1/8 Procedimiento Nº PS/00128/2017 RESOLUCIÓN: R/00374/2018 En el procedimiento sancionador PS/00128/2017, instruido por la Agencia Española de Protección de Datos a la entidad MASTER DISTANCIA S.A., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 01/09/2016 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que MASTER DISTANCIA, S.A., (en adelante MASTER D o la denunciada) ha incluido sus datos en el fichero de solvencia patrimonial y crédito ASNEF sin requerimiento previo de pago. “El denunciante aporta, entre otra, copia de la siguiente documentación: Contrato de enseñanza en Especialización en Cocina y Pastelería suscrito con fecha 05/11/2014 entre el denunciante y la entidad denunciada que según manifiesta sería el origen de la deuda inscrita en el fichero de solvencia. El contrato se encuentra firmado en el apartado correspondiente al cliente y a la entidad proveedora del servicio. En el mismo figura como dirección de contacto del denunciante C/ (C/...1) (MADRID). Reclamación presentada por el denunciante ante la Oficina Municipal de Información al Consumidor (OMIC) de Madrid con fecha 13/03/2015 frente a la entidad denunciada en la que solicita la baja del curso al que se inscribió y la cancelación de las mensualidades relativas al mismo. Escrito fechado el 17/08/2016 dirigido a EQUIFAX IBERICA, S.L. en el que el denunciante ejerce el derecho de cancelación de sus datos personales inscritos a instancia de la entidad denunciada en el fichero ASNEF. Escrito fechado el 24/08/2016 en el que EQUIFAX IBERICA, S.L. en respuesta al ejercicio del derecho de cancelación, informa al denunciante de que su solicitud no puede ser atendida dado que los datos han sido confirmados por la entidad denunciada. La fecha de alta de dicha deuda es 17/04/2015. El importe asociado a la deuda es 2.080,30 euros, el domicilio asignado al denunciante C/ (C/...1) (MADRID), y el número de NIF coincide con el que figura en su DNI.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a la entidad MASTER D teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de Actuaciones Previas de Inspección transcrito a continuación: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa MASTER DISTANCIA S.A. en su escrito de fecha de registro 16/11/2016 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 (número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación: En su escrito de respuesta a la solicitud de información expone que con fecha 5/11/2014 el denunciante “formalizó con MASTER DISTANCIA un contrato de enseñanza de Mantenimiento y Reparación de Ordenadores, que el mismo día sustituyó por otro de Especialización en Cocina y Pastelería, con una duración de 18 meses y un importe de 2.518,57 euros”. Copia del Contrato de enseñanza en Especialización en Cocina y Pastelería suscrito con fecha 05/11/2014 entre el denunciante y la entidad denunciada que según manifiesta sería el origen de la deuda inscrita en el fichero de solvencia. El contrato se encuentra firmado en el apartado correspondiente al cliente y a la entidad proveedora del servicio. En el mismo figura como dirección de contacto del denunciante C/ (C/...1) (MADRID). Copia del Contrato de enseñanza de Mantenimiento y Reparación de Ordenadores suscrito con fecha 05/11/2014 entre el denunciante y la entidad denunciada. El contrato se encuentra firmado en el apartado correspondiente al cliente y a la entidad proveedora del servicio. En el mismo figura como dirección de contacto del denunciante C/ (C/...1) (MADRID). Copia impresa de los datos que figuran en sus sistemas relativos al denunciante. Entre los mismos consta como dirección del denunciante C/ (C/...1) (MADRID). A su vez, se aporta en el contrato de enseñanza la dirección de correo electrónico del denunciante ***EMAIL.1 y su número de móvil ***TELF.1. En su escrito de respuesta a la solicitud de información