← España

PS-00209-2018

1/34 Procedimiento Nº PS/00209/2018 RESOLUCIÓN: R/01707/2018 En el procedimiento sancionador PS/00209/2018, instruido por la Agencia Española de Protección de Datos a la entidad CAJAMAR CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO, vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 25/08/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que la entidad CAJAMAR Caja Rural, Sociedad Cooperativa de Crédito, (en lo sucesivo, CAJAMAR o la denunciada) ha vulnerado su derecho a la protección de datos de carácter personal pues le ha incluido en ficheros de solvencia patrimonial sin requerirle previamente el pago de la deuda informada y sin que ésta fuera cierta, vencida y exigible, toda vez que existía un procedimiento judicial que ponía en tela de juicio su existencia. Anexa al escrito de denuncia copia, entre otros, de los documentos siguientes: - Certificado de la Comisaría Provincial de ***LOCALIDAD.1 que acredita que el 10/02/1999 obtuvo la inscripción en el Registro Central de Extranjeros, de la Dirección General de la Policía y la Guardia Civil, como residente comunitario con carácter permanente en España, con NIE ***DNI.1. - Varios correos electrónicos -de fechas 27/05/2016, 31/05/2016, 29/11/2016 y 02/03/2017- que el denunciante envió a la dirección electrónica de una empleada de CAJAMAR (***EMAIL.1) en los que solicita la cancelación de su inscripción en ficheros de solvencia patrimonial y crédito. - Burofax enviado por el denunciante a CAJAMAR el 25/01/2017. - Carta remitida por EXPERIAN, de fecha 09/03/2017, en la que, en respuesta a la solicitud del denunciante, le informa de que ha procedido a cancelar cautelarmente una operación que figuraba en el fichero BADEXCUG a su nombre comunicada por CAJAMAR. - Carta de CAJAMAR de fecha 24/03/2017 en la que le informa, entre otras cuestiones, de que sus datos no están siendo comunicados a ficheros de solvencia patrimonial y crédito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/34 los Servicios de Inspección de esta Agencia se solicitó información a las entidades CAJAMAR y EXPERIAN BUREAU DE CRÉDITO, S.A., (en adelante EXPERIAN), teniendo conocimiento de los siguientes extremos: A. CAJAMAR CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO: En respuesta a las solicitudes de información de la Inspección de Datos la entidad denunciada presentó en fechas 22/01/2018, 24/01/2018, 26/01/2018 y 31/01/2018 sendos escritos de contestación en los que aporta la siguiente información: 1. Impresión de los datos que CAJAMAR posee sobre el denunciante, a fecha 18/01/2018, en sus sistemas de información. Se observa que la dirección postal que posee la entidad es la misma que figura en el escrito de denuncia, en la tarjeta nacional de identidad francesa del denunciante y en el certificado acreditativo de ser titular de un NIE español. 2. Contrato de gestión de requerimientos de pago suscrito entre EXPERIAN y CAJAMAR con fecha de firma el 20/10/2011. 3. Certificación de la empresa EXPERIAN en la que indica que presta a CAJAMAR el servicio de impresión y envío de requerimientos de pago previos a la inclusión de impagos en ficheros de solvencia patrimonial y de crédito. EXPERIAN certifica que en fecha 16/07/2015, contenido en el fichero de requerimientos previos de pago que fueron recibidos el 16/07/2015 y procesados el 19/07/2015 (fecha de carga), se incluyó el requerimiento de pago que se detalla: Número de identidad ***DNI.1 Código de Operación, ***CODIGO.1 Nombre y apellidos A.A.A. Dirección ***DIRECCION.1 Tipo de producto, “Préstamos personales” “Importe Impagado”, 1.038,52 euros. El código identificativo de este requerimiento dirigido al denunciante es “***REQUERIMIENTO.1”, fue incluido en una carga del día 19/07/2015 y enviado el día 21/07/2015. También se certifica que EXPERIAN presta el servicio de devoluciones de dichos requerimientos de pago, sin tener constancia a fecha de 19/01/2018 de la devolución del requerimiento enviado al denunciante. 4. En dicha certificación, EXPERIAN manifiesta que tiene subcontratada la impresión y envío de los requerimientos previos de pago con IMPRE-LASER, S.L. y CTI TECNOLOGÍA Y GESTIÓN, S.A., haciendo el envío a través del operador postal UNIPOST. 5. Se aporta una carta dirigida al denunciante, a la dirección postal que él facilita en su escrito de denuncia, que tiene fecha de 16/07/2015 y lleva en su encabezado el anagrama de CAJAMAR. En la carta requiere al denunciante para que regularice la deuda en el plazo de 10 días y le informa de la posibilidad de ser incluido en ficheros de solvencia patrimonial y de crédito. Junto a la carta, se adjunta copia de un sobre con la dirección del denunciante y con un código de barras junto al número de referencia “***REQUERIMIENTO.1”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/34 6. Fichero de IMPRE-LASER, S.L. correspondiente a la carga de 19/07/2015 para el cliente EXPERIAN BUREAU DE CRÉDITO, S.A. en el que se indica que, respecto a la entidad CAJAMAR CAJA RURAL, se han enviado un total de 1683 “NOTIFICACIONES REQUERIMIENTOS PREVIOS DE PAGO” por UNIPOST. También se remite un documento con el sello de IMPRE-LASER, S.L., que lleva el título “CARGA: 19/07/2015 REQUERIMIENTOS PREVIOS DE PAGO” en el que respecto a la entidad CAJAMAR se hace constar que los requerimientos efectuados comprenden desde el código “P0305800000120150721” al “P0305800299820150721”. 7. Nota de entrega de UNIPOST de un total 34.332 envíos para el cliente “CTI TECNOLOGÍA Y GESTIÓN, S.A. BADEXCUG”, con observaciones “NOTIFICACIONES CARGA 19/07/15” y un campo Fecha Facturación con el valor “21-07-2015”. B. EXPERIAN BUREAU DE CRÉDITO, S.A. EXPERIAN responde al requerimiento informativo de la Inspección de Datos en escrito que tiene entrada en el Registro de la AEPD el 03/05/2018 en el que se facilita la siguiente información relevante a los efectos de la investigación: 1. Según el Histórico de actualizaciones de BADEXCUG, CAJAMAR informó al fichero de solvencia incidencias asociadas al identificador ***DNI.1, del que es titular el denunciante, relativas a dos operaciones: Los códigos (I) 0300716490219129 y (II) ***CODIGO.1. --Respecto a la operación con código (I) 0300716490219129 constan asociadas al identificador ***DNI.1, del que es titular el denunciante, tres inclusiones en BADEXCUG: 1ª inclusión: Alta el 06/04/2014 y baja, por proceso semanal de actualización de datos, el 27/04/2014. El saldo impagado fue de 1.315, 87 euros por un producto de “Préstamos hipotecarios”. 2ª inclusión: Alta el 29/06/2014 y baja el 20/07/2014 por proceso semanal de actualización de datos. El saldo impagado fue de 2.697,09 euros por un producto de “Préstamos hipotecarios”. 3ª inclusión: Alta el 17/05/2015 y baja el 14/03/2017 como consecuencia del ejercicio por el denunciante del derecho de cancelación. El saldo impagado, por un producto de “Préstamos hipotecarios” era en la fecha de alta de la incidencia de 12.138,47 euros. Casi dos meses después, el 14/06/2015, asciende a 257.192, 29 euros. El saldo impagado informado en BADEXCUG permaneció inalterable desde esa fecha y hasta el 14/03/2017. --Respecto a la operación con código (II) ***CODIGO.1, (código que se corresponde con el de la operación sobre la que CAJAMAR ha remitido a la Inspección de Datos información relativa al requerimiento previo de pago), la deuda se dio de alta en BADEXCUG el 15/02/2015 y de baja, por proceso automático semanal de actualización de datos, el 14/06/2015. 2. Consta en los ficheros de EXPERIAN un expediente asociado al denunciante en la aplicación informática eSPaCio a través de la que se gestionan las solicitudes de derechos. La aplicación permite trasladar a las entidades informantes/participantes en el fichero BADEXCUG, por vía telemática, las solicitudes de derechos de cancelación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/34 Figura registrada una solicitud de cancelación del denunciante recibida por burofax de fecha 21/03/2017 que dio lugar a la tramitación del expediente C20170307000183. CAJAMAR denegó la cancelación solicitada por el denunciante. EXPERIAN aporta una impresión de pantalla que refleja que CAJAMAR entró en el expediente precitado y respecto a la operación con código 0300716490219129, marcó en el estado “No Baja”. EXPERIAN explica que su Servicio de Protección al Consumidor revisó la documentación aportada por el denunciante para fundamentar su petición de cancelación y procedió a dar la baja cautelar de la operación impagada informada por CAJAMAR, con fecha 14/03/2017. Aporta copia de la carta remitida al denunciante y documentación acreditativa de su envío por correo certificado en fecha 15/03/2017. El denunciante solicita a EXPERIAN la cancelación de sus datos del fichero BADEXCUG en un escrito en el que expone que ha tenido noticia de la inclusión en el fichero el 02/03/2017, cuando le deniegan la financiación en una entidad financiera y que el impago que refleja el fichero “no existe y esta deuda no es legal y real”. Afirma que la deuda que consta en el fichero “parece ser que corresponde a un intento de ejecución hipotecaria que me hizo la entidad financiera Cajamar en el año 2015” y añade que CAJAMAR “intentó una ejecución hipotecaria, que ha sido claramente desestimada por la justicia, reconociendo los cobros indebidos efectuados por la entidad Cajmar…” Asimismo, el denunciante remitió a EXPERIAN copia de los documentos siguientes: a. Impresión de pantalla de la aplicación LEXNET relativos a la notificación en fecha 05/10/2016 del Auto del Juzgado de Primera Instancia nº 13 de ***LOCALIDAD.1 que resuelve la oposición a la Ejecución Hipotecaria número 881/2015. b. Texto del Auto nº 401/16, del Juzgado de Primera Instancia nº 13 de Granda, dictado en la Pieza Separada del Incidente de oposición a la Ejecución Hipotecaria nº 881/2015, promovida por Cajamar Caja Rural, Sociedad Cooperativa de Crédito contra D. A.A.A.. En los Fundamentos Jurídicos se afirma: (I) Que no debió aplicarse al denunciante la cláusula suelo que contemplaba el contrato de préstamo con el promotor, en el que denunciante se subrogó, pues en la escritura de novación del préstamo las partes (entre ellas el denunciante) modifican y pactan los tipos de interés del préstamo, pero no pactan ninguna cláusula suelo. El Auto afirma que el ejecutante ha cobrado incorrectamente cantidades excesivas al deudor. (II) El Auto declara nula la cláusula de vencimiento anticipado del préstamo tomando para ello en consideración los parámetros que la STJUE de 14/03/2013 establece para calificar de abusivas cláusulas en contratos de consumo. (III) El Auto concluye que “como consecuencia de la declaración de nulidad de las cláusulas de vencimiento anticipado y el cobro indebido respecto al tipo de interés aplicado y el que corresponde aplicar según contrato suscrito por las partes, resulta que la cantidad reclamada no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/34 es líquida en los términos y condiciones que se reflejan en la demanda y que por tanto es errónea la cantidad reclamada” (El subrayado es de la AEPD) La documentación aportada ofrece dos conclusiones: 1. CAJAMAR no acredita haber efectuado el preceptivo requerimiento de pago al denunciante previo a su inclusión en ficheros de solvencia patrimonial. No ha aportado ningún documento sobre ese extremo toda vez que la deuda incluida en BADEXCUG a la que el denunciante alude en su denuncia se identifica con el código de operación número 0300716490219129, en tanto que los documentos que la denunciada ha remitido a la Inspección de la AEPD se refieren a otra deuda, cuyo código de operación es el número ***CODIGO.1, que se dio de baja en BADEXCUG el 14/06/2015. 2. El Auto nº 401/16, del Juzgado de Primera Instancia nº 13 de Granda precitado se notificó al Procurador de CAJAMAR el 05/10/2016. Indicar que en esa fecha (y desde el 14/06/2015) el importe impagado de la deuda asociada al denunciante que figuraba incluida en BADEXCUG era de 257.192,29 euros. La incidencia se mantuvo sin modificación alguna durante cinco meses, hasta el 14/03/2017. TERCERO: Con fecha 17/05/2018 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAJAMAR por una presunta infracción del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en relación asimismo con los artículos 38.1.

