← España

PS-00266-2017

1/16 Procedimiento Nº PS/00266/2017 RESOLUCIÓN: R/03349/2017 En el procedimiento sancionador PS/00266/2017, instruido por la Agencia Española de Protección de Datos a la entidad ALTAIA CAPITAL, S.A.R.L., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/06/2016 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante), en el que expone que ALTAIA CAPITAL, S.A.R.L. (en lo sucesivo, ALTAIA o la denunciada), entidad de la que nunca ha sido cliente, ha incluido sus datos personales en el fichero ASNEF sin requerirle previamente el pago de tal deuda. Manifiesta que ha conocido estos hechos a través de su entidad bancaria y que ejerció ante Asnef Equifax, S.L., los derechos de acceso y de cancelación de sus datos personales incluidos en el fichero de solvencia ASNEF. Aporta copia de los documentos siguientes: Escrito de EQUIFAX con la información que el 24/05/2016 existe en el fichero ASNEF, asociada a su NIF: Como “Ent. Informante” aparece Altaia Capital, S.A.R.L.; como “Producto”, “Telecomunicaciones”; como “Saldo Act. Impagado”, 260,62 euros. Seguidamente indica: “Fecha Alta primer acreedor”, 20/07/2012”; “Fecha Alta Último Acreedor”, 05/03/2016” y como “Fecha de Visualiz.”, “15/05/2016”. A continuación recoge la siguiente leyenda: <<“Fecha Alta último acreedor”. Este campo sólo va informado en el caso de que su deuda haya sido vendida a otra entidad distinta del acreedor original. “Fecha Visualiz.: fecha a partir de la cual sus datos son visibles al resto de entidades>> Escrito de EQUIFAX, de fecha 30/05/2016, dirigido al denunciante en el que responde a su solicitud de cancelación y le informa de que ALTAIA ha confirmado la existencia de la deuda y por tanto la permanencia de sus datos en el fichero. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a ALTAIA teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de Actuaciones de Inspección que se transcribe: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En relación a los datos del reclamante En fecha 29/02/2016 Altaia Capial suscribió un contrato de cesión de cartera de créditos con Orange Espagne. En función de dicho contrato Orange comunicó los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 siguientes datos de contacto del reclamante ***DIRECCIÓN.1 En relación al requerimiento de pago Los representantes de Altaia Capital aportan copia de la notificación de cesión de cartera de créditos de fecha 18/04/2016. Esta documento está personalizado y codificado y remitido a la dirección ***DIRECCIÓN.1 En esta notificación se le comunica que mantiene una deuda con la entidad y que está ya incluido en Asnef aunque no será visible en 15 días, si no regulariza el pago en ese tiempo serán visibles en el citado fichero. En relación a la generación del requerimiento de pago Aportan certificado emitido por tercera entidad SERVIFORM S.A. que especifica que en fecha 25/04/2016 se imprimió y puso a disposición de correos la comunicación dirigida al reclamante a la dirección ***DIRECCIÓN.1 En relación al envío Aportan nota de entrega de envíos a Unipost S.A. de fecha 25/04/2016 sellado. Aportan certificado emitido por Equifax Ibérica en el que se indica que no consta que se haya devuelto la notificación de requerimiento de pago remitida al reclamante a la dirección ***DIRECCIÓN.1 >> TERCERO: Con fecha 16/06/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ALTAIA por una presunta infracción de del artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en relación asimismo con el artículo 38.1.

