ahora en delante de sus datos personales en relación con la deuda cancelada” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SIERRA CAPITAL teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En relación a la relación contractual mantenida con Vodafone: En fecha 28 de septiembre de 2012, SIERRA CAPITAL suscribió contrato de cesión de créditos con Vodafone España, S.A.U., (en adelante, Vodafone), elevado a público ante el notario del Ilustre Colegio de Madrid, D. F.F.F. En virtud del meritado Contrato de Cesión de Créditos, Vodafone facilitó a SIERRA CAPITAL una base de datos en la que se incluían los datos de contratación de los titulares de los créditos cedidos, tales como direcciones postales y electrónicas, y teléfonos de contacto, sin que el contrato de suscripción de servicios de telefonía entre la operadora y el reclamante se incluyese entre la documentación cedida. Asimismo, en dicho Contrato de Cesión de Créditos, Vodafone garantiza a SIERRA CAPITAL que los créditos cedidos eran ciertos, vencidos y exigibles, así como la veracidad de los datos recabados por al teleoperadora. Esta información proporcionada por Vodafone ha sido la utilizada por SIERRA CAPITAL para proceder a la gestión de la deuda del reclamante. La información relativa a la contratación de los servicios de telecomunicaciones no se encuentra entre la proporcionada por Vodafone a SIERRA CAPITAL en virtud del contrato de cesión de créditos. En el fichero de SIERRA CAPITAL consta que la fecha de compra de la deuda del afectado es 28/09/2012. En relación con el requerimiento de pago previa inclusión en ficheros de solvencia Notificación de cesión de deuda y requerimiento de pago Los representantes de la entidad aportan notificación de fecha 8/11/2012 de la cesión de la deuda de Vodafone a Sierra y requerimiento del pago de 80.62 €así como de la posibilidad de inclusión en ficheros de solvencia patrimonial .Esta notificación está personalizada y referenciada. Se remitió al reclamante el 13 de noviembre de 2012, identificada con código ***CODIGO.1. La dirección de envío es A.A.A. y coincide con la que figura en el sistema de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/26 información. Generación y envío por tercera entidad La comunicación se llevó a efecto por parte de MANUFACTURAS GRAFICAS PLAZA S.L. proveedor de EQUIFAX IBÉRICA, S.L., entidad con la que se ha contratado la prestación del servicio de notificación de la cesión de crédito. Aportan copia del contrato Aportan Acta Notarial que deja constancia que MANUFACTURAS PLAZA S.L. ha realizado la manipulación, clasificación y puesta en correos de la notificación con código ***CODIGO.1 dirigida al reclamante con fecha 09/11/2012 sin que se produjeran incidencias durante el proceso. Albarán de entrega a Correos Aportan albarán de entrega en UNIPOST con sello de fecha 13/11/2012. Devolución del envío Aportan certificado emitido por Equifax Ibérica en el que consta que la carta de Notificación de Requerimiento Previo de Pago con ref. ***CODIGO.1, generada en Equifax en fecha 08/11/2012 procesada en el prestador del servicio MANUFACTURAS GRÁFICAS PLAZA, S.L., con fecha 09/11/2012. y puesta a disposición del servicio de envíos postales con fecha 09/11/2012; dirigida a B.B.B., con dirección en A.A.A.. en la localidad de Madrid con Código Postal G.G.G., ha sido devuelta por motivo "SEÑAS INCORRECTAS" con fecha 23/02/2013 al apartado de Correos designado a tal efecto.>> TERCERO: Con fecha 15/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SIERRA CAPITAL por una presunta infracción de los artículos 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como infracciones graves en los artículos 44.3.

  1. b)y 44.3.
  2. c)de dicha norma, pudiendo ser sancionada cada una con multa de 40.001 a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, SIERRA CAPITAL, mediante escrito de fecha 30/06/2017, que tuvo entrada en la AEPD el 05/07/2017, formuló alegaciones en las que solicitó que se procediera al archivo de las actuaciones. En defensa de tal pretensión esgrimió los siguientes argumentos: - - - Niega la vulneración del artículo 6.1 LOPD e invoca el artículo 19 del RLOPD, de lo que concluye que el tratamiento de los datos personales del denunciante ha sido lícito por cuanto a la luz de este precepto reglamentario el tratamiento “no requiere su consentimiento expreso”. Indica que esos mismos argumentos fueron alegados en su descargo en el procedimiento sancionador PS/00369/2016, que finalizó con una resolución de archivo, por lo que, dice, no es razonable sancionar por unos hechos que la Agencia ha refrendado en ocasiones anteriores como ajustados a la normativa de protección de datos. Que los documentos que ha facilitado a la AEPD en su respuesta a todas y cada una de las solicitudes de información que ha recibido de ella son la copia de las facturas. Y añade que no ha existido vulneración alguna de la normativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/26 - - - - protección de datos personales porque conforme a la estipulación 1.6 del Contrato celebrado con VODAFONE esa operadora “avala que los créditos cedidos, incluido el del ahora reclamante, respondan todos ellos a la realidad de la situación y, en consecuencia, sean ciertos, vencidos y exigibles”. Afirma haber actuado con total diligencia y alega como muestra de la diligencia desplegada algunas de las estipulaciones contractuales acordadas con VODAFONE: Menciona la cláusula quinta, conforme a la cual Vodafone responde frente al comprador -SIERRA CAPITAL- de la existencia y legitimidad de los créditos cedidos. También la cláusula cuarta del contrato, a tenor de la cual, en las situaciones en las que no se cumpla lo estipulado en el contrato de cesión de créditos VODAFONE “responde del expediente en cuestión conllevando con ello la retrocesión de las actuaciones, y por tanto, vuelve a ser el titular del mismo.” Que el contrato celebrado con VODAFONE se elevó a escritura pública y que el artículo 319 de la Ley de Enjuiciamiento Civil dispone que los hechos que consten en los documentos de esa naturaleza se tienen por ciertos a los efectos de la sentencia que se dicte, salvo que otros medios de prueba desvirtúen la certeza de lo documentado. Que la AEPD ha venido validando su actuación en todos y cada uno de los procedimientos que realiza en el tratamiento de los datos de los titulares de los expedientes cedidos teniendo como base los datos aportados por VODAFONE. A ese respecto, menciona el PS 369/2016 que finalizó con una resolución de archivo. Invoca las Sentencias número 206/2016 del Juzgado de Primera Instancia número 4 de Gijón, de 30/09/2016, y número 227/2014, de 21/11/2014, del Juzgado de Primera Instancia número 6 de Oviedo Alega respecto a las infracciones de los artículos 6.1 y 4.3 que se le imputan que ambas infracciones han prescrito. Para ello argumenta que tratándose de infracciones leves el plazo de prescripción es de un año (ex artículo 47 LOPD). Y sobre este último extremo dice que la AEPD, en un primer momento consideró que se trataba de una infracción grave pero “No obstante lo anterior, tras analizar los hechos acontecidos y la diligente actuación de SIERRA CAPITAL, esta Agencia determina que la calificación de la infracción es leve”. Sitúa el término inicial del plazo de prescripción en fecha 08/10/2014 respecto a la inclusión en ASNEF y en fecha 30/01/2016 respecto a la inclusión en el fichero BADEXCUG. De lo que concluye que entre la fecha en la que se inicia el cómputo del plazo de prescripción y la notificación del acuerdo de inicio del expediente sancionador, el 19/06/2017, habría transcurrido más de un año. SEXTO: Con fecha 26/09/2017, de conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, del Procedimiento Administrativo Común (LPACAP),se inició un período de pruebas en el que se acordó practicar las siguientes diligencias probatorias: 1. Dar por reproducida a efectos de prueba la denuncia interpuesta por D. C.C.C. y la documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección. Documentos todos ellos que integran el expediente E/04318/2016. 2. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00123/2017, presentadas por SIERRA CAPITAL y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/26 3. Se solicitó a EQUIFAX IBÉRICA, S.L, (en adelante, EQUIFAX) el 26/09/2017, que aportara copia impresa de la información que respecto al denunciante conste en los ficheros ASNEF, FOTOCLI e Histórico de Notificaciones, en relación a deudas informadas por SIERRA CAPITAL y que comunicara si el afectado ejerció ante esa entidad el derecho de cancelación debiendo, en caso afirmativo, remitir una copia del expediente tramitado al efecto. EQUIFAX evacuó el trámite de prueba el 02/10/2017. Aporta documentación que acredita que en esa fecha no existen en el fichero ASNEF incidencias informadas por SIERRA CAPITAL, asociadas a los datos del denunciante. La documentación aportada por EQUIFAX muestra que en el fichero de operaciones canceladas FOTOCLI consta el NIF del denunciante asociado a una deuda de 80,62 euros, por una operación de telecomunicaciones, habiéndose dado de baja la incidencia, a instancia de SIERRA CAPITAL, el 21/07/2016. Como fecha de visualización de la incidencia figura el 18/11/2012 y como fecha de alta el 20/07/2012. Respecto a las notificaciones de inclusión en ASNEF, existe un registro que refleja el envío al denunciante de una carta notificando el alta de la incidencia informada por SIERRA CAPITAL, emitida el 08/11/2012, y dirigida a la dirección postal de calle A.A.A. 4. Se solicitó a EXPERIAN BUREAU DE CRÉDITO, S.A., (EXPERIAN) en fecha 26/09/2017, que remitiera copia impresa de la información que respecto al denunciante conste en el fichero BADEXCUG en relación a deudas informadas por SIERRA CAPITAL y que informe si el afectado ejercitó ante esa entidad el derecho de cancelación y, en caso afirmativo, facilite una copia del expediente tramitado al efecto. EXPERIAN evacuó el trámite de prueba el 11/10/2017, mediante escrito que entró en la AEPD el 13/10/2017. Aporta documentación que acredita que en esa fecha no existen incidencias en el fichero BADEXCUG informadas por SIERRA CAPITAL asociadas a los datos del denunciante. De la documentación aportada resulta que SIERRA CAPITAL comunicó al citado fichero una operación (número ***OPERACION.1) asociada al NIF del denunciante que se dio de alta en BADEXCUG el 31/01/2016 y de baja el 24/07/2016 por proceso automático semanal de actualización de datos. La anotación versó sobre una deuda de 80,62 euros y sobre un producto de telecomunicaciones. Respecto a las notificaciones de inclusión en BADEXCUG, consta que en fecha 02/02/2016 se emitió una notificación de inclusión al afectado enviada a la dirección de calle A.A.A. El denunciante ejerció ante EXPERIAN el 04/03/2016 el derecho de cancelación de sus datos del fichero BADEXCUG. Dado que su petición carecía de fotocopia del DNI se le requirió para que subsanara el defecto de forma. El 12/04/2016 ejercita de nuevo, con todos los requisitos formales, el derecho de cancelación. SIERRA CAPITAL denegó la cancelación por no justificar documentalmente los motivos por los que no procede la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/26 deuda. El denunciante es informado por EXPERIAN de este extremo por carta certificada que consta recibida por él en fecha 30/04/2016. SÉPTIMO: Con fecha 08/11/2017 se notificó la Propuesta de resolución que consta recibida por SIERRA CAPITAL en esa misma fecha. La Propuesta de resolución se formuló en los siguientes términos: <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a SIERRA CAPITAL MANAGEMENT 2012, S.L. con una multa de 28.000 euros (veintiocho mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  3. b)de dicha norma. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a SIERRA CAPITAL MANAGEMENT 2012, S.L. con multa de 28.000 euros (veintiocho mil euros), por la infracción del artículo 4.3, en relación con el 29.4de la LOPD, y en relación también con el artículo 38.1.a, del RLOPD, tipificada como infracción grave en el artículo 44.3.
  4. c)de dicha norma.>> OCTAVO: Con fecha de entrada en esta Agencia el 28/11/2017, SIERRA CAPITAL realizó alegaciones frente a la citada propuesta de resolución en las que reitera su petición de archivo del expediente sancionador, solicitud que apoya en los argumentos siguientes: 1.- En su alegación primera solicita que se “ libre oficio a VODAFONE a fin de que traiga la documentación relativa a la contratación del denunciante”. 2.- En la segunda la denunciada hace una descripción de los hechos que, afirma, la Agencia considera probados, en la que indica: a. Que no son exigibles a SIERRA CAPITAL obligaciones que corresponden a VODAFONE pues exigirle esa diligencia “es pedirle que esté presente en todas las contrataciones que se están realizando actualmente en España a fin de que, si por casualidad adquiere una deuda generada por esa contratación, pueda acreditar el cumplimiento de la diligencia debida en el momento de la formalización de la meritada contratación, lo cual resulta imposible, absurdo e incoherente”. b. Que SIERRA CAPITAL “ adquiere una cartera de créditos subrogándose en la posición de VODAFONE y asegurando la entidad VODAFONE que la deuda es cierta, vencida y exigible” (el subrayado es de la AEPD) 3.- Afirma que la AEPD hace un interpretación del contrato de cesión de deuda suscrito entre SIERRA CAPITAL y VODAFONE “in malam partem” con el fin “de eximir a VODAFONE de responsabilidad imponiendo toda la responsabilidad” a dicha entidad. Añade que “no es que el vendedor no disponga de los contratos originales como afirma la Agencia, sino que no los pone a disposición ni en conocimiento de SIERRA CAPITAL”. 4.- La denunciada dice (alegación cuarta) que “ la Agencia manifiesta de forma contundente que a esta parte no le sirve como prueba suficiente para la reclamación de deudas las facturas emitidas por VODAFONE, lo cual entendemos que no es así a menos que por la parte demandante se ponga en entredicho la veracidad de la misma, lo cual entendemos que no es así…” (el subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/26 Ofrece abundante argumentación relativa al valor de las facturas como medio de prueba de la existencia de contratación. 5.- Invoca la vulneración del principio de tipicidad. Dice que la sanción que se pretende imponer “vulnera el principio de tipicidad sancionadora, ya que se impone una sanción a mi representada por unos hechos constitutivos de infracción administrativa ya que no es requisito sine qua non para acreditar que la deuda sea líquida, vencida y exigible tener el contrato original de la prestación de servicios, requisito que por otra parte sólo puede ser exigido a VODAFONE”. 6.- Considera que las infracciones de los artículos 6.1 y 4.3 de la LOPD que se le atribuyen vulneran el principio de prohibición de “non bis in ídem”, toda vez que ambas infracciones vienen integradas por la misma conducta infractora. 7.- Se alega por la denunciada la falta de culpabilidad por cuanto existió por su parte un error de prohibición invencible. Y afirma que “…pese a toda la diligencia prestada por SIERRA CAPITAL y aunque tuviera el contrato original, el cual obra en poder de VODAFONE, le hubiera sido imposible en todo momento conocer que los datos del denunciante eran erróneos debido a que éste hubiera sufrido un delito”. 8.- Sigue afirmando, como hizo en las alegaciones al acuerdo de inicio de este expediente, que las infracciones de las que se responsabiliza a SIERRA CAPITAL están prescritas. Parte para ello de las siguientes premisas: Las infracciones imputadas son “leves” y no graves, por razón de la aplicación del artículo 45.5 LOPD. La infracción del principio de calidad de los datos (nada dice sobre la vulneración del principio del consentimiento) se comete en la fecha en la que incluye los datos del denunciante en los ficheros; el 08/10/2014 en ASNEF y 30/01/2016 en BADEXCUG. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: C.C.C., con DNI I.I.I. (folio 12) denuncia a VODAFONE y a SIERRA CAPITAL por incluir sus datos en un fichero de morosos asociados a una deuda que no le pertenece. Añade que nunca ha sido cliente de VODAFONE y que, según parece, un tercero ha suplantado su identidad. (Folios 1 y 2) SEGUNDO: El denunciante interpuso denuncia en las dependencias de la Guardia Civil de E.E.E. el 28/06/2016 (Atestado número F.F.F.) en la que relató los siguientes hechos: - - Que tuvo noticia de la inclusión de sus datos en un fichero de morosos el 01/03/2016, cuando le informa de ello su entidad bancaria y le entrega un extracto en el que constan los datos de la deuda y el fichero en el que se encontraba incluido, BADEXCUG. Que al contactar con EXPERIAN le informa de que sus datos han sido incluidos en el fichero de solvencia por SIERRA CAPITAL. Esta última entidad pone en su conocimiento qué datos personales obran en su poder, de los cuales coinciden con los suyos el NIF y el nombre y apellidos pero no los restantes: dirección, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/26 - fecha de nacimiento, email, número de teléfono y cuenta bancaria. Además, SIERRA CAPITAL le remite copia de tres facturas emitidas por VODAFONE en las que figura como titular una persona identificada con su NIF, nombre y apellidos, de las que deriva la deuda de 80,62 euros que se le atribuye. Considera que la deuda que se le reclama puede deberse a un error administrativo por parte de VODAFONE o a una suplantación de identidad por tercera persona, ya que nunca ha sido cliente de esa operadora de telefonía. (Folios 24 a 28) TERCERO: SIERRA CAPITAL ha manifestado que los datos personales del denunciante fueron cedidos por VODAFONE asociados a una deuda incluida en la cartera de créditos adquirida de esa entidad mediante el contrato otorgado en escritura pública de fecha 28/09/2012, de lo que concluye que el tratamiento de datos realizado es legítimo. (Folios 34 y 35) CUARTO: SIERRA CAPITAL no dispone del contrato supuestamente celebrado entre el denunciante y VODAFONE del que derivó la deuda cedida. En respuesta al requerimiento que le dirigió la Inspección de Datos para que aportase la copia del contrato de servicios de telefonía que la operadora habría suscrito con el denunciante, y del que procedía la deuda reclamada, manifestó que no lo tenía a su disposición pues tal contrato no figuraba entre la documentación cedida por VODAFONE. (Folio 35) QUINTO: Obra en el expediente una copia del contrato de venta de créditos celebrado entre VODAFONE y SIERRA CAPITAL (Folios 49 a 86) SEXTO: La estipulación Primera, apartado 1.3, del contrato de venta de créditos celebrado entre VODAFONE y SIERRA CAPITAL dice: “El vendedor, a los efectos de que el Comprador formalice una oferta vinculante e irrevocable por los créditos, ha puesto determinada documentación e información relativa a la cartera de créditos a disposición del Comprador, quien ha llevado a cabo un proceso de due diligence, y revisión en virtud del cual ha tenido la oportunidad de revisar la información de la Cartera de Créditos puesta a disposición por el Vendedor, habiendo efectuado el Comprador su propio análisis y valoración independiente con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos.” (El subrayado es de la AEPD) (Folio 64) SÉPTIMO: La estipulación Primera, apartado 1.4., del contrato de venta de créditos celebrado entre VODAFONE y SIERRA CAPITAL establece: “(…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de duediligence, tal y como el Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”. (El subrayado es de la AEPD) (Folio 64) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/26 OCTAVO: SIERRA CAPITAL informó a ASNEF los datos del denunciante asociados a una deuda de 80,62 euros, por un producto de telecomunicaciones, con fecha de alta 20/07/2012 siendo la fecha de baja el 21/07/2016. (Folio 362) NOVENO: SIERRA CAPITAL comunicó al fichero de solvencia BADEXCUG los datos personales del denunciante, vinculados a una deuda de 80,62 euros, con fecha de alta 30/01/2016. La anotación se dio de baja el 12/07/2016 por proceso automático semanal de actualización de datos. (Folio 375, 379 y 380) DÉCIMO: El denunciante ejerció ante EXPERIAN el 12/04/2016 el derecho de cancelación de sus datos de BADEXCUG. SIERRA CAPITAL denegó la cancelación el 13/04/2016 por no justificar documentalmente los motivos por los que no procedía la deuda. El denunciante es informado por EXPERIAN de este extremo por carta certificada que consta recibida por él en fecha 30/04/2016. (Folios 376, 382-395) UNDÉCIMO: El denunciante ejerció ante SIERRA CAPITAL el derecho de acceso a sus datos el 02/06/2016. La denunciada responde el 10/06/2016 y le entrega tres facturas emitidas por VODAFONE relativas a la línea contratada (Folios 17 a 22) DUODÉCIMO:SIERRA CAPITAL atendió la reclamación presentada por el denunciante el 30/06/2016, con la que aportó, a fin de justificar la inexistencia de la deuda que le atribuía, la copia de la denuncia interpuesta por estos hechos en la Guardia Civil en fecha 28/06/2016. SIERRA CAPITAL, en escrito de 12/07/2016 (Referencia ***REFERENCIA.1) comunicó al denunciante que había procedido a cancelar sus datos de los ficheros de solvencia ASNEF y BADEXCUG y que VODAFONE había recomprado la deuda por lo que era de nuevo la titular del crédito. (Folio 30) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) se refiere en su artículo 6 al principio del consentimiento en el tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: "1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/26 El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD dedica e Capítulo I del Título IV, a los “Ficheros de información sobre solvencia patrimonial y crédito” y en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  6. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. A su vez, el artículo 43 del RLOPD (“Responsabilidad”) dispone: “1.El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. El artículo 44.3.
  7. b)de la LOPD tipifica como infracción grave “ Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. El artículo 44.3.
  8. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/26 Se atribuye a SIERRA CAPITAL en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, en relación con el 29.4, materializadas en las siguientes conductas: Por una parte, el tratamiento de los datos personales del denunciante, sin su consentimiento, vinculados a una deuda cuya titularidad no ha acreditado, pues esa entidad, actual responsable del tratamiento, no dispone de los documentos que demuestren que el denunciante fue parte en el negocio jurídico del que deriva la deuda asociada a él. SIERRA CAPITAL tuvo pleno conocimiento antes de adquirir la supuesta deuda que atribuye al denunciante de que la mercantil cedente de los créditos no disponía de todos los contratos celebrados por los deudores cedidos; contratos que a tenor del artículo 6.2 LOPD amparaban el tratamiento de datos efectuado. Por otra, se concreta en la inclusión de los datos del denunciante en sendos ficheros de solvencia patrimonial por una deuda que, respecto a él, no era cierta, ni vencida ni exigible. En lo que atañe a la vulneración del principio del consentimiento han de hacerse las siguientes consideraciones: A. Los datos personales del denunciante fueron cedidos por VODAFONE a SIERRA CAPITAL asociados a una supuesta deuda que formaba parte de la cartera de créditos comprada a la operadora en virtud del contrato elevado a escritura pública el 28/09/2012. El artículo 11.2.
