← España

PS-00182-2017

1/16 Procedimiento Nº PS/00182/2017 RESOLUCIÓN: R/02997/2017 En el procedimiento sancionador PS/00182/2017, instruido por la Agencia Española de Protección de Datos a la entidad OK MONEY SPAIN, S.L., vista la denuncia presentada por D. C.C.C. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 17/05/2016 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. C.C.C. (en adelante el denunciante) en el que manifiesta que “OK MONEY EXCHANGE”, OK MONEY SPAIN, S.L.U., (en adelante OK MONEY o la denunciada) ha comunicado sus datos personales al fichero de solvencia patrimonial ASNEF sin requerirle previamente el pago de la deuda que ha motivado tal inclusión. Adjunta copia de un documento de EQUIFAX que detalla que el 08/04/2016 sus datos personales estaban incluidos en el fichero ASNEF a solicitud de OK MONEY siendo la fecha de alta de la anotación el 28/10/2015. La inclusión se produjo por una deuda de 302 euros derivada de un producto de “Préstamos personales”. Asociado al NIF del denunciante figuraban en ASNEF los siguientes datos del afectado: su nombre y dos apellidos y un domicilio en ***DIRECCIÓN.1 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a OK MONEY teniendo conocimiento de los siguientes extremos: - En respuesta a la petición informativa de la Inspección de Datos, la denunciada aportó una impresión de pantalla de sus sistemas informáticos con los datos personales del denunciante que obran en su poder: El nombre, dos apellidos y NIF; el email C.C.C.@hotmail.es; el teléfono móvil E.E.E.; el número de cliente (***CLIENTE.1); los veinte dígitos de una cuenta bancaria de la entidad G.G.G. y una dirección en ***DIRECCIÓN.1 - La denunciada aporta una impresión de pantalla con un listado de sus registros de actividad en el que uno de los registros, de fecha 28/09/2015 a las 10:01 horas, indica que se envió un sms al número + E.E.E. con el siguiente texto: “(...), es su última oportunidad para pagar su deuda total de 302,00 y evitar que sus datos vayan a listados de morosidad. Llame al ***TLF.1”. Este registro está asociado a un préstamo de fecha 30/06/2015, de OK SPAIN, por importe de 200 euros. - Aporta una impresión de pantalla con un listado de registros de actividad asociados al denunciante referentes al envío de varios correos electrónicos a su dirección electrónica en fecha 24/10/2015, 25/11/2015, 23/12/2015, 21/01/2016 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 26/01/2016. En los mensajes se reclama el pago de la deuda pendiente. - Se aporta una copia del denominado “Contrato Marco de Préstamos” celebrado el 31/03/2015 entre OK MONEY SPAIN, S.L.U., y el denunciante. - OK MONEY explica que cuenta con un sistema normalizado y estandarizado de contratación a través de internet. Que para garantizar la identificación del potencial cliente, antes de que finalice la contratación, la entidad remite un código al número de móvil facilitado por aquél que deberá introducir en la plataforma de contratación para poder finalizar el proceso de contratación del producto. Que se remiten al cliente las condiciones del contrato y que éste deberá cliquear en la casilla que muestra su aceptación a ese condicionado. De no proceder de ese modo no podrá celebrarse el contrato. TERCERO: Con fecha 16/05/2017 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OK MONEY por una presunta infracción del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, OK MONEY solicitó a la AEPD el 26/05/2017 una ampliación del plazo concedido para formular alegaciones. Al amparo del artículo 32 de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se otorgó la ampliación del plazo por el máximo permitido legalmente. QUINTO: OK MONEY formuló alegaciones al acuerdo de inicio del PS/00182/2017 mediante escrito que tuvo entrada en la AEPD el 01/06/2017 en el que solicitó la aplicación de la atenuante cualificada del artículo 45.5.
  2. a)LOPD y, consiguientemente, la imposición de una sanción por infracción leve en su grado mínimo. 1. Argumenta en defensa de su pretensión que concurren varias circunstancias atenuantes de especial significación que justifican la aplicación de la disposición invocada, artículo 45.5.
