PS-00151-2015

1/23 Procedimiento Nº PS/00151/2015 RESOLUCIÓN: R/02344/2015 En el procedimiento sancionador PS/00151/2015, instruido por la Agencia Española de Protección de Datos a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., vista la denuncia presentada por D. F.F.F., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 01/04/2014, tuvo entrada en la Agencia Española de Protección de Datos escrito remitido por D. F.F.F. (en lo sucesivo el denunciante) en el cual manifiesta que la entidad “TELEVISIÓN DIGITAL CANAL +”, con fecha 20/11/2012, incluyó sus datos en el fichero de solvencia patrimonial ASNEF en base a una deuda derivada de un servicio que nunca contrató, por importe de 538,15 euros. Añade que tuvo conocimiento de este hecho en junio de 2013, a través de una entidad bancaria de la que es cliente. Tras conocer los hechos, el denunciante presentó reclamación ante el Instituto de Consumo de Extremadura. La entidad “TELEVISIÓ DIGITAL CANAL +”, en respuesta a la misma, informó de la existencia de un contrato de suministro y recepción de servicios de televisión digital suscrito con fecha 20/12/2010, a través del distribuidor/instalador TELESAT DIGITAL, en el que el reclamante figura como titular. El denunciante declara no reconocer la firma del citado contrato, ni la dirección del contratante ni la titularidad de la cuenta de abono indicada. Asimismo, y por los hechos descritos, con fecha 11/12/2013, presentó denuncia ante la Dirección General de la Policía de Cáceres. Junto con la denuncia aporta la siguiente documentación: 1. Copia de la reclamación presentada, con fecha 16/12/2013, ante la Consejería de Salud y Política Social, Dirección General de Planificación, Calidad y Consumo, del Gobierno de Extremadura, Instituto de Consumo de Extremadura. En este escrito, el denunciante manifiesta que nunca ha tenido su residencia en la vivienda señalada en el contrato citado, que nunca ha recibido facturas en su domicilio, ni reclamación de deuda, y que no fue informado sobre la inclusión de sus datos en el fichero de morosidad mencionado. 2. Copia del escrito de respuesta, de fecha 14/03/2014, dirigido por la entidad DTS DISTRIBUIDORA DE TELEVISIÓN DIGITAL, S.A. (en lo sucesivo DTS) al Instituto de Consumo de Extremadura, en el cual manifiesta que la deuda objeto de la reclamación era cierta, vencida y exigible, originada en el marco de la prestación de servicios de televisión por parte de CANAL+. El crédito reclamado (538,15E) procede de las mensualidades de julio y agosto de 2011, del reembolso de las ventajas o beneficios promocionales disfrutadas por baja anticipada y de la penalización por la retención indebida de equipos propiedad de esta entidad. Al no poderla cobrar, después de infructuosos intentos, fue finalmente cedida con fecha 20/12/2013 a la mercantil luxemburguesa TTI FINANCE S.A.R.L. Según encargo del cesionario, la entidad TDX INDIGO IBERIA S.L.U es la encargada de la gestión del cobro”. 3. Copia del “Contrato de suministro y recepción de servicios de televisión digital”, de fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 20/12/2010, en el que constan los datos del denunciante como cliente, con un domicilio distinto al señalado en la denuncia. En los apartados reservados para la firma del cliente y para que éste autorice la domiciliación bancaria, consta “ M.M.M.”. 4. Copia de la denuncia formulada por el denunciante ante el Cuerpo Nacional de Policía, de 11/12/2013, por los mismos hechos descritos. 5. Copia del documento del Padrón Municipal de Habitantes del Ayuntamiento de Cáceres, informando con fecha 14/02/2012 de la inscripción del denunciante en el domicilio que consta en la denuncia, con alta en el padrón 26/02/2010. 6. Copia de los documentos de inclusión en el fichero ASNEF, en los cuales EQUIFAX informa con fecha 22/11/2013 que figuran incluidos los datos del denunciante (con domicilio C/ B.B.B. de Cáceres, distinto al señalado en la denuncia y al que consta registrado en el Padrón Municipal), informados por la entidad DTS, con fecha de alta 20/11/2012 y por un saldo impagado de 538,15 €. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizaron las siguientes actuaciones: 1. En respuesta al requerimiento de los Servicios de Inspección, con fecha 10/09/2014 la entidad EQUIFAX IBÉRICA S.L informó lo siguiente:  Respecto al fichero ASNEF. A fecha 10/09/2014, no consta información en el mismo asociada al identificador del denunciante.  Respecto al fichero de NOTIFICACIONES. Constan las siguientes notificaciones emitidas a nombre del denunciante: o Siendo la entidad informante DTS, con fecha de emisión 22/11/2012 se notifica a la dirección B.B.B. el saldo impagado de 538,15 € por un producto de “telecomunicaciones”, con fecha de alta 20/11/2012 y fecha de devolución 05/01/2013. En los sistemas de EQUIFAX consta que con fecha 08/01/2013 se confirmó la dirección como “dirección contractual”. o Con fecha de emisión 27/12/2013 y siendo la entidad informante TTI FINANCE S.A.R.L. (en lo sucesivo TTI), se notifica por un producto de “telecomunicaciones”, por un importe de 538,15 €, dirección B.B.B., con fecha de alta 20/11/2012 y fecha de devolución 13/02/2014. En los sistemas de EQUIFAX consta que con fecha 20/02/2014 se confirmó la dirección como “dirección contractual”.  En relación a las bajas asociadas a las citadas notificaciones, constan dos operaciones: o Operación con fecha de alta y baja en ASNEF 20/11/2012 – 10/09/2014. El motivo consta como “Directa”, el importe es de 538,15 € y por vencimientos impagados primero y último de fechas 01/08/2011 – 01/08/2011. En el momento de la baja consta como entidad acreedora TTI.  