  1. c)del Reglamento de desarrollo de la LOPD, infracción tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ALTAIA, mediante escrito de 12/07/2017 formuló alegaciones en las que solicitó el archivo de las actuaciones significando lo siguiente: - No se le ha dado traslado de la documentación aportada por el denunciante anexa a su denuncia, menoscabando con ello la posibilidad de hacer alegaciones pertinentes en el ejercicio de su legítimo derecho de defensa amparado en el artículo 24 de la Constitución. Insiste en que la situación es especialmente gravosa por cuanto el acuerdo de inicio del expediente sancionador toma en consideración para determinar la conducta infractora el documento aportado por el denunciante. - La AEPD ha hecho una “constatación meramente parcial” del contenido del documento aportado por el denunciante, en consideración al cual califica la conducta de ALTAIA como contraria a la normativa de protección de datos. - Que la AEPD es conocedora de los campos que debe contener la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 que ASNEF facilita, “pues fue quien en el año 2015 obligó a dicha entidad a modificar los requisitos que debía cumplir, constando desde entonces en cada facilitación de información que realiza ASNEF, tres fechas distintas; a saber: Fecha de alta del primer acreedor (…) Fecha de alta del último acreedor (…) Fecha de visualización”. - Indica que la “Fecha de alta del primer acreedor” es la fecha en la que ORANGE y no ALTAIA incluye los datos del denunciante en ASNEF. La “Fecha de alta del último acreedor” “es aquélla en que, una vez formalizada la cesión de créditos entre ORANGE y ALTAIA, contrato que se celebró 29/02/2016, ALTAIA quedó subrogada en la posición de ORANGE pero sin que aún fuera visible para ninguna entidad tal información ya que aún no se había efectuado la comunicación de la cesión de la deuda y el requerimiento de pago previo a la inclusión del deudor en el fichero”. Y respecto a la “Fecha de visualización”, dice que conforme al contrato de prestación de servicios suscrito entre ALTAIA y ASNEF (cuya copia se remitió a la AEPD en fase de investigación previa) los créditos objeto de cesión que previamente hubieran estado incluidos en ASNEF a instancia de ORANGE “debían permanecer ocultos hasta 15 días después de haber sido enviadas las notificaciones”. - Que ignora los hechos de los que la AEPD deriva la comisión de una infracción por parte de ALTAIA, quien ha actuado en todo caso diligentemente y cumpliendo la normativa aplicable. - Habida cuenta de que el Acuerdo de inicio del expediente menciona entre los preceptos infringidos el artículo 38.1.
  3. c)del RLOPD, ALTAIA hace en su escrito de alegaciones una relación detallada de los diferentes pasos que siguió para dar cumplimiento a la obligación de requerimiento previo de pago. En particular, la denunciada menciona lo siguiente: - 1. Que 29/02/2016 suscribe el contrato de compra de deuda con ORANGE. - 2. Que el 25/04/2016 hizo el correspondiente envío de la carta dirigida al denunciante -en la que le comunica la cesión de la deuda y le requiere el pago- a la dirección postal facilitada por ORANGE (de ***DIRECCIÓN.1 ). - 3. Que la empresa SERVINFORM, S.A., certifica el correcto envío de la carta dirigida al denunciante que estaba identificada con el código ***CODIGO.1. Que la carta se generó e imprimió el 25/04/2016 y en la misma fecha se entregó al distribuidor postal. - 4.Que los albaranes de la empresa UNIPOST y de la Sociedad Estatal Correos y Telégrafos acreditan tales extremos. Además, aporta un certificado de EQUIFAX IBÉRICA, S.L., -5. Que certifica que la carta con la referencia indicada no fue devuelta, por lo tanto fue recibida correctamente. - ALTAIA Aporta como documento nº1 un escrito de fecha 29/02/2016, dirigido a “ASNEF-EQUIFAX”, con los anagramas de ORANGE y ALTAIA, que se encuentra firmado por los representantes de las tres entidades. En él se invoca el contrato marco de prestación de servicios de solvencia patrimonial y crédito firmado entre ASNEF-EQUIFAX, Servicios de Información sobre solvencia y crédito, S.L., y ORANGE y se solicita que “en relación con el fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 