  1. a)y 38.1.
  2. c)del Reglamento de desarrollo de la LOPD (RLOPD), tipificada como infracción grave en el artículo 44.3.
  3. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, CAJAMAR, mediante escrito de fecha 22/05/2018, solicitó una ampliación del plazo para formular alegaciones al acuerdo de inicio y la entrega de una copia del expediente administrativo. Reitera su petición en fecha 01/06/2018. El 29/05/2018 se remite escrito a la entidad denunciada concediéndole la ampliación solicitada y dándole traslado de una copia del expediente. Esta comunicación se efectúa por correo postal, habida cuenta de que el excesivo volumen de la documentación impide que se efectúe a través de la aplicación notific@. El acuse de recibo del servicio de Correos y Telégrafos que obra en el expediente acredita la recepción del envío por la denunciada el 06/06/2018. QUINTO: Con fecha 13/06/2018 tienen entrada en el Registro de la AEPD las alegaciones de CAJAMAR al acuerdo de inicio del expediente sancionador en las que solicita el archivo del expediente y que se deje sin efecto el procedimiento iniciado contra ella. En apoyo de su pretensión de archivo invoca los argumentos siguientes: 1.Sobre la ausencia de prueba de haber realizado el preceptivo requerimiento previo de pago de la deuda, explica que la razón por la cual no remitió a esta Agencia, con su respuesta al requerimiento informativo de la Inspección de Datos, la documentación que acreditaba ese extremo fue que el denunciante había tenido otras deudas con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/34 CAJAMAR además de la deuda con código de operación 300716490219129 y que en el requerimiento de la Inspección no se especificaba que era en particular sobre esa operación sobre la que versaba su solicitud de información. Por ello, con sus alegaciones al acuerdo de inicio hace las consideraciones y aporta los documentos que se detallan: 1.1. Afirma que remitió al denunciante, por distintos medios y en diversas ocasiones, requerimientos de pago de la deuda identificada con el código 0300716490219129, dirigidos a la dirección de ***DIRECCION.1. Manifiesta que, mediante carta personalizada e individualizada efectuó cinco requerimientos de pago: (
  4. i)de fecha 05/02/2014, por una deuda de 953,13 euros; (
  5. ii)de fecha 11/03/2014, por deuda de 816,50 euros; (iii) de fecha 07/05/2014, por deuda de 911,28 euros; (
  6. iv)de 06/06/2014, por una deuda de 1598,23 euros; (
  7. v)de 24/04/2015, por una deuda de 11.126,93 euros. 1.2. Dice que en cada uno de los requerimientos de pago efectuados se informó al denunciante de que “en caso de no proceder al pago de la deuda en el plazo previsto, sus datos podrán ser incluidos en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”, y de la cuantía de la deuda. Aporta copia de las cartas de requerimiento de pago, personalizadas a nombre del denunciante, dirigidas a su domicilio y referenciadas: (
  8. i)de fecha 03/02/2014, por una deuda de 953,13 euros; (
  9. ii)de 06/03/2014, por importe de 816,50 euros; (iii) de 04/05/2014, por importe de 911,28 euros, (
  10. iv)de 04/06/214, por importe de 1.598,23 euros y (
  11. v)de 21/04/2015 por importe de 11.126,93 euros. 1.3. 1.4. 1.5. Con cada una de las cartas de requerimiento remite el correspondiente certificado expedido por Experian Bureau de Crédito, S.A., en su condición de prestador del servicio de envíos de requerimientos de pago previos a la inclusión de operaciones impagadas en ficheros de solvencia, en el que hace constar, entre otras circunstancias, la fecha de recepción del fichero de requerimientos de pago y la fecha del envío del requerimiento. Se aportan los certificados de IMPRELASER, S.L, que indican haber impreso todas las cartas correspondientes a cada una de las cargas efectuadas por EXPERIAN y el número de cartas que correspondían a requerimientos de CAJAMAR identificadas por las referencias inicial y final del conjunto. Se aporta la copia del certificado expedido por Ruta Oeste Mensajeros, acreditativo del depósito en UNIPOST de las cartas impresas. Se aportan los certificados expedidos por UNIPOST acreditativos del envío de las cartas depositadas. Cada una de las cartas de requerimiento de pago dirigidas al denunciante que CAJAMAR adjunta con sus alegaciones al acuerdo de inicio del expediente, van precedidas de un certificado expedido por EXPERIAN. En los cinco certificados aportados (folios 252, 260,270,278 y 285) si bien se hace constar que el “Código de operación” es el 0300716490219129, se indica como “Tipo producto” la categoría de “Préstamo personal”. 2.Por lo que hace referencia a la certeza de la deuda y a su cancelación, CAJAMAR hace las siguientes reflexiones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/34 2.1. Indica que el denunciante mantuvo una actitud pasiva en relación con la cancelación de su deuda durante al menos cinco meses, desde la fecha del 04/10/2016 hasta el 07/03/2017, en que ejercitó el derecho de cancelación. 2.2. Que desde que EXPERIAN conoció el Auto dictado por el Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1 procedió de inmediato y sin dilación a la cancelación de la deuda. 2.3. Que los correos electrónicos remitidos por el denunciante a CAJAMAR con el fin de solicitar la cancelación de sus datos se enviaron a la dirección electrónica de una empleada de la entidad financiera y al Servicio de Atención al Cliente, “canales que no se corresponden con los que CAJAMAR tiene habilitados al efecto para el ejercicio de sus derechos”. Añade que esos canales son los siguientes: email protecciondedatos@grupocooperativocajamar.com y el apartado de Correos 250-04080 de los que, dice, le informó oportunamente en el momento de la contratación de los canales para ejercitar sus derechos. 2.4. Que el Auto 401/2016, de 04/10/2016 fue recurrido en apelación por CAJAMAR lo que le lleva a concluir que esa resolución no es firme y:”… por tanto, carece de cosa juzgada y no puede resultar vinculante para el presente procedimiento”. 3.CAJAMAR afirma, a la luz de las consideraciones precedentes, que obró en el cumplimiento de las obligaciones impuestas por el artículo 38.1 del RLOPD con la diligencia debida y razonable, toda vez que existía una deuda cierta, vencida y exigible que resultó impagada y que se requirió el pago con carácter previo a quien le correspondía cumplir la obligación. 3.1. A propósito de la certeza de la deuda dice que “…en el caso de que la AEPD considere que cuando se incluyen datos de un deudor en un fichero de solvencia patrimonial y crédito y la deuda deviene controvertida se debe proceder a la cancelación de la misma, nos encontraríamos ante una situación de inseguridad jurídica causada por un conflicto entre la doctrina del Tribunal Supremo y la doctrina de la AEPD” (el subrayado es de la Agencia) 4.En relación con los criterios que operan en la graduación de la sanción, discrepa de la valoración de las circunstancias apreciadas por la Agencia como agravantes e invoca el principio de proporcionalidad que ha de manifestarse en un trato igual a los casos de identidad sustancial. - Respecto al apartado
  12. a)del artículo 45.4 LOPD, alega que se han impuesto sanciones menores en casos similares y en los que el tratamiento ilegítimo se prolonga durante más tiempo. Cita a tal fin la resolución del PS/208/2018; la resolución 3526/2017, y la 2275/2017 - Respecto al apartado
  13. c)del artículo 45.4 LOPD, afirma que la AEPD ha tenido en cuenta este criterio de forma equivocada - Respecto al apartado
  14. d)del artículo 45.4, discrepa del criterio de esta Agencia que considera arbitrario. - Además, invoca la aplicación de la atenuante cualificada del artículo 45.5.
  15. b)LOPD por haber actuado, dice, con la mayor diligencia posible. Considera también procedente la aplicación del artículo 45.5.
  16. a)LOPD, toda vez que a su juicio concurren las atenuantes siguientes: la conducta infractora versa sobre el tratamiento de los datos de una única persona; su actividad no está vinculada con el tratamiento de datos de carácter personal; la cuota C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/34 de mercado de CAJAMAR es mínima, por lo que el volumen de negocio opera como atenuante; la entidad no ha obtenido beneficios y no concurre intencionalidad ni omisión de la diligencia debida. SEXTO: Con fecha 01/10/2018, de conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se abre un periodo de prueba en el que se acuerda practicar las siguientes diligencias probatorias: 1. Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la denuncia y su documentación adjunta, así como la documentación recabada en el curso de las actuaciones previas de inspección; documentos todos ellos que forman parte del expediente E/06650/2017. 2. Dar por reproducidas las alegaciones al acuerdo de inicio del procedimiento PS/00209/2018 presentadas por CAJAMAR, CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO. 3. Solicitar a CAJAMAR, CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO, que remita a la Agencia copia de los documentos siguientes: a. La Escritura Pública del préstamo con garantía hipotecaria suscrito entre D. A.A.A. y esa entidad, del que procede la deuda identificada con el código de operación 0300716490219129 que fue informada al fichero BADEXCUG. 4. Solicitar al Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1 la siguiente documentación e información: a. copia íntegra del Auto 401/2016. b. Que informe si contra esa resolución se interpuso por el ejecutante recurso de apelación y en caso afirmativo que faciliten información sobre el estado del procedimiento. Asimismo, en caso de haberse resuelto la apelación se solicita copia de la resolución dictada. c. Información sobre el estado actual de la Ejecución Hipotecaria 881/2015. CAJAMAR remitió la copia de la escritura pública solicitada en escrito presentado por correo postal en fecha 16/10/2018 (Folios 316 a 367) El Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1 remitió la copia del Auto 401/16 de fecha 04/10/2016. Informó asimismo de que en fecha 24/11/2016 el citado Auto fue recurrido en apelación por el ejecutante siendo remitidos los autos a la Audiencia Provincial el día 28/11/2016 para su resolución. Informó de que no consta que se haya resuelto la apelación por encontrarse el procedimiento en suspensión estando el Juzgado a la espera de dicha resolución para la continuación del pleito (Folios 307 a 315) SÉPTIMO: En fecha 25/10/2018 la instructora del expediente emite la propuesta de resolución, formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAJAMAR CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO con NIF F04743175, con multa de 60.000€ (sesenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación también con el artículo 38.1.
