← España

PS-00282-2014

1/23 Procedimiento Nº PS/00282/2014 RESOLUCIÓN: R/02489/2014 En el procedimiento sancionador PS/00282/2014, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIOS FINANCIEROS CARREFOUR, E.F.C. y a SITEL IBERICA TELESERVICES S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 21/05/2013 tiene entrada en esta Agencia un escrito de A.A.A. (en lo sucesivo el denunciante), en el que declara: <<Con fecha 06/05/2013 soy conocedor de que Servicios Financieros Carrefour (en lo sucesivo SFC), a través de Sitel Ibérica Teleservices (en lo sucesivo SITEL), empresa de recobros de la que es cliente, ha remitido un correo electrónico dirigido a mí, a esta dirección: .....@hotmail.com El contenido de dicha notificación (…), versa sobre la deuda que aseguran que mantengo con ellos y que actualmente está en trámites de reclamación, por lo que no han escatimado en incluir, todos los datos que relaciono a continuación: • Asunto: DEUDA S.F. CARREFOUR-ACUERDO DE PAGO • Nombre y apellidos • Nombre del cliente que les ha confiado la gestión y seguimiento del expediente. • N° de expediente • Así como, el importe exacto de la deuda reclamada. Es por esto, que decido interponer denuncia ante Ud, por lo que voy a manifestar a continuación: la dirección de correo electrónico que cito anteriormente y que ha sido objeto del envío de esa información privada y confidencial, pertenece a otro titular, ajeno a mí por lo que, en ningún caso, he proporcionado dicho correo ni he autorizado envío alguno de información al mismo, cuanto menos, datos relativos a una supuesta deuda.>> Mediante escrito con entrada en fecha 04/06/2013 se amplía la denuncia, manifestando: <<Que SFC ha incluido mis datos de carácter personal en el fichero de solvencia patrimonial y crédito, ASNEF-EQUIFAX, sin observar los requisitos establecidos a tal efecto en la Ley de Protección de Datos por:  En ningún momento, SFC ha requerido, previamente a la inclusión en dicho fichero, el pago de la deuda de forma fehaciente, que acredite su recepción por parte del deudor.  Tampoco ha informado por un medio fehaciente, la posibilidad de inclusión en el mismo, en caso de impago.  Dicha anotación, no corresponde a una deuda cierta, ya que el importe reclamado se encuentra actualmente en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/23 trámites de reclamación con el acreedor.>> Aporta el denunciante copia de la siguiente documentación: - Escritos de fecha 12/02/2013 por el que el denunciante solicita documentación relativa a los contratos números ***NÚMERO.1 y ***NÚMERO.2 por un préstamo personal y una tarjeta de crédito. No aporta prueba de recepción de dichos escritos. En ambos escritos manifiesta el denunciante su disconformidad con las deudas que le atribuye SFC. - Escritos de fecha 11/04/2013 por el que se informa al denunciante de su inclusión en el fichero ASNEF a instancias de SFC por sendas deudas por importe de 251,40 € y 211,23 €. - Correo electrónico de fecha 06/05/2013 emitido desde la cuenta Mailbox Equipo Carrefour (.....carrefour@......) con destino a la cuenta .....@hotmail.com. En el cuerpo del mensaje aparece el nombre completo del denunciante así como la deuda atribuida por SFC. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad SFC y a SITEL: 1. En fecha 14/04/2014 se realizó visita de inspección a SFC durante la cual los inspectores de la Agencia solicitan al representante de la entidad que les permitiera el acceso a los sistemas de información de la entidad, donde se realizaron las siguientes comprobaciones: a. Se realiza una consulta respecto al NIF ***NIF.1, encontrándose que está asociado al denunciante, del que constan un total de siete cuentas en la entidad. Informan los representantes de la entidad que se trata de una tarjeta de crédito, cuatro créditos y dos préstamos personales Figuran como vigentes dos cuentas con números de contrato ***NÚMERO.1 y ***NÚMERO.2, correspondientes una tarjeta de crédito y un préstamo personal Se comprueba que no consta valor alguno en el campo reservado para el correo electrónico. b. Se realiza una consulta respecto del contrato número ***NÚMERO.2 verificándose que constan en él una deuda de 2.733,50 € así como múltiples impagos no atendidos desde enero de 2013. Informan los representantes de la entidad que el contrato se ha vencido por las múltiples devoluciones, estando actualmente en contencioso desde de julio de 2013. c. Se realiza una consulta respecto del contrato número ***NÚMERO.1 verificándose que constan en él una deuda de 1.004,99 € así como múltiples impagos no atendidos desde enero de 2013. Informan los representantes de la entidad que el préstamo se ha vencido por las múltiples devoluciones, estando actualmente en contencioso desde de julio de 2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 2. Los representantes de SFC realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Tras cada impago se remite al cliente una carta en la que se le informa que el recibo ha resultado devuelto por el banco. b. Según la política de la entidad, se incluye en ASNEF a los clientes que impagan los recibos a partir de los 90 días del primer impago. c. EQUIFAX IBERICA S.A. presta el servicio de reclamaciones de deuda, por lo que no dispone la entidad en sus locales de la documentación acreditativa de la reclamación con carácter previo a su inclusión en el fichero ASNEF. d. La entidad no dispone en estas instalaciones de las reclamaciones que no están en curso, habiendo sido almacenadas en los archivos de la misma, por lo que las reclamaciones del denunciante no están disponibles en este momento. 3. Solicitada a la entidad las acciones de recobro realizadas respecto de las deudas del denunciante, tras solicitar información al departamento competente, los representantes de la entidad inspeccionada manifiestan que: a. Entre el 11/01/2013 y el 01/02/2013 la deuda fue encomendada a AIE para la gestión del primer impago. b. Fue prorrogada dicha gestión desde 01/02/2013 hasta 30/04/2013 con la misma entidad. c. Entre 03/05/2013 y 01/07/2013 la deuda fue encomendada a SITEL. d. Entre el 08/07/2013 y el 31/01/2014 la deuda fue encomendada a GESTYLE. e. A partir de 04/02/2014 y hasta la actualidad, la deuda está encomendada a CODEACTIVOS. 