  9. a)de la LOPD contiene una excepción a la regla general del apartado 1 del precepto, que exige para comunicar datos personales de un tercero contar con el consentimiento previo del interesado. Así, el apartado 2.a del artículo 11 LOPD dispensa de la necesidad de recabar el consentimiento del titular de los datos cuando la cesión esté autorizada en una Ley. El artículo 10 del RLOPD, bajo la rúbrica “Supuestos que legitiman el tratamiento o cesión de los datos”, indica en su apartado 1 que los datos personales únicamente pueden ser objeto de tratamiento o cesión si el interesado ha prestado previamente su consentimiento para ello y dice en el apartado 2: “No obstante, será posible el tratamiento o cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:
  10. a)Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes: El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre” En relación a los hechos que nos ocupan, la norma con rango de ley que enlaza con esas disposiciones y que, a priori, parece legitimar la comunicación que VODAFONE hizo a SIERRA CAPITAL de los datos personales de quienes figuraban como titulares de las deudas vendidas, es el Código de Comercio español cuyos artículos 347 y 348 regulan la transferencia de créditos no endosables ni al portador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/26 B. Es evidente que los créditos que VODAFONE vende a SIERRA CAPITAL están atribuidos a personas, muchas de ellas personas físicas, y por tanto están vinculados a datos de carácter personal. La legitimación de VODAFONE para el tratamiento de los datos de sus clientes se ampara en el artículo 6.2 LOPD, conforme al cual no será preciso el consentimiento del afectado para el tratamiento de sus datos personales “cuando se refieran a las partes de un contrato o precontrato de una relación jurídica negocial, laboral o administrativa y sean necesario para su mantenimiento o cumplimiento”. Dicho lo anterior, y antes de continuar, hemos de recordar que en el acuerdo de inicio del expediente sancionador que nos ocupa no se imputó a VODAFONE ninguna infracción de la normativa de protección de datos porque las infracciones en las que podría haber incurrido estaban prescritas, de manera que las consideraciones que se hacen en esta Resolución, en las que se alude a VODAFONE, tienen exclusivamente por finalidad valorar la conducta de SIERRA CAPITAL. Resulta de lo expuesto que es la existencia de un contrato entre VODAFONE y cada uno de los deudores lo que legitimaba a VODAFONE para tratar los datos personales de aquéllos. Es más, esta entidad debía de estar en condiciones de acreditar la existencia del contrato con cada uno de los deudores como medio de prueba de que el tratamiento de datos efectuado era ajustado a Derecho, pues en caso de discrepancia con el titular de los datos era a ella a quien le correspondía la carga de probar la existencia de consentimiento al tratamiento. Puede mencionarse en tal sentido la Sentencia de la Audiencia Nacional de 31/05/2006 (Rec 539/2004) que dice en su Fundamento de Derecho cuarto: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). C. Por lo que atañe al tratamiento efectuado por SIERRA CAPITAL de los datos personales del denunciante, la AEPD viene entendiendo, con carácter general - y así lo ha confirmado sin atisbo de duda la Audiencia Nacional, Sala de lo Contencioso Administrativo- que la legitimación de la cesionaria de un crédito para tratar los datos personales del deudor que le comunica la entidad cedente de la deuda tiene amparo legal en los artículos 6.1 y 11.2.
  11. a)de la LOPD y 10.2.
  12. a)del RLOPD en relación con el Código de Comercio, artículos 347 y 348, de modo que no es necesario en tales casos contar con el consentimiento del titular de los datos tratados. Sin embargo, en el presente caso, se ha de subrayar que cuando SIERRA CAPITAL celebra con VODAFONE la compraventa de deuda era conocedora y consciente, pues había sido informada con total claridad, de que la operadora cedente no disponía de los documentos contractuales –cualquiera que fuese el soporte en el que se encontraran- respecto a “todos” los créditos que serían objeto de la venta. En definitiva, sabía que la cedente de la deuda, VODAFONE no podía acreditar, respecto a algunos de los créditos que iban a ser vendidos, que el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/26 personales efectuado era ajustado a Derecho. Y, pese a ello, bajo esas premisas, SIERRA CAPITAL suscribe la operación de compra de deuda y pasa a tratar los datos personales de quienes figuraban en los ficheros de VODAFONE como deudores. Nos remitimos a las estipulaciones del contrato de venta de créditos entre SIERRA CAPITAL y VODAFONE, en particular a la estipulación primera apartados 1.3 y 1.4 (ver Hechos Probados sexto y séptimo) a tenor de las cuales se advierte que el vendedor (VODAFONE) ha puesto a disposición del comprador (SIERRA CAPITAL) determinada documentación e información relativa a la cartera de créditos, que ha llevado a cabo un proceso de “due diligence” y que ha tenido la oportunidad de revisar la información de la cartera de créditos habiendo hecho el comprador su análisis y valoración “con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos”. Más significativo resulta el contenido de la otra cláusula a la que hemos aludido, pues dice rotundamente que con ocasión de ese examen, o utilizando la terminología del contrato de cesión “proceso de due diligence”, “se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida”. Tras lo cual, añade: “..sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”. (Folio 64 del expediente) El contrato de cesión de deuda deja entrever que las partes son conscientes de la importancia que tiene que la vendedora (VODAFONE) carezca, respeto a determinados créditos incluidos en la operación de venta, de los documentos que prueben que el deudor cedido celebró un contrato del que derivaba la deuda, pues es ese contrato el que ampara el tratamiento de los datos personales de quien aparece como deudor. Esto explica que se exima a VODAFONE expresamente de la responsabilidad que para SIERRA CAPITAL se pudiera derivar de este hecho. La estipulación cuarta del contrato indica que las partes acuerdan que, en el caso de que alguno de los créditos cedidos se vea afectado por alguno de los supuestos que se especifican, el comprador podrá solicitar al vendedor el reintegro del precio efectivamente pagado por la cesión de dicho crédito en cuestión. Entre los supuestos a los que se aplica la medida de reintegro del precio se menciona el siguiente: “Cuando la cesión de algún Crédito bajo el presente contrato no sea oponible frente al deudor cedido por no tener el Vendedor capacidad para ceder ese crédito, por ser personalísimo