← España

PS-00146-2015

1/17 Procedimiento Nº PS/00146/2015 RESOLUCIÓN: R/02310/2015 En el procedimiento sancionador PS/00146/2015, instruido por la Agencia Española de Protección de Datos a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, y a S.A. DE PROMOCION Y EDICIONES, vista la denuncia presentada por A.A.A. , y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14/03/2014, tuvo entrada denuncia de D. A.A.A. (en lo sucesivo denunciante), contra CLUB INTERNACIONAL DEL LIBRO, manifestando: Le fueron denegadas dos tarjetas bancarias, MOVISTAR le exige una fianza para suministrarle ADSL y le deniegan la concesión de la tarjeta PASS porque el NIF del denunciante se encuentra incluido en el fichero ASNEF aunque no coincide con su nombre y su domicilio. EQUIFAX IBÉRICA, S.A. comunica al denunciante, el día 30/12/2013, que ha procedido a la subsanación del error en el identificador ***NIF.1 a nombre de A.A.A. y que los datos fueron aportados por CLUB INTERNAC. LIBRO entidad con la que manifiesta el denunciante que no mantiene ni cree haber mantenido nunca relación alguna ni deuda. Nunca le han requerido la deuda ni le han notificado la inclusión de sus datos personales en el fichero ASNEF. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información, transcribiéndose el literal que obra en el informe de Actuaciones Previas E/03215/2014: 1 CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DE LA DENUNCIANTE EN EL FICHERO ASNEF, su responsable indica el 5/06/2014 que: “El NIF del denunciante ***NIF.1, con fecha de 4/06/2014, no se encuentra incluido en el fichero denominado “ASNEF” (Datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias), cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L., según consta en el documento nº 1. Sin embargo, han sido dadas de baja dos incidencias a nombre de B.B.B. (tercero), con el NIF del denunciante, en las siguientes fechas:  Alta el 2/08/ 2010 y baja el 8/01/2011, de la entidad informante S.A. DE PROMOCION.  Alta el 28/02/2011 y baja el 27/12/2013, de la entidad informante CLUB INTERNAC. LIBRO. Dicha circunstancias figuran en el documento nº 3. Que han sido notificadas dos incidencias a nombre del tercero, con NIF del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 denunciante, con fecha de emisión el 7/08/2010 y 5/03/2011, por importe de 181,08€ y 603,60€, del producto FINANC. CONSUMO, de la entidad informante CLUB INTERNACIONAL D al domicilio (C/.......1), no constando devolución al origen, según se detalla en el documento nº 2. 2 CON RESPECTO S.A. DE PROMOCION Y EDICIONES y CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO, S.L, en el mismo escrito, indican con fecha de 26/02/2015, en relación con la supuesta deuda asociada al NIF del denunciante lo siguiente:  S.A. DE PROMOCIÓN Y EDICIONES se dedica comercialmente a la venta a distancia, en el desarrollo de tal actividad, el día 5/04/2010, fue recibida por el servicio de Televendedores una llamada de quien se identificó como B.B.B., con NIF.:0***NIF.1, con domicilio en la calle (C/.......1) a través de la cual se solicitaba el artículo denominado “anillo promise”, por un precio total de 905,40€, a abonar en 15 plazos mensuales de 60,36€, se adjunta impresión de pantalla donde constan dichas circunstancias.  Para el pago de la compra se facilitó la cuenta abierta en la entidad C.A. de Valencia, Castellón y Alicante ****** XXXXXX, con domicilio en (C/.......2),  La mercancía le fue remitida a través de la agencia de transporte MRW Península L-G, el día 13/04/2010, en el domicilio facilitado por el cliente y devolvió firmada la domiciliación bancaria a efectos de autorizar la emisión de recibos contra la cuenta corriente, para el pago de los plazos estipulados, se adjunta copia del citado documento firmado por el tercero en el que no consta el NIF ni se adjunta copia del mismo.  