PS-00284-2014

1/14 Procedimiento Nº PS/00284/2014 RESOLUCIÓN: R/01943/2014 En el procedimiento sancionador PS/00284/2014, instruido por la Agencia Española de Protección de Datos a la entidad EQUIFAX IBERICA, S.L., vista la denuncia presentada por Doña A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Mediante escrito de fecha 29/05/13 Dña. A.A.A. (en lo sucesivo la denunciante) frente a la Entidad EQUIFAX IBERICA, S.L. (en lo sucesivo (la denunciada) pone en conocimiento de esta AEPD lo siguiente en orden a su adecuación a la LOPD: “Que en su momento el abajo firmante constató mediante consulta en su Banco habitual que sus datos personales habían sido comunicados al fichero Asnef (Equifax) por una supuesta deuda de 481,77€” Que no ha sido notificada de dicha inclusión, por lo que solicitó ante el responsable del fichero ASNEF el acceso y la cancelación de sus datos con fecha 11 de febrero de 2013. Con fecha 19 de febrero de 2013, recibió en contestación un escrito en el que le informan de que no existen datos asociados a su identificador. Sin embargo, con fecha 4 de marzo de 2013, desde su entidad bancaria realizan una consulta al citado fichero, comprobando la existencia de una anotación asociada a su identificador por importe de 481,77€. Con fecha 12 de marzo de 2013, solicita de nuevo, ante el responsable del fichero ASNEF, el acceso y la cancelación de sus datos. Con fecha 21 de marzo de 2013, recibe contestación a su solicitud informándole de que no existen datos asociados a su identificador en el fichero ASNEF. Sus datos siguen incluidos en el citado fichero. DOCUMENTACION APORTADA: Copia de la solicitud enviada por la denunciante a ASNEF, con fecha 11 de febrero de 2013, solicitando la cancelación de sus datos informados por ENERGIA V.M.GESTION. Copia de la contestación a su solicitud de fecha 19 de febrero de 2013, en la que le comunican que no existen datos asociados a su identificador. Copia de la consulta realizada a ASNEF por su entidad bancaria, con fecha 4 de marzo de 2013,donde figura una anotación por una deuda de 481,77€. Copia de la solicitud enviada por la denunciante a ASNEF, con fecha 12 de marzo febrero de 2013, solicitando la cancelación de sus datos. Copia de la contestación a su solicitud de fecha 21 de marzo de 2013, en la que le C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 comunican que no existen datos asociados a su identificador. Copia de la consulta realizada a ASNEF por su entidad bancaria, con fecha 21 de mayo de 2013,donde figura una anotación por una deuda de 481,77€. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L., teniendo conocimiento de que: Con fecha 11 de septiembre de 2013, se solicita a EQUIFAX IBERICA, SL información relativa al denunciante y de la respuesta recibida con fecha 13 de septiembre de 2013, se desprende lo siguiente: 1. Respecto del fichero ASNEF: No consta en esa fecha información asociada al denunciante. 2. Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada al denunciante como consecuencia de la inclusión de sus datos personales en el fichero ASNEF por la entidad CENTRICA ENERGIA, con fecha 28 de agosto de 2010, por importe de 529,98€. 3. Respecto del fichero de BAJAS: Consta una baja asociada a la inclusión citada en el apartado anterior, con fecha baja 3 de agosto de 2012, figurando como motivo: MASIVA. 4. Respecto al expediente asociado al denunciante: Constan TRES expedientes: El primero de solicitud de acceso de los datos de la denunciante de fecha 6 de julio de 2012 y la contestación a la misma de fecha 16 de julio de 2012, en la que se le informa de la existencia de datos informados por ENERGIA V.M. GESTION, por importe de 529,98€, con fecha de alta 26 de agosto de 2010. El segundo de solicitud de cancelación de los datos de la denunciante informados por ENERGIA V.M- GESTION, de fecha 11 de febrero de 2013 y la contestación a la misma de fecha 19 de febrero de 2013, en la que le informan de que no existen datos asociados a su identificador. El tercero de solicitud de acceso/cancelación