← España

PS-00173-2018

1/14 Procedimiento Nº PS/00173/2018 RESOLUCIÓN: R/01255/2018 En el procedimiento sancionador PS/00173/2018, instruido por la Agencia Española de Protección de Datos a la entidad ALTAIA CAPITAL, S.A.R.L.., vista la denuncia presentada por B.B.B., y en base a los siguientes ANTECEDENTES PRIMERO: El 20 de octubre de 2017 tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia de B.B.B. (en lo sucesivo la denunciante) contra ALTAIA CAPITAL, S.A.R.L.. por incluir sus datos personales en ficheros de solvencia patrimonial y de crédito, debido a deudas producidas por un alta fraudulenta de líneas de teléfono a nombre de la denunciante, cuyo origen es una deuda adquirida por ORANGE y posteriormente cedida a ALTAIA CAPITAL, S.A.R.L.. Junto a su escrito de denuncia, anexa la siguiente documentación:  Fotocopia del DNI de la denunciante.  Denuncia ante la policía local de ***POBLACION con fecha de 06/08/2012, en la que la denunciante manifiesta que le han sustraído el bolso, que contenía, entre otras pertenencias, su DNI.  Atestado de la Guardia Civil con fecha del 09/05/2017, en el que la denunciante declara que sobre el día 30/03/2017 recibió una llamada de la “ASESORÍA JURÍDICA I.S.F.G.” informándole de que se ponga en contacto con una empresa (no se indica cuál en la diligencia de comparecencia), por una deuda de 607 € correspondiente a una línea telefónica de la localidad de Yuncos (Toledo).  Carta certificada remitida por la denunciante al departamento de atención al cliente de TELEFONICA MOVILES ESPAÑA, S.A.U. con sello de correo del 11/05/2017. Y comprobante de recepción del 16/05/2017. En esta carta, la denunciante indica que aporta copia de la denuncia presentada ante la Guardia Civil por suplantación de su identidad; y solicita la anulación de las cantidades adeudadas, así como la cancelación de los datos personales de la denunciante incluidos en los ficheros de la propia compañía y en los ficheros de solvencia patrimonial y crédito a los que se hayan comunicado.  Carta remitida por la denunciante a ALTAIA CAPITAL, S.A.R.L.., con sello de correos del 11/05/2017. Y comprobante de recepción del 25/05/2017. En dicha carta, la denunciante solicita que anulen las cantidades que le reclaman debidas a importes impagados a ONO-VODAFONE y MOVISTAR, y también solicita que cancelen los datos personales de la denunciante que tengan en sus ficheros y en aquellas empresas y ficheros de solvencia patrimonial y de crédito a los que se los hubieran cedido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14  Carta remitida por ALTAIA CAPITAL, S.A.R.L.. a la denunciante, fechada el 01/06/2017, contestándole que están consultando a ORANGE ESPAGNE, S.A.U. la documentación referida a su reclamación.  Operaciones presentes en el fichero ASNEF a fecha de 05/10/2017 referidas al NIF de la denunciante, en la que se observa una operación informada por ALTAIA CAPITAL, S.A.R.L.. con fecha de alta el 24/07/2014 y fecha de visualización el 08/05/2017 por un importe de 311,79. La dirección informada en esa operación es distinta a la que aparece en el DNI de la denunciante y en la denuncia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las siguientes entidades:  ALTAIA CAPITAL, S.A.R.L..  ORANGE ESPAGNE, S.A.U. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En la fecha del 26/12/2017, tiene entrada un escrito presentado en nombre de ORANGE ESPAGNE, S.A.U. en respuesta al requerimiento de información señalando: 1. En el escrito, se manifiesta que las líneas contratadas a nombre de la denunciante presentes en sus sistemas de información son los siguientes (se aportan copias de pantallas de los sistemas de información y de tres llamadas realizadas por la empresa verificadora de las contrataciones: una llamada para contratar una línea móvil y otra fija, y otras dos llamadas para contratar una línea móvil):  Línea fija ***TELEFONO.1: o Fecha de contratación: 24/01/2014 o Fecha de alta: 24/01/2014 o Fecha de baja: 25/09/2014  Línea móvil ***TELEFONO.2: o Fecha de contratación: 24/01/2014 o Fecha de alta: 28/01/2014 o Fecha de baja (por portabilidad): 12/02/2014  Línea móvil ***TELEFONO.3: o Fecha de contratación: 27/01/2014 o Fecha de alta: 29/01/2014 o Fecha de baja (por portabilidad): 12/02/2014  Línea móvil ***TELEFONO.4: o Fecha de contratación: 07/02/2014 o Fecha de alta: 12/02/2014 o Fecha de baja (por impago): 01/08/2014 2. En el escrito, se manifiesta que para cada una de las 3 líneas móviles se realizaron 2 pedidos iguales:  IPHONE 5S 16GB ORO  WP PORTABILIDAD NANOSIM 4G C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 3. Copia de pantalla de los sistemas de información de ORANGE ESPAGNE, S.A.U., en la que se observa que hay una fecha de alta en ASNEF el día 23/07/2014, y una fecha de baja en ASNEF el día 09/03/2017; y se manifiesta que la baja fue solicitada debido a una cesión de deuda realizada el 09/03/2017 a la empresa ALTAIA CAPITAL, S.A.R.L.. 4. Nueve facturas de líneas móviles por un total de 2.254,57 € con períodos de facturación que van desde el 01/01/2014 hasta el 25/09/2014. 