  3. a)LOPD, en particular las descritas en el artículo 45.4 LOPD, apartados e),
  4. f)y
  5. j)2. Alega que es improcedente valorar como agravantes –como se hace en el acuerdo de inicio del expediente sancionador- las circunstancias descritas en los apartados
  6. f)y
  7. j)del artículo 45.4 LOPD. En opinión de OK MONEY estaríamos en presencia de dos atenuantes y razona a tal fin del siguiente modo: - “..aunque las medidas de control de la entidad firmante no fuesen totalmente completas en aquel momento, no puede decirse que OK MONEY deliberada e intencionadamente comunicase los datos del denunciante a las entidades responsables de los ficheros de solvencia patrimonial, sin intentar, por todos los medios que reputaba en ese momento adecuados, comunicarse con el denunciante y hacerle saber de la inclusión de sus datos de carácter personal en los ya mencionados ficheros de solvencia patrimonial tras el impago de la deuda contraída con esta entidad firmante”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 - “La mejora de dichos procedimientos desde el 1 de enero de 2016, así como la intención de la entidad informante de colaborar con la AEPD, queda acreditada por las solicitudes por parte de OK MONEY, en fechas 11 de mayo de 2017 y 22 de mayo de 2017, de concertar una reunión ante la AEPD a la mayor brevedad, donde exponer, entre otras cosas, la mejora de los métodos implementados para evitar que se vuelvan a repetir situaciones como las que ocupan los procedimientos sancionadores (…) , lo cual debería ser tomada por esta Agencia como circunstancias atenuantes a la luz del procedimiento que ahora nos ocupa”. (El subrayado es de la AEPD) 3. En defensa de su petición de aplicar como atenuante la circunstancia del apartado e), del artículo 45.4 LOPD, “Los beneficios obtenidos como consecuencia de la comisión de la infracción”, explica lo siguiente: - “En ningún momento se ha obtenido ningún beneficio económico (apartado
  8. e)por el tratamiento de los datos del denunciante. Más bien al contrario, la entidad firmante ha sido una clara perjudicada, puesto que se concedió un préstamo a una persona que no ha procedido a la devolución del mismo. La consecuencia es que la entidad firmante no va a poder recuperar la cantidad prestada”. 4. Reitera la solicitud que hizo a la AEPD en el escrito de 11/05/2017 para que se acumularan los expedientes sancionadores que tiene abiertos por hechos similares, relacionados con el protocolo seguido para practicar los preceptivos requerimientos previos de pago. SEXTO: De conformidad con lo establecido en el artículo 77 de la LPACAP, en fecha 07/06/2017 la instructora del expediente acuerda la apertura de un periodo de prueba y la práctica de las siguientes diligencias probatorias: 1. Dar por reproducida a efectos de prueba la denuncia presentada por D. C.C.C. y la documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante OK MONEY y el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/03428/2016. 2. Incorporar a efectos de prueba el Informe de Inspección elaborado en el marco del expediente de investigación E/ 4569/2016. 3. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00182/2017 presentadas por OK MONEY y la documentación que a ellas acompaña. 4. Solicitar a OK MONEY que facilite a la AEPD los documentos que acrediten que el denunciante, D. C.C.C., recibió los requerimientos de pago que dice haberle enviado en cumplimiento de la normativa de protección de datos de carácter personal. 5. Solicitar a Asnef Equifax, S.L, copia impresa de la información que sobre el denunciante, y en relación a deudas informadas por OK MONEY, consta en los ficheros de los que es responsable: Asnef, Fotocli e Histórico de Notificaciones de inclusión. Si el denunciante hubiera presentado ante Asnef Equifax, S.L. alguna reclamación o ejercitado los derechos de acceso, rectificación, cancelación u oposición, copia de la documentación que integre el expediente tramitado al efecto. ASNEF EQUIFAX, S.L., evacuó el trámite de prueba mediante escrito presentado en la AEPD el 15/06/217. OK MONEY respondió a la petición de prueba en escrito presentado en la Agencia el 29/06/2017 con el que adjunta, como Anexo I, “impresiones de pantalla de los registros informáticos de la Sociedad en la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 muestran los mensajes enviados al teléfono móvil del denunciante (mediante SMS), al número que éste había proporcionado a la Sociedad al contratar el préstamo personal” El Anexo I incluye tres impresiones de pantalla en las que figuran el nombre y dos apellidos del denunciante. La pantalla contiene, “Información de contacto”, relativa a los datos personales (nombre, apellidos, email, teléfono móvil, DNI, cuenta bancaria, número de cliente etc) e información de la “Actividad”. Este apartado, en las tres impresiones de pantalla facilitadas, hace alusión al envío de un SMS por OK MONEY al denunciante con indicación de la “fecha de creación” (que es, respectivamente, el 17/09/2015 a las 13:26 horas; el 23/09/2015 a las 09:56 horas y el 28/09/2015 a las 10:01 horas); al “Tipo”, se trata siempre de un SMS; y al “Texto” del mensaje. En los tres se informa del importe de la deuda y se advierte al denunciante de que es su última oportunidad para pagar y evitar ser incluido en listas de morosos. SÉPTIMO: El 09/10/2017 la instructora del expediente formuló la Propuesta de Resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a OK MONEY SPAIN S.L.U. con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4 de la LOPD y 38.1.