4. Se solicita a los representantes de la entidad para que en el plazo de 10 días hábiles aporten la siguiente documentación: a. Copia de los contratos números de contrato ***NÚMERO.1 y ***NÚMERO.2. b. Informen si en algún momento el denunciante facilitó una dirección de correo electrónico para sus contactos con la entidad. En caso afirmativo, aporten acreditación documental de ello. c. Documentación acreditativa de que la reclamación fehaciente de las deudas incluidas por la entidad en el fichero ASNEF relativas al denunciante con carácter previo a su inclusión en dicho fichero. d. Copia de las reclamaciones presentadas por el denunciante así como de las resoluciones tomadas por la entidad, acciones realizadas y contestación dada a dichas reclamaciones. e. Copia del contrato con SITEL en virtud del cual se le encomendó el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 recobro de la deuda del denunciante. 5. De la información y documentación aportada por SFC mediante escrito con entrada en fecha 28/04/2014 se desprende: a. Aporta la entidad copia de dos contratos que según la entidad se corresponden con los números ***NÚMERO.1 y ***NÚMERO.2. Examinado el primer contrato, se observa que está suscrito en fecha 12/01/2010 a nombre del denunciante, consistente en un préstamo de 3.000 €. Constan en el contrato los datos personales del denunciante, si bien en un domicilio distinto del informado por el denunciante, constando un número de teléfono móvil, pero no consta dirección de correo electrónico, aunque existe un espacio reservado para ello. Examinado el segundo contrato, se observa que está suscrito en fecha 22/09/2005 a nombre del denunciante, consistente en una tarjeta de crédito con un límite de 300 €. Constan en el contrato los datos personales del denunciante, si bien en un domicilio distinto del informado por el denunciante, constando un número de teléfono móvil, pero no consta dirección de correo electrónico, aunque existe un espacio reservado para ello. b. Informa la entidad que una vez revisada la diversa documentación en formato papel aportada por el denunciante, no consta dirección de correo electrónico en la misma. c. Aporta SFC cuatro escritos a nombre del denunciante mediante los que se les reclama el pago de deudas y se le informa de que, en caso de persistir en el impago, se procederá a su inclusión en el fichero ASNEF. Se trata de dos escritos de fecha 10/12/2012, por los que se le reclaman sendas deudas de 180 € y de 127,11 €, y otros dos escritos de fechas 11/02/2013 por el que se le reclaman deudas por importes de 201,90 € y 210,83 €. En todos ellos se informa al destinatario. d. Aporta la entidad financiera acta notarial de fecha 21/04/2014 mediante la cual se hace constar: - Que, mediante acta de manifestaciones, presencia y depósito autorizada por el notario, el quince de marzo de dos mil trece, “EQUIFAX IBERICA, S.L.” confío en depósito, para su conservación y custodia, en condiciones de ser consultado y acreditado su contenido mediante acta notarial, un disco duro externo de ordenador que le había sido entregado en presencia del notario por la mercantil “MANUFACTURAS GRÁFICAS PLAZA, S.L.”, que contenía la relación de las notificaciones realizadas por esa sociedad por encargo de “EQUIFAX IBERICA, S.L.” o clientes de ésta. - En dicha acta, “MANUFACTURAS GRÁFICAS PLAZA, S.L.”, certificó que había realizado la impresión, manipulado, clasificación y puesta en correos de las notificaciones a que hace referencia el disco duro depositado sin que se hubiera producido incidencia alguna en su desarrollo, culminado con la adecuada puesta en el Servicio de Correos en las fechas señaladas en cada proceso. - El notario, realizada la búsqueda correspondiente en el disco duro externo depositado en virtud del acta antes aludida, comprueba y hace constar: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 1) Que en el archivo “Equifax libro certificados_cartas A06”, consta una notificación con referencia NT**********1 al denunciante, incluida en el fichero NOT_RP-******_CORREOS.txt, con fecha de proceso 12/12/2012. Que en el archivo “Equifax libro certificados_cartas A00”, consta que las notificaciones incluidas en el fichero NOT_RP-******_CORREOS.txt fueron puestas en el Servicio Postal de Correos en fecha 10/12/2012 (fecha que debe ser errónea, pues no puede ser anterior a la fecha de proceso). 2) Que en el archivo “Equifax libro certificados_cartas A00”, consta una notificación con referencia NT**********2 al denunciante, incluida en el fichero NOT_RP-******_CORREOS.txt, con fecha de proceso 12/12/2012. Que, en el archivo “Equifax libro certificados_cartas A00”, consta que las notificaciones incluidas en el fichero NOT_RP-******_CORREOS.txt fueron puestas en el Servicio Postal de Correos en fecha 10/12/2012 (fecha que debe ser errónea, pues no puede ser anterior a la fecha de proceso). e. Aporta igualmente la entidad una segunda acta notarial, de la misma fecha, por la que el notario hace constar: - Que, mediante acta de manifestaciones, presencia y depósito autorizada por el notario, el 15/03/2013, “EQUIFAX IBERICA, S.L.” le confío en depósito, para su conservación y custodia, en condiciones de ser consultado y acreditado su contenido mediante acta notarial, un disco duro externo de ordenador que le había sido entregado en su presencia por la mercantil “MANUFACTURAS GRÁFICAS PLAZA, S.L.”, que contenía la relación de las notificaciones realizadas por esa sociedad por encargo de “EQUIFAX IBERICA, S.L.” o clientes de esta. En dicha acta, “MANUFACTURAS GRÁFICAS PLAZA, S.L.”, certificó que había realizado la impresión, manipulado, clasificación y puesta en correos de las notificaciones a que hace referencia el disco duro depositado sin que se hubiera producido incidencia alguna en su desarrollo, culminado con la adecuada puesta en el Servicio de Correos en las fechas señaladas en cada proceso. - El notario, realizada la búsqueda correspondiente en el disco duro externo depositado en virtud del acta antes aludida, comprueba y hace constar: 1) Que en el archivo “Equifax libro certificados_cartas A07”, consta una notificación con referencia NT**********3 al denunciante, incluida en el fichero NOT_RP-******1_CORREOS.txt, con fecha de proceso 13/02/2013. Que, según consta en el archivo “Equifax libro certificados_cartas A00”, las notificaciones incluidas en el fichero NOT_RP-******1_CORREOS.txt fueron puestas en el Servicio Postal de Correos en fecha 13/02/2013. 