5. En el escrito se manifiesta que, al recibir el requerimiento de información de la AEPD, relacionado con este expediente, se hizo un estudio de las contrataciones y se catalogaron como fraudulentas, procediendo a anular la deuda; aportando las facturas rectificadas: Nueve facturas rectificativas de las anteriores líneas móviles con fecha de facturación el 24/11/2017 y el 27/11/2017 a nombre de la denunciante, con períodos de facturación que van desde el 01/01/2014 hasta el 25/09/2014, todas con un total a pagar de 0,00 €. 6. Nueve facturas de “línea + servicios de internet + llamadas + TV” a nombre de la denunciante con períodos de facturación que van desde el 16/01/2014 hasta el 25/11/2014 por un valor total de 311,79 €. 7. En el escrito, se manifiesta que, al recibir el requerimiento, se comprobó la contratación, procediéndose a anular la facturación, aportando un duplicado de factura con fecha de factura el 16/12/2017 por valor de -311,77 €. 8. En el escrito, se manifiesta que no tienen constancia de haber recibido reclamaciones en ORANGE ESPAGNE, S.A.U. interpuestas por la denunciante ni por terceros a su nombre. En la fecha del 17/01/2018, tiene entrada un escrito presentado en nombre de ALTAIA CAPITAL, S.A.R.L.. en respuesta a requerimiento de información aporta la siguiente información:  Escritura de compraventa y cesión de cartera de cartera entre ORANGE ESPAÑA S.A.U. y ALTAIA CAPITAL S.A.R.L. con fecha 01/03/2017 y elevada a escritura pública ante notario.  En el expositivo IV se puede leer que “…. El cedente ha permitido al Cesionario el análisis y estudio, entre otros, de los datos de los créditos a su satisfacción, …. . El Cesionario recabó toda la información incluida en la Cartera de Créditos y dispuso de un plazo para comprobarla, analizarla y estudiarla. A este respecto, ambas partes aceptan que la información incluida en la Cartera de Créditos, tal y como ha sido y es entregada, es adecuada y suficiente.  En el expositivo V se puede leer que. “Que el volumen de la Cartera de Créditos, la heterogeneidad de los Créditos que la componen y, en muchos casos, su antigüedad hace que éste no pueda garantizar al Cesionario, entre otros extremos, que acepta, que los Datos de los Créditos sean siempre correctos y completos. La documentación física relativa a los Créditos con la que cuenta el Cedente no necesariamente es completa ni exhaustiva, pudiendo no existir documentación física respecto de algunos de los Créditos. El Cesionario conoce y acepta todas estas circunstancias y características de los Créditos (…)  En el expositivo VII se puede leer que. “... el Cesionario afirma que ha podido informarse completamente y a su satisfacción sobre las características y contenido de la Cartera de Créditos, (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14  En el expositivo VIII se puede leer que. “Que, a la vista de lo anterior, el Cedente está interesado en vender y transmitir alzadamente y como dudosa la Cartera de Créditos, no respondiendo de la solvencia de los deudores y/o resto de obligados al pago, circunstancias todas ellas que el Cesionario conoce y acepta.  En la cláusula 1.1 se puede leer que “(…) teniendo en cuenta, en especial, el carácter dudoso de todos y cada uno de los Créditos,(…) El CESIONARIO afirma conocer y aceptar que la Cartera de Créditos objeto del presente Contrato incorpora créditos cuyas acciones pueden haber prescrito. “Que se ha depurado la cartera objeto de cesión con el fin de eliminar aquellos deudores en los que se haya detectado algún tipo de fraude” En la cláusula 2 se puede leer que “(…) Sin perjuicio de que sólo a partir de la fecha del presente acuerdo corresponde al Cesionario, como titular de los Créditos, cualquier gestión para el cobro de éstos. En la cláusula 3 se puede leer que “(…) las partes manifiestan que procede notificar a los deudores de los créditos la cesión de éstos y de los Datos de los Créditos por el Cedente al Cesionario. A tal efecto, han acordado el envío de una comunicación efectuada por empresa distribuidora que acredite el envío de la comunicación firmada por un representante de cada Parte siguiendo los modelos que se adjuntan