de los datos de la denunciante, de fecha 12 de marzo de 2013 y la contestación a la misma de fecha 21 de marzo de 2013, en la que le informan de que no existen datos asociados a su identificador. Dado que la información facilitada por EQUIFAX IBERICA S.L. no coincide con la que figura en las pantallas de consulta de la entidad bancaria aportadas por la denunciante, se realiza una Inspección a dicha entidad, en la que se pone de manifiesto que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 1 La deuda asociada a la denunciante que consta en las consultas realizadas desde la entidad bancaria corresponden al fichero ASNEF-EMPRESAS del que es responsable la entidad inspeccionada. 2 Este fichero solo contiene datos que corresponden a deudas de empresas o de autónomos, pero siempre se trata de deudas derivadas de la actividad comercial, por lo que la información que contiene está excluida del ámbito de aplicación de la LOPD. 3 En la Inspección se ha comprobado que la información que se remitió a la Agencia relativa a la denunciante, con fecha 13 de septiembre de 2013, es la que figura en el fichero ASNEF (Personas) y que no existen datos en el fichero asociados al identificador de la denunciante. 4 Se ha verificado que en el fichero ASNEF-EMPRESAS, figura información asociada al identificador de la denunciante, en la actualidad la deuda informada es de 70€, la fecha de alta es 21 de enero de 2010 y la entidad informante es COMERCIAL SERVICIOS, entidad que tiene suscrito un contrato con EQUIFAX IBERICA, cuya copia se ha recabado en la Inspección. 5 Así mismo, se ha verificado que se remitió la notificación de inclusión de estos datos, con fecha de emisión 23 de enero de 2010, a un domicilio de ZARAGOZA, la carta consta devuelta con fecha 16 de marzo de 2010. 6 En el transcurso de la Inspección, los representantes de EQUIFAX IBERICA manifiestan que con motivo de la misma han solicitado a la citada entidad informante, copia de la documentación que acredite la deuda que se incluyó en ASNEF EMPRESAS en el año 2010. A este respecto han aportado copia de dos facturas impagadas de fechas 21 de diciembre de 2009 y 11 de enero de 2010 por importes de 467,74€ y 14,03€. Las facturas figuran emitidas a nombre de la denunciante y dirigidas al mismo domicilio que figura en la notificación de inclusión de la deuda en el fichero. TERCERO: Con fecha 28 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad --EQUIFAX IBERICA, S.L.--, por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3

1. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad EQUIFAX IBERICA, S.L. mediante escrito de fecha 13/06/14 formuló alegaciones, significando de manera sucinta lo siguiente: Primero. Esta parte no alcanza a comprender cuál es la supuesta infracción cometida por mi mandante ya que su actuación ha sido en todo momento acorde a la LOPD, tanto si hablamos de una inclusión de un incumplimiento en el fichero Asnef o en el fichero Asnef-Empresas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 Debemos señalar desde el inicio del presente escrito de contestación al Acuerdo de Inicio, que el mismo es ambiguo, sin que se haya delimitado de forma clara e inequívoca cuál es la supuesta infracción cometida por mi representada, de acuerdo con la normativa que le pudiera ser de aplicación, generando desde su inicio una cierta inseguridad jurídica y manifiesta indefensión. Segunda. Tenemos que señalar que desde el momento en que el fichero Asnef-Empresas está fuera del ámbito de aplicación, y por ende de la protección que dicha Ley otorga (…). Esta exclusión no es nueva y ha sido puesta en conocimiento de la AEPD, por mi mandante en numerosas ocasiones, sin que por parte de la AEPD, se haya realizado alguna manifestación al respecto. En todas estas Resoluciones, en ningún momento, la AEPD ha señalado que los datos incluidos en el fichero Asnef-Empresas le fuera de aplicación la LOPD. De este modo, esta parte entiende que ante el continuo silencio de la AEPD, su actuación respecto de los datos recogidos en este