El 2/12/2010, se procedió a elevación a público del acuerdo por el que se autorizó la escisión de la mercantil S.A. DE PROMOCIÓN Y EDICIONES mediante la atribución a la mercantil CLUB INTERNACIONAL DEL LIBRO, MARKETING DIRECTO, S.L. del bloque patrimonial integrado por la totalidad de la unidad económica independiente que representa la rama de actividad del negocio de venta a distancia. Con motivo de dicha escisión, la titularidad de la venta realizada a través del sistema venta a distancia, el día 5/04/2010, por S.A. DE PROMOCIÓN Y EDICIONES pasó a ser de titularidad de CLUB INTERNACIONAL DEL LIBRO, MARKETING DIRECTO, S.L.  Los recibos fueron devueltos por falta de pago siendo la causa de inclusión en el fichero ASNEF, existiendo actualmente un saldo pendiente de pago de 905,40€. La inclusión se produce en un primer momento el 30/07/ 2010 por S.A. DE PROMOCIÓN Y EDICIONES y de baja el 8/01/2011. Posteriormente el 25/02/2011 se produce la inclusión por parte de CLUB INTERNACIONAL DEL LIBRO, MARKETING DIRECTO, S.L. que es dada de baja el 27/12/2013 por incongruencia.  No tienen constancia de que se hubiera presentado reclamación ni por parte del denunciante ni por parte del tercero. TERCERO: Con fecha 12/03/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a

  1. a)CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO, S.L., por infracciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 del artículo 6.1 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
  2. b)y 44.3.
  3. c)de dicha norma.
  4. b)S.A. DE PROMOCION Y EDICIONES, por infracción del artículo 6.1 de la LOPD, tipificada como grave en los artículos 44.3.
  5. b)de dicha norma. CUARTO: SA de PROMOCION Y EDICIONES manifestado en escrito de 2/03/2015, añadiendo: con fecha 7/04/2015 reitera lo Caducidad de actuaciones previas por haber sobrepasado doce meses de actuaciones previas a la fecha de notificación del acuerdo de inicio, Indica que la denuncia tuvo entrada el 11/03/2014 y se notificó el 13/03/2015. Se imprimen las condiciones que figuran en la citada página que se incorporan al expediente. 1) Falta de motivación en la imputación del artículo 6.1 al limitarse a trascribir el informe de actuaciones previas, sin que se valoren los documentos aportados, causándole indefensión. 1) La posible infracción del artículo 6.1 de la LOPD estaría prescrita, pues los datos del NIF del denunciante se dieron de baja el 8/01/2011, y sería esa la fecha a partir de la que se contarían los dos años de la prescripción de las graves hasta la fecha de notificación del acuerdo de inicio. 2) Existe una presunción de verosimilitud de los datos facilitados por el afectado, presunción que se hace extensiva a la sociedad beneficiaria de la escisión. Entiende que se habilitó el tratamiento de datos por la petición del producto y la remisión de la domiciliación bancaria firmada, existiendo relación contractual. 3) El denunciante no se puso en contacto para efectuar algún tipo de reclamación. Respecto a ello se debe precisar que no habiéndose acreditado que el DNI que el cliente B.B.B. fuera el número del denunciante, al no existir elemento alguno de contraste, el denunciante no queda apercibido del tratamiento de sus datos pues el domicilio no es el suyo, enterándose cuando solicita alguna operación financiera. QUINTO: Mediante escrito de fecha 8/04/2015, CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO, S.L. (en lo sucesivo CIL) reitera lo manifestado en escrito de 2/03/2015, añadiendo: 1) Caducidad del procedimiento, con los mismos argumentos que SA de PROMOCION. 2) Manifiesta que el requerimiento de pago por 905,40 euros se ha producido a B.B.B., a la dirección proporcionada, aportando certificados de le empresa encargada. 