← España

PS-00265-2017

1/21 Procedimiento Nº PS/00265/2017 RESOLUCIÓN: R/03272/2017 En el procedimiento sancionador PS/00265/2017, instruido por la Agencia Española de Protección de Datos a la entidad 4FINANCE SPAIN FINANCIAL SERVICES, S.A., vista la denuncia presentada por D. D.D.D. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 23/06/2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. D.D.D. (en lo sucesivo, el denunciante) en el que expone que VIVUS FINANCE, S.A., -cuya denominación social es actualmente 4FINANCE SPAIN FINANCIAL SERVICES, S.A.,- (en lo sucesivo, VIVUS o la denunciada) ha tratado su datos personales sin su consentimiento (nombre, dos apellidos y NIF); los ha vinculado a deudas que no son ciertas, pues nunca ha contratado con esta entidad y ha incluido sus datos personales en los ficheros ASNEF y BADEXCUG asociados a una deuda a la que es ajeno sin requerirle previamente el pago, tal y como exige la normativa de protección de datos. El denunciante ha aportado con su denuncia y, posteriormente a solicitud de la Inspección de Datos, numerosos documentos entre los que destacamos los siguientes: - - - - Email que remite el 26/05/2016 a EQUIFAX IBÉRICA, S.L., (en adelante EQUIFAX) mediante el que ejerce el derecho de acceso a sus datos que obran en el fichero ASNEF. Respuesta de EQUIFAX al acceso solicitado de fecha 27/05/2016. Escrito enviado por correo certificado a EXPERIAN BUREAU DE CRÉDITO, S.A., (en adelante EXPERIAN) el 28/05/2016 en el que ejerce el derecho de acceso ante el fichero BADEXCUG. Respuesta de EXPERIAN, de 01/06/2016, al acceso solicitado. Escrito enviado por correo certificado a VIVUS FINANCE, S.A.U.,(VIVUS) el 02/06/2016, mediante el que ejerce el derecho de acceso a sus datos personales. Respuesta de VIVUS, de 14/06/2016, al acceso solicitado. La entidad le remite una copia del Contrato de Préstamo número ***PRÉSTAMO.1, suscrito a su nombre y con su NIF, y las condiciones generales del contrato. En el contrato figuran, asociados al denunciante, varios datos de los que él niega ser titular (una dirección electrónica, un domicilio postal en la provincia de ***PROVINCIA.1, un número de móvil y un número de cuenta bancaria) Email de 25/06/2016 dirigido a EQUIFAX mediante el que ejerce el derecho de cancelación de sus datos que constan en el fichero ASNEF. Respuesta de EQUIFAX de 04/07/2016 comunicándole que no pueden atender la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 - - cancelación solicitada al haber sido confirmados los datos por la entidad informante. Email de fecha 09/07/2016 dirigido a la dirección ***EMAIL.1, a la atención de D.ª I.I.I.., en el que expone que VIVUS, en su respuesta de 17/06/2016 al acceso solicitado, le vincula con el préstamo número ***PRÉSTAMO.2; que nunca ha contratado con esa entidad ni con empresas del grupo; que no tiene domicilio en ***PROVINCIA.1; que no es titular de los números de teléfono que aparecen en el contrato celebrado a su nombre ni conoce al titular; que no es titular ni conoce a quien lo fuera de la dirección electrónica asociada a él que consta en el contrato que le atribuyen y que no es titular, ni cliente, ni tiene acceso a cuentas bancarias en la entidad financiera ING. El denunciante remite a VIVUS una copia de la denuncia que presentó en la AEPD contra dicha entidad por vulneración del derecho a la protección de datos y le informa de que “media denuncia por estafa en el uso de mis datos personales para la contratación de servicios por terceros” y de que se están tramitando ante el Juzgado de Instrucción número 8 de Vigo las Diligencias Previas de Procedimiento Abreviado ***AUTOS.1, a las que expresamente remite a la entidad denunciada. Copia de una denuncia presentada en la Guardia Civil el 21/10/2015 relativa a la documentación personal que el denunciante proporcionó a un tercero a raíz una oferta de trabajo supuestamente fraudulenta. Cédula de citación del denunciante para el día 04/07/2016 en las Diligencias Previas de Procedimiento Abreviado ***AUTOS.1 seguidas por un delito de estafa. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad VIVUS teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Tal y como consta en su correspondiente diligencia, el 09/03/2017 VIVUS FINANCE S.A., cambió su denominación social a 4FINANCE SPAIN FINANCIAL SERVICES S.A. En su escrito de respuesta1 VIVUS aporta la siguiente documentación: 1 Tal y como acredita el documento 1 del escrito de respuesta, el 16/10/2015 VIVUS formaliza a través del sitio web ***URL.1 un crédito de 300 euros con identificador ***PRÉSTAMO.3 a nombre del denunciante. En el documento figuran los datos asociados al denunciante y tal y como este manifiesta en sus escritos de denuncia, los datos de contacto no coinciden con los proporcionados por él a esta Agencia. Como acreditación de la contratación del crédito, VIVUS aporta copia de las condiciones generales y especiales (documento 5 y 6) y de la documentación aportada para formalizar el crédito (documento 7) que incluye copia de:  DNI  Recibo de ingreso de una nómina ordenada por PROMOGROUP ECONSA SL en una cuenta de ING DIRECT. 1 Registrado con número de entrada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21  Nómina de septiembre de 2015  Recibo de un servicio de telefonía fija donde consta el domicilio y teléfono fijo proporcionado en el momento de contratar el préstamo. VIVUS aporta como documento 10 la grabación de una llamada telefónica realizada por la entidad para identificar al contratante del préstamo. En la llamada, quien se identifica como el denunciante, reafirma su deseo de contratar el préstamo y proporciona, a requerimiento de la operadora, un conjunto de datos destinados a confirmar los datos de contratación (nombre de alguna calle cercana a su domicilio actual, nombre de la empresa en la que trabaja, importe de nómina, lugar en el que residió con anterioridad,…). Como documento 12 aporta copia de los eventos registrados asociados al préstamo, que incluyen la dirección ***IP.1 desde la que se realizó la solicitud. En su escrito de denuncia, el denunciante niega ser titular de cuenta alguna en ING DIRECT, haber prestado sus servicios en PROMOGROUP ECONSA SL o haber residido fuera de la comunidad Autónoma de Galicia. 2 Documento 2 del que se desprende que el préstamo en cuestión, que debía haber sido pagado el 10/11/2015, resultó impagado. Del documento 13 se desprende que a 06/10/2016 la deuda que consta asociada al denunciante es de 940 euros. 3 Documentos 4.24, 4.30 y 4.39 VIVUS, copia de tres requerimientos de pago fechados el 25/11/2015, 11/12/2015 y 25/12/2015. Los requerimientos de pago están dirigidos a nombre del denunciante, al domicilio proporcionado durante la contratación del préstamo que no coincide con el del denunciante. 4 Documento 14 en el que consta que: 4.1. Los datos del denunciante fueron incluidos en el fichero de solvencia patrimonial BADEXCUG el 21/02/2016 y excluidos el 11/07/2016. 4.2. Los datos del denunciante fueron incluidos en el fichero de solvencia patrimonial ASNEF el 20/01/2016 y excluidos el 11/07/2016. 5 6 La exclusión de los datos del denunciante y el bloqueo del expediente se producen al tener conocimiento de un posible fraude en la contratación. Del documento 12 se desprende que el bloqueo del expediente se produce el 11/07/2016 Se produce una nueva inclusión en el fichero ASNEF el 20/07/2016 que es cancelada el 04/10/2016. TERCERO: Con fecha 15/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a 4FINANCE SPAIN FINANCIAL SERVICES, S.A., por una presunta infracción del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en relación con el artículo 38.1.

