← España

PS-00287-2016

1/13 Procedimiento Nº PS/00287/2016 RESOLUCIÓN: R/03027/2016 En el procedimiento sancionador PS/00287/2016, instruido por la Agencia Española de Protección de Datos a la entidad SEGURIDAD EN LA GESTION, S.L. (GRUPO SEGESTION), vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 13 de julio de 2015 tiene entrada en esta Agencia un escrito de Dña. A.A.A. (en lo sucesivo la denunciante) en el que declara que la empresa SEGURIDAD EN LA GESTION, S.L. (en lo sucesivo GRUPO SEGESTION) está encargada de reclamar una deuda que mantiene con la empresa PABLO PENAS, S.L.. Manifiesta que la empresa le ha enviado 6 cartas, cuya copia aporta, y que en todas ellas está bien visible a la vista de cualquiera el texto “impagados”, “cobro de morosos” o “vía judicial”, afectándole a su derecho a la privacidad. Con 09/10/2015 se solicita al denunciante que aporte los sobres originales y evidencias que permitan comprobar la fecha en la que la correspondencia denunciada ha sido recibida, los cuales son recibidos en fecha 04/11/2015. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad GRUPO SEGESTIÓN, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/06407/2015 que se transcribe “ACTUACIONES PREVIAS Con fecha 17/12/2015 se solicita información a GRUPO SEGESTION en relación con los hechos denunciados y adjuntado a la solicitud copia de uno de los sobres. La empresa responde con fecha 11/1/2016 y de la misma se desprende lo siguiente: 1. Aportan impresión de pantallas extraídas de sus ficheros con los datos que constan de A.A.A.. 2. Aportan copia del contrato y documentación aportada por la Sra. A.A.A.. 3. Manifiestan que “el texto ‘cobro de morosos’ alude a los servicios que presta la empresa y es parte del logo impreso. Como es evidente en el sobre, el texto se halla debajo del nombre “GRUPO SEGESTION” junto al logo corporativo y los datos identificativos de la empresa. No es posible interpretar ese texto como otra cosa que no sea una referencia a la actividad propia de la empresa. En cualquier caso, desde SEGURIDAD EN LA GESTION, SL, queremos manifestar nuestra total disponibilidad ante la AEPD para adoptar las medidas que estime pertinentes y, en su caso, dejar de usar estos sobres, si considera que con ellos existe la más mínima posibilidad de afectación a los derechos de los ciudadanos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 TERCERO: Con fecha 27/06/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SEGURIDAD EN LA GESTION, S.L., (GRUPO SEGESTION) por presunta infracción del artículo 9.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), LOPD), en relación con el artículo 92 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), tipificada como grave en el artículo 44.3.

  1. h)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, GRUPO SEGESTION formuló las siguientes alegaciones: 1. El texto ‘cobro de morosos’ forma parte del logo corporativo, impreso en el sobre y alude a los servicios propios de la empresa. El texto “cobro de morosos” se halla debajo del nombre y del logo de la empresa, tiene un tamaño inferior a ellos y no tiene otra finalidad que no sea identificar la empresa y los servicios que presta, sin que se pueda interpretar en otro sentido. 2. GRUPO SEGESTION ha venido usando sobre corporativos de distintos tamaños a lo largo de su historia en los que se han incluido, junto con el logo y datos de contacto, breves alusiones a sus servicios “cobro de morosos”. El uso de sobres personalizados con indicación de los servicios que prestan es práctica común en las empresas, y otras entidades, con la finalidad de publicitar dichos servicios. 