comunicación de deudas de clientes de ORANGE bajo sus marcas Orange y Jazztel, enviado en fecha 29/02/2016, no den de baja la información que en relación a los deudores incluidos en dicho archivo está incluida en el fichero ASNEF, sino que, procedan en el plazo de SETENTA Y DOS HORAS a contar desde la recepción del mismo a: I II realizar un cambio en el nombre del acreedor de tal forma que aparezca como acreedor ALTAIA CAPITAL, S.A.R.L, en lugar de ORANGE ESPAGNE, S.A. Unipersonal, en virtud del contrato de compraventa de créditos referenciado. tramitar la ocultación de dichos datos de manera tal, que dejarán de estar accesibles para el resto de entidades que participan del fichero”. QUINTO: Con fecha 17/10/2017, de conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se inició un período de prueba en el que se acordó practicar las siguientes diligencias probatorias: La incorporación al expediente, a efectos de prueba, de la denuncia presentada por D.A.A.A. y la documentación anexa; la documentación recabada por la Inspección de Datos en el curso de las actuaciones de investigación previa y el informe de actuaciones previas; documentos todos ellos que integran el E/4154/2016. Incorporar al expediente las alegaciones al acuerdo de inicio formuladas por la entidad denunciada y los documentos adjuntos. En escrito de fecha 17/10/2017 se solicitó a EQUIFAX IBÉRICA, S.L., que aportara la información que figuraba en los ficheros ASNEF, FOTOCLÍ e Histórico de Notificaciones de inclusión, vinculada al NIF del denunciante, en relación con deudas informadas por ALTAIA así como la copia de los expedientes que se hubieran tramitado a raíz de las solicitudes de acceso, rectificación, o cancelación de datos promovidas por el denunciante. EQUIFAX evacuó el trámite de prueba en escrito de fecha 23/10/2017 con el que remitió, entre otra, la siguiente documentación: a Expediente 2016/8349, en el que se tramitó el acceso ejercido por el denunciante el 13/05/2016. La carta de respuesta de EQUIFAX, de 16/05/2016, le facilitaba la siguiente información que constaba asociada a su NIF en fecha 14/05/2016: --En el apartado “Operaciones en el fichero ASNEF” figura: “Ent. Informante”, “Altaia Capital SARL”; “Producto”, “Telecomunicaciones”; “Naturaleza”, “Titular”; “Saldo Act. Impagado”, “260,62”; “Fecha Alta primer acreedor” ,“20/07/2012”; “Fecha Alta último acreedor” ,“05/03/2016”; “Fecha de Visualiz.” ,“18/05/2016”. --Incluido también en el apartado “Operaciones en el fichero ASNEF” se recogen estas leyendas: <<Fecha Alta último acreedor” Este campo sólo va informado en el caso C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 de que su deuda haya sido vendida a otra entidad distinta del acreedor original>> <<Fecha Visualiz.: Fecha a partir de la cual sus datos son visibles al resto de entidades>> --En el apartado <<Histórico de consultas>> se informa de las entidades que han accedido a los datos en el periodo de los seis meses anteriores. La información que EQUIFAX facilita es la “fecha” en la que la tercera entidad accede al fichero; el nombre de la “entidad” y su “dirección”. * El documento informa de seis consultas realizadas. * Destacamos estas tres consultas realizadas: - el 12/04/2016 a las 13:13:01.4 por BBVA - el 21/04/2016 a las 14:32.10.0, por BBVA - el 12/05/2016, a las 14:42:43.4, por BBVA b Expediente ***EXPEDIENTE.1 en el que EQUIFAX tramita la cancelación solicitada por el denunciante el 23/05/2016. --La cancelación fue denegada por ALTAIA. Se adjunta impresión de pantalla con los comentarios de la denunciada a la petición de cancelación: “Derecho de cancelación denegado. No adjunta ningún documento acreditativo de cómo no procede la reclamación. Datos confirmados. Seguir gestión” --Se remite al denunciante un documento informativo de fecha 24/05/2016 con los datos que obran en el fichero ASNEF asociados a su NIF. Este documento, es idéntico al que envió al denunciante el 14/05/2016. SEXTO: Con fecha 24/11/2017 se formuló Propuesta de Resolución en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a ALTAIA CAPITAL, S.A.R.L. con multa de 50.000 euros (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y en relación asimismo con el artículo 38.1.