  17. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  18. c)de dicha norma.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/34 OCTAVO: La propuesta de resolución se notificó electrónicamente a CAJAMAR en fecha 25/10/2018 siendo esa también la fecha de “puesta a disposición” y la de “aceptación” de la notificación. Obra en el expediente el certificado emitido por la FNMT que así lo acredita. Por tanto, a tenor del artículo 73 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), el plazo para formular alegaciones finalizó el 12/11/2018. Con fecha 13/11/2016 tienen entrada en el Registro de la AEPD las alegaciones de CAJAMAR a la propuesta de resolución presentadas mediante correo postal (correo administrativo de fecha 12/11/2018). En su escrito solicita que se proceda al archivo de las presentes actuaciones. En apoyo de esa pretensión invoca los siguientes argumentos: -La alegación primera, “Sobre la naturaleza de la infracción”, incide en las diferencias entre el acuerdo de inicio del expediente y la propuesta de resolución, por cuanto en el primero se imputó a la denunciada el incumplimiento de dos de los requisitos del artículo 38.1 RLOPD (apartados a y
  19. c)y en la segunda la conducta infractora se concreta únicamente en la vulneración del apartado a, de esa disposición. Partiendo de esta premisa, CAJAMAR muestra su sorpresa porque la sanción fijada tanto en el acuerdo de inicio como en la propuesta de resolución sea la misma, 60.000 euros, lo que contraviene, dice, el principio de proporcionalidad que exige que “una reducción cuantitativa o cualitativa del hecho sancionable se refleje en la valoración de la sanción”. Alega que no existe base legal para la sanción impuesta y estima que la AEPD ha vulnerado el principio de tipicidad, “nulla pena sine lege”, que ha de presidir la actuación administrativa sancionadora. Afirma además que la AEPD ha eludido “dar respuesta a infinidad de alegaciones realizadas por esa parte” lo que vulnera los principios ordenadores del procedimiento administrativo sancionador. - La alegación segunda, “Acerca de que la consideración de la deuda fuera cierta, vencida y exigible y sobre la cancelación de la misma”, incide sobre las siguientes cuestiones: En primer término, se recuerda a la AEPD que el Auto 401/2016, del Juzgado de Primera Instancia número 3 de ***LOCALIDAD.1 fue recurrido en apelación por CAJAMAR el 24/11/2016 y que a fecha de hoy aún no ha sido resuelto. Critica que la AEPD, pese a que refleja esta circunstancia en el Antecedente sexto de la propuesta, no la incorpora al relato de hechos probados. CAJAMAR afirma que, “puesto que el Auto no es firme, carece de consideración de cosa juzgada y, en consecuencia, no puede resultar vinculante en el presente procedimiento, circunstancia que no puede ser obviada por la AEPD”. A continuación, dice que la Agencia “pretende demostrar que el simple inicio de un procedimiento en el que se impugne la deuda del interesado puede vincular a las partes del mismo, fuera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/34 del mencionado procedimiento o producir efectos en un procedimiento iniciado con posterioridad, en la medida que la existencia del procedimiento derivaría, automáticamente, en la incerteza de la deuda, aun cuando el procedimiento ha sido iniciado por el acreedor.” (El subrayado es de la AEPD) La denunciada critica el proceder de la Agencia que dice, contraviene la regulación de la cosa juzgada material y el carácter ejecutable de la Sentencias firmes, artículos 222.4 y 517.2.11 de la Ley de Enjuiciamiento Civil 1/2000. Añade que la STS de 15/07/2010 declaró nulo el apartado
  20. a)del artículo 38.1. RLOPD y que la Agencia ha intentado, contraviniendo dicha Sentencia, defender la aplicabilidad del inciso primero. Frente a ello insiste en que la disposición aplicada por la AEPD, en tanto fue declarada nula, quedó expulsada del ordenamiento jurídico e invoca a tal fin jurisprudencia constitucional (STC 26/2017 y 37/2017). En idéntico sentido se pronuncia el T.S. en STS de 03/03/2015 (Rec. 4063/2013) Afirma que la propuesta de resolución dictada en el presente expediente vulnera los principios constitucionales de legalidad, jerarquía normativa, seguridad jurídica, interdicción de la arbitrariedad de los Poderes Públicos, tutela judicial efectiva y en definitiva de legalidad de la actuación administrativa (artículos 9.3, 24.1 y 103.1 C.E.) Cita igualmente, por estimar que han sido vulnerados, los artículos 1.1, 1.2, 1.6 y 1.7 del Código Civil español. Considera que, además de que la AEPD “no está legitimada ni es competente para declarar que una deuda es incierta sin base legal alguna” (el subrayado es de la Agencia) el denunciante disponía de otros instrumentos procesales para evitar los perjuicios que la inscripción de sus datos en el fichero común le podría causar en tanto se dictara Sentencia firme, por ejemplo solicitando al Juzgado de Primera Instancia o a la Audiencia Provincial de ***LOCALIDAD.1 la adopción de medidas cautelares para instar a CAJAMAR a cancelar los datos del fichero BADEXCUG. Y termina afirmando que el denunciante “…en ningún momento utilizó esta opción, habilidad por nuestro Derecho a tal efecto, y, por tanto, CAJAMAR nunca estuvo obligada a cancelar los datos” (El subrayado es de la Agencia) - La alegación tercera, “Sobre los criterios de graduación de la sanción”, critica la aplicación que hace la propuesta de resolución de las circunstancias descritas en el artículo 45.4 LOPD e indica que deben apreciarse como atenuantes las circunstancias modificativas de la responsabilidad de los apartados b), c), d), e),
  21. f)y
  22. g)del artículo 45.4 LOPD. Hace un análisis de muchas de las circunstancias reiterando en ocasiones manifestaciones que se hicieron en las alegaciones al acuerdo de inicio del expediente sancionador. * El carácter continuado de la infracción (apartado a,). A juicio de la entidad la AEPD ha actuado arbitrariamente y no discrecionalmente, omitiendo que, en casos similares, incluso cuando el periodo de tiempo en el fichero común es superior, las sanciones impuestas fueron de menor cuantía. Cita al efecto las resoluciones 208/2018, de 15 de febrero, en la que la Agencia impuso una sanción de 40.001 euros; la resolución 3526/2017, de 2 de enero, en la que la sanción fue de 50.000 euros y la resolución 2275/2017, de 11 de octubre, por el mismo importe. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/34 * La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (apartado
  23. c)La entidad afirma: “…la actividad de CAJAMAR no está vinculada al tratamiento infractor de datos de carácter personal”. Rechaza la interpretación que la AEPD hace de esa circunstancia lo que conllevaría la aplicación como agravante en todos los procedimientos. Añade que “el impago de deudas con el consecuente procedimiento de reclamación de las mismas …forma parte del riesgo que asume cualquier entidad, pero no entra dentro del ámbito de su actividad como empresario”. * El volumen de negocio o actividad del infractor (apartado d). Declara que la AEPD de forma reiterada ha interpretado esa disposición tomando como referencia el volumen de negocio de otras empresas que operan en el mismo sector de actividad. Afirma que el criterio adoptado en la propuesta de resolución es “extremadamente relativo” y que entiende por ello que, “en base a criterios de proporcionalidad se debe comparar al infractor con otras empresas con las que mantiene características comunes.” A tal efecto hace hincapié en que ostenta una “cuota de mercado” reducida en comparación con otras entidades financieras, por lo que esta circunstancia debe operar como atenuante. * La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas (apartado h). Además de no reconocer los supuestos daños y perjuicios causados al denunciante subraya que el denunciante no ha utilizado los medios que tenía a su alcance para evitar los hipotéticos daños o perjuicios sufridos. Por ejemplo, solicitar al Juzgado de Primera Instancia la adopción de medidas cautelares “para instar a CAJAMAR a cancelar los datos del interesado del fichero de solvencia”. * Volumen de tratamientos (apartado b). Entiende que el hecho de que exista únicamente un afectado debe tenerse en cuenta al menos, “a efectos de no aplicar la circunstancia agravante”. * Beneficios obtenidos como consecuencia de la comisión de la infracción (apartado e). Indica que no sólo no ha obtenido beneficios, sino que su actuación tenía como objetivo minorar el perjuicio que le estaba siendo causado. * El grado de intencionalidad (apartado f), pues “nunca tuvo la intención de causar perjuicio al interesado, ni siquiera por medio de una omisión de diligencia”. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A., con NIE ***DNI.1, denuncia que CAJAMAR le ha incluido en ficheros de solvencia por la totalidad del préstamo hipotecario pendiente, sin haberle requerido con carácter previo el pago de la deuda informada y sin que tal deuda fuera cierta, vencida y exigible. (Folios 1 a 3) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/34 SEGUNDO: EXPERIAN BUREAU DE CRÉDITO, S.A. (EXPERIAN) ha aportado documentación acreditativa de que, respecto a la operación identificada con la referencia nº 300716490219129, correspondiente a un préstamo hipotecario, CAJAMAR informó al fichero BADEXCUG los datos personales del denunciante (nombre, apellidos, NIF y domicilio) en tres ocasiones: - La 1ª incidencia, con fecha de alta 06/04/2014, por un importe de 1.315, 87 euros, se dio de baja el 27/04/2015. - La 2ª incidencia, con fecha de alta 29/06/2014, por un saldo impagado de 2.697,09 euros, se dio de baja el 20/07/2014. - La 3ª incidencia, se dio de alta el 17/05/2015 siendo en esa fecha el importe del saldo impagado de 12.138,47 euros. En fecha 31/05/2015 el importe de la deuda informada ascendió a 13.110,85 euros. En fecha 14/06/2015 el saldo impagado pasó a 257.192,29 euros. Esa inclusión mantuvo el saldo pendiente de pago por importe, 257.192,29 euros desde el 14/06/2015 hasta la fecha de baja de la anotación, el 14/03/2017. (Folios 181 y 187 a 189) TERCERO: EXPERIAN ha manifestado que dio de baja del fichero BADEXCUG la incidencia asociada a los datos personales del denunciante en relación con la operación número 300716490219129, a raíz de que éste ejercitara el derecho de cancelación. EXPERIAN recibió la solicitud del denunciante para que cancelara sus datos el 21/03/2017 quien aportó los