manifiesta que la dirección del denunciante no ha sufrido ningún cambio ni actualización desde la firma del contrato. En su escrito de respuesta a la solicitud de información expone que MASTER DISTANCIA S.A. ha contratado a ORMA MAIL S.L. para la realización de los requerimientos de pago efectuados a sus clientes. Asimismo señala que ha contratado los servicios de Vodafone ONO para el envío de mensajes “SMS”. Copia del contrato, suscrito a fecha 01/02/2008 entre MASTER DISTANCIA S.A. y ORMA MAIL S.L., que regula la prestación del servicio de la puesta en el servicio de envíos postales y gestión de las devoluciones de los requerimientos de pago emitidos por MASTER DISTANCIA S.A. Copia de las facturas emitidas por el proveedor de los servicios de SMS, VODAFONE ONO de fecha febrero, marzo y abril de 2015 (Documento 18 Bis). Copia de la carta en la que figura el nº de cliente ***CLIENTE.1 fechada a 04/03/2015, que remite la entidad denunciada al denunciante a la dirección C/ (C/...1) (MADRID) en la que se reclama el pago de la deuda contraída por importe de 376,54 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito sin indicación de plazo concreto previo a la inclusión. Copia de la carta en la que figura el nº de cliente ***CLIENTE.1 fechada a 26/03/2015, que remite la entidad denunciada al denunciante a la dirección C/ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 (C/...1) (MADRID) en la que se reclama el pago de la deuda contraída por importe de 564,81 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito sin indicación de plazo concreto previo a la inclusión. Copias impresas de su sistema (Documentos 5 a 18) en las que figuran avisos de pago enviados al denunciante: o Vía correo electrónico a “***EMAIL.1” correspondientes a las fechas: 11/02/2015; 11/03/2015; 20/03/2015; 13/04/2015; 17/04/2015 o Vía “SMS” al número de teléfono móvil “***TELF.1” correspondientes a las fechas 11/02/2015; 27/02/2015; 11/03/2015; 20/03/2015; 30/03/2015; 17/04/2015. En su escrito de respuesta a la solicitud de información expone que MASTER DISTANCIA, S.A. ha cancelado los datos del denunciante del fichero ASNEF a fecha 25/10/2016 mientras la Agencia Española de Protección de Datos valida los distintos requerimientos de pago efectuados como muestra de “prudencia y garantía frente al afectado”. En su escrito de respuesta a la solicitud de información expone que “no obstante, tras la cancelación se realizó un nuevo requerimiento de pago al denunciante. Copia de la carta en la que figura el nº de cliente ***CLIENTE.1 y fechada a 02/11/2016, que remite la entidad denunciada al denunciante a la dirección C/ (C/...1) (MADRID) en la que se reclama el pago de la deuda contraída por importe de 2.080,30 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito sin indicación de plazo concreto previo a la inclusión. Copia del escrito en el que se establece el procedimiento que utiliza ORMA MAIL, S.L. para la recogida y tratamiento de los envíos postales de MASTER DISTANCIA, S.A. No hace mención a la gestión de las devoluciones de los requerimientos de pago. Copia del certificado expedido por ORMA MAIL, S.L. de la puesta en el servicio de envíos postales con fecha 04/11/2016 de la carta de requerimiento de pago con número de referencia ***REF.1 dirigida al denunciante a la dirección C/ (C/...1) (MADRID). Copia impresa de la web de correos en la que consta que la carta de referencia ***CD.1 a fecha 07/11/2016 figura en Estado “en proceso de entrega”.>> TERCERO: Con fecha 31/07/2017 la Directora de la AEPD acordó iniciar procedimiento sancionador a MASTER DISTANCIA, S.A., por presunta infracción del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en relación, asimismo, con el artículo 38.1.
- c)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007 (RLOPD), tipificada como infracción grave en el artículo 44.3.