  4. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  5. c)de dicha norma.>> SÉPTIMO: La Propuesta de Resolución se notificó a ALTAIA por dos vías: - Mediante correo postal dirigido al apartado de Correos que facilitó a la AEPD, envío de fecha 10/11/2017, recibido en el apartado de Correos el 13/11/2017 y recogido por la persona designada por la denunciada en fecha 23/11/2017. Habida cuenta de que el plazo otorgado para formular alegaciones a la Propuesta es de diez días hábiles, y que ALTAIA recogió la Propuesta el 23/11/2017, el citado plazo finalizó el día 11/12/2017. En fecha 12/12/2017 no se tiene noticia en la Agencia de la entrada en el organismo de las alegaciones de ALTAIA a la Propuesta de Resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 - Por medios telemáticos, como exige preceptivamente el artículo 14.2 de la LPACAP. En fecha 24/11/2017 se puso a disposición de la denunciada en la Dirección Electrónica Habilitada y fue rechazada automáticamente el 04/12/2017. Indicar sobre este particular que conforme al artículo 43.2 de la LPACAP la notificación por medios electrónicos se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido. Como dispone el artículo 41.5 de la LPACAP, transcurrido el plazo concedido para hacer alegaciones a la Propuesta de Resolución, plazo que es de diez días (ex artículo 73 de la LPACAP) se dará por efectuado el trámite siguiéndose el procedimiento. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: D. A.A.A., con DNI ***DNI.1 y domicilio en ***DIRECCIÓN.2, denuncia que ALTAIA ha incluido sus datos en el fichero ASNEF sin requerirle previamente el pago de la deuda que le atribuye. SEGUNDO: ALTAIA ha aportado los siguientes documentos a fin de acreditar que requirió el pago de la deuda al denunciante con carácter previo a la inclusión de sus datos en ASNEF. - Carta personalizada, a nombre del denunciante y dirigida a la dirección ***DIRECCIÓN.1, que tiene fecha de 18/04/2016. Informa del contrato de cesión de deuda entre la operadora y ALTAIA, del 29/02/2016. Informa del importe al que asciende la deuda (260,62 euros) e indica que en la actualidad su crédito está incluido en el fichero ASNEF. Le comunican que “durante el plazo de 15 días, desde la fecha de esta carta, sus datos no serán visibles en el citado fichero. Si transcurrido dicho plazo no regulariza su situación, sus datos serán visibles en el citado fichero constando como acreedor Altaia Capital” (Folios 111 y 112) - Certificado de SERVINFORM en el que consta que el 21/04/2016 recibe el fichero de EQUIFAX “***FICHERO.1”, que contiene un total de 98.097 registros; que la primera comunicación a procesar es la de referencia ***REF.3 y la última ***REF.2 . Que en dicho proceso se generó la comunicación de referencia ***REF.4, dirigida a A.A.A. con domicilio en ***DIRECCIÓN.1. Que la citada comunicación se generó, imprimió, ensobró y se depositó en el servicio de envíos postales para su posterior distribución en los albaranes número ***ALB.1 con un total de 49.048 comunicaciones y ***ALB.2 con un total de 49.049 comunicaciones. (Folio 113) - Documento de la entrega en el gestor postal UNIPOST el 25/04/2016, con el número ***ALB.1, de 49.048 cartas. Se indica que el cliente es EQUIFAX para la entidad ALTAIA. El documento lleva impreso el sello de UNIPOST y la fecha de 25/04/2016. Albarán de entrega en Correos validado mecánicamente con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 fecha 25/04/2016 a las 15.13 horas por la oficina 2801296. En el albarán, del cliente EQUIFAX y con la referencia ***REF.6, se hace constar el depósito en esa fecha de 49.049 cartas ordinarias. (Folios 114 y 115) - Certificado de EQUIFAX, emitido el 20/09/2016, en calidad de prestador del servicio de Gestión de Cartas devueltas de Notificación de Requerimiento Previo de Pago de ALTAIA en el que indica que “…a fecha de la presente no consta que la carta de Notificación de Requerimiento Previo de Pago con ref. ***CODIGO.1 … haya sido devuelta por motivo alguno al apartado de Correos designado al efecto” (Folio 116) TERCERO: EQUIFAX, en respuesta al ejercicio de los derechos de acceso (17/05/2016) y de cancelación (24/05/2016) facilitó al denunciante un documento con los datos que figuraban en el fichero asociados a su NIF informados por ALTAIA: El documento, en el apartado “Operaciones en el fichero ASNEF” dice: - “Ent. Informante”, “Altaia Capital