2) Que en el archivo “Equifax libro certificados_cartas A07”, consta una notificación con referencia NT**********4 al denunciante, incluida en el fichero NOT_RP-******1_CORREOS.txt, con fecha de proceso 13/02/2013. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 Que, según consta en el archivo “Equifax libro certificados_cartas A00”, las notificaciones incluidas en el fichero NOT_RP-******1_CORREOS.txt fueron puestas en el Servicio Postal de Correos en fecha 13/02/2013. f. Aporta igualmente la entidad cuatro escritos fechados el 25/04/2014 mediante los cuales EQUIFAX IBERICA SL informa que no les consta la devolución de las cartas con referencias NT**********1, NT**********2, NT**********3 y NT**********4 remitidas al denunciante en (C/................1) (Córdoba). g. Solicitado a SFC copia de las reclamaciones presentadas por el denunciante así como de las resoluciones tomadas por la entidad, acciones realizadas y contestación dada a dichas reclamaciones, la entidad aporta una serie de escritos del denunciante y contestaciones dadas por la entidad, encontrándose entre ellos un escrito remitido por el denunciante a SFC de fecha 29/06/2013 por el que se solicita la rectificación de los datos obrantes en la entidad, en donde aporta una dirección postal y un número de teléfono fijo pidiendo que estas estas las únicas formas de contacto, pidiendo expresamente que no se utilicen bajo ningún concepto otros números de teléfonos ni correos electrónicos. El escrito fue contestado por SFC con fecha 09/07/2013 en el sentido de que procedía a rectificar los datos mencionados (dirección y teléfono fijo). 6. Requerida información a SITEL en el sentido de que acreditase que el denunciante es el titular de la cuenta de correo electrónico .....@hotmail.com y el origen de dicha cuenta, la entidad manifiesta: a. Que presta servicios de recobros a SFC actuando como encargado del tratamiento de SFC. b. SFC habilita diariamente en su SFTP el fichero con los datos personales de clientes, que SITEL debe gestionar en virtud del contrato antes mencionado, Por tanto, SITEL accede por este medio a la dirección de correo electrónico en cuestión. Al ser SFC quien ha recogido este dato personal de su titular, entendemos que es SFC quien debe acreditar que el denunciante es titular de la cuenta de correo electrónico. TERCERO: Con fecha 19/05/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SFC y a SITEL, por presuntas infracciones de los artículos 10 y 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) de cada una de ellas, tipificadas como grave en los artículos 44.3.

  1. d)y 44.3.c)) de dicha norma, pudiendo ser sancionadas con multas de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, las representaciones de SFC y SITEL presentaron escritos de alegaciones, formulando, en síntesis, las siguientes: SITEL señala que SFC facilita a SITEL en un fichero formato txt conteniendo los datos personales de los clientes impagados a contactar, efectuando las gestiones correspondientes; que como encargado del tratamiento conserva debidamente bloqueados los datos persónales para atender este tipo de requerimientos; que el 03/05/2013 SITEL facilito un fichero en el que figuran los datos del denunciante con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 dato del correo electrónico, deduciéndose que no infringió el artículo 10 de la LOPD; que el denunciante notificó a SFC no recibir comunicaciones en su dirección de correo posteriormente a la recepción de los correos electrónicos por lo que no pudo infringir el artículo 4.3 de la LOPD. SFC señala que el denunciante es cliente de la empresa en virtud de dos contratos y en ambos documentos se halla vacío el campo del correo electrónico; que las deudas del denunciante fueron debidamente reclamadas informando de la posibilidad de ser incluidos en ficheros de morosidad; que la infracción del artículo 10 es consecuencia lógica de la infracción del artículo 4.3 de la LOPD, en virtud del artículo 4 del REPEPOS, por lo que existe concurso medial; que la eventual infracción debería imponerse aplicando la escala relativa a las infracciones leves y, además, solicita el envió de copia del expediente. En fecha 01/07/2014 se remitió a SFC copia de la documentación solicitada. QUINTO: Con fecha 02/07/2014 se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/05058/2013. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00282/2014 presentadas por SFC y la documentación que a ellas acompaña. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00282/2014 presentadas por SITEL y la documentación que a ellas acompaña y en cuanto a las pruebas propuestas no se estimaron necesarios a efectos de la resolución del procedimiento. Solicitar a SFC aportación documental del protocolo en el que se describa detalladamente cual es el procedimiento de recobro de impagados establecido para el cobro de deudas impagadas; que fase le corresponde a SITEL; aportación de la impresión de pantalla del fichero facilitado por SFC a SITEL con los datos del denunciante, para que se procediera al cobro de la deuda. Solicitar al denunciante copia de toda la documentación que obre en su poder relativa al procedimiento sancionador que por cualquier motivo no hubieran sido aportadas en el momento de la denuncia ó, cualquier otra manifestación en relación con los hechos denunciados; también se le solicito la identificación de la persona titular de la dirección de correo, la relación que tenía con dicha personal, la copia de las comunicaciones mantenidas con la citada persona y que no ha facilitado dicha dirección a SFC y a SITEL. El 22/07/2014 SFC y el 23/07/2014 y 31/07/2014 el denunciante dieron respuesta a las pruebas practicadas cuyo contenido obra en el expediente. SEXTO: En fecha 06/10/2014, fue emitida Propuesta de Resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos: primero, se sancionara a SFC por infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, con multa de 20.000 € (veinte mil euros), de conformidad con lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 establecido en el artículo 45.5 de la citada Ley Orgánica y exonerar a la citada entidad en relación con la infracción del artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.d), de conformidad con el artículo 4.4 del REPEPOS y, segundo, se archivara a SITEL por la infracción de los artículos 4.3 y 10 de la LOPD, tipificadas como grave en los artículos 44.3.