siguientes documentos: -La acreditación de su identidad. -La copia del Auto 401/16, del Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1, que resolvió el incidente de oposición a la Ejecución Hipotecaria 881/2015 promovida por CAJAMAR, declaró nulas por abusivas las cláusulas de vencimiento anticipado y el cobro indebido respecto al tipo de interés aplicado y el que correspondía aplicar según contrato suscrito por las partes, concluyendo que la cantidad reclamada no era líquida y por tanto era errónea, y acordó el sobreseimiento del procedimiento de ejecución. (Folios 192 a 204) CAJAMAR accedió a la aplicación eSPaCio -mediante la que el Servicio de Protección al Consumidor de EXPERIAN gestiona las solicitudes de derechos- el 09/03/2017 y denegó la cancelación solicitada por el afectado (folio 205) EXPERIAN en fecha 14/03/2017 canceló cautelarmente la inclusión asociada a la operación 30071649021912 informada por CAJAMAR (folios 205 a 207) [ 1] CUARTO: Resulta acreditado que CAJAMAR interpuso en el año 2015 frente al denunciante demanda ejecutiva -ejecución dineraria sobre bienes inmuebles- que dio lugar al procedimiento de Ejecución Hipotecaria 881/2015, seguido ante el Juzgado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/34 Primera Instancia número 13 de ***LOCALIDAD.1 (Folios 199 y 309) El actual denunciante se opuso a la ejecución acordando el Letrado de la Admón. de Justicia la apertura de pieza separada de Incidente de Oposición a la Ejecución. Los autos del incidente de Oposición a la Ejecución Hipotecaria 881/2015, sustanciados por los trámites del Juicio Verbal, quedaron resueltos por el Auto 401/2016, de fecha 04/10/2016. QUINTO: En el Fallo del referido Auto se estima la oposición deducida por el ejecutado (actual denunciante) en la ejecución promovida por CAJAMAR y se acuerda el sobreseimiento del procedimiento de ejecución con imposición de costas a la ejecutante. - El Juzgado funda su decisión en las cláusulas del contrato que se declaran abusivas en aplicación del artículo 695 de la Ley de Enjuiciamiento Civil. - En sus Fundamentos Jurídicos, el Auto afirma que no era procedente aplicar al denunciante, como hizo CAJAMAR, la cláusula suelo que contemplaba el contrato de préstamo suscrito por la entidad financiera con el promotor, en el que denunciante se subrogó, pues en la escritura de novación del préstamo las partes (entre ellas el denunciante) modifican y pactan los tipos de interés del préstamo, pero no pactan ninguna cláusula suelo. El Auto afirma que el ejecutante (CAJAMAR) ha cobrado incorrectamente cantidades excesivas al deudor. - El Auto declara nula la cláusula de vencimiento anticipado del préstamo tomando para ello en consideración los parámetros que la STJUE de 14/03/2013 establece para calificar de abusivas cláusulas en contratos de consumo. - El Auto concluye que “como consecuencia de la declaración de nulidad de las cláusulas de vencimiento anticipado y el cobro indebido respecto al tipo de interés aplicado y el que corresponde aplicar según contrato suscrito por las partes, resulta que la cantidad reclamada no es líquida en los términos y condiciones que se reflejan en la demanda y que por tanto es errónea la cantidad reclamada” (El subrayado es de la AEPD) SEXTO: Obra en el expediente, aportado por el denunciante, una captura de pantalla de la aplicación Lexnet, relativa a la notificación del Auto 401/2016 que resuelve la oposición, dictado por el Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1, que tiene como destinatarios a los procuradores de la parte ejecutante (D.ª C.C.C.) y del ejecutado, siendo la fecha de envío el 05/10/2016. En el documento queda acreditada la recepción de la notificación por el procurador del ejecutado en la misma fecha de 05/10/2016 (Folio 197) SÉPTIMO: CAJAMAR ha aportado con su escrito de alegaciones al acuerdo de inicio los documentos que, a su juicio, acreditan que requirió al denunciante el pago de la deuda informada a BADEXCUG (identificada con el código de operación 0300716490219129) con carácter previo a su inclusión en el fichero de solvencia: Adjunta cinco cartas de requerimiento de pago -personalizadas a nombre del denunciante, y referenciadas- que van acompañadas de la documentación acreditativa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/34 de las fechas de impresión de cada una de ellas y de su código de referencia, así como de su envío a través del operador postal UNIPOST sin que se tenga constancia de que hayan sido devueltas por los servicios postales. Las cartas de requerimiento de pago aportadas son las siguientes: De fecha 03/02/2014, por un importe impagado de 953,13 euros (Folios 255 a 259) De fecha 06/03/2014, por un importe impagado de 816,50 euros, (Folios 262 a 269) De fecha 04/05/2014, por un importe impagado de 911,28 euros (Folios 272 a 277) De fecha 04/06/2014, por un importe impagado de 1.598,23 euros (Folios 280 a 284) De fecha 21/04/2015, por un importe impagado de 11.126,39 euros (Folios 287 a 293) (
  24. i)(
  25. ii)(iii) (
  26. iv)(
  27. v)OCTAVO: Obra en el expediente, aportada por el denunciante, la copia del Informe que el Departamento de Conducta de Mercado y Reclamaciones del Banco de España emitió el 01/09/2017, en relación con la reclamación (expediente con referencia R 201605911) formulada por el ahora denunciante frente a CAJAMAR en cuyo apartado IV, Conclusión se recoge esta afirmación: “En cuanto a la inclusión de los datos personales del reclamante en ficheros de morosidad, toda vez que no consta en el expediente documentación acreditativa de que la entidad hubiese informado de forma previa a su cliente de que iba a proceder a ceder sus datos personales al fichero, su actuación ha sido contraria a las buenas prácticas y usos financieros” (El subrayado es de la AEPD) (Folios 6 y 15) NOVENO: Obran en el expediente copia de diferentes comunicaciones que el denunciante mantuvo con CAJAMAR: - La copia de un burofax que el denunciante dirige a CAJAMAR, que consta recibido por la entidad el 25/01/2017, en el que pide que se cancelen sus datos del fichero de solvencia BADEXCUG. - La copia de cuatro emails que el denunciante envía a una empleada de CAJAMAR de fechas 27/05/2016, 31/05/2016, 29/11/2016 y 02/03/2017. En todos ellos solicita que se cancelen sus datos del fichero de solvencia y explica que la deuda no es cierta. En todos ellos se relatan los perjuicios que la inclusión le está ocasionando en el desempeño de su actividad empresarial e insiste en que no fue informado de la inclusión de sus datos en el fichero BADEXCUG. En esa línea, en el email que el denunciante envía el 31/05/2016 dice: “Como te lo comenté por teléfono, desde julio del año pasado tengo escritos del responsable de cuenta de la compañía aseguradora ***ASEGURADORA.1, que me pide explicaciones por la situación. En su escrito hace referente expresamente que es la entidad CAJAMAR que me tiene inscrito en ficheros de morosos” (Folio 27) [1. Por error en el número de referencia su último dígito, el “9”] FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/34 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  28. g)en relación con el artículo 36 de la LOPD. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 4 de la LOPD, bajo la rúbrica “Calidad de los datos”, establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  29. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada
  30. b)(….)
  31. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación” El artículo 38 del RLOPD en su apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. La vulneración del artículo 4.3 de la LOPD se tipifica como infracción grave en el artículo 44.3., c), precepto que dispone: “Son infracciones graves: (…)
  32. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/34 Se imputa a CAJAMAR una infracción del principio de calidad de los datos, en su manifestación del principio de exactitud (ex artículo 4.3 LOPD), infracción tipificada como grave en el artículo 44.3.
  33. c)LOPD. El acuerdo de inicio del expediente sancionador que nos ocupa consideró que la conducta infractora atribuida a CAJAMAR se había materializado en la inclusión de los datos personales del denunciante en el fichero de solvencia BADEXCUG sin cumplir los requisitos descritos en los apartados
  34. a)y
  35. c)del artículo 38.1. RLOPD, a cuya observancia se condiciona que la comunicación de datos personales de terceros a ficheros de esa naturaleza sea ajustada a Derecho. El artículo 29.2 LOPD permite al acreedor comunicar a ficheros comunes los datos personales del deudor sin recabar su consentimiento, apartándose así de la regla general del artículo 6.1 LOPD, conforme a la cual el tratamiento de los datos personales de terceros requiere contar con su consentimiento inequívoco. Esto explica que, como contrapeso, se articulen limitaciones a la habilitación que el artículo 29.2 otorga al acreedor y que el artículo 29.4 indique que sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados que no se refieran cuando sean adversos a una antigüedad superior a los seis años y “que respondan con veracidad a la situación actual de aquellos”. Las disposiciones reglamentarias de desarrollo de la LOPD (Reglamento aprobado por el Real Decreto 1720/2007, en particular el artículo 38.1) insisten en que sólo se pueden incluir en los ficheros comunes los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado y exigen que preceptivamente se cumplan, entre otros, unos requisitos que detalla en los apartados a, b, y c de su artículo 38.1. A. Por lo que atañe al incumplimiento del apartado
  36. a)del artículo 38.1 RLOP “Existencia de una deuda cierta, vencida, exigible, que haya resultado impagada” -, indicar que ese requisito fue incumplido por CAJAMAR desde el 05/10/2016 y hasta la baja de la incidencia informada, el 14/03/2017. El importe de la deuda que la entidad había incluido en el fichero EXPERIAN asociada a los datos personales del denunciante (fecha de alta de la incidencia el 17/05/2015) se elevó a 13.110,85 euros el 31/05/2015 y subió a 257.192, 29 euros en fecha 14/06/2015, a raíz de que la denunciada resolviera anticipadamente el contrato de préstamo con garantía hipotecaria. A propósito del apartado
  37. a)del artículo 38.1 RLOPD han de hacerse las siguientes consideraciones: En primer término, hemos de referirnos a la STS de 15/07/2010 (Rec. 23/2008) que declaró la nulidad, por ser disconforme a Derecho, del inciso último del artículo 38.1.