  1. a)del Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD, tipificada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 como infracción grave en el artículo 44.3.
  2. c)de dicha norma, pudiendo ser sancionada con multa de 40.000 a 300.000 euros de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, VIVUS, previa ampliación del plazo inicialmente concedido, formuló sus alegaciones en escrito de fecha 07/07/2017, en el que solicita que se acuerde “la imposición de una sanción de carácter leve en su grado mínimo, por importe de 900€” y, con carácter subsidiario, que “se acuerde, al amparo del artículo 86 LPACAP, la terminación convencional del procedimiento mediante la celebración del pertinente acuerdo con mi representada para la imposición de una sanción, por la comisión de infracción leve, de multa por importe de 10.000€ a pagar en un plazo no superior a diez días”. En apoyo de su pretensión adujo lo siguiente: - - Que la segunda inclusión de los datos personales del denunciante en ASNEF se debió a un error técnico, excepcional e involuntario pues la entidad tiene un protocolo de actuación que funciona correctamente. Añade que poco más de dos meses después del alta cursó la baja de la incidencia por su propia iniciativa. Que la sanción fijada en el acuerdo de inicio del expediente, de 50.000 euros, “resulta de todo punto injustificada y desproporcionada” “atendidas tanto las circunstancias concurrentes como los propios criterios establecidos por la LOPD e interpretados por los tribunales para graduar las sanciones”. a A juicio de la entidad no concurre ninguna de las agravantes que la AEPD ha apreciado en el acuerdo de inicio del expediente sancionador: apartados a, c, d, y g, del artículo 45.4 LOPD. Respecto al carácter continuado de la infracción (apartado a), dice que no puede reputarse continuado el hecho de que estuviera más de dos meses en un fichero de solvencia si se tiene en cuenta que son seis años el plazo máximo que una persona puede permanecer incluida. Respecto al apartado c), la vinculación de la actividad con el tratamiento de datos de carácter personal, porque considera que no se acredita que exista una vinculación superior a la habitual en el tráfico mercantil. Respecto al apartado d), el volumen de negocio o actividad, porque a su juicio la AEPD ha valorado incorrectamente los datos pues alude a que en el ejercicio 2015 el volumen de ventas superó los 15 millones de euros cuando lo cierto es que “presenta fondos propios negativos derivados de la acumulación de pérdidas de ejercicios anteriores. Así, en 2014 tuvo pérdidas por valor de 5 millones de euros y en 2015 los beneficios obtenidos fueron destinados a compensar pérdidas de ejercicios anteriores”. Estima que tampoco concurre la reincidencia por comisión de infracciones de naturaleza análoga, apartado g). Argumenta en tal sentido que “las varias sanciones a las que alude han sido recurridas por vía administrativa o contencioso administrativa, no resultando por ello firmes ni pudiendo, en consecuencia, ser consideradas propiamente como reincidencia”. b Que procede aplicar el artículo 45.5 LOPD pues, a su juicio, concurren los apartados “a),
  3. b)y
  4. d)del artículo 45.5 LOPD. …mi representada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 - reconoce los hechos, regularizó diligentemente la situación en cuanto conoció la anomalía y, sobre todo, concurren hasta cinco criterios del artículo 45.4 LOPD”. Las atenuantes que invoca son el escaso volumen de negocio o actividad (apartado c), la ausencia de beneficios obtenidos (apartado e), la ausencia absoluta de intencionalidad (apartado f), ausencia de perjuicios al denunciante (apartado
  5. h)y la implantación de procedimientos adecuados de recogida y tratamiento de datos (apartado i). Finalmente, indica: “Con carácter subsidiario, si esta Agencia no estimase cuanto ha sido expuesto en las alegaciones segunda y tercera, mi representada ofrece la posibilidad, al amparo del artículo 86 de la LPACAP, de alcanzar con la AEPD un acuerdo para la terminación convencional del procedimiento sancionador mediante la imposición de una sanción, por la comisión de infracción leve, de multa por importe de 10.000 € a pagar de manera –en su caso- inmediata.” QUINTO: Con fecha 15/10/2017 se inició el período de práctica de pruebas, de conformidad con el artículo 77 de la LPACAP, acordando practicar las siguientes diligencias: - Incorporar al procedimiento PS/00265/2017, la denuncia y documentación adjunta; la documentación recabada en el curso de las Actuaciones de Investigación previa por la Inspección de Datos y el Informe de Actuaciones de Inspección. Dar por reproducidas a efectos de prueba las alegaciones de VIVUS al acuerdo de inicio y documentación adjunta. - Se solicitó a EQUIFAX IBÉRICA, S.L., en fecha 16/10/2017 que aportara determinada información y documentación relativa a las incidencias informadas por VIVUS a ASNEF asociada al NIF del denunciante y a los expedientes seguidos con ocasión de haber ejercido el denunciante los derechos de acceso y cancelación. EQUIFAX IBÉRICA, S.L., evacuó el trámite de prueba en escrito de fecha 23/10/2017. SEXTO: En fecha 14/11/2017 se formuló propuesta de resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a 4FINANCE SPAIN FINANCIAL SERVICES, S.A., con una multa de 50.000 euros (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación con el artículo 38.1.
