← España

PS-00279-2015

1/21 Procedimiento PS/00279/2015 RESOLUCIÓN: R/02673/2015 En el procedimiento sancionador PS/00279/2015, instruido por la Agencia Española de Protección de Datos a la entidad Colegio Oficial de Farmacéuticos de Madrid, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 19 de mayo de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que denuncia que el Colegio Oficial de Farmacéuticos de Madrid (COFM) ha realizado cargos en su cuenta bancaria sin su consentimiento. Aporta el denunciante 93 cargos por adeudo en la cuenta del denunciante número ***CCC.1 realizados por el COFM en la cuenta de su titularidad, si bien cada uno de los adeudos corresponde a una persona distinta del denunciante, de la que figura su nombre y el centro en que está como residente. Como referencia de mandato figura “RCTAS RESID NOV/13” y como concepto del cargo todos ellos comienzan por “RCTAS RESID NOV/13” más un literal como “R.M. SANTIAGO RUSINOL”, “RM. ARGANDA DEL REY”, “R.M. NAVALCARNERO”, etc. Ejemplo de dos personas que aparecen en los recibos cagados al denunciante: -- Dª B.B.B., de la consta el concepto “RCTAS RESID NOV/13 - R.M. NAVALCARNERO” -- Dª C.C.C., de la consta el concepto “RCTAS RESID NOV/13 - R.M. SANTIAGO RUSINOL”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad COFM, a Banco Sabadell y a BBVA. Igualmente la Inspección de Datos realizó actuación inspectora en el domicilio de BBVA. Dichas actuaciones previas terminan con el siguiente informe: <<< 1.--- De la información y documentación aportada por el COFM se desprende: a.El denunciante es un residente/usuario del Centro identificado como “Residencia de Mayores XXXXX”, sita en (C/........1)(Madrid). Así mismo, es beneficiario del Sistema Nacional de Salud (en adelante, SNS) y por lo tanto también beneficiario de la prestación farmacéutica del SNS. Consecuentemente, en virtud de las competencias legalmente atribuidas al COFM, este realiza un tratamiento de datos de carácter personal sobre dichos usuarios, con la finalidad exclusiva de gestionar de forma correcta los medicamentos que pudiesen dispensarse a los asegurados/beneficiarios del SNS. b.El COFM tiene declarados entre sus ficheros el denominado “GESTIÓN DE LA APORTACIÓN DE BENEFICIARIOS SNS.”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 Los datos personales del denunciante están incluidos en dicho fichero, cuya finalidad es la «gestión del cobro de las aportaciones de los beneficiarios de la prestación farmacéutica..., procedentes de residencias de mayores, y de los pagos a la Oficina de Farmacia de las correspondientes aportaciones”. Los datos cumplimentados y facilitados por la residencia de mayores, previo consentimiento del denunciante, y que se encuentran en la base de datos del Colegio son los siguientes: Nombre y apellidos, DNI, Número de la Seguridad Social, Banco, Número de cuenta corriente, Usuario de la residencia, fecha y firma. c.A fin de acreditar disponer del consentimiento del afectado para el tratamiento de sus datos, aporta el COFM copia del formulario relativo de alta en el COFM, que aparece suscrito a nombre del denunciante en fecha 24/7/2012. En dicho documento aporta una cuenta bancaria, autorizando al COFM al cobro de la aportación de medicamentos (según RDL 16/2012, de 20 de abril, de Medidas urgentes para garantizar la sostenibilidad del SNS y mejorar la calidad y seguridad de su prestaciones), dispensado/os con periodicidad mensual. La cuenta corriente designada a estos efectos es la ***CCC.1 correspondiente al BBVA. Consta igualmente clausula informativa en cumplimiento del art. 5 de la LOPD, por el que se informa al denunciante que sus datos personales serán incluidos en un fichero cuyo responsable es el COFM, expresando claramente la finalidad del mismo, antes reseñada. d. Respecto al motivo del cargo de los recibos, origen de la denuncia, informa el COFM: <<Gracias al requerimiento de esta Agencia, esta parte ha podido conocer a fecha 27 de febrero de 2015 que a D. A.A.A. le han sido cargados 93 recibos de personas distintas y que dicha circunstancia ha sido objeto de interposición de una denuncia ante la Agencia Española de Protección de Datos.>> Pasa el COFM a realizar una descripción de la operativa realizada, que, en resumen, es la siguiente: -Las Oficinas de Farmacias que, una vez dispensados los medicamentos de los residentes de los distintos Centros de Residencia respectivos, conservan las recetas tal y como establece el Real Decreto 1718/2010, de 17 de diciembre, sobre recetas médicas y órdenes de dispensación en su artículo, en relación a los medicamentos dispensados en el ámbito de la asistencia sanitaria del Sistema Nacional de Salud. -Las Oficinas de Farmacia remite al COFM las recetas, para que, desde el departamento de Contabilidad del propio Colegio se escaneen, carguen al programa y se contabilicen. -Con posterioridad, el Colegio genera el denominado ‘Fichero Recibos”. Aporta copia del mismo, correspondiente al 17/02/2014. En el documento aparecen desglosados el titular, número de cuenta, el concepto y el Importe. Los diferentes conceptos que aparecen muestran que se refieren a recetas de residencias, especificando cada residencia, el mes y año al que se corresponde. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 -Dicho listado se remite a la entidad bancaria que presta sus servicios al COFM (Banco Sabadell), para que a su vez notifique a las entidades bancarias de las que son titulares los asegurados/beneficiarios los importes bonificados correspondientes finalizando así el procedimiento. e. Respecto del Fichero de Recibos antes mencionado, señala el COFM: -La fecha del documento “Fichero Recibos” es de 17 de febrero del año 2014 y corresponde al mes de los cargos por adeudo directo aportados como muestra en el propio requerimiento de la Agencia Española de Protección de Datos, esto es febrero del año 2014. -Tal y como se aprecia, el número de cuenta de D. A.A.A. que aparece reflejado en dicho listado, es exactamente igual al número de cuenta que proporcionó el denunciante en el Formulario de alta (aportado como documento n° 2 a este Escrito) de fecha 24 de Julio de año 2012. El número de cuenta designado para proceder a los importes bonificados es el ***CCC.2. Por otro lado, dicho número de cuenta no aparece repetido en cuantiosas ocasiones (hasta un total de 93 veces), ni las cuentas de los distintos titulares coincide con la cuenta de D. A.A.A.. -Es más, se indica perfectamente en el “Fichero Recibos” que el importe que se debe cobrar a la cuenta de D. A.A.A. correspondiente es de un total de 8,14€. Por ello, considera el COFM que todo ello acredita que en febrero del año 2014, el Colegio no ordenó el cargo de 93 recibos a D. A.A.A., sino el importe que le correspondía en ese momento que asciende a un solo cargo de 8,14€. Por ello, indica la entidad desconocer el motivo de esos numerosos cargos en la cuenta del denunciante, atribuyéndolo a tratamientos externos al Colegio. 2.---- De la información aportada por BANCO DE SABADELL S.A. se desprende:

  1. a)Informa la entidad que, revisadas las remesas de recibos cedidas por COFM en el mes de febrero de 2014 para su cobro, han verificado que en la remesa abonada en fecha 24/02/2014 en la cuenta de la citada mercantil, consta un recibo por importe de 8,14 € emitido a nombre de D. A.A.A. para cargar en la cuenta de BBVA número ***CCC.2.