fichero, estaban siendo tratados correctamente por mi mandante. Tercera. Trae a colación la AEPD para fundamentar la incoación del procedimiento sancionador, la SAN de fecha 12 de mayo de 2011, que expresamente señala la “confusa difusa línea divisoria” existente para diferenciar cuando un dato de un empresario o profesional, le es de aplicación la LOPD. La titular cuando ejercita el derecho de acceso y cancelación ante Equifax Ibérica, por su inclusión en el fichero Asnef, señala como domicilio a efectos de domiciliaciones otro distinto, y que además coincide con el consignado en el DNI. Por tanto, los datos relativos al incumplimiento de una obligación dineraria, incluidos en el fichero Asnef-Empresas, relativos a la afectada, como titular del local comercial CIBERSTORE, no están sometidos a la protección que despliega la LOPD. Cuarta. No obstante lo señalado si la AEPD quiere cambiar el criterio interpretativo que hasta el momento ha seguido tienen que seguir los pasos que le marco la Audiencia Nacional en la Sentencia (entre otras) SAN 20/01/2006. Que culpabilidad ni siquiera a título de mera inobservancia se puede irrogar a mi representada, si sabiendo la AEPD la existencia y funcionamiento de este fichero desde el año 2007, no ha hecho ningún pronunciamiento expreso, que hubiera siquiera hecho pensar a Equifax, que su actuación no es acorde con la normativa que les es de aplicación. La LOPD establece para los responsables de los ficheros comunes, con datos relativos al cumplimiento e incumplimiento de obligaciones dinerarias, proporcionadas por el Acreedor o por quien actúe por su cuenta o interés una serie de obligaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 Equifax como responsable del fichero común de solvencia patrimonial y crédito denominado Asnef-Empresas no responde de que los datos que le ceden los acreedores responden con veracidad a la situación actual del afectado, ya que insistimos no dispone de la información necesaria para asumir esa responsabilidad. Por todo ello solicito al Instructor que tenga por presentado el presente escrito de alegaciones y tras los trámites oportunos formule en su día Propuesta de Resolución mediante la que declare el Archivo del presente procedimiento sancionador, al no haberse producido incumplimiento legal alguno por parte de EQUIFAX Ibérica S.L. QUINTO: Con fecha 16/07/14 se inició el período de práctica de pruebas, en el que se acuerda incorporar la Denuncia presentada por la afectada y la documentación anexa, así como, las alegaciones de la entidad denunciada y toda la documentación complementaria presentada en defensa de sus derechos e intereses legítimos. SEXTO: EN fecha 22/07/14 se emite por el órgano Instructor designado al efecto propuesta de Resolución en la que estima acertado tras el análisis de las alegaciones esgrimidas y la documentación aportada en la que se propone una sanción cifrada en la cuantía 20.000€ por la infracción del contenido del art. 4.3 LOPD—principio de calidad del dato--. SÉPTIMO: En fecha 08/08/14 se reciben las alegaciones de la Entidad denunciada-EQUIFAX Ibérica S.L--. a la propuesta de Resolución en dónde esgrime como mejor procede en Derecho los siguientes argumentos: Primera. Mi representada se ratifica en todo lo manifestado en nuestros anteriores escritos de alegaciones y que no exponemos aquí para evitar inútiles repeticiones. Segunda. El servicio de información de Asnef-Equifax es el fichero Asnef y así consta debidamente inscrito en el Registro de Protección de Datos, ficheros privados de la AEPD. Equifax Ibérica S.L como responsable del fichero no puede responder de la finalidad para la que la Entidad consultante ha consultado los datos contenidos en el fichero. Tercera. Los datos contenidos en el fichero están accesibles a las Entidades usuarias y adheridas al servicio, para eso se recopilan y tratan en un fichero de solvencia patrimonial y crédito, para que las Entidades a la hora de contratar puedan disponer de la información necesaria para analizar la solvencia del titular del