o verse afectado por alguna condición contractual o legal que impida su cesión a favor del Comprador”. (El subrayado es de la AEPD) La medida contemplada en el contrato de cesión de deuda –el reintegro por VODAFONE a SIERRA CAPITAL del precio efectivamente pagado- es absolutamente irrelevante desde el punto de vista del derecho a la protección de datos de carácter personal y no tiene otra finalidad ni otro alcance que, en su caso, compensar el menoscabo económico experimentado por una de las partes del negocio jurídico. El supuesto que aquí se plantea, en el que la deuda reclamada no pertenece al deudor cedido y actual denunciante, se corresponde con la hipótesis descrita en la estipulación cuarta del contrato de compraventa de deuda. SIERRA CAPITAL ha aplicado la medida contemplada en esa estipulación contractual pues, como se refleja en el Hecho Probado duodécimo, una vez que el denunciante le remitió la copia de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/26 denuncia presentada en la Guardia Civil, estimó la reclamación y le informó de que la deuda había sido “recomprada” por VODAFONE. Las tres facturas que SIERRA CAPITAL facilito al denunciante en respuesta al derecho de acceso ejercido, y en consideración a las cuales la denunciada afirma que queda acreditada la existencia de la deuda, únicamente pueden venir a demostrar que efectivamente existió consumo de un servicio prestado por VODAFONE a alguna persona y que se generó una deuda. En ningún caso pueden demostrar por sí solas que el afectado fuera el beneficiario del suministro ni que hubiera otorgado el consentimiento al contrato del que nace la deuda que le atribuye. Por ello, el tratamiento que SIERRA CAPITAL hizo de los datos personales del denunciante sin su consentimiento -habida cuenta de que los incorporó a sus ficheros en calidad de titular de una supuesta deuda a la que era ajeno, y decidió sobre el uso y la finalidad del tratamiento- vulnera el artículo 6.1 de la LOPD. Infracción que se había consumado antes de la denominada “recompra” de la deuda, sin que SIERRRA CAPITAL pueda invocar circunstancia o elemento alguno que legitime o ampare ese tratamiento. La denunciada conocía que no era ajustado a Derecho el tratamiento de “todos” los datos vinculados a los créditos objeto de la compara, pues había sido convenientemente informada de que respecto a algunos de ellos VODAFONE carecía de los documentos que legitimaban el tratamiento, de forma tal que no tenía capacidad para realizar la cesión respecto a “todos” los créditos o, al menos, no podía pretender ampararla en los artículos citados. En definitiva, los artículos 11.2.a de la LOPD y 10.2.a del RLOPD no pueden servir de expediente para dispensar a la cedente de las obligaciones que impone la LOPD respecto al principio del consentimiento (artículo 6), ni tampoco pueden amparar el tratamiento de datos efectuado por la cesionaria (en este caso SIERRA CAPITAL) cuando, como aquí acontece, ésta, adquirente de los créditos, que pasa a ser responsable del tratamiento de los datos personales vinculados a ellos, era consciente desde antes de suscribir la operación de compraventa de deuda de que no existía respecto a parte de la deuda comprada documentación que legitimara el tratamiento de los datos de las personas que figuraban en los registros de la vendedora como titulares. D. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de culpa o negligencia. El elemento subjetivo de la culpabilidad es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional en su Sentencia 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A la necesidad de que esté presente el elemento subjetivo de la infracción, ya sea en forma de culpa –en cualquiera de sus manifestaciones, culpa leve, grave o gravísima- o de dolo se refiere el artículo 28.1 de la Ley 40/2015, de Régimen Jurídico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/26 de las Administraciones Públicas señala que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” La doctrina de la Audiencia Nacional sobre esta materia es exigir a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la SAN de 17/10/2007 (Rec. 63/2006), la Sala de lo contencioso-administrativo precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. SIERRA CAPITAL no ha actuado en el tratamiento de los datos personales del denunciante con la diligencia que el cumplimiento de las obligaciones impuestas por la normativa de protección de datos exige. Por el contrario, se aprecia una grave negligencia de la entidad pues, a la luz de las estipulaciones del contrato antes mencionadas, supo que, respecto a un conjunto de deudas compradas a VODAFONE, la ausencia de documentos que acreditasen la titularidad de la deuda hacían que en esos casos el tratamiento de los datos personales no pudiera ampararse en los artículos de la LOPD y RLOPD precitados, 6.1 y 11.2.a y 10.2.a, respectivamente. E. En atención a cuanto antecede, ha quedado acreditado en el expediente que los datos personales del denunciante (NIF H.H.H., nombre y dos apellidos) fueron tratados por SIERRA CAPITAL en calidad de titular de una deuda contraída con VODAFONE en fecha 04/08/2011 en virtud de un contrato celebrado entre ambos el 23/07/2011. La denunciada, en el curso de las actuaciones de investigación, aportó una impresión de pantalla de sus registros con todos los datos personales referentes al denunciante que fueron proporcionados por VODAFONE. Algunos de ellos, como el domicilio, no coincidente con los datos del denunciante. El denunciante, por su parte, ha negado haber sido cliente de VODAFONE y por consiguiente, niega que le concierna la deuda que SIERRA CAPITAL le atribuye, derivada de aquél. En resumen, la conducta de SIERRA CAPITAL, materializada en el tratamiento de los datos personales del denunciante – NIF, nombre y dos apellidos- en calidad de titular de una deuda adquirida de VODAFONE, y en la que concurre una grave falta de diligencia de la entidad en el cumplimiento de las obligaciones que le impone la LOPD – habiendo sido informada debidamente, antes de otorgar el consentimiento a la operación de compra de deuda, de que respecto a algunos de los créditos objeto de la venta la cedente carecía de los documentos que legitimaran el tratamiento-, es contraria al artículo 6 de la LOPD y subsumible en el tipo infractor del artículo 44.3.
  13. b)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/26 IV Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que se imputa a SIERRA CAPITAL han hacerse estas reflexiones: Las normas jurídicas reproducidas en el Fundamento de Derecho I ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, entre otros requisitos, que la deuda sea cierta, vencida, exigible y que haya resultado impagada (ex artículo 38.1.