  2. b)Aporta la entidad impresión del registro correspondiente a la operación mencionada, extraído del fichero presentado a BBVA en fecha 18/02/2014 a través de la cámara de compensación para su cobro. 3.--- De la información y documentación aportada por BBVA se desprende:
  3. a)Aporta la entidad relación completa de los recibos cargados en la cuenta del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 Informa que dichos recibos fueron ordenados por la entidad BANCO SABADELL bajo la identificación del acreedor “ES************” a nombre de COFM por medio del Área Única de Pagos en Euros (SEPA) de acuerdo con la Directiva Comunitaria de Servicios de Pagos, siendo la referencia única mandato asociada a cada recibo la misma, esto es “RCTAS RES D NOV/ 13” cuya cuenta asociada es la ***CCC.1 de la que es titular el denunciante.
  4. b)Según BBVA, la referencia única de mandato es una referencia ÚNICA E INEQUÍVOCA que asigna la entidad emisora a cada mandato para identificar los adeudos asociados a un mandato concreto. Permite identificar cada orden de domiciliación o mandato firmado por el deudor y debe ser ÚNICA para cada mandato y consiste en un código alfanumérico de 35 posiciones. En este caso la entidad BANCO SABADELL asignó a todos los recibos que fueron cargados en la cuenta del denunciante la misma referencia de mandato “RCTAS RESID NOV/13” tal y como acreditamos con el Documento nº 2, motivo por el que se cargaron todos los recibos en la cuenta asociada a dicho mandato, esto es la ***CCC.1.
  5. c)Aporta el BBVA copia de los registros recibidos en la remesa que originó los cargos mencionados con la misma referencia única de mandato “RCTAS RESID NOV/13” asociada a la cuenta del denunciante (v. doc. 2 aportado).
  6. d)Manifiesta la entidad: <<Tal y como hemos puesto de manifiesto en el punto primero de este escrito, el motivo por el que dichos recibos fueron cargados en la cuenta del denunciante se debió a que la entidad emisora de los mismos, BANCO SABADELL, utilizó la misma referencia única para cada mandato en todos los recibos siendo la cuenta asociada a dicha referencia “RCTAS RESID NOV/13” la número ***CCC.1 titularidad del denunciante, por tanto, ningún reproche se puede hacer a mi representada que ha actuado en todo momento conforme a la Directiva Comunitaria de Servicios de Pago.>>
  7. e)La cuenta de cargo donde fueron aplicados los recibos girados por el COFM era la numero ***CCC.2, sin embargo la cuenta donde finalmente fueron cargados los recibos fue la cuenta ***CCC.1, cuenta que no aparece en la remesa girada por el COFM. Este hecho no ha sido explicado por el BBVA.
  8. f)Examinados los registros físicos aportados por el BBVA, se encuentra que: -En el fichero no aparece el primer registro identificativo del mandato. -La relación de registros constituye un listado de 76 páginas. En todas las páginas aparecen numerosos cargos, distintos de girado al denunciante, en los que aparece como referencia de mandato “RCTAS RESID NOV/13”. -Como cuenta de abono figura la número ***CCC.3, coincidente con la cuenta del COFM, coincidente con la cuenta que aparece en la remesa informada por el COFM. -La cuenta ***CCC.2, coincidente con la informada por el denunciante al COFM – salvo el formato-, aparece en una única ocasión, en la página número 58 de la relación de registros físicos aportada. -En todos los registros, salvo en uno, aparece una cuenta de cargo distinta de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 del denunciante. -No aparece en los registros el comentario que sí que consta en las notificaciones de cargos remitidas al denunciante, que si figura en la relación de cargos aportada por el COFM. No se aprecia que existiese ningún motivo por el que se privilegiase la cuenta del denunciante respecto de las anteriores o posteriores para que fuese a dicha cuenta, y no a cualquier otra, a la que se cargasen los numerosos recibos de la remesa del COFM. 4.--- En fecha 30/4/2015 se realizó una visita de inspección en la sede del BBVA. Durante la misma, los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. A partir de la aprobación de la Directiva Comunitaria de Servicios de Pagos se ha establecido el Sistema Europeo de Pagos y la normativa del Área Única de Pagos en Euros (SEPA). b. Según dicha normativa, todas las transacciones deben haber sido autorizadas por el titular de la cuenta mediante la firma de un documento, es lo que se denomina el mandato. El acreedor debe identificar dicha autorización mediante código único, denominado identificador único de mandato. Al confeccionarse las remesas, la entidad acreedora, debe asociar a cada recibo el identificador único de mandato, de tal forma que todos los recibos que lleven el mismo mandato deben ser cargados a la misma cuenta. c. El documento que se identificó en la respuesta dada a la Agencia como DOC. 3 es el resultado de la consulta al sistema de Adeudos Directos SEPA, y contiene la información recibida del mandato aplicado a D. A.A.A.. Fue aplicado a su cuenta debido a que era la especificada en la orden del mandato. d. Señalado por los inspectores que dicha información ya ha sido objeto de procesamiento por el BBVA y que no consta en la relación de registros físicos aportada, los representantes de la entidad manifiestan que el fichero de registro físicos remitido a la Agencia es el que ha sido proporcionado por los servicios informáticos de la entidad, en el convencimiento de que contiene los datos necesarios para le agestión operativa de los mandatos, y que han sido extraídos del fichero efectivamente recibido de Iberpay (cámara de compensación electrónica interbancaria) para su cargo a los clientes del BBVA. 5.