  38. a)del RLOPD, cuyo tenor era el siguiente: “… y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por el Real Decreto 303/2004, de 20 de febrero”. El Fundamento de Derecho decimocuarto de la STS precitada, en el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/34 examinó y valoró la impugnación del artículo 38.1.a, RLOPD, concretó cuáles eran los términos de la controversia planteada respecto a esa disposición y señaló a tal fin: “…procede indicar que la exigencia al inicio del apartado 1
  39. a)del artículo 38 de que la deuda sea “cierta” responde al principio de veracidad y exactitud recogido en el artículo 4.3 de la Ley 15/1999(…) Siendo el adjetivo <cierto> sinónimo de irrefutable, incontestable, indiscutible, etc,..el tema de debate se circunscribe a si es posible sostener con éxito que, en aquellos casos en que se hubiera entablado con respecto a la deuda un procedimiento de los expresados en el artículo 1 a), puede hablarse de una deuda cierta antes de que recaiga resolución firme o se emita, en los supuestos previstos en el Reglamento de los Comisionados, el informe correspondiente”. Pues bien, la Sala Tercera del TS respondió a esa pregunta indicando que lo relevante era “decidir si el apartado 1
  40. a)del artículo responde a la previsión legal del artículo 4.3, y la respuesta debe ser negativa en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no sólo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deuda a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero”. (El subrayado es de la AEPD) Y terminó declarando a propósito de esta cuestión que el conflicto de intereses debe resolverse “exigiendo una mayor concreción en el precepto reglamentario que pondere los intereses en presencia en atención a las circunstancias concretas”. (El subrayado es de la AEPD) Del tenor literal de los fragmentos de la STS de 15/07/2010 reproducidos, se evidencia, por una parte, que lo que justificó la anulación del último inciso del artículo 38.1.
  41. a)del R.D. 1720/2007 fue la inconcreción de la que adolecía la redacción y, por otra, que el Tribunal consideró ajustada a Derecho la exigencia del artículo 38.1.
  42. a)del RLOPD de que la deuda fuera “cierta”, adjetivo que es sinónimo de irrefutable e indiscutible, lo que es congruente con el principio de veracidad y exactitud que consagra el artículo 4.3. de la Ley Orgánica 15/1999. A tenor de lo expuesto, el criterio seguido desde entonces por esta Agencia -criterio que ha sido confirmando sin fisuras por la Sala de lo Contencioso Administrativo de la Audiencia Nacional- es entender que la impugnación de una deuda cuestionando su existencia o certeza ante órganos judiciales y arbitrales en todo caso y ante órganos administrativos que tengan competencia para declarar la existencia o inexistencia de aquella a través de resoluciones que sean de obligado cumplimiento para las partes, impedirá que pueda hablarse de una deuda cierta hasta que recaiga resolución firme; y por tanto impedirá su inclusión en los ficheros de solvencia patrimonial y crédito. CAJAMAR ha aducido en su defensa (alegaciones a la propuesta de resolución) que la Sentencia del Tribunal Supremo mencionada declaró nulo el apartado
  43. a)del artículo 38.1 del RLOPD y no, como sostiene esta Agencia, únicamente su inciso último. Añade que la Agencia, vulnerando principios reconocidos constitucionalmente, ha intentado defender la aplicabilidad del inciso primero del referido apartado
  44. a)del artículo 38.1. RLOPD. En congruencia con esas afirmaciones -en particular la pretendida declaración de nulidad de la disposición que a su juicio hizo la STS de 15/07/2010- concluye, como no podría ser de otro modo, que la disposición que la Agencia ha considerado infringida (apartado a del artículo 38.1. RLOPD) no forma parte de nuestro C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/34 ordenamiento jurídico, sino que obviamente, en tanto norma nula ha sido expulsada de él. A tal fin ofrece el pertinente apoyo jurisprudencial, tanto de la jurisprudencia del Tribunal Constitucional como del Tribunal Supremo. Asimismo, concluye que la AEPD, al no respetar la pretendida declaración de nulidad de esa disposición, incurre en una vulneración de los principios de legalidad, tipicidad, seguridad jurídica e interdicción de la arbitrariedad de los Poderes Públicos. Llama la atención el alegato de la entidad denunciada toda vez que, poco tiempo después de la STS de 15/07/2010 -habida cuenta de que la STS afirmaba que la deuda informada a un fichero de solvencia necesariamente debía ser cierta, esto es, irrefutable e indiscutible, y que la nulidad declarada en la Sentencia afectaba al inciso segundo de la norma por su excesiva vaguedad- las resoluciones de la AEPD, de conformidad con la decisión del Tribunal Supremo, mantuvieron el criterio de que la deuda únicamente dejaba de ser cierta, en el sentido de incumplir el artículo 38.1.a, RLOPD, además de en los casos en los que existiera un procedimiento judicial pendiente que pusiera en duda su existencia -extremo que nadie discutía- en aquellos en los que existía una reclamación arbitral o administrativa entablada ante órganos con facultad para dictar resoluciones de obligado cumplimiento para las partes. De este modo desaparecía la vaguedad e inconcreción de la que adolecía el inciso segundo del artículo 38.1.a RLOPD, declarado nulo, en el que se mencionaban multitud de supuestos en los que bastaba una reclamación ante un órgano administrativo sin facultades resolutorias (caso de una reclamación ante la OMIC, o una reclamación ante los Comisionados previstos en el Real Decreto 303/2004), e incluso una reclamación formulada por el propio deudor, para cerrar el acceso a los ficheros comunes de las deudas pendientes. Y decimos que es llamativo ese alegato por cuanto desde finales de 2010 es ese y no otro el criterio de aplicación del apartado
  45. a)del artículo 38.1. del RLOPD por la AEPD, interpretación que ha sido confirmada por la Audiencia Nacional sin vacilaciones en los muy numerosos recursos contencioso-administrativos que desde entonces se han interpuesto ante la Sala de lo Contencioso de ese Tribunal frente a las resoluciones de la AEPD. CAJAMAR, en defensa de su pretensión de archivo del expediente, viene torticeramente a confundir lo que no es sino un requisito de la normativa específica de protección de datos, imprescindible para que los datos personales de un tercero puedan ser incluidos sin su consentimiento por el acreedor en un fichero común vinculados a una deuda pendiente, con la institución de la cosa juzgada. Esta confusión le lleva a hacer afirmaciones del siguiente calibre: que la Agencia pretende demostrar que “el simple inicio de un procedimiento en el que se impugne la deuda del interesado puede vincular a las partes del mismo fuera del mencionado procedimiento o producir efectos en un procedimiento iniciado con posterioridad…” (El subrayado es de la Agencia) Sin embargo, esta Agencia ni pretende ni está facultada para declarar o reconocer efectos jurídicos de ninguna naturaleza. Sí es competente, y está obligada a ello, para valorar la adecuación de una conducta a la normativa de protección de datos. La AEPD se ha limitado a constatar lo que es un “hecho”, que de conformidad con el Auto 401/2016, la deuda por importe de 257.192, 29 euros que CAJAMAR comunicó al fichero común vinculada al denunciante no cumplía el requisito de certeza en los términos que lo exige el artículo 38.1.
  46. a)RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/34 CAJAMAR muestra su malestar porque los hechos probados no han reflejado que el Auto 401/2016 del Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1 fue recurrido en apelación y que la Audiencia Provincial a fecha de hoy aún no ha resuelto el recurso. La entidad, no obstante, admite que esta circunstancia sí consta en el Antecedente sexto de la propuesta. Pues bien, la existencia de un recurso de apelación interpuesto frente al Auto 401/2016, pendiente de resolución por la Audiencia Provincial, no hace sino mantener en el tiempo la situación de incertidumbre de la deuda que había comunicado a BADEXCUG asociada al denunciante. Es precisamente esa controversia sobre la existencia de la deuda (fruto del Auto que pone fin al incidente de oposición a la Ejecución) lo que impide que en tales condiciones pueda ser comunicada al fichero, lo que implicaría atribuir al denunciante la condición de deudor por tal importe sin la certeza que exige el principio descrito en el artículo 4.3 LOPD, norma que estimamos ha sido infringida por CAJAMAR. Finalmente, por lo que atañe a esta cuestión, basta hacer dos precisiones más: La primera de ellas, que en contra de lo manifestado por la entidad denunciada esta Agencia, en ningún momento, ha declarado que la deuda que CAJAMAR atribuye al denunciante es incierta. Ni ha hecho tal declaración ni obviamente podría hacerla pues ninguna competencia tiene en esa materia. La AEPD se ha limitado a constatar un hecho: La declaración del Juzgado de Primera Instancia número 13 en la parte dispositiva de su Auto 401/2016: “la cantidad reclamada no es líquida”, “…es errónea la cantidad reclamada”. La segunda de ellas, que a tenor de la exposición precedente estimamos que carece de sentido dar respuesta al alegato de la denunciada sobre las supuestas infracciones en las que, a su juicio, esta Agencia habría incurrido: Artículos 9.3, 24.1 y 103.1 de la C.E.; artículos 222.4 y 517.2.11 de la Ley de Enjuiciamiento Civil 1/2000; artículos 1.1, 1.2, 1.6 y 1.7 del Código Civil. B. Como se detalla en los Hechos Probados, en particular en el Hecho segundo, CAJAMAR informó al fichero BADEXCUG los datos personales del denunciante, en relación con una operación identificada con la referencia 300716490219129, en tres ocasiones. La tercera inclusión se produjo (fecha de alta) el 17/05/2015 por un saldo impagado que ascendía en esa fecha a 12.138,47 euros y que en fecha 31/05/2017 pasó a 13.110,85 euros. Días más tarde, en fecha 14/06/2015, el saldo impagado informado por CAJAMAR a BADEXCUG era de 257.192,29 euros. Desde entonces, 14/06/2015, y hasta la fecha de baja de la anotación, el 14/03/2017, el importe impagado atribuido al denunciante fue invariablemente de 257.192,29 euros. CAJAMAR había promovido en el año 2015 frente al denunciante un procedimiento de Ejecución de Bienes Hipotecados para el cobro de deuda (Procedimiento de Ejecución Hipotecaria 881/2015). El deudor ejecutado -actual denunciante- formuló oposición frente al Auto que despachó ejecución lo que motivó la apertura de pieza separada para resolver el incidente de oposición. El incidente se sustanció por los trámites del Juicio Verbal y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/34 terminó con el Auto 401/2016, que estimó la oposición deducida por el ejecutado y acordó el sobreseimiento del procedimiento de Ejecución Hipotecaria 881/2015, con imposición de costas a la entidad ejecutante. A través de la oposición formulada por el entonces ejecutado se puso en tela de juicio la certeza de la deuda por la que se había despachado ejecución frente al denunciante, deuda que es en esencia la misma que fue informada a BADEXCUG por CAJAMAR y que desde el 14/6/2015 ascendió a 257.192,29 euros. El Auto 401/2016, de 04/10/2016, dictado por el Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1, órgano que conocía de la Ejecución Hipotecaria, que estimó la pretensión del ejecutado y acordó el sobreseimiento del procedimiento de Ejecución, fundó su decisión en que CAJAMAR, “ha cobrado incorrectamente cantidades excesivas al deudor” (Fundamento Jurídico primero); en “la nulidad de la cláusula de vencimiento anticipado” (cláusula que había aplicado CAJAMAR y que determinó que el importe de la deuda informada a BADEXCUG se elevara de 13.110,85 euros a 257.192,29 euros , Fundamento Jurídico Tercero) y en la nulidad declarada de las cláusulas de comisiones de reclamación de posiciones deudoras (Fundamentos Jurídicos cuarto y quinto del Auto). El Fundamento Jurídico quinto del mencionado Auto dice: “Como consecuencia de la declaración de nulidad de las cláusulas de vencimiento anticipado y el cobro indebido respecto al tipo de interés aplicado y el que se corresponde aplicar según contrato suscrito por las partes, resulta que la cantidad reclamada no es líquida en los términos y condiciones que se reflejan en la demanda y que por tanto es errónea la cantidad reclamada. La declaración de nulidad conlleva que la liquidación de la deuda efectuada por el ejecutante no sea correcta en tanto no puede aplicarse la cláusula de vencimiento anticipado…” (El subrayado es de la AEPD) Por tanto, a raíz del Auto 401/2016, la deuda que CAJAMAR mantenía en BADEXCUG por importe de 257.192.29 euros, vinculada a los datos del denunciante, no cumplía el requisito de certeza exigido por el artículo 38.1.