EQUIFAX manifiesta que en relación al ejercicio del derecho de acceso, en su Servicio de Atención al Cliente constan los siguientes expedientes asociados al denunciante: o o C/ Jorge Juan, 6 28001 – Madrid Exp. 2013/****1. Con fecha 18/02/2013 se registra la petición de acceso al fichero de “Incidencias Judiciales y Reclamaciones de Organismos Públicos”. Se le dio respuesta mediante el envío de un escrito de fecha 28/02/2013, en el cual se le informaba que en ese momento sus datos no constaban consultados por ninguna entidad. Se aporta copia del expediente. Exp. 2013/****1. Con fecha 18/02/2013 se registra la petición de acceso al fichero www.agpd.es sedeagpd.gob.es 3/23 o o o o ASNEF. Se le dio respuesta mediante el envío de un escrito de fecha 28/02/2013, en el cual se le informaba que en ese momento sus datos (con dirección: B.B.B.) aparecen informados por la entidad DTS, con fecha de alta 20/11/2012, por un importe de 538,15 €. Se aporta copia del expediente. Exp. 2013/****2. Con fecha 12/06/2013 se registra la petición de rectificación de los datos que figuran en el fichero de “Incidencias Judiciales y Reclamaciones de Organismos Públicos”: Se le dio respuesta mediante el envío de un escrito de fecha 13/06/2013, mediante el cual se le informa que sus datos no constan inscritos en dicho fichero. Se aporta copia del escrito. Exp. 2013/****2. Con fecha 12/06/2013 se registra la petición de rectificación de los datos que figuran en el fichero ASNEF. Se le dio respuesta mediante escrito enviado con fecha 13/06/2013 en el que se le informaba que no constaba registrada ninguna incidencia, remitiéndole la situación del fichero ASNEF en esa fecha. Se aporta copia del expediente: registro de los datos del denunciante asociados a una deuda informada por DTS con alta el 20/11/2012 e importe 538,15 euros. Exp. 2013/****3. Con fecha 15/11/2013 se registra la petición de acceso a sus datos en el fichero “Incidencias Judiciales y Reclamaciones de Organismos Públicos”. Se le dio respuesta mediante el envío de un escrito de fecha 22/11/2013 (dirección: C.C.C.) en el cual se le comunica que no existen datos inscritos asociados a su nombre y en el domicilio aportado. Exp. 2013/****3. Con fecha 15/11/2013 se Registra la petición de acceso a sus datos en el fichero ASNEF. Se le dio respuesta mediante el envío de un escrito de fecha 22/11/2013 en el cual se le remite la información de una operación inscrita en dicho fichero, informada por DTS con fecha de alta 20/11/2012, por un importe de 538,15 €, junto con el Histórico de Consultas en los últimos seis meses. Se aporta copia del expediente. 2. Con fecha 21/08/2014, se solicitó a DTS información relativa al denunciante. De la respuesta recibida se desprende lo siguiente: SOBRE LA CONTRATACIÓN  DTS informa que en sus sistemas constan los siguientes datos del denunciante: o o o F.F.F., con dos direcciones:  C/ E.E.E.  C/ D.D.D.. Nº de cliente…, con fecha de alta 20/12/2010. Nº de cuenta bancaria…  DTS manifiesta que figuran tres contratos de la “Oferta 1” para este cliente, con fechas respectivas de alta 20/12/2010 y fechas de baja e inactividad 23/02/2012, señalándose como motivo “Deuda”.  DTS indica que la contratación se realizó a través del distribuidor “Fernando Cámara Instalaciones, S.L., TELESAT DIGITAL”. Se acompaña copia del contrato de servicios de televisión digital suscrito con fecha 20/12/2010, en el que constan los datos del denunciante en el apartado “Cliente”, con dirección en C/ A.A.A.. En los apartados reservados para la firma del inter sado consta “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 M.M.M.”. No se incluye copia del NIE o cualquier otro documento que acredite la identidad del contratante. La entidad declara que no dispone de este documento y que el mismo ha de ser verificado por el distribuidor. En este sentido, DTS comunica que el Distribuidor/Instalador Oficial de Canal + tiene la obligación de verificar la identidad del cliente final y su mayoría de edad, tal y como se recoge en el “Contrato de Instalador Oficial” suscrito con fecha 02/06/2014 y cuya copia se adjunta. En los documentos Anexos I y II queda recogido el detalle del procedimiento de alta de productos y servicios y el modo en que el INSTALADOR promoverá y formalizará la contratación de los servicios de televisión de pago de DTS. En este sentido el instalador transcribe el DNI o documento acreditativo de la identidad del cliente, presuponiéndose que previamente ha realizado la verificación y cotejo con la misma, ya que de otro modo no se completaría el documento contractual.  DTS informa que el denunciado reclamó por escrito en las ocasiones siguientes: o o o Con fecha 04/12/2013 se recibió en la cuenta .....