← España

PS-00182-2014

1/12 Procedimiento Nº PS/00182/2014 RESOLUCIÓN: R/01982/2014 En el procedimiento sancionador PS/00182/2014, instruido por la Agencia Española de Protección de Datos a la entidad CITIFIN, S.A. E.F.C., vista la denuncia presentada por DÑA. D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 17/05/2012, tuvo entrada en esta Agencia un escrito de DÑA. D.D.D. (en lo sucesivo la denunciante) en el que declara que la entidad CITIFIN, S.A. E.F.C. (en lo sucesivo CITIFIN) lleva desde el 30/03/2011 cargando en una cuenta bancaria de su titularidad y de su esposo un recibo a nombre de otra persona, que nada tiene que ver con los titulares de la cuenta. Añade que contactó con CITIFIN todos los meses, sin que el problema haya sido resuelto. Aporta la denunciante copia de seis notificaciones de cargo por domiciliación, fechadas el 10/08/2011, 03/11/2011, 03/01/2012, 02/02/2012, 02/03/2012 y 03/04/2012, todas ellas realizadas por CITIFIN a nombre DÑA. C.C.C.. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia solicitaron a la entidad Banco Bilbao Vizcaya Argentaria, S.A. información acerca de los cargos realizados por CITIFIN, objeto de la denuncia. Dicha entidad informó lo siguiente: a. Que DÑA. C.C.C. no es titular, ni cotitular, ni autorizada de la cuenta de cargo F.F.F.. b. Que los titulares de dicha cuenta son D. A.A.A. y la denunciante, aportando impresión de pantalla acreditativa. c. Que en los sistemas de la entidad, cuando hay un cargo contra una cuenta, se lleva a cabo la anotación de dicho cargo, pero al no coincidir la titularidad que consta en el recibo con la de los titulares de la cuenta el sistema lo repele de forma automática. Aun habiendo quedado huella de que el cargo se anotó en cuenta, nunca llegó a hacerse efectivo, no habiendo existido detracción económica alguna de la cuenta de los reclamantes Sí queda la información, lo que entendemos debe conocer el cliente por dos motivos: por si es de su interés que se cargue el recibo, aun cuando venga a nombre de un tercero, o bien, para que el titular de la cuenta pueda ejercer su derecho si terceros pretenden estar interactuando con su número de cuenta. d. Aporta la entidad la relación de cargos recibidos de CITIFIN contra la cuenta de la denunciante, constando cinco cargos con fechas de operación 03/01/2012, 02/02/2012, 02/03/2012, 03/04/2012 y 10/05/2012. Consta, igualmente, la anulación de dichos cargos en la misma fecha o cercana a la del cargo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 TERCERO: Mediante resolución de fecha 04/06/2013, el Director de la Agencia acordó el archivo de actuaciones previas de investigación iniciadas con motivo de la denuncia reseñada en el Antecedente Primero, por caducidad de las mismas, ordenando el inicio de nuevas actuaciones señaladas con el número E/03223/2013, por si los hechos denunciados pudiesen ser constitutivos de vulneración de la normativa de protección de datos, llevándose a cabo las siguientes comprobaciones: 1. A requerimiento de la Inspección de Datos, con fecha 19/08/2013, la denunciante aportó copia de la siguiente documentación: - Página de una factura emitida por la operadora de telefonía con la que la denunciante tiene contratada su línea, de fecha 01/03/2012, en la que constan dos llamadas al número ***TEL.1. - Factura de la misma operadora, de fecha 21/05/2012, en las que constan llamadas realizadas en fechas 28 y 30/4/2012 así como de los días 2, 4 y 09/05/2012 a los teléfonos números ***TEL.2 y ***TEL.1. - Factura de fecha 21/06/2012 en las que constan llamadas realizadas en fechas 23 y 26/5/2012, así como en fecha 07/06/2012 al teléfono número ***TEL.3. - Factura de fecha 21/07/2012 en las que constan llamadas realizadas en fechas 25/06/2012, 10 y 17/07/2012 a los teléfonos ***TEL.3, ***TEL.1 y ***TEL.4. - Factura de fecha 21/08/2012 en las que constan llamadas realizadas en fechas 23/06/2012 y 06/08/2012 a los teléfonos ***TEL.5, ***TEL.3 y ***TEL.1. - Correo electrónico de fecha 09/05/2012 por el que la denunciante recibe respuesta de su correo de fecha 07/06/2012. Dicho correo es una respuesta automática al correo electrónico de la denunciante, y en el que se le informa, en inglés, que la entrega del correo ha fallado. 