← España

PS-00247-2016

1/16 Procedimiento Nº PS/00247/2016 RESOLUCIÓN: R/03126/2016 En el procedimiento sancionador PS/00247/2016, instruido por la Agencia Española de Protección de Datos a la entidad CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA DE CRÉDITO, vista la denuncia presentada por B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30/09/2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) una denuncia de D. B.B.B., en la que manifestaba que sus datos personales, que en ese momento se encontraban incluidos en el fichero BADEXCUG, habían sido consultados por distintas entidades con las que no mantenía ninguna vinculación, entre ellas CAJAS RURALES UNIDAS, SOCIEDAD COOPERATIVA DE CRÉDITO- CAJAMAR CAJA RURAL (ahora denominada CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA, la denunciada). Junto con su denuncia aportaba, entre otra documentación, copia de escrito de 23/09/2013 remitido por EXPERIAN BUREAU DE CRÉDITO S.A. en respuesta a un previo ejercicio del derecho de acceso. En el escrito se informaba de, entre otros extremos, las consultas que en los últimos seis meses diversas entidades habían realizado de sus datos en el fichero BADEXCUG. Entre estas entidades figuraba CAJAMAR. La denuncia se tramitó en el marco del expediente de actuaciones previas de inspección señaladas con el número E/06476/

  1. SEGUNDO: Con fecha 18/11/2013 (E/6476/2013) se solicitó a la denunciada información relativa al denunciante en relación a los motivos por los que accedió en consulta a sus datos personales en ficheros de información de solvencia patrimonial y crédito, en concreto BADEXCUG. Con fecha 02/12/2013 CAJAMAR manifestaba que “esta persona es cliente de la entidad, según se acredita con el documento del que se acompaña copia, y que han tenido acceso a sus datos para “el cumplimiento de nuestra obligación de una prudente, adecuada y diligente gestión de los riesgos derivados de tal relación”. El escrito referido es una impresión de pantalla de su sistema de información, “consulta de datos de persona” extraída el 29/11/
  2. Esta pantalla refleja los datos personales básicos del denunciante (DNI, sexo, estado civil, dirección, fecha de nacimiento) reflejándose como fecha de apertura 24/07/2001, sin concretar producto alguno de referencia, siendo esta misma fecha la que aparece consignada en la casilla “fecha de ult. actualización”. Con fecha 27/08/2014, se acordó por Resolución del Director de la AEPD el archivo de las actuaciones. Frente a la citada Resolución, el denunciante interpuso recurso de reposición el 28/09/
  3. Teniendo en cuenta que CAJAMAR no había aportado copia de ningún contrato o cualquier otra documentación que acreditara que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 denunciante era cliente actual de la entidad, sólo una impresión de sus sistemas, se estimó en resolución del Director de la AEPD número RR/00703/2014, de 15/01/2015 iniciar actuaciones de investigación de los hechos, bajo el número E/06166/
  4. TERCERO: En el seno de las actuaciones E/06166/2014, con fecha 26/01/2015 se solicitó de nuevo a la denunciada información relativa al denunciante, en relación a los motivos por los que la entidad accedió a los datos personales de esta persona en ficheros de información de solvencia patrimonial y crédito. Con fecha 05/02/2015 CAJAMAR se remite “a lo que obra en el expediente número E/06476/2013”, señalando que “en el curso de dicho expediente ya les facilitamos, mediante escrito de fecha 29/11/2013, la misma información que ahora nos solicitan”. El escrito al que se refiere CAJAMAR es el que ya presentó el 2/12/2013, no obrando en el expediente ninguna información o documentación adicional. También el 26/01/2015- actuaciones E/06166/2014- se solicita a EXPERIAN BUREAU DE CRÉDITO SA información sobre los datos que constan del denunciante en el fichero BADEXCUG, respondiendo el 11/02/2015: - Sus datos aparecen incluidos y vigentes en el fichero por MARE NOSTRUM Y CAIXA CATALUNYA

(50). - El denunciante ejercitó el derecho de acceso el 23/09/2013 y el 10/12/2014. En la primera respuesta proporcionada se le informa al denunciante el 23/09/2013 que sus datos han sido consultados en los últimos seis meses, entre otras entidades por CAJAMAR.