  9. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  10. c)de dicha norma.>> OCTAVO: La Propuesta de resolución se notificó electrónicamente a OK MONEY el 09/10/2017.El Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT- RCM, certifica que a través de dicho servicio se envió por la AEPD la notificación con referencia ***REF.1, con el siguiente resultado: - “Fecha de puesta a disposición: 09/10/2017” “Fecha de rechazo automático: 19/10/2017” La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en el artículo 43, relativo a la “Práctica de notificaciones a través de medios electrónicos”: “1. Las notificaciones por medios electrónicos se practicarán mediante comparecencia en sede electrónica de la Administración u Organismo actuante, a través de la dirección electrónica habilitada única o mediante ambos sistemas, según disponga cada Administración u Organismo. A los efectos previstos en este artículo, se entiende por comparecencia en la sede electrónica, el acceso por el interesado o su representante debidamente identificado al contenido de la notificación. 2. Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la AEPD) El artículo 41 de la LPACAP se ocupa de las condiciones generales para la práctica de notificaciones y establece en el apartado 5: “Cuando el interesado o su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento”. (El subrayado es de la AEPD) Así las cosas, en tanto el certificado expedido por la FNMT- RCM informa de que la notificación de la Propuesta de resolución fue rechazada automáticamente el 19/10/2017, se tiene por efectuado el trámite de audiencia otorgado a OK MONEY en el presente expediente sancionador. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: D. C.C.C., titular del NIF F.F.F. (folio 3) denuncia que OK MONEY ha incluido sus datos en el fichero ASNEF sin hacer el preceptivo requerimiento previo de pago. Manifiesta que tuvo conocimiento de este hecho el 08/04/2016, cuando recibe la respuesta de EQUIFAX IBÉRICA, S.L., al acceso que había solicitado a raíz de que una entidad financiera le hubiera denegado la financiación solicitada. (Folios 1 y 4) SEGUNDO: En los registros informáticos de OK MONEY constan los datos personales del denunciante (nombre, dos apellidos, domicilio, NIF, número de móvil E.E.E. y dirección electrónica) (folio 16). Entre las operaciones realizadas por el denunciante con la entidad figura una, identificada con el código ***CÓDIGO.1, que se encuentra pendiente de pago: Un préstamo por importe de 200 euros siendo la fecha de la operación el 30/06/2015 (folio 18) TERCERO: De la información facilitada por EQUIFAX IBÉRICA vinculada a los datos del denunciante por una operación impagada de 302 euros (código ***CÓDIGO.1) resulta lo siguiente: - OK MONEY comunicó al fichero ASNEF los datos del denunciante con fecha de alta 28/10/2015. - EQUIFAX IBÉRICA, S.L., con carácter cautelar dio de baja la anotación el 31/05/2016, en respuesta a la cancelación solicitada por el denunciante el 23/05/2016 (folios 89 a 91) OK MONEY incluyó de nuevo en ASNEF los datos del denunciante con fecha de alta 03/06/2016, por la misma operación impagada (folio 92) OK MONEY dio de baja en ASNEF los datos del denunciante en fecha 21/12/2016 (folios 92 a 94) CUARTO: La Inspección de Datos requirió a OK MONEY durante las actuaciones previas que facilitara “Copia de la comunicación personalizada e individualizada enviada” al denunciante “con carácter previo a la inclusión de sus datos personales en ficheros de solvencia patrimonial y crédito, informándosele de la cuantía de la deuda reclamada así como de la posibilidad de inclusión de sus datos personales en dichos ficheros en caso de continuar el impago”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 En respuesta, OK MONEY se limitó a remitir un “pantallazo” relativo a las siguientes comunicaciones que afirma mantuvo con el cliente: SMS enviado el 28/09/2015 al móvil del denunciante.(Folio 17) Correo electrónico enviado el 24/10/2015 a la dirección electrónica C.C.C.