  6. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  7. c)de la citada Ley Orgánica.>> SÉPTIMO: 4FINANCE SPAIN FINANCIAL SERVICES, S.A., realizó alegaciones a la propuesta de resolución en escrito que tuvo entrada en la AEPD el 28/11/2017, en las que, en síntesis, reiteró los argumentos esgrimidos en el trámite de alegaciones al acuerdo de inicio del expediente. La denunciada expuso lo siguiente: - En la alegación primera “reitera” su reconocimiento o “admisión” de que existió un error excepcional, temporal e involuntario. Advierte que como manifestó en las alegaciones al acuerdo de inicio no niega el error sufrido. Reconoce que la segunda inclusión de los datos del denunciante en el fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 ASNEF se debió a un error “técnico, excepcional y absolutamente involuntario”. - Destaca que la baja de ASNEF de esta segunda inclusión del denunciante se produjo “en menos de tres meses”, el 04/10/2016, “y a iniciativa de mi propia representada” “lo que evidencia que sus sistemas funcionan si bien en este caso (que no se olvide tiene su origen en la suplantación de identidad fraudulenta) la existencia de ese fraude (…) provocó una desgraciada confusión…” - Respecto a la “negativa a graduar la infracción propuesta” afirma: a La Propuesta de Resolución incurre en el “sesgo retrospectivo” a la hora de enjuiciar los hechos que la entidad denunciada define como <<tendencia tanto a exagerar ex post la previsibilidad de un hecho como a exagerar el grado de culpabilidad dimanante del mismo. (…) el responsable tiende a ser considerado negligente a pesar de haber actuado con suficiente diligencia o, como en el casos presente, ex post se considere grave la negligencia que, atendidas las circunstancias objetivas ex ante, en realidad no lo es>> (Folio 2 del escrito de alegaciones a la Propuesta) b Considera que los hechos que nos ocupan son fruto de un error, lo que no es sino “una mera inobservancia de los sólidos procedimientos existentes”. Añade que, además, “en este caso concreto dicho error fue directa (por iniciativa propia de mi representada al comprobar los sistemas automáticos el error humano) y rápidamente subsanado (en un periodo inferior a tres meses) y además, es un error que no provocó efectivo daño alguno”. - Invoca la falta de proporcionalidad de la sanción propuesta por la AEPD y hace las siguientes consideraciones respecto a las circunstancias del artículo 45.4 LOPD que la AEPD ha calificado de agravantes: a b c - Sobre el apartado d), volumen de negocio o actividad, rechaza la interpretación que se hace esta circunstancia. Dice que este precepto ha de interpretarse “de manera finalista, de suerte que la única y auténtica proporción existe entre la infracción cometida y los beneficios totales del infractor, que es lo que pretende la norma”. Y en consideración a su alegato solicita que se tenga en cuenta la situación patrimonial de VIVUS. Sobre el apartado e), ausencia de beneficios, considera que estamos ante un supuesto en el que claramente tal circunstancia opera como atenuante y en ningún caso como agravante pues al igual que el denunciante también ella fue víctima de un fraude. Sobre el apartado c), vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, considera insuficiente la explicación ofrecida en la Propuesta de Resolución acerca de la mayor vinculación de la actividad profesional que desarrolla con el tratamiento de datos personales. Solicita la aplicación de la atenuante cualificada del artículo 45.5 LOPD. Sobre este particular, se “ratifica íntegramente en lo que fue expuesto al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 respecto en las Alegaciones al Acuerdo de Inicio, considerando que los apartados a), b), y
  8. d)de dicho artículo son de plena y evidente aplicación” Por lo que atañe al apartado
  9. a)del artículo 45.5 estima que concurren hasta cinco criterios de atenuación del artículo 45.4. LOPD. En relación al apartado
  10. b)del artículo 45.5 insiste en que regularizó la situación diligentemente. Respecto al apartado
  11. c)del artículo 45.5., plantea que no hay diferencia entre reconocer los hechos y reconocer la culpabilidad; manifiesta que ese reconocimiento ha existido en su primer escrito, en el que detalló todo lo acontecido, y también en las alegaciones al acuerdo de inicio pues de no estar implícito el reconocimiento de culpa no tendría sentido que hubiera solicitado la imposición de una sanción inferior y no, como sería lo procedente, el archivo sin imposición de sanción alguna. - A propósito de la “Terminación Convencional” al amparo del artículo 86 de la Ley 39 /2015, manifiesta que esta pretensión, subsidiaria de las anteriores, es plenamente legítima. Cita las Sentencias de Conformidad, en el ámbito del procedimiento penal; “los recientes programas piloto de acuerdos de mediación en la jurisdicción contenciosa” y el Reglamento General de Protección de Datos (RGPD). Reconoce que esta última norma no es de aplicación hasta el 25/05/2018 pese a lo cual alude al Considerando 131 del RGPD que hace referencia a que la autoridad de control que recibe una reclamación o detecta posibles infracciones “debe tratar de llegar a un arreglo amistoso con el responsable del tratamiento”. - Menciona el riesgo de desinversión en España por parte de 4FINANCE, dadas las abultadísimas sanciones que la AEPD le está imponiendo. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: D.D.D., con NIF G.G.G., denuncia que VIVUS ha tratado sus datos personales sin su consentimiento, los ha vinculado a deudas que no son ciertas, pues nunca ha contratado con esta entidad, y los ha incluido en ficheros de solvencia patrimonial asociados a deudas que no le pertenecen. SEGUNDO: VIVUS informó a los ficheros de morosidad ASNEF y BADEXCUG una deuda asociada al NIF del denunciante y a su nombre y apellidos, con fecha de alta, respectivamente, 20/02/2016 y 21/02/2016. Las dos incidencias fueron canceladas el 11/07/2016, tres días después de recibir del denunciante información y documentación que evidenciaba la existencia de un presunto fraude en la contratación del microcrédito del que derivaba la deuda que le atribuía (Folios 256 y 257 respecto a ASNEF y 134 respecto a BADEXCUG) TERCERO: VIVUS comunicó, por segunda vez, al fichero ASNEF los datos personales del denunciante (NIF, nombre y dos apellidos) por un saldo impagado pendiente de 940 euros con fecha de alta 20/07/2016, pese a que en esa fecha tenía evidencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 claras de que la deuda no era cierta respecto al denunciante. La anotación fue cancelada el 04/10/2016. El fichero califica el tipo de baja “Directa”, es decir, efectuada por la entidad acreedora (Folios 249, 258 y 259) CUARTO: El 16/10/2015 VIVUS formalizó a través de su página web un contrato de microcrédito por importe de 300 euros con la persona que facilitó como suyos el nombre, dos apellidos y el NIF del denunciante. VIVUS ha aportado una impresión de pantalla de sus registros informáticos con los datos relativos al contrato de microcrédito, identificado con la referencia ***PRÉSTAMO.3 , así como las condiciones generales y particulares de la contratación. Los datos que figuran registrados en VIVUS asociados al referido contrato son los siguientes: el NIF G.G.G., del que es titular el denunciante; el nombre y apellidos de D.D.D.; la fecha de contratación del producto, el 16/10/2015; los números de teléfono B.B.B. y H.H.H.; un domicilio en ***DIRECCIÓN.1; la fecha de nacimiento 14/08/1964; la dirección electrónica ***EMAIL.2, y una cuenta en la entidad financiera ING DIRECT finalizada en los dígitos 82 (folios 64, 65, 117). También facilita la dirección IP desde la que el 16/10/2015 se contrató el microcrédito ( F.F.F.) QUINTO: VIVUS recabó del contratante al tiempo de la celebración del contrato de microcrédito la siguiente documentación que ha facilitado a la AEPD: - Copia del DNI del denunciante (folio 118) - Copia de un resguardo bancario de ingreso de nómina a favor de quien dice llamarse como el denunciante, ordenada por la empresa Promogroup Econsa, S.L., en una cuenta de la entidad financiera ING DIRECT (folio 119) -Copia de una nómina, correspondiente a septiembre de 2015, perteneciente a un trabajador identificado con el NIF, nombre y dos apellidos del denunciante, emitida por la empresa Promogroup Econsa, S.L. - Copia de una factura de Movistar correspondiente a una línea fija ( B.B.B.) emitida a nombre de una persona con el nombre, apellidos y NIF del denunciante. El domicilio vinculado al titular de la línea que aparece en la factura es ***DIRECCIÓN.1. La factura está domiciliada en una cuenta de la entidad ING DIRECT, (folios 121 y 122) VIVUS ha facilitado a esta Agencia la grabación de una llamada telefónica efectuada por personal de la empresa al teléfono facilitado por el contratante, en la que confirma los datos personales facilitados, su deseo de contratar el microcrédito y responde a varias preguntas que le formulan sobre su empleador, su lugar de residencia y las localidades en las que había residido con anterioridad. El sistema utilizado es la centralita de llamadas 3CX, por la cual todas las llamadas que emiten o reciben los agentes del call center se graban y guardan automáticamente en el servidor con acceso restringido por lo que, afirma, es imposible su modificación o alteración, (folio 62) SEXTO: El denunciante ejerció el derecho de acceso ante EQUIFAX y EXPERIAN el 26/05/2016 y el 28/05/2016, respectivamente (folios 9 a 11 y 15 a 18) y ante VIVUS el 14/06/2016 (folios 19 a 30). VIVUS facilitó al denunciante con su respuesta la copia del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 Contrato de Préstamo ***PRÉSTAMO.1 suscrito a su nombre y con su NIF. El denunciante ejerció ante EQUIFAX el derecho de cancelación de sus datos del fichero ASNEF el 25/06/2016. La cancelación fue denegada al haber sido confirmada la deuda por la entidad informante. (Folios 276 a 290) SÉPTIMO: El 09/07/2016 el denunciante remitió a VIVUS un email en el que manifestó que nunca había contratado con ella ni con empresas de su grupo; que no tenía ni había tenido nunca domicilio en ***PROVINCIA.1; que no era titular de los números de teléfono que figuran en el contrato celebrado a su nombre ni conoce quién es el titular de esos números; que no es titular ni conoce a quien lo fuera de la dirección electrónica asociada a su nombre que consta en el contrato; que no es titular, ni cliente, ni tiene acceso a cuentas bancarias en la entidad financiera ING. (Folios 123 a 125) El denunciante informó en ese trámite a VIVUS que había interpuesto denuncia ante la Guardia Civil por estafa en el uso de sus datos personales; que por esos hechos existía un procedimiento judicial penal abierto -Diligencias Previas de Procedimiento Abreviado ***AUTOS.1- tramitado por el Juzgado de Instrucción número 8 de Vigo y que había presentado denuncia ante la Agencia Española de Protección de Datos. (Folios 53 a 56) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36, ambos de la LOPD. II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD) se refiere en el artículo 4 al principio de calidad de los datos y en su apartado 3, al principio de exactitud o veracidad, corolario del anterior, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el artículo 29.4 de la LOPD establece que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) en su artículo 38.1 señala: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21
  13. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…)” El artículo 44.3.