(74). En la segunda, enviada al denunciante el 10/12/2014, que sus datos han sido consultados en los últimos seis meses, entre otras entidades por CAJAMAR
(74). Las actuaciones desarrolladas en el marco del citado E/06166/2014 finalizaron mediante Resolución de la Directora de la AEPD, de 15/09/2015, por la que se declaraban caducadas las actuaciones desarrolladas frente a CAJAMAR y se ordenaba el inicio de una nueva fase de investigación en el marco del E/05806/2015. CUARTO: En el expediente de actuaciones previas E/05806/2015 se efectuó Diligencia de 16/09/2015 en la que se incorporaba copia de la documentación obrante en los expedientes E/6476/2013, y E/6166/2014. El expediente E/05806/2015 dio lugar a la tramitación del acuerdo de inicio de procedimiento sancionador PS/00533/2015 de 22/09/2015 frente a CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA DE CRÉDITO por infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), por consultar datos del denunciante en el fichero de solvencia BADEXCUG sin consentimiento del titulardenunciante. El procedimiento finalizó mediante resolución de 6/04/2016 declarando la caducidad del procedimiento incoado y acordó el inicio de las actuaciones previas E/01669/2016. QUINTO: En el seno de las actuaciones E/01669/2016 se solicita a EXPERIAN que informe de las consultas al fichero BADEXCUG con los datos del denunciante, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 1/07/2014 y 30/06/2015, que con fecha 11/05/2016 informó que se produjo una consulta automática que se realiza de modo periódico (denominada tipo batch) el 5/07/2014, aportando impresión de sus sistemas. SEXTO: Con fecha 23/06/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA DE CRÉDITO por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  1. b)de dicha norma. SÉPTIMO: Notificado el acuerdo de inicio, mediante escrito de fecha 14/07/2016 la denunciada alega: 1) Invocando el artículo 122 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); considera que las actuaciones previas se hallan caducadas. Considera que la denuncia tuvo entrada en la AEPD el 30/09/2013 hasta la “notificación del acuerdo de inicio de actuaciones previas E/01669/2016 el día 11/04/2016” ha transcurrido en exceso el plazo de 12 meses sin notificar el acuerdo de inicio del procedimiento sancionador. 2) Sobre el contenido de las actuaciones previas derivadas de este expediente, se han tomado en cuenta las actuaciones que traen causa de las desarrolladas bajo expedientes ya caducados, las números E/6476/2013, E/6166/2014, y E/5806/2015 sobre los mismos hechos. Precisa que para que hubiesen sido válidas las actuaciones, se deberían practicar otra vez las mismas que se practicaron en aquellos para la constatación de todos esos datos y circunstancias, debiendo valorarse por su resultado y contenido actual y no por el que entonces hubiera podido obtenerse. Añade que a la denunciada no se le ha requerido información ni documentación al respecto, y en el acuerdo de inicio, todos los hechos descritos salvo el del apartado quinto, van referidos a los expedientes caducados, 3) Dado que la finalidad de las actuaciones previas es disponer de una garantía encaminada a asegurar el correcto ejercicio de la potestad sancionadora evitando posibles fallidas acusaciones sin base legal o la precipitada apertura de expedientes o aperturas infundadas, no se han respetado en este caso concreto dichos principios generales. 4) Subsidiariamente alega inexistencia de la infracción al no tener que contar con el consentimiento del afectado pues existía una relación contractual no vencida en el momento de realizar la consulta. Esta relación, se materializó por primera vez el 24/07/2001 mediante contrato de depósito a la vista, con un número de operación acabado en 92, titularidad de INGENIERIA MURCIANA DE AGUAS SL en el que el denunciante intervino como apoderado representante de la citada mercantil y en calidad de autorizado, así queda acreditado en el documento 2 de alegaciones al acuerdo de inicio del PS en el cual se aportó dicho contrato como documento 2. Esta relación continuó igualmente mediante el contrato de depósito a la vista titularidad de la misma mercantil con numero acabado en 37 en fecha 10/10/2015 y con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 el estudio para la concesión de una póliza de crédito a favor de la mercantil, que finalmente fue rehusada. En ambos casos, el denunciante intervino como autorizado de la titular INGENIERIA MURCIANA DE AGUAS. Los documentos que lo acreditan están incorporados al