← España

PS-00230-2016

1/13 Procedimiento Nº PS/00230/2016 RESOLUCIÓN: R/02892/2016 En el procedimiento sancionador PS/00230/2016, instruido por la Agencia Española de Protección de Datos a la entidad FINCONSUM E.F.C., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19/06/2015 tiene entrada en esta Agencia un escrito de A.A.A. (en adelante el denunciante), en el que manifiesta que:

  1. En mayo de 2015, al tratar de contratar un servicio de ADSL se le deniega por estar incluido en un listado de morosos.
  2. En su entidad financiera le informan de que consta en el fichero de solvencia patrimonial de ASNEF por una deuda de más de 4.000 euros con una entidad de crédito.
  3. Solicitó al responsable del fichero que subsanase los datos ya que esa deuda no le corresponde.
  4. A fecha del escrito manifiesta que no ha podido contratar el ADSL lo que, debido a su condición de trabajador autónomo, le ha causado impedimentos a la hora de trabajar y desea una compensación por parte de TTI FINANCE SARL (en lo sucesivo TTI), causante de la situación. Junto con el escrito de denuncia, aporta copia de un escrito de 27/05/2015 remitido por el responsable del fichero ASNEF en el que le informan de la subsanación de sus datos y se muestra que éstos no constan ya en el fichero. Además el NIF del denunciante es el ***NIF.1, según copia que aporta SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad TTI y EQUIFAX IBERICA, S.L. (en lo sucesivo EQUIFAX), teniendo conocimiento de lo siguiente: - Con fecha 13/07/2015 se solicita a EQUIFAX información relativa al denunciante y de la respuesta recibida se desprende: Respecto del fichero ASNEF: No consta información. Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre del denunciante, con fecha de emisión 20/09/2014, por un producto de tarjetas de crédito, por un importe de 4.705,70 euros y siendo la entidad informante TTI. El escrito consta dirigido a B.B.B. (en lo sucesivo B.B.B., que no es el denunciante), figurando en los sistemas con un NIF idéntico al del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 Respecto del fichero de BAJAS: Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 19/09/2014 –27/05/
  5. El motivo consta como incongruencia, el importe es de 4.705,70 euros y por vencimientos impagados primero y último de fecha 30/10/
  6. La deuda cancelada consta a nombre de B.B.B., con un NIF idéntico al del denunciante. - Con fecha 13/07/2015 se solicita a TTI información relativa al denunciante, y de la respuesta, recibida el 07/08/2015 se desprende:
  7. Que TTI es una sociedad con sede en Luxemburgo que entiende no está sujeta a la normativa española en materia de protección de datos y por tanto se encuentra fuera del ámbito competencial de esta Agencia.
  8. El 11/07/2014 TTI adquirió a la entidad FINCONSUM EFC SAU (en lo sucesivo FINCONSUM), una cartera de deuda de créditos impagados entre los que se encuentra uno correspondiente al NIF ***NIF.1 por un importe de 4.705,70 euros. La entidad aporta impresión de pantalla de los datos que consta en los ficheros de TTI, en los que el NIF del denunciante consta vinculado a B.B.B..
  9. TTI aporta copia de un requerimiento del pago de la deuda a nombre de B.B.B. con el domicilio que consta en sus ficheros, distinto del denunciante, de fecha 01/08/
  10. La entidad aporta copia de un certificado de INDRA BMB SL (en lo sucesivo INDRA), entidad que presta a TTI el servicio de envío de requerimientos de pago, pero dicho certificado hace referencia a un requerimiento enviado a C.C.C., no al denunciante ni a B.B.B.. La entidad aporta asimismo copia de un certificado emitido por EQUIFAX en calidad de prestadora del servicio de gestión de cartas devueltas, que informa de que el requerimiento de pago con referencia NT*******1, dirigido a B.B.B. no fue devuelto.