--- Los inspectores de la Agencia solicitan al representante del BBVA que les permita el acceso a los sistemas de información de la entidad, donde se realizan las siguientes consultas: a. Se realiza una consulta respecto de los mandatos recibidos por Dª B.B.B., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 encontrándose numerosos mandatos recibidos del COFM. No consta mandato alguno del COFM fechado en febrero de 2014. Figuran otros mandatos del COFM con referencias alusivas a recetas del mes, cuyo literal contiene el DNI de titular de la cuenta, b. Se realiza una consulta respecto de los mandatos recibidos por Dª C.C.C., encontrándose numerosos mandatos recibidos del COFM. No consta mandato alguno del COFM fechado en febrero de 2014. Figuran otros mandatos del COFM con referencias alusivas a recetas del mes, cuyo literal contiene el DNI de titular de la cuenta, c. Se realiza una consulta respecto de los mandatos recibidos por D. A.A.A., encontrándose seis mandatos recibidos del COFM. Consta un mandato de referencia “RCTAS RESID NOV/13” proveniente del COFM con fecha 19/2/2014. Figuran igualmente otros mandatos del COFM con referencias alusivas a recetas del mes, cuyo literal contiene el DNI de titular de la cuenta, como por ejemplo “RCTAS RESID ENE/14******”. Los representantes del BBVA informan que no siempre se ha seguido el mismo patrón de incluir el DNI. Se realiza una consulta respecto del mandatos remitidos por el COFM referido a noviembre de 2013, observándose que la referencia del mandato es “RCTAS RESID NOV/13” en este caso no aparece el DNI del titular como parte del identificador de mandato, como deudor aparece “D.D.D.”. En este caso la cuenta del acreedor no coincide la cuenta del acreedor con la cuenta de cargo. Se realiza una consulta respecto del mandato remitido por el COFM de referencia “RCTAS RESID NOV/13”, observándose que carece del DNI del titular de la cuenta. Se accede a la situación de la cuenta ***CCC.2 comprobándose que dicha cuenta aparece como cancelada en fecha 30/12/2013. Manifiestan los representantes del BBVA que al recibir recibos librados a dicha cuenta, ya cancelada, los cargos fueron realizados a la cuenta activa de D. A.A.A.. 6.--- Los inspectores solicitan el acceso al fichero físico recibido en el que se contenían la remesa girada en febrero de 2014 por el COFM, manifestando los representantes de la entidad que dicho fichero no se encuentra disponible y que será necesario un tiempo para poder recuperarlo. Los inspectores solicitan que se proceda a la carga de los ficheros de remesas recibidas del COFM en los meses de enero, febrero y marzo de 2014, y que los mismos estén disponibles en fecha 7 de mayo de 2015 en que continuará la inspección. 7.--- En fecha 7 de mayo de 2014 se persona los inspectores en el Centro de Proceso de Datos del BBVA a fin de continuar la inspección. Durante la misma, los representantes de la entidad realizan las siguientes manifestaciones en respuesta a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 cuestiones planteadas por los inspectores. a. El origen del cargo de 93 recibos del COFM a D. A.A.A. fue un error cometido por el COFM en la confección de la remesa. El COFM identificó en la remesa de febrero de 2014 todos los cargos con el mismo identificador de mandato. El motivo por el cual se cargó en la cuenta del denunciante, en lugar de en cualquiera de las numerosas cuentas que tenían el identificador de mandato “RCTAS RESID NOV/13” fue el ordenamiento realizado al fichero de entrada, producto de los procesos a los que fue sometida la remesa recibida. b. Cuando se recibe el fichero con la remesa, se lee la referencia del mandato, al encontrar un identificador de mandato nuevo, se da de alta en la tabla de mandatos, asociándolo a la cuenta que consta en el registro físico. El resto de cargos que se reciban con el mismo identificador de mandato serán cargados a la cuenta que consta en el mandato creado, independientemente de que la cuenta de cargo que acompaña al nuevo cargo sea distinta de la cuenta del mandato, salvo que exista un mandato rectificativo que debiera determinar expresamente el cambio de cuenta. c. El mandato se constituye como una identificación única para la identificación de los cargos. Caso de existir el mandato, no se valida la cuenta de cargo señalada en la remesa con la cuenta del mandato, salvo que exista un código de mandato rectificativo. 8.--- Los inspectores de la Agencia solicitan al representante del BBVA que les permita el acceso a los ficheros de remesas recibidas del COFM en los meses de enero, febrero y marzo de 2014, y cuya carga fue solicitada el día 30 de abril de 2015. Los representantes de la entidad manifiestan que el acceso solo se puede dar a través de las distintas tablas en las que se integra la información recibida. 9.--- Los representantes de la entidad aportan la siguiente documentación:
  9. a)Descripción de la tabla que contiene los mandatos.
  10. b)Documento denominado “Migración a SEPA de los adeudos domiciliados españoles”.
  11. c)Documento denominado “Adeudos Directos SEPA en fichero electrónico – Esquema Básico”. Examinado dicho documento se comprueba que en él mismo se describe la estructura de los ficheros a través de los cuales se materializará el procedimiento de intercambio de datos entre las entidades financieras para la realización de adeudos directos. El mismo no realiza descripción alguna de los procesos que tendrán que realizar posteriormente las entidades para materializar los pagos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 10.--- Mediante correo electrónico de fecha 6/5/2015 el COFM amplia información, aportando impresiones de pantalla de un acceso a la banca electrónica del SABADELL, y en concreto a la remesa origen de la denuncia. Se comprueba que en todos los cargos mostrados de dicha remesa aparece como Referencia “RESID NOV/13”. 11.--- En fecha 7/5/2014 se realiza una llamada telefónica al COFM en la que un representante del mismo informa:
  12. a)Que una vez generado el fichero con la remesa de recibos lo remitieron al SABADELL para su distribución al resto de bancos.