procedimiento PS/533/2015 como doc. 3 y 4 del escrito de alegaciones al acuerdo de inicio PS/533/2015. La única consulta sobre la cual se basa el inicio de actuaciones previas E/1669/2016 y se sustentó el acuerdo de inicio del PS/247/2016 es la de 5/07/2014, ya que las anteriores consultas que se produjeron en el caso de que pudieran ser consideradas como infracción, estarían prescritas. La consulta efectuada por CAJAMAR el 5/07/2014 a BADEXCUG sobre el denunciante, se llevó a cabo amparada en la relación contractual, no vencida entre ambas, con finalidad legítima y determinada. OCTAVO: Con fecha 7/11/2016 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA DE CRÉDITO con multa de 40.001 €, por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  2. b)de dicha norma, de conformidad con el artículo 45.2 y 4 de la LOPD.” NOVENO: Frente a dicha propuesta, con fecha 5/12/2016 se reciben alegaciones en las que manifiesta:
  3. a)Reitera la caducidad de contenido de actuaciones previas de las que deriva el PS/00247/2016. Reitera que de acuerdo con la sentencia del Tribunal Supremo de 24/02/2004 no cabe que en el nuevo procedimiento surtan efectos las actuaciones propias del primero, es decir las surgidas y documentadas en este a raíz de su incoación para constatar la realidad de lo acontecido, pues entonces no se daría cumplimiento al mandato legal del archivo de actuaciones del procedimiento caducado. Cabe que en el nuevo procedimiento se practiquen otra vez las mismas actuaciones que se practicaron en el primero para la constatación de todos esos datos, circunstancias y efectos, pero habrán de practicarse con sujeción ahora y de nuevo a los trámites y garantías propios del procedimiento sancionador y valorarse por el resultado o contenido actual. Por excepción, pueden surtir efecto en el nuevo procedimiento todas las actuaciones del caducado cuya incorporación solicite la persona contra la que se dirige aquel, pues la caducidad sanciona el retraso de la Administración no imputable al administrado y no puede por ello desenvolver sus efectos en perjuicio de este.
  4. b)Dado que este segundo procedimiento sancionador debe fundarse en los mismos documentos que motivaron la incoación del expediente caducado, no ha lugar a la incorporación de un hecho que ya fue constatado en las diligencias de investigación llevadas a cabo en el procedimiento caducado. Se refiere a las consultas efectuadas al fichero BADEXCUG hasta el 5/07/2014 y respecto de las que esa Agencia considera que la denunciada ha incurrido en una infracción. No cabe duda que debe practicarse otra vez las mismas actuaciones que se llevaron a cabo en los expedientes caducados a fin de constatar todos esos datos y circunstancias. De lo contrario, es evidente que resulta mermada la seguridad jurídica de la denunciada. La caducidad debe sancionar el retraso de esa Agencia sin desenvolver sus efectos en perjuicio de esta parte. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16
  5. c)Las actuaciones llevadas a cabo en el E/1669/2016 deben declararse caducadas, dado el tiempo transcurrido más de doce meses desde la presentación de la denuncia y el inicio de este segundo procedimiento, a tenor de lo dispuesto en el artículo 122.4 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD.)
  6. d)Reitera que no ha existido infracción del artículo 6.1 de la LOPD pues la posibilidad de consultar los datos del fichero de incumplimiento abarca incluso cuando se precise enjuiciar la solvencia económica del afectado y el artículo 42 del RLOPD, no establece numerus clausus tal y como la Audiencia Nacional indica en su sentencia de la sala de lo contencioso administrativo, sección 1, de 17/04/2013.
  7. e)Indica que el denunciante tenía una relación contractual no vencida al momento de la consulta de los datos, y reitera que además fue objeto de análisis para la concesión de una póliza de crédito en calidad de avalista. Como acreditación aporta impresión de sus propios sistemas informáticos “Cuenta con domicilio erróneo” “cuenta anulada ”“Consulta general operaciones de activo” en el que figura primer titular la SL INGENIERIA MURCIANA DE AGUAS SL, 16/03/1995, autorizadas otras dos personas, una el denunciante , y avalistas las mismas personas.
  8. f)Dadas las diferentes actuaciones que fueron declaradas caducadas y archivadas sobre los mismos hechos a los que se refieren el procedimiento que nos ocupa, se ha vulnerado el principio de seguridad jurídica y se ha incurrido en abuso de derecho, no existiendo causa para que el motivo anterior caducase.