como Anexos 1 y 2 respectivamente, en el plazo de 60 días desde la fecha del presente acuerdo. El procedimiento de envío acordado por las partes será el coloquialmente conocido como procedimiento de ocultación o cambio de titularidad en el bureau. Así, se realizarán las siguientes actuaciones: - El cedente notificará al bureau las cuentas que se van a ceder. - A la fecha de la firma del contrato el bureau oculta esa información, es decir, no es visible para terceros que consulten el mismo. - El cesionario enviará la Hello-Goodbye Letter recogida en el Anexo 2 a través del bureau (como tercero de confianza) informando que en el caso que no abone su deuda en el plazo de los 15 días siguientes a la recepción de la carta, volverá a constar en bureau (…). Transcurridas tres semanas desde el envío, si el cliente no hubiera pagado, volverá a reaparecer en el Bureau pero ya reportado por la parte Cesionaria (…) El Cesionario se obliga a no realizar ninguna actuación encaminada al cobro de un Crédito mientras no se haya comunicado su cesión al correspondiente deudor conforme a lo previsto en esta cláusula (…).” Realiza además las siguientes manifestaciones: 1. Contrato de cesión de créditos suscrito el 01/03/2017 entre ALTAIA CAPITAL, S.A.R.L.. y ORANGE ESPAGNE, S.A.U., que, según se manifiesta en el escrito, incluía el crédito objeto de esta denuncia. 2. En el escrito, ALTAIA manifiesta que se envió requerimiento de pago previo a la visualización de los datos en el fichero ASNEF, que se envió a la dirección que le facilitó ORANGE ESPAGNE, S.A.U. (que es distinta a la que aparece en el DNI de la denunciante), poniéndose en servicios postales el 31/03/2017, según certificación de SERVINFORM, S.A. En dicho escrito se informaba que los datos de la denunciante ya se encontraban incluidos en el fichero común ASNEF. 3. En el escrito se manifiesta que los datos de la denunciante en el fichero ASNEF fueron visibles a partir del día 27/04/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 4. Carta de EXPERIAN, aportada por la denunciante, en la que se indica que no existen datos de la denunciante presentes en el fichero BADEXCUG a fecha de 03/10/2017. 5. El día 25/05/2017, se recibió una carta de la denunciante en la que solicitaba la cancelación de sus datos personales. A lo cual, ALTAIA CAPITAL, S.A.R.L.. contestó indicando que consultaría con ORANGE ESPAGNE, S.A.U. para conocer el estado de su expediente. 6. Comunicación firmada el 10/11/2017, enviada a ALTAIA CAPITAL, S.A.R.L.. por la Dirección General de Comercio y Consumo de la Comunidad de Madrid, solicitando que le respondan a una reclamación formulada ante dicha Dirección General por la denunciante, en la que la denunciante solicita que cesen la reclamación de las cantidades que se le reclaman y que cancelen sus datos en los ficheros de su empresa y en el resto de empresas a las que se los hubieran cedido, así como en los ficheros de solvencia patrimonial y de crédito. 7. El día 27/11/2017, recibió la comunicación de la Dirección General de Comercio y Consumo de la Comunidad de Madrid citada anteriormente, y que, en ese momento se solicitó la exclusión de los datos de la denunciante del fichero ASNEF el día 29/11/2017. TERCERO: Con fecha 24 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ALTAIA CAPITAL, S.A.R.L.., por presunta infracción del artículo 4.3 de la LOPD, en relación con la inclusión en ficheros, según arts. 38.1 a), 38.1 c), 39 y 43 del RLOPD, lo cual se tipifica como infracción "GRAVE" según el artículo "44.3 c)" de la citada Ley, con una multa de 120.000 euros. CUARTO: Notificado el acuerdo de inicio, ALTAIA CAPITAL, S.A.R.L.. mediante escrito de fecha 22 de mayo de 2018, formuló alegaciones, significando, lo siguiente: “ALTAIA adquirió la cartera de créditos en el año 2016 y siguió un procedimiento que cumplía literalmente lo establecido en el RDLOPD por entender que se trataba de un supuesto totalmente ajeno a la inclusión de la deuda que regula el artículo 38, ya que la deuda estaba ya anotada en el bureau. Este criterio se deduce de la redacción literal del precepto y estaba además confirmado expresamente por la interpretación que la Agencia había puesto de manifiesto mediante su informe jurídico 449/2013. Por este motivo, no requirió previamente al deudor de pago. Sin embargo, la Agencia cambia repentinamente su criterio y aplica su nueva doctrina a hechos que se habían realizado conforme al anterior criterio y cuya corrección estaba confirmada por la Agencia. Es decir, la Agencia establece una nueva doctrina de interpretación del artículo 38 del RDLOPD y, además de ser totalmente