3. En 2012 se sancionó a GRUPO SEGESTION con tres multas de 6.000 € (PS/00457/2012, PS/00236/2012 y PS/00202/2012), por infracción del artículo 9 de la LOPD por haber usado y enviado cartas en sobres con el estampillado “cobro de morosos” en letra de gran tamaño que ocupaba buena parte del sobre. Desde ese momento se dejaron de utilizar ese modelo de sobre lo que se tuvo en cuenta la hora de rebajar el importe de las multas. Los sobres denunciados en los procedimientos PS/00457/2012 y PS/00236/2012 también incluían la expresión “cobro de morosos” en tamaño reducido como parte del logo y de los datos identificativos de la empresa tal como en el presente caso. Sin embargo en estos procedimientos la Agencia no se pronunció, ni reputó como ilícitos esos textos, sino que consideró que existía infracción por la existencia de grandes letras estampilladas con ese texto que ocupaban gran parte del anverso o reverso del sobre (PS/00457/2012 y PS/00236/2012), o porque aparecía en el sobre la expresión “cobro de morosos o vía judicial” impresos en caracteres muy superiores a lo normal (PS/00202/2012) Se consideró que se producía la asociación con los datos del destinatario al incluir los sobres un texto “en grandes caracteres” (PS/00457/2012), o “caracteres muy superiores a lo normal” (PS/00202/2012 y PS/00236/2012). El tamaño de la letra se consideró determinante, de tal mera que los textos considerados infracción, eran los estampillados de gran tamaño. En las resoluciones sancionadoras no se hacía mención alguna a las expresiones “cobro de morosos” que aparecían en pequeño tamaño con caracteres inferiores a los del nombre de la empresa, junto al logo corporativo y datos de contacto. Por tanto era razonable entender que la Agencia en dichas resoluciones no consideró constitutivo de infracción el texto “cobro de morosos” que se incluía debajo el nombre de la empresa, claramente alusivo a un servicio que le es propio. 4. Resulta desproporcionado considerar que las comunicaciones enviadas en sobres no tienen las adecuadas medidas de seguridad por el simple hecho de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 incluyen una breve referencia a los servicios que presta la empresa junto al nombre, logo y dirección de la empresa, como hacen todas las organizaciones con sus sobre personalizados. De ser así los sobres remitidos por un centro hospitalario permitirían deducir que el destinatario ha sufrido una dolencia médica del área médica desde la que se envía el sobre, o las cartas remitidas por un partido político permitirían acceder a la afiliación política del receptor. 5. La Agencia ha admitido la exposición pública de datos de carácter personal cuando se ha restringido a un ámbito de usuarios concreto y responda a un interés legítimo (resolución E/04074/2015). En este caso no existe ni tan siquiera esta exposición de datos ya que la información confidencial sobre la deuda se envió a la denunciante dentro de un sobre debidamente cerrado por medio de correos. 6. En el procedimiento no se determina cual es la medida de seguridad, instrucción de la Agencia o tipificación específica infringida, salvo que se invoca una infracción genérica del artículo 9 de la LOPD. QUINTO: En fecha 22/11/2016 se emitió propuesta de resolución en el sentido de imponer a GRUPO SEGESTION una multa de 50.000 € por la infracción del artículo 9 de la LOPD en relación con el artículo 92.3 del RLOPD, tipificada como grave en el artículo 44.3.