  9. g)Solicita que se aplique en la gradación de la infracción el artículo 45.5
  10. a)de la LOPD, al concurrir algunos elementos del 45.4 de la citada LOPD. Considera que la infracción no es de carácter continuado, no se ha obtenido ningún beneficio como consecuencia de la consulta, letra
  11. e)y sin que tampoco se haya causado perjuicio al afectado y no es reincidente en la comisión de infracción de la misma naturaleza. En cuanto a los supuestos agravantes, no considera como tal el mero hecho de que la entidad tenga un determinado volumen de negocio y de tratamientos y que ello suponga agravante HECHOS PROBADOS 1. El denunciante denuncia, que sus datos que obran incluidos por el BANCO MARE NOSTRUM en el fichero de solvencia responsabilidad de EXPERIAN, denominado: BADEXCUG, fueron consultados sin habilitación legal y sin su consentimiento por CAJAS RURALES UNIDAS, SOCIEDAD COOPERATIVA DE CRÉDITO (luego denominada CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA DE CRÉDITO). El denunciante aporta copia de hoja de EXPERIAN fechada el 23/09/2013 en la que figuran sus datos dados de alta desde 18/03/2012 y se añade que su identificador ha sido consultado en los últimos seis meses por “CAJAMAR”. (10,11). 2. CAJAMAR dispone de los datos del denunciante, pero con “fecha última actualización” 24/07/2001 según hoja impresa de sus sistemas, contestado en el expediente E/6476/2013 sin aportar acreditación contractual que avale relación alguna con el denunciante (13, 16, 17). La denuncia fue inicialmente archivada el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 27/08/2014, notificándose a CAJAMAR (23 a 29). Presentado el 28/09/2014 recurso de reposición por el denunciante, (28 a 31), con fecha 15/01/2015 se resuelve estimar el mismo, y ordena abrir nuevas actuaciones previas E/06166/2014. 3. En el seno de las actuaciones previas E/06166/2014, se solicitó información al responsable del fichero BADEXCUG, que el 11/02/2015 indicó que los datos del denunciante figuraban incluidos en el fichero (50, 54 a 57, 58 a 70). También informa que el denunciante ejercitó su derecho de acceso el 23/09/2013 y el 10/12/2014 (52,71). En la respuesta al solicitante (denunciante), de la primera respuesta se aprecia que a la fecha de 23/09/2013 figuraba en los últimos 6 meses la consulta de CAJAMAR (74-75) y en la segunda respuesta, fechada el 10/12/2014, se indicaba que en los últimos 6 meses los datos del denunciante habían sido consultados por CAJAMAR (79 a 81). 4. En el seno de las actuaciones previas E/06166/2014 se le volvió a preguntar a la denunciada lo mismo que en las anteriores, incluyendo la acreditación contractual de la relación con el denunciante, en su caso, respondiendo (47 a 49) como en la anterior información del expediente E/06476/2013, que ya se había facilitado la información y que se notificó resolución de archivo, sin aportar copia de contrato alguno.
(84). 5. Las actuaciones previas E/6166/2014 finalizaron el 15/09/2015 respecto de CAJAMAR, con archivo por caducidad de las actuaciones previas (88 a 102), ordenándose abrir nuevas actuaciones previas E/5806/2015 (102, 191, 192). En esta resolución en el HECHO SEGUNDO, 5.3, se indicaba la información ofrecida por el responsable del fichero BADEXCUG relativa a que en los seis meses anteriores a 10/12/2014 los datos del denunciante habían sido consultados por CAJAMAR
(89). 6. Con fecha 16/09/2015, mediante Diligencia del Subinspector de Datos se incorporó toda la documentación precedente relacionada con la denuncia del denunciante de las actuaciones E/6476/2013 y E/6166/2014
(197). El acuerdo de inicio de procedimiento sancionador PS/533/2015 dimanante de las previas E/5806/2015 resultó notificado a la denunciada el 23/09/2015, y por otra modalidad de entrega, el 24/09/2015 (212 y 214-215). 7. En alegaciones al acuerdo de inicio, PS/533/2015 la denunciada aportó por primera vez, copia de contrato depósito a la vista de 24/07/2001 con INGENIERÍA MURCIANA DE AGUAS SL
(253), “primer titular” constando los datos del denunciante como autorizado junto con otra persona. El código cuenta cliente de la cuenta acaba en 292 y en el clausulado no se contempla que la denunciada pueda consultar los datos del autorizado, denunciante (247, 253 a 255). La relación del denunciante con INGENIERIA MURCIANA DE AGUAS SL con domicilio en Polígono Industrial Oeste parcela 8-25, en Alcantarilla, Murcia
(4)según el Registro Mercantil no es la de Administrador o Apoderado (270 a 272). Dicha Sociedad, según auto de 24/01/2011 del Juzgado de lo Mercantil 1 de Murcia se halla en concurso de acreedores (3 a 7).