  14. a)Conviene recordar, además, que el artículo 38.3 del RLOPD obliga al acreedor que informa datos de terceros a un fichero de solvencia a “conservar” a disposición de la Agencia Española de Protección de Datos “documentación suficiente” que acredite el cumplimiento de los requisitos establecidos en este artículo. Cabe preguntarse cuáles son los documentos que SIERRA CAPITAL, que mantuvo incluido en el fichero ASNEF los datos del denunciante durante casi cuatro años (desde el 18/11/2012, si tomamos en consideración la fecha de visualización, y hasta el 21/07/2016) ha “conservado” para acreditar ante esta Agencia que la deuda que informó a ASNEF era cierta, vencida y exigible, obviamente desde la perspectiva de la persona a la que se atribuye. La respuesta es que SIERRA CAPITAL no ha aportado ningún documento y es más, no es que no lo conserve sino que nunca lo ha tenido en su poder. La denunciada sabía de la probable carencia de documentación que acreditara la legitimación para tratar los datos de algunos de los supuestos deudores, datos que fueron cedidos por VODAFONE en el marco de la operación contractual suscrita con ella. En respuesta al requerimiento de esta Agencia para que remitiera una copia del contrato del que derivaba la deuda atribuida al denunciante declaró que esa documentación no había sido entregada por VODAFONE. Únicamente un documento como el que la Agencia solicitó -la copia del contrato- podía evidenciar que la deuda informada a ASNEF asociada al denunciante era respecto a él, una deuda cierta o, al menos, permitiría a SIERRA CAPITAL acreditar que obró diligentemente y que antes de incluir a un tercero en un fichero de solvencia verificó que disponía entre la documentación recibida de VODAFONE de aquella que, en relación a ese deudor en particular, amparaba el tratamiento efectuado. A la luz del artículo 38.3 del RLOPD resultaba fundamental que SIERRA CAPITAL hubiera constatado, antes de decidir la comunicación de los datos personales del afectado a los ficheros de solvencia, que disponía del referido documento y como dice el precepto lo hubiera conservado a disposición de la Agencia, pues solo así la entidad informante podría demostrar que la comunicación de los datos del denunciante al fichero resultaba ajustada a Derecho. El contrato de venta de créditos celebrado entre VODAFONE y SIERRA CAPITAL pone de manifiesto que la entrega de los documentos contractuales es fundamental. Y precisamente, en el contrato de venta de créditos se hace mención a los supuestos en los que VODAFONE no dispone del contrato del que derivan las deudas cedidas. El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/26 primer inciso del apartado 1.4 de la estipulación Primera dice: “…el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneados que han sido encontradas durante el proceso de due diligence, tal y como el comprador ha podido constatar”. (El subrayado es de la AEPD) Esta cláusula pone de manifiesto que esta entidad actuó con una gravísima falta de diligencia -que fácilmente podría calificarse de dolo eventual- cuando pese a carecer de la documentación precisa y a ser conocedora de que había adquirido créditos de VODAFONE respecto a los que no podía acreditar la titularidad, tomó la decisión de incluir al denunciante en los ficheros de morosidad ASNEF y BADEXCUG. Hemos de destacar, por otra parte, que la diligencia que es procedente desplegar para dar cumplimiento a las obligaciones que la LOPD y norma reglamentaria impone a los responsables de ficheros y tratamiento –diligencia que como dice el Tribunal Supremo se ha de graduar en atención a la actividad profesional o no de quien trata los datos- aparece particularmente reforzada en este caso por el RLOPD. El artículo 43.1 del RLOPD insiste en que quien informa a un fichero de solvencia datos de terceros debe de “asegurarse” antes de tomar esa decisión de que concurren los requisitos de los artículos 38 y 39 de la norma reglamentaria que, recordemos, abarcan la certeza de la deuda y la obligación de tener y conservar los documentos que hagan prueba de que el acreedor informante cumple las condiciones a las que se supedita la legalidad de tales comunicaciones. En definitiva, SIERRA CAPITAL es responsable de una infracción del principio de calidad del dato, consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, y en relación también con el artículo 38.1.a, del RLOPD, infracción tipificada en el artículo 44.3.
  15. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  16. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. V Corresponde analizar seguidamente los argumentos que SIERRA CAPITAL esgrime en defensa de su pretensión de archivo del expediente tanto en las alegaciones acuerdo de inicio como en las alegaciones a la Propuesta de Resolución: A. La entidad niega que se haya vulnerado el articulo 6.1 LOPD "por cuanto el artículo 19 del Real Decreto1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD ... establece lo siguiente..." El artículo 19 del RLODP dice: "En los supuestos en los que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de los dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre". (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/26 Después de reproducir esa norma reglamentaria la denunciada pasa a transcribir el artículo 5.4 de la LOPD tras lo cual concluye directamente: "Por consiguiente, SIERRA CAPITAL trata lícitamente los datos personales del reclamante por cuanto a la vista de la normativa citada no requiere su consentimiento expreso". Esta afirmación carece de toda fundamentación pues el precepto invocado no resulta de aplicación a los hechos que nos ocupan ya que se refieren a una "cesión global" de activos y pasivos y no, como aquí ha ocurrido, a la cesión de un conjunto de créditos que no representan el total del activo y pasivo de la entidad. La comunicación de datos personales que se realiza con ocasión de la compra de una cartera de deuda entre VODAFONE y SIERRA CAPITAL se encuadra en el apartado 2.
  17. a)del artículo 11 LOPD. Sin embargo, debe advertirse que con independencia de que estimemos aplicable el artículo 11.2.
  18. a)LOPD o el artículo 19 del RLOPD, no se excluye la vigencia del principio del consentimiento ni tampoco la aplicación de los artículos de la normativa de protección de datos referentes a la calidad de los datos. B. SIERRA CAPITAL invoca también que esos mismos argumentos fueron los esgrimidos en el procedimiento sancionador PS/369/2016 que resultó archivado. Esta afirmación no es exacta. Las razones que justificaron la apertura del citado expediente sancionador son distintas de las que sirven de fundamento a la apertura del PS/123/2017 que nos ocupa. Basta para ello una lectura de ambos acuerdos de inicio. En el PS/369/2016 la apertura del expediente sancionador vino motivada porque de la información y documentación facilitada por SIERRA CAPITAL sobre la denunciante (información que era errónea) resultaba que se encontraba incluida en un fichero de solvencia por una deuda abonada un año atrás, lo que determinó que se le atribuyera una presunta infracción de los artículos 6.1 y 4.3. en relación con el 29.4 y el 38.1.a RLOPD. En el trámite de alegaciones al acuerdo de inicio SIERRA CAPITAL explicó que entre las deudas cedidas por VODAFONE existían dos a nombre de sendas personas con distinto NIF pero con el mismo nombre y apellidos (con una pequeña diferencia en el nombre) y que por error había facilitado a la Agencia los datos de la deudora que sí había abonado la deuda, en tanto que la información que figuraba en ASNEF aludía a la deudora que no había satisfecho la deuda. Comprobado el error, se procedió al archivo del expediente. Dicho lo anterior, hemos de subrayar que es cierto que la AEPD se ha apartado en los últimos tiempos del criterio que tradicionalmente había venido sosteniendo en los supuestos de compra de deuda en los que el deudor cedido niega la contratación y la entidad cesionaria del crédito carece de la documentación que la acredite. La AEPD considera que no puede sostenerse en esos casos que el cesionario sea un adquirente de buena fe si resulta que, a la luz del contrato de cesión de deuda, se pone de manifiesto que no ignora que la cedente no dispone de la totalidad de los documentos que le permitirán acreditar la legitimidad de los créditos cedidos y por consiguiente la legitimidad del tratamiento de datos realizado. La información que recibe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/26 con carácter previo a la firma del contrato de venta de deuda acerca del estado de los créditos y la falta de documentación justificativa respecto a alguno de aquellos impide que, llegado el caso en el que el deudor niegue haber contratado con la entidad cedente, la cesionaria pueda ampararse en una pretendida condición de adquirente de buena fe. Esto es, recae sobre ella en su condición de