3) Falta de motivación en la imputación del artículo 6.1 y 4.3 de la LOPD, limitándose a transcribir las actuaciones de investigación, causándole C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 indefensión. 4) En actuaciones previas remitió copia de la domiciliación bancaria recibida en la que figuran los datos del cliente. En dicho documento se puede observar que el aparente adquirente, de su propio puño y letra, autoriza la emisión de recibos contra su cuenta corriente, aportando el número de cuenta bancaria en el que hacer los cargos por la compra a plazos del producto la dirección postal de la sucursal bancaria en cuestión, y su nombre completo y su DNI. Este documento demostraría, al menos indiciariamente, que sí contaban con el consentimiento de aparente adquirente para el tratamiento de sus datos y para la adquisición del producto. Se deduce que existe relación negocial. En tal sentido, significar que dicho impreso viene precumplimentado, mecanizado, con el número de referencia de SA y número de cuenta y DNI del denunciante que probablemente se proporcionó antes, figurando solo rellenado por el cliente una firma y la dirección. 5) Se produce un concurso de normas, porque el hecho es único (la comunicación al fichero ASNEF de los datos del denunciante asociados a una deuda que supuestamente no le corresponde). El Acuerdo parte de la base de que ese mismo hecho infringe dos artículos de la LOPD (el art. 6.1 y el art. 4.3), incurriendo en vulneración del principio non bis in ídem, que impide sancionar dos veces por los mismos hechos. 6) La antijuridicidad de los hechos imputados en el presente caso, presentan una cualificada atenuación al haberse producido como consecuencia de un engaño imposible de haber sido detectado no pudiendo considerarse que la diligencia debida pueda exceder de la buena fe que debe residir cualquier operación de comercio. En relación a la alegación de la suplantación de identidad o estafa, se debe indicar que precisamente por ser como es una entidad acostumbrada al manejo de datos, ha de instrumentar los medios para verificar que con la persona con la que contrata es realmente quien dice ser. SA dio de alta los datos de un cliente sin disponer de ninguna documentación ni grabación ni ninguna clase de soporte para justificar dicho alta con esos datos y esa actuación es claramente contraria a las mínimas exigencias de una diligencia básica en relación a una empresa dedicada a la telecontratación y venta a distancia. Puede ser cierto que SA haya sido víctima de una suplantación de personalidad pero eso debería haber sido superado con el empleo de una mayor diligencia para evitar dicha conducta que, por lo que le consta en el expediente, no se adoptó ninguna. 7) Por la regularización de la situación irregular de manera pronta y diligente, incluso antes de que de que la denunciante presentara denuncia ante la AEPD. Por ello, solicita que se aplique el artículo 45.5 de la LOPD. SEXTO: Con fecha 4/05/2015 se inicia el periodo de práctica de pruebas, recopilando la de actuaciones previas y las de las alegaciones, añadiéndose:
  6. a)A la Dirección General de la Policía, se le solicita que precise si el NIF ***NIF.1 es titularidad de A.A.A., y que indique que documento identificativo corresponde a B.B.B. . Se envía copia del DNI aportado por el denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 Con fecha 17/06/2015 contestó que el NIF ***NIF.1, pertenece a A.A.A., y que B.B.B. no consta que sea titular de DNI. “No obstante, consultada la base de datos de extranjería figura ***NOMBRE-BBB , titular del NIE ***NIE.1 SÉPTIMO: Con fecha 16/07/2015 se formuló propuesta de resolución, con el literal: “PRIMERO: Que por el Director de la Agencia Española de Protección de Datos se ARCHIVE la infracción del artículo 6.1 de la LOPD imputada a S.A. DE PROMOCION Y EDICIONES tipificada como grave en el artículo 44.3.