2. Según consta en Diligencia de fecha 29/10/2013, la Inspección actuante realizó llamadas a las líneas telefónicas señaladas por la denunciante para comprobar las entidades que atendían dichas líneas, con el siguiente resultado: - ***TEL.6 Se trata de una línea de CITIFIN. - ***TEL.7 Se trata de una tercera entidad distinta de CITIFIN - ***TEL.8 Se corta la comunicación. - ***TEL.9 Se trata de una línea de Citybank. - ***TEL.10 Se trata de una línea de Citibank. - ***TEL.11 Se trata de una tercera entidad distinta de CITIFIN. 3. Con fecha 31/10/2013, se realizó visita de inspección a CITIFIN durante la cual los inspectores de la Agencia accedieron a los sistemas de información de la entidad, realizándose las siguientes comprobaciones: a. Se accede a la aplicación LINCE. Se realiza una búsqueda por los apellidos C.C.C., no encontrándose clientes que cumplan dicho criterio de búsqueda. Se realiza una búsqueda por los apellidos C.C.C., encontrándose cinco clientes que cumplen dicho criterio de búsqueda. Ninguno de ellos coincide con C.C.C. ni similar. Se realiza una búsqueda por los apellidos D.D.D., no encontrándose clientes que cumplan dicho criterio de búsqueda. Se realiza una búsqueda del número de producto J.J.J. no encontrándose ningún registro que se corresponda a dicho número. Se realiza una búsqueda del número de cliente J.J.J. no encontrándose ningún registro que corresponda a dicho número. b. Se realiza un acceso a la aplicación FOBOTORD, utilizada por el call Center de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 entidad en Colombia. Se realiza una búsqueda por los apellidos C.C.C., no encontrándose clientes que cumplan dicho criterio de búsqueda. Se realiza una búsqueda por los apellidos H.H.H., no encontrándose clientes que cumplan dicho criterio de búsqueda. Se realiza una búsqueda por los apellidos D.D.D., no encontrándose clientes que cumplan dicho criterio de búsqueda. c. Se muestran a los representantes de la entidad los recibos aportados por la denunciante, así como la relación de cargos realizados por el BBVA, en los que se observa que efectivamente CITIFIN ha girado una serie de cargos a la cuenta de la denunciante. Manifiestan los representantes de la entidad que puede haber sido vendida la deuda, por lo que ya no estaría activa y por ello no se encuentra en la aplicación. d. Se requirió el acceso a las aplicaciones de la entidad por un usuario con mayor nivel de acceso. En la aplicación de gestión de impagados CACS se realizó una búsqueda por los apellidos C.C.C., encontrándose un cliente de nombre B.B.B.. Se comprueba que tiene un préstamo con número I.I.I. concedido por CITIFIN desde 10/06/2008 y cuyos pagos figuran domiciliados en la cuenta G.G.G.. Se accede, asimismo, al registro de contactos relativos a los impagos de dicha cuenta. Se comprueba que figuran una serie de pagos a través de correos en fechas 06/06/2011, 09/08/2011, 31/05/2012, entre otros. Aparece un comentario de fecha 04/08/2011 en el que se anota que el titular del préstamo informa que no atiende los recibos por el banco, sino que los paga por correos; el BBVA le comenta que la responsabilidad es de CITIFIN, en tanto que CITIFIN dice que la responsabilidad es del BBVA. Aparece un comentario de fecha 08/11/2011 en el que se anota que el titular no solicita cambio, pero que los recibos del préstamo se están girando a otra cuenta, se solicita que actualice su cuenta para evitar que se giren los recibos a otro cliente. En esta anotación se indica: “se activa cta para cambio doba tit no lo solicita pero recibos de ella se están enviando a cta de otro cliente… A tit C.C.C. se le registró cuenta del BBVA que no corresponde a ella su cta es de La Caixa inf siempre paga por correos se le inf se debe act su cta para evitar que sus recibos lleguen a la cta de otra cliente gestión aut por superv”. Aparece otra anotación de la misma fecha, en el que consta que el titular se niega a facilitar otra cuenta, que insiste en que pagará por correos. Manifiestan los representantes de la entidad que no pueden cambiar el número de cuenta por otro sin que el cliente lo solicite, estando obligados a que figure un número de cuenta al que girar los recibos. 