PS-00141-2016

1/8 Procedimiento Nº PS/00141/2016 RESOLUCIÓN: R/01774/2016 Mediante Acuerdo de fecha 5/4/16 se inició procedimiento sancionador nº PS/00141/2016 instruido por la Agencia Española de Protección de Datos a PRA IBERIA, S.L.U.. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 28/04/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de denuncia presentado por D. A.A.A. en el que manifestaba que PRA había incluido sus datos personales en los ficheros ASNEF y BADEXCUG sin que se le hubiera requerido previamente el pago de la deuda, y sin que tenga conocimiento de quién ha podido ceder sus datos a PRA. Se aporta diversa documentación junto al escrito de denuncia. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/3279/2015. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos de fecha 30/10/15: <<<<< Con fecha 24/06/2015 se solicitó a PRA información relativa a D. A.A.A., NIF N.N.N. en relación al requerimiento previo de pago realizado a esta persona como paso previo a su inclusión en ficheros de información de solvencia patrimonial y crédito. De la respuesta recibida, registrada de entrada en la AEPD el 14/07/2015, se desprende lo siguiente: Con carácter previo se ha de señalar que PRA pone de manifiesto que en virtud de escritura autorizada por el Notario de Madrid Don I.I.I., el día 12 de enero de 2015 bajo el número *** de orden de protocolo, AKTIV KAPITAL PORTFOLIO AS, OSLO, SUCURSAL EN ZUG (en adelante AKTIV) cedió a PRA IBERIA, SLU. los portfolios de deudas adquiridos en España. Entre ellas se encontraba la asociada a D. A.A.A.. En relación a la dirección de contacto del denunciante, PRA aporta impresión de pantalla que acredita que en sus sistemas consta C/ B.B.B.. PRA expone que para la realización de los envíos de las cartas de requerimiento previo de pago utiliza los servicios de una tercera empresa, EQUIFAX IBÉRICA SL. Se aporta copia de contrato de 22/12/2014 suscrito por PRA con EQUIFAX, para la prestación de servicios para la notificación de cesión de crédito. PRA aporta copia de una comunicación de 10/02/2015 identificada con un código de barras y presidida por los logotipos de PRA y AKTIV, y remitida a nombre de A.A.A. a E.E.E.. En el escrito se informa de lo siguiente: “El pasado julio de 2014, el Grupo Aktiv Kapital fue adquirido por el Grupo PRA, lo cual ha motivado un proceso de reorganización de todo el Grupo y, en su virtud, todas las carteras adquiridas en España por AKTIV KAPITAL PORTFOLIO AS, OSLO, SUCURSAL EN ZUG (“AKTIV KAPITAL”) y el negocio establecido en España se han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 transferido globalmente a la empresa española de su Grupo: PRA IBERIA, SLU (antes Aktiv Kapital Collections, SLU, “PRA IBERIA”). El 12 de Enero de 2015, se formalizó la adquisición por PRA IBERIA de la totalidad de los activos y pasivos de AKTIV KAPITAL a través de una cesión global del negocio de AKTIV KAPITAL en España y, en consecuencia, del crédito que hasta entonces mantenía con AKTIV KAPITAL, procedente del contrato suscrito con BANCO DE SABADELL, SA., con el n° ***NÚM.1, se ha cedido a la entidad PRA IBERIA. El saldo pendiente de pago del citado crédito, a fecha de la presente comunicación, asciende a 8.866,31€ más la actualización correspondiente de intereses. La cesión del crédito mencionado se formalizó ante el Notario de Madrid, D. I.I.I., con el número *** de su protocolo. Por ello, a partir de la presente fecha, deberá satisfacer cualquier pago derivado del citado crédito a PRA IBERIA. PRA IBERIA le manifiesta su interés en mantener el acuerdo de pago que mantenía con AKTIV KAPITAL siempre que efectúe los ingresos en el mismo plazo acordado. PRA IBERIA le informa, a los efectos oportunos, que participa como entidad informante en ficheros de cumplimiento e incumplimiento de obligaciones dinerarias regulados en el artículo 29.2 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal”. Con el escrito se adjunta un escrito titulado “Nota informativa. Grupo PRA. Tratamiento