SARL”; - “Producto”, “Telecomunicaciones”; - “Naturaleza”, “Titular”; - “Saldo Act. Impagado”, “260,62”; - “Fecha Alta primer acreedor”, “20/07/2012”; - “Fecha Alta último acreedor”, “05/03/2016”; - “Fecha de Visualiz.” ,“18/05/2016”. Incluye estas leyendas: <<Fecha Alta último acreedor” Este campo sólo va informado en el caso de que su deuda haya sido vendida a otra entidad distinta del acreedor original>> <<Fecha Visualiz.: Fecha a partir de la cual sus datos son visibles al resto de entidades>> El documento, en el apartado denominado << Histórico de consultas>>, que informa de las entidades que han accedido a los datos, hace referencia a seis consultas de las que reproducimos tres de ellas. Los datos que se facilitan son fecha, entidad y dirección de la entidad: - En fecha 12/04/2016 a las 13:13:01.4 hay registrada un consulta de BBVA - En fecha 21/04/2016 a las 14:32.10.0, se registra una consulta de BBVA - En fecha 12/05/2016, a las 14:42:43.4, está registrada una consulta de BBV (Folios 181 y 188) CUARTO: En el fichero auxiliar de ASNEF, histórico de operaciones canceladas, consta, asociado al NIF del denunciante y respecto a operaciones informadas por ALTAIA, lo siguiente: - Una operación “Telecomunicaciones (ALTAIA CAPITAL SARL)” de la que se indica, “Fecha de Alta- Visualización- Baja: 20/07/2012-18/05/2016-26/09/2016” (Folio 170) QUINTO: El denunciante ejerció ante EQUIFAX el derecho de cancelación de sus datos informados por ALTAIA el 20/05/2016, tramitándose el expediente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 ***EXPEDIENTE.1. ALTAIA denegó la cancelación el 24/05/2016 manifestando “Derecho de cancelación denegado. No adjunta ningún documento acreditativo de cómo no procede la reclamación. Datos confirmados. Seguir gestión” (Folio 196) SEXTO: ALTAIA recibió el requerimiento informativo de la Inspección de Datos de la AEPD el 15/09/2016 y el 26/09/2016 procedió a dar de baja la incidencia asociada al denunciante “como medida cautelar y actuando …con la mayor diligencia posible”, (Folio 23) SÉPTIMO: ALTAIA ha aportado un documento de fecha 29/02/2016, con los anagramas de ORANGE y ALTAIA y firmado por los representantes de esas entidades y de ASNEF EQUIFAX, en el que, tras invocar el contrato marco de prestación de servicios de solvencia patrimonial y crédito, solicita que “en relación con el fichero de comunicación de deudas de clientes de ORANGE bajo sus marcas Orange y Jazztel enviado en fecha 29/02/2016, no den de baja la información que en relación a los deudores incluidos en dicho archivo está incluida en el fichero ASNEF, sino que, procedan en el plazo de SETENTA Y DOS HORAS a contar desde la recepción del mismo a: (I) realizar un cambio en el nombre del acreedor de tal forma que aparezca como acreedor ALTAIA CAPITAL, S.A.R.L, en lugar de ORANGE ESPAGNE, S.A. Unipersonal, en virtud del contrato de compraventa de créditos referenciado. (II) tramitar la ocultación de dichos datos de manera tal, que dejarán de estar accesibles para el resto de entidades que participan del fichero”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29.4 del citado texto legal dispone: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 El Reglamento de Desarrollo de la Ley Orgánica 15/1999, aprobado mediante el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en su artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a )(….)
  7. b)(…) .
  8. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. A su vez, el artículo 39 del RLOPD, “Información previa a la inclusión”, establece que “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  9. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Por otra parte, indicar que el artículo 43.1 del RLOPD establece que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. (El subrayado es de la AEPD) III En el presente procedimiento sancionador se atribuye ALTAIA la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con el artículo 38.1.c, del RLOPD, tipificada como infracción grave en el artículo 44.3.
  10. c)de la Ley Orgánica 15/1999, precepto que dispone: “Son infracciones graves, (..)
  11. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A. La documentación que obra en el expediente pone de manifiesto que ALTAIA incluyó los datos personales del denunciante en el fichero de solvencia ASNEF varias semanas antes de requerirle el pago de la deuda informada, conducta que vulnera los artículos 38.1.