@canalplus.es, (asunto “ F.F.F.”) una reclamación desde la dirección de correo G.G.G. mediante la cual se detallan los hechos en torno al no reconocimiento del contrato suscrito por el servicio de televisión digital y la deuda contraída. Con fecha 21/01/2014, se recibió por correo ordinario una reclamación presentada por el afectado ante la Inspección de Consumo del Gobierno de Extremadura, Instituto de Consumo de Extremadura, contra “CANAL+”. Se adjunta copia de la reclamación presentada contra DTS, fechada el 16/12/2013, copia del escrito de respuesta de fecha 07/02/2014 por el que DTS remite al citado Instituto copia del contrato celebrado en relación a los hechos objeto de la reclamación. Con fecha 25/02/2014, DTS recibió por correo ordinario nuevamente la reclamación presentada por el afectado ante el Instituto de Consumo de Extremadura. Mediante escrito de fecha 14/03/2014, DTS informa sobre el origen de la deuda reclamada, indicando que tras infructuosos intentos de cobro finalmente fue cedida, con fecha 20/12/2013, a la entidad TTI, siendo la entidad encargada de la gestión de cobro según encargo del cesionario y actual titular de los créditos TDX INDIGO IBERIA S.L.U. SOBRE LOS CONTACTOS MANTENIDOS CON EL DENUNCIANTE  DTS comunica que en relación con el denunciante, en sus sistemas constan contactos con diversos interlocutores mantenidos durante el período 20/12/2010 a 21/01/2014. Discriminado aquellos contactos que están referidos a llamadas entrantes del cliente/salientes relativas a campañas, consultas técnicas y circulares remitidas por la compañía, a continuación se relacionan los siguientes contactos: . Un e.mail entrante de fecha 04/12/2013: relacionado con una consulta de entrada, en la que el reclamante informa que de manera causal en febrero ha tenido conocimiento de su inclusión en un fichero de morosos con motivo de una deuda de Televisión digital. Por su parte ha reclamado a Consumo. Indica a la compañía que su domicilio no se corresponde con el dato que se recoge en el fichero ASNEF. Solicita que revisen el contrato ya que no lo reconoce y además la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 dirección que se señala en él no existe, preguntándose cómo han podido instalar el equipo. . Con fecha 11/12/2013 tiene entrada un e.mail que adjunta un oficio en relación con las investigaciones llevadas a cabo por la Unidad de Delincuencia Especializada y Violenta de la Comisaría Provincial de Cáceres, que solicita una serie de datos al respecto (no especificados en la anotación del sistema). Al efecto, con fecha 14/12/2013 se registra un e.mail saliente desde el Centro de Atención al Cliente de DTS informando que se da traslado al departamento afectado y que volverán a ponerse en contacto cuando dispongan de la respuesta requerida. . Con fecha 16/12/2013 se registra una llamada entrante relativa a una consulta sobre el estado de su reclamación, confirmándole que se encuentra pendiente de respuesta. . El 18 del mismo mes se anota: “Se envía informe a Asesoría Jurídica para su tramitación”. . Con fecha 18/03/2014, tienen un registro de correspondencia saliente en cuyos comentarios figura “recibida respuesta de asesoría jurídica, anexada”. . Con fecha 25/02/2014 tiene un registro de correspondencia entrante en relación a una reclamación del Gobierno de Extremadura. SOBRE LA FACTURACIÓN  DTS informó que se emitieron las siguientes facturas:  Siete facturas emitidas durante el período comprendido entre 01/02/2011 al 01/08/2011. En este período las primeras cinco facturas fueron abonadas y las dos últimas resultaron devueltas, con el siguiente detalle: o Factura emitida el 01/07/2011 por importe de 15 €, devuelta el 15/07/2011 por el motivo de “orden del cliente “error domiciliación”. o Factura emitida el 01/08/2011 por importe de 30 € y devuelta 05/08/2011 por el motivo de “orden del cliente error domiciliación”.  Posteriormente se emite dos facturas en fechas 31/05/2012 (por importe de 300 €) y 01/06/2012 (por importe de 238,15 €); devueltas ambas con fechas respectivas 02/06/2012 y 08/06/2012, según consta en el sistema por el motivo de “incorriente”.  DTS manifiesta que a partir del mes de julio de 2011 comenzó el impago de las facturas. Las facturas que han sido objeto de reclamación corresponden a: mensualidades de julio y agosto de 2011, concepto de cuota inscripción, coste de instalación e indemnización por retención del equipo propiedad de DTS. Se acompañan copias de las siguientes facturas: . Factura nº I.I.I. de fecha 01/07/2011, por importe de 15,00 € (iva incluido) en concepto de “recibo mensual producto canal+ Liga. . Factura nº H.H.H. de fecha 01/08/2011, por importe de 15,00 € (iva incluido) en concepto de “recibo mensual producto canal+ Liga. . Factura nº K.K.K. de fecha 28/02/2012, por importe de 118,00 € (iva incluido) en concepto de “penalización coste instalación servicio digital”. . Factura nº J.J.J. de fecha 28/02/2012, por importe de 90,15 € (iva incluido) en concepto de “penalización cuota inscripción servicio digital”. . Factura nº L.L.L. de fecha 31/05/2012, por importe de 300,00€ (iva incluido) en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 concepto de “indemnización por retención de equipo”. SOBRE LA INCLUSIÓN EN FICHERO ASNEF  DTS aporta impresión de pantalla “Procedimiento R.E.D” en la que se observa los movimientos de deuda relativos al denunciante y en la que se indican las siguientes fechas de inclusión en ASNEF:  Con fecha 15/11/2012 se incluyen en ASNEF los datos relativos a una deuda por importe de 238,15 €,  Con fecha 19/11/2012 inclusión en ASNEF con equipo y deuda por importe de 538,15 €. Asimismo manifiesta que los datos del denunciante fueron excluidos del citado fichero a instancia de la propia entidad con fecha 18/12/2013, como decisión cautelar ante las reclamaciones recibidas y señaladas en los puntos anteriores. TERCERO: Con fecha 17/03/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a DTS por la por la presunta infracción del artículo 11.1, en relación con el 6.1, ambos de la citada Ley Orgánica, tipificada como grave en el artículo 44.3.