4. Se emplazó a los representantes de la entidad para que aportasen copia de la siguiente documentación. a. Documentación acreditativa del motivo por el que se giraron los recibos del préstamo de Dña. B.B.B. a la cuenta número G.G.G.. Dicha documentación no ha sido aportada, en su lugar aporta la entidad copia de la Solicitud-Contrato de Préstamo Mercantil suscrito por la entidad con la mencionada señora, de fecha 09/06/2008, en el que consta como cuenta de domiciliación de pagos la número E.E.E., diferente de la cuenta de la denunciante. b. Registros y grabaciones de los siguientes contactos realizados por la denunciante, DÑA. D.D.D.: - En el teléfono ***TEL.6 el 7/2/2012 (9:42). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 - En el teléfono ***TEL.7 el 28/04/2012 (12:31) y el 30/04/2012 (9:25) En el teléfono ***TEL.6 el 02/05/2012 (11:15 h), el 09/05/2012 (9:48) y 10/05/2012 (10:14). La entidad ha aportado las siguientes grabaciones: - Llamada 07/02/2012, de 9:25 minutos, en la que la denunciante reitera una reclamación anterior, en la que informaba que está recibiendo en su cuenta cargos de una tercera persona, lo que le produce descubiertos por los que tiene que pagar intereses, y que el problema persiste desde hace meses en que informó del mismo, pese a que le manifestaron que sería resuelto en breve, si bien 10 meses después todavía está sin resolver. La teleoperadora toma nota e informa a la denunciante que pasará la incidencia al área encargada para su resolución. - Llamada de fecha 02/05/2012, de 9:25 minutos, en la que la denunciante reitera las reclamaciones anteriores e informa a la entidad de las numerosas molestias que le está ocasionando el error de la misma. La teleoperadora le facilita un correo electrónico a través del cual presentar la reclamación. - Llamada de fecha 09/05/2012, de 7:20 minutos: la denunciante nuevamente reitera el problema, que persiste ya desde hace un año, que ha mandado el correo electrónico a la dirección que le fue facilitada, que le ha sido respondido en ingles. Solicita que se le pase con el servicio de reclamaciones, siendo informada por la teleoperadora que dicho servicio no atiende directamente a los clientes, sino que se debe hacer por fax, correo. - Llamada 10/05/2012, de 18:35 minutos: la denunciante exige la solución del problema, informa que ha puesto una denuncia ante esta Agencia, y señala que conoce los datos de la persona a la que corresponden los recibos que se emiten con cargo a su cuenta, tanto el nombre como la deuda, los recibos que paga y el numero de cuotas que debe; pese a todo, el problema persiste pasado más de un año. El operador informa que se está tratando la incidencia anotada el día anterior. CUARTO: Con fecha 26/03/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CITIFIN, por la presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. b)de la citada LOPD, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, la entidad CITIFIN formuló alegaciones, en el que reconoce voluntariamente su responsabilidad por los hechos denunciados y solicita, en base a ello, la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, con la imposición de una multa por el importe previsto para las infracciones leves en su cuantía mínima, considerando el error bancario sufrido en la tramitación de las reclamaciones formuladas por la denunciante ante la entidad motivadas por la incorrecta consignación del número de la cuenta. Se trató de un error humano e involuntario en el cambio de números de cuentas corrientes por el operador telefónico que atendió una llamada previa de cambio de cuenta corriente para el pago de los recibos del préstamo personal realizada por la denunciante. Añade que ha tomado medidas para evitar que otras reclamaciones queden desatendidas, entre ellas, la revisión de las listas de trabajo, actualización y reasignación de los trabajos pendientes; revisión de todos los casos para comprobar si existía resolución de la incidencia; revisión del procedimiento de cambio de domiciliación bancaria; instrucciones al respecto a los supervisores. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Por otra parte, comunica que la entidad se encuentra en liquidación desde hace algunos años. SEXTO: Con fecha 25/04/2014, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/00182/2014. Asimismo, se dieron por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/00182/2014 presentadas por CITIFIN. SEPTIMO: Con fecha 29/07/2014, se emitió propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancione a la entidad CITIFIN con multa de 20.000 euros (veinte mil euros), por la infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.b), y de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. Notificada la citada propuesta, el plazo concedido a CITIFIN para formular alegaciones transcurre sin que en esta Agencia se haya recibido escrito alguno. HECHOS PROBADOS 1. Con fecha 09/06/2008, DÑA. B.B.B. suscribió con la entidad CITIFIN un Contrato de Préstamo Mercantil, con número I.I.I., en el que consta como cuenta de domiciliación de pagos la señalada con el número E.E.E.. 2. Con fecha 31/10/2013, durante la inspección realizada a CITIFIN, los Servicios de Inspección de la AEPD accedieron al sistema de información de la entidad CITIFIN, comprobando que Dña. B.B.B. figura como titular del préstamo con número I.I.I., concedido el 10/06/2008, cuyos pagos figuran domiciliados en la cuenta G.G.G.. 3. La denunciante, DÑA. D.D.D., y D. A.A.A. son titulares de la cuenta bancaria señalada con el número G.G.G.. 4. La denunciante ha manifestado ante la AEPD que desde el 30/03/2011 se realizan cargos en la cuenta bancaria de su titularidad, reseñada en el Hecho Probado Tercero, a nombre de DÑA. B.B.B. por el préstamo número I.I.I.. Constan incorporados a las actuaciones seis notificaciones de cargo por domiciliación, fechadas el 10/08/2011, 03/11/2011, 03/01/2012, 02/02/2012, 02/03/2012 y 03/04/2012, por cuotas correspondientes al préstamo indicado, todos ellos realizados por CITIFIN. En dichos recibos consta como “titular” DÑA. C.C.C.. 5. En los sistemas de información de la entidad CITIFIN constan los siguientes contactos realizados con la misma por DÑA. D.D.D.: . En el teléfono ***TEL.6 el 07/02/2012. . En el teléfono ***TEL.7 el 28/04/2012 y el 30/04/2012. . En el teléfono ***TEL.6 el 02/05/2012, el 09/05/2012 y 10/05/2012. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 La entidad aportó a los servicios de inspección las siguientes grabaciones relativas a los contactos señalados: . Llamada 07/02/2012, de 9:25 minutos, en la que la denunciante reitera una reclamación anterior, señalando que está recibiendo en su cuenta cargos de una tercera persona, lo que le produce descubiertos por los que tiene que pagar intereses, advirtiendo que el problema persiste desde hace meses y que, 10 meses después, está sin resolver. La teleoperadora toma nota e informa a la denunciante que pasará la incidencia al área encargada para su resolución. . Llamada de fecha 02/05/2012, de 9:25 minutos, en la que la denunciante reitera las reclamaciones anteriores e informa a la entidad de las numerosas molestias que le está ocasionando el error de la misma. La teleoperadora le facilita un correo electrónico a través del cual presentar la reclamación. . Llamada de fecha 09/05/2012, de 7:20 minutos: la denunciante nuevamente reitera el problema, que persiste ya desde hace un año, que ha mandado el correo electrónico a la dirección que le fue facilitada, que le ha sido respondido en ingles. Solicita que se le pase con el servicio de reclamaciones, siendo informada por la teleoperadora que dicho servicio no atiende directamente a los clientes, sino que se debe hacer por fax, correo. . Llamada 10/05/2012, de 18:35 minutos: la denunciante exige la solución del problema, informa que ha puesto una denuncia ante la AEPD, y señala que conoce los datos de la persona a la que corresponden los recibos que se emiten con cargo a su cuenta, tanto el nombre como la deuda, los recibos que paga y el numero de cuotas que debe; pese a todo, el problema persiste pasado más de un año. El operador informa que se está tratando la incidencia anotada el día anterior. 6. Con fecha 07/05/2012, la denunciante remitió un correo electrónico a la dirección “reclamaciones.cliente@..................”, recibiendo un correo automático de respuesta, de 09/05/2012, en el que se le informa, en inglés, que la entrega del correo ha fallado. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II En las presentes actuaciones, consta acreditado que CITIFIN ha utilizado los datos personales de la denunciante, concretamente el relativo a su cuenta bancaria, para emitir con cargo a la misma recibos por cuotas de un préstamo cuya titularidad no corresponde a la denunciante, habiendo registrado dicho dato, además, en sus sistemas de información. La incorporación a los archivos de la entidad imputada de la cuenta bancaria y su utilización en la emisión de recibos constituye un tratamiento de datos personales en el sentido expresado en la LOPD. A este respecto, debe señalarse que el artículo 3.