discutible desde el punto de vista jurídico material, lo aplica retroactivamente a actos realizados al amparo del criterio mantenido por el mismo regulador con anterioridad. Asimismo, ALTAIA llevó a efecto en el domicilio contractual la notificación de los cambios en el tratamiento de los datos correspondientes al contrato con ORANGE siguiendo el criterio que había manifestado la Agencia en sus actuaciones precedentes. Pero ahora, la Agencia se separa de su criterio anterior y aplica a los supuestos de actualización de los apuntes en el bureau los requisitos que establecen los artículos 38 y 39 para la inclusión de los datos en el fichero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Sin embargo, la Agencia no puede ignorar que esta actuación supone una aplicación retroactiva de una interpretación perjudicial para el responsable de una pretendida infracción, ni que esta aplicación retroactiva ha sido anulada por el Tribunal de Justicia de la Unión Europea y por el Tribunal Europeo de Derechos Humanos en repetidas ocasiones. Estos dos tribunales constatan que la aplicación retroactiva de los criterios interpretativos de las normas sancionadoras tiene que respetar el principio de seguridad jurídica, que tiene su fundamento en el principio de tipicidad de los delitos y las infracciones y el principio de legalidad de las sanciones.” QUINTO: Con fecha 22 de mayo de 2018, se inició el período de práctica de pruebas, acordándose incorporar al expediente a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/06423/2017 y las alegaciones al acuerdo de inicio del procedimiento PS/00173/2018 presentadas por ALTAIA CAPITAL, S.A.R.L.. SEXTO: Con fecha 19 de junio de 2018 se formuló propuesta de resolución, proponiéndose que se proceda a sancionar a ALTAIA CAPITAL, S.A.R.L.., con una multa de “120.000” € (ciento veinte mil euros) por la infracción del artículo 4.3 de la LOPD, en relación con la inclusión en ficheros, según los arts. 38.1 a), 38.1 c), 39 y 43 del RLOPD, lo cual se tipifica como infracción “GRAVE” según el artículo “44.3 c)” de dicha ley. SEPTIMO: Con fecha de entrada en esta Agencia 21 de junio de 2018, ALTAIA CAPITAL, S.A.R.L.. realizó alegaciones frente a la citada propuesta de resolución, significando, lo siguiente “La Sala de lo Civil del Tribunal Supremo, Sección 1ª, en su sentencia de 13 de febrero de 1988 se pronuncia de la siguiente manera: «Segundo: Nuestro Código Civil, utiliza el mecanismo de la novación, cuando de la cesión de créditos se trata, bien lo sea activa o pasiva, esto es, de un crédito o una deuda y así dice en su artículo 1.203 que las obligaciones pueden modificarse sustituyendo la persona del deudor o subrogando a un tercero en los derechos del acreedor, y aunque para la doctrina moderna sea un acto o negocio abstracto, es lo cierto que la cesión es el modo operativo de la transmisión de obligaciones en cuya virtud el cedente desaparece de la relación jurídica transmitida, mientras el cesionario ocupa su puesto mediante la subrogación, si lo es de créditos, o la asunción si lo es de deudas, con ello hay un cambio en los elementos personales de la relación jurídica de tal forma que el subrogado juntamente con el cedido pasan a constituir sus nuevos elementos de dicho orden, de la que por tanto desaparece el cedente pero bien entendido que es lo único que cambia, pues en lo demás la obligación queda inalterable o invariable en su total contenido y características.» En este sentido, la Audiencia Nacional ha puesto de relieve este hecho en las sentencias de 28 de noviembre de 2017, de 9 de febrero de 2018, de 23 de enero de 2018 y de 9 de marzo de 2018, que resuelven casos idénticos al que se plantea en este caso, razonando que: «Así las cosas, estableciéndose en los artículos 38 y 39 del RLOPD el requerimiento de pago con carácter "previo" a la comunicación o inscripción de los datos en los ficheros de solvencia patrimonial y de crédito, lo que resulta acorde con la finalidad de dicho requerimiento a la que más arriba se ha hecho referencia, y estando inscrita ya la deuda en el citado fichero, no cabe exigir a la entidad recurrente el cumplimiento de dicho requisito que está pensado para supuestos distintos del que aquí nos ocupa, siendo esa falta de requerimiento previo lo que reprocha la resolución recurrida y a la que debe circunscribirse nuestro análisis.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 En definitiva, la invocación al apartado