1. k)de dicha norma; y por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de la misma norma, pudiendo ser sancionadas, cada una de ellas, con multa de 40.001 a 300.000 euros, de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, DTS presentó escrito de alegaciones en el que solicitó la imposición de una multa por el importe mínimo previsto para las infracciones leves en base a las consideraciones siguiente: . DTS dispone de un contrato cumplimentado y firmado en el que aparecen los datos del denunciante, con la intervención presencial del distribuidor, que dio lugar a una relación contractual que transcurrió con normalidad durante los primeros cinco meses, en los que se abonaron los cargos emitidos a nombre de aquél. El impago de las facturas siguientes dio lugar a la baja del contrato y a la emisión de facturas por los cargos derivados de la misma, que también fueron impagadas y requeridas de pago. . Tras conocer el supuesto fraude por las reclamaciones efectuadas por el denunciante, DTS procedió a dar de baja los datos en Asnef el 18/12/2013, según consta en la impresión de pantalla que aporta, en las fechas previas a la cesión de la deuda a TTI, que tuvo lugar el 20/12/2013 (esta circunstancia motivó que la deuda no fuese excluida de los créditos cedidos a dicha entidad). También procedió a informar a TTI sobre la situación de este crédito, para que no diera de alta los datos personales en el fichero de morosidad, aunque este alta se produjo el 27/12/2013 por un error material. Posteriormente, en el proceso de seguimiento de créditos fallidos, el 10/09/2014 se instó de nuevo a TTI la baja inmediata de los datos en Asnef, que se produjo efectivamente en esa fecha. . Considera que, de los hechos puestos de manifiesto, se desprende que el denunciante y DTS fueron víctimas de la actuación fraudulenta de un tercero, que utilizó los datos personales de aquél para realizar una contratación en su nombre. DTS “reconoce espontáneamente los hechos que se le imputan ya que, pareciendo ser cierta la suplantación de identidad, incluyó los datos del denunciante en fichero de morosidad asociada a una deuda de la que no es titular y la cedió a un tercero” y solicita, por ello, la aplicación del artículo 45.5 de la LOPD, debiendo considerarse además que fue diligente en la subsanación del error una vez advertido, que el interesado se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 retrasó a la hora de denunciar esta incidencia, de la que tuvo conocimiento meses antes de denunciarla (desde febrero a diciembre de 2013), y que nada hacía sospechar que el contrato hubiera sido suscrito de forma ilegítima, la instalación se llevó a efecto, se disfrutaron los servicios y se abonaron las primeras facturas. Por otra parte, añade que concurre falta de intencionalidad, ausencia de beneficios y perjuicios, y ha adoptado medidas dirigidas a evitar supuestos de fraude, como pueden advertirse en las exigencias impuestas a los distribuidores en relación con la identificación de los clientes. Aporta impresión de pantalla en la que consta un movimiento de 18/12/2013 con la indicación “Exclusión de red usuario”; un correo electrónico de 10/09/2014, dirigido a TTI, relacionado con el expediente del denunciante, en el que se indica: “Analizado el expediente todo indica que estamos ante un supuesto de contratación fraudulenta por suplantación de identidad y necesitamos que, por favor, nos confirméis que el denunciante no ha sido dado de alta en Asnef. En caso contrario, tendrían que proceder de inmediato a su baja. En la misma fecha, TTI responde: “Hemos procedido a cerrar el expediente como crédito fallido. El denunciante estaba dado de alta en Asnef, pero hemos dado la baja”. Asimismo, aporta copia de las instrucciones impartidas a la Red de instaladores oficiales, fechadas el 27/01/2014, recordando la obligación de verificar la identidad del firmante de los contratos mediante DNI u otro documento oficial, la mayoría de edad de los mismos y, en su caso, la debida autorización. QUINTO: En fecha 31/07/2015, se acordó por el Instructor del Procedimiento la apertura del período de práctica de pruebas, teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigación, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04158/2014. Asimismo, se tuvieron por presentadas las alegaciones a la apertura del procedimiento formuladas por la entidad DTS. En cuanto a la propuesta de prueba efectuada por la citada entidad, la misma fue rechazada considerando, por un lado, que la misma ha reconocido espontáneamente los hechos que se le imputan, admitiendo que incluyó los datos del denunciante en un fichero de morosidad asociados a una deuda de la que no es titular y la cedió a un tercero, y por otro lado, que dichas pruebas tienen relación con circunstancias que no son controvertidas, que ya constan en las actuaciones, o bien pueden ser aportadas por la propia entidad o que no determinan la resolución del procedimiento. Todo ello, sin perjuicio de que DTS pudiera aportar cualquier documentación que considerase de interés para la defensa de sus derechos, según se advirtió expresamente a la citada entidad. SEXTO: Con fecha 05/08/2015, se emitió propuesta de resolución en el sentido de que se sancione a la entidad DTS con multa de 15.000 euros (quince mil euros), por la infracción del artículo 11, en relación con el 6.1, de la LOPD, tipificada como grave en el artículo 45.3.
3. k)de dicha norma; y con multa de 40.000 euros (cuarenta mil euros letra), por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