  11. TTI afirma en su escrito aportar copia del contrato firmado por el deudor, junto con la copia de la documentación acreditativa de la identidad del contratante, pero no aporta dicha documentación en su escrito. TERCERO: Con fecha 24/05/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FINCONSUM EFC SAU por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.b) de dicha norma, y otra infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.k) de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 21/06/2013, se recibe escrito de CAIXABANK CONSUMER FINANCE EFC SA, antes FINCONSUM ESTABLECIMIENTO FINANCIERO DE CREDITO SA en el que reconoce la responsabilidad a los efectos del artículo 8.1 del Real Decreto 1398/1993, de 4/08 a los efectos de que se aplique el artículo 45.5.d) de la LOPD. Manifiesta que los hechos derivan de una contratación fraudulenta en la que un tercero suplantó la personalidad del denunciante, si bien no aporta documento alguno C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 Manifiesta que existe un concurso medial de infracciones y que si existe falta de consentimiento para el tratamiento de datos, también lo existe para la cesión, derivando una de la otra, concurriendo las circunstancias del artículo 4.4 del Real Decreto 1398/
  12. QUINTO: Con fecha 19/10/2016 se emite propuesta de resolución del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a FINCONSUM E.F.C., (ahora CAIXABANK CONSUMER FINANCE EFC SA) con 20.000 € por la infracción del artículo 11.1 en relación con el 6.1 de la LOPD, tipificada como grave en el artículo 44.3.k) de la LOPD, de conformidad con el artículo 45.1), 2), 4.c), 4.d) y 45.5.d) de la LOPD. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO de la infracción del artículo 6.1 de la LOPD imputada a FINCONSUM E.F.C., (ahora CAIXABANK CONSUMER FINANCE EFC SA), tipificada como grave en el artículo 44.3.b de dicha LOPD.” Frente a la citada propuesta, se recibe escrito de la denunciada con fecha de registro 10/11/2016 indica que hasta la notificación del acuerdo de inicio nada sabían de que los datos fueran inexactos, siendo un hecho puntual pues la cesión de cartera se formaba por 40.920 expedientes, ausencia de intencionalidad y falta de perjuicios causados, lo que supone según indican que se debería imponer una sanción inferior a 20 mil euros. Sobre la suplantación de identidad o falsificación de DNI que alega, no aporta documento que haga sospechar dichas manifestaciones o acrediten que en el contrato figuraba dicho NIF. HECHOS PROBADOS
  13. Los datos del denunciante no figuraban en el fichero ASNEF a 5/08/2015 (40, 41). Antes de dicha fecha, los datos del denunciante han figurado incluidos en dicho fichero desde 19/09/2014

(52)por TTI FINANCE SARL producto: Tarjeta de crédito importe 4.705,70 euros (46,47, 73) figurando la dirección de (C/...1), Málaga, que no coincide ni con la que consigna el denunciante en su denuncia ni con la de su DNI (1, 8). La baja del fichero, de 27/05/2015, fue por el ejercicio del denunciante del derecho de cancelación, subsanado el responsable del mismo, constando como motivo “incongruencia” (51 y 59). 2. En el histórico de consultas de los datos del denunciante consta que CAIXABANK ha efectuado 4 desde 13/05 a 28/05/2015
(49). 3. TTI FINANCE SARL, sociedad con domicilio social en Luxemburgo, adquirió el 11/07/2014 de FINCONSUM una cartera de deuda de créditos impagados entre los que se encontraban el identificado con el NIF del denunciante (16, 24) por el importe de 4.705,70 €, si bien asociados a B.B.B., una dirección y dos número de teléfonos que no coinciden con la del denunciante. Entre los datos cedidos que figuran en los sistemas de TTI, figura el DNI, que coincide con el del denunciante
(17), el nombre y apellidos que también coincide y dos líneas telefónicas que no se asemejan a la que figura en la denuncia (17, 1), así como el domicilio que tampoco coincide con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 consignado en la denuncia por el denunciante o el que figura en su DNI (17, 1, 8). 4. FINCONSUM E.F.C., (ahora CAIXABANK CONSUMER FINANCE EFC SA) reconoce que tenía el NIF del denunciante asociado a los datos del cliente B.B.B. (B.B.B.), (folio 17) cuyos datos fueron cedidos a TTI. Solo se conoce que coincidiera como dato identificativo el citado NIF, ya que el resto de los datos del cliente, dirección, números de teléfonos no coinciden con los del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II La cesión de deudas impagadas que constituyen créditos, es un negocio jurídico corriente en el ámbito financiero hecho a tenor de la normativa que regula ese negocio mercantil pero que no exime a quienes la protagonizan del cumplimiento de las obligaciones establecidas en una normativa específica como es la contenida en la citada Ley Orgánica, que protege unos determinados bienes jurídicos y que no es incompatible en absoluto con aquella. En el presente caso ha quedado acreditado que la denunciada cedió a TTI FINANCE el dato personal del denunciante (NIF) entre otros afectados, a través de un contrato de compraventa y cesión de cartera de créditos de 11/07/2014, que tuvo como resultado el traspaso de su titularidad en la situación en la que se encontraban. En virtud de este contrato, vendió la denunciada y cedió a TTI una cartera de deudas impagadas entre la que se encontraba supuestamente una deuda del denunciante. Hasta dicha fecha los datos formaron parte de la denunciada, que los tenía en sus sistemas. La LOPD define cesión de datos en su artículo 3.