  1. a)del artículo 38.1 y al 39 RDLOPD es sin duda improcedente, porque la Audiencia Nacional ha resuelto ya, al menos en 4 ocasiones, que dichos artículos, junto con el 40, regulan un supuesto concreto y exclusivo, la inclusión o alta de los datos en el bureau de crédito, que dicho supuesto es diferente del supuesto de actualización de los datos relativos al acreedor cuando la deuda está anotada con anterioridad en el bureau y que, por tanto, la exigencia de dicho requisito es improcedente. La actualización de datos en el bureau de crédito es un tratamiento de datos diferente de la inclusión de la deuda en el bureau y los artículos 38, 39 y 43 del RDLOPD regulan sólo la inclusión de datos en los ficheros de solvencia patrimonial y el crédito. Imputar una infracción de los mencionados artículos cuando el responsable del tratamiento lleva a efecto un tratamiento diferente de la inclusión de datos del fichero, como sucede cuando el responsable actualiza la información cumpliendo el principio de calidad de los datos, vulnera el principio de legalidad e infringe el criterio que la Audiencia Nacional ha reiterado sin contradicción.” OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados:  Hay indicios razonables de diligencia debida en la contratación por ORANGE ESPAGNE, (cedente), ya que se acredita la realización de las llamadas verificadoras de la contratación de las líneas objeto de este caso.  Hay indicios razonables de diligencia debida en la regularización de los hechos denunciados el 15/11/2017, mediante facturas rectificativas y declaración de fraude por ORANGE (cedente)  Se acredita que los datos de la denunciante, tienen una fecha de alta en el fichero ASNEF, por el cedente, el 23/07/2014 y una fecha de baja de 29/11/2017 por ALTAIA.  No consta que ORANGE ESPAGNE (cedente), haya efectuado el debido requerimiento de pago, con carácter previo a la inclusión en ficheros de solvencia patrimonial.  En el contrato de cesión de créditos de 01/03/2017 firmado entre ORANGE y ALTAIA, aparecen entre otras las siguientes cláusulas: En el expositivo IV se puede leer que “…. El cedente ha permitido al Cesionario el análisis y estudio, entre otros, de los datos de los créditos a su satisfacción, …. . El Cesionario recabó toda la información incluida en la Cartera de Créditos y dispuso de un plazo para comprobarla, analizarla y estudiarla. A este respecto, ambas partes aceptan que la información incluida en la Cartera de Créditos, tal y como ha sido y es entregada, es adecuada y suficiente. En el expositivo V se puede leer que. “Que el volumen de la Cartera de Créditos, la heterogeneidad de los Créditos que la componen y, en muchos casos, su antigüedad hace que éste no pueda garantizar al Cesionario, entre otros extremos, que acepta, que los Datos de los Créditos sean siempre correctos y completos. La documentación física relativa a los Créditos con la que cuenta el Cedente no necesariamente es completa ni exhaustiva, pudiendo no existir documentación física respecto de algunos de los Créditos. El Cesionario conoce y acepta todas estas circunstancias y características de los Créditos (…) En el expositivo VII se puede leer que. “... el Cesionario afirma que ha podido informarse completamente y a su satisfacción sobre las características y contenido de la Cartera de Créditos, (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 En el expositivo VIII se puede leer que. “Que, a la vista de lo anterior, el Cedente está interesado en vender y transmitir alzadamente y como dudosa la Cartera de Créditos, no respondiendo de la solvencia de los deudores y/o resto de obligados al pago, circunstancias todas ellas que el Cesionario conoce y acepta. En la cláusula 1.1 se puede leer que “(…) teniendo en cuenta, en especial, el carácter dudoso de todos y cada uno de los Créditos,(…) El CESIONARIO afirma conocer y aceptar que la Cartera de Créditos objeto del presente Contrato incorpora créditos cuyas acciones pueden haber prescrito. “Que se ha depurado la cartera objeto de cesión con el fin de eliminar aquellos deudores en los que se haya detectado algún tipo de fraude” En la cláusula 2 se puede leer que “(…) Sin perjuicio de que sólo a partir de la fecha del presente acuerdo corresponde al Cesionario, como titular de los Créditos, cualquier gestión para el cobro de éstos. En la cláusula 3 se puede leer que “(…) las partes manifiestan que procede notificar a los deudores de los créditos la cesión de éstos y de los Datos de los Créditos por el Cedente al Cesionario. A tal efecto, han acordado el envío de una comunicación efectuada por empresa distribuidora que acredite el envío de la comunicación firmada por un representante de cada Parte siguiendo los modelos que se adjuntan como Anexos 1 y 2 respectivamente, en el plazo de 60 días desde