@hotmail.es (Folio 20) QUINTO: La Inspección de Datos requirió a OK MONEY durante las actuaciones previas para que facilitara documentación acreditativa de la recepción por el denunciante del requerimiento de pago previo a la inclusión en el fichero ASNEF. La denunciada no ha aportado ningún documento que haga prueba de ese extremo (Folios 13 a57) SEXTO: Durante la fase de prueba del procedimiento sancionador se reiteró a OK MONEY que aportara los documentos que acreditasen la recepción por el denunciante de los requerimientos de pago que afirmaba haber efectuado (folio 78) OK MONEY ha facilitado a la AEPD en este caso una impresión de sus registros informáticos que versan sobre el envío de tres SMS al móvil del denunciante en las siguientes fechas y horas: El 17/09/2015 a las 13:26 horas; el 23.09/2017 a las 09:56 horas y el 28/06/2015 a las 10: 01 horas. OK MONEY no ha aportado ningún documento que acredite que los SMS fueron recibidos por el destinatario. SÉPTIMO: El denunciante ejercitó ante EQUIFAX IBÉRICA, S.L., el derecho de cancelación de sus datos (folios 138 a 140) el 23/05/2016. En esa misma fecha, EQUIFAX IBÉRICA, S.L., tras las comprobaciones pertinentes, procedió a la baja cautelar de la incidencia informada por OK MONEY vinculada al NIF del denunciante. (Folio 134) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II El artículo 4 de la LOPD de la "Calidad de los datos" dedica su apartado 3 al principio de exactitud o veracidad, corolario del anterior, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en su apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial amparados en la disposición del artículo 29 de la LOPD señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
  12. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  13. c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Por otra parte, los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
  14. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio que viene manteniendo la Sala de lo Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor, utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) En la misma línea, la SAN de 28/06/2016 (Rec.1703/2015) expone en el Fundamento Jurídico segundo: “(…) el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de comunicación a los deudores de requerimientos de pago como el que nos ocupa, Delion Comunications, S.L.U., y que se justificara suficientemente su entrega a UNIPOST, S.A., para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo”. (El subrayado es de la AEPD) IV La denuncia que nos ocupa versa sobre el incumplimiento de OK MONEY de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente con carácter previo a la inclusión de sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) Está acreditado que OK MONEY informó a ASNEF los datos del denunciante con fecha de alta 28/10/2015 por un saldo deudor de 302 euros y que la anotación estuvo vigente hasta el 21/12/2016, fecha en la que la incidencia se dio de baja. No obstante, durante el periodo de tiempo comprendido entre el 31/05/2016 y el 03/06/2016 (tres días) los datos del afectado se eliminaron del fichero con carácter cautelar. Esto, porque EQUIFAX canceló la anotación cautelarmente en respuesta al derecho de cancelación que el denunciante ejercitó el 23/05/2016 El 03/06/2015 OK MONEY confirma la anotación y los datos del denunciante vuelven a incluirse en ASNEF permaneciendo en el fichero hasta el 21/12/2016. La documentación que OK MONEY ha aportado en el curso de las actuaciones de investigación previa acredita el origen de la deuda del denunciante que comunicó a ASNEF. Cuestión la de la existencia de la deuda que el denunciante no discute, pues se limita a denunciar la falta de requerimiento de pago previo y los abusivos intereses de demora. A propósito de este último extremo -los intereses abusivos devengados por la deuda pendiente- se advierte que la AEPD carece de competencia para pronunciarse sobre la materia al exceder claramente de la competencia que tiene atribuida por su normativa reguladora, debiendo el deudor afectado, si lo estima procedente, hacer valer su pretensión ante la instancia arbitral, administrativo o judicial pertinente. OK MONEY, con el fin de demostrar que cumplió la obligación de requerir al deudor el pago de la deuda antes de comunicar sus datos a un fichero de solvencia patrimonial ha aportado únicamente unas impresiones de sus registros informáticos que versan sobre el envío de un email a la dirección electrónica del denunciante en fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 24/10/2015 y de