PS-00206-2018 | Europaius

1/29 Procedimiento Nº PS/00206/2018 RESOLUCIÓN: R/01706/2018 En el procedimiento sancionador PS/00206/2018, instruido por la Agencia Española de Protección de Datos a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 24/05/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que manifiesta que SIERRA CAPITAL MANAGEMENT 2012, S.L., y VODAFONE ESPAÑA, S.A.U., (en adelante, SIERRA CAPITAL, VODAFONE o las denunciadas) han tratado sus datos personales sin su consentimiento y la primera de ellas los ha incluido en ficheros de morosidad vinculados a una deuda cuya existencia no reconoce, pues nunca ha sido cliente de VODAFONE. La denunciante expone que desde el año 2015, aproximadamente, viene recibiendo llamadas de SIERRA CAPITAL reclamándole una supuesta deuda con VODAFONE que dice haber adquirido de la citada operadora. Añade que SIERRA CAPITAL interpuso contra ella el 14/06/2016 demanda de Juicio Monitorio, en reclamación de 553,51 euros, y aportó al procedimiento como prueba de la existencia de la deuda reclamada varias facturas emitidas por VODAFONE en las que figuraban sus datos personales: nombre, apellidos y NIF. La denunciante formuló oposición en el Juicio Monitorio, por lo que la demanda pasó a sustanciarse por los trámites del Juicio Verbal (Juicio Verbal 801/2016, seguido ante el Juzgado de Primera Instancia número 14 de ***LOCALIDAD.1). La Sentencia dictada en el Juicio Verbal 801/2016, de fecha 01/02/2017, desestimó la demanda interpuesta por SIERRA CAPITAL con imposición de costas a la demandante. El 10/03/2017 la denunciante ejerció ante SIERRA CAPITAL los derechos de acceso y cancelación de sus datos. La denunciada le denegó en fecha 23/03/2017 la cancelación solicitada por considerar que el crédito que ostentaba frente a ella era legítimo y le comunicó que sus datos habían sido informados a los ficheros ASNEF y BADEXCUG. Se anexan a la denuncia, entre otros, los siguientes documentos: - Copia de la Sentencia de 01/02/2017, del Juzgado de Primera Instancia número 14 de ***LOCALIDAD.1, recaída en el Juicio Verbal 801/2016, cuyo Fundamento de Derecho Primero dice: <<Las facturas no son más que documentos unilaterales que, cuando como en el presente caso sucede, la persona frente a la que se emiten niega la realidad de los conceptos incluidos en la misma no son suficientes para por sí solas hacer prueba de su contenido. La parte demandante no acreditó ni la contratación de los servicios de telecomunicaciones (pues no se aportó el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/29 documento contractual), ni se justificó la realidad de los servicios facturados (ni se aportaron los justificantes de los consumos, ni existe siquiera coincidencia en la dirección correcta del domicilio desde el que aparecen realizados).>> (El subrayado es de la AEPD) - Cédula de Notificación de la Sentencia, de 08/02/2017. - Carta de SIERRA CAPITAL de fecha 23/03/2017 dirigida al Letrado de la denunciante en la que dice ser ajustada a Derecho la acreditación de su identidad, atiende el acceso solicitado y respecto a la cancelación solicitada la deniega explicando que ella es la legítima acreedora de la deuda cedida por VODAFONE. Añade que si la denunciante considera que la deuda reclamada no es cierta, vencida y exigible deberá acreditarlo mediante la remisión de los justificantes de pago, único supuesto -indica- en el que procederá a la cancelación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades EXPERIAN BUREAU DE CRÉDITO, S.A., EQUIFAX IBERICA, S.L., VODAFONE ESPAÑA, S.A.U., y SIERRA CAPITAL, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones de Investigación Previa cuyo resultado se reproduce: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Fruto de las actuaciones practicadas se ha tenido conocimiento de los siguientes extremos con relevancia a efectos de la investigación: A. EXPERIAN BUREAU DE CRÉDITO, S.A. (EXPERIAN), responsable del fichero BADEXCUG respondió al requerimiento informativo de la Inspección en escrito que tuvo entrada en el Registro de la AEPD el 20/10/2017. - En la fecha de su respuesta no consta en BADEXCUG ninguna operación vinculada al NIF de la denunciante informada por SIERRA CAPITAL. - En el Histórico de actualizaciones de BADEXCUG figura una operación asociada al NIF de la denunciante, informada por SIERRA CAPITAL, código de operación nº 0924933647: --Saldo impagado de 553,51euros. Fecha de primer vencimiento impagado 05/10/2011 --Fecha de alta de la incidencia el 04/10/2015 y baja el 16/10/2016. Como motivo de la baja “proceso automático semanal de actualización de datos”. --El domicilio vinculado a los datos de la denunciante es ***DIRECCION.1. - No existen en EXPERIAN expedientes asociados a la denunciante relativos al ejercicio de derechos en materia de protección de datos. B. EQUIFAX IBÉRICA, S.L. (EQUIFAX), encargada de tratamiento del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/29 ASNEF, respondió a la Inspección en escrito que tuvo entrada en el Registro de la AEPD el 02/10/2017: - Manifiesta que en la fecha de su respuesta no existe en el fichero ASNEF ninguna incidencia asociada al NIF de la denunciante informada por SIERRA CAPITAL. - En el fichero de operaciones canceladas, FOTOCLI, auxiliar de ASNEF, consta una incidencia vinculada al NIF, nombre y dos apellidos de la denunciante, por un saldo impagado de 553,51 euros siendo la fecha de vencimiento primero y último el 05/10/2011. - La fecha de alta de la inclusión es el 12/01/2012; la fecha de visualización el 18/11/2012 y la fecha de baja el 18/04/2017. Los datos personales de la denunciante permanecieron incluidos en ese fichero un total de cuatro años y cinco meses. C. VODAFONE ESPAÑA, S.A.U. (VODAFONE) respondió a la Inspección de Datos en escrito que tuvo entrada en la AEPD el 21/09/2017: - Declara que en la actualidad los datos del titular del NIF ***DNI.1 no constan incluidos a su instancia ni en el fichero BADEXCUG ni en el fichero ASNEF. D. SIERRA CAPITAL MANAGEMENT 2012, S.L. (SIERRA CAPITAL) respondió en escrito que tuvo entrada en el Registro de la AEPD el 21/08/2017: - Expone que suscribió con VODAFONE un contrato de cesión de créditos elevado a escritura pública el 28/09/2012. En su virtud VODAFONE facilitó a SIERRA CAPITAL “una base de datos en la que se incluían los datos de contratación de los titulares de los créditos cedidos, tales como direcciones postales y electrónicas y teléfonos de contacto”. - Afirma que en el citado contrato “Vodafone garantiza a SIERRA CAPITAL que los créditos cedidos eran ciertos, vencidos y exigibles, así como la veracidad de los datos recabados por la teleoperadora. Garantía contenida concretamente en la cláusula 1.6 del meritado Contrato”. - La estipulación primera del contrato de compraventa de deuda entre SIERRA CAPITAL y VODAFONE de 28/09/2012 dice: <<El vendedor, a los efectos de que el Comprador formalice una oferta vinculante e irrevocable por los créditos, ha puesto determinada documentación en información relativa a la cartera de créditos a disposición del Comprador, quien ha llevado a cabo un proceso de due diligence, y revisión en virtud del cual ha tenido la oportunidad de revisar la información de la Cartera de Créditos puesta a disposición por el Vendedor, habiendo efectuado el Comprador su propio análisis y valoración independiente con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos.>> Y seguidamente, el apartado 1.4 de la misma estipulación añade: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/29 << (…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de due diligence, tal y como el Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa>> (El subrayado es de la AEPD) - En respuesta a la petición de la Inspección para que aporte una copia del contrato celebrado supuestamente por la denunciante y del que deriva la deuda que le atribuye, SIERRA CAPITAL afirma: “Nada tiene que aportar esta entidad, pues como se ha puesto de manifiesto, SIERRA CAPITAL ninguna relación contractual tenía con el denunciante en el momento del alta (…) del servicio contratado y esta información no se encuentra entre la proporcionada por Vodafone en virtud del meritado contrato de cesión de créditos aportado” - Respecto a las facturas emitidas por VODAFONE a nombre de la denunciante –en las que figura como dirección postal ***DIRECCION.1-, correspondientes a la cuenta VODAFONE 924933647, SIERRA CAPITAL declara que obran en sus ficheros, proporcionadas por VODAFONE en virtud del contrato de cesión de créditos, las siguientes: de fecha 26/08/2011 (número CI0517365859); 26/09/2011 (número CI0524049783); 26/10/2011 (número CI0530766347); 26/11/2011 (número CI0537463575) y 26/12/2011 (número CI0544169410). - Comunicaciones y contactos: a. SIERRA CAPITAL explica que el 24/10/2012 suscribe con EQUIFAX IBÉRICA, S.L., un contrato de prestación de servicios de generación, impresión y puesta a disposición de los servicios postales de las comunicaciones realizadas a los titulares de los créditos cedidos por VODAFONE. Aporta copia del contrato mencionado. Aporta copia de una carta, que lleva los anagramas de VODAFONE y SIERRA CAPITAL, de fecha de 08/11/2012, que tiene como destinataria a la denunciante (aparece su nombre y dos apellidos) y como dirección postal la ***DIRECCION.1. La carta está referencia (NT ***REFERENCIA.1). A través de ella comunica a la supuesta deudora la cesión del crédito y le requiere el pago de la deuda con carácter previo a la inclusión de sus datos en ficheros de solvencia. SIERRA CAPITAL aporta los documentos que permiten seguir la trazabilidad de la carta. Se aporta copia de un certificado expedido por Equifax Ibérica, S.L., como prestador del servicio de gestión de cartas devueltas de notificaciones de requerimiento de pago de SIERRA CAPITAL, de fecha 04/08/2017, en el que manifiesta que la carta de notificación de requerimiento previo de pago con referencia NT ***REFERENCIA.1, generada en Equifax el 08/11/2012 y dirigida a A.A.A. con dirección en ***DIRECCION.1. “ha sido devuelta por motivo “DESCONOCIDO” con fecha 08/12/2012 al apartado de Correos designado al efecto”. b. Correos electrónicos intercambiados entre el 01/03/2017 y el 29/05/2017 entre SIERRA CAPITAL y el Letrado de la denunciante. Entre este email no figura el que la denunciante nos ha facilitado, de fecha 23/03/2017, en el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/29 la entidad denunciada considera ajustada a Derecho la representación acreditada, da respuesta al acceso solicitado y deniega la cancelación de sus datos argumentando que ella es la acreedora legítima. Entre los emails que aporta SIERRA CAPITAL destacan los recibidos del Letrado de la denunciante en fecha 24/03/2017, en el que le informa de que en breve recibirá la documentación acreditativa de la identidad de la afectada y le facilita una clave para visualizar los documentos, y los de 11/04/2017 y 28/04/2017 en los que reitera la petición de cancelación de los datos de la afectada. De los emails que SIERRA CAPITAL envió al Letrado de la denunciante destacan los de 07/03/2017, 10/03/2017 y 21/04/2017 en los que deniega el derecho de cancelación ejercido en nombre de la afectada, decisión que justifica en que no ha aportado la documentación exigida por el artículo 25 del Reglamento de desarrollo LOPD (R.D. 1720/2007). En el email de 04/05/2017 que SIERRA CAPITAL envía al Letrado de la denunciante afirma que procede al bloqueo de sus datos personales.>> TERCERO: La denunciante formuló denuncia conjuntamente frente a las entidades SIERRA CAPITAL y VODAFONE ESPAÑA, S.A.U., (VODAFONE) sin que respecto a esta última se dictara acuerdo de inicio de expediente sancionador. Basta indicar sobre el particular que el tratamiento de los datos personales de la denunciante realizado por VODAFONE asociado a un servicio telefónico del que derivó una deuda que posteriormente fue vendida a SIERRA CAPITAL y por la cual fue incluida en ficheros de solvencia, cesó en la fecha en la que se produjo la venta de la cartera de deuda que incluía la atribuida a la denunciante: el 28/09/2012. Tomando en consideración que el plazo de prescripción de las infracciones graves es de dos años (ex artículo 47 LOPD), en la fecha en la que la denuncia que nos ocupa entró en la Agencia Española de Protección de Datos (el 24/05/2017) cualquier responsabilidad en la que VODAFONE pudiera haber incurrido por vulneración de la normativa de protección de datos de carácter personal estaría prescrita en esa fecha. CUARTO: Con fecha 16/05/2018, la Directora de la Agencia Española de Protección de Datos acordó la apertura de un procedimiento sancionador a SIERRA CAPITAL MANAGEMENT 2012, S.L., por presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en relación, asimismo, con el artículo 38.1.

a)del RLOPD, tipificadas ambas como infracciones graves en los artículos 44.3.
b)y 44.3.
c)de dicha norma, respectivamente, pudiendo ser sancionada cada una con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, SIERRA CAPITAL, mediante escrito de fecha 21/05/2018, pone en conocimiento de la AEPD las siguientes cuestiones: - Solicita que se tenga por conferida la representación de la entidad al Letrado D. B.B.B. No se acompaña el poder acreditativo de la representación que dice ostentar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/29 - Solicita la entrega de una copia del expediente. Solicita la suspensión del plazo para formular alegaciones hasta tanto no reciba la citada documentación Designa a efectos de las notificaciones que deban efectuarse en este expediente el correo electrónico de su Letrado y el domicilio del despacho profesional. En escrito de 22/05/2018 se concede una ampliación del plazo para formular alegaciones al acuerdo inicio por el máximo permitido legalmente, de conformidad con el artículo 32 de la Ley 39/2015, y se remite a la denunciada la copia del expediente administrativo. La documentación solicitada fue enviada a SIERRA CAPITAL a través de correo postal dirigido al domicilio social de la entidad ante la imposibilidad técnica de remitirla a través de la aplicación notific@, dado el excesivo volumen de la documentación anexa. Posteriormente, Correos y Telégrafos remitió a esta Agencia un acuse de recibo informando de que ese envío había resultado “extraviado”. En fecha 10/10/2018 la AEPD envía por segunda vez a la denunciada una copia del expediente dirigiendo el envío, en esta ocasión, a la dirección postal del despacho profesional del Letrado de la entidad. SEXTO: En fecha 20/06/2018 tienen entrada en la AEPD las alegaciones de SIERRA CAPITAL al acuerdo de inicio del PS/206/2018 en las que, respecto a la infracción del artículo 6.1 LOPD, reconoce su responsabilidad y se acoge al pronto pago, y respecto a la infracción del artículo 4.3 LOPD solicita el archivo del expediente. En relación con la infracción del artículo 6.1 LOPD, la entidad SIERRA CAPITAL ha procedido al pago de la sanción correspondiente, en la cuantía de 36.000 euros, haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción. A esos efectos aporta, anexo al escrito de alegaciones, una copia del documento emitido por BANKINTER que acredita la transferencia ordenada el 20/06/2018 a favor de la AEPD por importe de 36.000 euros en cuyo apartado observaciones dice: “INFRACCIÓN ART. 6.1 LOPD PS/00206/2018 ART. 85.1 Ley 39/2015”. Además, en su escrito de 20/06/2018, SIERRA CAPITAL reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio subsumibles en el tipo infractor del artículo 44.3.