la fecha del presente acuerdo. El procedimiento de envío acordado por las partes será el coloquialmente conocido como procedimiento de ocultación o cambio de titularidad en el bureau. Así, se realizarán las siguientes actuaciones: - El cedente notificará al bureau las cuentas que se van a ceder. - A la fecha de la firma del contrato el bureau oculta esa información, es decir, no es visible para terceros que consulten el mismo. - El cesionario enviará la Hello-Goodbye Letter recogida en el Anexo 2 a través del bureau (como tercero de confianza) informando que en el caso que no abone su deuda en el plazo de los 15 días siguientes a la recepción de la carta, volverá a constar en bureau (…). Transcurridas tres semanas desde el envío, si el cliente no hubiera pagado, volverá a reaparecer en el Bureau pero ya reportado por la parte Cesionaria (…) El Cesionario se obliga a no realizar ninguna actuación encaminada al cobro de un Crédito mientras no se haya comunicado su cesión al correspondiente deudor conforme a lo previsto en esta cláusula (…).”  Consta que desde el 01/03/2017, (fecha de la contratación de cesión) los datos de la denunciante se encuentran informados por ALTAIA en ASNEF.  Consta que la notificación de cesión y requerimiento de pago se depositó en el servicio de correos el 31/03/2017.  Consta que en la carta de notificación de requerimiento de pago y/o cesión de crédito, se advierte a la denunciante que sus datos ya se encontraban incluidos en el fichero común ASNEF. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 II En el presente caso se denuncia a ALTAIA CAPITAL, S.A.R.L.. por incluir indebidamente los datos personales de la denunciante en ficheros de solvencia patrimonial y de crédito. De las actuaciones de investigación llevadas a cabo por esta Agencia, se ha constatado que según el citado contrato de cesión de deuda, ambas partes contratantes tenían conocimiento de que los datos de la denunciante ya estaban incluidos en el fichero de solvencia patrimonial ASNEF, y que no todos los créditos objeto de cesión, cumplían con el principio de calidad de datos (art. 4 LOPD), no sólo respecto de la existencia de la deuda sino tampoco con el requisito del requerimiento de pago conforme señala el artículo 43 RLOPD. Por ello no procede considerar el principio de buena fe en la contratación de la cesión de deuda por ambas partes implicadas, implícito en el tráfico mercantil. Se ha constatado que en la carta de notificación de requerimiento de pago y/o cesión de crédito, depositado en correos el 31/03/2017, se advierte a la denunciante que sus datos ya se encontraban incluidos en el fichero común ASNEF, sin que conste por parte de ALTAIA actuación diligente alguna de regularización de los hechos denunciados, continuando indebidamente incluidos los datos de la denunciante en el fichero ASNEF hasta el 29/11/2017, y decimos indebidamente no sólo por falta de requerimiento de pago, sino también por tratarse de una deuda inexistente, así reconocida por ORANGE ESPAGNE, S.A.U., vulnerando en consecuencia el art. 4 de la LOPD y en consecuencia el art. 43 del RLOPD que lo desarrolla. Además, se debe señalar que debido a la elevada cantidad de créditos adquiridos por ALTAIA -según consta en el expediente-, y a las citadas cláusulas del contrato de cesión de créditos de 01/03/2017, firmado entre ALTAIA CAPITAL, S.A.R.L.., y ORANGE ESPAGNE, se han puesto en riesgo los derechos de todos los afectados por la cesión, por lo que si bien esta Agencia sólo ha intervenido hasta el momento respecto de los casos denunciados, valorará la gravedad de dicho riesgo por la extensión de sus efectos, al establecer la cuantía de la sanción a imponer. Así consta que de forma reiterada (ver contrato de cesión de fecha 29/02/2016) ALTAIA CAPITAL, S.A.R.L.., ha procedido a mantener los datos de todos los afectados en la cesión de créditos en el fichero ASNEF, sin actuar con la diligencia debida, y que como cesionario de la cartera de créditos, se hace plenamente responsable de que los datos personales que adquiere, cumplan con el principio de calidad (art. 4.3 LOPD, y 38, 39 y 43 del RLOPD), pues de lo contrario se vaciaría el contenido de la norma con la simple transmisión de datos a un tercero. III Los hechos expuestos podrían suponer la comisión por parte de ALTAIA CAPITAL, S.A.R.L.., de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), que señala que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, en relación con los artículos 38.1 a), 38.1 c), 39 y 43 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD); infracción tipificada como grave en el artículo 44.3.