varios SMS a su móvil el 28/09/2015 (folio 17), el 17/09/2015 y el 23/09/2015 (folio 149). En definitiva, OK MONEY no ha aportado ninguna prueba o indicio sólido de que el denunciante recibiese antes de la fecha de su inclusión en ASNEF alguno de los SMS o email que afirma haberle enviado requiriéndole el pago. Nos remitimos a estos efectos a los Hechos probados quinto, sexto y séptimo de esta resolución sancionadora. Se solicitó a la denunciada en dos ocasiones, en el curso de las actuaciones de investigación previa y durante la fase de prueba, que remitiera a la AEPD los documentos que demostraran la “recepción por el denunciante” del requerimiento de pago previo a su inclusión en ASNEF. Resulta esencial acreditar que el afectado recibió los requerimientos de pago que OK MONEY dice haberle enviado vía SMS y email antes de la fecha en la que sus datos se dieron de alta en ASNEF, el 28/10/2015. Únicamente probada la recepción del requerimiento de pago por el titular de los datos personales podremos entender cumplida la obligación que el artículo 38.1.
  15. c)del RLOPD impone al acreedor que informa datos de terceros a un fichero de solvencia. A propósito de la relevancia que tiene que el acreedor informante acredite la “recepción por el destinatario” de un correo electrónico mediante el que se le requiere el pago de la deuda, la Audiencia Nacional, Sala de lo Contencioso Administrativo, en su SAN de 14/11/2016 (Rec. 1432/2015) -que desestimó el recurso contencioso administrativo interpuesto por la sancionada contra la resolución dictada por la AEPD por infracción de los artículos 4.3 y 29.4 LOPD, en relación con el artículo 38.1.c, del RLOPD, por cuanto no se tenía constancia de la recepción por el destinatario del email de requerimiento- dijo lo siguiente ( Fundamento de Derecho cuarto): “Pues bien, con dichas pruebas no se ha acreditado que se hubiesen efectuado los requerimientos previos a la inclusión en los ficheros Asnef y Badexcug de los datos personales de los denunciantes, (…) En relación a lo correos electrónicos enviados se desconoce si se recibieron adecuadamente por los denunciantes.(…)” Añade que “A este respecto, resulta interesante lo declarado por esta Sala en relación con cartas enviadas conteniendo el requerimiento en cuestión. Este Tribunal en su Sentencia de 15 de septiembre de 2011 –recurso nº. 341/2010-, siguiendo una línea jurisprudencial consolidada, declara que ha sostenido que, a los efectos de entender cumplido el requisito del requerimiento de pago antes de incluir los datos personales en un fichero de solvencia patrimonial, no resulta una prueba válida una copia de una carta que le requiriese de pago sin que conste su envío ni mucho menos la recepción por los denunciantes”. (El subrayado es de la AEPD) En tanto OK MONEY no ha demostrado que el denunciante hubiera recibido el email ni los SMS a través de los que afirma haberle requerido el pago de la deuda antes de la inclusión de sus datos en un fichero de morosidad, no podemos estimar cumplida la obligación impuesta por el artículo 38.1.c del RLOPD en relación con los artículos 4.3 y 29.4 de la LOPD, de conformidad con el criterio jurisprudencial de la Audiencia Nacional (Sala de lo Contencioso Administrativo) precitado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Llegados a este punto se ha de recordar que la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia. Sobre esa cuestión el Tribunal Supremo (SSTS 05/07/1998 y 03/03/1999) ha venido entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible y considera que el grado de la diligencia que debe observarse se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. La Ley 40/2015 de Régimen Jurídico del Sector Público se refiere al principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone en el artículo 28: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas (…) que resulten responsables de los mismos a título de dolo o culpa”. Se añade a lo anterior que la normativa de protección de datos “refuerza” la diligencia que ha de desplegar el acreedor que informa a un fichero de morosidad datos de terceros para su cumplimiento. Esta disposición advierte que el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la AEP documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo –por tanto, también el descrito en el apartado 1.c, del precepto- y del requerimiento previo al que se refiere el artículo 39 del RLOPD. Estas reflexiones han de ponerse en relación con la pretensión de la denunciada de que se aprecie como atenuante de su conducta la circunstancia recogida en el apartado