  7. b)de dicha LOPD. SEGUNDO: Que por el Director de la Agencia Española de Protección de Datos se sancione a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, con 20.000 € por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  8. b)de dicha LOPD, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. TERCERO: Que por el Director de la Agencia Española de Protección de Datos se sancione a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, con 20.000 € por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  9. c)de dicha LOPD, de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD.” OCTAVO: Con fecha de entrada 12/08/2015, CIL reitera lo ya manifestado en cuanto a: 1) Falta de motivación del acuerdo de inicio y vulneración del principio non bis in ídem. 2) Caducidad de actuaciones previas. La denuncia la presenta el denunciante en Correos figurando en el sobre de esta entidad, el sello de entrada en Correos de 12/03/2014 y contando a la fecha de recepción del acuerdo de inicio 13/03/2014 ha transcurrido el año de duración máxima de las actuaciones previas. 3) Añade que aunque el documento de domiciliación bancaria estuviera precumplimentado con datos entre ellos el NIF, el cliente cumplimentó el domicilio y firmó el impreso, lo que acreditaría que se cuenta con su consentimiento y se vinculó con una relación contractual. 4) La antijuridicidad de los hechos imputados presentan una atenuación al haberse producido por un engaño imposible de haber sido detectado. HECHOS PROBADOS 1. SA de PROMOCION Y EDICIONES tiene los datos de B.B.B. desde 5/04/2010 en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 que sus servicios de televenta los recogió telefónicamente para la contratación del producto “Anillo promise” por un precio total de 905,40 euros, a abonar en 15 plazos mensuales de 60,36 euros.

(75)Las denunciadas no aportan copia del contrato ni grabación alguna que acredite que B.B.B. tuviera como número de NIF el ***NIF.1, manifestando que se proporcionó telefónicamente. El citado NIF figura en sus sistemas asociado al cliente B.B.B. . 2. Las denunciadas manifiestan que el producto se entregó a B.B.B. el 13/04/2010 (75,78) sin aportar copia de recibí. SA de PROMOCION Y EDICIONES aporta copia de un impreso precumplimentado con referencia interna, que contiene un número de cuenta, el plazo de abono que se girará, el nombre B.B.B., el NIF, ***NIF.1,(coincide con el del denunciante ) figurando a mano la dirección y la firma del cliente. Dicho impreso según las denunciadas se envía y recibe tras haberse recibido el producto.
(76)3. Según las anotaciones de la ficha cliente, desde el primer pago que se emite: 28/04/2010 ninguno se abonó
(76)adeudando 905,40 euros.
  1. El 2/12/2010 SA de PROMOCION Y EDICIONES se escinde atribuyendo el bloque de la actividad de venta a distancia y fuera de establecimiento mercantil a CLUB INTERNACIONAL DEL LIBRO. (76, 86, 115) subrogándose en la posición de SA DE PROMOCION Y EDICIONES.
  2. El NIF del denunciante estuvo incluido en el fichero ASNEF, si bien con el nombre de B.B.B., y dirección (C/.......1) 5, en las siguientes fechas:  Alta el 2/08/2010 y baja el 8/01/2011, de la entidad informante S.A. DE PROMOCION. por importe de 181,08€  Alta el 28/02/2011 y baja el 27/12/2013, de la entidad informante CLUB INTERNAC. LIBRO. por importe de 603,60€. (1, 2, 34, 35,40, 41, 44). La baja fue por ejercicio del derecho de cancelación del denunciante (52, 57, 58), figurando por el responsable del fichero la comunicación del envío a CIL el 27/12/2013 como “error duplicidad DNI” según hoja interna aportada por EQUIFAX
