PS-00222-2016 | Europaius

1/27 I.I.I.23 Procedimiento Nº PS/00222/2016 RESOLUCIÓN: R/02508/2016 En el procedimiento sancionador PS/00222/2016, instruido por la Agencia Española de Protección de Datos a la entidad TWICE LAMDA INVESTMENTS S.L.U., vista la denuncia presentada por D. C.C.C. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha de 20/05/2015 -en el acuerdo de inicio, por error, se hizo constar el 20/03/2015- tiene entrada en esta Agencia un escrito de D. C.C.C. (en lo sucesivo, el denunciante) en el que declara: <<- Que solicité un micro préstamo de 150 con la empresa TWICE LAMDA INVESTME S.L., domicilio social en (C/....1), BARCELONA. - Que con fecha 02-10-2014 me comunicaron por email iban a proceder el cobro por la cantidad de 201,5 (adjunto email) … - Que con fecha 05-10-2014 realizaron el cobro por la cantidad de 201,5 dando dicha empresa la conformidad de pago (adjunto email) … - Que con fecha 06-10-2014 ya figura en el extracto de mi banco dicho importe como cargado (adjunto extracto bancario) … - Que el día 05-05-2015 me comunica un banco donde voy a solicitar un préstamo hipotecario que aparezco en el fichero de morosos, concretamente ASNEF EQUIFAX - Que mediante llamada telf, efectuada el día 06-05-2015 la empresa TWICE me dicen que no tengo nada pendiente. - Que no dándole credibilidad ya que mi banco me aseguraba que sí estaba inscrito en ese fichero, le solicito por email escrito por el que les solicito la cancelación de mis datos al no tener pendiente nada con ellos (adjunto email)… - Que mediante escrito dirigido a ASNEF-EQUIFAX me comunican que SI estoy incluido en la lista de morosos por dicha empresa TWICE, y que no realizan la cancelación de datos porque así se lo comunica la empresa TWICE (adjunto email y documentos que así lo certifica) …>> El denunciante aporta copia de la documentación acreditativa citada. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/27 los Servicios de Inspección de esta Agencia se solicita información a la entidad TWICE LAMDA INVESTMENTS S.L.U., nombre comercial WONGA, (en lo sucesivo, TLI o la denunciada) y a EQUIFAX IBERICA, S.L. (en los sucesivo EQUIFAX), teniendo conocimiento de los siguientes extremos: A. Con fecha 12/06/2015 se solicita a EQUIFAX información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: Respecto del fichero ASNEF: No consta información relativa al denunciante. Respecto del fichero de NOTIFICACIONES: Constan dos notificaciones emitidas a nombre del denunciante, con fecha de emisión 04/02/2015 y 18/02/2015, por un producto de PRESTAMOS PERSONALES, ambos por un importe de 201,50 € y siendo la entidad informante TLI. Figuran ambas cartas como devueltas en fechas 21/03/2015 y 09/05/2015 respectivamente. Respecto del fichero de BAJAS: Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 03/02/201518/05/2015. El motivo consta como AMISTOSO, el importe es de 201,50 € y por vencimientos impagados primero y último de fechas 05/10/2014-05/10/2014. Documentación del expediente en papel: Escrito de fecha 12/05/2015 en que se informa al denunciante que se deniega la solicitud de cancelación debido a que la entidad informante ha confirmado la deuda. B. Con fecha 12/06/2015 se solicita a TLI información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: El contrato de préstamo con la entidad fue suscrito por el denunciante en fecha 26/07/2014. Aporta copia de un contrato en el que aparece TLI como prestamista y el denunciante como prestatario de un préstamo por importe de 155 € con fecha de contratación 26/07/2014 y fecha de vencimiento 05/10/2014. Aporta orden de transferencia realizada a favor del denunciante por importe de 155 €. Que en las condiciones generales del contrato se especifica la forma de cobro de la deuda: mediante cargo en la tarjeta facilitada por el cliente. El día 05/10/2014 se realizó el cobro del importe correspondiente a la deuda que el denunciante tenía con TLI por el importe total, esto es 201.50 €. Este importe se cobró de la tarjeta que indicó y autorizó el cliente en la formalización del contrato y su proceso de aceptación del préstamo. Aporta la entidad detalle de la liquidación de remesas facilitado por el BANCO DE SABADELL en que consta dicho apunte. El día 20/01/2015 el cliente dio la orden a su entidad bancaria para que retrocediera el cargo de la tarjeta. Para ello alegó que desconocía el motivo del cargo y que era un caso de fraude. Aporta la entidad detalle de una liquidación de remesas del BANCO DE SABADELL en que consta dicho apunte de devolución. El banco retrocedió el cargo y abrió un periodo de averiguación de motivos para la retrocesión. Como resultado de la orden efectuada por el cliente al banco, a TLI le constó que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/27 importe del préstamo estaba impagado, (en ese momento el importe fue retrocedido y se encentraba en un espacio “indefinido”, no está ni en Wonga.com ni está en la cuenta del cliente). Tras abrirse un periodo de alegaciones por parte del banco para demostrar que realmente no se trataba de un caso de fraude, se demostró que realmente el denunciante había contratado un préstamo y el banco retrotrajo la operación, es decir, la operación se reembolso a favor de TLI. La devolución de la retrocesión llegó el día 30/01/2015, sin embargo TLI no fue informada de dicho reembolso y la operación entrante no se llegó a identificar de inmediato, es decir que llegó sin estar asignada a ningún número de operación. Aporta la entidad detalle de la liquidación de remesas facilitado por el BANCO DE SABADELL en que consta dicho apunte. A pesar de la devolución del reembolso, a efectos contables de la empresa, el cliente seguía constando en mora, y la operación siguió el curso de las operaciones en recobro, por lo que se le reclamó el pago de la deuda, de acuerdo con la política de recobros de la entidad. Así las cosas, el día 15/05/2015 el cliente envió a TLI una transferencia de 201.50 €, y con ello se le canceló la deuda y se liquidó el préstamo. Considera la entidad que este hecho demuestra que el cliente efectivamente era conocedor de la deuda que había contraído con TLI y que mintió cuando alegó que se trataba de un caso de fraude para realizar el retroceso de la operación cargada en la tarjeta, para eludir su obligación de pago, lo que denota una clara mala fe por su parte. Afirma que días más tarde el cliente comunicó a la entidad que la solicitud del reembolso fue rechazada por el banco y que TLI había percibido doblemente el importe adeudado del préstamo. Ante esta noticia, y tras realizar las averiguaciones pertinentes, TLI procedió de inmediato a devolver el importe doblemente cobrado y se disculpó con el cliente por ello. TERCERO: Con fecha 03/05/2016 la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a TWICE LAMDA INVESTMENTS, S.L.U., por una presunta infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.