4. c)de la misma norma; de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta de resolución, DTS presentó escrito de alegaciones en el que reproduce literalmente sus alegaciones a la apertura del procedimiento, solicitando de nuevo la imposición de una multa por el importe mínimo establecido para las infracciones leves y reitera la propuesta de prueba formulada inicialmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 Añade que la Propuesta de Sanción ha tomado en consideración algunas de las circunstancias puestas de manifiesto en sus alegaciones anteriores (ausencia de perjuicios causados al denunciante y de beneficios obtenidos como consecuencia de la comisión de la infracción), pero otras han pasado desapercibidas para el órgano instructor, como la diligente regularización de la situación que debería haberse traducido en una considerable disminución de la cuantía de la sanción propuesta por la comisión de la infracción del artículo 4.3 de la LOPD. En relación con esta cuestión, DTS indica que no es cierto, como se sostiene in fine de la Propuesta de Sanción, que desde diciembre de 2013 conoció la posible irregularidad en la contratación de los servicios a nombre del denunciante y no fue hasta septiembre de 2014 cuando la comunicó a TTI. Lo cierto es que DTS comunicó a TTI con carácter inmediato a conocer dicha posible irregularidad que se debía excluir de los créditos cedidos el asociado al denunciante y, posteriormente, en septiembre de 2014, a través de email, realizó una verificación de si habían sido seguidas por TTI las instrucciones dadas en diciembre de 2013. Por otra parte, señala que se rechazó la práctica de la prueba propuesta, sin motivación alguna, a pesar de que se pretendía esclarecer una vinculación del denunciante con la contratación fraudulenta (conocida o consentida) o bien una falta de diligencia o retraso culpable del denunciante a la hora de denunciarla, considerando que ello vulnera el derecho de defensa de DTS. A este respecto, considera que el reconocimiento de la culpabilidad no es óbice para que determinadas circunstancias, que operarían en el sentido de minorar la sanción impuesta, deban ser esclarecidas. En este sentido, la Audiencia Nacional (SAN 26/12/2013 Rec: 0000480/2012, SAN de 06/07/2012 Rec: 0000859/2010) ha apreciado en supuestos de suplantación de identidad la concurrencia de determinadas circunstancias que determinan una disminución de la antijuricidad del hecho y de la culpabilidad de la entidad denunciada. HECHOS PROBADOS 1. En los sistemas de información de la entidad DTS constan los datos personales del denunciante relativos a nombre, apellidos, NIF, domicilio y cuenta bancaria, asociados a un “Contrato de suministro y recepción de servicios de televisión digital” formalizado a través del distribuidor TELESAT DIGITAL, con fecha de formalización 20/12/2010, en el que el denunciante figura como cliente. En los apartados reservados para la firma del cliente y para que éste autorice la domiciliación bancaria, consta “ M.M.M.”. El domicilio del denunciante que consta en el contrato es distinto al señalado en la denuncia y al que consta en el Padrón Municipal de Habitantes con alta el 26/02/2010. La baja e inactividad de este contrato consta registrada en fecha 23/02/2012, señalándose como motivo “Deuda”. DTS ha declarado que no dispone de copia del NIE o cualquier otro documento que acredite la identidad del cliente contratante. 2. Por el contrato reseñado en el Hecho Probado Primero, DTS emitió siete facturas durante el período comprendido entre 01/02/2011 al 01/08/2011. En este período las primeras cinco facturas fueron abonadas y las dos últimas resultaron devueltas (01/07/2011 y 01/08/2011) por el motivo de “orden del cliente error domiciliación”. Posteriormente emitió dos facturas en fechas 31/05/2012 (por importe de 300 €) y 01/06/2012 (por importe de 238,15 €), concepto de cuota C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 inscripción, coste de instalación e indemnización por retención del equipo propiedad de DTS; devueltas ambas con fechas respectivas 02/06/2012 y 08/06/2012, según consta en el sistema, por el motivo de “incorriente”. 3. Con fecha 20/11/2012, a instancia de DTS, los datos personales del denunciante fueron registrados en el fichero de morosidad Asnef asociados a una deuda por importe de 538,15 € y por vencimientos impagados primero y último de fechas 01/08/2011 – 01/08/2011. Consta una notificación emitida 22/11/2012, dirigida se notifica a la dirección B.B.B. (distinta a la señalada en la denuncia y a la que consta registrada en el Padrón Municipal), con fecha de devolución 05/01/2013. En los sistemas de EQUIFAX consta que con fecha 08/01/2013 se confirmó la dirección como “dirección contractual”. En relación con esta anotación, consta la baja en dicho fichero en fecha 10/09/2014, con la indicación del motivo de la misma “Directa”. En el momento de la baja consta como entidad acreedora TTI. 4. Con fecha 18/02/2013 y 15/11/2013, el denunciante solicitó ante la entidad responsable del fichero Asnef el acceso a sus datos personales. Mediante escritos de 28/02/2013 y 22/11/2013, respectivamente, se le informó que sus datos (con dirección: B.B.B.) figuraban registrados en dicho fichero informados por la entidad DTS, con fecha de alta 20/11/2012, por una deuda de 538,15 €. 5. Con fecha 04/12/2013, DTS recibió del denunciante un correo electrónico en la cuenta .....@canalplus.es, (asunto “ F.F.F.”), en el que el denunciante niega haber formalizado el contrato reseñado en el Hecho Probado Primero y no reconoce la deuda derivada del mismo. Indica a la compañía que su domicilio no se corresponde con el dato recogido en el fichero Asnef. 6. Con fecha 11/12/2013, el denunciante formuló denuncia ante el Cuerpo Nacional de Policía, de 11/12/2013, por los mismos hechos descritos en los Hechos Probados anteriores, motivando la petición de información realizada a DTS en la misma fecha mediante correo electrónico de la Unidad de Delincuencia Especializada y Violenta de la Comisaría Provincial de Cáceres. Con fecha 14/12/2013 se registró un email saliente desde el Centro de Atención al Cliente de DTS informando que sobre el traslado de la reclamación al departamento afectado. El 18 del mismo mes se anota: “Se envía informe a Asesoría Jurídica para su tramitación”. 7. Con fecha 16/12/2013, el denunciante presentó una reclamación ante el Instituto de Consumo de Extremadura por el contrato reseñado en el Hecho Probado Primero, por la deuda que se le imputa y la anotación de sus datos en el fichero de morosidad. En este escrito, el denunciante manifiesta que nunca ha tenido su residencia en la vivienda señalada en el contrato, que nunca ha recibido facturas en su domicilio, ni reclamación de deuda, y que no fue informado sobre la inclusión de sus datos en el fichero de morosidad mencionado. 8. Con fecha 20/12/2013, la entidad TTI adquirió una cartera de créditos de DTS, entre los cuales se encontraba la deuda asociada al denunciante (538,15 euros). 