  1. En el período de pruebas del PS/533/2015, EXPERIAN, responsable del fichero BADEXCUG indica el 17/12/2015, que los datos del denunciante, en concreto, su NIF, ha sido consultados por la denunciada, CAJAMAR en modo automático y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 periódico, en 32 ocasiones, semanalmente desde 26/03/2013 a 21/09/2013, y desde 14/06/2014 a 5/07/2014 (esta fue la última consulta) según impresión de consultas que aporta (265 a 268). El procedimiento PS/533/2015 fue resuelto por la Directora de la AEPD el 6/04/2016, fuera del RLOPD, dando lugar a la caducidad del mismo con la apertura de nuevas actuaciones previas que se asignaron con el número E/01669/
  3. El denunciante declaró cuando interpuso el recurso de reposición, -28/09/2014 hecho probado 2- que fue autorizado por una Comunidad de Propietarios en la cuenta de esta ante CAJAMAR. La denunciada manifiesta que dispone del DNI del denunciante escaneado (30,247) porque acudió a preguntar unas cuestiones el 22/09/2014, fecha casi coincidente con la interposición por el denunciante de este recurso de reposición
(28), sin que esta copia del DNI acredite tampoco relación contractual alguna con la denunciada. 10. En las actuaciones previas E/01169/2016 que originan este procedimiento se constata por el Servicio de Inspección que entre 1/07/2014 y 30/06/2015 se produce por la denunciada, una consulta en modo BATCH sobre los datos del denunciante, en concreto la de fecha 5/07/2014 (343, 344). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II En cuanto al archivo que posteriormente se revisó en el recurso de reposición a instancia del denunciante, estimándose abrir actuaciones previas, ello supuso en definitiva un cambio de valoración del documento que aportó la denunciada de los datos del denunciante. Dicho cambio de valoración se estima adecuado, ya que las propias anotaciones o registros generados por las propias aplicaciones de la denunciada, es un documento confeccionado, generado, extraído e imprimido por la misma, y no constituye per se acreditación del consentimiento ni conducen a acreditar que exista relación jurídica entre las partes. En este caso, el citado registro no se estimó suficiente para la acreditación del consentimiento en el tratamiento de datos, considerándose conveniente ampliar la investigación. Se debe reseñar que en la petición de información previa a la denunciada, se pedía también “justificación documental de la relación contractual mantenida con el afectado o de la solicitud de celebración de algún contrato por su parte” aspecto sobre el que no se aportó nada. El hecho de que no se comunicara la resolución de estimación del recurso de reposición a la denunciada no supone indefensión ni material ni formal pues esta no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 había sido imputada en grado alguno y teniendo en cuenta que lo que se abre es un período para practicar diligencias. El hecho de abrir o no actuaciones previas para analizar más profundamente la responsabilidad en relación con los hechos denunciados no supone quebrar interés legítimo alguno, no se prevé que en la práctica de esas actuaciones previas se tenga que citar o dar audiencia a la parte interesada, pues su finalidad es valorar si existen circunstancias para iniciar un expediente sancionador; es decir, constituye una garantía para los denunciados, pues con esa investigación lo que se pretende es depurar si existe una mínima credibilidad en los hechos denunciados a fin de poder incoar el expediente. Por otro lado, en el presente expediente sancionador tampoco se aprecia la indefensión sobre un asunto del que se desconoce el resultado que supondrá abrir nuevas actuaciones previas que se basaron en solicitar información nuevamente a la denunciada. En cuanto a que se le volvió a pedir la misma información el 30/01/2015 en los mismos términos que la de 30/10/2013 se debe indicar que los números de expediente son distintos, aunque el contenido del literal si era el mismo, pero en todo caso, la denunciada no contestó en ambas peticiones a la cuestión de “justificación documental de la relación contractual mantenida con el afectado o de la solicitud de celebración de algún contrato por su parte”. Se observa además en apoyo de la respuesta reiterada de la denunciante aportando impresión de sus propios sistemas, que no fue sino hasta después de abrir el procedimiento PS/533/2015 y en el seno de sus alegaciones al acuerdo de inicio, 16/10/2015, cuando por primera vez la denunciada aporta la copia de un contrato de depósito a la vista en el que se contienen los datos del denunciante como autorizado de la cuenta titularidad de INGENIERIA MURCIANA DE AGUAS. Tal carácter habilitador del tratamiento de datos no lo puede tener una impresión de sus sistemas