c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 € a tenor de lo dispuesto en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Con fecha 01/06/2016 la Directora de la Agencia Española de Protección de Datos acuerda cambiar el instructor del procedimiento sancionador. El acuerdo es notificado al denunciante y a la denunciada. QUINTO: Notificado el acuerdo de inicio, TLI formula alegaciones mediante escrito que tiene entrada en la AEPD el 09/06/2015 en el que solicita el archivo de las actuaciones. Con carácter subsidiario reconoce su responsabilidad y pide que se aplique el artículo 45.5.d, LOPD con la consiguiente reducción en un grado de la sanción que pudiera corresponderle (alegación primera, folio 109). La denunciada invoca en defensa de sus pretensiones los siguientes hechos y razonamientos jurídicos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/27 A. Respecto a los hechos: 1. Hace una exhaustiva relación de toda la actividad que ha desplegado con objeto de dar cumplimiento a las obligaciones que impone la normativa de protección de datos de carácter personal: La declaración de ficheros en el Registro General de la Agencia; las medidas de seguridad adoptadas; la legitimación exigida para tratar los datos personales o la operativa interna de la compañía con los clientes. Aporta copia de diversos procedimientos internos entre ellos (identificado como documento 8) el “Procedimiento Chargeback”. (Alegación segunda del escrito) 2. En su opinión los hechos son fruto de una anomalía aislada, se debieron a una combinación de factores internos y externos y ningún otro cliente se ha visto afectado por una situación similar. (Alegación tercera del escrito). En tal sentido expone que “el hecho sucedido fue debido a la solicitud por parte del cliente al banco de una devolución de un cargo en cuenta, aceptada previamente mediante contrato y que se demostró tras un periodo de alegaciones abierto con el banco, que el motivo del cargo con TLI estaba justificado, y el importe fue reembolsado a las cuentas de TLI por considerarse que el cargo estaba vinculado al contrato de préstamo que tenía el cliente con la empresa prestamista.” (Folio 112). El subrayado es de la AEPD. 3. Alega que transcurridos 10 días desde la solicitud del “chargeback” o retroceso del cargo por el cliente deudor su entidad bancaria reconoció la existencia de la relación contractual que justificaba el cargo y lo aceptó (“retrocesión de chargeback”), por lo que se abonó a TLI el importe que el cliente adeudaba. 4. Añade que no obstante haber cobrado el importe adeudado “…desafortunadamente este documento no fue identificado inicialmente por el departamento de finanzas, quienes entonces tramitaban con los bancos los procesos de alegaciones, así como tampoco hubo una comunicación clara y directa por parte del banco con la entidad prestamista, TLI, para identificar que el abono estaba asociado a este nº determinado de operación, ya que no se transmitió de manera clara el hecho de que el retroceso se había finalmente abonado”. Folio 112. (El subrayado es de la AEPD). Señala también que “el cargo se abonó días más tarde en la cuenta de TLI sin vinculación a un nº de identificación que facilitara la conciliación bancaria con el nº de operación”. 5. Otra de las razones que aduce para no haber detectado el pago es que “coincidió con el periodo durante el cual, el proveedor “cash in”, la empresa Tepfay, tuvo problemas técnicos que causaron incidencias, lo cual dificultó aún más la detección del abono y su posterior conciliación con el número de operación del préstamo”. Según explica una de las mejoras implementadas es el desarrollo de una “plataforma informática de integración de esa herramienta que permite trabajar conjuntamente con el proveedor, evitando que cualquier incidencia de Tepfay afecte a la identificación de cobros”. (Folio 113) Todo ello explica, a su juicio, que “cuando el cargo se abonó días más tardes en la cuenta de TLI, sin vinculación a un nº de identificación que facilitara la conciliación bancaria con el nº de operación, no se concilió y como resultado de esta anomalía, el proceso de recobro siguió su curso de acuerdo con los parámetros establecidos para la recuperación de la deuda”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/27 6. En tanto el citado abono no fue identificado, “se inició el proceso de recobro de acuerdo con los parámetros establecidos en la Ley” para la recuperación de la deuda. Aporta en prueba de sus afirmaciones los siguientes documentos: - - “Carta de Aviso Previo de Pago”, fechada en F.F.F. el 02/02/2015, a cuyo pie se incluye la referencia NT******* , en la que se informa al denunciante que si en el plazo de 30 días no ha procedido a realizar el pago de la cantidad adeudada de acuerdo con el artículo 38 del Reglamento de la LOPD nos veremos obligados a incluir sus datos en diferentes ficheros de solvencia patrimonial (folio 275, documento 19 adjunto a las alegaciones). “Confirmación de Correos de que se realizó el envío de la carta” en fecha 05/02/2015 (folio 277, documento 20 adjunto a las alegaciones). Carta de Marketing and Billing en la que declara que con fecha de 05/02/2015 se pusieron a disposición del servicio de envíos postales 55 comunicaciones entre las que figuraba la identificada con la referencia NT ******* (folio 279, documento 21 adjunto a las alegaciones) 7. Afirma que el 15/05/2015 recibió una transferencia del denunciante por el importe “reclamado” y al identificar que el pago de la deuda se había realizado por segunda vez inició averiguaciones que le llevaron a solicitar el 18/05/2015 la cancelación de sus datos personales del fichero ASNEF y a la devolución por transferencia al denunciante del importe cobrado dos veces. B. Respecto a los fundamentos jurídicos hace las siguientes consideraciones: 1. Estima que se trató de una mera confusión originada por el hecho de que el denunciante dio orden a su banco de retroceder el cargo, por lo que concluye que la conducta objeto de la denuncia no debería ser sancionable. (Alegación cuarta del escrito) En apoyo de esa pretensión invoca la resolución de la AEPD recaída en el expediente E/00881/2005, que archivó la denuncia por entender que los hechos denunciados constituían un simple error no sancionable. También la SAN de 17/03/2004, Fundamento de Derecho cuarto, que calificó el error cometido por el banco al imputar a la cuenta de los denunciantes una operación que no habían ordenado como una anomalía en la mecánica bancaria, destacó que fue corregido con diligencia y decidió confirmar el archivo de las actuaciones acordado por la AEPD pues de lo contrario, dijo el Tribunal, se incurre en una interpretación forzada de la normativa de protección de datos siendo así que la acción administrativa sancionadora debe tener carácter restrictivo y nunca expansivo. 2. Subsidiariamente reconoce la responsabilidad en los hechos denunciados. La alegación cuarta comienza indicando que “Con carácter subsidiario, en el caso de que de adverso no se acordara el archivo de las actuaciones, consideramos que procedería reducir la sanción en un grado en base a la aplicación del artículo 45.5 LOPD”. Seguidamente transcribe este precepto y el artículo 8 del Reglamento de procedimiento para el ejercicio de la potestad sancionadora aprobado por el Real Decreto 1398/1993 y concluye: “Es decir, que esta parte reconoce voluntariamente su responsabilidad en el presente caso, para que se aplique la reducción de la sanción pasando la infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/27 grave a leve”. (El subrayado es de la AEPD) 3. Solicita que se aplique el artículo 45.5 de la LOPD y la imposición de la sanción en el importe más bajo de la escala de las sanciones leves lo que justifica con estos razonamientos: 1. La circunstancia prevista en el artículo 45.5.a, LOPD en relación con las siguientes del artículo 45.4: 1.- Niega que estemos ante una infracción de carácter continuado. 2.- La atenuante del volumen de tratamientos efectuados, pues solo se ha visto afectada una persona. 3.La atenuante relativa la volumen de negocio o actividad del infractor, pues de las 130.000 operaciones que la denunciada ha realizado sólo se conoce esta incidencia. 4.La conducta sobre la que versa la denuncia no le ha reportado a TLI beneficios económicos. 5.- No concurre intencionalidad por de TLI, quien además reaccionó con la mayor diligencia una vez conoció los hechos.6.- No existe reincidencia pues aunque fue apercibida con anterioridad (A/00302/2014) y la calificación jurídica fue la misma, los hechos eran distintos y no tenían relación con el “chargeback”. 7.- Tener implementados antes de que ocurrieran los hechos los procedimientos técnicos adecuados y que la infracción ha sido consecuencia de una anomalía en el funcionamiento de éstos no debida a su falta de diligencia. Cita en apoyo de sus pretensiones las siguientes resoluciones de la AEPD: a. PS/00050/2005, en el que la AEPD rebajó la sanción impuesta argumentando, entre otros motivos, que “los datos personales de la destinataria de la carta no han sido objeto de tratamiento automatizado” b. PS/ 00022/2004, en el que la APED apreció una cualificada disminución de la culpabilidad de la entidad denunciada porque ante las llamadas telefónicas del denunciante comunicando la incidencia corrigió el error de inmediato. 2. Invoca la aplicación del artículo 45.5.