  3. c)de la LOPD define el tratamiento de datos como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar el principio de consentimiento consagrado en el artículo 6 de la LOPD, según el cual: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), “... consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular...”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por tanto, para que el tratamiento de los datos personales de la denunciante realizado por CITIFIN resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el supuesto examinado alguno de los requisitos contemplados en el artículo 6 de la LOPD. En el presente caso ha quedado acreditado, por un lado, que la denunciante no es cliente de CITIFIN y, por otro, que esta entidad trató los datos de carácter personal de aquella, el relativo a su cuenta bancaria, para el cobro de las cuotas correspondientes a un préstamo que no había contratado, registrando, además, dicho dato en sus ficheros. Por otra parte, CITIFIN no ha aportado ninguna documentación que acredite el origen de los datos personales de la denunciante, que no es cliente de dicha entidad, ni que el mencionado tratamiento se realizase con el consentimiento de la misma. Al contrario, la documentación aportada por la propia entidad, en concreto, el “Contrato de préstamo” suscrito por un tercero, y las constataciones realizadas por los Servicios de Inspección, acreditan que los datos de la denunciante se utilizaron sin su consentimiento, según ha reconocido, además, la entidad imputada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Por tanto, CITIFIN realizó un tratamiento de los datos personales de la denunciante sin su consentimiento, sin estar habilitada para ello y sin que concurra ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD. La citada entidad no ha acreditado que la denunciante hubiese prestado el necesario consentimiento previo para el tratamiento de sus datos, y tampoco concurre ninguno de los supuestos exentos de prestar tal consentimiento, de modo que se considera infringido el citado artículo 6.1 de la LOPD. Además, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31/05/2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por otra parte, el tratamiento de los datos de la denunciante se llevó a cabo en contra de la voluntad expresa de la misma, que había manifestado reiteradamente a aquella entidad la incidencia producida y solicitado la rectificación oportuna. Consta acreditado en las actuaciones, que la denunciante contactó reiteradamente con CITIFIN (en los sistemas de información de la entidad figuran registrados al menos seis contactos telefónicos, de los que la misma aportó cuatro grabaciones) para advertir que se estaban produciendo durante meses cargos en su cuenta bancaria que correspondían a un tercero, según el detalle reseñado en el Hecho Probado Quinto, y, asimismo, sobre su intención de formular denuncia ante la Agencia Española de Protección de Datos en caso de que su petición no fuese atendida. Pese a ello, en los meses siguientes continuaron realizándose los cargos y, al menos hasta el 31/10/2013, fecha en que tuvo lugar la inspección realizada a CITIFIN, el dato relativo a la cuenta bancaria de la denunciante estuvo registrado en los sistemas de información de la entidad CITIFIN (Hecho Probado Segundo). A este respecto, el artículo 16.1 de la LOPD establece lo siguiente: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación . 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 responsable del tratamiento y el interesado”. Resulta, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida plenamente imputable a dicha entidad, que trató los datos de la denunciante sin su consentimiento y sin atender las reclamaciones formuladas por la misma para que CITIFIN cesara en los tratamientos señalados. Por lo tanto, se estima vulnerado por la entidad imputada el artículo 6.1 de la LOPD, en relación con el artículo 16.1 de la misma norma, considerando que la entidad CITIFIN infringió la normativa de protección de datos personales en el sentido expuesto, por el tratamiento de los datos en cuestión sin el consentimiento de la afectada y por no hacer efectivo el derecho ejercitado por la misma para la cancelación de tales datos. En consecuencia, por todo lo que antecede se considera infringido el artículo 6.1 de la LOPD por parte de CITIFIN. III El artículo 44.3.