  47. a)RLOPD. La deuda por ese importe se encontraba discutida ante un órgano jurisdiccional, de forma que, hasta que esa resolución no fuera firme, la entidad debía proceder a dar de baja del fichero la incidencia o a rectificar los datos que eran inexactos. El citado Auto fue recurrido en apelación por CAJAMAR en fecha 24/11/2016 (tal y como nos informó el Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1 en la fase de prueba) sin que conste que la Audiencia Provincial haya resuelto el citado recurso. Así pues, la controversia sobre la deuda de 257.192,29 euros que CAJAMAR informó a BADEXCUG asociada a sus datos personales sigue adoleciendo de falta de certeza; esto es, no puede calificarse de cierta, vencida y exigible respecto a la persona del denunciante lo que impide en tales condiciones que pueda ser informada a un fichero de solvencia patrimonial. El Auto 401/2016 de 04/10/2016, que estimó la pretensión del ejecutado -actual denunciante- fue notificado por el órgano jurisdiccional, a través de LEXNET, en fecha 05/10/2016, a los procuradores de las partes ejecutante y ejecutada (Folio 197, Hecho probado Sexto). En el expediente tenemos constancia documental, exclusivamente, de la recepción de esa notificación por el Procurador del ejecutado en fecha 05/10/2016, pero habida cuenta de que la notificación del Juzgado se dirigió en la misma fecha a ambos procuradores a través del Colegio de Procuradores, no hay razón para dudar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/34 de que también el 05/10/2016, o en el día inmediato, el Auto fue notificado al procurador de CAJAMAR. Así pues, desde el 05/10/2016 (o el día inmediato) CAJAMAR conoció a través de su representante procesal el texto del Auto 401/2016. Desde esa fecha, la denunciada sabía perfectamente que la deuda por la que los datos personales del denunciante permanecían en el fichero BADEXCUG -de 257.192,29 euros desde el 14/06/2015, consecuencia de aplicar la cláusula de vencimiento anticipado que el Auto había declarado nula y del cobro de cantidades indebidas al deudor- no era cierta, ni vencida ni exigible respecto a la persona del denunciante. El artículo 8 del RLOPD, en su apartado 5, después de recordar que los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado, concede, en su inciso segundo, al responsable del fichero o tratamiento, un plazo de diez días, computado desde que conoce la inexactitud, para proceder a su rectificación o cancelación. El precepto dispone: “Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello”. En atención a la exposición precedente, concluimos que CAJAMAR mantuvo los datos personales del denunciante en el fichero de solvencia BADEXCUG, por una deuda que no era cierta, ni vencida ni exigible desde la perspectiva del afectado durante cinco meses, periodo de tiempo durante el cual vulneró el principio de calidad de los datos en relación con el artículo 38.1.
  48. a)del RLOPD. Después de conocer que la deuda informada no cumplía el requisito del artículo 38.1.a, RLOPD -a raíz de la notificación del Auto 441/2016, en fecha 05/10/2016- continuó manteniendo los datos del denunciante en BADEXCUG incumpliendo con ello durante casi cinco meses el artículo 38.1.
  49. a)del RLOPD, en relación con el artículo 4.3 y 29.4 LOPD. C. CAJAMAR ha esgrimido diversos argumentos en defensa de su pretensión de que la AEPD proceda al archivo de las presentes actuaciones. Entre ellos alude a la “pasividad” demostrada por el denunciante que habiendo tenido conocimiento en fecha 05/10/2016 del Auto 401/2016, dice la entidad, no solicitó la cancelación de la inclusión hasta el 07/03/2017, fecha en la que ejerció su derecho ante EXPERIAN. CAJAMAR se refiere con ello a la solicitud de cancelación que el denunciante dirigió a EXPERIAN, de fecha 07/03/2017, a la que la responsable del fichero de solvencia le respondió mediante carta de fecha 09/03/2017 en la que le comunicaba que se había procedido a la cancelación cautelar de la incidencia informada en su fichero. Llama la atención que CAJAMAR omita toda referencia a su propia conducta, cuando es precisamente ese aspecto el que nos corresponde aquí valorar. Más aún cuando intencionadamente CAJAMAR omite que EXPERIAN puso a su disposición, a través de la aplicación eSPaCio, la solicitud del denunciante y la documentación adjunta a ella y entró en el expediente desde la citada aplicación y denegó la cancelación de sus datos de BADEXCUG. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/34 Resulta acreditado en el expediente que una vez que la solicitud de cancelación del denunciante se recibe por EXPERIAN, el 07/03/2017, esta entidad puso a disposición de CAJAMAR, valiéndose para ello de su herramienta informática “eSPaCio”, la petición formulada por el denunciante y la documentación que éste adjuntaba a aquélla. Entre la documentación que el denunciante anexó a su solicitud a fin de fundamentar su pretensión de cancelación, consta la siguiente: La copia del Auto 441/2016, del Juzgado de Primera Instancia número 13 de ***LOCALIDAD.1; la acreditación documental de la notificación del Auto a través de Lexnet y la copia del Informe emitido por el Departamento de Conducta de Mercados y Reclamaciones del Banco de España (expediente con Ref.R201605911) en relación con la reclamación formulada por el denunciante. Tal y como EXPERIAN ha acreditado documentalmente, CAJAMAR accedió a la aplicación y marcó “No baja”. Por tanto, CAJAMAR, omitiendo la diligencia que era procedente en el cumplimiento de las obligaciones que le impone la LOPD y normas de desarrollo, se opuso a la cancelación de los datos del denunciante de la que EXPERIAN le había informado, pese a que entonces ya habían transcurrido casi cinco meses desde la fecha en la que vino obligada a cancelar de oficio el dato inexacto (ex artículo 8.5 RLOPD) sin necesidad de que el afectado ejerciera el derecho de cancelación respecto a los datos comunicados al fichero. Igualmente habría que señalar que es también exponente de la grave falta de diligencia demostrada por CAJAMAR y muestra de una verdadera grave pasividad el hecho de que, una vez notificado el Auto 441/2016, no procediera de inmediato, en el plazo máximo de diez días -ex artículo 8.5 RLOPD- a cancelar la incidencia informada a BADEXCUG por importe de 257.192,29 euros. CAJAMAR alega que contra el Auto 441/2016 interpuso recurso de apelación en fecha 24/11/2016, recurso que al día de la fecha no consta que haya sido resuelta aún por la Audiencia Provincial de ***LOCALIDAD.1. De ello concluye que no siendo firme el Auto precitado no tiene obligación de cumplirlo. Sin embargo, hasta tanto la apelación promovida por la entidad denunciada no se resuelva, era evidente que la deuda por importe de 257, 192,29 euros por la que el denunciante permaneció incluido en el fichero BADEXCUG a instancia de CAJAMAR desde el 14/06/2015, carecía de certeza, pues se encontraba sometida a una controversia sobre su existencia. De modo que, hasta tanto la resolución no sea firme -se resuelva el recurso de apelación entablado por CAJAMAR- la deuda aludida no podía calificarse de cierta, vencida y exigible desde la perspectiva del afectado y no estaba en condiciones de mantenerse en un fichero de solvencia o de acceder a él. D. El artículo 43 de la LOPD sujeta a su régimen sancionador a los responsables de los ficheros y a los encargados de tratamiento. La exigencia de responsabilidad sancionadora presupone la existencia del elemento subjetivo de la culpabilidad, esencial para que nazca responsabilidad en el ámbito del Derecho Administrativo Sancionador pues no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/34 manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente para imponerlas (STC 76/1999) . El artículo 28 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ha reconocido reiteradamente el Tribunal Supremo que entiende que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En el presente caso no cabe duda de que CAJAMAR obró con una grave falta de diligencia al haber mantenido los datos personales de la denunciante en el fichero BADEXCUG incumpliendo el principio de calidad de los datos en relación con el artículo 38.1.
  50. a)del RLOPD cuando, pese a tener conocimiento de que la deuda informada al fichero común no era cierta, vencida ni exigible. En definitiva, está presente en los hechos analizados el elemento subjetivo de la culpabilidad: la falta de diligencia de la infractora se materializa en la ausencia de controles para verificar el cumplimiento las condiciones exigidas por la ley para mantener los datos de un tercero en un fichero de solvencia. A tenor de lo expuesto, estimamos que la conducta de CAJAMAR sometida a la consideración de esta Agencia vulnera el artículo 4.3, en relación con el 29.4, de la LOPD y el 38.1.a, del RLOPD, y es subsumible en el tipo infractor del artículo 44.3.
  51. c)LOPD IV En el acuerdo de inicio del expediente sancionador que nos ocupa se imputó a CAJAMAR la vulneración del principio de calidad de los datos, artículo 4.3 LOPD en relación el artículo 29.4 de la Ley Orgánica y en relación con los artículos 38.1.
  52. a)y 38.1.
  53. c)del RLOPD, pues se estimó que la conducta infractora se había materializado en la inclusión de los datos del denunciante en un fichero de solvencia incumpliendo dos de las condiciones del artículo 38.1 del citado reglamento, los apartados
  54. a)y c). El artículo 38.1.
  55. c)alude a la obligación de requerir el pago de la deuda a la persona a quien corresponde su cumplimiento con carácter previo a la comunicación de sus datos al fichero de solvencia Paralelamente, los artículos 38.3 y 39 del RLOPD establecen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/34 de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  56. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. El artículo 43.1 del RLOPD añade que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El criterio seguido, de manera uniforme, por la Audiencia Nacional, Sala de lo Contencioso Administrativo, a propósito del alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.