b)LOPOD (regularización de la situación irregular de forma diligente). A estos efectos afirma haber reaccionado de forma rápida y diligente y haber mejorado sus procedimientos internos: Reorganización de agentes; mejoras tecnológicas del report de cobros y de la herramienta de identificación de cobros mediante la consulta al código “Pan”, facilitando la identificación en aquellos casos aislados en los que no se localice automáticamente en un primer instante; creación de alertas para verificar ingresos con diferencias anormales entre la fecha de remesa del cobro y la fecha del cobro definitivo. 3. Invoca la aplicación del artículo 45.5
c)LOPD (cuando la conducta del afectado haya podido inducir a la comisión de la infracción). Destaca que el denunciante no mencionó en su denuncia que había solicitado el retroceso del cargo, lo que contribuyó a la confusión de TLI e hizo más difícil el descubrimiento y resolución de lo sucedido. Cita a tal fin la SAN de 23/07/2013. 4. Invoca, para la determinación de la sanción que deba imponerse, la aplicación del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/27 principio de proporcionalidad. Para ello menciona la resolución de la AEPD recaída en el PS/348/2015, en el que se sancionó a VIVUS FINANCE, S.A.U., “empresa del mismo sector que TLI” en “un supuesto entendemos que muy similar”, con una multa de 20.000. A partir de ahí la denunciada arguye que según el Registro Mercantil el capital social suscrito y desembolsado de VIVUS era de 750.000 euros mientras que el de TLI es sólo de 232,018 euros por lo que la sanción que a su juicio le correspondería debería ser, de 6.356,65 euros. SEXTO: Con fecha 28/06/2016 se inicia el período de práctica de pruebas. Se dan por reproducidas a efectos probatorios la denuncia interpuesta por D. C.C.C. y su documentación; los documentos obtenidos y generados por los Servicios de Inspección ante TLI y Equifax Ibérica, S.L.; el Informe de actuaciones previas de Inspección y las alegaciones de la denunciada al acuerdo de inicio del expediente. Se acuerda la práctica de diligencias probatorias frente a TLI, el BANCO POPULAR ESPAÑOL, S.A. (BANCO POPULAR) y el BANCO SABADELL, S.A., (BANCO SABADELL). 1. TLI –previa petición de ampliación de plazo- evacuó el trámite de prueba en escrito de fecha 28/07/2016, que tuvo entrada en el Registro de la AEPD el 04/08/2016. En su respuesta confirma que el medio a través del cual el BANCO SABADELL le informó que el denunciante había ordenado la devolución del cargo fue el que aportó con sus alegaciones al acuerdo de inicio como número 16 y explica que, previamente, había recibido un fichero txt en el que la línea correspondiente a esa transacción aparecía en blanco, por lo que solicitó información adicional y fue entonces cuando el banco aportó el citado documento Respecto a la fecha en la que conoció que el denunciante había ordenado devolver el cargo manifiesta que “de facto” fue el 21/01/2015, “fecha en la que el movimiento se vio reflejado en las cuentas de TLI” pese a que la fecha que aparece en el documento identificado con el número 16 es el 20/01/2015. En relación al procedimiento de “chargeback” explica que está previsto un trámite de alegaciones dirigidas al Banco que comunica la devolución del cargo cuyo plazo es de diez días. Y añade que “En cuanto al tiempo transcurrido entre el fin de las alegaciones y la respuesta del Banco, no hay ningún plazo establecido, si bien en el presente caso tardaron cuatro días en dar respuesta”. 2. El BANCO POPULAR evacuó el trámite de prueba mediante escrito que entró en la AEPD el 22/07/2016. En él explica que el 14/10/2014 se recibió en el Departamento de Tarjetas-Seguridad, procedente de la sucursal en la que tiene cuenta el denunciante, un escrito firmado por él en el que solicitó la anulación del cargo. Se aporta copia del citado documento. Añade que para la gestión de este tipo de reclamaciones ha suscrito un convenio con Redsys/Sistema 4B por el que se tramitan a través de esa entidad y de acuerdo con la normativa internacional de las marcas de las respectivas tarjetas (en el presente caso la 4B). Ha añadido que iniciaron la reclamación el 17/12/2014 a través de la aplicación informática Redsys, que la procesó y la hizo llegar a BANCO SABADELL el 13/1/2015 junto con el escrito del cliente solicitando la devolución del cargo. Con fecha 31/01/2015 recibió a través de la aplicación Redsys documentación de esa entidad financiera que confirmaba la participación del cliente en la operación. Acompaña copia de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/27 documentos mencionados. 3. El BANCO SABADELL no respondió a las pruebas solicitadas durante la instrucción del procedimiento. SÉPTIMO: El 13/09/2016 se notifica a TLI la propuesta de resolución formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a TWICE LAMDA INVESTMENTS, S.L.U. con multa de 50.000 € (cincuenta mil euros) por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y con el artículo 38.1, a, y c, del RLOPD, tipificada como infracción grave en el artículo 44.3.
c)de dicha norma.>> OCTAVO: El artículo 19 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el R.D. 1398/1993, concede al interesado un plazo de quince días hábiles, computado desde la notificación, para presentar alegaciones a la propuesta de resolución. TLI presenta sus alegaciones a la propuesta de resolución en fecha 30/09/2016, a través de correo administrativo que tuvo entrada en la AEPD el 04/10/2016. En su escrito solicita que, en aplicación del artículo 45.5.d, LOPD, la cuantía de la sanción se fije aplicando la escala relativa a la clase de infracciones que precede en gravedad a la prevista para aquella que se le atribuye. A propósito de esta circunstancia discrepa del criterio seguido por la Agencia en la propuesta, que rechazó su estimación, y argumenta que esa interpretación contradice la jurisprudencia, el precedente seguido por la AEPD, el artículo 8 del Reglamento de desarrollo del procedimiento para el ejercicio de la potestad sancionadora (R.D. 1398/1993) y el criterio de la Ley 39/2015. Reitera la petición de aplicar los artículos 45.5.
b)y 45.5.c). En cuanto a las circunstancias del artículo 45.4 LOPD, advierte que la Ley Orgánica 15/1999 no prevé que la descrita en el apartado
b)pueda operar únicamente como agravante y no como atenuante. Sobre la circunstancia del apartado
d)del 45.4– “volumen de negocio”- dice: “el volumen es únicamente uno, que entendemos que esta circunstancia debería constar como atenuante y no como agravante”. Sobre el “grado de intencionalidad”, apartado f), dice que “como reconoce la propia Agencia” “el origen de todo el asunto radica en (…) una actuación negligente del entonces deudor y ahora denunciante”. Ante tal afirmación es obligado manifestar que en ningún momento la propuesta de resolución declaró, ni expresa ni tácitamente, que el origen de los hechos se encuentre en la conducta negligente del denunciante. Para comprobarlo basta leer el texto de la propuesta verificando de este modo que la denunciada falta a la verdad con esa afirmación. Reproducimos a fin de evitar innecesarias malas interpretaciones los siguientes fragmentos de la propuesta de resolución: <<Por lo que respecta a la incidencia que la conducta del denunciante (que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/27 ordenó la devolución del cargo hecho en su tarjeta por un supuesto fraude a sabiendas de que era falso, lo que a juicio de TLI provocó el error en que más tarde incurrió) A.A.A.. Debemos subrayar además que los argumentos que TLI esgrime, especialmente el último al que se ha hecho referencia, versan exclusivamente sobre uno de los incumplimientos del artículo 38.1 del RLOPD en los que esa entidad ha incurrido, esto es, sobre la certeza de la deuda (ex apartado a, del artículo 38.1), pero en ningún caso sobre el incumplimiento del apartado c, del artículo 38.1 del RLOPD. De tal modo que nada dice TLI, ni se aprecia por la Instructora circunstancia alguna que incida en la culpabilidad de la entidad respecto a este último incumplimiento, por lo que se concluye que TLI obró con una grave falta de diligencia al incumplir el artículo 38.1.c, del RLOPD. De lo expuesto se concluye que sí está presente el elemento subjetivo de la culpabilidad. La falta de diligencia se materializa en una radical ausencia de controles que verifiquen el cumplimiento las condiciones exigidas por la ley para incluir los datos de un tercero en un fichero de solvencia.>> (Fundamento de Derecho V) << La denunciada solicita también la aplicación de la atenuante privilegiada del artículo 45.5.
c)de la LOPD –que alude a que la conducta del afectado haya inducido a la comisión de la infracción- y, por consiguiente, la reducción en un grado de la sanción a imponer. Sobre este particular hemos de decir que, además de que los hechos que se analizan en las SSAN invocadas (de 23/07/2013 y 19/07/2013) no son equiparables a la conducta del denunciante que sirve de base para la aplicación de la circunstancia descrita en el artículo 45.5.