  3. c)de la LOPD, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica, estos dos últimos artículos según redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 IV ALTAIA CAPITAL, S.A.R.L.. realizó alegaciones significando, lo siguiente “La Sala de lo Civil del Tribunal Supremo, Sección 1ª, en su sentencia de 13 de febrero de 1988 se pronuncia de la siguiente manera: «Segundo: Nuestro Código Civil, utiliza el mecanismo de la novación, cuando de la cesión de créditos se trata, bien lo sea activa o pasiva, esto es, de un crédito o una deuda y así dice en su artículo 1.203 que las obligaciones pueden modificarse sustituyendo la persona del deudor o subrogando a un tercero en los derechos del acreedor, y aunque para la doctrina moderna sea un acto o negocio abstracto, es lo cierto que la cesión es el modo operativo de la transmisión de obligaciones en cuya virtud el cedente desaparece de la relación jurídica transmitida, mientras el cesionario ocupa su puesto mediante la subrogación, si lo es de créditos, o la asunción si lo es de deudas, con ello hay un cambio en los elementos personales de la relación jurídica de tal forma que el subrogado juntamente con el cedido pasan a constituir sus nuevos elementos de dicho orden, de la que por tanto desaparece el cedente pero bien entendido que es lo único que cambia, pues en lo demás la obligación queda inalterable o invariable en su total contenido y características.» En este sentido, la Audiencia Nacional ha puesto de relieve este hecho en las sentencias de 28 de noviembre de 2017, de 9 de febrero de 2018, de 23 de enero de 2018 y de 9 de marzo de 2018, que resuelven casos idénticos al que se plantea en este caso, razonando que: «Así las cosas, estableciéndose en los artículos 38 y 39 del RLOPD el requerimiento de pago con carácter "previo" a la comunicación o inscripción de los datos en los ficheros de solvencia patrimonial y de crédito, lo que resulta acorde con la finalidad de dicho requerimiento a la que más arriba se ha hecho referencia, y estando inscrita ya la deuda en el citado fichero, no cabe exigir a la entidad recurrente el cumplimiento de dicho requisito que está pensado para supuestos distintos del que aquí nos ocupa, siendo esa falta de requerimiento previo lo que reprocha la resolución recurrida y a la que debe circunscribirse nuestro análisis.» En definitiva, la invocación al apartado
  4. a)del artículo 38.1 y al 39 RDLOPD es sin duda improcedente, porque la Audiencia Nacional ha resuelto ya, al menos en 4 ocasiones, que dichos artículos, junto con el 40, regulan un supuesto concreto y exclusivo, la inclusión o alta de los datos en el bureau de crédito, que dicho supuesto es diferente del supuesto de actualización de los datos relativos al acreedor cuando la deuda está anotada con anterioridad en el bureau y que, por tanto, la exigencia de dicho requisito es improcedente. La actualización de datos en el bureau de crédito es un tratamiento de datos diferente de la inclusión de la deuda en el bureau y los artículos 38, 39 y 43 del RDLOPD regulan sólo la inclusión de datos en los ficheros de solvencia patrimonial y el crédito. Imputar una infracción de los mencionados artículos cuando el responsable del tratamiento lleva a efecto un tratamiento diferente de la inclusión de datos del fichero, como sucede cuando el responsable actualiza la información cumpliendo el principio de calidad de los datos, vulnera el principio de legalidad e infringe el criterio que la Audiencia Nacional ha reiterado sin contradicción.” V Una vez analizada y estudiada la documentación aportada, destacar que a través de las actuaciones de investigación practicadas por esta Agencia, se ha tenido conocimiento de que ALTAIA compró una cartera de créditos de ORANGE ESPAGNE, S.A.U., el 01/03/2017. El 16/12/2017, ORANGE ESPAGNE, S.A.U., reconoce la improcedencia de la deuda y procede a cancelar las facturas de la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 Sin embargo, los datos de la denunciante siguen incluidos en el fichero ASNEF hasta el 16/12/2017. Por lo tanto, la inclusión de los datos de la denunciante en el fichero ASNEF, desde el 01/03/2017 fecha de la cesión de la