  57. c)del RLOPD- impone al responsable de un fichero sobre el cumplimiento o incumplimiento de obligaciones dinerarias es que aquél debe estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por su destinatario. La Audiencia Nacional, en Sentencia de 24/01/2003 precisó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) Durante las Actuaciones de Investigación previa CAJAMAR no facilitó a la Inspección de Datos ningún documento que acreditara haber realizado el preceptivo requerimiento de pago al denunciante previo a la inclusión de sus datos en BADEXCUG. Recordemos que respecto a la deuda a la que se refiere la denuncia (operación identificada con el código 0300716490219129) la entidad efectuó tres inclusiones en el fichero de solvencia, la tercera con fecha de alta 17/05/2015. Ante la ausencia de pruebas aportadas por la denunciada, el acuerdo de inicio del expediente sancionador concretó la conducta infractora en la vulneración de ambos apartados del artículo 38.1 RLOPD. En su escrito de alegaciones al acuerdo de inicio CAJAMAR adujo que si no aportó la documentación referente al requerimiento de la deuda fue porque la Agencia no específico en su solicitud de información a cuál de las deudas que el denunciante mantuvo con ella se estaba refiriendo. Por ello, en el trámite de alegaciones al acuerdo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/34 de inicio aportó diversa documentación que, a su juicio, acreditaba que efectuó el requerimiento de pago que la AEPD consideró incumplido. Sin embargo, esos documentos que CAJAMAR nos remite adjuntos al escrito de alegaciones no tienen virtualidad para entender cumplido el requisito del artículo 38.1.
  58. c)RLOPD. Esta afirmación se fundamenta en el hecho de que los documentos aportados, pese a consistir en cartas referenciadas y personalizadas a nombre del denunciante, dirigidas a su domicilio, a que en ellas la entidad le requiere el pago de un determinado importe y a que van acompañadas de los documentos que permiten seguir su trazabilidad -esto es, el recorrido seguido por la carta desde que se imprime, pasando por el depósito efectuado por Ruta Oeste Mensajeros en UNIPOST, y el certificado de que las cartas no constan devueltas–, no coinciden ni en las fechas ni en los importes requeridos con el importe que se comunicó por CAJAMAR a BADEXCUG en las tres inclusiones relativas al impago de la deuda procedente del préstamo hipotecario concertado con ella. Recordemos que CAJAMAR informó a BADEXCUG los datos del denunciante asociados a impagos derivados del préstamo hipotecario en tres ocasiones: La primera inclusión, con fecha de alta 06/04/2014, por un saldo impagado de 1.315,87 euros; la segunda, con fecha de alta 29/06/2014, por un impago de 2.697,09 euros y la tercera, con fecha de alta 17/05/2015, por un importe impagado en esa fecha de 12.138,47 euros. Paralelamente, como se recoge en el Hecho Probado séptimo, según la documentación que CAJAMAR nos aporta, los requerimientos de pago se hicieron, respectivamente, en las siguientes fechas y por estos importes: (
  59. i)el 03/02/2014, por 953,13 euros; (
  60. ii)el 06/03/2014 por un importe de 816,50 euros; (iii) el 04/05/2014 por 911,28 euros; (
  61. iv)el 04/06/2014 por 1.598,23 euros y (
  62. v)el 21/04/2015 por 11.126,39 euros. No obstante la consideración precedente, es obligado traer a colación al asunto que nos ocupa el criterio que, a propósito del término inicial del cómputo del plazo de prescripción de la infracción tipificada en el artículo 44.3.
  63. c)LOPD, fijó la Sala de lo Contencioso Administrativo de la Audiencia Nacional en su SAN de 03/11/2011 (Rec. 611/2010) para el caso de que esa infracción derive de haberse omitido el preceptivo requerimiento de pago previo a la inclusión de datos de terceros en un fichero de solvencia. Criterio que la A.N. ha confirmado sin fisuras en Sentencias posteriores hasta la actualidad. La SAN citada, en su Fundamento Jurídico Tercero, dice que la infracción del principio de calidad del dato, concretado en la inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor “(…) priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. (….) (….) Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de la situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción”. (El subrayado de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/34 Así las cosas, el término inicial para el cómputo del plazo de prescripción de la infracción del artículo 4.3 LOPD en relación con el incumplimiento del requisito del artículo 38.1.c, RLOPD – plazo que es de dos años (ex artículo 47 LOPD en relación con el 44.3.c y el 43.2. de la Ley Orgánica)- se sitúa en la fecha en la que el denunciante parece haber tenido conocimiento de que sus datos habían sido comunicados al fichero, esto es, a BADEXCUG, por CAJAMAR fruto el impago de la deuda derivada del préstamo hipotecario. No puede obviarse, en tal sentido, que entre la documentación que el denunciante aportó a esta Agencia con su escrito de denuncia figura la copia de un email que dirigió a una empleada de CAJAMAR – D.ª G.G.G..- el 31/05/2016 (folio 27) en el que el afectado afirma que desde el mes de julio de 2015 conoce la inclusión de sus datos en el fichero de solvencia. El tercer párrafo del documento precitado dice así: “Como te comenté por teléfono, desde julio del año pasado tengo escritos del responsable de la compañía aseguradora ***ASEGURADORA.1, que me pide explicaciones por la situación. En su escrito, hace referencia expresamente que es la entidad CAJAMAR que me tiene inscrito en ficheros de morosos” (El subrayado es de la AEPD) Aun cuando CAJAMAR hubiera incumplido el artículo 38.1.
  64. c)del RLOPD, la manifestación del denunciante constituye un indicio de que conocía en la fecha que menciona, julio de 2015, que sus datos figuraban incluidos en el fichero de solvencia BADEXCUG por la denunciada. Ahora bien, siendo el término inicial del plazo de prescripción, en el mejor de los casos, a tenor de lo manifestado por el denunciante, el 31/07/2015, y siendo el plazo de prescripción de las infracciones graves de dos años (ex artículo 47.1 LOPD), resulta que el incumplimiento del requisito del artículo 38.1.
  65. c)RLOPD no puede ser presupuesto fáctico de la infracción del artículo 4.3 LOPD ni generar responsabilidad administrativa sancionadora ya que desde el 31/07/2017, veinticinco días antes de que la denuncia que nos ocupa tuviera entrada en esta Agencia, la presunta infracción en la que era subsumible (artículo 44.3.
  66. c)LOPD) estaría prescrita. Por tal razón, tanto en el Fundamento precedente como en la propuesta de resolución dictada, la conducta infractora subsumible en el artículo 44.3.
  67. c)LOPD de la que es responsable CAJAMAR quedó circunscrita a la vulneración del artículo 38.1.
  68. a)RLOPD. Llegados a este punto es importante subrayar que, frente a lo que afirma CAJAMAR en su escrito de alegaciones a la propuesta de resolución – “Mi representa efectuó el preceptivo requerimiento de pago al Sr. A.A.A. tal y como ha quedado acreditado, por lo que no se ha vulnerado el artículo 38.1.
  69. c)del RLOPD” (Alegación previa, antecedentes, punto 1.5)- la realidad es bien distinta. La denunciada en ningún caso ha acreditado el cumplimiento de ese requisito. La razón que motiva que la conducta infractora de la que nace la responsabilidad exigible a esa entidad se circunscriba al incumplimiento del apartado
  70. a)del artículo 38.1 RLOPD es, como se hizo constar en su momento en la propuesta de resolución, que la infracción en la que fuera subsumible habría prescrito por el juego del artículo 47 RLOPD y el criterio que sobre el término inicial del plazo de prescripción de la infracción del artículo 4.3 LOPD, cuando venga motivada por el incumplimiento del deber de requerir el pago con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/34 carácter previo, fijó la SAN de 03/11/2011 (Rec. 611/2010) En definitiva, resulta acreditado que CAJAMAR mantuvo en el fichero de solvencia BADEXCUG los datos personales del denunciante, asociados a una deuda que no era cierta, durante casi cinco meses, computados desde la fecha en la que la entidad debió de haber procedido de oficio a cancelar esa incidencia (cuando el Juzgado le notifica el Auto 401/2016 dictado en el incidente de oposición a la Ejecución Hipotecaria 881/2015). Conducta que es contraria al artículo 4.3 LOPD, en relación con el artículo 29.4, y en relación con el artículo 38.1.a, RLOPD, subsumible en el tipo sancionador del artículo 44.3.
  71. c)LOPD. IV El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  72. a)El carácter continuado de la infracción.
  73. b)El volumen de los tratamientos efectuados.
  74. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  75. d)El volumen de negocio o actividad del infractor.
  76. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  77. f)El grado de intencionalidad.