c)LOPD – conducta que consistió en la devolución del cargo manifestando desconocer a qué correspondía- procede recordar que, como se ha explica en los Fundamentos de Derecho precedentes la conducta del denunciante podría incidir, todo lo más, en la vulneración por TLI del principio de calidad de los datos materializado en el incumplimiento del apartado a, del artículo 38.1 del RLOPD (la deuda que se informó a ASNEF no era cierta ni vencida ni exigible), pero esa conducta nada tiene que ver con el grave incumplimiento por TLI del artículo 38.1.c, y 39 del RLOPD.>> Fundamento de Derecho VI. Se invoca también como atenuante la circunstancia del apartado
j)del artículo 45.4 y se detalla “las mejoras implementadas para garantizar un mayor control sobre los procesos de conciliación”, por una parte, y por otra, respecto a la falta de requerimiento, se aporta diversa documentación que a juicio de la denunciada prueba que posee los medios para cumplir la obligación impuesta por el artículo 44.3.c, RLOPD, que ha funcionado hasta el momento excepto en el presente caso debido a una anomalía. HECHOS PROBADOS PRIMERO: El denunciante celebró el 26/07/2014 un contrato de préstamo (“microcrédito”) de 155 euros con la entidad denunciada TLI –cuyo nombre comercial es WONGA- siendo la fecha de vencimiento de la obligación asumida por el prestatario el 05/10/2014. Así lo acredita la copia del email que el denunciante recibió de TLI el 02/10/2014 recordándole que su préstamo vencía dentro de tres días (documento adjunto a la denuncia, folio 4). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/27 SEGUNDO: TLI ha aportado copia del documento contractual “Términos y Condiciones aplicables al préstamo con Wonga.com ***** aceptado el 26/07/2014”. En el sub apartado “Condiciones particulares” se indica que el préstamo por importe de 155 euros se formalizó por internet; que el prestatario es C.C.C., calle D.D.D.; la fecha de contratación 26/07/2015 y el importe adeudado de 201,05 euros. (Folio 23) En el sub apartado “Condiciones Generales”, punto 5 - “Pago”- se indica que “(…) El importe Total Adeudado deberá ser satisfecho mediante orden de débito automática, haciendo uso de los detalles de la tarjeta de débito facilitada por el Cliente a Wonga para el repago del préstamo….” (Folio 25) TERCERO: Está acreditado que TLI transfirió al denunciante, a su cuenta en el BANCO POPULAR ESPAÑOL, S.A., el importe de 155 euros objeto del préstamo. Así lo acredita el documento con el membrete de LA CAIXA (folio 36) relativo a una orden de transferencia (número E.E.E.) de fecha 28/07/2014 desde la cuenta bancaria finalizada en los dígitos 59 realizada por TELEGIROS, S.A., por el concepto “PRÉSTAMO WONGA REF *****”. En ese documento figura como beneficiario “ C.C.C.”; como cuenta de abono la finalizada en los dígitos “96”; como entidad bancaria destinataria de la transferencia el BANCO POPULAR ESPAÑOL, S.A., oficina de B.B.B., y el importe de 155 euros. CUARTO: Está acreditado que en fecha 05/10/2014 TLI cargó en la cuenta del denunciante el importe adeudado. Así lo evidencia que el denunciante recibiera un email de TLI (WONGA) el 05/10/2014 informándole de que había recibido el pago de la obligación asumida en su condición de prestatario, (folio 6). QUINTO: El extracto de los movimientos de la cuenta de la que es titular el denunciante en BANCO POPULAR (finalizada en los dígitos “96”) refleja que con fecha valor 06/10/2014 se hizo un pago con la Tarjeta 4B finalizada en los dígitos “ I.I.I.”, a WONGA.COM, por un importe de 201,05 euros. (Folio 7) SEXTO: El documento denominado “Detalle de la liquidación de remesas de establecimientos”, que lleva el membrete de BANCO SABADELL y la indicación “Comercio XXXXX.COM”, (folios 37 y 265) acredita que BANCO SABADELL hizo un cargo en fecha 05/10/2014 a favor de TLI en la tarjeta del denunciante (finalizada en los dígitos “ I.I.I.”) por importe de 201,05 euros. SÉPTIMO: El denunciante ordenó al BANCO POPULAR el 16/10/2014 que devolviera el cargo realizado el 05/10/2014 en su tarjeta de débito finalizada en los dígitos “ I.I.I.”. Así lo acredita el documento (folio 340) aportado por BANCO POPULAR denominado “operaciones no autorizadas por el titular” que tiene fecha de 16/10/2014 en el que consta el nombre y dos apellidos del denunciante, su firma y el número de la tarjeta (finalizada en I.I.I.) de la que él es titular. El documento incorpora el siguiente texto: “Por la presente declaro formalmente: No haber participado ni autorizado las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/27 operaciones que a continuación detallo (…) Fecha operación 5-10-20 comercio WONGA.COM Importe 201,05” (Folios 339 y 340) Nombre del OCTAVO: TLI declara que el medio a través del cual el BANCO SABADELL le informó de que el denunciante había ordenado devolver el cargo fue el documento que ha aportado como número 16 (folio 267) adjunto a su escrito de alegaciones al acuerdo de inicio y que, previamente, había recibido de BANCO SABADELL un fichero txt en el que la línea que correspondía a esa transacción aparecía en blanco, por lo que solicitó información adicional remitiéndole entonces el citado documento (folios 383,386 y 387). El documento número 16 adjunto a las alegaciones al acuerdo de inicio (obrante al folio 267) lleva la rúbrica “Detalle de la liquidación de remesas de establecimientos”, versa sobre “Comercio XXXXX.COM” y contiene la siguiente información: “Importe correspondiente a operación/es efectuada/s con tarjeta de crédito/débito, que retrocedemos por el siguiente motivo: 4526- FRAUDE. OPERACIÓN NO RECONOCIDA POR EL TITULAR”. (El subrayado es de la AEPD) Como “fecha de liquidación de la remesa” figura el “20.01.15”; “Número de tarjeta” la finalizada en “ I.I.I.”; “Fecha de la operación” “05.10.14” y “Nominal en euros” “- 201,05”. NOVENO: TLI declara que “de facto” conoció que el denunciante había ordenado devolver el cargo efectuado en su tarjeta (finalizada en I.I.I.) el 21/01/2015, “fecha en la que el movimiento se vio reflejado en las cuentas de TLI”, pese a que la fecha que consta en el documento identificado con el número 16 es el 20/01/2015. (Folio 383) DÉCIMO: El BANCO POPULAR ha declarado sobre el procedimiento de “chargeback” que el 17/12/2014 inició la reclamación del cargo de la tarjeta del denunciante a través de la aplicación informática Redsys. El 13/01/2015 llegó al BANCO SABADELL la copia del escrito firmado por el denunciante en el que solicitaba la devolución del cargo (folios 342 y 343). Y el 31/01/2015 (en el documento consta fecha de 30/01/2015) recibió a través de la citada aplicación informática los documentos que acreditaban que el denunciante tuvo participación en la operación comercial cargada en su cuenta. (Folios 339 y 342 a 381) UNDÉCIMO: TLI manifiesta que la entidad bancaria (BANCO POPULAR) reconoció la relación contractual que justificaba el cargo “y retrocedió el chargeback, abonando el importe a favor de TLI” (folio 112) transcurridos 10 días desde el momento de la devolución del cargo. La notificación del retroceso del chargeback se efectuó mediante documento de BANCO SABADELL de fecha 30/01/2015 (obrante al folio 273) que “desafortunadamente no fue identificado inicialmente por el departamento de finanzas”. (Folio 112) El documento mencionado, (número 18 de los que acompañan a las alegaciones al acuerdo de inicio del expediente) tiene el siguiente texto: “Detalle de la liquidación de remesas de establecimientos”, “Comercio XXXXX.COM”.“Importe correspondiente a operación/es efectuada/s con tarjeta de crédito/débito, que retrocedemos por el siguiente motivo: 4526- FRAUDE. OPERACIÓN NO RECONOCIDA POR EL TITULAR”. (El subrayado es de la AEPD) Como “fecha de liquidación de la remesa” figura el “30.01.15”; “Número de tarjeta” la finalizada en “ I.I.I.”; “Fecha de la operación” “05.10.14” y “Nominal en euros” “201,05” (Folio 273) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/27 DUODÉCIMO: Respecto al procedimiento de “chargeback” TLI manifiesta que está previsto un trámite de alegaciones de 10 días ante el banco que comunica la devolución de un cargo pero que sobre el tiempo que puede transcurrir entre “el fin de las alegaciones y la respuesta del Banco” “no hay ningún plazo establecido, si bien, en el presente caso tardaron cuatro días en dar respuesta” (folio 384) DECIMOTERCERO: TLI incluyó en el fichero ASNEF los datos personales del denunciante asociados a un saldo deudor de 201,05 euros, con vencimiento el 05/10/2014, con fecha de alta 03/02/2015. La anotación se dio de baja el 18/05/2015 figurando como motivo “Amistoso”. Así lo acredita la documentación remitida por EQUIFAX IBÉRICA, S.L., asociada al identificador NIF H.H.H., del que es titular el denunciante, procedente del Fichero auxiliar de operaciones canceladas Fotocli, (folios 56 y 57) DECIMOCUARTO: El denunciante ejercitó ante EQUIFAX el derecho de cancelación de sus datos mediante email de fecha 05/05/2015 (folios 61 a 67). EQUIFAX denegó la cancelación solicitada mediante escrito de fecha 12/05/2015 (folios 58 a 60) al haber confirmado TLI que los datos eran correctos (folio 68). DECIMOQUINTO: TLI ha aportado los siguientes documentos a fin de acreditar que cumplió lo dispuesto en los artículos 29 de la LOPD y 38, 39 y 40 del RLOPD: 1. “Carta de Aviso Previo de Pago”, fechada en F.F.F. el 02/02/2015 a cuyo pie se incluye la referencia NT******* en la que se comunica al denunciante que si en un plazo de 30 días no ha procedido a realizar el pago de la cantidad adeudada, de acuerdo con el artículo 38 del Reglamento de la LOPD nos veremos obligados a incluir sus datos en diferentes ficheros de solvencia patrimonial (folio 275, documento 19 adjunto a las alegaciones). 2. “Confirmación de Correos de que se realizó el envío de la carta” en fecha 05/02/2015 (folio 277, documento 20 adjunto a las alegaciones). 3. Carta de Marketing and Billing en la que manifiesta que con fecha de 05/02/2015 se pusieron a disposición del servicio de envíos postales 55 comunicaciones entre las que figuraba la identificada con la referencia NT ******* (folio 279, documento 21 adjunto a las alegaciones DECIMOSEXTO: En fecha 15/05/2015 el denunciante hizo una transferencia a favor de TLI por el mismo importe que presuntamente adeudaba, 201,05 euros. Así lo acredita el documento con membrete de SABADELL (folio 41 del expediente) en el que consta como ordenante el denunciante; como beneficiario WONGA (TLI); como fecha de emisión el 15/05/2015; como fecha valor el 18/05/2015 y en el que se recogen las siguientes observaciones: “NIF. H.H.H. PAGO DEUDA C.C.C.”. DECIMOSÉPTIMO: TLI, después de que el denunciante le transfiriera el 15/05/2015 201,05 euros identificó que el pago se había realizado por segunda vez y constatada esa anomalía, en fecha 18/05/2015, canceló la anotación en ASNEF de los datos del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/27 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La LOPD dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 del citado texto legal dispone en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con las definiciones recogidas en los artículos 3.a), 3.