  12. c)y 39 del RLOPD en relación con los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 artículos 4.3 y 29.4 de la LOPD. A tenor de los documentos e información recabada en el expediente se constata que ALTAIA adquirió de ORANGE ESPAGNE, S.A.U., (en adelante ORANGE), en fecha 29/02/2016, una cartera de créditos entre los que se encontraba el que la operadora ostentaba frente al denunciante. ALTAIA afirma que ORANGE le facilito una base de datos relativa a los contratos de los que procedían las deudas adquiridas en la que se figuraban los datos personales de los deudores cedidos. Accedió así a los datos del denunciante y a la información asociada a los servicios que él contrató en su día con la operadora. Según la información procedente de ORANGE el denunciante suscribió en fecha 14/07/2011 un contrato de prestación de servicios para la línea número ***TLF.1 con un compromiso de permanencia de 18 meses y entrega de un terminal. El servicio figura de baja entre el 01/05/2012 y el 31/05/2012. La dirección postal vinculada al cliente de ORANGE que figura en la base de datos cedida a ALTAIA es ***DIRECCIÓN.1 ALTAIA ha facilitado a la AEPD la documentación que acredita haber enviado al denunciante una carta en la que, además de informarle de la compra a ORANGE de la deuda que tenía pendiente con esta entidad, le requiere su pago. En la carta se advierte al denunciante de que en la actualidad se encuentra incluido en ASNEF pero que en el plazo de 15 días siguientes a la fecha de la carta sus datos no serán visibles en el fichero. Se le informa de que si transcurrido el plazo indicado no regulariza su situación sus datos serán visibles en ASNEF constando entonces como entidad acreedora ALTAIA. Así las cosas, el requerimiento de pago que ALTAIA manifiesta haber realizado está acreditado documentalmente y se adecúa al protocolo que esta Agencia viene exigiendo a esos efectos. Los documentos facilitados a la AEPD permiten seguir la trazabilidad de la carta, identificada con la referencia ***REF.7, comprobar que fue depositada en el gestor postal el 25/04/2016 (ver hecho probado segundo) y que no consta como devuelta. Dicho lo anterior, hemos de recordar que el artículo 38.1 del RLOPD, que concreta las condiciones bajo las cuales, al amparo del artículo 29.4 LOPD, es admisible que puedan comunicarse los datos de un tercero a un fichero de solvencia patrimonial sin contar con su consentimiento inequívoco -lo que constituye la norma general conforme a las disposiciones de los artículos 6.1 y 11.1 LOPD- exige en el apartado
  13. c)que se requiera de pago al deudor, en todo caso, “antes” de que se lleve a cabo la inclusión en un fichero de esa naturaleza. Las disposiciones del RLOPD que regulan los ficheros de solvencia insisten en que los requisitos que debe cumplir la comunicación a tales ficheros de datos personales de terceros para que sea ajustada a Derecho han de haberse cumplido y poder acreditarlo en la fecha en la que se produce la comunicación o inclusión de los datos del afectado en los ficheros de esa naturaleza, sin que la LOPD ni el RLOPD contemplen otro tipo de situaciones intermedias en las que los datos estén “incluidos” pero “no visualizados” Centrándonos en el supuesto analizado, la documentación que obra en el expediente acredita que ALTAIA comunicó los datos del denunciante al fichero ASNEF el 05/03/2016, pues es esa la fecha que consta en ASNEF como “Fecha Alta último C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 acreedor” (Hecho probado tercero). Se deber destacar que es EQUIFAX, y no esta Agencia, quien califica el 05/03/2016 como la fecha en la que se dan de alta en el fichero ASNEF los datos del afectado por el nuevo/último acreedor; en este caso la entidad denunciada. Paralelamente, ha quedado acreditado por la documentación que obra en el expediente administrativo que la carta de requerimiento de pago que ALTAIA dirigió al denunciante –requisito imprescindible para que la comunicación de los datos de un tercero se efectúe conforme a Derecho- se depositó en la gestora de envíos postales el 25/04/2016, es decir, más de un mes y medio después de la fecha de la inclusión en ASNEF. A mayor abundamiento, la documentación que EQUIFAX ha remitido a esta Agencia en relación con los hechos analizados evidencia que, desde la fecha en la que según los registros de ASNEF los datos del denunciante habían sido dados de “alta” a instancia de ALTAIA, el 05/03/2016, hasta la fecha en la que la carta de requerimiento dirigida al afectado se puso en Correos, el 25/04/2016, se hicieron dos consultas al fichero ASNEF por una de sus entidades asociadas: en particular los días 12/04/2016 y 21/04/2016. En esas fechas la deuda ya no pertenecía a ORANGE -recordemos que la venta data del 29/02/2016-, de forma que la única entidad que podía aparecer como informante de la deuda era ALTAIA, y en las fechas en las que se hicieron esas consultas la carta de requerimiento de pago, previa a la inclusión de los datos del denunciante en ASNEF, aún no se había depositado en Correos. B. Llegados a este punto hemos de referirnos a los argumentos que la denunciada esgrime en defensa de su pretensión de archivo del presente expediente sancionador. 1. En primer término nos referiremos a la indefensión que según dice le ha provocado la circunstancia de que esta Agencia no le haya remitido una copia del documento aportado por el denunciante y en consideración al cual acordó la apertura del expediente sancionador. Basta decir sobre este particular que no hay noticia en este organismo de que ALTAIA hubiera solicitado la copia del expediente una vez le fue notificado el acuerdo de inicio, como tampoco existe solicitud alguna en tal sentido en su escrito de alegaciones al acuerdo de inicio en el que curiosamente sí dedica unos párrafos a invocar la pretendida indefensión. Corresponde a la denunciada ejercitar los derechos que la ley de procedimiento administrativo (Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas, LPACAP) le otorga. El artículo 53.1.