riesgo. Cuarta. Esta parte no llega a entender por qué es objeto de sanción el hecho de poner a disposición de una Entidad financiera, información relativa a la solvencia profesional de un profesional autónomo. Nos encontramos en un supuesto en el que un identificador personal de la denunciante, la identifica, tanto como persona física, como profesional o autónomo, ya que su actividad profesional, se encuentra fiscalmente y mercantilmente, adscrita a ese identificador personal. Por tanto, corresponde a la Entidad que está enjuiciando una solvencia determinar qué información y apara qué va a utilizarla. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 Quinta. Esta parte no encuentra fundamento en el presente caso que haga que se imponga una sanción de 20.000€ y no de 900€ como señala el art. 45.5 LOPD ya que como recoge el citado precepto, se dan varios de los supuestos contemplados para aplicar esta sanción, algunos recogidos en la propia propuesta y otros no. Más aún, ya se señaló también que la AEPD en reclamaciones presentadas por profesionales/autónomos por estar incluidos en el fichero Asnef (*que no Asnef Empresas), identificados con su DNI, taxativamente ha señalado que están fuera del ámbito de aplicación de la LOPD y dichos titulares al estar incluidos en el fichero Asnef, había sido consultado por terceros, por Entidades financieras. Por tanto, esta parte solicita que en caso de mantenerse la sanción, se declare la existencia de causas que justifiquen el Apercibimiento, sin sanción económica, o que en caso de mantenerse en su lugar, la imposición de la sanción, la misma se gradúe, dentro de la escala de las sanciones leves, y se imponga en su grado mínimo, esto es: 900€. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Primero. Con fecha 27/05/13 se recibe en esta AEPD reclamación de la afectada en dónde pone de manifiesto los siguientes hechos en orden a su adecuación a la LOPD. “inclusión de los datos de la afectada en los ficheros de solvencia patrimonial y crédito—Asnef— por una supuesta deuda por importe de 481,77€”. En apoyo de su pretensión aporta copia de impresión del fichero de “morosos”—Asnef — con fecha 19/02/13 en dónde se plasma lo siguiente “le comunicamos que no existen datos inscritos asociados a su identificador”. Segundo. Según consta en el Acta de Inspección E/04580/2013 se constata por Inspectores de la AEPD debidamente acreditados que “la deuda asociada a la denunciante corresponde al fichero Asnef-Empresas del que es responsable la Entidad inspeccionada”. Tercero. Queda acreditado que en los sistemas de información de Asnef-Equifax asociado al DNI de la afectada consta inscrita una deuda por importe de 481,77€. Cuarto. Se ha verificado que en el fichero Asnef-Empresas figura información asociada al identificador de la denunciante, en la actualidad la deuda informada es de 70€, la fecha de alta el 21/01/2010 y la Entidad informante—Comercial Servicios--, entidad que tiene suscrito un contrato con Equifax Ibérica. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Antes de entrar en el fondo del asunto es necesario acotar la infracción que se imputa a la Entidad –Equifax Ibérica S.L (Asnef)-- en el marco de la LOPD. Para ello es necesario partir de la denuncia presentada ante esta AEPD en fecha 27/05/13 por la afectada en la que constata mediante consulta en su banco habitual: “inclusión de los datos de la afectada en los ficheros de solvencia patrimonial y crédito—Asnef— por una supuesta deuda por importe de 481,77€”. Frente al ejercicio del derecho de acceso y cancelación de la afectada en fecha 12/03/13 procedió la Entidad denunciada—Equifax-- a contestar en tiempo y forma en los siguientes términos: “…le comunicamos que no existen datos inscritos asociados a su indicador” Con posterioridad manifiesta que su entidad financiera vuelve a confirmar que sus datos siguen figurando en dicho fichero. Equifax confirma nuevamente tras nueva solicitud de cancelación, la inexistencia de registro. En consecuencia, si bien Asnef-Equifax niega la inclusión de los datos de la denunciante en sus ficheros la misma entidad confirma a su entidad bancaria la inclusión. Los hechos objeto de denuncia son subsumibles en el tipo infractor descrito en el art. 44.3