  14. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. III La conducta de VIVUS que motiva la apertura del presente expediente sancionador se concreta en la inclusión, por segunda vez, de los datos personales del denunciante en ASNEF con fecha de alta 20/07/2016, cuando la entidad era plenamente consciente de que la deuda comunicada al fichero de solvencia no cumplía el requisito de certeza que exige el artículo 38.1.a del RLOPD. Tal es así, que la primera inclusión de los datos del denunciante en los ficheros ASNEF y BADEXCUG se había dado de baja el 11/07/2016, habida cuenta de que tres días antes VIVUS había recibido diversa información y documentación de la que se evidenciaba que la contratación del microcrédito del que derivaba la deuda informada a los ficheros de morosidad era fruto de una suplantación de identidad. A. A tenor de los documentos que obran en el expediente se verifica que VIVUS suscribió el 16/10/2015 un contrato de microcrédito, por importe de 300 euros, a través de su página web, con quien se identificó con el nombre, apellidos y NIF del denunciante. En el curso de las actuaciones de investigación previa VIVUS remitió a la AEPD, en respuesta al requerimiento informativo recibido el 04/10/2016, diversos documentos que revelan que con ocasión de la contratación del producto financiero obró con la diligencia que las circunstancias del caso exigían y las que el estado de la técnica aconsejan con el fin de asegurarse de que quien facilita como suyos determinados datos personales es quien dice ser. En particular, VIVUS solicitó al contratante, y ha aportado a la AEPD, la copia del DNI del denunciante; una nómina emitida a nombre y con el NIF del denunciante, correspondiente a septiembre de 2015, expedida por la empresa Promogroup Econsa, S.L.. También, una factura de MOVISTAR en la que el cliente y destinatario de la factura se identifica con el nombre, apellidos y NIF del denunciante. Adjunta además, con objeto de acreditar la contratación del microcrédito, la grabación de una conversación telefónica con el contratante en la que éste confirma los datos de identidad que había facilitado vía on line y responde satisfactoriamente a diversas preguntas del empleado de VIVUS que tienen por finalidad contrastar la información que el contratante había proporcionado. El impago del microcrédito en la fecha de vencimiento, el 10/11/2015, determinó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 que los datos personales del denunciante, asociados a la deuda contraída por el tercero que los facilitó como datos propios, fueran comunicados a los ficheros de solvencia patrimonial ASNEF y BADEXCUG con fechas de alta, respectivamente, el 20/02/2016 y el 21/02/2016. VIVUS dio de baja esas incidencias de los respectivos ficheros de solvencia nada más tener noticia, a través de una reclamación presentada por el denunciante en fecha 09/07/2016, en la que negaba haber celebrado contrato alguno con VIVUS, ser titular de las líneas de teléfono que constaban en los registros de la entidad asociadas a su nombre y ser o haber sido cliente de ING BANK; le informaba de la existencia de una denuncia por esos hechos ante la Guardia Civil y de un procedimiento penal abierto así como de la presentación de una denuncia en la AEPD. Sólo tres días después del email que el denunciante dirigió a VIVUS esta entidad canceló las incidencias informadas a ASNEF y BADEXCUG asociadas a sus datos personales: el 11/07/2015. Los hechos declarados probados ponen de manifiesto el grado de diligencia observada por VIVUS en el curso de la contratación del microcrédito a nombre del denunciante con el fin adecuar su comportamiento a la normativa de protección de datos. El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;…” De acuerdo con el artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD).Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Tanto la documentación que VIVUS recabó de la persona que decidió contratar con ella un microcrédito como otras medidas adicionales que la entidad adoptó con ocasión de la contratación evidencian que el protocolo seguido en ese caso particular era correcto y que estaba a la altura de las posibilidades que el desarrollo técnico actual ofrece. Es esa actuación diligente de VIVUS la que ha impedido que la AEPD, respecto a esa conducta, exija responsabilidad administrativa por vulneración de la LOPD. Y ello, porque, por más que la conducta examinada en sí misma sea antijurídica y contraria a los artículos 6.1 y 4.3 LOPD en relación con el 38.1. a. del RLOPD, falta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. No fue el denunciante –sino quien se hizo pasar por él- quien consintió la contratación y por ende el tratamiento de los datos personales y, por ello, la deuda derivada del contrato no es cierta desde la perspectiva del titular de los datos a los que consta asociada, pero faltando el elemento subjetivo de la infracción no nace responsabilidad sancionadora. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Por tanto, tal y como se indica al inicio de este Fundamento Jurídico, pese a que la denuncia formulada por el afectado, D. D.D.D., versó sobre el tratamiento de sus datos personales efectuado por VIVUS, vinculados a la contratación de un microcrédito y sobre la inclusión de sus datos en los ficheros ASNEF y BADEXCUG asociados a una deuda a la que era ajeno, tales conductas, sin perjuicio de que puedan infringir una disposición penal o ser contrarias a normas jurídicas de ámbitos distintos al que nos ocupa -el derecho fundamental a la protección de datos de carácter personal- no son subsumibles en los tipos sancionadores de los artículo 44.3.
  15. b)y 44.3.
  16. c)LOPD, en relación con los artículos 6.1 y 4.3 LOPD, pues aun siendo ambas conductas antijurídicas, falta el elemento subjetivo de la culpabilidad necesario para que nazca responsabilidad administrativa sancionadora. B. Los hechos que constituyen el objeto del presente expediente sancionador están constituidos por la inclusión por segunda vez de los datos personales del denunciante en el fichero ASNEF a instancia de VIVUS con fecha de alta y baja, respectivamente, el 20/07/2016 y el 04/10/2016. Estos hechos son contrarios al artículo 4.3, en relación con el 29.4, de la LOPD y en relación también con el artículo 38.1.a, del RLOPD, que fija entre las condiciones que han de cumplirse para que los datos de un tercero puedan incluirse en un fichero de solvencia que la deuda en cuestión sea cierta, vencida y exigible. Como indicó el Tribunal Supremo en su Sentencia de 15/07/2010 -que declaró la nulidad, por ser disconforme a Derecho, del inciso último del artículo 38.1.
  17. a)del RLOPD- “el adjetivo <cierto> es sinónimo de irrefutable, incontestable, indiscutible, etc, … “ y esta exigencia (la certeza de la deuda a la que alude el artículo 38.1.a, del RLOPD) es una manifestación del principio de calidad de los datos”. Cuando VIVUS procedió a incluir en ASNEF los datos personales del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 denunciante, asociados a la deuda derivada del microcrédito que un tercero contrató el 16/10/2015, era plenamente consciente de que la deuda no reunía el requisito de certeza. A ese respecto debe recordarse que el denunciante remitió a la denunciada en fecha 09/07/2016 explicaciones y documentos que evidenciaban que la contratación del microcrédito era fruto de un fraude. Y sólo tres días más tarde, el 11/07/2016, VIVUS, canceló las anotaciones que obraban en los ficheros de solvencia asociadas a los datos del denunciante. Se añade a lo anterior que el 12/07/2016 -antes por tanto de que decidiera incluir los datos de la denunciante en ASNEF, el 20/07/2016,- la denunciada recibió un requerimiento del Juzgado de Instrucción número 8 de Vigo dictado en las Diligencias Previas de Procedimiento Abreviado ***AUTOS.1, seguidas por un delito de estafa, para que VIVUS le remitiera al Juzgado “los contratos originales suscritos a nombre de D.D.D. que obren en su poder”. Pese a estos antecedentes y a que el artículo 43.1 del RLPOD obliga al acreedor o a quien actúe por su cuenta o interés a asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar datos adversos al responsable del fichero común, el 20/07/2016 comunicó a ASNEF los datos del denunciante vinculados a una deuda de 940 euros a la que era ajeno, de forma que no cumplía el requisito del artículo 38.1.a, del RLOPD. C. La responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente incluso para que nazca esa responsabilidad la mera inobservancia del deber de cuidado. En Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone: que “ el ilícito administrativo previsto en el artículo 44.3.