(58), sin que figure ninguna observación de la entidad. 6. De acuerdo con el informe de la DG de la Policía de 17/06/2015, el NIF ***NIF.1 es titularidad del denunciante, mientras que la persona llamada ***NOMBRE-BBB , es titular del NIE ***NIE.1. 7. Las dos denunciadas recibieron la notificación del acuerdo de inicio del PS/00146/2015 el 13/03/2015, según figura en el sello se entrega de MRW y ellas mismas reconocen (97, 98, 102, 113). El denunciante aunque se descarga un impreso de denuncia de la sede electrónica de la Agencia Española de Protección de Datos el 11/03/2014, que correspondería al modelo de presentación por firma electrónica, lo presenta con firma manual a través de Correos, con fecha registro en la Agencia de 14/03/2015 (1 a 4, sobre folio 7 b). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 II En cuanto a la caducidad de las actuaciones previas, se aprecia que en la denuncia, modelo precumplimentado consta “FIRMADO por sede electrónica AGPD a fecha 11/03/2014”, y si bien el ejemplar extraído e imprimido de dicha sede, aparece firmado a mano en dicha fecha, constando el franqueo de presentación en la Oficina de Correos de Rivas Vaciamadrid el 12/03/2014, y el sello de entrada de la Agencia de 14/03/2014. En la sede electrónica de la AEPD se ofrecen modelos precumplimentados y la posibilidad de enviar con firma electrónica o en soporte papel. En este caso se presentó en soporte papel si bien el formulario se obtuvo el 11/03/2014. La fecha de efectos de la presentación, al no ser firma electrónica no es la de 11, sino la de su efectiva entrada en el Organismo, 14 por lo que las alegaciones de que se cuenta desde la fecha del sello de Correos no pueden ser estimadas. Respecto la indefensión al trascribir el informe de actuaciones, se debe indicar que no se muestra la misma pues se han efectuado alegaciones conociendo las circunstancias de los hechos y la imputación explicando las circunstancias de los hechos claramente el denunciante, por lo que esta alegación no puede prosperar. III Se imputa una infracción del artículo 6 de la LOPD a SA de PROMOCION Y EDICIONES por incorporar el 5/04/2010 a través de una contratación telefónica, el dato del DNI del denunciante sin su consentimiento. Este dato se incorporó a sus sistemas y permanecía en los mismos, y fue posteriormente informado al fichero de solvencia ASNEF. El citado artículo indica: “1.El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la Ley Orgánica 15/1999 consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos, que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y, entre esas excepciones contempla a quienes son parte de una relación negocial, siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. El denunciante niega haber contratado algún servicio con CIL. A este respecto, la Sentencia de la Audiencia Nacional de 11/05/2001, dispone que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” En el momento en que se da de alta el dato del denunciante, en la contratación electrónica o a distancia, es aplicable el R.D. 1906/1999 regula la contratación telefónica o electrónica con condiciones generales en desarrollo del artículo 5.3 de la Ley 7/1998, de 13/04, de condiciones generales de la contratación, precepto que establece: “en los casos de contratación telefónica o electrónica será necesario que conste en los términos que reglamentariamente se establezcan la aceptación de todas y cada una de las cláusulas del contrato, sin necesidad de firma convencional. En este supuesto, se enviará inmediatamente al consumidor justificación escrita de la contratación efectuada, donde constarán todos los términos de la misma” (el subrayado es de la AEPD). El R.D. 1906/1999 reitera la obligación de confirmar documentalmente la contratación efectuada por vía telefónica, electrónica o telemática y dispone en su artículo 5.1 y 2 lo siguiente: “1. La carga de la prueba sobre la existencia y contenido de la información previa de las cláusulas del contrato; de la entrega de las condiciones generales; de la justificación documental de la contratación una vez efectuada; de la renuncia expresa al derecho de resolución; así como de la correspondencia entre la información, entrega y justificación documental y el momento de sus respectivos envíos, corresponde al predisponente. 