e)y 3.
c)de la LOPD respecto a lo que debe entenderse por “datos de carácter personal”, “afectado o interesado” y “tratamiento de datos”, respectivamente: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Reglamento de Desarrollo de la Ley Orgánica 15/1999, aprobado mediante el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en su artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….)
b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto sin aquélla fuera de vencimiento periódico.
c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/27 a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). A su vez, el artículo 39 del RLOPD, “Información previa a la inclusión”, establece que “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Los artículos 41.1 (“Conservación de los datos”) y 43.1 (“Responsabilidad”) del RLOPD disponen, respectivamente: “Sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la deuda en cada momento concreto…..”. “El acreedor o quien actúe por su cuenta o interés deberá G.G.G. que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Los requisitos que el artículo 38.1 del RLOPD exige para poder incluir datos de carácter personal en ficheros de solvencia patrimonial y crédito son una manifestación del principio de calidad de los datos que proclama el artículo 4.3 de la LOPD. Este principio significa que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. El cumplimiento de tal obligación incumbe a los responsables de los ficheros y a los encargados de tratamiento quienes deberán velar para que su actuación se ajuste a las disposiciones reguladoras de este derecho fundamental. III A) En el procedimiento sancionador que nos ocupa se atribuye a TLI la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con artículo 38 del RLOPD, tipificada como infracción grave en el artículo 44.3.
c)de la citad Ley Orgánica precepto que dispone: “Son infracciones graves: (…) Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Los datos personales del denunciante fueron incluidos en el fichero de solvencia patrimonial ASNEF, a instancia de TLI, por un saldo deudor de 201,05 euros con fecha de alta 03/02/2015 y se dieron de baja el 18/05/2015 (Hecho probado decimotercero). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/27 Procede por tanto examinar si la comunicación de los datos del denunciante a ASNEF instada por la denunciada respetó las condiciones de exactitud y certeza que exige el artículo 4.3 de la Ley Orgánica 15/1999 y los requisitos previstos en el artículo 38.1 del RLOPD, o si por el contrario la conducta de TLI es subsumible en el tipo sancionador del artículo 44.3.
c)LOPD. La documentación que obra en el expediente demuestra que las obligaciones derivadas del contrato de préstamo suscrito el 26/07/2014 entre TLI y el denunciante por importe de 155 euros se cumplieron por ambas partes. TLI, en su condición de prestamista, hizo entrega al denunciante el 28/07/2014 de 155 euros mediante transferencia ordenada a una cuenta de su titularidad en el BANCO POPULAR (cuyos dos últimos dígitos son 96). Nos remitimos a los hechos probados primero, segundo y tercero. También ha quedado acreditado que el denunciante, en su condición de prestatario, abonó a TLI en la fecha de vencimiento, el 05/10/2014, la deuda asumida en virtud del contrato de préstamo que ascendía a 201,05 euros. Así lo confirman los hechos probados cuarto, quinto y sexto que versan sobre el email que TLI envió al denunciante el 05/10/2014 en el que le confirmaba que había recibido “el pago de tu préstamo” (folio 6); sobre el extracto de los movimientos de la cuenta del denunciante finalizada en 96, en el que consta un cargo de esa fecha y por ese importe (folio 7); y sobre el documento que la denunciada recibió de BANCO SABADELL denominando “Detalle de la liquidación de remesas de establecimientos” relativo a una operación de fecha 05/10/2014, con fecha valor 06/10/2014, por importe de 201,05 euros cargada en la tarjeta cuyos últimos dígitos son “ I.I.I.” de la que es titular el denunciante (folio 37) Sin perjuicio de lo expuesto, ha quedado igualmente acreditado que después de que el denunciante hubiera abonado la deuda que mantenía con TLI, ordenó a su entidad financiera, BANCO POPULAR, que devolviera (“chargeback”) el cargo efectuado en su tarjeta el 05/10/2014 alegando que ignoraba a qué correspondía. La devolución del cargo se articuló a través de un formulario de la citada entidad bancaria que el denunciante tuvo que cumplimentar – documento que lleva la rúbrica “Operaciones no autorizadas por su titular”- en el que se recogen sus datos personales (nombre, apellidos) y que el denunciante firmó. Este documento, que ha sido aportado al expediente por el BANCO POPULAR, tiene fecha de 16/10/2014 e incluye la siguiente leyenda: “Por la presente declaro formalmente: No haber participado ni autorizado las operaciones que a continuación detallo (…) Fecha operación 5-10-20 Nombre del comercio WONGA.COM Importe 201,50” (Hecho probado séptimo, folios 339 y 340) Pues bien, TLI ha declarado (folio 383) que conoció el 21/01/2015 que el deudor y denunciante había ordenado a su banco la devolución del cargo (“chargeback”) pues fue en esa fecha cuando el movimiento en cuestión se vio reflejado en las cuentas de TLI. Sostiene que el medio a través del cual tuvo conocimiento de la decisión del denunciante de ordenar la devolución del cargo fue el documento que le envió el BANCO SABADELL - documento que ella ha aportado a la AEPD con sus alegaciones al acuerdo de inicio del expediente como documento número 16 y que obra al folio 267-. Es más, advierte que el banco le envió ese documento en respuesta a las explicaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/27 que le solicitó acerca del motivo por el que la línea referente a esa operación en el fichero txt recibido de la entidad financiera aparecía en blanco. Ese documento, descrito en el hecho probado octavo, contiene la siguiente información: “Detalle de la liquidación de remesas de establecimientos”, “Comercio XXXXX.COM”.“Importe correspondiente a operación/es efectuada/s con tarjeta de crédito/débito, que retrocedemos por el siguiente motivo: 4526 - FRAUDE. OPERACIÓN NO RECONOCIDA POR EL TITULAR”. Como “fecha de liquidación de la remesa” figura el “20.01.15”; “Número de tarjeta” la finalizada en “ I.I.I.”; “Fecha de la operación “05.10.14” y “Nominal en euros” “-201,05”. (Hecho probado octavo) (El subrayado es de la AEPD) No obstante lo anterior, TLI reconoce que el BANCO POPULAR, transcurridos 10 días desde la fecha en que el cliente pidió la devolución del cargo, admitió que correspondía a una relación contractual que lo justificaba, por lo que retrocedió el chargeback y abonó el importe adeudado por su cliente a TLI, (Hecho probado undécimo, folio 112) Según las manifestaciones de la entidad denunciada la retrocesión del chargeback y consiguiente pago de la deuda le fue notificado por el BANCO SABADELL a través de un documento (obrante al folio 273, número 18 de los aportados con las alegaciones al acuerdo de inicio del expediente) cuyo formato coincide con el de otros documentos recibidos de la entidad financiera como el que TLI ha aportado como documento número 16 con las alegaciones al acuerdo de inicio en el que el BANCO SABADELL le comunica la devolución del cargo, chargeback, (hecho probado octavo) y con el descrito en el hecho probado sexto, número 15 de los aportados con las alegaciones al acuerdo de inicio del expediente, que versa sobre el pago de la deuda efectuado por el denunciante en la fecha de su vencimiento con cargo a su tarjeta finalizada en “ I.I.I.”