← España

PS-00218-2018

1/9 Procedimiento Nº PS/00218/2018 RESOLUCIÓN: R/01489/2018 En el procedimiento sancionador PS/00218/2018, instruido por la Agencia Española de Protección de Datos a la entidad GESTION JAINOE S.L.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de marzo de 2018 tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que el ***FECHA.1, el Juzgado de ***LOCALIDAD.1, dictó sentencia en la que se prueban los hechos que a continuación denuncia: “El 25 de enero de 2016, envié una solicitud de cancelación de datos a la empresa Gestión Jainoe, debido a un acoso que estaba sufriendo, por la reclamación de una supuesta deuda de un negocio que tuvo mi mujer y que cerró en el año 2009, pero nunca fue contestada. El día 6 de marzo de 2017, UN AÑO DESPUÉS, tuve que presentar una denuncia, por acoso, contra la empresa Gestión Jainoe. Además de no contestar la solicitud enviada, siguieron utilizando mis datos personales. El día 11 de mayo de 2017 tuve que presentar una ampliación de la denuncia, debido a que el acoso continuaba y por lo tanto, seguían tratando mis datos personales. En la sentencia aportada, se considera probado que la empresa Gestión Jainoe se personó en mi centro de trabajo, para reclamarme la supuesta deuda, con un coche rotulado y entregándole una tarjeta de COBRO DE MOROSOS al director del centro”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GESTION JAINOE S.L.U., teniendo conocimiento de que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 1.La empresa Gestión Jainoe S.L., es una empresa dedicada a la gestión de cobro de deudas impagadas de terceras empresas, utilizando para ello los datos de los deudores que los clientes entregan. 2.Gestión Jainoe S.L., firmó el 20 de noviembre de 2015 un contrato de prestación de servicios con la empresa Disteva S.L., en virtud del cual ésta última encomendó a la empresa Gestión Jainoe S.L. la gestión del cobro de tres créditos de su cartera, sin que ninguno de ellos sea relativo al denunciante. 3.Consta en el documento de cláusulas de protección de datos que Gestión Jainoe S.L. únicamente se considera encargado del tratamiento. 4.Consta en el hecho probado único, que el denunciante es el cónyuge de Dña. B.B.B., propietaria del “***ESTABLECIMIENTO.1”, que fue uno de los datos remitidos por Disterva S.L. para la realización de las gestiones de cobro, según consta en el contrato firmado entre Gestión Jainoe S.L. y Disteva S.L. 5.Consta en la cláusula tercera del contrato celebrado entre Gestión Jainoe S.L. y Disteva S.L “que en ningún caso GESTIÓN JAINOE, S.L.U. comunicará, ni tan siquiera para su conservación, los Datos de Carácter Personal tratados en virtud de este contrato, a ningún tercero”. TERCERO: Con fecha 23 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos, acordó iniciar procedimiento sancionador a GESTION JAINOE S.L.U., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción del artículo 10 en relación con el 12.4 de la LOPD, tipificada como grave en el artículo 44.3

  1. d)de la citada Ley. CUARTO: Con fecha 14 de mayo de 2018, GESTION JAINOE S.L.U, solicitó copia del expediente y ampliación del plazo concedido para presentar alegaciones. QUINTO: Con fecha 13 de junio de 2018, GESTION JAINOE S.L.U., presentó escrito de alegaciones en el que ponía de manifiesto lo siguiente: Señala GESTION JAINOE S.L.U que el denunciante no figura en ningún fichero, ni se ha incluido, ni se ha negado su exclusión, en consecuencia el procedimiento iniciado debe decaer, sin que proceda convalidarlo, y por lo tanto la nulidad radical del mismo. Por otra parte, indica que debe aplicársele la ley más favorable, que con la entrada en vigor del nuevo Reglamento General de Protección de Datos el mismo le es más favorable que la aplicación del régimen sancionador previsto en la Ley Orgánica de Protección de Datos: Así conforme al mismo la cuantía del 2% de la cifra del volumen de negocio importe que se corresponde en 2.279 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Asimismo, manifiesta que el nuevo Reglamento General de Protección de datos establece entre sus principios inspiradores del procedimiento sancionador la efectividad, la proporcionalidad y la disuasión de las medidas a adoptar y conforme a estos criterios de ponderación, ha de señalarse que se trata de un hecho aislado, únicamente existiría un solo perjudicado, por unos hechos que no constituyen la mecánica de la empresa, que expresamente prohíbe a sus empleados el uso de tales medios. También ha de tenerse en cuenta el propósito de la infracción y la duración de la misma, el tamaño de la empresa y el volumen de los tratamientos efectuados, al grado de responsabilidad del responsable o del encargado del tratamiento. SEXTO: En fecha 15 de junio de 2018, se acordó por el instructor del procedimiento la apertura de un período de práctica de pruebas, en el que se dio por reproducido a efectos probatorios la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio y la documentación que a ellas se acompaña. SÉPTIMO: De las actuaciones practicadas han resultado acreditados los siguientes: HECHOS PROBADOS UNO.