  18. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la Sentencia anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. VIVUS, al proceder a incluir los datos del denunciante en ASNEF con fecha de alta 20/07/2016, cuando ya era consciente de que la deuda en cuestión no cumplía respecto al denunciante el requisito del artículo 38.1.
  19. a)RLOPD, en relación con el artículo 4.3 y 29.4 LOPD, obró con una grave falta de diligencia y así se hizo constar por la instructora del expediente en la Propuesta de Resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 La entidad denunciada ha rechazado en sus alegaciones a la Propuesta de Resolución la grave falta de diligencia que se le atribuye y afirma que su conducta fue el fruto de un error, “una mera inobservancia de los sólidos procedimientos existentes”. Añade que, además, “en este caso concreto dicho error fue directa (por iniciativa propia de mi representada al comprobar los sistemas automáticos el error humano) y rápidamente subsanado (en un periodo inferior a tres meses) y además, es un error que no provocó efectivo daño alguno”. En relación a estas afirmaciones hemos de indicar, en primer término, que entendemos que la diligencia omitida fue “grave” por cuanto la denunciada había informado a la AEPD en el curso de las actuaciones de investigación previa que cuando dio de baja del fichero de solvencia los datos del denunciante había procedido a bloquearlos, hasta el punto de que remitió como prueba una impresión de pantalla de sus ficheros en los que consta “cliente bloqueado”. Pese al invocado “bloqueo de datos”, a los nueve días de haber cancelado la incidencia en ASNEF y supuestamente haber bloqueado los datos del denunciante en su fichero (el 11/07/2016) volvió a comunicarlos al fichero de solvencia por segunda vez (alta de 20/07/2016) Ahondando en la diligencia omitida por VIVUS se ha de indicar que el único protocolo que la AEPD ha constatado que es correcto, de los que la denunciada tiene implantados, es el de contratación, sin que respecto a las verificaciones que ha de hacer (ex artículo 43 RLOPD) antes de comunicar datos de terceros a un fichero de solvencia esta Agencia haya constatado nada ni tampoco haya acreditado nada al respecto la denunciada. VIVUS insiste en que la baja en ASNEF de la segunda inclusión de los datos del denunciante, que se produjo el 04/10/2016, más de dos meses después, es un ejemplo de la solidez de sus sistemas pues, dice, se constató “por iniciativa propia” el error producido. Sin embargo, no puede obviarse que el mismo día que la denunciada ordenó la cancelación de esa incidencia (el 04/10/2016) recibió el requerimiento informativo de la Inspección de Datos de la AEPD, por lo que sin duda fue esta circunstancia la que le llevó a examinar el expediente del denunciante y fue así como constató que indebidamente había comunicado sus datos por segunda vez al fichero de solvencia. Finalmente, en cuanto a la valoración que la AEPD ha hecho de la diligencia omitida por VIVUS, indicar que, de la misma forma que la conducta que constituye el objeto del expediente sancionador no es el tratamiento de los datos personales del denunciante sin su consentimiento -materializado en el alta de un microcrédito a su nombre fruto de la contratación por un tercero- pues como se dijo ninguna responsabilidad es exigible por tal conducta –por más que sea antijurídica- , ya que se constató que la entidad obró con la diligencia que era procedente, no cabe extrapolar las consideraciones que la AEPD hizo sobre la diligencia desplegada por la entidad en relación a tal conducta a otras conductas distintas, en particular a la que nos ocupa, pues únicamente procede valorar aquí la diligencia, o su omisión, demostrada respecto a la conducta analizada. En definitiva, en el supuesto que nos ocupa está presente el elemento subjetivo de la culpabilidad , concretado en la grave falta de diligencia demostrada por VIVUS, quien, después de tener en su poder abundante información que evidenciaba que el denunciante era ajeno a la deuda derivada del contrato de préstamo suscrito a su nombre, número de contrato ***PRÉSTAMO.1, procedió a incluir sus datos en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 fichero de solvencia por una deuda de 940 euros. La inclusión resultaba contraria al principio de calidad de los datos (ex artículo 4.3 LOPD en relación con el 38.1.a del RLOPD) y se mantuvo en el fichero durante algo más de dos meses, exactamente hasta el 04/10/2016. El mismo día en que VIVUS recibió el requerimiento informativo de la Inspección de Datos de la AEPD dio de baja esta segunda anotación del fichero ASNEF. Esta conducta es subsumible en el tipo infractor del artículo 44.3.
  20. c)LOPD. IV El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  21. a)El carácter continuado de la infracción.
  22. b)El volumen de los tratamientos efectuados.
  23. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  24. d)El volumen de negocio o actividad del infractor.
  25. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  26. f)El grado de intencionalidad.
  27. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  28. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  29. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  30. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  31. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  32. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  33. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 la comisión de la infracción.