. El documento en el que el banco comunica a TLI la retrocesión del chargeback, (o lo que es igual, el pago definitivo de la deuda) tiene fecha de 30/01/2015 y el siguiente texto:“Importe correspondiente a operación/es efectuada/s con tarjeta de crédito/débito, que retrocedemos por el siguiente motivo: 4526 - FRAUDE. OPERACIÓN NO RECONOCIDA POR EL TITULAR”. Como “fecha de liquidación de la remesa” figura el “30.01.15”; “Número de tarjeta” la finalizada en “ I.I.I.”; “Fecha de la operación” “05.10.14” y “Nominal en euros” “201,05”. (Hecho probado undécimo) (El subrayado es de la AEPD) TLI, dice que “desafortunadamente” este documento “no fue identificado inicialmente por el departamento de finanzas” de la compañía (folio 129). De tal manera que actuó como si la deuda no hubiera sido abonada e incluyó los datos del denunciante en un fichero de solvencia. Las explicaciones con las que la denunciada justifica no haber detectado a través del documento recibido del BANCO SABADELL que la deuda había sido pagada son una supuesta comunicación deficiente del banco que le permitiera identificar que el abono estaba asociado a la operación de préstamo concertada por el denunciante. A ese respecto llaman la atención varias cuestiones: Una, que ante la falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/27 claridad de la que presuntamente adolecía la documentación recibida del BANCO SABADELL no le hubiera solicitado información adicional sobre el significado del documento (número 18) como ya había hecho –según sus propias explicacionescuando en el fichero txt que recibió de BANCO SABADELL aparecía en blanco la línea referente a la operación de abono de la deuda en la fecha de su vencimiento, de forma que supo nada más recibir el documento identificado con el número 16 que el denunciante había ordenado a su banco la devolución del cargo. Es también llamativo que le suscite dudas interpretativas un documento (el de la retrocesión del chargeback, identificado por ella con el número 18) que es idéntico en su formato a otros que había recibido antes del BANCO DE SABADEL, como el número 16 en el que le informaban de la orden del deudor de devolver el cargo. Ante estas alegaciones de TLI relativas a las deficiencias informativas del documento en el que le comunican la “retrocesión del chargeback” hemos de insistir en que este documento (obrante al folio 273) tenía el mismo formato del que obra al folio 267 ( descrito en el Hecho Probado octavo,(número 16 de los aportado por TLI, en el que se le comunicaba que el deudor había devuelto el cargo que se le hizo en su tarjeta bancaria) que no dio lugar a ninguna duda interpretativa. Curiosamente en este documento el único dato que aparecía para vincular la operación bancaria con el deudor y ahora denunciante era el número de la tarjeta, finalizada en los dígitos I.I.I.. Ese dato fue bastante para que la identificación fuera correcta. Pues bien, el número de esa tarjeta también consta en el documento que el BANCO SABADELL le envió informándole de la retrocesión del chargeback al que le atribuye deficiencias que le impidieron asociar la operación al préstamos concertado por el denunciante. Lo relevante es como se ha indicado que TLI reconoce que pasados diez días desde la solicitud de “chargeback” -que recordemos lleva fecha de 20/01/2015 y que la denunciada declara haber conocido de facto el 21/01/2015- el BANCO POPULAR dio validez a la deuda del denunciante, retrocedió el “chargeback” y le abonó el importe pendiente. B) De las consideraciones precedentes resulta que cuando TLI informó los datos personales del denunciante al fichero ASNEF (fecha de alta 03/02/2015) no existía una deuda pendiente, pues la derivada del contrato de préstamo había sido abonada el 30/01/2015, fecha en la que el BANCO POPULAR (entidad financiera del deudor prestatario) ordenó la retrocesión del cargo. En definitiva, la deuda que TLI informó a ASNEF, asociada a los datos personales del denunciante, era inexistente, por lo que ni era cierta, ni vencida, ni exigible, requisitos que a tenor del artículo 38.1.
a)han de estar presentes para que los datos personales vinculados a ella puedan ser incluidos en un fichero de solvencia patrimonial respetando el principio de exactitud y veracidad (ex artículo 4.3 de la LOPD). Ahora bien, como se expondrá seguidamente la conducta de TLI no solo vulneró el artículo 38.1.
a)del RLOPD, también incumplió el artículo 38.1.
c)del citado Reglamento. C) TLI ha alegado al acuerdo de inicio del presente expediente sancionador que al no haber identificado el abono de la deuda que mantenía con el prestatario “siguió de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/27 acuerdo con lo establecido en los art. 29 LOPD y 38, 39 y 40 del RLOPD, el proceso de recobro siguiendo los parámetros establecidos en la Ley para la recuperación de la deuda” (El subrayado es de la AEPD) La documentación que obra en el expediente contradice esa afirmación y demuestra que TLI incumplió el deber que el artículo 38.1.
c)le impone de requerir el pago al deudor con carácter previo a la inclusión de sus datos personales en un fichero de solvencia patrimonial así como el deber de informarle que, de no pagar en el plazo fijado para ello, sus datos podrán ser incluidos en un fichero de esa naturaleza (ex artículo 39 RLOPD). TLI informó a ASNEF los datos personales del denunciante asociados a una deuda de 201,05 euros con fecha de alta 03/02/2015 (Hecho probado decimotercero) en tanto que la carta que envió al denunciante requiriéndole el pago (“Carta de Aviso Previo de Pago”, folio 275, identificada como documento número 19 adjunto al escrito de alegaciones al acuerdo de inicio que lleva la referencia NT*******), está fechada en F.F.F. el 02/02/2015. En ella se concedía al denunciante un plazo de 30 días para pagar, indicando que si en ese plazo no había procedido a realizar el pago de la cantidad adeudada, “de acuerdo con el artículo 38 del Reglamento de la LOPD nos veremos obligados a incluir sus datos en diferentes ficheros de solvencia patrimonial”. (Hecho probado decimoquinto) Es más, obra también en el expediente aportado por TLI, un escrito de Emfasis Billing & Marketing Services, S.L., en el que certifica “la generación, impresión y puesta en servicio de envíos postales, el día 5 de febrero de 2015, de la comunicación con referencia NT******* dirigida a C.C.C. con domicilio en CALLE B.B.B.” (folio 279). También se aporta copia del “Albarán de Entrega” expedido por Correos y Telégrafos S.A.E., que acredita que con fecha 05/02/2015 se entregaron 55 envíos (cartas ordinarias) siendo el cliente que ordena la entrega Equifax Ibérica, S.L., que tenía suscrito un acuerdo con Emfasis Billing & Marketing Services, S.L. (Hecho probado decimoquinto) Por tanto, en la fecha en la que la denunciada informó a ASNEF los datos del denunciante (el 03/02/2015) aún no le había requerido el pago de la deuda en los términos del artículo 38.1.c, del RLOPD ni informado de la posibilidad de incluirle en un fichero de esa naturaleza, como exige el artículo 39 del RLOPD. Tal es así que la carta en la que se le hacía el requerimiento concediéndole 30 días para pagar se puso en Correos dos días después de que hubiera sido incluido en el fichero ASNEF. En consecuencia, los datos personales del denunciante permanecieron en el fichero ASNEF a instancia de TLI desde el 03/02/2015 hasta el 18/05/2015; durante más de tres meses, sin que la entidad informante estuviera legitimada para tal inclusión. A tenor de los hechos probados queda acreditado que la actuación de TLI ha sido contraria al principio de exactitud y veracidad de los datos recogido en el artículo 4.3 de la LOPD en relación con el 29.4 y en relación con los artículos 38.1.c), 38.1.