  2. h)de la citada ley orgánica. SEXTO: Notificada la propuesta GRUPO SEGESTION reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador, añadiendo con carácter subsidiario, la aplicación de lo dispuesto en el artículo 85.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) para llevar a cabo el pago voluntario de la sanción propuesta, lo que supone una reducción del 20% de importe de la misma. HECHOS PROBADOS PRIMERO: Con fecha de 13 de julio de 2015 tiene entrada en esta Agencia un escrito la denunciante en el que declara que GRUPO SEGESTION está encargada de reclamar una deuda que mantiene con la empresa PABLO PENAS, S.L.. Manifiesta que la empresa le ha enviado 6 cartas y que en todas ellas está bien visible en el sobre en el que estaban insertas, a la vista de cualquiera el texto “impagados”, “cobro de morosos” o “vía judicial”, afectándole a su derecho a la privacidad. La denunciante consigna como su domicilio “ C.C.C.”. SEGUNDO: En fecha 27/01/2014 GRUPO SEGESTION suscribió un contrato con la empresa PABLO PENAS, S.L. para la prestación de los servicios de prevención de impagados y cobro de los mismos. Conforme a lo establecido en el mismo GRUPO SEGESTION trataría los datos de la denunciante, obrantes en los ficheros de PABLO PENAS, S.L. a los que tuviera acceso, conforme a lo estipulado en el artículo 12 de la LOPD. TERCERO: En los ficheros de GRUPO SEGESTION consta el nombre, primer apellido, teléfono fijo y móvil, y dirección de la denunciante coincidente con la señalada en su denuncia. CUARTO: Constan en el expediente las siguientes cartas remitidas a la denunciante por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 GRUPO SEGESTION en su correspondiente sobre según se detalla: - Carta de fecha 30/10/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “SEGESTION Desde 1984” - Carta de fecha 10/11/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “SEGESTION Desde 1984” y estampillado el texto “VIA JUDICIAL”, en tamaño ampliamente visible. - Carta de fecha 10/11/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “GRUPO SEGESTION desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible. - Carta de fecha 03/12/2014 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección), sobre en el cual figura el nombre y anagrama de la empresa “GRUPO SEGESTION Desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible - Carta de fecha 05/01/2015 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “GRUPO SEGESTION Desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible - Carta de fecha 14/01/2015 en la que se reclama una deuda de 318,60 €. La carta fue remitida en un sobre ventanilla en el que se pueden ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobre en el cual figura el nombre y anagrama de la empresa “SEGESTION Desde 1984” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 en relación con el artículo 36 de la LOPD. II Se imputa a GRUPO SEGESTION el incumplimiento del principio de seguridad de los datos personales que constan en sus ficheros. A este respecto, el artículo 9 de la LOPD, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley”. El citado artículo 9 de la LOPD establece el “principio de seguridad de los datos” imponiendo la obligación de adoptar las medidas de índole técnica y organizativa que garanticen dicha seguridad, añadiendo que tales medidas tienen como finalidad evitar, entre otros aspectos, el “acceso no autorizado” por parte de terceros. Para poder delimitar cuáles son los accesos que la LOPD pretende evitar exigiendo las pertinentes medidas de seguridad, es preciso acudir a las definiciones de “fichero” y “tratamiento” contenidas en la LOPD. En lo que respecta a los ficheros el artículo 3.
  4. a)los define como “todo conjunto organizado de datos de carácter personal” con independencia de la modalidad de acceso al mismo. Por su parte, la letra
  5. c)del mismo artículo 3 permite considerar tratamiento de datos cualquier operación o procedimiento técnico que permita, en lo que se refiere al objeto del presente expediente, la “conservación” o “consulta” de los datos personales, tanto si las operaciones o procedimientos de acceso a los datos son automatizados como si no lo son. Para completar el sistema de protección en lo que a la seguridad afecta, el artículo 44.3.
  6. h)de la LOPD tipifica como infracción grave el mantener los ficheros “...que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Sintetizando las previsiones legales puede afirmarse que:
  7. a)Las operaciones y procedimientos técnicos automatizados o no, que permitan el acceso –la conservación o consulta- de datos personales, es un tratamiento sometido a las exigencias de la LOPD.
  8. b)Los ficheros que contengan un conjunto organizado de datos de carácter personal así como el acceso a los mismos, cualquiera que sea la forma o modalidad en que se produzca, están, también, sujetos a la LOPD.
  9. c)La LOPD impone al responsable del fichero la adopción de medidas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 seguridad, cuyo detalle se refiere a normas reglamentarias, que eviten accesos no autorizados.