responsable del fichero la carga de acreditar el consentimiento inequívoco del titular de los datos. C. Alega que las infracciones de los artículos 6.1 y 4.3 que se le imputan han prescrito. La pretendía prescripción de las infracciones parte de dos premisas incorrectas: Una, que las infracciones atribuidas a SIERRA CAPITAL son leves y no graves, lo que apoya en la aplicación que la AEPD ha hecho, para la determinación de la sanción, de la regla del artículo 45.5. LOPD. Otra, considerar que el cómputo del plazo de prescripción (que incorrectamente fija en un año, que es el previsto para las infracciones leves, y no en dos, que corresponde a las infracciones graves) se inicia, dice, en la fecha de alta de la incidencia informada por SIERRA CAPITAL a los ficheros de solvencia. Sobre el carácter leve que atribuye a las infracciones cometidas SIERRA CAPITAL dice que la AEPD, en un primer momento, consideró que se trataba de una infracción grave pero “No obstante lo anterior, tras analizar los hechos acontecidos y la diligente actuación de SIERRA CAPITAL, esta Agencia determina que la calificación de la infracción es leve”. Sobre el término inicial del plazo de prescripción, sitúa en fecha 08/10/2014 la vulneración del artículo 4.3 LOPD por la inclusión en ASNEF y en fecha 30/01/2016 por la inclusión en el fichero BADEXCUG. De lo que concluye que, entre la fecha en la que se inicia el cómputo del plazo de prescripción y la notificación del acuerdo de inicio del expediente sancionador, el 19/06/2017, habría transcurrido más de un año. Sin embargo, el término inicial para el cómputo del plazo de prescripción de la infracción del artículo 4.3 LOPD coincide con la fecha de baja de los ficheros, al ser ésta una infracción permanente. También el término inicial de la infracción del artículo 6.1 LOPD coincide con la fecha de baja de las anotaciones de los ficheros de solvencia, pues es seguro que hasta ese momento existió por parte de SIERRA CAPITAL tratamiento de los datos personales del afectado para el que no estaba legitimada, toda vez que ignoramos la fecha exacta en la que canceló los datos de sus propios registros. El mecanismo de funcionamiento de los ficheros de solvencia exige que la entidad informante alimente o confirme los datos comunicados con una periodicidad semanal, de modo que el mantenimiento de los datos de un tercero en un fichero de esa naturaleza lleva implícito que tales datos figuren incorporados a los ficheros de la entidad informante o en otras palabras, continúen siendo tratados por ella. A propósito del carácter permanente de las dos infracciones de la LOPD citadas, cuestión que tiene relevancia para fijar el término inicial del cómputo del plazo de prescripción, la SAN de 24/06/2010 (Rec. 539/2007) confirma la doctrina que tradicionalmente ha seguido ese Tribunal y dice: “Nos encontramos en cualquier caso en el supuesto ante las denominadas infracciones permanentes, respecto de las que esta Sala ha declarado con reiteración, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/26 ya desde la SAN, de 21 de septiembre de 2001 (Rec. 95/200) que, (…) se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo, lo que implica que el plazo de prescripción no se inicia “al no haber cesado la situación de infracción perseguida” –STS de 18 de febrero de 1985….”. Criterio que también han seguido, entre otras, las SSAN (1ª) de 22 de febrero de 2006 (Rec. 343/2004), 21 de noviembre de 2007 (Rec. 117/2006), 11 de diciembre de 2008 (Rec. 574/2007). Concepto jurídico plenamente aplicable al supuesto litigioso, tomando en consideración que tanto el tratamiento de datos sin consentimiento como la inclusión indebida de los mismos en Asnef se mantuvo durante un periodo prolongado de tiempo, por lo que habrá que estar a la fecha de finalización, y no de inicio, para el cómputo del plazo de prescripción. Y a tal fin resulta, según se desprende de las actuaciones practicadas que los datos personales del denunciante figuraron de alta, asociados a la presunta deuda, hasta el 28 de febrero de 2005, por lo que necesariamente ha de considerarse esta fecha a efectos de comisión de la infracción…” (Fundamento Jurídico Tercero). El subrayado es de la AEPD. Extrapolando ese pronunciamiento al supuesto analizado, el término inicial del plazo de prescripción para la infracción del artículo 6.1 y del artículo 4.3 LOPD, coincide con el momento en el que SIERRA CAPITAL pone fin al tratamiento de los datos del denunciante en sus propios ficheros y con la fecha en la que cancela las incidencias informadas a ASNEF y BADEXCUG. Según lo manifestado por la denunciada todo ello acontece el mismo día, el 12/07/2016. Así pues, ambas infracciones prescribirán el 12/07/2018. D. Respecto a la petición de prueba que la denunciada hace en su escrito de alegaciones a la Propuesta - solicita que se libre oficio a VODAFONE para que aporte copia del contrato- indicar que el momento procesal para proponer prueba es el de alegaciones al acuerdo de inicio. Añadir también que, incluso aunque el trámite no hubiera precluido, sería a esa entidad a quien le incumbe la carga de la prueba, por lo que es ella quien tiene que solicitar y aportar tal documentación. E. En cuanto a la alegación relativa a las obligaciones que no son exigibles a SIERRA CAPITAL, basta indicar que ni la LOPD ni la AEPD exigen comportamientos imposibles a fin de acreditar el consentimiento del titular de los datos para su tratamiento. Lo que sí se exige es una mínima diligencia con tal propósito. En el presente caso se habría traducido, habida cuenta de que la denunciada fue informada claramente antes de formalizar la operación de compra de deuda de que la vendedora no disponía de todos los contratos relativos a todas las deudas cedidas, en verificar cuáles estaban en esa situación y en adoptar las medidas procedentes para conocer si quien constaba como titular de la deuda había sido cliente de VODAFONE. Añadir que, si bien en el contrato suscrito entre VODAFONE y SIERRA CAPITAL (estipulación sexta, apartado 6.1.2.) se dice que el vendedor responde de la “transmisibilidad, existencia y legitimidad” de los créditos cedidos, la estipulación primera, referente al objeto del contrato, indica en el apartado 1.4 (Hecho probado séptimo) que “(…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/26 encontradas durante el proceso de duediligence, tal y como el Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”. (El subrayado es de la AEPD) (Folio 64) F. Respecto a la invocada interpretación “in malam partem” que supuestamente hace la AEPD, exigiendo responsabilidad a SIERRA CAPITAL y dispensando de ella a VODAFONE, señalar que la denuncia se dirigió frente a ambas entidades y que la razón de que el expediente sancionador no se iniciara frente a VODAFONE es la prescripción de las infracciones en las que esa entidad hubiera incurrido, prescripción muy anterior en el tiempo a la fecha en la que la denuncia entró en este organismo y cuyo término inicial se remonta a la fecha de celebración del contrato entre las dos entidades, septiembre de 2012. G. Sobre la pretendida negación por la AEPD de la fuerza probatoria de las facturas a efectos de cobro de deudas, subrayar que esta Agencia en ningún caso se ha pronunciado sobre esa cuestión. Únicamente, en consonancia con las funciones que tiene atribuidas por la LOPD, ha señalado que la existencia de facturas, por sí sola, permite acreditar que se prestó un servicio, en este caso por VODAFONE, y que alguien hizo uso de él, pero no acredita que sea el denunciante, titular de los datos a los que se vincula el alta del servicio, quien otorgó el consentimiento a la contratación y, por tanto, quien consintió el tratamiento de sus datos. H. Respecto a la vulneración del principio de tipicidad, dado que señala que “el artículo 38.1. del RLOPD no exige como requisito “sine qua non” para acreditar que la deuda sea cierta, vencida y exigible, que se aporte el contrato original de la prestación del servicio”, hemos de precisar lo siguiente: Efectivamente el precepto citado no exige tal cosa sino, tan solo, que la deuda pendiente, que motiva la inclusión en un fichero de solvencia de datos de terceros, sea cierta. Esta expresión, conforme a lo declarado por el Tribunal Supremo en la STS de 15/07/2010, implica que la deuda sea “incuestionable”, pero obviamente desde la perspectiva del deudor al que se le atribuye. En el asunto que nos ocupa la AEPD, en ningún caso, ha negado que VODAFONE hubiera prestado el servicio del que deriva la deuda reclamada, tan sólo ha negado que hubiera acreditado que la persona a quien la deuda se atribuye (el denunciante) fue quien contrató el servicio con la operadora. Paralelamente VODAFONE no ha aportado ningún elemento probatorio del que se infiera que la deuda generada por el servicio que prestó y, que alguien contrató con la entidad, fuera “cierta” en relación a la persona