b)LOPD. SÉPTIMO: En el escrito de 20/06/2018 SIERRA CAPITAL formula alegaciones exclusivamente respecto a la infracción del artículo 4.3 LOPD, en relación con el artículo 29.4 de la citada norma, y en relación asimismo con el artículo 38.1.a del RLOPD, respecto a la cual -como hemos indicado- solicitó el archivo del expediente. La denunciada aduce en defensa de su pretensión de archivo de las actuaciones estas consideraciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/29 En el apartado “Hechos”, punto “Segundo” y bajo la rúbrica “Imputación a Sierra”, la entidad dice que la AEPD le imputa “además de la infracción de falta de consentimiento para el tratamiento de los datos personales, una infracción y la falta de calidad en el tratamiento de los datos por no cumplir la exigencia del art. 38.1.) (…), la del artículo 39 (…) y el artículo 43.1 (…)” (folio 227) (El subrayado es de la AEPD). En el apartado destinado a los “Fundamentos de Derecho” hace constar lo siguiente: a. En el punto primero, bajo la rúbrica “Reconocimiento de la responsabilidad de la imputación de falta de consentimiento”, indica que “…es consciente que, habiendo sido desestimada su pretensión de cobro de la deuda, en ejecución de ésta debía haber procedido de oficio a cancelar la anotación en el Bureau de Crédito, y, más aún, tenía que haber atendido la solicitud de cancelación del interesado. Por este motivo, Sierra no puede sino reconocer la responsabilidad por estos hechos y, renunciando a presentar otras alegaciones o escritos de defensa respecto a esta imputación, admite la sanción (…)” (El subrayado es de la AEPD) b. El punto segundo de los Fundamentos de Derecho lleva la rúbrica que se transcribe, y de la que ya adelantamos que no responde a la realidad: “Sobre la imputación de infracción de los artículos 38, 39, y 43 del RLOPD: Estos artículos se limitan a regular la inclusión de datos en los bureau de crédito”. Seguidamente reproduce los artículos 38.1, 39 y 43 del RLOPD respecto a los que añade que “se limitan a contemplar un acto de tratamiento de datos específico: la inclusión de los datos de un deudor moroso en el bureau de crédito y, exclusivamente pare este acto de tratamiento de datos, establecen los requisitos que se transcriben…” A continuación, afirma que “…no puede ignorarse que estos artículos no regulan ningún otro acto de tratamiento diferente de la inclusión de la deuda en el bureau”. “Por ello, a juicio de SIERRA, la clave de la interpretación de los artículos 38.1.a), 39 y 43 es determinar en qué consiste la inclusión de los datos del deudor en el fichero y qué actos no pueden identificarse con dicho concepto”. Lo que justifica más adelante indicando que sólo así podrá distinguirse que actos de tratamiento de datos en el fichero de solvencia hacen necesario cumplir los requisitos precitados y su ausencia constituye una infracción de la normativa específica y cuáles no. El argumento central que la denunciada esgrime es el Informe Jurídico de la AEPD 449/2013 y la que -a su juicio- ha sido la interpretación hecha por esta Agencia del término “inclusión” según la cual ese término “sólo se refiere a los casos de nueva alta en el mismo”, lo que conduce a la Agencia a concluir que la “mera anotación de acreedor no puede entenderse como un supuesto de inclusión”. SIERRA CAPITAL atribuye a la AEPD respecto a ese informe una afirmación que no se corresponde con su contenido: “la Agencia afirma que la no alteración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/29 crédito exime al responsable del fichero común de cumplir en este caso los requisitos establecidos en el artículo 29.2 de la LOPD y, por ende, los establecidos en los artículos 38,39 y 43 del RLOPD”. (El subrayado es de la AEPD) Seguidamente, SIERRA CAPITAL llega a la conclusión de que, si bien el Informe Jurídico precitado está pensado para el artículo 40 RLOPD, “las mismas consecuencias son las que invoca … respecto de los artículos 38.1.a y c., 39 y 43 RLOPD. Trae a colación seguidamente la SAN de 28/11/2017, 09/02/2018 y 23/01/2018” y termina su alegato con esta afirmación: “En definitiva, la invocación del apartado
a)del artículo 38.1 y 39 del RLOD es sin duda improcedente, porque la Audiencia Nacional ha resuelto ya, al menos en 4 ocasiones, que dichos artículos, junto con el 40, regulan un supuesto concreto y exclusivo , la inclusión o alta de los dato en el bureau de crédito, que dicho supuesto es diferente del supuesto de actualización de los datos relativos al acreedor cuando la deuda está anotada con anterioridad en el bureau y que, por tanto, la exigencia de dicho requisito es improcedente”. OCTAVO: En fecha 18/07/2018 se acuerda la apertura de un periodo de prueba – centrado exclusivamente en la infracción del artículo 4.3 LOPD, por ser ésta el objeto de la controversia habida cuenta de que la denunciada reconoció su responsabilidad en la comisión de la infracción del artículo 6.1 LOPD- el que se practican las siguientes diligencias probatorias: La incorporación al PS/00206/2018 del expediente de investigación E/04143/2017 -que comprende la denuncia presentada por la afectada y su documentación adjunta así como la información y documentación recabada en el curso de las actuaciones previas- y las alegaciones al acuerdo de inicio formuladas por SIERRA CAPITAL. NOVENO: Con fecha 22/10/2018, por la instructora del expediente se formula propuesta de resolución en los siguientes términos: Imponer a SIERRA CAPITAL una sanción de 60.000 euros por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación, asimismo, con el artículo 38.1.
a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
c)de dicha norma. La propuesta de resolución se notificó electrónicamente a SIERRA CAPITAL en la misma fecha, el 22/10/2018 -fecha de puesta a disposición y también fecha de aceptación. Así pues, a tenor del artículo 73 de la LPACAP, el plazo para formular alegaciones finalizó el 06/11/2018. DÉCIMO: Con fecha 08/11/2018 SIERRA CAPITAL no ha notificado a esta Agencia sus alegaciones a la propuesta de resolución. Sobre este particular conviene añadir que conforme al artículo 14.2.
a)de la LPACAP las personas jurídicas -condición que tiene SIERRA CAPITAL- están obligadas a relacionarse a través de medios electrónicos con las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/29 Públicas para la realización de cualquier trámite de un procedimiento administrativo. Ese ha sido el medio a través del cual esta Agencia notificó a la entidad denunciada el acuerdo de inicio del expediente y la apertura del periodo de prueba y el medio utilizado en el curso de las actuaciones de investigación previa para hacer el requerimiento informativo. Únicamente se utilizó la vía postal para la remisión de la copia del expediente por cuanto su excesivo volumen impedía utilizar la notificación electrónica. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIF ***DNI.1, y domicilio en ***LOCALIDAD.1, denuncia a SIERRA CAPITAL por tratar sus datos de carácter personal (nombre, dos apellidos y NIF) sin su consentimiento y por incluirlos en ficheros de solvencia patrimonial sin legitimación para ello, toda vez que la deuda que le atribuye no le pertenece. (Folios 1 a 5) SEGUNDO: SIERRA CAPITAL suscribió con VODAFONE ESPAÑA, S.A.U., un contrato de cesión de una cartera de deuda que se elevó a Escritura Pública el 28/09/2012. Entre las deudas objeto de esa cesión existía una vinculada al nombre, dos apellidos y NIF de la denunciante (folios 18 a 20) El contrato de cesión de deudas disponía en su estipulación primera, apartado 1.3: <<El vendedor, a los efectos de que el Comprador formalice una oferta vinculante e irrevocable por los créditos, ha puesto determinada documentación e información relativa a la cartera de créditos a disposición del Comprador, quien ha llevado a cabo un proceso de due diligence, y revisión en virtud del cual ha tenido la oportunidad de revisar la información de la Cartera de Créditos puesta a disposición por el Vendedor, habiendo efectuado el Comprador su propio análisis y valoración independiente con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos.>> Y el apartado 1.4 de la misma estipulación decía: << (…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de due diligence, tal y como el Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa>> (Folio 45) (El subrayado es de la AEPD) TERCERO: Por la Inspección de Datos se requirió a SIERRA CAPITAL en el curso de las actuaciones de investigación previa para que aportara la copia del contrato supuestamente celebrado entre la denunciante y VODAFONE del que derivaba la deuda que se le atribuye, (folios 16 y 17) SIERRA CAPITAL no aportó documento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/29 alguno y respondió en los términos siguientes: “Nada tiene que aportar esta entidad, pues como se ha puesto de manifiesto, SIERRA CAPITAL ninguna relación contractual tenía con el denunciante en el momento del alta (…) del servicio contratado y esta información no se encuentra entre la proporcionada por Vodafone en virtud del meritado contrato de cesión de créditos aportado” (El subrayado es de la AEPD) (Folio 19) CUARTO: La denunciada añadió que VODAFONE le facilitó “una base de datos en la que se incluían los datos de contratación de los titulares de los créditos cedidos, tales como direcciones postales y electrónicas y teléfono de contacto” (folio 18). Aporta una impresión de pantalla procedente del fichero “Gestión de carteras de Sierra Capital Management” que incorpora los datos personales de la denunciante (folio 68) QUINTO: SIERRA CAPITAL facilitó a la Inspección de la AEPD la copia de las facturas que VODAFONE le proporcionó en el marco de la ejecución del contrato de cesión de deuda. Las facturas habían sido emitidas por VODAFONE a nombre de la denunciante. En ellas consta como dirección postal la ***DIRECCION.1. Las facturas corresponden a la cuenta VODAFONE 924933647 y son las siguientes: de fecha 26/08/2011 (número CI0517365859);26/09/2011 (número CI0524049783);26/10/2011 (número CI0530766347);26/11/2011 (número CI0537463575) y 26/12/2011 (número CI0544169410). (Folios 154 a 164) SEXTO: SIERRA CAPITAL interpuso frente a la denunciada demanda de Juicio Monitorio en reclamación de una deuda de 553,51 euros, que dio lugar al Procedimiento Monitorio 542/2016, seguido ante el Juzgado de Primera Instancia número 14 de ***LOCALIDAD.1, en el que aportó como prueba de su existencia las facturas emitidas por VODAFONE a nombre de la denunciante. La demandada -actual denunciante- formuló oposición, sustanciándose ese incidente a través del Juicio Verbal 801/2016, seguido ante el Juzgado de Primera Instancia número 14 de ***LOCALIDAD.1. En fecha 01/02/2017 se dicta Sentencia que falla desestimar la demanda interpuesta por SIERRA CAPITAL frente a la denunciante condenando a la demandada [ es un error, se refiere a la demandante y actual denunciada] al pago de las costas. El Fundamento de Derecho Primero de la Sentencia dice: <<Las facturas no son más que documentos unilaterales que, cuando como en el presente caso sucede, la persona frente a la que se emiten niega la realidad de los conceptos incluidos en la misma no son suficientes para por sí solas hacer prueba de su contenido. La parte demandante no acreditó ni la contratación de los servicios de telecomunicaciones (pues no se aportó el documento contractual), ni se justificó la realidad de los servicios facturados (ni se aportaron los justificantes de los consumos, ni existe siquiera coincidencia en la dirección correcta del domicilio desde el que aparecen realizados).>> <<Negada por la parte demandada la realidad de la contratación y uso de los servicios de comunicaciones cuyo precio se reclama, era la parte demandante a quien correspondía la carga procesal de haberlos acreditado (artículo 217.2 de la Ley de Enjuiciamiento Civil), por lo que ausente tal prueba la demanda no puede ser estimada.>> (El subrayado es de la AEPD) (Folios 8 a 10) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/29 SÉPTIMO: Obra en el expediente la Cédula de notificación de la Sentencia dictada en los Autos de Juicio Verbal 801/2016 a la parte demandada (ahora la denunciante), extendida por la Letrada de la Administración de Justicia en fecha 06/02/2017. (Folio 7) OCTAVO: Los datos personales de la denunciante -NIF, nombre y dos apellidosfueron informados al fichero ASNEF por un saldo impagado de 553,51 euros, con fecha de alta (fecha de visualización) el 18/11/2012 y se dieron de baja en fecha 18/04/2017. (Folios 199 a 205) El domicilio vinculado a la denunciante que se facilitó a ASNEF era ***DIRECCION.1. (Folios 194) NOVENO: Experian Bureau de Crédito, S.A., ha informado de que, asociada al NIF, nombre y dos apellidos de la denunciante, y a un domicilio en ***DIRECCION.1, SIERRA CAPITAL dio de alta en fecha 04/10/2015 una operación identificada con el número 0924933647, relativa a un producto de telecomunicaciones, por importe de 553,51 euros. La incidencia se dio de baja el 16/10/2016 por proceso automático semanal de actualización de datos. (Folios 178 y 182 a 184) DÉCIMO: De la documentación aportada por EXPERIAN resulta acreditado que la misma operación, número 0924933647, asociada a los datos personales de la denunciante, había sido incluida en el fichero BADEXCUG por VODAFONE realizando la entidad responsable del fichero la correspondiente notificación de inclusión el 10/01/2012 (Folio 181). A la luz de lo manifestado por VODAFONE en su respuesta al requerimiento informativo, la fecha de baja de esa incidencia instada por VODAFONE fue el 04/11/2012 (Folio 170) UNDÉCIMO: Obra en el expediente -folios 12 y 13- una carta que SIERRA CAPITAL dirige a la denunciante y que tiene fecha de 23/03/2017. En ella atiende el acceso solicitado y, respecto a la cancelación solicitada, la deniega explicando que es la legítima acreedora de la deuda cedida por VODAFONE. Indica que si la denunciante considera que la deuda reclamada no es cierta, vencida y exigible deberá acreditarlo mediante la remisión de los justificantes de pago, único supuesto -dice- en el que procederá a la cancelación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
g)en relación con el artículo 36 de la LOPD. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), bajo la rúbrica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/29 “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. III Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/29 veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. La vulneración del artículo 4.3 de la LOPD se tipifica como infracción grave en el artículo 44.3.
c)precepto que dispone: “Son infracciones graves: (…)
c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción. IV Como se hace constar en los Antecedentes de Hecho Sexto y Séptimo de esta resolución, en fecha 20/06/2018 SIERRA CAPITAL manifestó que reconocía su responsabilidad por la vulneración del artículo 6.1 LOPD, tipificada como infracción grave en el artículo 44.3.b de la citada Ley Orgánica, y renunciaba a presentar alegaciones o escritos de defensa frente a tal imputación. Así las cosas, es exclusivamente, sobre la infracción del principio de calidad de los datos - infracción del artículo 4.3 LOPD, en relación con el 29.4 de dicha Ley Orgánica, y en relación, asimismo, con el artículo 38.1.
a)del RLOPD, tipificada en el artículo 44.3.
c)– sobre la que se formuló en su momento propuesta de resolución y la que constituye el objeto de la controversia respecto a la cual esta resolución se pronuncia. A. Las normas jurídicas reproducidas en el Fundamento de Derecho III evidencian que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, entre otros requisitos a los que se supedita la legalidad de dicha inclusión, que la deuda sea cierta, vencida, exigible y que haya resultado impagada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/29 Conviene recordar, además, que el acreedor que informa los datos al fichero está obligado a conservar a disposición de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en el artículo 38, entre ellos y por lo que aquí interesa, el descrito en el apartado
a)del artículo 38.1, referente a la certeza de la deuda cuyo impago motiva la comunicación de los datos a un fichero de morosidad. Cabe añadir también que corresponde al responsable del fichero comprobar que la inclusión en el fichero común se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido ha de traerse a colación la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) B. Constituye un hecho probado que SIERRA CAPITAL trató los datos personales de la denunciante (su nombre, apellidos y NIF) asociados a una deuda supuestamente contraída con VODAFONE. Ahora bien, SIERRA CAPITAL no ha acreditado que la afectada hubiera otorgado el consentimiento a la contratación del servicio telefónico del que supuestamente derivaba la deuda cuyo pago le exigía; deuda que fue informada a los ficheros de solvencia ASNEF y BADEXCUG, a su instancia, asociada a sus datos personales. No se pone en tela de juicio con ello si los servicios que VODAFONE facturó y de los que nació una deuda posteriormente vendida a SIERRA CAPITAL llegaron a prestarse por la operadora, ni tampoco se discute si SIERRA CAPITAL adquirió formando parte de la cartera de deuda comprada a VODAFONE una asociada a los datos de la denunciante. La cuestión relevante es otra: en tanto SIERRA CAPITAL no ha acreditado que la denunciante fuera la persona que contrató el servicio con VODAFONE, no ha quedado tampoco acreditada su condición de deudora. La consecuencia es que la deuda generada y vinculada a los datos personales de la denunciante “no es cierta”, ni vencida ni exigible respecto a su persona. Dada la estrecha vinculación que existe entre las dos infracciones de las que se responsabiliza a SIERRA CAPITAL -y sin perjuicio de lo afirmado al inicio de este Fundamento de Derecho, que el objeto de la controversia es, exclusivamente, la infracción del artículo 4.3 LOPD por cuanto respecto a la primera de las infracciones, artículo 6.1 LOPD, SIERRA CAPITAL ha reconocido su responsabilidad- se ha de indicar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/29 A tenor del artículo 6 de la LOPD el tratamiento de datos personales exige recabar el consentimiento inequívoco de su titular; consentimiento que la ley obliga a que sea “inequívoco”, esto es, que no admita duda o equivocación. A través del consentimiento al tratamiento de los datos personales que otorga el titular éste ejerce de forma efectiva el poder de control y de disposición sobre ellos. En esa línea el Tribunal Constitucional, en su STC 292/2000, de 30 de noviembre (Fundamento Jurídico 7), señala que “(…)Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD exige que sea el titular de los datos quien otorgue su consentimiento inequívoco al tratamiento, pues a él, y no a un tercero, le corresponde el poder de disposición sobre ellos. Con toda claridad el artículo 3.