9. En el fichero Asnef consta una notificación emitida a nombre del denunciante con fecha 27/12/2013, correspondiente a una deuda informada por la entidad TTI, por un importe de 538,15 €, dirección B.B.B., con fecha de alta 20/11/2012. Esta notificación fue devuelta el 13/02/2014. En los sistemas de EQUIFAX consta que con fecha 20/02/2014 se confirmó la dirección como “dirección contractual”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 10. La reclamación reseñada en el Hecho Probado séptimo fue recibida por DTS el 21/01/2014 y nuevamente el 25/02/2014, ambas por correo ordinario, y respondida por la misma mediante escrito de 14/03/2014, en el que informa sobre el origen de la deuda reclamada, indicando que tras infructuosos intentos de cobro finalmente fue cedida, con fecha 20/12/2013, a la entidad TTI, ocupándose de la gestión de cobro, según encargo del cesionario y actual titular de los créditos, TDX INDIGO IBERIA S.L.U. 11. Con fecha 01/04/2014, tuvo entrada en la Agencia Española de Protección de Datos escrito remitido por el denunciante en el que denuncia a la entidad DTS por la inclusión de sus datos personales en el fichero de solvencia patrimonial ASNEF en base a una deuda derivada de un servicio que nunca contrató, por importe de 538,15 euros. El denunciante declara no reconocer la firma del contrato de suministro y recepción de servicios de televisión digital al que DTS asocia la deuda, de 20/12/2010, ni la dirección del contratante ni la titularidad de la cuenta de abono indicada. 12. Con fecha 10/09/2014, la entidad DTS remitió un correo electrónico dirigido a TTI, relacionado con el expediente del denunciante, en el que se indica: “Analizado el expediente todo indica que estamos ante un supuesto de contratación fraudulenta por suplantación de identidad y necesitamos que, por favor, nos confirméis que el denunciante no ha sido dado de alta en Asnef. En caso contrario, tendrían que proceder de inmediato a su baja”. En la misma fecha, TTI respondió: “Hemos procedido a cerrar el expediente como crédito fallido. El denunciante estaba dado de alta en Asnef, pero hemos dado la baja”. 13. Con fecha 10/09/2014, consta la baja en el fichero Anef de los datos relativos al denunciante cuyo registro fue instado por DTS el 20/11/2012, por una deuda por importe de 538,15 euros, con la indicación del motivo de la misma “Directa”. En el momento de la baja consta como entidad acreedora TTI. 14. DTS, en su escrito de alegaciones a la apertura del procedimiento “reconoce espontáneamente los hechos que se le imputan ya que, pareciendo ser cierta la suplantación de identidad, incluyó los datos del denunciante en fichero de morosidad asociada a una deuda de la que no es titular y la cedió a un tercero”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II La entidad DTS ha alegado indefensión por estimar que se han vulnerado sus derechos básicos de defensa, al haberse inadmitido pruebas determinantes para el esclarecimiento de circunstancias que disminuyen su culpabilidad y la antijuridicidad de los hechos, que han sido reconocidos por la misma. Con fecha 31/07/2015, se inició el período de práctica de pruebas en el que dieron por reproducidas a efectos probatorios la denuncia interpuesta y su documentación, así como las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 actuaciones previas de investigación desarrolladas. Por otro lado, DTS formuló propuesta de prueba, que fue rechazada al no haberse considerado determinante ni necesaria para la resolución del presente procedimiento, de conformidad con lo dispuesto en el artículo 17 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En los apartados 2 y 3 del citado precepto se establece lo siguiente: “2. En el acuerdo, que se notificará a los interesados, se podrá rechazar de forma motivada la práctica de aquellas pruebas que, en su caso, hubiesen propuesto aquéllos, cuando sean improcedentes de acuerdo con lo dispuesto en el artículo 137.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común. 3. La práctica de las pruebas que el órgano instructor estime pertinentes, entendiéndose por tales aquellas distintas de los documentos que los interesados puedan aportar en cualquier momento de la tramitación del procedimiento, se realizará de conformidad con lo establecido en el artículo 81 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común”. Y el artículo 137.4 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC) dispone: “4. Se practicarán de oficio o se admitirán a propuesta del presunto responsable cuantas pruebas sean adecuadas para la determinación de hechos y posibles responsabilidades. Sólo podrán declararse improcedentes aquellas pruebas que por su relación con los hechos no puedan alterar la resolución final a favor del presunto responsable”. De acuerdo con lo expuesto, la solicitud de prueba formulada por DTS fue rechazada por los siguientes motivos, de los que se informó expresamente a la citada entidad: “En cuanto a la propuesta de prueba efectuada por la citada entidad, la misma fue rechazada considerando, por un lado, que la misma ha reconocido espontáneamente los hechos que se le imputan, admitiendo que incluyó los datos del denunciante en un fichero de morosidad asociados a una deuda de la que no es titular y la cedió a un tercero, y por otro lado, que dichas pruebas tienen relación con circunstancias que no son controvertidas, que ya constan en las actuaciones, o bien pueden ser aportadas por la propia entidad o que no determinan la resolución del procedimiento”. Todo ello, sin perjuicio de que DTS pudiera aportar cualquier documentación que considerase de interés para la defensa de sus derechos, según se advirtió expresamente a la citada entidad. Por otra parte, se advirtió a DTS sobre la posibilidad de aportar cualquier documentación que considerase de interés para la defensa de sus derechos. III El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 actuación intencionada y a este respecto el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, dispone “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”(SAN 29de junio de 2001). IV Se imputa a DTS la infracción del artículo 11 de la LOPD que establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cadente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: a)Cuando la cesión está autorizada en una Ley. b)Cuando se trate de datos recogidos de fuentes accesibles al público. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3.Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 4.El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5.Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6.Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Así, el artículo 11.1 de la LOPD exige el consentimiento del afectado, o bien, habilitación legal (artículo 11.2.