2. A estos efectos, y sin perjuicio de cualquier otro medio de prueba admitido en derecho, cualquier documento que contenga la citada información aun cuando no se haya extendido en soporte papel, como las cintas de grabaciones sonoras, los disquetes y, en particular, los documentos electrónicos y telemáticos, siempre que quede C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 garantizada su autenticidad, la identificación fiable de los manifestantes, su integridad, la no alteración del contenido de lo manifestado, así como el momento de su emisión y recepción, será aceptada en su caso, como medio de prueba en los términos resultantes de la legislación aplicable.” La Sentencia de la Audiencia Nacional, de 31/05/2006, Recurso 539/2004, en su Fundamento de Derecho Cuarto, señala: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”, y continúa, ”Resulta, por tanto, que tal empresa demandante no sólo no ha aportado ningún elemento probatorio que acredite la celebración telefónica del contrato, sino que tampoco ha acreditado el cumplimiento de las garantías y cautelas que determinan las normas descritas” La sentencia de la Audiencia Nacional de 27/01/2011 recurso 694/2009, refiere que la contratación telefónica no exime a la operadora de adoptar las cautelas necesarias para asegurarse de la identificación fiable, obligación prevista por el artículo 5.2 del citado Real Decreto 1906/1999, y que cobra especial relevancia en supuestos como el presente en que no consta contrato suscrito por escrito: “Sin embargo en el caso de autos la entidad recurrente no adoptó ninguna medida o cautela para asegurarse de que la persona que estaba solicitando la migración de la línea telefónica a contrato era quien decía ser, no habiendo recabado materialmente la aportación del DNI ni documentación alguna para verificar la identidad del contratante, contándose únicamente con la información por el facilitada verbalmente por teléfono.” Independientemente de la verosimilitud de los datos proporcionados que alega la denunciada, ccorresponde a la entidad denunciada, SA de PROMOCION Y EDICIONES la carga de probar que recabó y obtuvo el consentimiento del titular del dato del DNI, y cabe inferir que en este supuesto dicha obtención no queda acreditada. El asunto es que se incorporó el NIF del denunciante a un cliente distinto, titular del servicio, que no abonó ninguna cuota, debiendo la denunciada haber arbitrado un sistema de aseguramiento de la recogida de datos, diligencia que no fue llevada a efecto. Se entiende que el dato del DNI del denunciante fue tratado sin consentimiento por SA. Esta falta de consentimiento en el tratamiento del dato incorporado se trasmite a CIL por la operación mercantil de escisión el 2/02/2010 entre las dos denunciadas, pertenecientes al mismo grupo de empresas. Así, por un lado la infracción ha continuado mientras se ha dispuesto del DNI en los sistemas. Consta que SA, al menos lo dio de baja del fichero ASNEF en 8/01/2011, pero a continuación, la misma deuda y datos, con el DNI del denunciante se toman por CIL que lo tiene en sus sistemas y lo utiliza además para informar al fichero de solvencia. De ello cabe concluir:
  2. a)El negocio jurídico que dio lugar de hecho a la cesión de datos no es sino producto de una reorganización interna para atribuir a otra entidad del grupo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 la rama de actividad que no puede servir de pantalla para la eliminación o dispersión de la responsabilidad en la obtención del consentimiento del tratamiento de datos efectuado por las dos entidades imputadas. El consentimiento unitario otorgado en su caso en su momento ha de poder ser acreditado en cualquier momento del tratamiento de datos.
  3. b)La infracción del artículo 6.1 de la LOPD por SA de PROMOCION Y EDICIONES no es imputable a esta, pues CIL se subroga en su posición el 2/02/2010, y desde la fecha de baja del fichero ASNEF por SA no se puede perseguir la infracción al haber transcurrido más de dos años a la fecha de notificación del acuerdo de inicio, por lo que se ha de archivar esta infracción para SA.
  4. c)Se mantiene la infracción del artículo 6.1 a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, siéndole de aplicación los argumentos contenidos en este ordinal. Así, CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, empresa del mismo grupo que SA, disponía del dato DNI del denunciante sin su consentimiento, dato del DNI que le hace identificable, acreditándose la infracción el artículo 6.1 de la LOPD por CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL. IV La infracción del artículo 6.1 aparece tipificada como grave en el artículo 44.3.