  14. a)de la citada Ley establece que los interesados en un procedimiento administrativo tienen derecho a “acceder y obtener copia de los documentos contenidos en los precitados procedimientos”. Se trata en definitiva de una facultad de quien es interesado en el procedimiento y que, si lo desea, puede hacer valer, pero no es en ningún caso una obligación de la Administración remitirle un documento cuya copia ella no ha solicitado. Cabe señalar que más injustificada parece la pretendida indefensión que invoca C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 la denunciada si se tiene en cuenta que el documento en cuestión no reflejaba nada más que una información facilitada por EQUIFAX al denunciante en respuesta al ejercicio de los derechos de acceso y cancelación, de manera que siendo ALTAIA entidad asociada de ASNEF EQUIFAX, S.L., la información ofrecida en ese documento estaba por completo a su alcance y era de muy fácil acceso para ella. 2. Argumenta ALTAIA en sus alegaciones al acuerdo de inicio que se debe diferenciar entre la “Fecha de alta del primer acreedor”, que es la fecha en la que ORANGE y no ALTAIA incluye los datos del denunciante en ASNEF; la “Fecha de alta del último acreedor”, que “es aquélla en que, una vez formalizada la cesión de créditos entre ORANGE y ALTAIA, contrato que se celebró 29/02/2016, ALTAIA quedó subrogada en la posición de ORANGE pero sin que aún fuera visible para ninguna entidad tal información ya que aún no se había efectuado la comunicación de la cesión de la deuda y el requerimiento de pago previo a la inclusión del deudor en el fichero”, y la “Fecha de visualización”, que se produciría 15 días después de haber enviado las notificaciones pues hasta entonces los crédito objeto de la cesión “debían de permanecer ocultos”. La afirmación de que en el periodo de tiempo que media entre la denominada “Fecha Alta último acreedor” y “Fecha de Visualización” “los datos del deudor deben de permanecer ocultos”, además de confirmar que los datos del afectado constan en un fichero de solvencia cuestiona cuáles son las garantías que se ofrecen al tercero de que se cumplirá esa esa pretendida ocultación. La mera afirmación de una de las partes interesadas en el conflicto relativa a que los datos de una persona –que han sido incluidos en un fichero de solvencia sin respetar los requisitos del artículo 38.1 RLOPD- permanecerán ocultos y no serán accesibles a terceros hasta que se practique el requerimiento de pago, no está en armonía con las garantías de las que se ha querido revestir un supuesto excepcional en el tratamiento de los datos personales, como es el de la inclusión de datos de terceros en ficheros de solvencia. En ese supuesto -al amparo del artículo 29.4 LOPDse dispensa al responsable del tratamiento de las obligaciones impuestas por los artículos 6.1 y 11.1 de la LOPD -preceptos que exigen recabar el consentimiento inequívoco del titular de los datos para su tratamiento y para su comunicación a terceros, en este último caso además se requiere que el consentimiento sea previopero condicionándola al cumplimiento de condiciones expresamente previstas en el RLOPD, fundamentalmente en el artículo 38.1. C. Se añade a la exposición precedente que consta acreditado que, después de la fecha en la que ALTAIA dio de alta al denunciante en el fichero ASNEF, el 05/03/2016, fecha identificada por EQUIFAX como “Fecha Alta último acreedor”, y antes de la denominada “Fecha de Visualización”, en el presente caso el 15/05/2016, terceras entidades tuvieron acceso a la información asociada al denunciante: exactamente los días 12/04/2016 y 21/04/2016. Nos remitimos a estos efectos a los documentos que integran los expedientes tramitados por EQUIFAX a raíz de las solicitudes del denunciante de acceso y cancelación de sus datos. Resulta por ello que los hechos desvirtúan las afirmaciones de la denunciada, a tenor de las cuales la “Fecha de alta del último acreedor”, era “aquélla en que, una vez formalizada la cesión de créditos entre ORANGE y ALTAIA, contrato que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 celebró 29/02/2016, ALTAIA quedó subrogada en la posición de ORANGE pero sin que aún fuera visible para ninguna entidad tal información”. Esto, porque los días 12/04/2016 y 21/04/2016 se hicieron consultas por una entidad asociada a ASNEF, exactamente por BBVA, pese a que la denominada “Fecha de Visualización”, que la entidad sitúa el 15/05/2016, aún no había llegado. En consecuencia, en tanto ALTAIA incluyó en el fichero de solvencia patrimonial ASNEF los datos del denunciante antes de efectuar el preceptivo requerimiento previo de pago -requerimiento que según ha acreditado la denunciada se depositó en el gestor postal UNIPOST para su entrega el 25/04/2016-, incurrió en una infracción del principio de calidad de los datos por incumplir los requisitos a los que se supedita la comunicación de datos personales de terceros a los ficheros de esa naturaleza. IV El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  15. a)El carácter continuado de la infracción.