  78. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  79. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  80. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  81. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  82. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  83. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/34
  84. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  85. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  86. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En la graduación de la sanción han de valorarse, exclusivamente, las circunstancias descritas en el artículo 45.4 LOPD, pues esta Agencia no aprecia la concurrencia de ninguna de las atenuantes cualificadas del artículo 45.5 LOPD. A. CAJAMAR, sin embargo, ha mostrado su total desacuerdo con la valoración que la Agencia ha hecho en el presente expediente de las disposiciones de los artículos 45.4 y 45.5 LOPD. Así, en sus alegaciones al acuerdo de inicio, solicitó que se estimaran a su favor las atenuantes cualificadas de los apartados a, y b, del artículo 45.5 LOPD. Y en su escrito de alegaciones a la propuesta esgrime nuevos argumentos en defensa de su pretensión de que se reconozcan como atenuantes las circunstancias descritas en los apartados b), c),d),
  87. e)
  88. f)y
  89. g)del artículo 45.4 LOPD. Respecto a la primera pretensión, en particular sobre la solicitud de que se estime la atenuante cualificada del artículo 45.5, apartado b), sólo cabe rechazarla por motivos obvios. El precepto cuya aplicación se solicita alude a que la infractora haya regularizado la situación irregular de forma diligente y, por el contrario, en el asunto que nos ocupa no existe ninguna diligencia en la actuación de CAJAMAR. Recordemos que la baja de la anotación en el fichero BADEXCUG se produjo por decisión de EXPERIAN y pese a la negativa de CAJAMAR, que así lo hizo constar en la aplicación eSPaCio, cuando el afectado ejercitó el derecho de cancelación ante la responsable del fichero de solvencia. En esa línea hemos de recordar que el denunciante remitió a CAJAMAR un burofax el 25/01/2017 (por tanto, mucho antes de que ejercitase el derecho de cancelación ante EXPERIAN), obrante a los folios 21 a 23, en el que solicita la cancelación de sus datos del fichero y explica que la deuda informada no es cierta. También pueden citarse los email que el denunciante dirigió una empleada de la entidad financiera (dirección ***EMAIL.1) de fecha 02/03/2017, 29/11/2016; 31/05/2016 y 27/05/2016 (folios 27 a 31) en los que solicita la baja de sus datos del fichero de solvencia. Sobre la invocada aplicación de la atenuante cualificada del apartado
  90. a)del artículo 45.5 LOPD, la denunciada justifica su pretensión en la concurrencia, a su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/34 juicio, de varías de las circunstancias descritas en el artículo 45.4 que operan en su opinión como atenuantes. Menciona al efecto el artículo 45.4.b), relativo al volumen de tratamientos efectuados, pues la “presunta infracción (que) afectaría a un solo tratamiento, lo cual es una cifra minúscula en relación con los tratamientos de los que responsable la Compañía”. Cita también como atenuantes las circunstancias de los apartados c),
  91. d)y
  92. h)del artículo 45.4 LOPD –que la Agencia ha calificado como agravantes, apreciación que la denunciada rechaza- y los apartados
  93. e)-ausencia de beneficios- y
  94. f)del precepto, -el grado de intencionalidad- pues “....nunca ha pretendido vulnerar los derechos del interesado…” El apartado
  95. b)del artículo 45.4 LOPD, volumen de tratamientos efectuados, no puede operar, por su propia configuración, como atenuante sino exclusivamente como agravante. La pretensión de CAJAMAR de que se aprecie esta circunstancia como atenuante por la única razón de que ha afectado a una única persona o a un único tratamiento no parece lógica, porque en tal caso toda conducta típica prevista en la LOPD que entrañe un tratamiento de datos, por este sólo hecho, llevaría aparejada indefectiblemente esa atenuante. Añadir a propósito de tal circunstancia que la entidad en sus alegaciones a la propuesta parece dar a entender que la Agencia ha aplicado esa circunstancia como agravante cuando lo cierto es que ni se valora como atenuante ni tampoco se aprecia en calidad de agravante. La A.N., a propósito de la circunstancia modificativa de la responsabilidad del apartado
  96. e)del artículo 45.4, ausencia de beneficios, ha manifestado en su Sentencia de 17/04/2018 (Rec. 254/2017), en la que rechazó la pretensión de la demandante, sancionada por la AEPD, de que se estimara esa circunstancia como atenuante: “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. Espíritu que también se refleja en la SAN de 31/03/2017 (Rec. 845/2015) Así pues, pese a que CAJAMAR aduzca en defensa de su pretensión de que opere como atenuante que no obtuvo beneficios con su conducta, sino que su actuación tuvo como objetivo minorar el perjuicio que le estaba siendo causado, lo cierto es que la deuda atribuida al denunciante estaba relacionada con un contrato de préstamo concertado con esa entidad, lo que encaja en el espíritu de la interpretación que la A.N. hace de la mentada circunstancia. Tampoco es admisible la petición de la denunciada de que se aprecie como atenuante el apartado
  97. f)del artículo 45.4 LOPD, por más que afirme que no actuó intencionadamente ni intervino culpa por su parte. Señalar sobre la ausencia de intencionalidad que en ningún apartado se ha hecho mención a una actuación dolosa por lo que tal alegato carece de razón de ser. Respecto a la invocada negativa a la omisión de diligencia debida nos remitimos al Fundamento de Derecho II, último apartado. Además, hemos de advertir que la expresión “grado de intencionalidad” que el apartado
  98. f)del artículo 45.4 LOPD utiliza debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/34 existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. B. CAJAMAR afirma en su escrito de alegaciones a la propuesta de resolución que la AEPD ha vulnerado el principio de proporcionalidad que exige, dice, “que una reducción cuantitativa o cualitativa del hecho sancionable se refleje en la valoración de la sanción”. A su juicio tal vulneración se ocasiona porque la sanción que se estableció en el acuerdo de inicio (60.000 euros), en el que la Agencia manifestó que la conducta infractora se concretaba en el incumplimiento de los requisitos de los apartados
  99. a)y
  100. c)del artículo 38.1 RLOPD, se mantuvo invariable en la propuesta de resolución, pese a que en ella se delimita definitivamente la conducta infractora, exclusivamente, en la vulneración de uno y no dos de los requisitos del artículo 38.1. RLOPD, el apartado a). Sin embargo, esta Agencia ha actuado con pleno respeto al principio de proporcionalidad de la sanción. Hemos de indicar, en primer lugar, que el acuerdo de inicio del expediente sancionador (Fundamento de Derecho III) recogía que, “sin perjuicio de lo que resulte de la instrucción”, concurrían en calidad de agravantes tres circunstancias de las descritas en el artículo 45.4 LOPD: los apartados a),
  101. c)y d). A diferencia de ello, la propuesta de resolución estima que son cuatro las circunstancias previstas en el artículo 45.4 de la LOPD que operan en el asunto que nos ocupa como agravantes: además de los apartados ya mencionados del artículo 45.4 LOPD el apartado h). Basta añadir a lo expuesto, de una parte, que a través de cualquiera de dichas conductas -la vulneración del artículo 38.1, apartados
  102. a)y
  103. c)del RLOPD- se ataca el mismo principio informador del derecho a la protección de datos de carácter personal, la calidad de los datos y, de otra, que la sanción de 60.000 euros está muy próxima al mínimo previsto en el artículo 45.2 LOPD para las infracciones graves. C. Esta Agencia estima que concurren como agravantes a efectos de fijar el importe de la sanción las siguientes circunstancias de las que detalla el artículo 45.4 LOPD: - “El carácter continuado de la infracción” (apartado a,) Es de aplicación en aquellos supuestos en los que la infracción cometida tiene carácter permanente, naturaleza que la Audiencia Nacional ha atribuido a la infracción del artículo 4.3 LOPD. Los datos personales del denunciante se mantuvieron incluidos en el fichero de solvencia patrimonial BADEXCUG sin legitimación para ello desde el 05/10/2016, fecha en la que conoció fehacientemente que la deuda informada al fichero no era cierta y hasta el 14/03/2017. CAJAMAR rechaza la aplicación de tal circunstancia como agravante y al hilo de ella pone de manifiesto la valoración arbitraria que ha hecho la Agencia. Indica que en resoluciones por hechos análogos en los que la permanencia en el fichero fue mayor la sanción tuvo una cuantía inferior. Invoca las resoluciones siguientes: a. Resolución 208/2018, de 15/02. Se dicta en el PS447/2017 y difícilmente puede establecerse una correlación con el supuesto que nos ocupa por cuanto la infracción de la LOPD por la que fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/34 sancionada la entidad correspondía al tipo sancionador del artículo 44.3.
  104. e)b. Resolución 3526/2017, de 02/01. Corresponde al PS411/2017. También aquí existen diferencias. Además de que la conducta infractora consistió en la falta de requerimiento de pago, se apreció la concurrencia de tres agravantes en tanto que en la propuesta de resolución del presente expediente se apreciaron cuatro circunstancias agravantes de la responsabilidad de la entidad. c. Resolución 2275/2017, de 11/10. Corresponde al PS 239/2017. La conducta infractora fue la falta de requerimiento previo de pago y se apreciaron únicamente dos agravantes. - “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de CAJAMAR lleva implícita el tratamiento de datos de carácter personal, lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. Sobre la incidencia que la actividad desarrollada por el infractor tiene en el grado de diligencia que es exigible en el cumplimiento de las obligaciones que le impone la normativa de protección de datos, hay que indicar que la Audiencia Nacional, en SAN de 17/10/2007 (Rec. 63/2006), ha precisado que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) CAJAMAR ha alegado frente a la propuesta de resolución que su actividad “no está vinculada al tratamiento infractor de datos de carácter personal” (El subrayado es de la AEPD) Basta indicar que la actividad de la entidad, por sus particulares características le obliga a recabar datos personales de sus clientes. Si bien afirma que el impago de deuda con el correspondiente procedimiento de reclamación de aquéllas no forma parte de su actividad como empresario es aconsejable recordar que entre sus actividades mercantiles se encuentra la concesión de préstamos por lo que el riesgo de incumplimiento del pago es inherente a la actividad. - “El volumen de negocio o actividad del infractor” (apartado d,). La cifra de negocio de CAJAMAR revela que estamos ante una gran empresa perteneciente al sector financiero, hecho notorio que no requiere ser objeto de prueba. CAJAMAR rechaza en sus alegaciones que, en su situación, se pueda aplicar tal circunstancia como agravante y argumenta que “la cuota de mercado de CAJAMAR es mínima”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/34 Sin embargo, estimamos que lo que el artículo 44.4.
  105. d)LOPD toma en consideración es el volumen de negocio por sí mismo, como exponente del número potencial de afectados que el comportamiento irregular de la entidad puede llegar a generar, pero en ningún caso se refiere al volumen que una determinada entidad tiene en comparación con otras del mismo sector en el que opera. Lo relevante, por tanto, es si estamos ante lo que cabría considerar como una gran empresa, en la que el volumen permite imaginar el número de datos que son objeto de tratamiento, o ante una PYME. Esa disposición, con independencia de los comentarios que puedan haberse incorporado en las resoluciones dictadas por la AEPD, se refiere al volumen de negocio o actividad. Para la Agencia Estatal de Administración Tributaria tienen la consideración de grandes empresas aquellas en las que el volumen de operaciones de la entidad supera los 6 millones de euros, situación en la que se encuentra CAJAMAR. - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas”, (apartado
  106. h)Además de recordar que, como ha declarado la Audiencia Nacional, (SAN de 16/02/2001, Rec. 1144/1999, Fundamento de Derecho Cuarto) “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”, han de valorarse otros aspectos de la conducta denunciada. A tal efecto, la Sala de lo Contencioso Administrativo de la A.N en sus últimas sentencias viene considerando que se han producido perjuicios al afectado si éste se ha visto obligado a desplegar una actividad, con la consiguiente inversión de medios materiales, a fin de lograr que se restablezca el respeto a su derecho fundamental a la protección de datos. Llegados a este punto, trasladando este razonamiento al supuesto analizado, se debe recordar la abundante actividad desplegada por el denunciante ante la denunciada para poner fin a la situación irregular provocada por CAJAMAR: emails del denunciante a la empleada de CAJAMAR, burofax dirigido a esa entidad, oposición a la Ejecución Hipotecaria promovida por CAJAMAR frente al denunciante. A lo que se suma el perjuicio profesional que resulta obvio le ha producido la inclusión de sus datos en ficheros de solvencia. Así las cosas, tomando en consideración, por una parte, que no se aprecia la concurrencia de ninguna de las atenuantes cualificadas del artículo 45.5 LOPD ni se aprecian tampoco atenuantes de entre las circunstancias que recoge el artículo 45.4 LOPD, y por otra, que operan como agravantes las recogidas en los apartados a), c),
  107. d)y
  108. h)del artículo 45.4 LOPD, se acuerda imponer a CAJAMAR por la infracción del artículo 4.3, LOPD, en relación con el 29.4, y en relación asimismo con el artículo 38.1.
  109. a)RLOPD, tipificada como infracción grave en el artículo 44.3.c), una sanción de 60.000 euros, importe próximo al mínimo previsto en la LOPD para las infracciones graves. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/34 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CAJAMAR CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO, con NIF F04743175, por una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la Ley Orgánica y en relación asimismo con el artículo 38.1.
  110. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  111. c)de la LOPD, una multa de 60.000 € (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a CAJAMAR CAJA RURAL, SOCIEDAD COOPERATIVA DE CRÉDITO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  112. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/34 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  113. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.