  5. b)de la LOPD y en ella ha incurrido CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL. El precepto indica como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V Se imputa a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL la comisión de una infracción del artículo 4.3 de la LOPD por incorporar al fichero de solvencia ASNEF el dato DNI del denunciante, que no era el titular del servicio contratado, de 28/02/2011 a 27/12/2013. El precepto indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38 del Reglamento de desarrollo de la LOPD, (RLOPD) “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  6. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Siendo requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, en este supuesto eso no se puede acreditar dado que la deuda no se correspondía con el denunciante que no se acredita fuera el cliente suscriptor de la compra que dio lugar a los impagos. Aunque solo se usó el número del DNI del denunciante, asociado a otro nombre, el del cliente, resulta que el denunciante ha resultado identificado en el fichero ASNEF a través de dicho tratamiento. Expresamente, la sentencia de la Audiencia Nacional, trató la cuestión en el recurso 65/2012 al afirmar que <<Por consiguiente, el tratamiento por la parte actora del DNI de la denunciante, mediante su incorporación a sus ficheros, asociados a facturas por servicios no contratados por ella, que posteriormente fueron comunicados para su inclusión en los ficheros de solvencia patrimonial y crédito Asnef y Badexcug, constituye la infracción expresada, cuya comisión por la entidad demandante resulta plenamente acreditada>>. La Audiencia Nacional se ha pronunciado en varias ocasiones en relación a supuestos como el presente en que se ha asociado un DNI a una deuda que no correspondía al titular del DNI que accedió al fichero de morosidad. Así resulta de la sentencia correspondiente al recurso 194/210 y procederá reproducir los argumentos allí utilizados: “Es decir, se ha producido una vulneración del principio de calidad de datos por parte de la recurrente al haber tratado datos que no respondían a la realidad e instado el alta en el fichero Asnef por una deuda que en modo alguno era atribuible a la denunciante ajena a dicha contratación telefónica, por lo que no existía ninguna razón para que su DNI estuviera en el citado fichero de solvencia patrimonial Asnef.” VI C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 El artículo 44.3.
  7. c)establece como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. CIL ha incurrido en la infracción del artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en relación también con su desarrollo reglamentario. VII Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial y crédito como BADEXCUG y ASNEF suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de denunciante son datos que figuran en los ficheros propios automatizados de la denunciada. Adicionalmente, son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (artículo 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. En este sentido se pronuncia la Audiencia Nacional en su Sentencia de 18/01/2006, Recurso 0236/2004, “Y que duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Conforme al citado artículo. 3.
  8. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decide sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3, en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Es preciso, por tanto, determinar que en el presente caso, CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL trató automatizadamente el dato relativo al DNI del denunciante en sus propios ficheros y lo comunicó al fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 ASNEF decidiendo sobre la finalidad en este, su contenido y uso del tratamiento. Así, a la decisión sobre incluir los datos se une la de mantenerlos y dar de baja. De lo anterior se deduce que las comunicaciones de los importes al fichero citado, implica que CIL facilitó una información que no respondía a la situación exacta, veraz y actual del denunciante, lo que supone una clara vulneración del principio de calidad de datos, de la que debe responder, por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en ficheros de solvencia patrimonial y crédito. VIII En cuanto a la alegación de infracción del artículo 4.4 del RD 1398/1993, por el que se aprueba el Reglamento para el ejercicio de la potestad sancionadora, que precisa: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, se debe significar: -Se exige para su aplicación, la existencia de una relación tal entre las infracciones concernidas que una de ellas derive necesariamente de la otra, de modo que no sea posible la comisión de una sin ejecutar la otra. Circunstancia que no concurre en el caso examinado. Ninguna de ambas contravenciones administrativas sancionadas es un medio para la perpetración de la otra. Por el contrario, ambas infracciones pueden realizarse con independencia absoluta, pues presentan sustantividad propia y son autónomas entre sí, dado que protegen principios en materia de protección de datos diferentes, en un caso el consentimiento inequívoco que exige todo tratamiento de datos personales ( artículo 6.1 LOPD ), y, en otro, la calidad de dichos datos personales ( artículo 4.3 LOPD ), a fin de salvaguardar el poder de disposición del titular de los mismos, que integra el derecho fundamental a la protección de los datos. IX El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita, después de la STC 76/1990, que señaló que los principios del ámbito del derecho penal son aplicables, con ciertos matices, en el ámbito administrativo sancionador, requiriéndose la existencia de dolo o culpa. En esta línea la STC 246/1991, de 19 de diciembre, señaló que la culpabilidad constituye un principio estructural básico del Derecho administrativo sancionador. Por eso, como señala la reciente STS de 18 marzo 2005, recurso 7707/2000, es evidente, "que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o a culpa". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 Las infracciones apreciadas se pueden cometer tanto a título de dolo como de culpa, es decir de forma intencional o negligente, imputándose en este casó a título de culpa a CIL. La forma de contratación (por teléfono) no puede servir a CIL para eximir su responsabilidad de las infracciones apreciadas, por cuanto dicha entidad que conoce los riesgos que conlleva dicha forma de contratación (junto con grandes ventajas) debe de adoptar las cautelas adecuadas para conocer la autenticidad de las personas con las que contrata, lo que no ha hecho y ha dado lugar a la comisión de las infracciones imputadas. Por lo que se refiere a la antijuridicidad de la conducta, por lo que se refiere a la aplicación del principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001 y otras posteriores) que la comisión de la infracción prevista en el artículo 44.3.