h)de la LOPD, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. El tratamiento de los datos personales sin contar con el consentimiento inequívoco de su titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho fundamental pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El apartado 2 del artículo 6 LOPD dispensa de la necesidad de recabar el consentimiento del afectado cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento. Esto, porque el consentimiento para tratar los datos personales está implícito en el consentimiento otorgado a la contratación, pero, únicamente, en la medida en que el referido tratamiento sea el preciso para la ejecución del contrato y si quien facilita los datos personales con ocasión de la contratación ha sido efectivamente su titular. La documentación que obra en el expediente demuestra que SIERRA CAPITAL incorporó a sus ficheros y trató los datos personales de la denunciante (nombre, dos apellidos y NIF) como titular de una deuda derivada de un contrato suscrito en con la operadora VODAFONE. El tratamiento de los datos de la denunciante por parte de la denunciada se inicia a raíz de la operación de cesión de cartera, venta elevada a Escritura Pública el 28/09/2012. La denunciante negó haber contratado con VODAFONE por lo que se debe tener en cuenta que la Audiencia Nacional viene considerando que cuando el titular de los datos niega la contratación corresponde la carga de la prueba a quien afirma su existencia. Reiteradamente ha manifestado que el responsable del tratamiento de datos de terceros debe recabar y conservar la documentación necesaria para acreditar el consentimiento del titular. Citamos, por todas, la SAN de 31/05/2006 (Rec. 539/2004) que en su Fundamento de Derecho Cuarto dice: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/29 “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) En el curso de las actuaciones de investigación previa se solicitó a SIERRA CAPITAL que aportara la copia del contrato que la denunciante había celebrado con VODAFONE, y del que supuestamente procedía la deuda reclamada, como medio para acreditar que la afectada consintió el tratamiento de sus datos o al menos, en el supuesto de que hubiera existido una suplantación de personalidad, que la entidad había obrado con ocasión de la contratación con la diligencia mínima exigible a fin de dar cumplimiento a las obligaciones que impone la LOPD. SIERRA CAPITAL respondió entonces que nada tenía que aportar pues no era ella la que había suscrito el contrato con la denunciante y que el contrato requerido por la Agencia no se encontraba entre la documentación que le proporcionó VODAFONE (Hecho Probado tercero). El nacimiento de responsabilidad sancionadora presupone la existencia del elemento de la culpabilidad en cualquiera de sus manifestaciones: dolo, culpa grave, leve o culpa levísima. Esto, porque en el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor dado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) A propósito de la culpa o negligencia en la que SIERRA CAPITAL incurrió en relación con el tratamiento de datos efectuado, el acuerdo de inicio del expediente sancionador hizo estas precisiones que pasamos a reproducir: <<(…) la AEPD no puede mantener en la actualidad, como sostuvo en ocasiones anteriores, en supuestos análogos al que ahora se examina, que SIERRA CAPITAL haya sido una adquirente de buena fe y concluir de ello que se encuentra exenta de responsabilidad administrativa sancionadora por ausencia del elemento subjetivo de la culpabilidad -entendida como omisión de la diligencia que es procedente observar para el cumplimiento de las obligaciones impuestas por la normativa de protección de datos- imprescindible para que pueda exigirse responsabilidad por infracción de la LOPD. Tal criterio vino aceptándose por esta Agencia ante el argumento aducido por las entidades cesionarias de los créditos de que no tenían ninguna duda de la legitimidad de éstos y de que quienes figuraban como deudores eran los verdaderos titulares. Sin embargo, no puede olvidarse que la LOPD exige que el tratamiento de los datos personales de un tercero cuente con el consentimiento inequívoco de su titular (ex artículo 6.1) y que la Audiencia Nacional, Sala de lo Contencioso-Administrativo, ha manifestado en todos los casos que cuando el titular de los datos niega haber C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/29 consentido el tratamiento incumbe al responsable la carga de acreditar que lo recabó y obtuvo de aquél (por todas SAN de 31/05/2006, Rec. 539/2004). Extremos que han de ponerse en relación con determinadas cláusulas del contrato de venta de créditos celebrado entre VODAFONE y SIERRA CAPITAL que evidencian que la entidad cesionaria era plenamente consciente de que la cedente no podía facilitarle, respecto a todos los créditos objeto de la venta, los documentos pertinentes para acreditar la legitimidad del tratamiento de los datos personales efectuado y para que la inclusión en un fichero de solvencia patrimonial fuera ajustada a Derecho. Nos remitimos a la estipulación primera, apartado 1.4, del contrato de cesión de créditos celebrado entre VODAFONE y SIERRA CAPITAL el 28/09/2012 -en virtud del cual SIERRA CAPITAL adquirió un crédito a nombre de la denunciante por importe de 553,51 euros (que es la deuda por la que fue incluido en ASNEF y en BADEXCUG)que dice: “…como el Comprador ha podido constatar en el proceso de due diligence, “se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”. (El subrayado es de la AEPD) La estipulación primera del contrato, apartados 1.3 y 1.4 demuestra que SIERRA CAPITAL conocía cuando decidió tratar los datos personales de la denunciante vinculados a los créditos adquiridos que, respecto a algunos de ellos, VODAFONE no disponía de los contratos, imprescindibles para estar en condiciones de probar que el tratamiento de datos efectuado era legítimo e imprescindibles también para asegurarse de que la deuda que se incluye en ficheros de solvencia es “cierta”, en el sentido que le atribuye a esta expresión en artículo 38.1.
a)del RLOPD. Recordemos que para poder incluir datos de terceros en ficheros de solvencia patrimonial la entidad informante está obligada a verificar con carácter previo que se han cumplido todos los requisitos de los artículos 38 y 39 del RLOPD y a conservar a disposición de la AEPD los documentos que le permitan acreditar que la comunicación es ajustada a Derecho. Pese a los términos del contrato celebrado con VODAFONE, SIERRA CAPITAL, omitiendo la diligencia procedente, no verificó si disponía respecto a la deuda sobre la que versa la denuncia de la documentación necesaria que legitimara el tratamiento de los datos personales de la denunciante y su inclusión en los ficheros de solvencia patrimonial.>> C. Queda acreditado en el expediente que los datos personales de la denunciante fueron incluidos en el fichero de solvencia ASNEF, a instancia de SIERRA CAPITAL, asociados a una supuesta deuda por un saldo impagado de 553,51 euros, con fecha de alta de la incidencia -fecha de visualización- el 18/11/2017. La incidencia se dio de baja de este fichero el 18/04/2017. SIERRA CAPITAL mantuvo en ASNEF los datos personales de la denunciante, atribuyéndole la condición de deudora morosa, durante cuatro años y siete meses, sin legitimación para ello, habida cuenta de que no cumplió los requisitos a los que el artículo 38.1 RLOPD condiciona la legalidad de la comunicación de datos adversos de un tercero a un fichero de solvencia, en particular el apartado
a)de esa disposición, pues la deuda que le atribuía no era cierta, ni vencida ni exigible desde la perspectiva de la afectada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/29 Respecto al fichero BADEXCUG, SIERRA CAPITAL dio de alta en ese fichero los datos personales de la denunciante vinculados a una deuda a la que era ajena (por cuanto la entidad informante y ahora denunciada no ha acreditado la condición de deudora de la afectada) desde el 04/10/2015 (fecha de alta) y hasta el 16/10/2016 (fecha de baja de la incidencia): poco más de un año. Así las cosas, los datos de la denunciante fueron incluidos por la denunciada en dos ficheros de solvencia patrimonial vinculados a una deuda que no le pertenecía; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada toda vez que la entidad informante no ha podido acreditar su condición de deudora. Resulta por ello que la inclusión de la denunciante, a instancia de SIERRA CAPITAL, en ASNEF y BADEXCUG no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD, toda vez que incumplía el requisito del artículo 38.1.a, RLOPD. Respecto a la vulneración del principio de calidad de los datos y a propósito del elemento subjetivo de la infracción damos por reproducidas, en aquello que resulten de aplicación, las consideraciones hechas en el apartado B) precedente. Se añade, además, que el RLOPD refuerza la diligencia que es exigible al acreedor que comunica datos de un tercero a un fichero de solvencia patrimonial en tanto que, en su artículo 43.1, prevé que en el momento de comunicar los datos adversos al fichero de solvencia tiene la obligación de asegurarse de que están presentes todos los requisitos a los que el artículo 38.1 supedita tal comunicación. Y el artículo 38.3 RLOPD le obliga a conservar documentación suficiente para acreditar el cumplimiento de esos requisitos. Consideraciones que evidencian que en el presente caso SIERRA CAPITAL omitió la diligencia mínima exigible atendidas las circunstancias presentes. Sobre el elemento subjetivo de la infracción se debe destacar una circunstancia que evidencia la grave falta de diligencia en la que SIERRA CAPITAL incurrió y que se valora en la graduación de la sanción: Como se detalla en el Hecho Probado Sexto, SIERRA CAPITAL interpuso demanda de Juicio Monitorio en reclamación de una deuda de 553,51 euros frente a la denunciante quien formuló oposición que se sustanció por los trámites del Juicio Verbal (procedimiento 801/2016) en el que se dictó Sentencia el 01/02/2017 desestimando la pretensión de SIERRA CAPITAL, pues declaró que la demandante no había acreditado la contratación de los servicios ni había justificado la realidad de los conceptos que le fueron facturados a la demandada, actual denunciante. Obra en el expediente la Cédula de notificación de esa Sentencia a la parte demandada que es de fecha 06/02/2017, lo que permite presumir que la actora (SIERRA CAPITAL) conoció también la Sentencia en esa fecha. Llama por ello la atención que después de conocer el fallo SIERRA CAPITAL continuara manteniendo en ASNEF los datos de la afectada, cuando a tenor de la Sentencia precitada no existía prueba de su condición de deudora. Recordemos que no será hasta el 18/04/2017 cuando SIERRA CAPITAL dé de baja los datos de la denunciante del fichero ASNEF. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/29 Es también exponente de la falta de diligencia demostrada por la denunciada que habiendo ejercitado la denunciante el derecho de cancelación el 10/03/2018 de forma ajustada a Derecho (así lo reconoce SIERRA CAPITAL en su respuesta) le comunique en carta de fecha 23/03/2018 (folio 13) que le deniega la cancelación solicitada e insiste en la legitimidad del crédito que ostentaba frente a la denunciante. La conducta descrita vulnera el principio de calidad del dato, consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y en relación, asimismo, con el artículo 38.1.