  16. j)del artículo 45.4. LOPD, cuestión que se examinará detenidamente en el último Fundamento Jurídico. Por otra parte, OK MONEY ha reiterado en las alegaciones al acuerdo de inicio del expediente sancionador la petición de acumulación de los expedientes sancionadores abiertos en esta Agencia. Solicitud que formuló en escrito presentado el 11/05/2017 en el que invocó la aplicación del artículo 57 de la LPACAP y la existencia entre los procedimientos sancionadores que tiene pendientes de una identidad sustancial. En respuesta a esta solicitud basta indicar que el precepto invocado se limita a “facultar”, que no a obligar, al órgano que inicie o tramite un procedimiento a disponer su acumulación a otro u otros que guarden identidad sustancial o íntima conexión. Pretensión que, respecto al expediente sancionador que nos ocupa, fue rechazada en la Propuesta de resolución, decisión que se ratifica en este trámite. Así las cosas, se evidencia que OK MONEY omitió la diligencia que estaba obligada a desplegar en cumplimiento de las obligaciones que le imponen la LOPD y el RLOPD e incluyó los datos personales del afectado en el fichero ASNEF en dos ocasiones sin requerirle previamente el pago de la deuda informada. Los datos del denunciante permanecieron en el fichero de morosidad desde el 28/10/2015 hasta el 21/12/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 La conducta de OK MONEY vulnera el artículo 4.3 de la citada Ley Orgánica en relación con el artículo 29.4 y en relación también con el artículo 38.1 de su Reglamento de desarrollo y es subsumible en el tipo infractor del artículo 44.3.
  17. c)LOPD. V El artículo 45 de la LOPD establece en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  18. a)El carácter continuado de la infracción.
  19. b)El volumen de los tratamientos efectuados.
  20. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  21. d)El volumen de negocio o actividad del infractor.
  22. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  23. f)El grado de intencionalidad.
  24. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  25. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  26. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  27. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  28. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  29. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  30. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  31. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  32. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 El artículo 45.5 LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesaria la concurrencia de una cualificada disminución de la culpabilidad del imputado, o de la antijuridicidad del hecho, o de alguna otra de las circunstancias que el mismo precepto cita. OK MONEY ha solicitado en sus alegaciones al acuerdo de inicio del expediente sancionador la aplicación de la atenuante cualificada del artículo 45.5,
  33. a)de la LOPD pues a su juicio “concurren significativamente varios criterios atenuantes del artículo 45.4 (e, f, y
  34. j)adicionales al ya recogido en el Acuerdo, entendiéndose, por ello, que ha lugar la aplicación” de la citada disposición. Hemos de recordar que en el acuerdo de inicio del expediente sancionador se apreció la concurrencia de una atenuante: La circunstancia descrita en el apartado
  35. d)del artículo 45.4 LOPD relativa al “volumen de negocio o actividad del infractor” por entender que OK MONEY no tiene la condición de gran empresa sino que se trata de una PYME. Por otra parte se apreciaron las agravantes del artículo 45.4 apartados a),
  36. c),