a)39 y 43.1 del RLOPD. D) Llegados a este punto hemos de analizar los argumentos que TLI esgrime en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/27 su defensa. Argumentos que en sus alegaciones al acuerdo de inicio versaron sobre el requisito de certeza de la deuda (artículo 38.1.a RLOPD) y omitieron cualquier referencia a la falta de requerimiento de pago (ex artículo 38.1.c, RLOPD). Partiendo de la premisa anterior el centro de su alegato es que “lo sucedido se trató de una mera confusión de TLI, debida a que el denunciante dio orden a su banco para retroceder el cargo indicando falsamente que no conocía al emisor del cargo…” (folio 115). Alude a una combinación de factores internos y externos. Entre los primeros menciona las dificultades de su departamento de finanzas para identificar el pago de la deuda a la vista del documento recibido del BANCO SABADELL obrante al folio 273 ya mencionadas. Refiere también que durante ese periodo “el proveedor cash in, la empresa Tefpay, tuvo problemas técnicos que causaron incidencias”. No obstante, TLI no ha aportado ningún documento que corrobore esta última afirmación o del que pueda inferirse la realidad de ese alegato. Por lo que atañe a la supuesta información deficiente suministrada por el BANCO SABADELL a través del documento en que le comunicó la retrocesión del chargeback nos remitimos a las reflexiones hechas en el apartado A) de este Fundamento. Sobre la supuesta incidencia que la conducta del denunciante tuvo en la comisión de la infracción, por cuanto el deudor ordenó la devolución del cargo alegando desconocer la operación a la que respondía, nos remitimos al examen que se hace en el último Fundamento de esta resolución de la circunstancia descrita en el artículo 45.5
c)LOPD. En las alegaciones a la propuesta de resolución TLI se ha centrado en la pretensión de que se apliquen las circunstancias de los artículos 45.5 y 45.4 LOPD, cuestión que se analiza en el último Fundamento de Derecho. Ha solicitado también la aplicación retroactiva del artículo 85.1 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y manifiesta que ha cambiado el “petitum”, por lo que a diferencia de lo que alegó en el acuerdo de inicio del expediente y de lo que comunicó a la Inspección de Datos en su respuesta al requerimiento informativo, ahora recoge como “petición principal y única” “la asunción de culpabilidad a los efectos de la aplicación del artículo 45.5
d)de la LOPD”. No es necesario entrar a valorar la procedencia de aplicar en el presente caso el principio de retroactividad de la norma sancionadora más favorable en relación con la Ley 39/2015 –texto legal que contiene en esencia normas procedimentales y no materiales- pues pese a que TLI ha modificado el “petitum” de su escrito en el sentido indicado no cabría aplicar el artículo 85.1 de la LPACAP ni el efecto jurídico pretendido del artículo 85.3, pues de acuerdo con la interpretación de la AEPD el reconocimiento de responsabilidad al que alude el artículo 851 de la Ley 39/2015 habría de haberse hecho en el plazo de diez días concedidos para presentar alegaciones al acuerdo de inicio, lo que evidentemente no se ha producido. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/27 Corresponde analizar seguidamente si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para poder exigir responsabilidad en el ámbito del Derecho Administrativo Sancionador, pues no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas (STC 76/1999) . El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Por tanto, la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ha reconocido reiteradamente el Tribunal Supremo. Es más, del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. En ese sentido la Audiencia Nacional, Sentencia de 17/10/2007 (Rec. 63/2006), ha manifestado que “....el ilícito administrativo previsto en el artículo 44.3.
d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) El Tribunal Supremo, por su parte, entiende que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. TLI incluyó al denunciante en un fichero de morosidad por una deuda inexistente sin haberle requerido previamente el pago, incumpliendo con ellos los requisitos del artículo 38.1, apartados a, y c, del RLOPD. La normativa de protección de datos no sólo supedita la legitimidad de la inclusión de los datos del deudor en un fichero de solvencia a que se cumplan los requisitos descritos en el artículo 38 del RLOPD, sino que además “refuerza” la diligencia que debe desplegar el acreedor informante pues el artículo 43.1 RLOPD insiste en que tiene el deber de “ G.G.G. de que concurren todos los requisitos exigidos en los artículos 38 y 39” en el momento de notificar los datos adversos al responsable del fichero común” “. (El subrayado es de la AEPD) La exposición precedente evidencia que TLI obró con una grave falta de diligencia al incluir los datos personales del denunciante en el fichero ASNEF sin cumplir las obligaciones que le imponen los artículos 38.1.a, y c, 39 y 43.1 RLOPD. En C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/27 definitiva sí está presente el elemento subjetivo de la culpabilidad; la falta de diligencia se materializa en una radical ausencia de controles que verifiquen el cumplimiento las condiciones exigidas por la ley para incluir los datos de un tercero en un fichero de solvencia. V El artículo 45 de la LOPD, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
a)El carácter continuado de la infracción.
b)El volumen de los tratamientos efectuados.
c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
d)El volumen de negocio o actividad del infractor.
e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
f)El grado de intencionalidad.
g)La reincidencia por comisión de infracciones de la misma naturaleza.
h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/27 El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Un análisis detallado merece la circunstancia del artículo 45.5.d), de la LOPD (reconocimiento espontaneo de la culpabilidad) que TLI invocó en sus alegaciones al acuerdo de inicio, que la AEPD ha rechazado en la propuesta de resolución y que TLI ha vuelto a reiterar en sus alegaciones a la propuesta. En esa alegaciones, discrepando del sentido de la propuesta de resolución, estima que no reconocer la atenuante privilegiada del artículo 45.5.
d)LOPD que invoca por el hecho de que se hubiera condicionado y supeditado el reconocimiento de la culpabilidad a que no prosperase su pretensión principal, el archivo del expediente, contradice la jurisprudencia, el precedente de la AEPD, el artículo 8 del Reglamento de desarrollo del procedimiento para el ejercicio de la potestad sancionadora (R.D. 1398/1993) y el criterio de la Ley 39/2015. Recordemos que TLI solicitó en sus alegaciones al acuerdo de inicio la aplicación del artículo 45.5.d, LOPD pero lo invocó con carácter subsidiario, para el caso de que no prosperase la primera de sus pretensiones: que los hechos denunciados no fueran sancionados, pues a su juicio eran fruto de una anomalía (folios 111 y 115). Para mayor claridad reproducimos el siguiente fragmento de la alegación primera del escrito de TLI al acuerdo de inicio del expediente sancionador que nos ocupa: “y subsidiariamente, de acuerdo con el artículo 45 de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal (…) TLI, solicitará la reducción de un grado de la posible sanción, entre otros extremos que se acreditarán, al reconocer voluntariamente su responsabilidad, y que dicha posible sanción, en su caso, sea también proporcional” (El subrayado es de la AEPD) En la alegación cuarta de su escrito TLI explica “ los motivos por los que esta parte entiende que lo sucedido no debería ser sancionable” (folio 114) y la siguiente alegación –quinta- dice: “Con carácter subsidiario, en el caso que de adverso no se acordara el archivo de las actuaciones, consideramos que procedería reducir la sanción en un grado, en base a las aplicación del artículo 45.5 de la LOPD y el Real Decreto 1398/1993 (…)” (folio 115) (El subrayado es de la AEPD) La AEPD explicó en la propuesta de resolución que con tales antecedentes no podía apreciarse la circunstancia del artículo 45.5.
d)LOPD ya que la naturaleza jurídica de esa figura es incompatible con el hecho de que el infractor condicione el reconocimiento de su culpabilidad a que no prosperen otras peticiones que, en esencia, llevan implícita la negación de toda culpabilidad. En otras palabras, no es posible admitir que se “ha reconocido la culpabilidad” y que el reconocimiento es “espontáneo” -términos que emplea el artículo 45.5.d, LOPDcuando se hace con carácter subsidiario, para el caso de que la AEPD rechace una pretensión principal: que se declare que la actuación de TLI no era digna de sanción por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/27 tratarse de una “anomalía”, una “mera confusión (…) debida a que el denunciante dio orden a su banco para retroceder el cargo” (folio 115). Esa pretensión principal de TLI entrañaba un reconocimiento de que su conducta era antijurídica, pero no de la existencia del elemento subjetivo de la infracción, por lo que excluía la culpabilidad que es precisamente el presupuesto para que pueda aplicarse la atenuante privilegiada del artículo 45.5.
d)LOPD. Esta conclusión expuesta en la propuesta no se ve alterada por el hecho de que TLI haya manifestado en las alegaciones a la propuesta de resolución que “como muestra de la voluntad y predisposición de esta parte, se ha modificado el petitum y las alegaciones contenidas en este escrito en relación al anterior en el sentido de recoger como petición principal y única la asunción de culpabilidad a efectos de la aplicación del artículo 45.5.