  3. c)y 44.3.
  4. d)de la citada norma. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de SITEL transcurrido el plazo de alegaciones no había presentado escrito alguno. La representación de SFC mediante escrito de fecha 24/10/2014 reiteraba las alegaciones realizadas con anterioridad y, además, alegaba la ausencia de culpabilidad en la comisión de la infracción imputada; la incorrecta aplicación del artículo 45.4 al no tener en cuenta criterios previstos en el mismo a la hora de graduar la sanción a imponer. HECHOS PROBADOS PRIMERO. Con fecha de 21/05/2013 tiene entrada en esta Agencia un escrito del denunciante, en el que declara que SFC, a través de SITEL, empresa de recobros, le ha remitido un correo electrónico a la dirección: .....@hotmail.com, cuyo contenido versa sobre una deuda que aseguran que mantiene con ellos (figurando su nombre y apellidos, nº de expediente, importe de la deuda, etc.); sin embargo, la dirección de correo electrónico pertenece a otro titular y, en ningún caso, ha proporcionado ni ha autorizado el envío de información al mismo, cuanto menos, datos relativos a una supuesta deuda. Posteriormente se recibe escrito de ampliación de la denuncia en el que señala que SFC ha incluido sus datos de carácter personal en el fichero ASNEF, sin que se le haya requerido previamente (1,3 y 6). SEGUNDO. El denunciante aporta copia de su DNI nº ***NIF.1 (folio 2). TERCERO. Constan copias de tres e-mail dirigidos por SITEL a la dirección .....@hotmail.com el 06/05/2013, 12/06/2013 y 26/06/2013 informando que son una empresa que realiza para SFC la gestión y el seguimiento de un expediente, por el que acumula una deuda con la citada empresa (814,47 € en el primero y 978,38 € en el segundo y tercero), instándole a regularizar la situación de impago o en caso contrario procederán a reclamar judicialmente dicho importe (folios 4). CUARTO. Consta que el denunciante era cliente de SFC en virtud de los contratos: nº ***CONTRATO.1 Préstamo Personal Preconcedido, de fecha 12/01/2010 y Contrato nº ***CONTRATO.1 de Apertura de Tarjeta de fecha 22/09/2005 (folios 83 a 86). QUINTO. Consta Contrato Gestión Cartera suscrito entre SFC y SITEL el 01/01/2013, cuyo objeto es gestionar el cobro de los saldos deudores de los clientes morosos de SFC que se le encomienden; incluye cláusula novena sobre Protección de Datos Personales, con referencia expresa al artículo 12 de la LOPD (folios 48 y ss). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 SEXTO. El Acta de Inspección E/05058/2013/I-01, de fecha 14/04/2014, llevada a cabo en las dependencias de SFC, pone de manifiesto los siguientes hechos: “1. (…). 2. (…). a. Se realiza una consulta respecto al NIF…, encontrándose que está asociado al denunciante, del que constan un total de siete cuentas en la entidad. Informan los representantes de la entidad una tarjeta de crédito, cuatro créditos y dos préstamos personales Figuran como vigentes dos cuentas con números de contrato ***NÚMERO.1 y ***NÚMERO.2, correspondientes una tarjeta de crédito y un préstamo personal Se comprueba que no consta valor alguno en el campo reservado para el correo electrónico. (…) b. Se realiza una consulta respecto del contrato número ***NÚMERO.2 verificándose que constan en él una deuda de 2.733,50 € así como múltiples impagos no atendidos desde enero de 2013. Informan los representantes de la entidad que el contrato ha vencido por las múltiples devoluciones, estando actualmente en contencioso desde de julio de 2013. (…) c. Se realiza una consulta respecto del contrato número ***NÚMERO.1 verificándose que constan en él una deuda de 1.004,99 € así como múltiples impagos no atendidos desde enero de 2013. Informan los representantes de la entidad que el préstamo ha vencido por las múltiples devoluciones, estando actualmente en contencioso desde de julio de 2013. (…). 3. Los representantes de SFC realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. Tras cada impago se remite al cliente una carta en la que se le informa que el recibo ha resultado devuelto por el banco. b. Según la política de la entidad, se incluye en ASNEF a los clientes que impagan los recibos a partir de los 90 días del primer impago. c. EQUIFAX IBERICA S.A. presta el servicio de reclamaciones de deuda, por lo que no dispone la entidad en sus locales de la documentación acreditativa de la reclamación con carácter previo a su inclusión en el fichero ASNEF. d. La entidad no dispone en estas instalaciones de las reclamaciones que no están en curso, habiendo sido almacenadas en los archivos de la misma, por lo que las reclamaciones del denunciante no están disponibles en este momento. 4. Solicitada a la entidad las acciones de recobro realizadas respecto de las deudas del denunciante, tras solicitar información al departamento competente, los representantes de la entidad inspeccionada manifiestan que: a. Entre el 11/1/2013 y el 1/2/2013 la deuda fue encomendada a AIE para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 gestión del primer impago. b. Fue prorrogada dicha gestión desde 1/2/2013 hasta 30/4/2013 con la misma entidad. c. Entre 3/5/2013 y 1/7/2013 la deuda fue encomendada a SITEL IBERICA TELESERVICES SA. d. Entre el 8/7/2013 y el 31/1/2014 la deuda fue encomendada a GESTYLE. e. A partir de 4/2/2014 y hasta la actualidad, la deuda está encomendada a CODEACTIVOS. 5. (…) (folios). SEPTIMO. En escrito de fecha 28/04/2014 SFC ha manifestado que “Una vez revisada la diversa documentación en formato papel aportada por el denunciante, no consta dirección de correo electrónico en la misma” (folio 67), y en escrito de 06/06/2014 manifiesta en relación con los contratos suscritos con el denunciante que: “En ambos documentos se ha dejado vacío el campo reservado para indicar la dirección de e-mail. Tampoco dispone SFC de documentación acreditativa de que el propio denunciante facilitara la dirección de correo electrónico a la que posteriormente fue dirigida la reclamación de la deuda” (folio 216 y 217). OCTAVO. SFC ha aportado un contrato de préstamo personal suscrito con B.B.B. en el que figura la dirección de correo .....