  34. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  35. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” A. La denunciada solicitó en sus alegaciones al acuerdo de inicio y reiteró en las alegaciones a la Propuesta que se imponga por los hechos que han dado lugar a la apertura del presente expediente una sanción de carácter leve en su grado mínimo, en particular una sanción de 900 euros y, subsidiariamente, que se llegue, al amparo del artículo 86 de la LPACAP, a un acuerdo “para la imposición de una sanción, por la comisión de infracción leve, de multa por importe de 10.000€ a pagar en un plazo no superior a diez días”. Argumenta VIVUS que a su juicio han de apreciarse en el presente caso las circunstancias previstas en los apartados a),
  36. b)y
  37. d)del artículo 45.5, toda vez que, dice, ha reconocido los hechos, regularizado diligentemente la situación en cuanto conoció la anomalía provocada y concurren hasta cinco criterios del artículo 45.4 LOPD que en su opinión operan como atenuantes de la responsabilidad exigible. Las atenuantes a las que hace mención son las cuatro circunstancias que la AEPD había apreciado como agravantes en el acuerdo de inicio del expediente: apartados a, c, d, y g, del artículo 45.4 LOPD. Ese criterio se reitera en esta Resolución a excepción de la agravante de reincidencia, apartado g). En la Propuesta de Resolución se hizo constar que no se estimaba tal circunstancia y sí, en cambio, la descrita en el apartado e), de modo que la denunciada, como así hizo, tuvo ocasión de mostrar su rechazo a tal consideración en el escrito de alegaciones a la Propuesta. B. La primera cuestión a analizar es la relativa a la finalización convencional del procedimiento sancionador que VIVUS solicita como medida subsidiaria, al amparo del artículo 86 de la LPACAP, de la “Terminación convencional”. Este precepto establece: “1. Las Administraciones Públicas podrán celebrar acuerdos, pactos, convenios o contratos con personas tanto de Derecho público como privado, siempre que no sean contrarios al ordenamiento jurídico ni versen sobre materias no susceptibles de transacción y tengan por objeto satisfacer el interés público que tienen encomendado con el alcance, efectos y régimen jurídico específico que, en su caso, prevea la disposición que lo regule, pudiendo tales actos tener la consideración de finalizadores de los procedimientos administrativos o insertarse los mismos con carácter previo, vinculante o no, a la resolución que les ponga fin. (…)” (El subrayado es de la AEPD) La disposición transcrita se encuadra en el Capítulo V del Título IV de la LPACAP relativo al procedimiento administrativo, capítulo que lleva por rúbrica “Finalización del procedimiento”. De los preceptos que integran este capítulo (artículos 84 a 95) se dedican específicamente al procedimiento sancionador los artículos 85, 89 y 90 Es esencial advertir que el precepto que la denunciada invoca, artículo 86 LPACAP, excluye de las materias sobre las que las Administraciones Públicas pueden C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 celebrar acuerdos aquellas que no fueran susceptibles de transacción o compromiso. Paralelamente, el expediente administrativo en el que la denunciada propone llegar a un acuerdo con esta Agencia es un procedimiento de naturaleza sancionadora, a través del cual la Administración Pública, en este caso la Agencia Española de Protección de Datos (ex artículo 37.1.g LOPD) ejerce la potestad sancionadora que es una manifestación del ius puniendi del Estado. Las normas que regulan el ejercicio de la potestad sancionadora tienen carácter imperativo, de modo cualquier acuerdo al que se llegara entre esta Agencia y la persona jurídica denunciada sería nulo de pleno derecho conforme al artículo 6.3 del Código Civil español (a sensu contrario) En sus alegaciones a la Propuesta de Resolución VIVUS disiente de esa consideración y afirma que la “Terminación Convencional” que propone es legítima y menciona como ejemplo las Sentencias de conformidad que existen en el ámbito del procedimiento penal. Sin embargo no cabe ningún paralelismo pues la posibilidad de las denominadas Sentencias de Conformidad están expresamente previstas en la Ley de Enjuiciamiento Criminal sin que exista una norma equivalente para el procedimiento administrativo sancionador. Por lo que respecta al artículo 86 de la Ley 39/2015, como se dijo en la Propuesta de Resolución, esta disposición no es aplicable al procedimiento sancionador. Y por lo que atañe al Reglamento General de Protección de Datos al que alude VIVUS, sin perjuicio de recordar que por disposición expresa de esa norma no será aplicable hasta el 25/05/2018, nos limitamos a advertir que el presupuesto fáctico contemplado en el Considerando 131 que se invoca no coincide con el supuesto de hecho que nos ocupa, en el que ha quedado constatada una vulneración de la normativa de protección de datos. C. Corresponde seguidamente examinar la procedencia de apreciar alguna de las atenuantes cualificadas del artículo 45.5 LOPD, cuyo efecto jurídico es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que preceden inmediatamente en gravedad a la cometida por la denunciada. VIVUS ha invocado la presencia de tres de estas circunstancias (los apartados a, b, y
  38. d)siendo suficiente una de ellas para que se produzca el efecto jurídico descrito, sin que pueda aplicarse dos veces con el mismo efecto según reiterada doctrina de la Sala de lo contencioso de la Audiencia Nacional. Esta Agencia discrepa del criterio de la denunciada y, como se expondrá a continuación, considera que no concurre ninguna de las circunstancias del apartado 5 del artículo 45 LOPD. Así, respecto a la descrita en el apartado
  39. b)del artículo 45.5 LOPD -“ Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”- hemos de decir que puede predicarse la reacción diligente de la denunciada en relación al tratamiento de los datos del denunciante concretado en las primeras inclusiones en los ficheros ASNEF y BADEXCUG, pues es cierto que habiendo recibido el 09/07/2016 un email del denunciante en el que negaba haber contratado con ella, que fueran suyos los datos relativos al domicilio, a la cuenta bancaria y a los números de teléfono asociados a su nombre, apellidos y NIF y habiéndole informado de que presentó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 denuncia en la Guardia Civil, de que existía un Procedimiento Penal en curso y de la denuncia presentada por los mismos hechos ante la AEPD, remitiéndole copia del escrito de presentación de la denuncia ante esta Agencia, VIVUS, en un breve plazo, exactamente el 11/07/2016, esto es, cuatro días después, canceló las incidencias informadas a los ficheros de solvencia patrimonial. Aunque respecto a aquella conducta sí se aprecia una reacción diligente de VIVUS, no son esos hechos los que constituyen el presupuesto fáctico de la infracción que aquí analizamos. Centrándonos en la vulneración de la LOPD que se atribuye a VIVUS en este expediente sancionador no puede calificarse de diligente la actuación de la entidad denunciada cuando, pese a haber informado a la AEPD de que tras la baja de las incidencias en los ficheros el 11/07/2016 “había bloqueado” los datos del denunciante, tan sólo 9 días más tarde habían sido de nuevo incluidos en el fichero ASNEF. Esta circunstancia, unida a que la conducta infractora consistió en una segunda inclusión en el fichero de solvencia patrimonial y de que la cancelación de esta segunda anotación se produjo a raíz de que la Inspección de la AEPD le hiciera un requerimiento informativo sobre su actuación, en el marco del proceso de investigación efectuado, no dejan margen para valorar la actuación de VIVUS como una “diligente” reacción. Por lo que atañe al segundo motivo del artículo 45.5 LOPD que se invoca, apartado d), “Cuando el infractor haya reconocido espontáneamente su culpabilidad”, la apreciación de esta circunstancia exige, por una parte, que el reconocimiento sea espontáneo, lo que según el criterio doctrinal fijado por la Audiencia Nacional presupone que el reconocimiento se produce “motu proprio” por la entidad denunciada con la primera información que tiene de los hechos y, lo segundo y fundamental, que se haya producido por la infractora un reconocimiento de “culpabilidad”. No basta por ello con reconocer los “hechos”, sino que es preceptivo el reconocimiento de la culpabilidad, esto es, que esté presente en su conducta el elemento subjetivo de la infracción habida cuenta de que no actuó con la diligencia que era procedente atendidas las circunstancias del caso. En ningún párrafo o apartado de las alegaciones de la denunciada hay indicios de un reconocimiento de culpabilidad. Todo lo más existió un reconocimiento de los hechos pero no de que hubiera intervenido por su parte culpa o negligencia. El último de los motivos que podría justificar la aplicación del artículo 45.5. LOPD es el recogido en el apartado