  9. c)puede ser tanto dolosa como culposa. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos, que debe incorporarlos adoptando las cautelas razonables, y mantener éstos al día, de conformidad con el principio de calidad de los datos recogidos en el art. 4 de la Ley. Pues bien, en el caso de autos dicha diligencia faltó desde el momento en que no comprobó la identidad de quien era supuestamente su cliente y remitió el DNI al fichero de morosidad sin haber efectuado previamente las correspondientes comprobaciones. Dada la similitud de los números del NIF del denunciante y del contratante-cliente que tenía un NIE, caracterizado por portar una letra delante del inicio, cabe inferir falta de diligencia en la obtención de datos de una entidad profesional en estos asuntos al no verificar datos de identificación de este tipo por algún medio conducente a la identificación del cliente. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a CIL, y, obviamente, no precisa de la concurrencia de dolo. Por ello, no resulta sostenible la afirmación de la denunciada de que fue producto de una estafa que no pudo ser evitada. X El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» CIL solicita que se aplique el artículo 45.5 de la LOPD, pues regularizó la situación irregular de manera pronta y diligente, antes de que el denunciante presentara denuncia ante la AEPD. Efectivamente, se aprecia que ejercitado el derecho de cancelación, se produce la baja por discordancia en el DNI, y la denunciada no volvió a instar alta alguna con posterioridad, subsanando la situación antes de presentar la denuncia, por lo que resulta de aplicación el 45.5
  25. b)de la LOPD. Debe significarse que no cabe la aplicación del artículo 45.5.
  26. e)pues en este caso se trata de empresas del mismo grupo en que se atribuye el bloque de actividad de la venta a distancia a otra. No se trata en consecuencia de un supuesto de fusión por absorción y en tal sentido no aportan ningún documento. La fusión por absorción se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 caracteriza por la extinción de la empresa que es absorbida, algo que no sucede en este caso en que SA sigue ejerciendo actividades de otro tipo. Una interpretación extensiva de tal supuesto no solo colisionaría con la literalidad de la ley sino que subsumiría en el supuesto cualquier operación de reestructuración empresarial pudiendo alcanzar un sentido no querido por el legislador. En el presente caso, a efectos del artículo 45. 4 de la LOPD, se debe tener en cuenta que CIL trata habitualmente datos de carácter personal como parte de su labor de venta a distancia, y que el dato tratado fue solo el DNI que quedó subsanado en cuanto el denunciante ejercitó su derecho de cancelación, imponiéndose dos sanciones de 20.000 € cada una. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de la infracción del artículo 6.1 de la LOPD imputada a S.A. DE PROMOCION Y EDICIONES tipificada como grave en el artículo 44.3.
  27. b)de dicha LOPD. SEGUNDO: IMPONER a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  28. b)de dicha LOPD, una sanción de 20.000 € de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. TERCERO: IMPONER a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, por la infracción del artículo 4.3, tipificada como grave en el artículo 44.3.
  29. c)de dicha LOPD, una sanción de 20.000 € de conformidad con el artículo 45.1, 2, 4 y 5 de dicha LOPD. CUARTO: NOTIFICAR la presente resolución a CLUB INTERNACIONAL DEL LIBRO MARKETING DIRECTO SL, S.A. DE PROMOCION Y EDICIONES, y a A.A.A.. QUINTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.