del deudor. Recordemos que cuando el titular de los datos tratados niega haber otorgado el consentimiento (como aquí acontece) recae la carga de la prueba del consentimiento en el responsable del tratamiento. I. Respecto a la vulneración del principio non bis in ídem, pues estima que es la misma conducta la que se sanciona por infracción del artículo 4.3 y 6.1 LOPD, señalar que las conductas descritas en cada uno de los tipos sancionadores (artículo 44.3.c y 44.3.b, respectivamente) son distintas. Así, son numerosas las SSAN en las que el Tribunal se ha pronunciado sobre esa cuestión con ocasión de resolver la pretensión de que se aprecie un concurso medial entre ambas infracciones, invocado al amparo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/26 artículo 4.4 del derogado Real Decreto 1398/1993, que regulaba el Procedimiento Sancionador en desarrollo de la Ley 30/1992. La Sala de lo Contencioso de la Audiencia Nacional negó sistemáticamente en supuestos análogos al que ahora examinamos el concurso medial de infracciones -de lo que se colige que si no es admisible esta figura menos aún tiene cabida la pretendida vulneración del principio non bis in ídem, pues es evidente que estamos ante distintas conductas infractoras subsumidas cada una de ellas en el correspondiente tipo sancionador- y afirmó lo siguiente: “…el artículo 4.4 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, exige, para la aplicación del concurso medial una necesaria derivación de unas infracciones respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que se ha de conferir a la expresión reglamentaria de que “una infracción derive necesariamente de la comisión de la otra”… Lo que no concurre en el caso examinado pues ninguna de las contravenciones administrativas sancionadas es un medio para la perpetración de otra. Ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, en un caso el consentimiento (art. 6.1 de la Ley 15/1999) y en otro, la calidad del dato (art. 4.3 de la citada Ley Orgánica), para la salvaguarda del derecho fundamental a la protección de datos de carácter personal”. J. Invoca la ausencia de culpabilidad por existencia de un error de prohibición invencible que se concreta, a su juicio, en que hubiera sido imposible conocer que los datos del denunciante eran erróneos debido a que sufrió un delito, aunque hubiera aportado la copia del contrato. La falta de diligencia de la que adolece la actuación de SIERRA CAPITAL no deriva del hecho de que el denunciante hubiera sido víctima de un presunto delito de suplantación de identidad, circunstancia que obviamente la entidad difícilmente podía conocer incluso teniendo en su poder la copia del contrato. La falta de diligencia deriva de que no consta que, pese a conocer que la vendedora no disponía y no podía facilitarle en relación a parte de los créditos que adquiere los documentos de los que derivaba la legitimación para el tratamiento efectuado, no verificase qué documentos obraban en su poder antes de comenzar a tratar los datos del afectado y si éstos eran bastantes para presumir que existió un consentimiento del titular a la contratación de la que deriva la deuda. La misma cuestión fue planteada en el recurso contencioso administrativo 41/2006, resolviendo sobre la Audiencia Nacional (SAN de 10/05/2007) que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/26 Así, enlazando el error de prohibición que se invoca en la demanda debemos señalar que debido a la profesionalidad de la recurrente no puede invocarse el desconocimiento de una Ley Orgánica que desarrolla un derecho fundamental, cuando se realiza una actividad profesional en constante contacto con terceras personas y mediante un manejo muy significativo de los datos personales”.(El subrayado es de la AEPD) VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  19. a)El carácter continuado de la infracción.
  20. b)El volumen de los tratamientos efectuados.
  21. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  22. d)El volumen de negocio o actividad del infractor.
  23. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. f)El grado de intencionalidad.
  25. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  26. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  27. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  28. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  29. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  30. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  31. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/26
  32. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  33. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate", pero para ello es necesaria la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Esta Agencia estima que concurre la atenuante cualificada del artículo 45.5.
  34. b)LOPD –“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”- pues, una vez que SIERRA CAPITAL recibe del denunciante la copia de la denuncia que había presentado en la Guardia Civil - de la que cabe inferir que sus datos personales fueron objeto de tratamiento sin su consentimiento y que la deuda informada a los ficheros de morosos no le pertenecía- canceló los datos personales del denunciante de sus ficheros, dio de baja las incidencias de los ficheros de morosidad ASNEF y BADEXCUG e instó la recompra de la deuda por VODAFONE. Siendo el efecto jurídico que deriva de la aplicación de cualquiera de las circunstancias del artículo 45.5. LOPD la imposición de la sanción con arreglo a la escala que precede en gravedad a la prevista para las infracciones cometidas, toda vez que las dos infracciones de la LOPD de las que es responsable SIERRA CAPITAL son infracciones graves, la sanción a imponer estará comprendida en los márgenes que el artículo 45.1 LOPD fija para las infracciones leves, por ser la inmediata inferior en grado a las realmente cometidas. A su vez, en la graduación de la sanción a imponer, dentro de la escala del artículo 45.1 de la LOPD, operan los siguientes criterios recogidos en el art. 45.4 de la LOPD: -“El carácter continuado de la infracción” (apartado a,) pues los datos personales del denunciante permanecieron incluidos en los ficheros de solvencia patrimonial, informados por SIERRA CAPITAL, durante un prolongado periodo de tiempo, sin que ninguna de las inclusiones fuera ajustada a Derecho: En ASNEF desde el 18/11/2011 al 12/07/2016, casi cuatro años, y en BADEXCU desde el 30/01/20016 al 12/07/2016. Además, por lo que hace mención a la vulneración del principio del consentimiento hemos de añadir que SIERRA CAPITAL estuvo tratando los datos personales del denunciante sin legitimación desde el 28/09/2012 (fecha de la compra de deuda) y hasta, al menos, el 12/07/2016. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) pues la actividad empresarial de SIERRA CAPITAL exige un continuo tratamiento de datos personales. - “El volumen de negocio o actividad del infractor” (apartado d,). La importante cifra de negocio de SIERRA CAPITAL se pone de manifiesto por las millonarias inversiones realizadas en las operaciones de compra de deuda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/26 - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado h,) En ese sentido recordemos que la Audiencia Nacional, en SAN de 16/02/2002 (Rec. 1144/1999), ha declarado que “(…) la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. (El subrayado es de la AEPD) En consideración a lo expuesto, a la luz del principio de proporcionalidad, que ha de presidir la imposición de cualquier sanción, así como de las circunstancias que concurren, descritas en los artículos 45.5 y 45.4 LOPD, se acuerda sancionar a SIERRA CAPITAL con sendas multas de 28.000 euros, respectivamente, por las infracciones de los artículos 6.1 y 4.3, en relación con el artículo 29.4 de la LOPD, y en relación a su vez con el artículo 38.1.a del RLOPD, de las que resulta responsable. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L. con CIF B-86554482, una multa de 28.000 euros (veintiocho mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  35. b)LOPD. SEGUNDO: IMPONER a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L. con CIF B-86554482, una multa de 28.000 euros (veintiocho mil euros) por la infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y en relación con el artículo 38.1.
  36. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  37. c)de la LOPD. TERCERO: ACORDAR el ARCHIVO de las actuaciones practicadas en relación con VODAFONE ONO, S.A.U., habida cuenta de que las infracciones de las que podría ser responsable esa entidad habrían prescrito varios años atrás. CUARTO: NOTIFICAR la presente resolución a SIERRA CAPITAL MANAGEMENT 2012, S.L. QUINTO: NOTIFICAR la presente resolución a VODAFONE ONO, S.A.U. SEXTO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/26 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.