  10. d)El mantenimiento de ficheros carentes de medidas de seguridad que permitan accesos o tratamientos no autorizados, cualquiera que sea la forma o modalidad de éstos, constituye una infracción tipificada como grave. Es necesario analizar las previsiones que el RLOPD prevé para garantizar que no se produzcan accesos no autorizados a los ficheros. El citado Reglamento define en su artículo 5.2 ñ) el “Soporte” como el “objeto físico que almacena o contiene datos o documentos, u objeto susceptible de ser tratado en un sistema de información y sobre el cual se pueden grabar y recuperar datos”. Por su parte, en el artículo 81.1 del mismo Reglamento se establece que “Todos los ficheros o tratamientos de datos de carácter personal deberán adoptar las medidas de seguridad calificadas de nivel básico”. Las medidas de seguridad de nivel básico están reguladas en los artículos 89 a 94, las de nivel medio se regulan en los artículos 95 a 100 y las medidas de seguridad de nivel alto se regulan en los artículos 101 a 104. El artículo 88.3, referido al documento de seguridad, establece lo siguiente: “El documento deberá contener, como mínimo, los siguientes aspectos:
  11. a)Ámbito de aplicación del documento con especificación detallada de los recursos protegidos.
  12. b)Medidas, normas, procedimientos de actuación, reglas y estándares encaminados a garantizar el nivel de seguridad exigido en este reglamento.
  13. c)Funciones y obligaciones del personal en relación con el tratamiento de los datos de carácter personal incluidos en los ficheros.
  14. d)Estructura de los ficheros con datos de carácter personal y descripción de los sistemas de información que los tratan.
  15. e)Procedimiento de notificación, gestión y respuesta ante las incidencias.
  16. f)Los procedimientos de realización de copias de respaldo y de recuperación de los datos en los ficheros o tratamientos automatizados.
  17. g)Las medidas que sea necesario adoptar para el transporte de soportes y documentos, así como para la destrucción de los documentos y soportes, o en su caso, la reutilización de estos últimos”. Las medidas de seguridad se clasifican en atención a la naturaleza de la información tratada, esto es, en relación con la mayor o menor necesidad de garantizar la confidencialidad y la integridad de la misma. El Reglamento citado, distingue entre medidas de seguridad aplicables a ficheros y tratamientos automatizados (Capítulo III Sección 2ª del Título VIII) y las medidas de seguridad aplicables a los ficheros y tratamientos no automatizados (Capítulo IV Sección 2ª del Título VIII). Igualmente el citado Reglamento regula: Artículo 92. Gestión de soportes y documentos. 1. Los soportes y documentos que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y solo deberán ser accesibles por el personal autorizado para ello en el documento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 seguridad. Se exceptúan estas obligaciones cuando las características físicas del soporte imposibiliten su cumplimiento, quedando constancia motivada de ello en el documento de seguridad. 2. La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del responsable del fichero o tratamiento deberá ser autorizada por el responsable del fichero o encontrarse debidamente autorizada en el documento de seguridad. 3. En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte. 4. Siempre que vaya a desecharse cualquier documento o soporte que contenga datos de carácter personal deberá procederse a su destrucción o borrado, mediante la adopción de medidas dirigidas a evitar el acceso a la información contenida en el mismo o su recuperación posterior. 5. La identificación de los soportes que contengan datos de carácter personal que la organización considerase especialmente sensibles se podrá realizar utilizando sistemas de etiquetado comprensibles y con significado que permitan a los usuarios con acceso autorizado a los citados soportes y documentos identificar su contenido, y que dificulten la identificación para el resto de personas.” Así, GRUPO SEGESTION está obligado a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias previstas para los ficheros de la naturaleza indicada, y, entre ellas, las dirigidas a impedir el acceso no autorizado por parte de terceros a los datos personales que constan en sus ficheros (art. 92 RLOPD). Sin embargo, ha quedado acreditado que la