  4. b)de la LOPD considera infracción grave: “
  5. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio cuya vulneración se imputa a la entidad CITIFIN, el del consentimiento, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional. En este caso, la entidad CITIFIN ha incurrido en la infracción descrita ya que ha vulnerado el citado principio, consagrado en el artículo 6.1 de la LOPD, por tratar los datos de la denunciante sin su consentimiento, que encuentran su tipificación en el artículo 44.3.
  6. b)de la citada Ley Orgánica. IV El artículo 45.1, 2, 4 y 5 LOPD establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En cuanto a la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, la Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<… no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos”. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso, se estima que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves por la concurrencia de varios de los criterios enunciados en el artículo 45.4 de la LOPD, considerando que la entidad CITIFIN ha reconocido voluntariamente su responsabilidad, por el volumen de los tratamientos y la ausencia de beneficios. La consideración del reconocimiento voluntario de la responsabilidad para el establecimiento de la cuantía de la sanción ya se advertía en el acuerdo de apertura del presente procedimiento sancionador, en el que expresamente se indica lo siguiente: “… así como la posibilidad de reconocer voluntariamente su responsabilidad a los efectos previstos en el artículo 8 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora y del establecimiento de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso de acuerdo con lo previsto en el artículo 45.5
  22. d)de la ley 15/1999 de 13 de diciembre de protección de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 carácter personal”. Por ello, procede imponer una multa cuyo importe se encuentre entre 900 y 40.000 euros, en aplicación de lo previsto en el apartado 1 del citado artículo 45 de la LOPD, al tener la infracción imputada la consideración de grave y por aplicación de lo dispuesto en el apartado 5 del mismo artículo. Consta acreditado en las actuaciones, que la denunciante contactó reiteradamente con CITIFIN (en los sistemas de información de la entidad figuran registrados al menos seis contactos telefónicos, de los que la misma aportó cuatro grabaciones) para advertir que se estaban produciendo durante meses cargos en su cuenta bancaria que correspondían a un tercero, según el detalle reseñado en el Hecho Probado Quinto, y sobre su intención de formular denuncia ante la Agencia Española de Protección de Datos en caso de que su petición no fuese atendida. En el presente caso, por tanto, se tienen en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular, el carácter continuado de la infracción, la vinculación de la actividad de la entidad infractora con la realización de tratamientos de carácter personal y que no se tiene conocimiento del origen del datos relativo a la enunciante registrado por CITIFIN. Asimismo, se tiene en cuenta especialmente que la denunciante advirtió reiteradamente a CITIFIN sobre la incidencia que venía produciéndose (en los sistemas de información de la entidad figuran registrados al menos seis contactos telefónicos) y que, a pesar de ello, fue necesaria la denuncia ante la AEPD para que cesara en los tratamientos de datos analizados en estas actuaciones. En base a lo expuesto, procede la imposición de una multa por importe de 20.000 euros por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CITIFIN, S.A. E.F.C., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  23. b)de dicha norma, una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a CITIFIN, S.A. E.F.C. y a DÑA. D.D.D.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.