@hotmail.com. SFC ha manifestado en escrito de 06/06/2014 que: ”…al no poder acreditar SFC la obtención del dato de correo electrónico directamente del Denunciante, cabe señalar también la posibilidad de que se haya enviado el correo electrónico a una cuenta de la que el Denunciante no es el titular por un error absolutamente involuntario. Dicho error puede ser debido a que la personal titular de la cuenta de correo electrónico vive en la misma dirección postal que el Denunciante, lo cual puede haber dado lugar a que, por error y de manera involuntaria, se asociara la misma dirección de correo electrónico a las dos personas que compartían la misma dirección postal” (folios 222 y 235). NOVENO. El denunciante se dirigió mediante carta de fecha 29/06/2013 a SFC en la que solicitaba que las únicas vías de contacto para disponer de sus datos fueran dirección de correo postal y número de teléfono particular; que bajo ningún concepto se utilizaron otros teléfonos o correos electrónicos, ejercitando de esta forma el derecho de rectificación; que si no fuera posible hacerlo se le comunicara para ejercitar la tutela de sus derecho ante la AEPD (folio 161). DECIMO. SITEL ha aportado impresiones de pantalla del fichero facilitado por SFC a SITEL el 03/05/2013, vía FTP con los datos del denunciante en el que aparece el dato de la dirección de correo electrónico del titular (272 a 275). UNDECIMO. SFC, en escrito de fecha 22/07/2014 ha señalado que “En relación a la solicitud de aportación por esta parte de la pantalla del fichero facilitado por SFC a SITEL el 03/05/2013, es de indicar que, esta entrega no es viable ya que los ficheros extraídos por SFC donde contiene la información relativa a los expedientes de clientes con deuda que se asignan, vía SFTP, tanto SITEL como al resto de prestatarios del servicio de recuperación de deuda, son eliminados por esta Entidad a los dos o tres días desde que se envían, no conservando en la actualidad los mismos” y que tampoco obra en poder de la entidad copia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 seguridad del fichero (folio 393). DUODECIMO. SFC tiene establecido un procedimiento para la gestión de recobros, que sigue fundamentalmente cinco fases. El paso de una fase a otra se produce el día 1 del mes siguiente a la fase anterior. SFC no realiza por si misma las acciones de recobro en ninguna de las fases, que tiene encomendada a empresas externas. En todas las fases se remiten escritos al cliente de requerimiento de pago, se realizan gestiones telefónicas, se envían mensajes sms y avisos. El primer proceso, “Anticipación”, pretende gestionar el primer recibo devuelto por el cliente para evitar que entre en las fases de recobros. Esta gestión se realiza desde el momento en que se detecta la devolución hasta el día 5 del mes siguiente. Posteriormente, los expedientes pasan a las fases de Recobros (desde la fase 2 y hasta la fase 5). La comunicación de los datos se realiza a través de un fichero que se trasmite vía SFTP. Una vez finalizadas las fases de gestión de recobros, se inicia la fase denominada “Contencioso”, en la que se sigue realizando una gestión de recobro amistoso y que tiene una duración de seis meses aproximadamente y “Fallida”. DECIMO TERCERO. SFC en escrito de 22/07/2014 ha señalado que “el expediente a nombre del denunciante en el momento de asignación a SITEL, esto es, el día 3 de Mayo de 2013, se encontraba en Fase 5 gestionado por esta empresa hasta el 1 de Julio de 2014, fecha en la que tiene lugar la devolución y el cese de gestión en relación al mismo” (folios 294 y ss). DECIMO CUARTO. Constan acreditados requerimientos de pago, tanto de SFC como de ASNEF-EQUIFAX, en relación con la deuda del denunciante realizados previamente a la inclusión de los datos en el fichero ASNEF. Asimismo constan escritos de ASNEF-EQUIFAX certificando que no les consta la devolución de las cartas remitidas al denunciante (folios 87 a 109). Asimismo, el denunciante aporta copia de los requerimientos de pago realizados por las empresas GESTILE SCA, GESIF y ASNEF en nombre de SFC (folios 394 a 397). DECIMO QUINTO. SFC no ha acreditado que hubiese obtenido el consentimiento o autorización del denunciante para la revelación de sus datos en relación con la deuda debida, ni que exista norma legal que justifique dicha revelación. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Se imputa a SFC y a SITEL en el presente procedimiento la vulneración del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 Carácter Personal, que establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Así el Tribunal Superior de Justicia de Madrid ha declarado en su sentencia n. 361, de 19/07/01: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la sentencia de la Audiencia Nacional de fecha 18/01/02, recoge en su Fundamento de Derecho Segundo, segundo y tercer párrafo: “El deber de secreto profesional que incumbe a los responsables de ficheros automatizados, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable –en este caso, la entidad bancaria recurrente- de los datos almacenados –en este caso, los asociados a la denunciante- no puede revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero automatizado o, en su caso, con el responsable del mismo” (artículo 10 citado). Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente, como el teléfono de contacto, no pueden ser conocidos por ninguna persona o entidad, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” Así, el deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la Ley Orgánica 15/1999, comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  6. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  7. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en que condiciones y en que momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado”. También dispone el artículo 3
  8. g)de la LOPD, que “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. Dispone el art. 5.1
  9. i)del Real Decreto 1720/2007, de 21 de diciembre, que “El encargado del tratamiento es La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. En el presente caso, estamos ante un tratamiento de datos personales en el que tanto SFC, responsable del tratamiento, como SITEL, en cargado del mismo, son responsables de conformidad con las definiciones legales recogidas en el artículo 3 de la LOPD apuntadas. De lo que se deduce que ambas entidades se encuentran sometidas al régimen sancionador de la citada norma de conformidad con el artículo 43. En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento”. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio –SITEL- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La Ley exige que el contrato figure por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de requisitos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. Interpreta el artículo 12.4 de la LOPD la sentencia de 14/03/2007 Rec. 