citada entidad incumplió esta obligación, al establecer un sistema de notificaciones de sus reclamaciones y requerimientos de deuda a sus clientes que no impidió de manera fidedigna que, por parte de terceros, se pudiera acceder a datos personales de los mismos, como es la situación de deudor moroso asociado a su nombre, apellido y domicilio completo. En este sentido se pronuncia la Audiencia Nacional, en Sentencia de 10/07/2014, en la que se declara lo siguiente: “A la vista de la normativa expuesta, la entidad recurrente estaba obligada a adoptar, de manera efectiva, las medidas técnicas y organizativas necesarias para impedir el acceso no autorizado por parte de terceros a los datos personales que constaban en sus ficheros sea cual fuere el soporte o documento que los contuviera. A esta conclusión ha llegado la Sala en las Sentencias de 15 de abril -recurso n°. 143/2013- y 30 de abril -recurso n°. 140/2013- de 2014, en supuestos semejantes al que nos ocupa en que la parte actora era la misma. Decíamos en la segunda de las citadas Sentencias lo siguiente: «Como ha señalado la Sala en la SAN, de 15 de abril 2014 (Rec. 143/2013) referente a un supuesto similar en el que incluso la entidad recurrente era la misma entidad: "Esta obligación fue incumplida por dicha empresa cuando llevó a cabo la notificación o comunicación al deudor denunciante de la reclamación de deuda, cuya gestión le habla sido encomendada, de forma que posibilitaba el acceso de terceros a los datos personales del denunciante asociados a su condición de deudor "moroso", mediante la inclusión en el reverso del sobre con ventanilla donde se recogían los datos personales del destinatario, concretamente, nombre, apellidos y dirección postal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 así como la indicación en el anverso del remitente "GRUPO SUGESTIÓN" con las direcciones de su sede central ...y en su reverso la expresión "COBRO DE MOROSOS" estampada en gran tamaño..." Pues bien, en el caso de autos, la expresión "COBRO DE MOROSOS" no sólo figura en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO SEGESTIÓN", en el anverso del sobre que contiene los requerimientos de pago enviados al denunciante, sino también y en grandes caracteres en el reverso de dicho sobre -folios 6 y 7 del expediente-.. La citada expresión, aisladamente considerada, no puede ser considerada como dato personal ni permite su asociación a ningún dato de carácter personal. Sin embargo, al estamparse en el anverso y reverso del sobre o soporte que contiene la información, destacando su presencia, y en el que aparecen los datos personales del destinatario -nombre, apellidos y dirección postal- y con independencia de que dicha expresión se refiera a la descripción de la actividad de la recurrente, resulta evidente que se relaciona con el destinatario de la comunicación, revelando su condición de deudor "moroso" a cualquier tercero que acceda al citado sobre. Por otro lado, ha de considerarse que el estampillado de la citada expresión en el sobre de la correspondencia remitida al deudor resulta absolutamente innecesaria par los lícitos fines perseguidos por la empresa de recobros demandante, consistentes en la comunicación de la deuda al deudor y la realización de las gestiones oportunas para procurar su pago. En definitiva, y como ha señalado ya esta Sala en la citada sentencia de 15 de abril de 2014, el sistema de notificaciones empleado por la denunciante permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Es decir, resulta acreditado que el sistema de envíos de comunicaciones utilizado, contrariamente a lo que alega la actora, posibilita un acceso no autorizado a la condición de moroso del destinatario de la comunicación, que tendría que estar vedado a terceros para salvaguardar la confidencialidad del contenido de la información. Sistema de comunicación que supone una flagrante violación de las medidas de seguridad impuesta por la normativa reguladora de la protección de datos de carácter personal para los ficheros y tratamientos de datos de carácter personal, que obliga expresamente al titular del fichero, en el traslado de la documentación, a adoptar las medidas adecuadas para evitar el acceso indebido a la información (art. 92.3 del RLOPD) Por tanto la conducta realizada por la entidad recurrente tiene pleno encuadre en la infracción prevista en el artículo 44.3.