3. c)LOPD “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A su vez el art.4.3 de la LOPD—LO 15/99—dispone lo siguiente: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Los datos de carácter personal de la afectada se encontraban inscritos en el fichero Asnef-Empresas por un importe impagado y así quedo constatado por los Inspectores de la AEPD personados que dio lugar al Acta de Inspección E/04580/2013. La cuestión a dilucidar se centra en que la Entidad denunciada— Equifax-Asnef —no informa a requerimiento de la afectada de su inclusión en el fichero Empresas, con los consiguientes daños y perjuicios que se le ocasionan, ni si los datos han sido facilitados en consultas de terceros. En sentido contrario, comunica que no existen datos inscritos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 III El Servicio Asnef-Empresas es un servicio de información sobre personas jurídicas, empresarios individuales o autónomos en el exclusivo ámbito de su actividad profesional o empresarial, que EQUIFAX ofrece a sus clientes. En el caso que nos ocupa no es objeto de discusión entre las partes el ejercicio del derecho de acceso y cancelación de la afectada, como lo acredita la documentación presentada (folio nº 9 y 10). “En consecuencia manifiesto mi deseo de ejercer el derecho de acceso y en su caso de cancelación si la mercantil ordenante es Energía V.M Gestión puesto que dicha deuda data del año 2010, habiendo prescrita la misma de conformidad con el art. 16 de la LOPD”. A propósito de la LOPD, la STC 292/2000, de 30 de noviembre, definió el derecho fundamental a la protección de datos de carácter personal como "un derecho o libertad fundamental [...] frente a las potenciales agresiones a la dignidad y a la libertad de las personas provenientes de un uso ilegítimo del tratamiento mecanizado de datos lo que la Constitución llama la informática". La LOPD permite garantizar a toda persona un poder de control sobre sus datos personales sobre su uso y destino con el propósito de impedir su tráfico ilícito y lesivo para la dignidad del afectado. Según el TC, se trata de proteger los bienes de la personalidad que pertenecen al ámbito de la vida privada unidos al respeto a la libertad personal y al derecho al honor. En el marco de esta LOPD su artículo 4 dentro del Título II referido a los "Principios de la Protección de datos", establece como exigencia para la recogida y tratamiento de los datos que sean pertinentes y adecuados a la finalidad para la que fueran recogidos y que sean exactos en el momento de instar la correspondiente inscripción. Por otra parte, el artículo 29 LPD regula la prestación de servicios de información sobre solvencia patrimonial y de crédito y el referido artículo en su párrafo 2º se refiere al tratamiento de los datos de carácter personal relativos al cumplimiento o incumplimiento de las obligaciones dinerarias facilitados por el acreedor. A mayor abundamiento, el art. 42 RLOPD—RD 1720/2007—relativo al Acceso a la información contenida en el fichero, dispone lo siguiente: “Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
4. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
5. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14
6. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
7. b)y
8. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. Los datos de carácter personal de la afectada fueron objeto de consulta por la Entidad bancaria de la misma comprobando la existencia de una anotación asociada a su identificador por importe de 481,77€. IV La entidad denunciada alega que el fichero Asnef empresas se encuentra excluido del ámbito de la normativa de protección de datos al referirse a la esfera profesional de titulares/autónomos. La LOPD tiene por objeto garantizar y proteger los datos personales entendiendo por tales, ex artículo 3.