a)del RLOPD, siendo subsumible en el tipo infractor del artículo 44.3.
c)de la citada norma. V Las alegaciones al acuerdo de inicio que SIERRA CAPITAL formuló reflejaron con detalle cuál era la valoración jurídica que le merecía a esa entidad que la AEPD hubiera apreciado en la conducta denunciada no sólo la comisión de una infracción del artículo 6.1 LOPD sino también de una infracción del artículo 4.3 LOPD. SIERRA CAPITAL niega haber incurrido en una infracción del principio de calidad de los datos y apoya su argumentación en una particular interpretación del artículo 38.1 del RLOPD que, en su opinión, afectaría al artículo 38.1.
a)RLOPD cuya vulneración se le atribuyó en el acuerdo de inicio del expediente. Se hace seguidamente una relación de los argumentos esgrimidos de contrario y se da respuesta a cada uno de ellos explicando las razones por las que a juicio de esta Agencia resultan incompatibles con los principios de protección de datos, por lo que han de ser rechazados. A. No obstante, nos parece necesario indicar que SIERRA CAPITAL, al hilo de sus alegaciones al acuerdo de inicio, incurrió en varias afirmaciones erróneas o no ajustadas a la verdad que utilizó a conveniencia, en ocasiones como justificación de sus alegatos. Esta circunstancia ha aconsejado que, pese a su extensión, se reprodujera en el Antecedente de Hecho Séptimo un extracto de tales alegaciones y también que debamos comenzar haciendo mención a los errores que hemos apreciado. Comenzaremos aludiendo a la afirmación que SIERRA CAPITAL hace en el punto Segundo del apartado dedicado a los “Hechos” de su escrito de alegaciones al acuerdo de inicio, en el que literalmente dice que la AEPD le imputa “además de la infracción de falta de consentimiento para el tratamiento de los datos personales, una infracción y la falta de calidad en el tratamiento de los datos por no cumplir la exigencia del art. 38.1.) (…), la del artículo 39 (…) y el artículo 43.1 (…)” (folio 227) (El subrayado es de la AEPD). Afirmación llamativa pues en ninguna de las líneas del acuerdo de inicio se mencionan los artículos 39 y 43.1. del RLOPD que, según SIERRA CAPITAL, esta Agencia había considerado infringidos. Los únicos preceptos de cuya infracción se responsabilizó a esa entidad en el acuerdo de inicio fueron los artículos 6 y 4.3 en relación con el 29.4, de la LOPD, y en relación con el artículo 38.1.
a)del RLOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/29 infracciones tipificadas como graves en los artículos 44.3.b, y 44.3.c de la Ley Orgánica precitada, respectivamente. Es también digno de recordar que la AEPD no ha atribuido a SIERRA CAPITAL una infracción del artículo “38.1” RLOPD -como afirma la denunciada-, sino, específicamente, la del artículo “38.1.a” del RLOPD; por lo que queda excluida de la conducta infractora atribuida la falta de requerimiento de pago; de modo que son improcedentes las referencias y argumentos relacionados con tal cuestión que la denunciada nos ha ofrecido en sus alegaciones al acuerdo de inicio. Relevante es también el hecho de que esta Agencia sí invocara en el acuerdo de inicio del expediente sancionador el artículo 38.3 del RLOPD y que SIERRA CAPITAL omitiera en sus alegaciones toda referencia a ese precepto. Disposición que es de sumo interés, pues alude a la obligación que incumbe al acreedor que informa a un fichero de solvencia datos de terceros de “conservar a disposición de la Agencia Española de Protección de Datos” la documentación suficiente para acreditar el cumplimiento de las obligaciones establecidas en el artículo 38.1. RLOPD, por lo que aquí interesa la del apartado a), pues ese y no otro es el requisito que hemos estimado incumplido. B. Centrándonos en los argumentos que SIERRA CAPITAL esgrimió en el apartado dedicado a los Fundamentos de Derecho de su escrito de alegaciones al acuerdo de inicio, haremos referencia al apartado primero, que lleva por rúbrica “Reconocimiento de la responsabilidad de la imputación de falta de consentimiento”. En este punto SIERRA CAPITAL afirma que “…es consciente que, habiendo sido desestimada su pretensión de cobro de la deuda, en ejecución de ésta debía haber procedido de oficio a cancelar la anotación en el Bureau de Crédito, y, más aún, tenía que haber atendido la solicitud de cancelación del interesado.” (El subrayado es de la AEPD) De la afirmación precedente se infiere -sin entrar en otras consideraciones- que no hay duda de que, desde la fecha en la que el Juzgado de Primera Instancia número 14 de ***LOCALIDAD.1 notificó a SIERRA CAPITAL la Sentencia que desestimó la demanda de Juicio Monitorio interpuesta frente a la denunciante (ver Hecho Probado Sexto) hasta la fecha de baja de la incidencia en ASNEF, el 18/04/2017, la entidad era perfectamente consciente de que la deuda no reunía el requisito de certeza que exigía el artículo 38.1.a, del RLOPD lo que vulneraba el artículo 44.3.
c)RLOPD. Así pues, no puede discutirse -sin perjuicio de que la conducta infractora subsumible en el artículo 44.3.