  18. h)de la LOPD apreciada por la resolución impugnada, sin que constituya una interpretación extensiva del citado tipo.” Argumenta GRUPO SEGESTION que fue sancionada en los procedimientos PS/00457/2012, PS/00236/2012 y PS/00202/2012, por infracción del artículo 9 de la LOPD por haber usado y enviado cartas en sobres con el estampillado “cobro de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 morosos” en letra de gran tamaño que ocupaba buena parte del sobre. Los sobres denunciados en los procedimientos PS/00457/2012 y PS/00236/2012 también incluían la expresión “cobro de morosos” en tamaño reducido como parte del logo y de los datos identificativos de la empresa tal como en el presente caso. Sin embargo en estos procedimientos la Agencia no se pronunció, ni reputó como ilícitos esos textos, sino que consideró que existía infracción por la existencia de grandes letras estampilladas con ese texto que ocupaban gran parte del anverso o reverso del sobre (PS/00457/2012 y PS/00236/2012), o porque aparecía en el sobre la expresión “cobro de morosos o vía judicial” impresos en caracteres muy superiores a lo normal (PS/00202/2012) Las resoluciones sancionadoras recaídas en dichos procedimientos y que han sido ratificadas por la audiencia Nacional en las sentencias anteriormente citadas, fijaban de manera clara que el hecho constitutivo de infracción era el sistema de notificaciones empleado por GRUPO SEGESTION, el cual permitía que un tercero pudiera conocer la situación de deudor "moroso" del destinatario de la carta, posibilitando un acceso no autorizado a los datos personales que constan en los ficheros de la entidad recurrente. Se especificaba que además de figurar en los sobres remitidos la expresión "COBRO DE MOROSOS" en negrilla y de forma destacada bajo el logotipo y nombre de la empresa "GRUPO SEGESTIÓN", en el anverso o reverso de los sobres que contenían los requerimientos de pago enviados a los denunciantes, figuraba dicha expresión en grandes caracteres. Es decir, se colige de los hechos y fundamentos de derecho de dichas resoluciones que la existencia en el sobre del texto “COBRO DE MOROSOS” impresa en negrilla debajo del logo y nombre de la empresa es en sí mismo hecho constitutivo de infracción del artículo 9 de la LOPD en la medida que permite el acceso indebido por parte de terceros a una información de carácter personal del denunciante que únicamente debe ser conocida por éste y por GRUPO SEGESTION. El hecho de que además de esto, en los sobres figurara en grandes caracteres estampillada la citada expresión “COBRO DE MOROSOS” no hace sino incidir en el hecho ya acreditado de la comisión de la infracción por la mera impresión de dicho texto en negrita junto al logo y nombre de la empresa Alega asimismo GRUPO SEGESTION que no se determina cual es la medida de seguridad, instrucción de la Agencia o tipificación específica infringida, salvo que se invoca una infracción genérica del artículo 9 de la LOPD. El acuerdo de inicio expresa de manera clara que la infracción del artículo 9 de la LOPD trae causa del incumplimiento de la medida de seguridad establecida en el artículo 92 del RLOPD en relación con la gestión de documentos habida cuenta que en el presente caso la gestión del documento en cuestión (carta inserta en un sobre ventanilla en el que se visualizan los datos personales de la denunciante, y en cuyo anverso consta la expresión “cobro de morosos”), supone que GRUPO SEGESTION no ha adoptado las medidas para que pueda producirse el acceso indebido por cuenta de terceros a la información relativa a la condición de moroso de la denunciante (art. 92.3 RLOPD). En consecuencia cabe rechazar tal alegación. Los hechos y fundamentos de derecho anteriores permiten concluir que GRUPO SEGESTION vulneró lo dispuesto en el artículo 9 de la LOPO en relación con el artículo 92.3 del RLOPD ya que de los 6 requerimientos de pago que remitió a la denunciante, 3 de ellos lo fueron mediante cartas fechadas el 10/11/2014, 03/12/2014 y 05/01/2015 insertas en sobres ventanilla en el que se podían ver los datos de la denunciante (nombre y primer apellido y dirección coincidente con la señalada en su denuncia), sobres en los cuales figuraba el nombre y anagrama de la empresa “GRUPO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 SEGESTION desde 1984” y el texto “COBRO DE MOROSOS” en tamaño ampliamente visible. III El artículo 44.3.