informáticos sin más, ni una cuenta en la que el denunciante figura como autorizado. III En lo referente al uso de documentos resultante u obrante en actuaciones previas que no pueden tomarse en consideración tras haberse declarado caducados, se debe indicar que en el seno del último expediente abierto, E/1669/2016, se realizaron actuaciones dentro del período de actuaciones de investigación que el mismo abría, consistente en la incorporación de copia de toda la documentación obrante y en solicitar a EXPERIAN que informara sobre los accesos a los datos del denunciante por parte de la denunciada. Asimismo, el acuerdo de iniciar el nuevo expediente sancionador se funda en los mismos documentos que, con el valor de denuncia, determinaron la iniciación del expediente caducado. Por otro lado, el haber traído al presente procedimiento determinadas pruebas practicadas en el expediente sancionador caducado es perfectamente posible conforme a la jurisprudencia, como se señala en la Sentencia de 24/02/2004 - recurso nº. 3.754/2001 -, máxime si tenemos en cuenta que en el presente procedimiento sancionador se solicitó información a EXPERIAN. Se pida cuando se pidan los datos a dicho responsable, estos no van a variar, ya que lo que envía es la información factual de los accesos que se registran en sus sistemas, variando y corriendo sin embargo la eventual fecha de prescripción de la infracción Además, se debe contemplar que la prueba de cargo deviene de la consideración de que se producen diversos accesos a los datos del denunciante en 2014 en modo preestablecido, automático o técnicamente en lenguaje del responsable del fichero, en “batch”, si bien solo por uno de ellos se inicia el procedimiento sancionador, aunque se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 ha constatado una multireincidencia en consultas semanales. IV Se imputa a la CAJAMAR, en el presente procedimiento, la comisión de infracción del artículo 6.1 de la LOPD, que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa), ya que es el propio interesado quien tiene que otorgar su consentimiento para que se pueda realizar el tratamiento de los citados datos. Se trata de una garantía fundamental que solo encuentra como excepciones a ese consentimiento del afectado, las establecidas en una ley. En el apartado 2 del citado art. 6 de la LOPD se recogen una serie de excepciones a la prestación del citado consentimiento al establecer que “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La definición de tratamiento se señala en el artículo 3.c de la LOPD como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Así pues, una consulta a datos en un fichero como es BADEXCUG supone un tratamiento de datos que ha de ser justificado por en este caso CAJAMAR. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 Atendiendo a lo expuesto, el acceso mediante comunicaciones, consultas, interconexiones y transferencias a los datos personales registrados en un fichero constituye un tratamiento de datos personales que requiere, en principio, el consentimiento del afectado o titular de los datos en cuestión. Nuestro legislador ha perfilado, en lo referente a los denominados “ficheros de morosidad”, un perfil especial, mediante un esquema en el que participan dos tipos de entidades distintas: por una parte la entidad responsable del denominado “fichero común”, a la que, por otra, suministran información las denominadas “entidades participantes” o “entidades informantes”. Según este esquema, dichas entidades se asocian al sistema, comprometiéndose a facilitar información referente a los incumplimientos en que incurran sus deudores al responsable del fichero común que, en contraprestación, facilita a dichas entidades, amparada por la Ley, la información suministrada por las restantes entidades adheridas al sistema, conservando aquélla la condición de responsable del fichero común y siendo las entidades participantes meras cedentes/cesionarias de la información contenida en el fichero, en virtud de comunicaciones de datos amparadas por la propia LOPD. La cesión o consulta de los datos a o en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión o la consulta se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin por existir una relación negocial que supone una deuda cierta, o por querer iniciar una relación de dicho tipo. El modo consulta, diferente del modo inclusión de datos de ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulado en el artículo 42 del RLOPD en el que se establece: “Acceso a la información contenida en el fichero. 1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
  2. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
  3. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
  4. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
  5. b)y