  37. f)y j). OK MONEY entiende que la AEPD incurrió en un error al hacer en el acuerdo de inicio esa valoración de las circunstancias citadas y argumenta que “aunque el protocolo de comunicación de impagos no era tan sólido como en la actualidad, sí existía un procedimiento de comunicación a través de correo electrónico y SMS por el que se comunicaba a los clientes la situación de impago así como su futura inclusión en el fichero de solvencia…”. Ha añadido que “…aunque las medidas de control de la entidad firmante no fuesen totalmente completas en aquel momento” no puede decirse que deliberada e intencionadamente comunicase los datos del denunciante a las entidades responsables de los ficheros de solvencia “sin intentar por todos los medios que reputaba en su momento, adecuados, comunicarse con el denunciante….” Apoyándose en los razonamientos precitados así como en una pretendida “mejora de dichos procedimientos desde el 1 de enero de 2016” y en la “intención de la entidad …de colaborar con la AEPD” sostiene que la Agencia ha de considerar la concurrencia como atenuantes de las circunstancias descritas en los apartados
  38. f)y
  39. j)del artículo 45.4 y, por consiguiente, debe aplicar, al amparo de su apartado a), el efecto jurídico previsto en el artículo 45.5 LOPD, la imposición de la sanción en la escala inferior. En respuesta al alegato de OK MONEY han de hacerse las siguientes reflexiones: Se reitera lo afirmado en el acuerdo de inicio de este expediente sancionador en el que se apreció la existencia de las agravantes recogidas en los apartados a), c),
  40. f)y
  41. j)del artículo 45.4 LOPD, razonándolo del modo siguiente. - “El carácter continuado de la infracción” (apartado a,) ya que los datos personales del denunciante se incluyeron a instancia de OK MONEY en el fichero ASNEF con fecha de alta 28/10/2015 sin haber efectuado el preceptivo requerimiento previo de pago y permanecieron en el fichero sin cumplir los requisitos a los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 supedita la legalidad de tal inclusión hasta el 21/12/2016, es decir, más de un año. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de la denunciada exige, por su misma naturaleza, un continuo tratamiento de los datos de carácter personal de sus clientes. - “El grado de intencionalidad” (apartado,
  42. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. OK MONEY ha actuado con una grave falta de diligencia pues no ha aportado ningún documento que demuestre que, con carácter previo a la inclusión de los datos del denunciante en ASNEF, le requirió el pago de la deuda. Esto, pese a que el artículo 43.1 del RLOPD “refuerza” la diligencia exigible al señalar que el acreedor “deberá asegurarse” que se cumplen esos requisitos cuando informa los datos personales a un fichero de morosidad. Además, no desvirtúa la aplicación de esta circunstancia agravante, que versa sobre el grado de culpabilidad de la entidad infractora, la afirmación de OK MONEY de que intentó comunicarse con el afectado por “todos los medios que reputaba en ese momento adecuados”. La medida de la diligencia que la responsable del tratamiento despliega para dar cumplimiento a una obligación guarda relación con la aptitud que el procedimiento utilizado tenga para cumplir las obligaciones que le impone la Ley. Y por lo que aquí interesa, OK MONEY no ignoraba las disposiciones que estaba obligada a cumplir (artículos 4.3 y 29.4 LOPD y 38.1.c, 43.1 y 40.3 del RLOPD) y es evidente que los medios empleados para hacer el requerimiento (mensajes enviados por SMS y email sin ningún mecanismo adicional para tener constancia de la recepción por el destinatario) no tenían virtualidad para conocer si los mensajes enviados al deudor moroso habían sido recibidos. En el supuesto que analizamos se aprecian, además, circunstancias particulares que evidencian un mayor grado de culpabilidad en el cumplimiento de sus obligaciones. Como se recoge en el Hecho Probado Tercero de esta Resolución el denunciante ejercitó ante EQUIFAX, en fecha 23/05/2016 el derecho de cancelación de lo que fue informada oportunamente por la responsable del fichero de solvencia. Oportunidad inmejorable para haber verificado que, como exige el artículo 43.1 RLOD, la inclusión del denunciante en ASNEF reunía todos los requisitos necesarios para ello. Sin embargo, pese a que EQUIFAX dio de baja la incidencia con carácter cautelar el 31/05/2016, OK MONEY volvió a dar de alta la anotación en fecha 03/06/2016. - “Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”, (apartado j). Se encuadra en este apartado, como ejemplo de una mayor antijuridicidad y culpabilidad de la entidad imputada, el hecho de que no