  40. a)“Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. Un pronunciamiento acerca de la concurrencia o no de esta circunstancia nos remite al análisis de aquellas circunstancias recogidas en el artículo 45.4 LOPD que la denunciada califica de atenuantes. D. Tal y como se ha señalado anteriormente, en el acuerdo de inicio del expediente sancionador la AEPD estimó la aplicación como agravantes de las circunstancias descritas en los apartados a, c, d, y g, del artículo 45.4 LOPD y del apartado
  41. i)como atenuante y en la Propuesta de Resolución se prescinde de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 circunstancia del apartado
  42. g)y se aprecia la del apartado e). Sin embargo, discrepando radicalmente del criterio de la AEPD, VIVUS entiende que donde la AEPD aprecia agravantes lo que existen, y han de ser calificadas como tal, son circunstancias atenuantes. Sin perjuicio de hacer una breve mención a los comentarios discrepantes de la entidad denunciada, esta Agencia estima que concurren en el presente caso las siguientes agravantes descritas en el artículo 45.4 LOPD: El apartado
  43. a)“el carácter continuado de la infracción”. La Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD carácter continuado pues sus efectos jurídicos no se agotan en el momento de la comisión de la infracción sino que ésta se mantiene en el tiempo durante el periodo en el que persiste la inclusión en el fichero sin cumplir los requisitos a los que el artículo 38.1 del RLOPD supedita la legalidad de tal inclusión, en este caso particular durante algo más de dos meses. La denunciada argumenta que este periodo de tiempo es excesivamente breve si se compara con los 6 años que la LOPD permite que permanezcan incluidos en ficheros de solvencia los datos de terceros, y concluye que no caber aplicar la agravante apreciada por la AEPD. Sin embargo, sobre esta cuestión la doctrina de la Sala de lo contencioso administrativo de la Audiencia Nacional es abundantísima y viene admitiendo esta agravante en supuestos como el que nos ocupa. De ser no meses sino años el tiempo en el que el afectado hubiera permanecido indebidamente en un fichero de solvencia la agravante se ponderaría para imponer una sanción mayor que la fijada en el acuerdo de inicio de este sancionador, cuya cuantía está próxima al mínimo fijado por la Ley para las infracciones graves. La descrita en el apartado c). Respecto a la vinculación de la actividad que VIVUS desarrolla con el tratamiento de datos de carácter personal y pese a que la denunciada aduce que la AEPD no ha probado este extremo y que su actividad no difiere desde ese punto de vista con otras del tráfico mercantil, lo cierto es que su sector de actividad requiere recabar del cliente y tratar numerosos datos y de distinta naturaleza. Así, se tratan datos de identificación como el NIF, nombre y apellidos, se trata el domicilio y los teléfonos de contacto y los datos financieros como el número de cuenta bancaria. En la mayoría de las actividades comerciales que a diario se presentan no se recaban datos y si se recogen, no son todos los indicados antes sino alguno o algunos de ellos. Así pues, la AEPD reitera la presencia de esta circunstancia como agravante de la conducta analizada. El apartado
  44. d), volumen de negocio o actividad del infractor. La denunciada ha rechazado la existencia de esta agravante y argumenta que la AEPD ha valorado incorrectamente los datos, pues alude a que en el ejercicio 2015 el volumen de ventas superó los 15 millones de euros cuando lo cierto es que “presenta fondos propios negativos derivados de la acumulación de pérdidas de ejercicios anteriores. Así, en 2014 tuvo pérdidas por valor de 5 millones de euros y en 2015 los beneficios obtenidos fueron destinados a compensar pérdidas de ejercicios anteriores”. Según el tenor literal del apartado
  45. d)del artículo 45.4 LOPD el precepto toma en consideración el “volumen de negocio o actividad”, y no el volumen de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 ganancias o beneficios, por cuanto pone el acento en el número de tratamientos de datos efectuados que es lo que revela la cifra de negocio. De tal manera que es irrelevante que las ganancias que la denunciada hubiera obtenido un año (concepto el de ganancia, hemos de insistir, que no forma parte de la definición de esta circunstancia) las destine a cubrir las pérdidas de otros ejercicios. Lo cierto es que el volumen de negocio del año 2015 fue elevado, ya que superó los 30 millones de euros. La circunstancia del apartado e), que alude a los beneficios obtenidos como consecuencia de la comisión de la infracción. VIVUS niega también que estemos ante una agravante de su conducta y argumenta que esta disposición opera como atenuante pues, no solo no ha obtenido beneficios de la actuación analizada, sino que ha debido hacerse cargo de perjuicios económicos derivados de estos hechos. Lo cierto es, sin embargo, que como ha advertido la Audiencia Nacional en sus resoluciones, lo determinante en estos casos es que la conducta infractora se realizó con el fin de obtener un beneficio económico –en particular, en el caso que nos ocupa cobrar el importe de la deuda para lo que procedió a incluir los datos del afectado en el fichero de solvencia- por más que fuera lícito, y siendo éste el móvil de su actuación no cabe apreciar esa circunstancia como atenuante. Se añade además que los perjuicios económicos sufridos por VIVUS derivan de una conducta que no ha sido sancionada, la contratación realizada por el tercero suplantando la identidad del titular de los datos. A la luz de los hechos declarados probados y de la exposición precedente, valoradas las circunstancias concurrentes, tanto adversas como favorable a la denunciada, esta Agencia concluye que VIVUS es responsable de la vulneración del artículo 4.3, en relación con el artículo 29.4, de la LOPD y en relación con el artículo 38.1.
  46. a)del RLOPD, conducta tipificada como infracción grave en el artículo 44.3.
  47. c)LOPD, debiendo acordar la imposición de una sanción de 50.000 euros, cuantía próxima al mínimo fijado por el artículo 45.2 LOPD para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad 4FINANCE SPAIN FINANCIAL SERVICES, S.A., con NIF A86521309, por una infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y en relación con el artículo 38.1.a, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, tipificada como infracción grave en el artículo 44.3.
  48. c)de la LOPD, una multa de 50.000 euros (cincuenta mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a 4FINANCE SPAIN FINANCIAL SERVICES, S.A. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.