  6. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. En definitiva, se pretende que la consulta no sea indiscriminada y/o masiva y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 que, en todo caso, dicha consulta responda a la existencia de un interés legítimo que pueda ser alcanzado de forma razonable mediante el acceso a la información contenida en el fichero de solvencia patrimonial y crédito. Atendiendo a lo expuesto, el accesos a los datos personales del denunciante registrados en el fichero “BADEXCUG”, referentes a 5/07/2014, efectuado por la denunciada, constituye tratamiento de datos personales para el que no resultaba necesario el consentimiento de aquel si se atuviera a alguno de los supuestos mencionados en el artículo 42 u otros que lo legitimaran, por cuanto consta acreditado que dicha consulta se efectuó con la finalidad de evaluar la solvencia económica del afectado, antes señalada, sin el consentimiento del denunciante. En cuanto a la alegación de la denunciada de la acreditación del consentimiento en el análisis de la infracción del principio del artículo 6.1 LOPD, constituye doctrina reiterada y consolidada de la Audiencia Nacional que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. Pretende la denunciada basar el tratamiento en el mantenimiento de una relación contractual que tuvo como sujeto a la entidad INGENIERIA MURCIANA DE AGUAS SL en la que el denunciante firmó como autorizado en el contrato, y adicionalmente en que el denunciante el 10/10/2015 también intervino como autorizado en la apertura de otro contrato de depósito a la vista, titularidad de la misma mercantil, sin que adjunte copia del citado supuesto contrato. En ambos casos indica que las cuentas siguen vigentes, aunque no aporta relación de movimientos de las mismas, teniendo en cuenta el auto de insolvencia de la SL de 24/01/2011 que aporta el denunciante. El denunciante ha negado en todo momento que hubiera solicitado productos de dicha entidad o fuese titular de algún servicio, habiendo sido en una ocasión autorizado de una cuenta de la Comunidad de Propietarios. En cualquier sentido, las cuentas tienen como titular no al denunciante, sino a una SL, sin que el denunciante figure como avalista o alguna posición jurídica que le diferencie. Las posiciones de titular y autorizado son muy distintas en referencia a las cuentas bancarias. El autorizado en una cuenta corriente es una figura que a nivel bancario puede ejercitar determinados actos, pero no es el sujeto titular de la misma, siendo por el contrario el titular el que designa al autorizado, que le otorga poderes para operar en su nombre. El autorizado no puede variar las condiciones del contrato ni cancelar la cuenta, no podrá llevar a cabo ningún tipo de decisiones que impliquen una alteración del contrato o las obligaciones y derechos del titular. Junto a ello, en este caso, nada se indica del autorizado en el contrato, ni existe regulación o derechos y deberes con respecto a la titularidad de la cuenta por parte del autorizado. No se puede considerar que el autorizado mantenga con la denunciada algún tipo de relación contractual, como reseña el artículo 42, al no ser la condición de autorizado en una cuenta corriente, en este caso con titularidad de una SL, de tipo contractual, sino más bien una cesión de poderes para ciertas gestiones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 A pesar de la manifestación de la denunciada, aunque el denunciante fuera apoderado/representante de la entidad, folio 247, lo cierto es que en el único contrato de “depósito a la vista” “cuenta corriente” aportado figuraba como autorizado. Con dichas consultas al fichero, que la denunciada no basa en relación o precontrato alguno con el denunciante, ni causa legitimadora, no se entiende justificado el tratamiento de datos personales efectuado, por cuanto la consulta al fichero mencionado fue indiscriminada y excesiva, y no respondían a un interés legítimo. En el presente caso, las consultas a un fichero sobre los datos identificativos del denunciante, y al que se encuentra asociado la denunciada, y no siendo el denunciante titular de producto alguno, ni cliente o garante de la entidad, supone y constituye un tratamiento sin consentimiento. V La infracción aparece tipificada en el artículo 44.3.
  7. b)de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En definitiva, resulta acreditada la vulneración del principio del consentimiento exigido en el artículo 6.1 LOPD, que constituye una garantía fundamental en materia de protección de datos, al haber tratado la operadora recurrente los datos del denunciante en sin su consentimiento y sin que concurra ninguna de las causas que eximan de su prestación según el artículo 6.2 LOPD, conducta que integra la infracción tipificada en el artículo 44.3.