  19. h)de la LOPD, considera infracción grave: “Mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dado que ha existido vulneración del “principio de seguridad de los datos”, recogido en el artículo 9 de la LOPD, en relación con el artículo 92.3 del RLOPD, se considera que GRUPO SEGESTION ha incurrido en la infracción grave descrita. IV El artículo 45 de la LOPD, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias no se dan en el presente caso, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, y, por otro, la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45, al tener la infracción imputada la consideración de grave. En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular que la entidad ya fue sancionada en los procedimientos PS/00457/2012, PS/00236/2012 y PS/00202/2012, por hechos análogos a los aquí enjuiciados, sanciones confirmadas por la Audiencia Nacional, se impone una sanción de 50.000 €. En relación con la aplicación del artículo 85.2 de la LPACAP para llevar a cabo el pago voluntario de la sanción propuesta, lo que supone una reducción del 20% de importe de la misma, solicitada por GRUPO SEGESTION, deben tomarse en consideración varias cuestiones. En primer lugar la disposición transitoria tercera de la LPACAP dispone que “A los procedimientos ya iniciados antes de la entrada en vigor de la Ley no les será de aplicación la misma, rigiéndose por la normativa anterior.” Habida cuenta que el presente procedimiento se inició mediante acuerdo de la Directora de esta Agencia de fecha 27/06/2016, esto es con anterioridad a la entra en vigor de la LPACAP en fecha 02/10/2016, le es de aplicación como norma de procedimiento el Reglamento del Procedimiento para el Ejercicio de la Potestad Sancionadora aprobado el Real Decreto 1398/1993, de 4 de agosto (REPEPOS), en cuyo artículo 4. 1 dispone que “Sólo se podrán sancionar infracciones consumadas y respecto de conductas y hechos constitutivos de infracciones administrativas delimitadas por Ley anterior a su comisión y, en su caso, graduadas por las disposiciones reglamentarias de desarrollo. Las disposiciones sancionadoras no se aplicarán con efecto retroactivo, salvo cuando favorezcan al presunto infractor.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 En este punto señalar que el REPEPOS propugna el carácter retroactivo respecto de las disposiciones sancionadoras cuando favorezcan al presunto infractor, de la modo que la conducta infractora tenga un tratamiento más benigno respecto se su reproche (sanción) en atención a una disposición sancionadora posterior al hecho que así lo determine. No es el caso presente por cuanto las reducciones de la sanción a imponer tanto por reconocimiento de la responsabilidad (20%), como por el pronto pago de la sanción (20%), no cabe entenderse incluidas en una disposición sancionadora por cuanto la LPACAP se configura como una ley que no establece hechos susceptibles de infracción, los tipifica y establece un régimen de sancionador, sino que se configura como la Ley que rige el procedimiento administrativo común de las administraciones públicas con determinadas especialidades en el caso del procedimiento sancionador, en atención a la reducción, tanto de los trámites del procedimiento, como, caso de producirse determinadas circunstancias (reconocimiento de la responsabilidad y pago), las sanciones a imponer. Conforme a lo señalado no cabe atender a la alegación de reducción del importe de la sanción propuesta por aplicación de lo dispuesto en el artículo 85.2 LPACAP. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SEGURIDAD EN LA GESTION, S.L. (GRUPO SEGESTION), por una infracción del artículo 9 de la LOPD, en relación con el artículo 92.3 del RLOPD, tipificada como grave en el artículo 44.3.
  35. h)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45. 2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SEGURIDAD EN LA GESTION, S.L. (GRUPO SEGESTION), y a Dña. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.