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec.241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<(…) será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente>>. IV En el presente caso consta que SFC suscribió con SITEL un contrato gestión de cartera de fecha 01/01/2013, que tiene por objeto la gestión del cobro de los saldos deudores de los clientes de la financiera, figurando en el mismo cláusula de protección de datos y de confidencialidad de conformidad con lo señalado en el artículo 12 de la LOPD. De la documentación contenida en el contrato suscrito por SFC con SITEL se desprende que en el ejercicio de las gestiones de deudas de clientes en ningún caso puede permitirse que se faciliten datos de la deuda de los clientes a terceros, lo que no implica que en algunos casos se produzca. En el procedimiento establecido para la gestión del recobro de deudas, SFC dió traslado de los datos de los clientes impagados a contactar por SITEL, mediante un fichero que se transmite vía SFTP en formato txt, el 03/05/2013. Entre los deudores figura el denunciante en el que aparece el dato de la dirección de correo electrónico; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 dirección que fue utilizada por SITEL para el envío de los e-mails requiriendo el pago de la deuda. Por tanto, en relación a SITEL, de conformidad con el contrato suscrito, ha actuado de conformidad con las instrucciones del responsable del tratamiento, no habiendo destinado los datos a una finalidad distinta a la indicada, ni comunicado a terceros o incumplido las estipulaciones del contrato por lo que no existen elementos de juicio necesarios para atribuirle la vulneración del artículo 10 de la LOPD, en el que se contiene la regulación del deber de secreto, en relación a las gestiones realizadas por la citada entidad en el recobro de la deuda del denunciante, deudor de SFC, por lo que se le exonera de responsabilidad, así como de la infracción del artículo 4.3 de la LOPD. En cuanto a SFC, la representación de la misma ha señalado que no dispone de la documentación acreditativa de que haya sido el denunciante el que facilitara la dirección de correo electrónico a la que posteriormente fue dirigida la reclamación de la deuda. No obstante, en escrito de fecha 06/06/2014 manifiesta que: ”…al no poder acreditar SFC la obtención del dato de correo electrónico directamente del Denunciante, cabe señalar también la posibilidad de que se haya enviado el correo electrónico a una cuenta de la que el Denunciante no es el titular por un error absolutamente involuntario. Dicho error puede ser debido a que la personal titular de la cuenta de correo electrónico vive en la misma dirección postal que el Denunciante, lo cual puede haber dado lugar a que, por error y de manera involuntaria, se asociara la misma dirección de correo electrónico a las dos personas que compartían la misma dirección postal”. A tal efecto ha aportado copia de contrato de préstamo personal suscrito con por SFC con B.B.B., en cuyo documento figura como dirección de correo de la misma la cuenta .....@hotmail.com; dato que ha sido confirmado por el denunciante al serle requerida la identidad de la persona titular de la citada dirección. Asimismo, en escrito de 28/04/2014 la empresa señala que “Una vez revisada la diversa documentación en formato papel aportada por el denunciante, no consta dirección de correo electrónico en la misma” (folio 67), simplemente porque como manifiesta la propia entidad había sido corregido en los procesos de depuración de las bases de datos que SFC tiene implantados (folio 224). Y en escrito de fecha 24/10/2014, en respuesta a la Propuesta de Resolución reconoce que la entidad la que trato la dirección de correo de manera errónea al manifestar que “SFC únicamente realizó un tratamiento, al incorporar, de manera errónea, una dirección de correo electrónico que no se correspondía con el Denunciante” Por tanto, nos encontramos ante un tratamiento de datos personales en el que SFC es responsable de conformidad con las definiciones legales recogidas en el artículo 3 de la LOPD apuntadas. De lo que se deduce que la entidad se encuentra sometida al régimen sancionador de la citada norma de conformidad con el artículo 43 de la misma norma. V De acuerdo con las previsiones de la LOPD, según modificación introducida por la Ley 21/2011, califica como infracción grave la vulneración del artículo 10 de la citada norma. El incumplimiento del deber de guardar secreto establecido en dicho artículo, constituye una infracción grave tipificada en el artículo 44.3.d), que establece: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 personal al que se refiere el artículo 10 de la presente Ley”. En el caso analizado, se ha producido por SFC una vulneración del deber de secreto al asociar a los datos del denunciante una dirección de correo que no le correspondía; dirección que fue facilitada al encargado del tratamiento vía fichero FTP, formato txt, con la finalidad de realizar las gestiones de recobros en relación con una deuda debida; dirección de correo cuyo titular era una tercera persona, a la que le fueron remitidos 3 e-mails, conculcando el principio de deber de secreto respecto de los datos personales del denunciante y su condición de deudor, los relativos al acreedor, número de expediente, deuda impagada, etc. Por tanto, SFC no ha actuado con la diligencia debida al no comprobar correctamente que el dato de la dirección no correspondía al denunciante, por lo que debe considerarse que ha vulnerado la LOPD. Es por ello, que la conducta imputada a SFC, como responsable del fichero, vulneración del artículo 10 de la LOPD encuentra su tipificación en el tipo del citado artículo 44.3.d). VI En segundo lugar, se imputa a SFC en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Y en el apartado 4 de dicho artículo determina que: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. En el presente caso, consta acreditado que la entidad denunciada ha tratado los datos del denunciante, deudor de la entidad, asociándolos a una cuenta de correo electrónico que no le correspondía y cuyo titular era una tercera persona. Consta que el denunciante ha aportado copias de tres e-mails enviados por SITEL a la dirección .....@hotmail.com el 06/05/2013, 12/06/2013 y 26/06/2013, dirección de correo que le había sido facilitada por SFC, en los que se informaba acerca de la gestión y el seguimiento del expediente de deuda, acumulándose unos impagos con la citada empresa de 814,47 € en el primero y 978,38 € en el segundo y tercero, instándole a regularizar la situación o en caso contrario se procedería a reclamar judicialmente dicho importe. La citada dirección de correo no pertenecía al denunciante sino a una tercera persona, también cliente de la entidad, que vivía en la misma dirección que el denunciante. La Audiencia Nacional, en Sentencia de fecha 16/01/2008, manifestaba: “Pues bien, la conducta que configura el ilícito administrativo aplicado en este caso –artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 44.3.