  13. b)Solo resultaron devueltos los recibos girados al BBVA.
  14. c)La solución fue remitir nuevamente los recibos el mes siguiente, por el mismo proceso.
  15. d)La referencia que aparece en las pantallas de órdenes de la consulta a la banca electrónica del SABADELL es generada por el propio COFM. >>> TERCERO: De todo lo actuado en las investigaciones previas se concluyó, salvo prueba en contrario, que COFM realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos, ya que efectuó el cargo 93 recibos a nombre de diferentes personas en la cuenta bancaria del denunciante. CUARTO: Con fecha 13/05/15 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COFM por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  16. c)de la citada Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, COFM solicitó copia del expediente -que le fue entregada- y formuló alegaciones. Solicita el archivo del procedimiento y aporta nueva documentación a la vez que solicita actuación inspectora en su domicilio para la comprobación de su actuación en los hechos denunciados. Alega: - Que desconoce las causas por las que en la cuenta del denunciante en el mes de febrero de 2014 en vez del recibo que le correspondía (8,14 €) se le cargaron numerosos recibos de otros ancianos residentes en las Residencias de la Comunidad de Madrid. - Que el COFM ordenó los cargos de los recibos correspondientes a los residentes igual que otros meses, siguiendo los procedimientos establecidos por el B. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 Sabadell a través de la aplicación ad hoc de banca virtual, sin que se produjera incidencia alguna. - Que a pesar de serle notificado la Visita de los Inspectores de la AEPD la misma no se realizó sin que se le comunicara el motivo real, sustituyéndolo por un informe a remitir al Inspector. - Que la referencia del mandato de febrero de 2014 identifica de forma única e inequívoca los recibos de los residentes correspondientes a noviembre de 2013. Adjunta impresión de diferentes pantallas con los datos introducidos para generar el mandato de cargo de dichos recibos. - Que para todas las actuaciones referentes al cargo de recibos correspondientes al denunciante disponían del consentimiento expreso escrito del titular de los datos SEXTO: Con fecha 09/07/15 se inició el período de práctica de pruebas, acordándose las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante Colegio Oficial de Farmacéuticos de Madrid, Banco Sabadell y BBVA, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio presentadas por Colegio Oficial de Farmacéuticos de Madrid y la documentación que a ellas acompaña. 2. Se requiere a A.A.A. para que en el plazo de diez días aporte a este procedimiento copia de los extractos bancarios de su cuenta en BBVA que haya recibido de los cargos por adeudo directo de pago de medicamentos en los meses de enero, febrero y marzo de 2014. 3. Se requiere al Colegio Oficial de Farmacéuticos de Madrid para que en el plazo de diez días aporte a este procedimiento copia de los "ficheros de recibos" completos, cuyo cargo en la cuenta de los deudores ese colegio ordenó a través de la banca por internet del Banco Sabadell en los meses de enero, febrero y marzo de 2014. Copia -igualmente- de los ficheros de cargos devueltos por incidencias de impago o similar. Los ficheros pueden presentarse en papel o formato electrónico. 4. Se requiere al Banco de Sabadell SA para que en el plazo de diez días aporte a este procedimiento copia de los "ficheros de recibos" completos, recibidos del Colegio Oficial de Farmacéuticos de Madrid a través de la banca por internet en los meses de enero, febrero y marzo de 2014 y que fueron remitidos para su cargo en cuenta a las respectivas entidades financieras. Copia -igualmente- de los ficheros de cargos devueltos por incidencias de impago o similar. Los ficheros pueden presentarse en papel o formato electrónico. 5. Se requiere al BBVA para que en el plazo de diez días aporte a este procedimiento copia de los "ficheros de recibos" completos, recibidos del Colegio Oficial de Farmacéuticos de Madrid en los meses de enero, febrero y marzo de 2014 y que fueron remitidos para su cargo en cuenta a dicha entidad financiera. Copia -igualmentede los ficheros de cargos devueltos por incidencias de impago o similar. Los ficheros pueden presentarse en papel o formato electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 Se ha recibido respuestas adjuntando documentación de denunciante, BBVA, COFM y B. Sabadell. SÉPTIMO: Con fecha 04/08/15 se remitió a B. Sabadell oficio precisando la documentación requerida: En esta Agencia ha tenido entrada el 31/07/15 su escrito de 28/07/15 por el que se remitía copia de los "ficheros de recibos" de los meses de enero, febrero y marzo de 2014 recibidos del Colegio Oficial de Farmacéuticos de Madrid. Lamento que en el escrito de solicitud no se concretara más, quizá confiados en que el destinatario conocía los antecedentes del expediente de referencia. El hecho denunciado objeto del expediente es el cargo en cuenta de los recibos de recetas correspondientes al mes de noviembre de 2013 con vencimiento en 24/02/14. Se pedían, pues, los ficheros de recibos cargados en febrero junto con el anterior y el posterior. En los ficheros enviados no se hallan los de nov -2013, ni en formato electrónico ni en papel. Es preciso que, en el plazo más breve posible, se remitan esos ficheros, en el mismo formato (electrónico mejor) los de los tres meses y a ser posible solo los referidos a las recetas. Por oficio de 08/09/15 se reiteró el oficio anterior. Se ha recibido respuesta de B. Sabadell, adjuntando un CD con los ficheros (en formato SEPA) de domiciliación de pagos por recetas de noviembre y diciembre de 2013, cargados en los meses de febrero y marzo de 2014 por COFM. Igualmente adjunta fichero (formato no SEPA) de domiciliación de pagos por diversos conceptos (no recetas) del COFM cargados en el mes de enero 2014. OCTAVO: Con fecha 15/09/15 el Instructor del procedimiento emitió propuesta de resolución sancionadora: Que por la Directora de la Agencia Española de Protección de Datos se sancione al Colegio Oficial de Farmacéuticos de Madrid con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  17. c)de dicha norma. NOVENO: La propuesta fue notificada al COFM el 18/09/15 y presentó alegaciones el 05/10/15. Solicita se "proceda archivar el presente procedimiento sancionador contra el Colegio Oficial de Farmacéuticos de Madrid al no existir