6. a)de la LOPD) para la cesión de datos de carácter personal. Por su parte, el artículo 6, apartados 1 y 2, de la citada Ley Orgánica, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)”. Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Dado que DTS no dispone de documentación que acredite la contratación de los servicios ofrecidos por la misma por parte del denunciante, según se desprende de los hechos constatados en el procedimiento y de las propias manifestaciones de dicha entidad, resulta necesario examinar si la conducta de DTS se ajustó al deber de diligencia que la actividad que desarrolla le exige. A la vista de la documentación que obra en el expediente y de los hechos declarados probados, y como DTS ha reconocido, se concluye que dicha entidad no ha aportado ninguna prueba a tal fin -esto es, que recabó y obtuvo del afectado su consentimiento para la contratación de los servicios en cuestión vinculado a sus datos personales-; tampoco que hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar en el tratamiento de los datos de las personas en relación con los productos. Es esta falta de diligencia lo que hace recaer sobre la denunciada la responsabilidad por los hechos objeto de imputación. Hay que indicar, sin perjuicio de que esta Agencia es consciente de los fraudes realizados, la responsabilidad que se exige a la denunciada no es una responsabilidad objetiva, porque, como ella conoce bien, lo esencial es haber acreditado que actuó con la diligencia que corresponde a quien, como ella, por razón de la actividad que desarrolla, se ve obligada a tratar continuamente datos personales. Por la misma razón, como también conoce, no se exige por la Agencia ninguna responsabilidad a las entidades que son –además del titular de los datosvíctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, pero siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. En este caso, no consta ninguna documentación acreditativa de la identidad de la persona que aparece en el contrato como cliente (datos personales del denunciante) e, incluso, resulta que la persona que firmó el mismo es distinta a la misma, sin que conste ninguna autorización para ello y sin que por parte de DTS se realizara comprobación alguna para confirmar los datos del contrato. La propia DTS calificó el presente caso como fraude en la contratación. Por otra parte, en el presente caso consta acreditado que, en fecha 20/12/2013, DTS y TTI suscribieron un contrato para la cesión de crédito en virtud del cual DTS cedió a TTI la plena titularidad de los créditos cedidos. Como parte de la cartera cedida, se encontraban los datos personales del denunciante en relación con una deuda de la que no era titular, puesto que DTS no ha podido acreditar la contratación del servicio que la generó. DTS manifestó que ante la reclamación recibida, procedió a cancelar la deuda. DTS ha reconocido que dicha cesión fue debida a un error, así como su responsabilidad en la infracción del artículo 11 de la LOPD que se le imputa. Si bien los artículos 347 y 348 del Código de Comercio vendrían en principio a habilitar la cesión de los datos asociados a la deuda en cuestión sin contar con el consentimiento del denunciante, y visto lo establecido en el citado apartado
7. a)del artículo 11.1 de la LOPD, en el presente caso concreto, como se ha acreditado en expediente, la cesión implícita de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 personales en relación con el denunciante no se abría ajustado a los requisitos legales exigidos para ello, por lo que en consecuencia se habría producido una cesión de datos personales sin tal habilitación legal. El artículo 347 del Código de Comercio dice que: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. Y por su parte el artículo 348 de la misma norma establece que: “El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. Por tanto, conforme a lo expuesto, resulta que DTS cedió los datos erróneamente. Así, a pesar de que la cesión de datos se hizo en base a la cobertura que da el contrato de cesión de créditos suscrito con TTI, para el que no es necesario el consentimiento de los deudores, en el caso del denunciante no existe tal cobertura legal por cuanto quiebra el supuesto fáctico, dado que éste no era deudor de DTS y por ende no existía ningún crédito objeto de venta y consiguiente cesión de datos personales. V La infracción de lo dispuesto en el artículo 11 de la LOPD se encuentra tipificada como grave en el artículo 44.3.
8. k)de la misma norma, que considera como tal “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. En el presente caso DTS reconoce voluntariamente su responsabilidad en la comisión de una infracción del artículo 11.1 en relación con el 6.1 de la LOPD, calificada como grave en el artículo 44.3.
9. k)de dicha norma, por cuanto facilitó a TTI los datos personales del denunciante sin su consentimiento y sin habilitación legal para ello, incurriendo en dicha infracción. VI Se imputa a DTS en el presente procedimiento sancionador la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
10. d)que “Los Estados miembros dispondrán que los datos personales sean….
11. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: ”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
12. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
13. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
14. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
15. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es él el que conoce si la deuda realmente existe o si ha sido saldada o no, siendo las entidades informantes las que deciden a quién dan de alta o de baja. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
16. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. En este caso, DTS incorporó a su sistema de información de clientes los datos del denunciante como titular de un servicio de televisión de pago que no había contratado. Posteriormente, informó de una deuda derivada de ese contrato al fichero de solvencia patrimonial Asnef en fecha 20/11/2012, instando la anotación de los datos personales del denunciante asociados a dicha deuda que no le correspondía, en donde permanecieron hasta fecha 10/09/2014, si bien a partir del 27/12/2013 la entidad informante pasó a ser TTI. VII Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la persona denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
17. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
18. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado”. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por DTS puede subsumirse o no en tales definiciones legales. Y ello tanto es así, puesto que la entidad imputada trató automatizadamente en sus propios ficheros los datos relativos al denunciante y a la deuda; datos de los que es responsable conforme al artículo 3.
19. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que la entidad imputada ha sido responsable del tratamiento de datos de la persona denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, dicha entidad no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). La inclusión de los datos del denunciante en el fichero asnef en fecha 20/11/2012 no respondía a la existencia de una deuda cierta, vencida y exigible al denunciante, lo que supone una infracción del principio de calidad de datos consagrado en el artículo 4.3 de la LOPD. De este modo los datos del denunciante permanecieron indebidamente incluidos en el fichero asnef por DTS desde la fecha 20/11/2012, permaneciendo visible a partir del 27/12/2013 figurando como entidad informante TTI, entidad que había adquirido a DTS la deuda del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 Esto supone una vulneración del principio de calidad del dato de la que debe responder la entidad DTS por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el fichero de solvencia patrimonial y crédito. VIII El artículo 44.3.