- c)de la citada Ley Orgánica, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con el artículo 45.2 de la LOPD. CUARTO: Notificado el acuerdo de inicio, MASTER D, en escrito de fecha 30/08/2017, que tuvo entrada en el Registro de la AEPD el 01/09/2017, formuló alegaciones en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 que solicitó que la sanción a imponer, además de estar comprendida dentro de los límites del articulo 45.1 LOPD –toda vez que en el acuerdo de inicio se estimaba procedente la aplicación del artículo 45.5.b LOPD- se impusiera en una cuantía inferior a la fijada en el acuerdo de inicio del expediente. En apoyo de su pretensión adujo lo siguiente: - Afirma reconocer espontáneamente su responsabilidad en los hechos y precisa que lo hace a los efectos no sólo del artículo 85.1 de la LPACAP sino también del artículo 45.5. LOPD. Así, dice: “MASTERD, en el cumplimiento responsable de su deber y a efectos de lo dispuesto tanto en el artículo 45.5 de la LOPD como en el artículo 85.1 de la nueva Ley 39/2015 (…) reconoce espontáneamente su responsabilidad en los hechos que se le imputan”. Seguidamente añade: “Sin perjuicio del mismo y al amparo de la propia doctrina de la AEPD y la AN, esta representación considera que, ….la sanción que debería proponerse por el órgano instructor a efectos de la aplicación de las reducciones previstas en los apartados 1 y 2 del art. 85 de LPACAP debe ser inferior a la que a juicio del acuerdo de inicio refleja”. - Que la AEPD, con el fin de graduar la sanción, debe tomar en consideración además del relato fáctico expuesto en el acuerdo de inicio las siguientes circunstancias adicionales: * Que MASTER D –que se constituyó en 1997- no ha sido apercibida ni sancionada por la AEPD durante toda su existencia. Razona que, del mismo modo que existe una agravación por reincidencia (ex artículo 29.3.d, de la Ley 40/2015) ha de valorarse su reverso, cual es la no reincidencia. Explica que “evidentes razones de justicia impiden que la respuesta del ordenamiento jurídico ante idéntica infracción sea la misma según que el sujeto infractor sea o no reincidente” * Que cuando acontecen los hechos sobre los que versa la presente denuncia tenía implantados procedimientos adecuados de actuación relativos a la inclusión de datos de terceros en ficheros de solvencia por lo que la infracción del artículo 4.3 LOPD que se le atribuye constituye una anomalía puntual en el funcionamiento de estos procedimientos. Se remite al PS/314/216, abierto contra ella por una presunta infracción del artículo 4.3 LOPD, que finalizó en archivo al acreditar documentalmente que sí había efectuado el preceptivo requerimiento previo de pago. Añade que en el citado procedimiento y en el actual ha aportado la copia del contrato suscrito en 2008 con ORMA MAIL, S.L., encargada de efectuar los requerimientos de pago previos y el control de las devoluciones. * Que además de reconocer –como hace el acuerdo de inicio del expediente sancionador- la concurrencia del artículo 45.5.
- b)LOPD, dice que del relato contenido en el acuerdo de inicio se evidencia la presencia de las siguientes atenuantes cuyo reconocimiento por esta Agencia se solicita: (
- i)El apartado b, del artículo 45.4 LOPD, “volumen de tratamientos efectuados”, pues únicamente ha afectado a una persona. (
- ii)Que no obtuvo benefició alguno, por lo que no concurre como agravante el apartado
- e)del artículo 45.4 y que el denunciante tampoco sufrió perjuicio por la inclusión de la deuda en un fichero de solvencia (apartado h). Menciona “el justificante de entrega del requerimiento de pago en el que se acredita que el Sr. A.A.A. se ha negado a retirar el aviso de correos al haber estado ausente en dos ocasiones”. Adjunta copia del reverso del documento de acuse de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 recibo de Correos y Telégrafos en cuyo apartado “Entrega domiciliaria” consta marcada la casilla 3 “Ausente Reparto. Se dejó aviso llegada en buzón”; consta la fecha 07/11/2016 y la hora 11.57. En el apartado “Oficina” está marcada la casilla 9 “No retirado”. (iii)El apartado
- f)del artículo 45.4 LOPD. Expone que con carácter previo a la inclusión del denunciante en ASNEF fue informado por SMS, y por email de la situación de mora reincidente. Menciona el envío de dos cartas (el 04/03/2015 y 26/03/2015) que se aportaron en fase de actuaciones previas, cuatro emails a la dirección ***EMAIL.1 y seis sms enviados al teléfono ***TELF.1, que el denunciante facilitó al contratar. (
- iv)Que también concurre como atenuante la circunstancia descrita en el apartado
- j)del artículo 45.4, en la que encuadra haber dado de baja los datos del denunciante de ASNEF el 25/10/2016, el tercer día hábil siguiente a aquel en el que conoce la existencia de la denuncia y efectuar un nuevo requerimiento de pago con todos los requisitos exigidos por la normativa de protección de datos. - Concluye afirmando que es de aplicación al presente caso el artículo 45.5.