incumplimiento legal alguno, respecto de la normativa y estándares SEPA. Subsidiariamente y, en el supuesto, que siga teniendo en consideración la tipificación de la infracción, estime que concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, y proceda a su archivo dado el plazo pasado de más de un año". Reitera las alegaciones de sus escritos anteriores y alega: <<< Se acompaña como Documento n° 1, nota informativa de la Comisión Europea de fecha 9 de Enero de 2014, concediendo un periodo de transición extra de 6 meses para migración al sistema SEPA (Single Euro Payments Área) al objeto de asegurar una transición con garantías tanto para empresas como para consumidores. Consecuentemente el plazo marcado inicialmente para procesar cobros y pagos bajo el estándar SEPA tanto para bancos como para empresas, de fecha 1 de febrero de 2014 quedó ampliado durante seis meses más, esto ES 1 de agosto de 2014. Esta circunstancia resulta trascendental respecto del objeto del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 sometido a cuestión, puesto que la fecha en la que el COFM confeccionó el fichero recibos correspondiente a las recetas del mes de noviembre de 2013, a través de la aplicación de la banca virtual del Banco Sabadell, es de fecha 17 de febrero de 2014, fecha que debe quedar encuadrada en esos seis meses de ampliación que concede la Comisión Europea, y fecha en la que deben subsistir tanto los formatos antiguos como los sometidos a SEPA. Ahora bien, sobre este respecto resulta llamativo que, tanto en la inspección llevada a cabo en su sede, como en la documentación aportada, el Banco Bilbao Vizcaya Argentaría (BBVA) subrayase como punto significativo el error en la elaboración de la remesa de Febrero de 2014, y en concreto de la indicación de la Referencia Única de Mandato, haciendo caso omiso de los seis meses de ampliación concedidos por la Comisión Europea en lo que respecta a la obligatoriedad de realizar pagos y cobros bajo estándares SEPA. … Es por ello, que esta parte no entiende porque el Banco Bilbao Vizcaya Argentaría (BBVA) justifica la asociación de todos esos cargos al número de cuenta de D. A.A.A. en base a la incorrecta indicación de la Referencia Única de Mandato. … el fichero fechado el 1 de febrero de 2014 tendría que haberse tramitado de forma correcta por parte del BBVA, habiéndole sido cargado al denunciante un único recibo correspondiente a los medicamentos suministrados en Noviembre de 2013. A efectos jurídicos, la transmisión de datos entre acreedor (COFM), entidad bancaria del acreedor (Sabadell), y entidad bancaria del deudor (BBVA) solamente puede apreciarse como una comunicación de datos y no como un encargo del tratamiento. … A pesar de que el COFM decida a quién cobra, cuando lo cobra, cuanto le cobra y donde le cobra, el tratamiento de datos se realiza a través de Banca Electrónica conforme a las finalidades y objeto social que le son propios por tratarse de entidades bancarias. …, cada entidad interviniente deberá tratar su gestión de los cobros de sus clientes conforme a LOPD y, en el supuesto que se haga un tratamiento de datos con datos inexactos, deberá responder personalmente como Responsable del tratamiento de los datos. Este extremo no se ha tenido en cuenta a la hora de concretar la propuesta de sanción, indicando como único imputado a este Colegio, cuando la realidad es que esta parte ordena un cobro pero no lo gestiona, no lo cobra, cometido que realiza, para este supuesto, el Banco Bilbao Vizcaya Argentaría (BBVA). … El recibo sometido a cuestión es el de los medicamentos dispensados a D. A.A.A. en noviembre de 2013. Esta Agencia ha podido observar durante el procedimiento que el COFM factura la dispensación de medicamentos pasados dos meses, para este caso Febrero de 2014, y durante el transcurso de estos dos meses, D. A.A.A. cancela su número de cuenta el 30 de Diciembre de 2013 (***CCC.2). El procedimiento para actualizar el dato de número de cuenta de D. A.A.A. se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 activa con la notificación por parte del Banco Sabadell del recibo de vuelto del titular de los datos. Se acompaña a este escrito como Documento n° 3 la notificación realizada por esta entidad bancaria donde se indica que la fecha de recepción de la devolución es de 26 de Febrero de 2014. …, cabe concluir que no pueden ser merecedores de ser tipificados como constitutivos de la falta grave imputada a este Colegio puesto que se procedieron a actualizar los datos conforme se detectó una anomalía (recibo devuelto). En fechas posteriores se procedió a utilizar el número de cuenta actual, sin ningún tipo de incidencia. … Esta parte considera, que el plazo desde que el titular de los datos modifico el dato (30/12/2013) hasta que el COFM tiene constancia de la anomalía (26/02/2014) y procede a rectificar el mismo es muy corto, como para que se le pueda imputar una infracción grave fijando un importe de la sanción tan desproporcionado (50.000 €). … No se puede imputar, por lo tanto, que el COFM haya vulnerado el principio de calidad de los datos en base a haber identificado incorrectamente los mandatos preparados, dado que el mismo tenia habilitado la implantación de los estándares de pago v cobros SEPA hasta el 1 de Agosto de 2014. … El COFM no ha tenido problemas con ningún otro titular de datos ni entidad bancaria, con anterioridad a la remesa, ni posteriormente. Cabe destacar que el número de cuenta designado por D. A.A.A. y el número de cuenta utilizado por el COFM es el ***CCC.2 y no el n° ***CCC.2, cuenta donde el BBVA finalmente cargó numerosos recibos. Dicha circunstancia la valoramos más adelante. … Tal y como se desprende de la información y documentación aportada por el Banco Bilbao Vizcaya Argentaría (BBVA), en un primer momento "En este caso la entidad Banco Sabadell asignó a todos los recibos que fueron cargados en la cuenta del denunciante la misma referencia de mandato "RCTAS RESID NOV/13" tal y como acreditamos con el Documento n° 2, motivo por el que se cargaron todos los recibos en la cuenta asociada a dicho mandato, esto es ***CCC.2". Posteriormente, y en la visita de inspección al Banco Bilbao Vizcaya Argentaría (BBVA) informan que en realidad "El origen de 93 recibos del COFM a D. A.A.A. fue un error cometido por el COFM en la confección de la remesa" ya que "El COFM identificó en la remesa de febrero de 2014 todos los cargos con el mismo identificador de mandato". Llama poderosamente la atención, dicho en términos de estricta defensa, que habida cuenta de la complejidad del procedimiento, donde fluctúan profundos cambios normativos de carácter bancario, que suponen importantes reformas para tantos agentes intervinientes, esta Agencia decida inspeccionar únicamente al Banco Bilbao Vizcaya Argentaría (BBVA), parte no denunciada en el procedimiento, teniendo muy en consideración las alegaciones anteriormente expuestas, o es un error cometido por el Banco Sabadell o es un error cometido por el COFM. …, ¿cómo puede ser que el COFM ordene un pago de 8,14 € al número de cuenta ***CCC.2 y finalmente se carguen 93 recibos a otro número de cuenta?, el número de cuenta ***CCC.3. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 …, con independencia de la devolución del recibo y la rectificación por parte del COFM, el Banco Bilbao Vizcaya Argentaría procedió a cargar 93 a otro número de cuenta perteneciente al mismo cliente, D. A.A.A., por orden del COFM. …, el COFM obtiene el consentimiento para tratar el número de cuenta ***CCC.2. Consecuentemente ordena un cargo a ese preciso número de cuenta y no a ninguna otra ya que no tiene autorización para ello. Esta parte quiere insistir en que probablemente se hayan asociado 93 recibos al número de cuenta D. A.A.A. por un error de carácter técnico, pero nunca imputable a la figura del COFM. Es más queda aclarado que el Banco Bilbao Vizaya Argentaría procede de forma automática a asociar el número de cuenta ***CCC.2 con los recibos del COFM. No lo dice esta parte, lo dice la propia entidad bancaria en el punto quinto de la propuesta de sanción, que "los representantes del BBVA, al recibir recibos librados a dicha cuenta, ya cancelada, los cargos fueron realizados a la cuenta activa de D. A.A.A.". … Respecto del Banco Bilbao Vizcaya Argentaría (BBVA), como hemos expuesto con anterioridad, se configura como Responsable de sus propios ficheros, y de igual forma se ocupa de la gestión de los cobros de sus propios clientes. Resulta desconcertante que esta Agencia identifique al ordenante, el COFM, como culpable del cargo de todos esos recibos, cuando la función de cargar los mismos recae exclusivamente sobre la entidad bancaria a la que pertenece D. A.A.A.. ..., en ningún caso el tratamiento de datos debería haberse calificado como infracción grave, por cuanto se ha expuesto hasta ahora y por aplicación del principio de proporcionalidad que debe presidir la actuación de la Administración en el ejercicio de su potestad sancionadora y de no discriminación. … El COFM en ningún momento obtiene beneficios de ningún tipo por gestionar este tipo de servicio que se presta a los mismos. Así mismo, el COFM no ha tenido problemas con ningún otro titular de datos ni entidad bancaria, con anterioridad a la remesa, ni posteriormente. … Los únicos recibos devueltos por la no inclusión de la Referencia única de mandato, no obligatoria hasta Agosto de 2014, fueron los del Banco Bilbao Vizcaya Argentaría (BBVA), recibos que inmediatamente fueron rectificados. …. Aunque esta parte sigue insistiendo en que no ha cometido ninguna infracción en materia de protección de datos de carácter personal, como Corporación y el tipo de tratamiento de datos, han concurrido suficientes circunstancias como para haber tipificado el tratamiento de datos, en todo caso, como una infracción leve de datos, ya prescrita dado el plazo pasado desde la "supuesta" infracción (más de un año). >>> De las actuaciones practicadas en el presente procedimiento, han quedado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 acreditados los siguientes HECHOS PROBADOS: Primero. El denunciante (A.A.A., DNI ******) como beneficiario del Sistema Nacional de Salud reside en la Residencia para personas Mayores "XXXXX" de la Comunidad de Madrid (CAM) en Aranjuez. Los residentes de las RRMM de la CAM abonan los importes de los medicamentos, que retiran de las farmacias con la correspondiente receta oficial, por medio de cargo mensual domiciliado en su cuenta corriente que ordena el COFM. Segundo. El denunciante el día 24/07/12 firmó el formulario de "Autorización del usuario-residente *****1" por el que autorizaba al COFM el cobro de la aportación de los medicamentos dispensados con periodicidad mensual por orden de domiciliación en la cuenta del BBVA ***CCC.4. Tercero. El COFM para ordenar los diferentes mandatos de cargos mensuales utiliza los servicios de la banca virtual que le proporciona el B. Sabadell, siguiendo el protocolo prefijado por este banco. Cuarto. El 17/02/14 el COFM confeccionó el fichero de recibos correspondientes a las recetas del mes de noviembre de 2013 -a través de la aplicación de la banca virtual del Banco Sabadell- ordenando su cargo en las cuentas correspondientes de cada deudor, entre ellos del denunciante. En el caso del denunciante la cuenta de cargo es ***CCC.2. Quinto. El 19/07/14 –siguiendo el protocolo de "Adeudos directos del SEPA (Área Única de Pagos en Euros) en fichero electrónico" de noviembre de 2012 (Normas y procedimientos bancarios nº 19-14) de la AEB (Asociación Española de Banca)- el B. Sabadell con los datos proporcionados por el COFM elabora el fichero electrónico de recibos por el concepto de cargo de "rctas resid nov/13" con los importes de cada deudor dirigido a las diferentes entidades financieras donde tiene cada uno su cuenta de domiciliación. En el apartado referencia de mandato figura en todos ellos "rctas resid nov/13". El vencimiento para el cargo es el 24/02/14. Sexto. El día 24/02/14 en una cuenta del denunciante en BBVA (***CCC.1), distinta a la que tiene designada para el pago del importe de los medicamentos que le han sido proporcionados, se carga el recibo que a él le corresponde y, además, numerosos recibos pertenecientes a residentes de diversas RRMM de la CAM (130 justificantes de recibos presentados con la denuncia). También se ha aportado el justificante bancario del periodo liquidado del 03/09/13 a 03/03/14 haciendo constar una comisión de descubierto en la cuenta por importe de -28,35 €. Séptimo. En todos los justificantes de "cargo por adeudo directo "que el BBVA entrega al denunciante correspondientes al mes de febrero de 2014 consta: acreedor: COFM; Id. Acreedor: ES**********; ref. mandato: RCTAS RESID NOV/13; vencimiento: 24/02/14; entidad presentadora: BSABESBBXXX 0081; entidad acreedora: BSABESBBXXX ******; IBAN ***CCC.2; titulares: A.A.A.. En todos los recibos en concepto: "RCTAS RESID NOV/13", seguida del nombre de la RM del deudor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 Son variables en todos los recibos el nombre y apellidos del deudor, la ref. adeudo, el nombre de la RM, el importe total: euros, el nº adeudo y la fecha. FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  18. g)en relación con el artículo 36 de la LOPD. II En el momento en que sucedieron los hechos enunciados, la orden de domiciliación de pagos en cuenta estaba regulado por normas consensuadas en el sector bancario español que de forma práctica desarrollaban las normas de obligado cumplimiento procedentes de la UE e incorporadas al ordenamiento jurídico español. Entre ellas deben ser consideradas: 1)--La Directiva 2007/64/CE del Parlamento Europeo y del Consejo, de 13 de noviembre de 2007, sobre servicios de pago en el mercado interior, que proporciona una base jurídica moderna para la creación de un mercado interior de pagos, del que la SEPA constituye un elemento esencial. 