c)LOPD sea más amplia- que durante casi dos meses la denunciada mantuvo en ASNEF los datos personales de la denunciante vinculados a una deuda que no era cierta, ni vencida, ni exigible desde la perspectiva de la afectada teniendo pleno conocimiento de la inexistencia de la deuda. Centrándonos en el punto segundo de los Fundamentos de Derecho del escrito de alegaciones presentado por SIERRA CAPITAL hemos de reiterar nuestra perplejidad ante el epígrafe de ese apartado: “Sobre la imputación de infracción de los artículos 38, 39, y 43 del RLOPD: Estos artículos se limitan a regular la inclusión de datos en los bureau de crédito”. Respecto al invocado artículo 39 RLOPD, decir que este precepto no se menciona en el acuerdo de inicio y que esa disposición no guarda relación con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/29 conducta infractora descrita en aquél, pues está relacionado con la falta de requerimiento previo de pago (requisito contemplado en el apartado c del artículo 38.1 del RLOPD), cuando la infracción del principio de calidad de los datos de la que se responsabilizó a SIERRA CAPITAL está relacionada, exclusivamente, con la falta de certeza de la deuda informada al fichero (apartado a, del artículo 38.1 RLOPD): la deuda no es cierta respecto a la persona de la denunciante. Esta insistente mención a disposiciones del RLOPD que nada tienen que ver con las conductas infractoras de las que el acuerdo de inicio del expediente responsabilizó a SIERRA CAPITAL y que tampoco fueron invocadas por la Agencia en su acuerdo de inicio puede parecer un mero error involuntario, pero son el eslabón preciso para que la denunciada defienda el núcleo de su alegato. Alegato que, como se expondrá, no es extrapolable al asunto que examinamos ni es congruente con los principios que informan el derecho fundamental a la protección de datos de carácter personal. C. SIERRA CAPITAL sostiene que los artículos 38.1, 39 y 43.1 del RLOPD -disposiciones, insistimos, que en ningún caso se mencionan en el acuerdo de inicio de este expediente sancionador, que es al que responden las alegaciones de esa entidad- “se limitan a contemplar un acto de tratamiento de datos específico: la inclusión de los datos de un deudor moroso en el bureau de crédito” y, dice, “exclusivamente para este acto de tratamiento de datos”. (El subrayado es de la AEPD) A continuación, argumenta que el término “inclusión” se circunscribe a las “nuevas altas”, de modo que cuando se produzca un cambio de acreedor, en tanto no estamos ante una nueva alta en el fichero tampoco ha existido una “inclusión”, con la consecuencia de que tal conducta no tiene por qué cumplir los requisitos del artículo 38.1 del RLOPD, requisitos que estarían circunscritos a las “inclusiones” (en el sentido que atribuye a este término) en el fichero de solvencia. En apoyo de su tesis SIERRA CAPITAL invoca el Informe Jurídico de esta Agencia 449/2013. Parece querer ignorar el contexto en el que el informe se dictó, esto es, cuál era la cuestión a la que trataba de dar respuesta. La cuestión planteada versaba sobre la “obligación de notificación” de la inclusión, a la que alude el artículo 29.2 de la LOPD y a si era o no necesario efectuar esa notificación cuando se ha cedido un crédito que no ha sido satisfecho y que “ya se encontrase” por ese motivo incorporado al fichero de solvencia. Recordemos que el artículo 29.2 de la LOPD alude a una obligación que incumbe a “quienes se dediquen a la prestación de servicios de información sobre solvencia patrimonial y crédito”, en otras palabras, a las entidades responsable de los ficheros de solvencia que en el presente caso serían EXPERIAN BUREAU DE CRÉDITO, S.A. y EQUIFAX IBÉRICA, S.L. , y no, a las obligaciones que incumben a quien informa a un fichero de esa naturaleza datos de terceros, que es la posición en la que se encuentra SIERRA CAPITAL. El Informe Jurídico precitado indica que, al amparo del artículo 19 RLOPD, no se considera como un supuesto de cesión de datos la hipótesis de cesión de créditos que planteó la consultante y recuerda también que, en todo caso, para que la cesión pueda tener lugar será necesario que el cedente informe a al deudor cedido del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/29 cambio del responsable del fichero (esto es, del nuevo acreedor o cesionario) por exigencia del artículo 5 LOPD y de las previsiones del Código de Comercio español. El Informe hace a continuación esta afirmación sobre la cual SIERRA CAPITAL construye su defensa: “en el supuesto planteado no se produce una “inclusión” en los términos del artículo 29.2 de la Ley Orgánica 15/1999, dado que, por una parte, el crédito permanece inalterable en cuanto a las circunstancias que justifican su inclusión en el fichero y, por otra, el interesado ha sido previamente notificado acerca de la citada inclusión en los términos exigidos por la Ley Orgánica…” (El subrayado es de la AEPD) Pero el Informe añade más adelante: “…será preciso que la información contenida en el fichero resulte conforme con los restantes principios establecidos en la Ley Orgánica y, en particular, con los requisitos exigidos para la inclusión de la deuda en el fichero …” (El subrayado es de la AEPD) En resumen, además de recordar que los Informes del Gabinete Jurídico no tienen carácter vinculante, hemos de llamar la atención sobre el hecho de que el Informe que se invoca se circunscribe claramente a lo que es una obligación impuesta a las entidades responsables de los ficheros de solvencia por la LOPD -ex artículo 29.2-, y desarrollada por el artículo 40 del RLOPD, y que en él la Agencia deja totalmente claro que los datos personales contenidos en los ficheros de solvencia han de respetar siempre los principios de la LOPD y los requisitos a cuyo cumplimiento se supedita la legalidad de la inclusión de datos personales de terceros en ficheros de esta naturaleza. SIERRA CAPITAL completa su argumentación citando varias SSAN -de 28/11/2017, 09/02/2018 y 23/01/2018- para seguidamente hacer esta afirmación: “En definitiva, la invocación del apartado
a)del artículo 38.1 y 39 del RLOD es sin duda improcedente, porque la Audiencia Nacional ha resuelto ya, al menos en 4 ocasiones, que dichos artículos, junto con el 40, regulan un supuesto concreto y exclusivo, la inclusión o alta de los dato en el bureau de crédito, que dicho supuesto es diferente del supuesto de actualización de los datos relativos al acreedor cuando la deuda está anotada con anterioridad en el bureau y que, por tanto, la exigencia de dicho requisito es improcedente”. (El subrayado es de la AEPD) La conclusión que la denunciada nos ofrece es un nuevo ejemplo de falta de veracidad. Las tres Sentencias de la Audiencia Nacional a las que alude la entidad denunciada -de 28/11/2017, Rec. 357/2016; de 09/02/2018, Rec.972/2016 y de 23/01/2018, Rec. 537/2016- versan exclusivamente sobre la falta de requerimiento previo de pago -requisito descrito en el artículo 38.1.c, del RLOPD- y no, como aquí acontece, sobre el 38.1.a, del RLOPD. Por tanto, SIERRA CAPITAL, en contra de lo que ha manifestado en sus alegaciones al acuerdo de inicio, no ha acreditado que la Audiencia Nacional mantenga en sus resoluciones la tesis que ella defiende pues ninguna de las SSAN a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/29 las que alude son exponente de ese criterio. Es más, las SSAN invocadas por SIERRA CAPITAL, además de no reflejar la tesis de esa entidad, hacen una precisión de gran relevancia a los efectos que nos ocupan: Que en el supuesto de hecho contemplado en ellas no se cuestiona la existencia y certeza de la deuda. Y, es precisamente ese extremo -la existencia o certeza de la deuda- el motivo de la controversia sobre la infracción del principio de calidad de los datos que nos ocupa. Así, la SAN de 09/02/2018 (Rec. 972/2016), en su Fundamento de Derecho Cuarto, párrafo decimocuarto, se pronuncia en los siguientes términos: “Por tanto, esa inclusión previa de los datos del denunciante en el citado fichero Asnef cobra especial relevancia en el caso de autos, porque en las circunstancias expuestas, no cuestionándose la existencia y certeza de la deuda que ha permanecido inalterable a lo largo del tiempo, no se produce una “inclusión” en los términos establecidos en el artículo 29.2 de la LOPD…” (El subrayado es de la AEPD) En la SAN de 28/11/2017 (Rec 357/2016), Fundamento de Derecho sexto, párrafo octavo, la Sala de la Audiencia hace la misma advertencia: “Por tanto, esa inclusión previa de los datos del denunciante en el citado fichero Badexcug cobra especial relevancia en el caso de autos, porque en las circunstancias expuestas, no cuestionándose la existencia y certeza de la deuda que ha permanecido inalterable a lo largo del tiempo, no se produce una “inclusión” en los términos establecidos en el artículo 29.2 de la LOPD…” (El subrayado es de la AEPD) La invocada de contrario SAN de 23/01/2018, Rec. 537/2016, en su Fundamento de Derecho Quinto, párrafo sexto, afirma taxativamente lo mismo que las anteriores. Afirmaciones de las SSAN que son congruentes y acordes con los principios de la Ley Orgánica 15/1999 y normas de desarrollo. La tesis que SIERRA CAPITAL quiere hacer valer en defensa de su pretensión de que se acuerde el archivo de la infracción imputada -la vulneración del principio de calidad del dato por inexistencia de la deuda informada al fichero de