deuda realizada entre ORANGE y ALTAIA CAPITAL S.A.R.L. hasta el 16/12/2017, fecha en la que se solicita la exclusión, es responsabilidad de ALTAIA. V Además, se debe señalar que debido a la elevada cantidad de créditos cedidos por ORANGE -según consta en el expediente-, y a las citadas cláusulas del contrato de cesión de créditos de 01/03/2017, firmado entre ALTAIA CAPITAL, S.A.R.L.., y ORANGE ESPAGNE, se han puesto en riesgo los derechos de todos los afectados, por lo que si bien esta Agencia sólo ha intervenido hasta el momento respecto de los casos denunciados, valorará la gravedad de dicho riesgo por la extensión de sus efectos, al establecer la cuantía de la sanción a imponer. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. VII De las evidencias obtenidas en la fase de investigaciones previas, se estima que la sanción a imponer –que estará comprendida en los márgenes que el artículo 45.2 LOPD fija para las infracciones graves- ha de graduarse de acuerdo con el artículo 45.4 LOPD. Agravantes:  Por el carácter continuado de la infracción, (apartado a): Los datos personales de la denunciante se mantuvieron incluidos en ASNEF sin cumplir los requisitos exigidos legalmente, al menos, desde 01/03/2017, fecha en que se formalizó la contratación de cesión de créditos entre ALTAIA CAPITAL, S.A.R.L.. y ORANGE ESPAGNE, S.A.U., hasta la fecha de su última visualización el 29/11/2017, es decir, al menos, algo más de dos meses.  Por la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (apartado c): La actividad empresarial desarrollada por la denunciada exige, por su propia naturaleza, un continuo tratamiento de datos de carácter personal de los clientes.  Por el volumen de negocio o actividad del infractor (apartado d): Sobre esta circunstancia subrayar que se trata de una gran empresa en su sector de negocio.  Por los beneficios obtenidos como consecuencia de la comisión de la infracción (apartado 4 e), toda vez constatada la elevada cuantía acreditada en el expediente.  Por el grado de intencionalidad (apartado 4.f), ya que ALTAIA es conocedora en todo momento de los hechos denunciados, tal y como se acredita en el contrato de cesión de créditos de 01/03/2017.  Por reincidencia por comisión de infracciones de la misma naturaleza (apartado 4.g).  Por deficiencias reiteradas que vulneran la LOPD, en el protocolo de inclusión de los datos personales en el fichero de solvencia patrimonial ASNEF tras la adquisición y compra de deuda de terceros siendo conocedora de aquellas, toda vez que ya ha sido sancionada por el uso del mismo protocolo de adquisición de deudas (apartado 4
  20. j)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Las alegaciones realizadas, y las medidas adoptadas, no acreditan que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5 de la LOPD. En el presente caso, se debe insistir en que correspondía a la entidad ALTAIA acreditar que los créditos comprados a ORANGE contaban con todos los requisitos para su mantenimiento en el fichero común de solvencia, cosa que no hizo, por lo que no cumplió con la diligencia mínima exigible a la que estaba obligada (conforme dispone el art. 43 del RLOPD) para el mantenimiento de los datos en el citado fichero común de solvencia, tras la adquisición de la deuda a ORANGE, dando lugar a graves perjuicios a los denunciantes por la sola inclusión de sus datos identificativos en los ficheros. Además ALTAIA conocía el estado de la deuda toda vez que en el propio contrato de adquisición así se refleja de forma explícita, motivo por el que adquiere especial relevancia el agravante de culpabilidad e intencionalidad del art. 45.4
  21. f)y el de beneficios obtenidos dada la cuantía pecuniaria del contrato (45.4 e), por lo que queda justificada la proporcionalidad de la sanción propuesta. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ALTAIA CAPITAL, S.A.R.L.. con NIF D.D.D., por una infracción del artículo 4.3 de la LOPD de la LOPD, tipificada como GRAVE en el artículo 44.3
  22. c)de la LOPD, una multa de 120.000 €, (ciento veinte mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ALTAIA CAPITAL, S.A.R.L.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.