20. c)de la LOPD en su redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible (Disposición final quincuagésimo sexta), tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La Agencia Española de Protección de Datos como ya se ha indicado más arriba ha resuelto numerosos procedimientos sancionadores por incumplimiento de calidad de datos en relación con ficheros de morosidad, tanto por alta improcedente por ser una deuda incierta o por mantener los mismos una vez abonada la deuda (requisito material: exactitud del dato) o por una deuda no requerida previamente de pago por el acreedor al deudor (requisito formal: requerimiento previo). Por su parte, la Audiencia Nacional decía en su sentencia de fecha 16 de febrero de 2001: “Vista la conducta de la hoy actora, cabe apreciar que ha hecho uso de unos datos relativos a la insolvencia de una persona, conculcando los principios y garantías establecidas en la Ley (…) concretamente el de la certeza de los datos, que deben ser exactos, de forma que respondan con veracidad a la situación real del afectado, como exige su artículo 4.3 (…) ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón de ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. No olvidemos que se trata de algo muy importante: fichar a ciudadanos como morosos. Es criterio compartido por consiguiente que aquél que utiliza un medio extraordinario de cobro, como es el de inclusión en registros de morosos, debe garantizar el cumplimiento de todos los requisitos materiales y formales ya vistos, y así permitir el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar estas exigencias supondría, por lo contrario, utilizar este medio de presión al ciudadano sin las suficientes garantías mínimas para los titulares de los datos personales objeto de anotación en los ficheros de solvencia patrimonial y crédito. El principio de calidad de dato, por lo tanto, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas sentencias de la Audiencia Nacional, que excusa cita. En cuanto al rigor de la inclusión, a su vez, la sentencia de 23 de mayo de 2007 ha manifestado que “es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la exactitud del dato, es decir, de la insolvencia que se pretende registrar coincide con una cantidad debida es una circunstancia que ha de hacerse previamente y de modo riguroso antes de enviar los datos de una persona a un fichero de responsabilidad patrimonial”. La inclusión como morosos de los denunciantes en Asnef, en consecuencia, debería de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 haberse realizado con todo rigor por la entidad imputada para salvaguardar la veracidad de la información a transmitir a los ficheros de solvencia económica que la Ley y su Reglamento exigen. DTS instó la anotación de los datos del denunciante en el fichero de morosidad Asnef en relación con una deuda que no era cierta, vencida y exigible, por cuanto estaba relacionada con una contratación de la que no era titular el denunciante, esto es, DTS facilitó al fichero común de solvencia una información que no es exacta ni responde a la situación actual del denunciante, por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4.3, en relación con el 29.4,ambos de la LOPD, y en relación también con su desarrollo reglamentario. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.c). IX El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
21. a)El carácter continuado de la infracción.
22. b)El volumen de los tratamientos efectuados.
23. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
24. d)El volumen de negocio o actividad del infractor.
25. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
26. f)El grado de intencionalidad.
27. g)La reincidencia por comisión de infracciones de la misma naturaleza.
28. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
29. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
30. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
31. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
32. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
33. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
34. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
35. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) que la comisión de la infracción prevista en el art. 77.3
36. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. La Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos deben ser especialmente diligentes y cuidadosos a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 202 y 13 de abril y 18 de mayo de 2005). Respecto a la falta de intencionalidad, a la antijuridicidad no obsta la falta de intención de infringir las normas jurídicas- Sentencia del Tribunal Supremo de 4/06/1999-, “y ya hemos razonado que en contra de lo que se dice en el recurso si existe lesión de un derecho protegido por la Ley”. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan...”. El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. Por tanto, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. Habida cuenta que DTS ha reconocido su culpabilidad conforme a lo dispuesto en el apartado
37. d)del artículo 45.5, procede la aplicación de lo dispuesto en el citado precepto y por lo tanto ambas infracciones con una multa cuyo importe se encuentre entre 900 € y 40.000 €, en aplicación de lo previsto en el apartado 1 del citado artículo 45, al tener la infracción imputada la consideración de infracción grave, para sancionarse con el importe de las multas correspondientes a las infracciones leves. Por lo que respecta a la graduación de la sanción y tomando en consideración, por un lado, la ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción, el grado de intencionalidad, la ausencia de perjuicios causados al denunciante que hayan sido acreditados, las medidas adoptadas y que se trata de una operación de un contrato de cesión de cartera de créditos, y por otro lado, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad (las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009), procede la imposición de una multa por importe de 15.000 euros por la infracción del artículo 11 en relación con el 6.1 de la LOPD. Así se considera en Sentencia de la Audiencia Nacional de 17-12-2010, que declara “Pues bien, esta Sala, una vez analizadas las circunstancias concurrentes, entiende que dicho precepto es de aplicación al supuesto de autos tomando en consideración que las partes suscribieron el contrato de cesión con la creencia de que transmitían un crédito y que existía una deuda vencida, líquida y exigible como causa de dicho contrato…”. En relación con la infracción del artículo 4.3 de la LOPD, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, habida cuenta, por un lado, el tiempo transcurrido desde que DTS conoció la irregularidad de la contratación, a partir de las reclamaciones del denunciante de las que tuvo conocimiento en diciembre de 2013, hasta que informó a TTI sobre la procedencia de cancelar los datos anotados en el fichero Asnef en septiembre de 2014 (cuando tuvo conocimiento de la denuncia interpuesta ante esta Agencia); y, por otro lado, que DTS tiene implantados procedimientos adecuados de recogida de datos y ha impartido instrucciones precisas a sus distribuidores recordando la obligación de verificar la identidad del firmante de los contratos mediante DNI u otro documento oficial, la mayoría de edad de los mismos y, en su caso, la debida autorización; procede la imposición de una multa por importe de 20.000 euros por la infracción de lo dispuesto en el artículo 4.3 de la LOPD. A este respecto, no cabe admitir la circunstancia alegada por DTS, referida a la diligente regularización de esta anotación en el fichero de solvencia. DTS no ha presentado prueba alguna por la que acredite que, con carácter inmediato a conocer la posible irregularidad, en diciembre de 2013 comunicó a TTI que se debía excluir de los créditos cedidos el asociado al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., por una infracción del artículo 11, en relación con el 6.1, de la LOPD, tipificada como grave en el artículo 45.3.
38. k)de dicha norma, una multa de 15.000 euros (quince mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
39. c)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a DTS DISTRIBUIDORA DE TELEVISION DIGITAL, S.A., y a D. F.F.F.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es