  2. i)de la LOPD, que reseña como tal: “toda revelación de datos realizada a una persona distinta del interesado.” Se imputa a la denunciada la infracción del artículo 11 de la LOPD que establece lo siguiente: "1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cadente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso: a)Cuando la cesión está autorizada en una Ley. b)Cuando se trate de datos recogidos de fuentes accesibles al público. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas. e)Cuando la cesión se produzca entre Administraciones Públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos. f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3.Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4.El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5.Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6.Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores." Por su parte, esta cesión guarda relación con el artículo 6, apartados 1 y 2, de la LOPD que indica: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento del titular, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. A su vez, el artículo 12.3 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento para el Desarrollo de la LOPD, Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, en adelante RLOPD, establece que “Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho.” El Tribunal Constitucional, en su Sentencia 292/2000, de 30/11 (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones transcritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, para la finalidad convenida, exigencia de la que se dispensa al responsable del tratamiento, - entre otros supuestos previstos en la LOPD -, cuando el tratamiento en cuestión se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). No hay que olvidar que la carga de acreditar la existencia del consentimiento “inequívoco” del afectado corresponde al responsable del tratamiento, debiendo arbitrarse por éste los medios necesarios para que no quepa ninguna duda de que, efectivamente, tal consentimiento ha sido prestado. La denunciada no ha probado que recabó y obtuvo del afectado su consentimiento inequívoco para tratar su dato personal, y que cedió a TTI, apreciando que en los sistemas de esta figuraba como dato cedido el NIF del denunciante, si bien como asociado a un cliente con otro nombre y apellidos. Ante el impago del cliente, se informa el dato NIF al fichero de solvencia, donde resultó identificado por dicho NIF. La alegación de la denunciada de que se pudiera haber contratado por otra persona en su nombre, o se haya introducido por error su NIF, no es óbice para que se haya efectuado el tratamiento por la denunciada de dichos datos hasta la fecha en que el crédito resultó cedido. En resumen, el dato NIF del denunciante figuraba incorporado en los sistemas de FINCONSUM, sin que se acredite que haya obtenido el consentimiento, y ese dato C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 se manifiesta o exterioriza cuando se incorpora al fichero de solvencia por la entidad que adquiere el conjunto de la cartera que se cedió. III La comunicación (cesión) del dato de carácter personal del denunciante a un tercero sin contar con su consentimiento previo, si se analiza la normativa aplicada por la entidad ahora imputada (cedente) para llevar a cabo la comunicación de dicha cesión mediante una venta onerosa de los datos de carácter personal relativos a un supuesto cliente deudor a una tercera entidad (cesionaria), se observa que tal negocio se encuentra recogido, en el ámbito puramente mercantil, en el vigente Código de Comercio, Título VI, de la compraventa y permuta mercantiles y de la transferencia de créditos no endosables, Sección Tercera, art. 347 y 348. En concreto, dichos artículos disponen lo siguiente “Artículo 347 Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. “Artículo 348 El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. Así, los artículos 347 y 348 del Código de Comercio admiten que el acreedor pueda transmitir a otra persona créditos no incorporados a documentos a la orden o al portador, sin sumisión a forma o solemnidad alguna y sin contar con el consentimiento del deudor. Basta poner en su conocimiento la transferencia del crédito realizada; notificación que deja obligado al deudor con el nuevo acreedor, y desde entonces sólo se reputará legítimo el pago que se haga a éste. Sin embargo, del encuadre sistemático de los citados artículos en la norma y del propio tenor literal de los mismos, se infiere, para su aplicación en un negocio de esta índole, que se cumplan los siguientes requisitos: 1. Necesidad de la existencia de un crédito de las características indicadas. 