d)de la LOPD” Muy esclarecedora resulta en tal sentido la reciente Sentencia de la Audiencia Nacional de 10/05/2016 (Rec. 913/2015) que a propósito de la desestimación en la resolución de la AEPD de la atenuante privilegiada del artículo 45.5.d, dice (Fundamento Jurídico segundo): “Por último, aunque deba valorarse positivamente que la compañía demandante haya reconocido en vía administrativa su culpabilidad por los hechos denunciados, constitutivos de la infracción por cuya autoría ha sido sancionada, debemos precisar que el hecho de que este reconocimiento de responsabilidad tuviera lugar en el escrito de alegaciones presentado ante la propuesta de resolución del instructor, como admiten las partes, y no con anterioridad impide su calificación como la circunstancia prevista en el artículo 45.5.d), pues carece de la espontaneidad necesaria para ello.” (El subrayado es de la AEPD) TLI solicita, asimismo, la aplicación del artículo 45.5.b, LOPD que se refiere a la regularización de la situación irregular de forma diligente. A tenor de los hechos declarados probados (en particular, el hecho probado decimocuarto) se pone de manifiesto que no existen elementos de los que se pueda inferir la pretendida reacción diligente. Está acreditado que el denunciante ejercitó en fecha 05/05/2015 ante EQUIFAX el derecho de cancelación de sus datos del fichero ASNEF –cuya anotación, como se ha expuesto, fue informada por TLI incumpliendo el artículo 4.3 de la LOPD- y que la denunciada confirmó esa inclusión contestando que la anotación era correcta (folios 61 a 68). Tal es así que para que TLI procediera a dar de baja la incidencia, vista la negativa a atender la cancelación solicitada, el denunciante procedió a abonar por segunda vez la deuda mediante una transferencia de fecha 15/05/2015 (hecho probado decimosexto) Recordemos que la deuda se había extinguido más de tres meses atrás, el 30/01/2015, cuando el banco del denunciante retrocedió el chargeback, (hecho probado undécimo) En sus alegaciones a la propuesta TLI reitera la petición de que se aplique esta circunstancia y alega que son exponente de una pretendida reacción diligente el conjunto de medidas que ha implementadas para evitar que vuelva a acontecer una anomalía semejante (se detallan en el Antecedente de hecho sexto). Esas medidas, como se infiere de lo manifestado por TLI, son necesarias para garantizar que la entidad detecte los pagos que hacen sus clientes, por lo que son una exigencia ineludible del cumplimiento diligente de la obligación de exactitud y certeza de los datos tratados que le impone el artículo 4.3 LOPD antes que un ejemplo de reacción diligente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/27 La denunciada solicita también la aplicación de la atenuante privilegiada del artículo 45.5.
c)de la LOPD –que se refiere a que la conducta del afectado haya inducido a la comisión de la infracción- y, por consiguiente, la reducción en un grado de la sanción a imponer. Como se explica en los apartados precedentes la conducta del denunciante ( la devolución del cargo bancario manifestando que desconocía a qué concepto correspondía) no incide en el grave incumplimiento por TLI del artículo 4.3 LOPD, ni en relación con el artículo 38.1.a, RLOPD ni en relación con el artículo 38.1.c, RLOPD. En relación al apartado a, del artículo 38.1 RLOPD insistir en que TLI ha declarado (hecho probado noveno) que conoció que el denunciante había devuelto el cargo en fecha 21/01/2015 y que cuando acontece la devolución de un cargo se abre un periodo de alegaciones ante la entidad financiera que realiza la devolución cuyo plazo es de diez días. Habiendo finalizado el citado plazo de alegaciones el 31/01/2015 y habiendo recibido TLI el 30/01/2015 una comunicación de BANCO SABADELL que le informaba de la retrocesión del chargeback, a pesar de todo ello, en fecha 03/02/2015 los datos del denunciante ya se encontraban incluidos en ASNEF. Las fechas evidencian que la inclusión en el fichero de morosidad de una deuda que no era cierta fue consecuencia de la falta de diligencia desplegada por TLI en el cumplimiento de las obligaciones que le impone la normativa de protección de datos de carácter personal y no de que el denunciante hubiera indebidamente ordenado la devolución del cargo. Por las razones expuestas consideramos que no concurre en los hechos que se someten a la valoración de este organismo ninguna de las atenuantes privilegiadas del artículo 45.5 de la LOPD. La denunciada invoca también la presencia de varias de las circunstancias descritas en el artículo 45.4 de la LOPD. Sobre ellas han de hacerse las siguientes reflexiones: -El carácter continuado de la infracción, apartado a): Esta circunstancia puede ser sólo agravante y opera en aquellos casos en los que la infracción cometida tenga carácter permanente. La Audiencia Nacional considera que tiene esa naturaleza la infracción del artículo 4.3 LOPD, en este supuesto la inclusión en ficheros de morosidad incumpliendo las garantías de que impone la Ley Orgánica y su Reglmento. Los datos del denunciante permanecieron en ASNEF informados por TLI sin legitimación para ello durante más de tres meses, desde el 03/02/2015 al 18/05/2015. - El volumen de tratamientos efectuados, apartado
b)que operaría como atenuante al haber afectado sólo a los datos de una persona. - La vinculación de la actividad de TLI con el tratamiento de datos de carácter personal, apartado c): Puesto que la actividad de la infractora conlleva un continuo tratamiento de datos de carácter personal se estima que opera como agravante. -El volumen de negocio o actividad del infractor, apartado d): Concurre como agravante y no, en contra de la petición de TLI, en calidad de atenuante pues se ha de tener en cuenta que TLI ha realizado más de 130.000 operaciones de microcrédito (tal y como ella declara) en las que se han tratado datos personales lo que eleva el número C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/27 potencial de personas que podrían verse afectadas si la entidad no ajusta su conducta a las previsiones de la LOPD. Frente a lo que TLI pretende, el volumen al que hace referencia ese precepto es del “negocio” o “actividad”, y no el volumen de “tratamientos”. -Los beneficios obtenidos como consecuencia de la comisión de la infracción, apartado e): Efectivamente no consta que TLI hubiera obtenido beneficios por lo que cabría considerar que esta circunstancia está presente como atenuante. - El grado de intencionalidad, apartado f): Esta expresión debe entenderse como equivalente a grado de culpabilidad y no cabe duda de la culpabilidad de TLI. La falta de diligencia en el cumplimiento de las obligaciones que le impone la LOPD es evidente y grave, tanto respecto a la infracción consistente en la comunicación de sus datos a ASNEF asociados a una deuda que no era cierta (artículo 38.1.a, RLOPD) como respecto a la obligación que deriva del apartado c, del artículo 38.1 RLOPD, que exige efectuar con carácter previo el requerimiento de pago de la deuda. - La reincidencia por comisión de infracciones de la misma naturaleza, apartado g): Por su propia esencia tal circunstancia únicamente puede ser agravante de manera que no es posible, como TLI pretende, que opere como atenuante. -La naturaleza de los perjuicios causados, apartado h): La Audiencia Nacional ha declarado a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que : “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” - La acreditación de que la infracción es consecuencia de una anomalía en el funcionamiento de los procedimientos que la presunta infractora tiene implementados y no de una falta de diligencia, apartado i): No es posible apreciar la concurrencia de esta circunstancia en calidad de atenuante respecto a la infracción del artículo 4.3 LOPD en relación con el apartado a, del artículo 38.1.a del RLOPD. La compañía ha mejorado los procedimientos existentes hasta entonces para impedir que suceda una nueva anomalía. Sí parece, a la vista de la documentación aportada, que existía un procedimiento correctamente articulado para la práctica de los requerimientos de pago (artículo 38.1.c del RLOPD) por lo que el artículo 45.4.
i)sí operaría como atenuante para esta segunda conducta. A la luz de lo expuesto, tomando en consideración el principio de proporcionalidad que ha de presidir la imposición de la sanción (ex artículo 131 de la LRJPAC); que no concurre ninguna de las circunstancias previstas en el artículo 45.5 LOPD y valoradas las circunstancias del artículo 45.4 LOPD, tanto adversas como favorables al infractor, se acuerda sancionar a TLI con una multa de cincuenta mil euros, cuantía próxima al mínimo establecido en el artículo 45.2 LOPD para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/27 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad TWICE LAMDA INVESTMENTS, S.L.U., por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.
c)de dicha norma una multa de 50.000 euros (cincuenta mil euros) de conformidad con lo establecido en los artículos 45.2 y 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a TWICE LAMDA INVESTMENTS S.L.U., y a D. C.C.C.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., o en caso contrario se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente, o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o el inmediato día hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/27 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.