  10. d)citado- requiere la existencia de culpa, que se concreta, por lo que ahora interesa, en la falta de diligencia observada por la entidad recurrente para asegurarse de que los datos personales que iba a tratar no cumplían con los requisitos legalmente impuestos, si tenemos en cuenta que la actividad de la recurrente, por su propia naturaleza, ha de tener un cumplido conocimiento, y un escrupuloso respeto, de las normas en materia de protección de datos cuando en su actividad ordinaria se produce un manejo masivo de los mismos. Y es esta falta diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la naturaleza de los datos personales a los que se tiene acceso es una circunstancia que ha de hacerse previamente y de modo riguroso antes de proceder al tratamiento de los mismos, pues se trata de la salvaguarda de un derecho fundamental, el derecho a la protección de los datos previstos en l. Artículo 18.4 de la Constitución.” Por tanto, de conformidad con el artículo 4.3 de la LOPD, correspondía a SFC adoptar las medidas necesarias para que la situación acaecida no se produjera; SFC no debió asociar y remitir a SITEL la cuenta de correo electrónico titularidad de un tercero, para gestionar la acciones de recobro correspondientes y cuya consecuencia fue el envío de tres e-mails requiriéndole el impago de una deuda, revelando sus datos y la situación de morosidad del denunciante. Todo este comportamiento supone una vulneración del principio de calidad de datos, consagrado en el artículo 4.3 de la LOPD, de la que SFC debe responder por ser responsable de la veracidad y exactitud los datos que sujetos a su tratamiento. VII El “tratamiento” de datos personales exige que se lleve a cabo de conformidad con los principios de “calidad de los datos”, es decir, que los datos tratados han de ser “exactos y puestos al día”, requisitos que no se han cumplido en el caso analizado. En este sentido, la Audiencia Nacional ha declarado en numerosas sentencias, entre otras la de fecha 13/03/2009, que señala: “El principio de calidad del dato, como esta Sala ha reiterado en numerosísimas ocasiones, se infringe no solo cuando se facilitan los datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias (Art. 4.3 LOPD en relación con el artículo 29 de la misma) sino también cuando los datos existentes en los propios ficheros de la entidad acreedora son inexactos y no actuales. La resolución de la Agencia impugnada, en su fundamentación jurídica, considera que ha quedado acreditado que Jazztel giró facturas correspondientes a un número de teléfono por unos servicios que, si bien se habían solicitado por el denunciante, no se habían prestado por la operadora. Los datos personales referidos al denunciante que figuraban en sus ficheros dejan de ser exactos en el momento en que figuran en ellos datos de servicios no prestados e importes no debidos realmente. Después de advertirlo, siguieron siendo inexactos los datos reclamándole el pago de facturas por ese servicio no prestado. Y esos datos inexactos son comunicados a la empresa de impagados para que realice su actuación”. Por lo tanto, en el presente caso ha quedado acreditado que el tratamiento de los datos inexactos del denunciante realizado por parte del SFC, no respondía con veracidad a la situación del denunciante, incurriendo por ello en una vulneración del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 principio de calidad de datos recogido en el artículo 4.3 de la LOPD, que encuentra su tipificación en el artículo 44.3.
  11. c)de la citada Ley Orgánica VIII El artículo 44.3.
  12. c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. SFC ha incurrido en la infracción grave descrita al tratar datos inexactos y asociarlos al denunciante, lo que supone una vulneración del principio de calidad de datos que consagra el artículo 4 de la LOPD. IX El artículo 4.4 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que dispone: “En defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deber imponer únicamente la sanción correspondiente a la infracción más grave cometida.” En tal caso, y siempre que no exista regulación específica para resolver dicho concurso ideal de infracciones, se aplicaría la técnica jurídica penal propia del concurso ideal de delitos. (STS de 9 de junio de 1999 y de 10 de marzo de 2003). El precepto anterior exige una necesaria derivación de una infracción/es respecto de otra/s y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión contenida en el precepto de que “una infracción derive necesariamente la comisión de otra u otras”. Pues bien, en el caso estudiado SFC trato los datos del denunciante de manera inexacta, datos de los que es responsable de conformidad con el artículo 3.