  8. b)de la LOPD. VI En cuanto a la prescripción de la infracción, en este caso, ha quedado acreditado que la denunciada accedió el 5/07/2014, a las consultas de los datos del denunciante, sin justificar relación alguna con él, ya fuere como titular de algún producto o servicio o relación contractual. Tampoco se acredita que figurase información alguna por escrito al denunciante de su derecho a consultar el fichero, por lo que debe considerarse que ha incurrido en la infracción leve descrita sin que se considere prescrita. Sobre la caducidad de actuaciones previas sucesivas y del procedimiento sancionador sin causa justificada, se debe indicar que el procedimiento caducó por resolverse fuera de los 6 meses que tiene fijados para resolverse. En cuanto a las caducidades de las previas, no supone un abuso de derecho pues en todo momento se han podido ejercitar los derechos de la denunciada y figuran explicitados los motivos en cada acuerdo. En el procedimiento se constatan dos hechos básicos en los que se han efectuado acción en las últimas actuaciones previas, uno que el responsable del fichero certifica la consulta de la denunciada a los datos del denunciante, hecho que se ha reiterado en todas las anteriores, y dos, que la denunciada ha continuado sin aportar acreditación de disponer del consentimiento del afectado a ser consultado en dicho fichero. Estos dos tipos de documentos y referencias suponen la comisión de la infracción que se imputa a la denunciada. VII De acuerdo con lo establecido en el artículo 45. 1. 2, 4 y 5 de la LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. “2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción. b El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza. infracción.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5 El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En el supuesto examinado, la denunciada ha solicitado la aplicación del artículo 45.5
  23. a)al entender que concurren varias circunstancias que se contienen en distintos puntos del artículo 45.4, en concreto el carácter no permanente de la infracción, 45.4.a), la ausencia de beneficios, 45.4.e), falta de perjuicios al denunciante 45.4.
  24. h)y no reincidencia en la comisión de infracción de la misma naturaleza 45.4.g). El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En todo caso, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26/11/2008). En cuanto a que los datos no se han tratado de manera continuada, hay que mencionar que solo se sanciona por una de las consultas, pero estas se realizaron de modo periódico, por lo que aunque no se pueden sancionar el resto por estar prescritas, no se entiende que la infracción no haya pertenecido a una consulta prevista y sistematizada en el tiempo, semanalmente, no siendo aplicable dicho carácter. En cuanto a que a la denunciada no se le ha sancionado antes por alguna infracción de la misma naturaleza, si bien en caso contrario podría agravar la infracción, la carencia de antecedentes no tiene virtualidad a efectos de menguar la antijuridicidad o culpabilidad pues la conducta de cumplimiento de la normativa no puede ser constitutiva de reducción alguna. Sobre la falta de beneficios o ausencia de perjuicios, si bien es cierto que no se perjudicó de manera económica directa al denunciante, se accedieron a sus datos de solvencia sin motivo, estando incluido por otras entidades, lo que supone que se conocen sus circunstancias de impago y con qué entidad. En cuanto a la ausencia de perjuicios, la mera consulta a un fichero de esta categoría de manera no habilitada, resulta en si un perjuicio. Así pues, no resulta aplicable la reducción por aplicación del artículo 45.5 de la LOPD solicitada. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: 1. En relación con el carácter continuado de las infracciones (apartado 4.a), y según doctrina reiterada de la Audiencia Nacional al respecto, los datos personales del denunciante fueron consultados en el fichero BADEXCUG en modo BATCH, es decir automática y semanalmente, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 sin justificación para ello, 2. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. La sentencia de la Audiencia Nacional de 17/10/2007 (Rec. 63/2006) exige a estas entidades que observen un adecuado nivel de diligencia, e indica a este respecto: “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. 3. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante una entidad financiera que es, según su propia web, el primer grupo cooperativo de crédito español con 4 millones de clientes, 1.207 oficinas y más de 6.068 empleados y entre los bancos, cajas de ahorros, cajas rurales y demás cooperativas de crédito y entidades financieras que operan en España, el Grupo Cooperativo Cajamar se encuentra en el puesto 15 del ranking nacional. 4. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12/11/2007 (rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. 5. En los perjuicios causados al denunciante (apartado 4.h), y en relación con la importancia de la inclusión y mantenimiento de los datos personales en ficheros de morosidad, extremo este que se evidencia del relato de hechos probados, que pone de manifiesto que la denunciada trata sin consentimiento los datos del denunciante relativos a través del acceso al fichero, habiendo tenido conocimiento de sus deudas inscritas. Teniendo en consideración los anteriores criterios de graduación de las sanciones establecidos en el artículo 45.4 se impone una sanción de 40.001 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad CAJAMAR CAJA RURAL SOCIEDAD COOPERATIVA DE CRÉDITO, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  25. c)de la LOPD, una multa de 40.001 € de conformidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SOCIEDAD COOPERATIVA DE CRÉDITO, y a B.B.B.. CAJAMAR CAJA RURAL TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del RLOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.