2. Existencia de un acreedor (cedente). 3. Existencia del correspondiente cesionario. 4. Existencia de una deuda por el titular del dato cedido. Es decir, que se cumpla la condición de deudor. Si se cumplen los requisitos indicados en la norma, será posible, por propia habilitación legal, llevar a cabo la transferencia a la que hace referencia la norma, desplegando los efectos indicados en la misma. En caso contrario, es decir, ante la falta de uno de los requisitos exigibles en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 citada norma, tal transferencia de créditos mercantiles no endosables ni al portador, como es la transferencia de crédito ahora imputada, no sería posible. En el presente caso, no se cumplen los requisitos indicados, al no cumplirse la condición de deudor del denunciante, ni de titular de relación alguna con la denunciada, por tanto, no existe un fin legitimo en la cesión de los mismos, como requiere el artículo 11 de la LOPD. En el presente caso, ha quedado acreditado que la denunciada, sin que el denunciante fuese deudor de la entidad, cedió los datos personales del mismo, incluidos en el contrato de cesión de créditos de fecha 11/07/2014, elevado a público mediante escritura notarial, adquiriendo TTI ésta la plena titularidad de todos y cada uno de los créditos que componían dichas carteras en las fecha de efectividad del contrato. Por tanto, conforme a lo expuesto, resulta que la denunciada cedió el dato del denunciante erróneamente, pues no siendo titular de la relación con la denunciada, no lo es tampoco de deuda alguna. Así, a pesar de que la cesión de datos se hizo en base a la cobertura que da el contrato de cesión de créditos suscrito, para el que no es necesario el consentimiento de los deudores, en el caso del denunciante señalado, no existe tal cobertura legal por cuanto quiebra el supuesto fáctico alegado, dado que éste no era deudor de la denunciada y por ende no existía ningún crédito objeto de venta y consiguiente cesión de datos personales. En cuanto al posible consentimiento de los interesados dispuesto en el artículo 11.1 de la LOPD, exigible en el presente caso habida cuenta de la inexistencia de amparo legal de la cesión por cuanto el denunciante no era deudor de la denunciada, como se ha señalado, se debe concluir que tal circunstancia ha resultado acreditada en el expediente. Esta conclusión, aplicable a supuestos de cesiones de créditos, sobre la necesidad de que exista deuda que justifique la cesión de datos personales, se contiene en Sentencias de la Audiencia Nacional de fechas 08/07/2010 y 08/10/2010, entre otras. De las actuaciones se desprenden que ni el denunciante era deudor ni tenía contrato alguno con la denunciada, y sus datos estaban en los sistemas de esta o bien por error en el NIF de una persona que se llamara igual que el denunciante o bien por una posible contratación fraudulenta, que es lo que ha manifestado la denunciada. En consecuencia, de lo anteriormente expuesto, el presente caso constituye una cesión de datos personales no consentida por el denunciante ni amparada en una habilitación legal, al incumplir los requisitos del artículo 11.1 y 2.
  3. a)de la LOPD, sin que tampoco se encuentre amparada en el apartado 2.
  4. b)y siguientes del mismo artículo. Por lo tanto, la denunciada ha incurrido en la infracción del artículo 11 de la LOPD al ceder los datos de los cuales no tenía el consentimiento, por lo que aparece directamente relacionada con el artículo 6.1, si bien constituye una sola infracción, y no dos como se indicaba en el acuerdo de inicio. IV Dicha Infracción se encuentra tipificada como grave en el artículo 44.3.