  13. d)de la LOPD, asociándolos a la dirección de correo que no le correspondía, siendo utilizado para enviarle e-mails requiriéndole de pago, desvelando los datos a un tercero, titular de la dirección, lo que comporta una vulneración tanto del artículo 4.3 como del artículo 10 de la LOPD, siendo medio para cometer esta última infracción, la infracción del principio de calidad del dato. Es decir, no pueden disgregarse una infracción respecto de la otra, pues si los datos no hubieran sido tratados de manera inexacta no se habría producido la revelación de secreto, circunstancia que, a su vez, imposibilita la realización efectiva del requerimiento previo de pago a la inclusión en un fichero de solvencia, dirigido a una dirección correcta. A falta de regulación específica, la solución dada por la jurisprudencia contencioso-administrativa, basándose en las previsiones del Código Penal, es la de imponer la sanción correspondiente a la infracción más grave. No obstante lo anterior, en atención a que ambas infracciones son tipificadas de igual gravedad, se impone la sanción por la comisión de una, en este caso, por la infracción del principio de calidad del dato, consagrado en el artículo 4.3 de la LOPD. X El artículo 45.2, 4 y 5 de la LOPD establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de SFC han solicitado la aplicación del artículo 45.5 de la LOPD, teniendo en cuenta las especiales circunstancias que se han producido en el presente caso, reduciendo la cuantía y aplicando la escala relativa a la clase de infracciones leves y la graduación de la sanción en aplicación de supuesto contenidos en el artículo 45.4 de la LOPD. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el caso presente, de las actuaciones practicadas ha quedado acreditado que SFC vulnero el artículo 4.3 y 10 de la LOPD, en su condición de responsable del tratamiento, al asociar los datos del denunciante a una dirección de correo electrónico que no le correspondía y , consecuencia de ello, la conculcación del deber de secreto al revelar los personales a un tercero mediante el envío a la citada dirección de requerimientos de pago de deuda, por lo que su actuación ha de ser objeto de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia del supuesto en el artículo 45.5,
  29. b)“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, ya que la entidad tan pronto como tuvo conocimiento de los hechos actuó de manera razonablemente diligente para corregir la situación adoptando las medidas adecuadas, incluso con anterioridad a la inspección realizada en la sede de la empresa, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. SFC ha invocado la concurrencia de criterios previstos en el artículo 45.4 LOPD a efectos de la atenuación de la sanción a imponer. En cuanto a la circunstancia prevista en el apartado
  30. a)resulta evidente que la infracción imputada no tiene carácter continuado, porque la naturaleza de la infracción no lo permite al tratarse de una infracción de mera actividad. En cuanto a la circunstancia prevista en el apartado
  31. f)del artículo 45.4, relativa al grado de intencionalidad expresión que debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la empresa hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En cuanto a la circunstancia prevista en la letra
  32. g)falta de reincidencia, hay que indicar que tal circunstancia por su propia naturaleza no puede operar como atenuante, premiando la no infracción de la normativa sobre protección de datos, aunque sí podría ser utilizada como agravante de la conducta a enjuiciar e incrementando la sanción a imponer. En este sentido se pronuncia la Audiencia Nacional en numerosas sentencias, entre otras, la de fecha 10/05/2013, señalando “Así las cosas, el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad,… Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del art. 45 de la LOPD deben concurrir dos o más circunstancias del apartado 4 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 mismo art. 45, y además de manera "significativa", circunstancias significativas que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia…”. En cuanto a la ausencia de perjuicios al denunciante, tal alegato no puede aceptarse a la vista de los hechos considerados probados en el procedimiento, derivados de la lesión del derecho fundamental a la protección de datos inherentes a las infracciones cometidas. En cuanto a la circunstancia prevista en el apartado
  33. i)del citado artículo relativo a los procedimientos implantados con el fin de garantizar el cumplimiento de la normativa sobre protección de datos en la recogida y tratamiento de los datos de carácter personal, hay que señalar que los implantados no han sido efectivos, y todo hace indicar que no se trató de una anomalía del funcionamiento de los citados procedimientos, sino un claro incumplimiento de los mismos a la vista de los hechos considerados probados a lo largo del procedimiento sancionador, que no pudieron ser evitados y que demuestra falta de diligencia. En este sentido la Audiencia Nacional en sentencia de 24/01/2014 señala que “…, omisiones que ponen de relieve lo inadecuado de los procedimientos implantados…. El hecho de que a raíz de estas actuaciones se haya suscrito un contrato con Experian al objeto de asegurarse un mejor cumplimiento de las obligaciones impuestas por los artículos 38 y 39 RLOPD y, la acreditación de su realización frente a terceros, no puede tener los efectos atenuatorios que ella pretende, pues es obligación de la citada entidad la implementación de las medidas adecuadas a tal fin. Téngase en cuenta que la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que le es exigible una especial diligencia en el tratamiento de datos personales conforme reiterado criterio de esta Sala”. En cuanto a la ausencia de beneficio, la LOPD prevé en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad y, es por ello, que al margen de que en la conducta de la empresa se aprecie como atenuante de su conducta la circunstancia prevista en el apartado
  34. e)la ausencia de beneficios como consecuencia de la comisión de la infracción, la concurrencia de las circunstancias agravantes que se expresan en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. Se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Entre ellas cabe citar el apartado
  35. b)“volumen de los tratamientos efectuados”, porque como ha sido acreditado en el procedimiento no se trató de un solo requerimiento sino de tres,
  36. c)“la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeñan las entidad denunciad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado
  37. d)“volumen de negocio o actividad del infractor”, toda vez que se trata de una gran entidad financiera por volumen de negocio. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se propone una sanción de 20.000 €, por la infracción del artículo 4.3 de la LOPD, de la que SFC debe responder. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A. por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  38. c)de dicha norma, una multa de 20.000 € (veinte mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica y exonerar a la citada entidad en relación con el artículo 10 de la LOPD de conformidad con el artículo 4.4 del REPEPOS. SEGUNDO: ARCHIVAR a SITEL IBERICA TELESERVICES S.A., por la infracción de los artículos 4.3 y 10 de la LOPD. TERCERO: NOTIFICAR la presente resolución a SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., a SITEL IBERICA TELESERVICES S.A. y a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.