tenga implementado un protocolo para requerir el pago de las deudas a sus clientes deudores con carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 previo a la inclusión de éstos en ficheros de solvencia. La normativa de protección de datos establece que el medio utilizado para hacer el requerimiento previo ha de “acreditar la efectiva realización de los envíos” lo que implica, como ha matizado la Audiencia Nacional, que esté acreditada también la recepción por el destinatario. La Agencia se ha pronunciado en otros expedientes sancionadores seguidos frente a OK MONEY advirtiendo que esta entidad no dispone de un protocolo válido para garantizar el cumplimiento de las obligaciones que le impone la LOPD y su norma reglamentaria de desarrollo. Además, respecto a la pretendida mejora de sus protocolos de actuación -extremo que OK MONEY ha venido invocando en defensa de sus pretensiones y que supuestamente habría llevado a efecto desde el 01/01/2016- la AEPD ha advertido en otras ocasiones en las que la entidad ha alegado tal circunstancia que, si bien las nuevas medidas añaden al protocolo inicialmente previsto nuevas fases (como la “Validación documento identificativo Verificación PB-FT” y la “Validación Instator”) la denunciada no ha explicado en qué consisten tales mecanismos ni su transcendencia a los fines de identificar a la persona del contratante. Por otra parte, decir, que las mejoras que la denunciada afirma haber adoptado desde el 01/01/2016, podrían incidir, en su caso, sobre la identificación de la persona que contrata con ella pero no sobre el protocolo que sigue para hacer los requerimientos previos de pago. Por tanto, en consideración a la exposición precedente no puede admitirse la pretensión de OK MONEY de que las circunstancias descritas en los apartados
  43. f)y
  44. j)del artículo 45.4 LOPD concurran en calidad de atenuantes y no como agravantes Finalmente, la denunciada ha solicitado que se estime como atenuante la circunstancia contemplada en el artículo 45.4.
  45. e)LOPD, “Los beneficios obtenidos como consecuencia de la comisión de la infracción”. Podemos afirmar que tal circunstancia no opera en el presente asunto como agravante, pues los beneficios presuntamente obtenidos ciertamente no están acreditados, pero ese hecho no es suficiente por sí sólo para que resulte aplicable como una atenuante. Tal pretensión debe ser rechazada. En esta decisión tomamos en consideración el criterio fijado por la Audiencia Nacional, Sala de lo contenciosoadministrativo, que, a efectos de conocer si procede o no apreciar esta atenuante valora cuál es el fin perseguido por la conducta de la entidad infractora – si ese fin era o no la obtención de un beneficio económico– y si en el supuesto concreto que se plantea tal finalidad ha prevalecido sobre el cumplimiento diligente de las obligaciones que imponen la Ley Orgánica 15/1999 y su norma reglamentaria. Y por lo que se refiere al supuesto analizado el fin perseguido por OK MONEY cuando actuó vulnerando las normas que regulan la inclusión de los datos de un tercero en un fichero de morosidad era cobrar el importe del préstamo. Las razones expuestas conducen a desestimar la pretensión de OK MONEY de que se aprecie la atenuante privilegiada del artículo 45.5.
  46. a)LOPD en atención a la cual solicitó que la sanción impuesta corresponda a la mínima de las previstas para las infracciones leves. Valorados el principio de proporcionalidad de la sanción y las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 modificativas de la responsabilidad que estimamos concurrentes –tanto adversas como favorables a la infractora- se acuerda imponer a OK MONEY, por infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación con el artículo 38.1.
  47. c)del RLOPD, una sanción de 50.000 euros (cincuenta mil euros), cuantía próxima al mínimo previsto para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN, S.L., por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación con el artículo 38.1.
  48. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  49. c)de la citada Ley Orgánica, una multa de 50.000 euros (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a OK MONEY SPAIN, S.L. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  50. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.