  16. b)El volumen de los tratamientos efectuados.
  17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  18. d)El volumen de negocio o actividad del infractor.
  19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  20. f)El grado de intencionalidad.
  21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso no procede la aplicación del artículo 45.5.
  30. b)LOPD pese a que ha quedado acreditado en la documentación facilitada por EQUIFAX que el 26/09/2016 ALTAIA canceló la incidencia de ASNEF asociada al denunciante, transcurridos sólo 11 días desde que recibió el requerimiento informativo de la Inspección de Datos. La Agencia, siguiendo el criterio fijado por la Sala de lo ContenciosoAdministrativo de la Audiencia Nacional, estima que sólo puede hablarse de reacción diligente cuando la entidad infractora procede, con la primera noticia que tiene sobre la posible existencia de una irregularidad en su actuación, a poner fin a la situación irregular denunciada. Sin embargo, como se expone en el Hecho Probado quinto, antes de que la Inspección de la AEPD solicitase información a ALTAIA, esta entidad había conocido la petición de cancelación que el denunciante presentó ante EQUIFAX (de fecha 20/05/2016), de la que le dio traslado oportunamente, petición que no fue atendida. ALTAIA confirmó la incidencia y denegó la cancelación solicitada. En definitiva, no puede considerarse diligente una regularización que se llevó a cabo cuatro meses después de la primera noticia referente a su actuación irregular. Así las cosas, no siendo de aplicación el artículo 45.5. LOPD, la sanción que procede imponer estará comprendida entre los límites que el artículo 45.2 LOPD fija para las infracciones graves: de 40.001 a 300.000 euros. En la graduación de la sanción ha de valorarse la presencia de las siguientes circunstancias del artículo 45.4 LOPD en calidad de agravantes: -“El carácter continuado de la infracción” (apartado a,) Circunstancia que es de aplicación en aquellos casos en los que la infracción cometida tenga carácter permanente, naturaleza que la Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD. En el presente caso los datos personales del afectado se incluyeron en el fichero de solvencia ASNEF sin legitimación para ello, pues en la fecha de alta la incidencia, el 05/03/2016, no se cumplían el requisito del requerimiento previo de pago al que se supedita la legalidad de tal inclusión (ex artículo 38.1.c RLOPD) y se mantuvieron incluidos hasta el 26/09/2016. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de ALTAIA – adquisición de deuda - lleva implícita el tratamiento de datos de carácter personal lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. - “El volumen de negocio o actividad del infractor”, (apartado
  31. d)La importante cifra de negocio de ALTAIA se pone de manifiesto por las millonarias inversiones realizadas en las operaciones de compra de deuda. En consideración a lo expuesto, a tenor del principio de proporcionalidad, que ha de presidir la imposición de la sanción -ex artículo 29 de la Ley 40/2015 de Régimen Jurídico del Sector Público- y atendiendo a las circunstancias agravantes de la responsabilidad que han sido apreciadas, se acuerda imponer a ALTAIA, por una infracción del artículo 4.3, en relación con el 29.4 de la LOPD, y en relación asimismo con el artículo 38.1.c, del RLOPD, tipificada como infracción grave en el artículo 44.3.
  32. c)de la citada Ley Orgánica, una sanción de 50.000 euros, cuantía próxima al mínimo establecido en el artículo 45.2 LOPD para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ALTAIA CAPITAL, S.A.R.L., con ***NIF.2, por una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, y en relación también con el artículo 38.1.
  33. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  34. c)de la LOPD, una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ALTAIA CAPITAL, S.A.R.L. TERCERO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  35. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.