  5. k)de la LOPD, que considera como tal “La comunicación o cesión de los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. V En cuanto a la imputación del artículo 6.1 de la LOPD por tratar los datos del afectado sin su consentimiento, ya se ha visto con el análisis del artículo 11 que no contando con este, sus datos se cedieron. La imputación de una sola infracción es coherente con el principio de que se parte de la falta de consentimiento para el tratamiento, cualquier tipo de tratamiento. En tal sentido, analizada y acreditada la comisión de la infracción del artículo 11.1 de la LOPD en relación con el 6.1, procede el archivo de la imputación por la infracción del artículo 6.1 de la LOPD, manteniendo la del 11.1 de la LOPD. VI No se exige por la Agencia ninguna responsabilidad a las entidades que son – además de titulares de los datos- víctimas de un fraude cuando han actuado diligentemente, con independencia de que exista finalmente una suplantación de personalidad del titular de los datos tratados, pero siempre que se acredite que la responsable del fichero adoptó las medidas encaminadas a asegurarse de que quien prestó el consentimiento era el verdadero titular de los datos que le fueron facilitados. Sin embargo, en este supuesto el tratamiento inconsentido de los datos personales del afectado tanto en el momento en que la denunciada incorporó sus datos en sus sistemas, como cuando los cedió a TTI en el marco del contrato de cesión de créditos, se ha producido sin que el denunciado haya acreditado que hubiera adoptado las medidas a las que le obliga la diligencia mínima que debe observar respecto del tratamiento de los datos personales utilizados en el desarrollo de su actividad. Aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del artículo 130 de la Ley 30/1992, de 26/11, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), tal y como con criterio general ha venido señalando la Jurisprudencia (Sentencias del Tribunal Supremo de 5/06/1989 y 12/03/1990, entre otras muchas), la expresión simple inobservancia del artículo 130.1 de la LRJPAC permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando para la imposición de la sanción, la inobservancia del deber de cuidado. Falta de diligencia, que, en el presente supuesto, resulta atribuible a la denunciada. Es esta falta de diligencia es lo que hace recaer sobre la denunciada la responsabilidad por los hechos objeto de imputación. Además, las entidades que tratan datos deben asegurarse que estos que figuran en los contratos o en cualquier suporte, son los que se proporcionan a través de cualquier medio que implique diligencia en su recogida. En este caso, la denunciada no indica el origen del dato NIF del denunciante (contrato, llamada telefónica, cesionario titular de los datos) y por tanto se desconoce si el dato NIF corresponde con un error propio al ceder dicho dato al fichero de solvencia, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 si se recogió, los medios de verificación sobre el mismo, por lo que las alegaciones realizadas no desvirtúan la falta de diligencia en el tratamiento del dato del NIF del denunciante. VII El artículo 45.1, 2, 4 y 5 de la LOPD, establece lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros”. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción.
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. “5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En relación con la aplicación concurrente de varios de los supuestos previstos en este apartado 5, caso de haberse alegado o concurrir, hay que reseñar la sentencia de la Audiencia Nacional de fecha 28/04/2015, indica: “Una vez que se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra y otras de dichas circunstancias puesto que la reducción ya se ha producido”. En el presente supuesto la denunciada reconoce su responsabilidad en el acuerdo de inicio, considerando que en las actuaciones previas no tuvo noticia alguna de la denuncia, y si bien el denunciante presenta denuncia ante la Agencia, la denunciada aún no tenía conocimiento formal de la misma sino hasta que recibe el acuerdo de inicio, pudiéndose aplicar la reducción del artículo 45.5.
  21. d)de la LOPD, debiendo imponerse una sanción comprendida entre 900 a 40.000 euros. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. 2. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante una entidad que como se deriva del contrato de cesión de deuda, trata datos de carácter personal masivamente. 3. En el momento en que el denunciante presenta la denuncia, 15/06/2015, su dato ya había sido cancelado del fichero de solvencia, de lo que tuvo conocimiento el 27/05/2015, y el dato tratado se reduce al NIF (4.
  22. j)En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones expuestos (45.4.c, 4.d y 4.
  23. j)procede imponer una multa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 20.000 € por la infracción del artículo 11.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FINCONSUM E.F.C., SAU (ahora CAIXABANK CONSUMER FINANCE), una sanción de 20.000 € por una infracción del artículo 11.1 de la LOPD, en relación con el 6.1, tipificada como grave en el artículo 44.3.
  24. k)de la LOPD, de conformidad con lo establecido en el artículo 45.1), 2), 45.4.c), .d), .
  25. j)y 45.5.
  26. d)de la citada LOPD. SEGUNDO: DECLARAR el ARCHIVO de la infracción del artículo 6.1 de la LOPD imputada a FINCONSUM E.F.C., SAU (ahora CAIXABANK CONSUMER FINANCE), tipificada como grave en el artículo 44.3.
  27. b)de la LOPD. TERCERO: NOTIFICAR la presente resolución a FINCONSUM E.F.C., SAU, (ahora CAIXABANK CONSUMER FINANCE) y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.