- b)LOPD, las atenuantes de los apartados
- g)e
- i)del artículo 45.4 LOPD y también las de los apartados b), e), f), h), y j), debiendo fijarse la sanción en 2.500 euros. QUINTO: Con fecha 22/11/2017, de conformidad con lo establecido en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas ( LPACAP) se inició un periodo de prueba en el que se acordó practicar las siguientes diligencias: 1. Incorporar al procedimiento a efectos de prueba la denuncia y documentación adjunta a ella; la documentación recabada por la Inspección de Datos en el curso de las actuaciones previas de inspección y el Informe de Actuaciones Previas. Documentos todos ellos que forman el expediente E/05319/2016. 2. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del procedimiento PS/00128/2017 presentadas por MASTER DISTANCIA S.A. y la documentación adjunta. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 48 de la LOPD dispone en su apartado 3 que “Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses.” Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala en su artículo 128: “1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictado y notificado resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones”. (El subrayado es de la AEPD) La Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) en su artículo 84 dispone: “1. Pondrán fin al procedimiento la resolución, el desistimiento, la renuncia al derecho en que se funde la solicitud, cuando tal renuncia no esté prohibida por el ordenamiento jurídico, y la declaración de caducidad”. (El subrayado es de la AEPD) El artículo 95 de la LPACAP, relativo a los requisitos y efectos de la caducidad, advierte que “3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia del interesado”. A propósito de la prescripción de la infracción hemos de destacar que el denunciante no ha puesto en duda, en ningún caso, que EQUIFAX IBÉRICA, S.L., le hubiera notificado la inclusión de sus datos personales en el fichero de solvencia ASNEF; notificación a la que viene obligada a tenor del artículo 40 del RLOPD, precepto que dispone: “1 El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubieran sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. (…) 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Esta circunstancia se ha de conectar con el criterio que ya hace años fijó la Sala de lo Contencioso Administrativo de la Audiencia Nacional acerca del término inicial (o dies a quo) del cómputo del plazo de prescripción en aquellos supuestos en los que la infracción del principio de calidad de los datos tenga su origen en la falta de requerimiento previo de pago al deudor (ex artículo 38.1.c del RLOPD). En su SAN de 03/11/2011 (Rec. 611/2010), Fundamento Jurídico Tercero, la Audiencia dice lo siguiente: “En el segundo –inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor- , la infracción del principio de calidad del dato encuentra su razón de ser en la falta de requerimiento previo de pago al deudor, en cuanto priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. (….) (….) Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de la situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción”. (El subrayado de la AEPD) Así pues, por lo que concierne a la prescripción de la infracción denunciada, toda vez que el denunciante no ha puesto en duda que la entidad responsable del fichero ASNEF le hubiera notificado la inclusión de sus datos en el citado fichero (ex artículo 40 RLOPD), el término inicial del plazo de prescripción de la infracción coincide con la fecha en la que supo –a través de la referida notificación- que sus datos habían sido incorporados a un fichero de esa naturaleza. Por ello, el término inicial del plazo de prescripción sería el 17/05/2015 u otra fecha muy próxima ya que la fecha de alta en el fichero ASNEF es de 17/04/2015. Al hilo de lo anterior hemos de recordar que la presunta infracción atribuida a MASTER D era una vulneración del artículo 4.3, en relación con el 29.4, de la LOPD y en relación con el artículo 38.1.c, del RLOPD, siendo su plazo de prescripción (ex artículo 47.1 LOPD) de dos años En consideración a lo expuesto, habida cuenta de que el acuerdo de inicio del PS/00128/2017 se firmó por la Directora de la Agencia Española de Protección de Datos el 31/07/2017, y dado que en fecha 31/01/2018 –cuando se cumplía el plazo de duración máxima del procedimiento que contempla la Ley- no se había dictado resolución sancionadora, procede declarar la caducidad del citado expediente sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR LA CADUCIDAD DEL PROCEDIMIENTO SANCIONADOR PS/00128/2017 y el consiguiente archivo de las actuaciones practicadas conforme a los artículos 84.1 de la LPACAP y 48.3 de la LOPD en relación con el 128.2 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 RLOPD. SEGUNDO: NOTIFICAR la presente resolución a MASTER DISTANCIA, S.A., con CIF A50715366. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es