- Juicio sobre Delitos Leves **/2017, seguidos ante el XDO.1ª.INST.E INSTRUCCIÓN N.1 de ***LOCALIDAD.1, en cuya sentencia XXXXX/2017 de ***FECHA.1, se declara en los hechos probados: “Único.- se considera probado y así se declara que desde mediados de febrero hasta el mes de mayo de 2017 M.M.M., empleado de la empresa gestión de cobros “GESTIÓN JAINOE, S.L.U.” realizó numerosas llamadas telefónicas tanto al domicilio como al lugar de trabajo de A.A.A., reclamándole el pago de una deuda supuestamente contraída por su esposa con la empresa “DISTEVA, S.L.. DOS.- Consta que Gestión Jainoe, S.L.U. incumplió el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al director de la residencia de la tercera edad donde trabajaba A.A.A., según consta en los Hechos Probados de la sentencia. TRES.- Consta en la cláusula tercera del contrato celebrado entre Gestión Jainoe S.L. y Disteva S.L “que en ningún caso GESTIÓN JAINOE, S.L.U. comunicará, ni tan siquiera para su conservación, los Datos de Carácter Personal tratados en virtud de este contrato, a ningún tercero”. Pues bien Gestión Jainoe lo ha incumplido. OCTAVO: Con fecha 12 de julio de 2018 se formuló propuesta resolución contra Gestión Jainoe, S.L.U., formulando alegaciones el 25 de julio de 2018, reiterándose en los argumentos ya expuestos en anteriores alegaciones, solicitando se acuerde el archivo de este procedimiento sancionador por inexistencia de la infracción, subsidiariamente, se module la propuesta de la sanción. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II En el presente caso se atribuye a Gestión Jainoe, S.L.U., la comisión de la infracción de lo dispuesto el artículo 10 en relación con el 12.4 de la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Persona, (en adelante LOPD), que establece lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Frente a dicha imputación, Gestión Jainoe, S.L.U. manifiesta, en síntesis, que el denunciante no figura en ningún fichero, ni se ha incluido, ni se ha negado su exclusión, en consecuencia el procedimiento iniciado debe decaer, sin que proceda convalidarlo, y por lo tanto la nulidad radical del mismo. Pues bien, debe analizarse la responsabilidad de Gestión Jainoe, S.L.U. en los hechos acaecidos. Sobre este particular, debemos señalar que en el Juicio sobre Delitos Leves **/2017, seguidos ante el XDO.1ª.INST.E INSTRUCCIÓN N.1 de ***LOCALIDAD.1, en cuya sentencia XXXXX/2017 de ***FECHA.1, se declara en los hechos probados: “Único.- se considera probado y así se declara que desde mediados de febrero hasta el mes de mayo de 2017 M.M.M., empleado de la empresa Gestión Jainoe, S.L.U realizó numerosas llamadas telefónicas tanto al domicilio como al lugar de trabajo de A.A.A., reclamándole el pago de una deuda supuestamente contraída por su esposa con la empresa “DISTEVA, S.L.. Al hilo de lo anterior, consta que Gestión Jainoe, S.L.U. incumplió el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al Jefe de éste último, según consta en los Hechos Probados de la sentencia. En consecuencia, dado que en el caso que nos ocupa se observa que consta en la cláusula tercera del contrato celebrado entre Gestión Jainoe S.L. y Disteva S.L “que en ningún caso GESTIÓN JAINOE, S.L.U. comunicará, ni tan siquiera para su conservación, los Datos de Carácter Personal tratados en virtud de este contrato, a ningún tercero”, se llega a la conclusión que uno de los datos remitidos por Disteva S.L. a Gestión Jainoe, S.L:U. fue el de D. A.A.A., por lo que incumplió en el tratamiento de datos personal su obligación al secreto profesional respecto de los mismos ya que comunicó dichos datos a un empleado suyo para que procediera al cobro de una deuda. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 III El artículo 10 de la LOPD, dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo” y el art. 12.4 de la LOPD (4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infraccione en que hubiera incurrido personalmente). De la lectura del precepto, se hace posible la aplicación, al presente caso dado que Gestión Jainoe, S.L.U. incumplió el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al Jefe de éste último, según consta en los Hechos Probados de la sentencia. Por otra parte, indica que debe aplicársele la ley más favorable, que con la entrada en vigor del nuevo Reglamento General de Protección de Datos el mismo le es más favorable que la aplicación del régimen sancionador previsto en la Ley Orgánica de Protección de Datos: A este respecto hay que señalar que resultan de aplicación las previsiones contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), al no resultar aplicable, en este caso, el Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos, aunque en vigor desde mayo de 2018. Dado que la fecha en que se dictó la sentencia es de ***FECHA.1, en la cual se declaran probados los hechos acaecidos, Conforme se estable en el nuevo Reglamento General de Protección de Datos, en su artículo 83 en sus apartados 4 y 5, que sin hacer mención específica a cuantías mínimas, prevé la posibilidad de sancionar las infracciones cometidas con respecto al tratamiento de datos de carácter personal con multas administrativas de 10.000.000 ó 20.000.000 de euros, o en el caso de que se trate de una empresa, de una cuantía equivalente al 2% o al 4% como máximo del volumen de negocio anual global del ejercicio financiero anterior, optándose por la mayor cuantía. De aquí que la alegación efectuada no es consistente, dado que sí se optara por su aplicación resultaría mucho mayor, que no es el caso. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 El artículo 44.3 letra “d” de la LOPD considera infracción grave: “
  3. d)la vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. En el presente caso, GESTION JAINOE S.L.U., ha incumplido el deber de secreto al comunicar los datos del expediente tanto al cónyuge de la deudora como al Jefe de éste último, según consta en los Hechos Probados de la sentencia. V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  4. a)El carácter continuado de la infracción.
  5. b)El volumen de los tratamientos efectuados.
  6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  7. d)El volumen de negocio o actividad del infractor.
  8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  9. f)El grado de intencionalidad.
  10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Las alegaciones realizadas, y las medidas adoptadas, no acreditan que en los hechos concretos se hubieran tomado ninguna medida, que de haberse producido, habría evitado los hechos como el denunciado. Por tanto, no se considera que concurran las circunstancias necesarias para que pueda aplicarse, en el presente supuesto, lo dispuesto en el artículo 45.5. de la LOPD. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, procede proponer que se imponga las sanciones en su cuantía mínima. Operan como circunstancias agravantes y atenuantes en el presente caso concreto las siguientes, de acuerdo con lo establecido en el apartado 4 de dicho artículo 45: Como agravantes: -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que es una empresa que tiene como actividad la gestión de cobro de deudas impagadas de terceras empresas, utilizando para ello los datos de los deudores que los clientes entregan, su actividad estrechamente relacionada con el tratamiento de los datos personales de sus clientes. (45.4.
  19. c)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 -El apartado
  20. h)Por la naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. Como atenuantes: -El apartado
  21. b)El volumen de los tratamientos efectuados. Toda vez que solo consta tratados los datos del denunciante. -El apartado
  22. d)El volumen del negocio o actividad del infractor, ya que estamos ante una pequeña empresa dado que consta que solo tiene cinco empleados. Por todo ello, procede imponer a GESTION JAINOE una sanción por vulneración del artículo 10 en relación con el art. 12.4 de la LOPD, consistente en multa por importe de 40.001 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad GESTION JAINOE S.L.U. con NIF B27752716, por una infracción del artículo Artículo 10 en relación con el 12.4 de la LOPD, tipificada como grave en el artículo 44.3
  23. d)de la citada Ley, una multa de 40.001 €, de conformidad con lo establecido en el artículo 45.2
  24. b)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a GESTION JAINOE S.L.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  25. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  26. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.