solvencia-, es incompatible con los principios que constituyen el contenido esencial del derecho fundamental a la protección de datos de carácter personal. El principio de exactitud o veracidad de los datos, manifestación del principio de calidad, ha de respetarse y cumplirse durante todo el tiempo en el que los datos de un tercero sean objeto de tratamiento. Tal es así, que el artículo 8.5 del RLOPD, para el caso de que los datos sometidos a tratamiento resultaren inexactos en todo o en parte, o incompletos, concede un plazo de diez días desde que se tuviese noticia de la inexactitud, para que de oficio sean cancelados o sustituidos por los correspondientes datos rectificados o completados. Se añade a lo ya expuesto, que la entidad que informa datos a un fichero de solvencia patrimonial es responsable de la calidad de los datos que facilita y que la mecánica de funcionamiento de los ficheros de solvencia exige que con cierta regularidad (semanal o quincenalmente) la entidad informante confirme a la entidad responsable del fichero la incidencia en su día comunicada, de tal modo que no es posible aceptar, como pretende SIERRA CAPITAL, que el requisito del artículo 38.1.a, del RLOPD -la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/29 certeza de la deuda informada al fichero de solvencia- deba de cumplirse únicamente al tiempo de dar de alta una incidencia. Tal pretensión, además de contradecir los principios que inspiran la normativa de protección de datos, es incompatible con el carácter de infracción permanente que la Sala de la Audiencia Nacional atribuye a la vulneración del artículo 4.3. LOPD, en relación con el artículo 38.1 del RLOPD. Con toda claridad la Sala de la Audiencia Nacional se manifiesta sobre esta cuestión cuando, a propósito de analizar la prescripción de la infracción del articulo 4.3 LOPD, en relación con el artículo 38.1 del RLOPD, dice lo siguiente (SAN de 12/09/2018, Rec. 63/2017): «Tal y como constituye doctrine consolidada y reiterada de esta Sala, a partir de la SAN de 3 de noviembre de 2011 (Rec. 611/2010) , la infracción del principio de calidad del dato del articulo 4.3 LOPD "participa de la naturaleza propia de las denominadas infracciones permanentes en las que su consumación se provecta en el tiempo mis allá del hecho inicial consistente en el acceso del dato erróneo al fichero de solvencia patrimonial, extendiéndose durante todo el periodo en el que el dato permanece en el citado fichero. es decir, hasta que deja de producirse dicha lesión a los derechos del afectado, por corregirse la irregularidad que permitió que dicho dato accediese y permaneciese inscrito en dicho fichero. En efecto, en el ámbito administrativo sancionador, se contemplan las denominadas "infracciones permanentes" -STS de 7 de abril de 1989 y 23 de enero de 1990-, que se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo; lo que implica que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción perseguida" -STS de 18 de febrero de 1985-. Ahora bien, a los efectos del cómputo del plazo de prescripción de la infracción, debe distinguirse entre los supuestos en los que al principio de calidad del dato se v ulnera por la inclusión y el mantenimiento en el fichero de solvencia patrimonial de datos inexactos o no actualizados; y aquellos otros en los que la infracción del citado principio tiene su origen en la falta de requerimiento previo de pago al deudor, aunque el dato de la deuda inscrito sea exacto.>> Seguidamente la SAN dice: «En el primer supuesto [datos inexactos o no actualizados], la infracción se produce en el momento en el que se inscribe el dato en el fichero de solvencia y sigue produciéndose mientras el dato inexacto permanece inscrito en el mismo, pues al quebrar la correspondencia que debe mediar entre los datos incluidos en el fichero y la situación real del afectado, la infracción persiste durante el tiempo en el que los datos inexactos permanecen en el fichero infringiendo tal principio de calidad.» (El subrayado es de la AEPD) VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/29 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
a)El carácter continuado de la infracción.
b)El volumen de los tratamientos efectuados.
c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
d)El volumen de negocio o actividad del infractor.
e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
f)El grado de intencionalidad.
g)La reincidencia por comisión de infracciones de la misma naturaleza.
h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/29 “especialmente cualificada”) y concretos. En el presente caso, a tenor de los hechos declarados probados, no se estima la concurrencia de ninguna de las circunstancias descritas en el artículo 45.5 LOPD, por lo que en la graduación de la sanción a imponer se toman en consideración, exclusivamente, las contempladas en el artículo 45.4 LOPD. Así, se aprecia la existencia en calidad de agravantes de las circunstancias recogidas en los siguientes apartados del artículo 45.4 LOPD: - “El carácter continuado de la infracción”, apartado a): Es de aplicación en aquellos casos en los que la infracción cometida tiene carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD. La circunstancia mencionada tiene en el asunto que nos ocupa una relevancia especial. Los datos personales de la afectada permanecieron incluidos en ASNEF, informados por SIERRA CAPITAL, incumpliendo el artículo 38.1.
a)RLOPD -pues la deuda vinculada a ellos no era cierta respecto a su persona- durante cuatro años y cinco meses: del 18/11/2012 al 18/04/2017. También permanecieron incluidos en BADEXCUG sin cumplir el requisito del artículo 38.1.a, RLOPD, en relación con el artículo 4.3 LOPD, desde el 04/10/2015 al 16/10/2016, algo más de un año. Llama la atención que la denunciada continuara tratando los datos de la denunciante y los mantuviera en ficheros de morosos con posterioridad a la Sentencia dictada por el Juzgado de Primera Instancia número 14 de ***LOCALIDAD.1 en los autos de Juicio Verbal 801/2016, de fecha 01/02/2017, que desestimó la demanda de SIERRA CAPITAL y declaró que no estaba acreditada la condición de deudora de la afectada y que las facturas aportadas por SIERRA CAPITAL (facturas emitidas por VODAFONE a nombre de la denunciante) no eran suficientes, por sí solas, para hacer prueba de su contenido. Es más, con posterioridad a la citada Sentencia, en fecha 10/03/2017 la denunciante ejercitó ante SIERRA CAPITAL el derecho de cancelación y ésta, en escrito de fecha 23/03/2017, transcurridos casi dos meses desde que se dicta la Sentencia, denegó la cancelación solicitada e insistió en la legitimidad del crédito que ostentaba frente a ella. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado
c)La actividad empresarial de SIERRA CAPITAL lleva implícita el tratamiento de datos de carácter personal, lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006) exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. - “El volumen de negocio o actividad del infractor”, (apartado d). Estamos ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/29 una entidad de ámbito multinacional que ha de calificarse de gran empresa. - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado h). Circunstancia que tiene especial significación en el supuesto analizado. Por una parte, la Audiencia Nacional ha declarado, a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Por otra parte, la inclusión en dos ficheros de solvencia -como aquí ha acontecido- “…supone un mayor campo de difusión del perjuicio producido…” (SAN 18/05/2017, Rec. 53/2016, Fundamento de Derecho Quinto). Añadir que la Audiencia Nacional (Rec.775/2015) advierte que se han de calificar de perjuicios todas las actuaciones que la persona afectada se ha visto obligada a desplegar para poner fin a la situación irregular provocada. La denunciada se vio obligada a realizar diversas actuaciones para poner fin a la conducta infractora, entre ellas diversas comunicaciones a través de un Letrado dirigidas a SIERRA CAPITAL a fin de que cancelara sus datos personales del fichero ASNEF. - “La reincidencia por comisión de infracciones de la misma naturaleza”, (apartado g). Este precepto ha de integrarse con la norma del artículo 29.3.
d)de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Pueden citarse a modo de ejemplo dos resoluciones firmes en vía administrativa dictadas el 22/06/2017 en las que la AEPD sancionó a SIERRA CAPITAL por vulneración del principio de calidad de los datos, artículo 44.3.
c)PS/633/2016 y PS/557/2016. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: Respecto a la infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
b)de la Ley Orgánica 15/1999, de conformidad con el artículo 85 LPACAP, DECLARAR la terminación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/29 SEGUNDO: IMPONER a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L., con NIF B86554482, respecto a la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la citada Ley Orgánica, y en relación asimismo con el artículo 38.1.
a)del Reglamento de desarrollo de la LOPD (RLOPD), tipificada como infracción grave en el artículo 44.3.
c)LOPD, una multa de 60.000 € (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a SIERRA CAPITAL MANAGEMENT 2012, S.L., con NIF B86554482 CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/29 Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.