2)--El Reglamento (CE) nº 924/2009 del Parlamento Europeo y del Consejo, de 16 de septiembre de 2009, relativo a los pagos transfronterizos en la Comunidad, que establece también una serie de medidas destinadas a favorecer el éxito de la SEPA, tales como hacer extensivo el principio de igualdad de gastos a los adeudos domiciliados transfronterizos, y la accesibilidad de los adeudos domiciliados. 3)--Reglamento (UE) nº 260/2012 del Parlamento Europeo y del Consejo, de 14 de marzo de 2012, por el que se establecen requisitos técnicos y empresariales para las transferencias y los adeudos domiciliados en euros, y se modifica el Reglamento (CE) nº 924/2009. En su artículo 4.5 establece la entrada en vigor de las normas que contiene a más tardar el 01/02/14. Por decisión de 09/01/14, dicha entrada en vigor se pospuso hasta 01/08/14. Como desarrollo de las normas citadas, y especialmente del último reglamento, diversas normas y procedimientos bancarios, entre ellos: A)++En octubre de 2012 la AEB, CECA y UNACC de forma conjunta elaboran publican y distribuyen a las entidades financieras que operan en España "Migración a SEPA de los adeudos domiciliados españoles". En esta norma establecen como incorporan al SEPA las ordenes o mandatos de pago por domiciliación bancaria, cumpliendo los requisitos obligatorios establecidos. El acreedor proporciona el formulario (papel o electrónico) para que lo cumplimente y lo firme al deudor, este se lo devuelve cumplimentado y firmado; si el mandato está en papel el acreedor transforma los datos a soporte electrónico y se lo proporciona junto con cada adeudo a su entidad bancaria; esta envía electrónicamente los datos del mandato a la entidad del deudor como parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 de la transacción de cobro utilizando el mecanismo de compensación seleccionado. B)++En abril de 2013 la AEB (Asociación Española de Banca) elabora publica y distribuye a las entidades financieras que operan en España <Orden de domiciliación o mandato para adeudos directos SEPA. Esquemas "Básico" y "B2B">. En esta norma se estable el formulario modelo a utilizar en las ordenes o mandatos de domiciliación de pago por medio de entidad financiera. En dicho formulario el deudor ordenante debe hacer constar el nombre y apellidos como titular de la cuenta de cargo; su dirección completa, CP, población, provincia y país; BIC de la entidad financiera; IBAN de la cuenta de cargo; tipo de pago: recurrente o pago único; fecha y localidad; firma del deudor. El acreedor debe hacer constar la "referencia de la orden de domiciliación"; identificador del acreedor; nombre del acreedor; dirección, CP, población, provincia y país. C)++En noviembre de 2012 la AEB (Asociación Española de Banca) elabora publica y distribuye a las entidades financieras que operan en España ""Adeudos directos SEPA en fichero electrónico - Esquemas Básico", cuaderno nº 19-14. D)++Con vigencia a partir de 01/02/14 se publica una versión actualizada de dicho cuaderno nº 19-14, desarrollada por AEB, CECA y UNACC. Establece un procedimiento normalizado y común para las entidades bancarias en la tramitación de dichos adeudos directos. Para hacer estos posibles establece una estructura organizativa de ficheros: de presentación de adeudos, de comunicación de rechazos de adeudos, de comunicación de devoluciones de adeudos y de retrocesión o cancelación de adeudos. En este procedimiento hemos de centrarnos en el de presentación de adeudos y, dentro de este, en el "Registro 1º individual obligatorio". Este registro tiene 23 campos. Los de mayor interés en este procedimiento son: El campo 5 es el de la "Referencia única del mandato (AT-01)", obligatorio, alfanumérico de 35 caracteres en la posición 46-80. Esta referencia la establece como hemos visto el acreedor para la orden de domiciliación que firma el deudor. Es única mientras está vigente esa orden de domiciliación, que puede ser para un solo pago o para varios pagos sucesivos (recurrente), como en el caso que nos ocupa, que suelen ser pagos mensuales con carácter indefinido. El campo 9 contiene la fecha de la firma del citado mandato (AT-25), obligatorio, numérico, 8 caracteres en posición 100-107. El campo 11 contiene el nombre del deudor (AT-14), obligatorio, alfanumérico, 70 caracteres en posición 119-188. El campo 20 contiene la cuenta del deudor (AT-07), obligatorio, alfanumérico, 34 caracteres en posición 404-437. Deberá ser el IBAN de la cuenta del deudor, el numero completo de la cuenta donde el pago ha sido domiciliado por el deudor. El campo 17 contiene el identificación del deudor (Código)-(AT-27), opcional, alfanumérico 36 caracteres posición 332-367. Es regla de uso de la comunidad española que figure el NIF, NIE, etc, del deudor. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 El acreedor (COFM) está obligado a enviar todos los datos de la "Orden de domiciliación de adeudo directo SEPA" a su entidad bancaria (B Sabadell) y por tanto en el fichero de los recibos deben constar en el campo correspondiente todos los datos que se han relacionado en el apartado B) del fundamento anterior. Todos esos datos permiten la identificación del acreedor, del deudo, de su cuenta bancaria de cargo y de la orden de domiciliación. En la orden de domiciliación en papel aportada por el COFM no consta ninguna referencia alfanumérica que la identifique a los efectos del SEPA. Si bien de su contenido puede deducirse el objetivo de esa orden o mandato: el pago mensual de los medicamentos dispensados con las recetas del SNS en la RM donde reside el deudor. En ninguno de los documentos aportados por el COFM consta la referencia que debió ser asignada para la migración de la orden de domiciliación al nuevo sistema del SEPA a partir de 01/02/14. En los informes y listados aportados, en el apartado o columna titulados como referencia de mandato se introduce "rctas resid nov/13" y de forma similar en el resto de los meses observados, pero en estos se añadía el NIF del deudor. Ese texto solo pudiera considerarse como referencia si fuera una orden de domiciliación de pago único para el mes al que alude, en ningún caso para una orden recurrente con pagos mensuales, como es la que nos ocupa. No consta que el deudor firme una orden para cada mandato mensual. Los 35 caracteres que permite el campo de referencia de mandato permiten múltiples opciones que identifiquen el objeto de la orden y que permanezca inalterable en los pagos de las mensualidades sucesivas. La referencia del mandato debe permitir al banco del deudor identificar el mandato -no a la persona que lo ha dado-, para esto último están los diferentes campos que contienen su identificador, su nombre y su cuenta de cargo. El fichero de recibos correspondiente al mes de noviembre de 2013, que COFM emitió y transmitió a su banco para su cargo en 24/02/14 –confeccionado conforme al formato SEPA-, no contenía una referencia exacta y univoca del mandato firmado por el denunciante el día 24/07/12. Los informes, listados y extractos aportados por la acreedora, su banco y el banco del denunciante -quizá porque recogen solo parte de los campos del fichero de recibos- identifican correctamente el IBAN de la cuenta de cargo y la persona del deudor con su nombre y apellidos (al igual que el de los dmas deudores), pero no aportan el identificador del deudor en el fichero de recibos de 24/02/14. Este identificador, como ocurre en numerosos procedimientos automatizados de gestión de datos de personas físicas, es determinante en el procedimiento final del cargo en cuenta por la entidad financiera del deudor y ha provocado, en parte, un tratamiento de datos contrario al principio de calidad de datos. IV De la infracción: El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 COFM hizo uso de datos inexactos al tramitar el fichero de recibos con el cargo en cuenta bancaria del importe mensual de las recetas del denunciante y otros deudores, identificando incorrectamente los mandatos recibidos por estos. Esta actuación al ser gestionada por su banco con traslado a las entidades financieras donde los deudores tenían su cuenta originó un tratamiento con datos inexactos que produjo el cargo en una cuenta del denunciante de los recibos correspondientes a otros deudores como lo reflejan las copias de los recibos que le fueron notificados al denunciante por su entidad financiera. Esta incidencia se produjo porque no efectuó las oportunas comprobaciones del mandato del denunciante –y de los demás titulares de los recibos indebidamente cargados- y de los datos introducidos para generar el fichero de recibos para su cargo, que hubiesen evitado que se produjeran los hechos que sirven de causa al presente procedimiento sancionador. V De la tipificación: El artículo 44.3.
  19. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
  20. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” En este caso, ha incurrido en las infracción descrita ya que ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, cuando mantuvo datos incorrectos de la persona denunciante en sus ficheros, que encuentran su tipificación en el artículo 44.3.
  21. c)de la citada Ley Orgánica. VI De la sanción: El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  22. a)El carácter continuado de la infracción.
  23. b)El volumen de los tratamientos efectuados.
  24. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  25. d)El volumen de negocio o actividad del infractor.
  26. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21
  27. f)El grado de intencionalidad.
  28. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  29. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  30. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  31. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  32. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  33. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  34. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  35. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  36. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Se estima que no concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves. Por otra parte, Los criterios de graduación de las sanciones, establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: --- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que COFM es una entidad que tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de clientes/deudores del SNS y sus correspondientes pagos mensuales. Actividad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 estrechamente relacionada con el tratamiento de datos personales. --- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la tramitación del fichero de pagos por domiciliación, no tuviera intención de infringir norma alguna pero es evidente que alguno de las normas de gestión bancaria que le incumbían, o los procedimientos aprobados por su entidad fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. A los efectos del art. 45.5.
  37. a)han de tenerse en cuenta como atenuantes las circunstancias que se relacionan en el 45.4:
  38. a)y
  39. b)la infraccion no tiene caracter continuado, solo afecta a la gestion de un fichero de cargos de un solo mes;
  40. e)ausencia de beneficios para la imputada con el hecho tipificado;
  41. g)la ausencia de sanciones por infracciones similares. Igualmente ha de tenerse en cuenta a los efectos del 45.5.
  42. b)la actuacion diligente de la imputada para la regularizacion de la situacion irregular actualizando los datos personales del denunciante y tomando las medidas corespondiente para evitar situacion similar en los meses sucesivos. La valoración de todas las circunstancias permiten fijar el importe de la sanción en 6.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Colegio Oficial de Farmacéuticos de Madrid, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  43. c)de la LOPD, una multa 6.000 € (seis mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a Colegio Oficial de Farmacéuticos de Madrid y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.