9. a)de dicha Ley "cualquier información concerniente a persona física identificadas o identificables". Por su parte el artículo 2.2 y 2.3 del Reglamento de la LOPD dispone lo siguiente: Art.2.2 Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal. A los efectos de dilucidar el alcance de tal exclusión es necesario reproducir parcialmente la SAN de 12-5-2011. No puede concluirse, por tanto que los empresarios individuales y profesionales estén en su conjunto excluidos del ámbito de protección de la LOPD, sino que se hace necesario diferenciar (y la línea divisoria es confusa y difusa) cuando un dato del empresario o profesional, se refiere a la vida privada de la persona y cuando a la empresa o profesión, pues solo en el primer caso cabe aplicar la protección de la LO 15/1999. Labor de diferenciación que puede basarse en dos criterios distintos y complementarios: Uno: el criterio objetivo de la clase y la naturaleza de los datos tratados, según estén en conexión y se refieran a una esfera (la íntima y personal) o a otra (la profesional) de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 actividad. Otro: el de la finalidad del tratamiento y circunstancias en que éste se desarrolla, criterio éste que operaría en aquellos casos en que alguno de los datos profesionales coincida con los particulares (por ej. coincidencia de domicilio privado con el de la empresa, o cuando no se pueda acreditar si una deuda es de la empresa o si es personal del interesado). (El subrayado es de la Agencia). En tal sentido cabe citar la existencia de precedentes jurisprudenciales que incluyen en el ámbito de la normativa de protección de datos a datos profesionales que también afectan a la esfera particular del mismo (Sentencia de 21-11-2002 Rec. 881/2000). (Sentencia de 25-6-2003, Rec. 1099/2000), (Sentencia de 11-2-2004 Rec. 119/2002). En el presente supuesto, y con independencia de la naturaleza del fichero Asnef empresas queda demostrado que las entidades consultantes han accedido con el mismo identificador (el DNI de la denunciante) a ambos ficheros indistintamente por lo que resulta indudable que la información contenida en el mismo ha trascendido del ámbito profesional a su esfera personal al condicionar su solvencia económica como profesional y como particular. La propia operativa del fichero ha permitido tal práctica diluyendo cualquier limitación de acceso al mismo y no resultando correcta, en consecuencia, las dos respuestas emitidas ante el ejercicio de los derechos de acceso y cancelación que se limitan a los datos referentes al nombre y domicilio obviando cualquier alusión al dato del DNI-NIF. En consecuencia, los hechos descritos son constitutivos de la infracción del art. 4.3 LOPD. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. No cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido. Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD", circunstancia que no queda acreditada en el presente supuesto en que se incurre en la infracción en dos ocasiones. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan...” Por tanto, en el caso que nos ocupa la afectada presentó reclamación frente a esta AEPD por “existencia de sus datos de carácter personal” en el fichero --Asnef-, constatándose la existencia de una deuda asociada al DNI de la afectada por importe de 481,77€. La Entidad denunciada –Asnef--frente al ejercicio del derecho de acceso de la afectada contesta “que no existen datos asociados a su identificador”; cuando la realidad es que los datos de la afectada si que están siendo tratados por la misma y puestos en conocimientos de terceras Entidades consultoras de los denominados ficheros de solvencia patrimonial y crédito. Teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 y 5 de la LOPD y, en especial, la falta de intencionalidad, el volumen de tratamientos efectuados y los beneficios obtenidos como consecuencia de la infracción, procede establecer la cuantía de la sanción aplicando la escala relativa a las infracciones leves. Se tiene en cuenta las alegaciones de fecha 08/08/14 de la Entidad denunciada -Asnef (Equifax)- a la hora de graduar nuevamente la sanción: sólo se ha producido un único tratamiento de los datos de la afectada y la implementación de procedimientos eficaces en materia de protección de datos por parte de la Entidad denunciada. A la hora de ponderar la cuantía de la sanción a imponer se tienen en cuenta los criterios del art. 45.4 LOPD. En concreto los siguientes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal—art. 45.4
25. c)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—art. 45.4
26. h)LOPD—al estar sus datos inscritos en los denominados ficheros de solvencia patrimonial y crédito. Por todo lo expuesto se acuerda imponer a la Entidad denunciada--Equifax-Asnef —-- una sanción de 10.000€ por la infracción acreditada del art. 4.3 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EQUIFAX IBERICA, S.L., por una infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3
27. c)de dicha norma, una multa de 10.000€ (diez mil euros) de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la Entidad EQUIFAX IBERICA, S.L. y a Doña A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es