de datos personales” en el que se informa, entre otros aspectos, de la posibilidad de comunicar los datos a entidades de prestación de servicios de solvencia patrimonial y crédito. Para certificar el envío de la comunicación mencionada en el apartado anterior PRA aporta certificado emitido por la empresa EMFASIS BILLING & SERVICES S.L., como prestador del servicio de envío de requerimientos de pago de PRA (en virtud de Contrato Marco de 22/05/2014 celebrado entre EMFASIS y EQUIFAX) en el que se establece lo siguiente: Que con fecha 12 de febrero de 2015, se realizó el proceso de generación e impresión de 00******7 requerimientos de pago, cuyas referencias son NT***********1, la primera y NT***********2, la última. Que en dicho proceso se generó el requerimiento de referencia NT***********3 A.A.A., y domicilio, D.D.D.. Dicho requerimiento se generó, imprimió y ensobró sin que se generase incidencia alguna que alterarse el resultado final del procedimiento. Con fecha 16 de febrero de 2015, se puso a disposición del Servicio Postal para su posterior distribución por parte de dicho Servicio, un total de 00******7 requerimientos de referencias NT***********1, la primera y NT***********2, la última. Dentro de las cuales, se encontraba el requerimiento de referencia NT***********3 A.A.A., y domicilio, D.D.D.”. Se aporta, asimismo, albarán de entrega en CORREOS fechado a 16/02/2015, relativo al envío por cuenta de EQUIFAX de un total de 80.027 cartas (10.588+21.323+48.116). La nota no está sellada o validada por CORREOS. PRA aporta certificado de 01/07/2015 emitido por EQUIFAX en el que se señala que “a fecha de la presente no nos consta que la carta de notificación de requerimiento previo de pago enviada en fecha 11/02/2015 (sic) con ref. NT***********3 y dirigida a A.A.A., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 con dirección en J.J.J., en la localidad de B.B.B., con Código Postal M.M.M., fuera devuelta por motivo alguno”. TERCERO: La Directora de la Agencia Española de Protección de Datos acordó, con fecha 5/4/16 iniciar procedimiento sancionador a PRA IBERIA SLU por la presunta infracción del art 4.3 de la LOPD CUARTO: Se han presentado escrito de alegaciones, por parte de la entidad denunciada, con fecha 10/5/16 acompañada de documentación, manifestando, en síntesis, que ha cumplido con todos los requisitos que se indican en la normativa de protección de datos para informar al denunciante de la inclusión de sus datos en los ficheros de morosidad; esto es: 1) Ha informado al denunciante, 2) ha requerido el pago, 3) Ha remitido las comunicaciones a la dirección proporcionada por el denunciante para el cumplimiento de su obligación contractual, como lo indica el certificado notarial aportado, 4) Ha informado que en caso de no producirse el pago en el término de un mes los datos relativos al impago serian accesibles al resto de entidades que participan en el fichero 5) Ha utilizado un medio fiable e independiente validado por la AEPD. QUINTO: Con fecha 8/7/15 se inició un periodo de práctica de prueba consistente en incorporar, al presente expediente sancionador, la denuncia presentada y la documentación generada en las actuaciones previas de inspección el informe E/03279/2015, y las alegaciones y documentación aportada por la entidad denunciada en la contestación a las alegaciones al Acuerdo de Inicio. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A. en el que manifestaba que PRA había incluido sus datos personales en los ficheros ASNEF y BADEXCUG sin que se le hubiera requerido previamente el pago de la deuda, 2º Se aporta comunicación remitida por Experian a nombre del denunciante, a la dirección C/ K.K.K.,) de fecha 27/3/15, manifestando que se ha informado una deuda, con fecha de alta 18/3/15 por un importe de 2741,71 euros. Constando como domicilio del denunciante: Calle B.B.B.. Siendo la entidad informante: PRA IBERIA SLU 3º Se aporta comunicación remitida por Equifax a nombre del denunciante, manifestando que se ha informado una deuda, con fecha de alta 8/1/15 por un importe de 2741,71 euros. Constando como domicilio del denunciante: E.E.E.. Siendo la entidad informante: PRA IBERIA SLU 4º Consta en los ficheros de PRA IBERIA los datos de D. domicilio C B.B.B. H.H.H. figurando como 5º Consta que PRA en virtud de escritura autorizada por el Notario de Madrid Don I.I.I., el día 12 de enero de 2015 bajo el número *** de orden de protocolo, AKTIV KAPITAL PORTFOLIO AS, OSLO, SUCURSAL EN ZUG (en adelante AKTIV) cedió a PRA IBERIA, SLU. los portfolios de deudas adquiridos en España. Entre ellas se encontraba la asociada a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 6º Consta copia de un escrito de fecha 10/2/15 informando a D. A.A.A. de la adquisición del crédito que mantenía con (“AKTIV KAPITAL por parte de PRA IBERIA 7º Consta que para la realización de los envíos de las cartas de requerimiento previo de pago utiliza los servicios de una tercera empresa, EQUIFAX IBÉRICA SL. Se aporta copia de contrato de 22/12/2014 suscrito por PRA con EQUIFAX, para la prestación de servicios para la notificación de cesión de crédito. 8º Que para certificar el envío de la comunicación se aporta certificado emitido por la empresa EMFASIS BILLING & SERVICES S.L., como prestador del servicio de envío de requerimientos de pago de PRA (en virtud de Contrato Marco de 22/05/2014 celebrado entre EMFASIS y EQUIFAX) en el que se establece lo siguiente: 8.1 Que con fecha 12 de febrero de 2015, se realizó el proceso de generación e impresión de 00******7 requerimientos de pago, cuyas referencias son NT***********1, la primera y NT***********2, la última. 8.2 Que en dicho proceso se generó el requerimiento de referencia NT***********3 A.A.A., y domicilio, D.D.D.. Dicho requerimiento se generó, imprimió y ensobró sin que se generase incidencia alguna que alterarse el resultado final del procedimiento. 8.3 Con fecha 16 de febrero de 2015, se puso a disposición del Servicio Postal para su posterior distribución por parte de dicho Servicio, un total de 00******7 requerimientos de referencias NT***********1, la primera y NT***********2, la última. Dentro de las cuales, se encontraba el requerimiento de referencia NT***********3 A.A.A., y domicilio, D.D.D.”. 8.4 Se aporta, asimismo, albarán de entrega en CORREOS fechado a 16/02/2015, relativo al envío por cuenta de EQUIFAX de un total de 80.027 cartas (10.588+21.323+48.116). Se ha aportado original del albarán que aparece validada por Correos y sellada. 8.5 SE aporta certificado de 01/07/2015 emitido por EQUIFAX en el que se señala que “a fecha de la presente no nos consta que la carta de notificación de requerimiento previo de pago enviada en fecha 11/02/2015 (sic) con ref. NT***********3 y dirigida a A.A.A., con dirección en E.E.E., en la localidad de B.B.B., con Código Postal M.M.M., fuera devuelta por motivo alguno”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Sobre los hechos imputados a la entidad denunciada y su calificación jurídica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En el presente expediente se analiza si la inclusión de los datos del denunciante en los ficheros de morosidad, por parte de la entidad denunciada ha contravenido las garantías establecidas en el art. 4 de la LOPD, y en particular a lo referente que dicha inclusión debe ser previamente advertida al titular de los datos mediante el requerimiento previo de pago. El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 concurran los siguientes requisitos:
2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
3. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
5. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. III Sobre la culpabilidad de la entidad denunciada La cuestión que se suscita consiste en dilucidar si consta acreditada o no la realización del requerimiento en cuestión: en los términos exigidos por el citado artículo 39 RLOPD, habiendo reiterado la Sala ( SSAN, Sec 1ª, de 9 mayo 2003, Rec.1067/1999 ; 8 de marzo de 2006, Rec. 319/2004 ; 18 de julio de 2007, Rec. 17/2006; 28 de mayo de 2008, Rec. 107/2007; 17 de febrero 2011, Rec. 177/2010 ; 20 de septiembre de 2012, Rec. 127/2011 etc.) que cuando el destinatario niega la recepción del requerimiento, recae sobre el responsable del fichero o tratamiento, la carga de acreditar el cumplimiento de dicha obligación, siendo insuficiente los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación. En el presente caso, con respecto a este requisito, PRA IBERIA SAU expone que para realizar el envío de las cartas de requerimiento previo de pago, en relación a las deudas adquiridas mediante contrato de cesión con AKTIV KAPITAL, utilizó los servicios de una tercera empresa, en este caso EQUIFAX IBERICA. Se aporta copia de contrato de 22/12/2014 suscrito por PRA con EQUIFAX, para la prestación de servicios para la notificación de cesión de crédito. En relación a la deuda cedida de AKTIV se aporta certificado emitido por la empresa EMFASIS BILLING & SERVICES S.L., como prestador del servicio de envío de requerimientos de pago de PRA (en virtud de Contrato Marco de 22/05/2014 celebrado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 entre EMFASIS y EQUIFAX), acreditándose que el dia 12/2/15 2015, se realizó el proceso de generación e impresión de 00******7 requerimientos de pago, cuyas referencias son NT***********1, la primera y NT***********2, la última. Dentro de ese se generó el requerimiento de referencia NT***********3 A.A.A., y domicilio, D.D.D.. (Aportándose copia del mismo al presente expediente). Consta, en relación a dicha carta de requerimiento que con fecha 16/2/15 , se puso a disposición del Servicio Postal para su posterior distribución por parte de dicho Servicio, un total de 00******7 requerimientos de referencias NT***********1, la primera y NT***********2, la última. Dentro de las cuales, se encontraba el requerimiento de referencia NT***********3 remitido al denunciante. Se ha aportado, además original del albarán de entrega en CORREOS fechado a 16/02/2015, relativo al envío por cuenta de EQUIFAX de un total de 80.027 cartas (10.588+21.323+48.116); dicho albarán aparece sellado y validado por Correos. . Se ha aportado, así mismo, certificado de 01/07/2015 emitido por EQUIFAX en el que se señala que “a fecha de la presente no nos consta que la carta de notificación de requerimiento previo de pago enviada en fecha 11/02/2015 (sic) con ref. NT***********3 y dirigida a A.A.A., con dirección en E.E.E., en la localidad de B.B.B., Con Código Postal M.M.M., fuera devuelta por motivo alguno”. En consecuencia cabe deducir que dicho requerimiento se generó, imprimió, ensobró y se remitió al domicilio del Sr, A.A.A. que constaba en los ficheros de la entidad denunciada (que había adquirido la deuda de una tercera entidad) sin que se generase incidencia alguna. En este caso debe concluirse que se dan las circunstancias, contempladas ya por la Agencia en otros procedimientos sancionadores, para acreditar que se ha realizado el requerimiento previo de pago: 1. Se emitieron cartas o escritos de requerimiento con identificador o código propio que han requerido el pago de la deuda, con la advertencia de que -en caso de impago- serán incluidos sus datos personales en ficheros de morosos. 2. Si ha emitido certificación individualizada de que ha impreso la carta con el identificador o código aludido en el apartado 1. 3. Se ha certificado por la tercera empresa de que la carta se ha depositado en correos, tal como acredita la copia del albarán de entrega con el sello fechador de correos. 4. Si ha certificado la no devolución del envío postal, en relación a la deuda adquirida En consecuencia tras el análisis de los hechos debe concluirse que no se han acreditado elementos probatorios que permitan atribuir a PRA IBERIA SLU una vulneración de la normativa en materia de protección de datos. Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a PRA IBERIA SLU y a D. C.C.C. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es