← España

PS-00306-2017

1/14 Procedimiento Nº PS/00306/2017 RESOLUCIÓN: R/03099/2017 En el procedimiento sancionador PS/00306/2017, instruido por la Agencia Española de Protección de Datos a la entidad SOCIEDAD CONJUNTA PARA LA EMISION DE MEDIOS DE PAGO, EFC, S.A., vista la denuncia presentada por D. E.E.E., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 15/07/2016 tuvo entrada en esta Agencia denuncia de D. E.E.E. (en lo sucesivo el denunciante) en el que pone de manifiesto que SOCIEDAD CONJUNTA PARA LA EMISION Y GESTION DE MEDIOS DE PAGO, E.F.C., S.A. (en lo sucesivo IBERIA CARDS) ha incluido sus datos en el fichero de solvencia patrimonial y de crédito BADEXCUG, con fecha 03/07/2016, sin requerimiento previo de pago. Aporta, entre otra, copia de la siguiente documentación:  Copia de un informe de solvencia del denunciante emitido por IBERCHECK, donde consta, entre otras, una inclusión en BADEXCUG informada por IBERIA CARDS, con fecha de alta 03/07/2016, por importe de 7.478,31€. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a IBERIA CARDS, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección que se transcribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN <<Información facilitada por la entidad denunciada>> La empresa EXPERIAN BUREAU DE CREDITO, IBERIA CARDS E.F.C. S.A. en su escrito de fecha de registro 1 de febrero de 2017 ha remitido la siguiente información pertinente a los efectos de la investigación:  En esa fecha no constan, en el fichero BADEXCUG, datos del denunciante informados por IBERIA CARDS. La inclusión correspondiente a IBERIA CARDS se dio de baja con fecha 20 de julio de 2016, como consecuencia de la solicitud de cancelación del afectado.  En sus sistemas, constan siete notificaciones de inclusión de los datos del denunciante en el fichero BADEXCUG, una de ellas corresponde a la empresa IBERIA CARDS, con fecha de emisión 5 de julio de 2016, por importe de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 7.478,31€ y remitida a la dirección que coincide con la aportada por el denunciante a la Agencia. Respecto al requerimiento previo de pago, la entidad SOCIEDAD CONJUNTA PARA LA EMISIÓN Y GESTION DE MEDIOS DE PAGO E.F.C. S.A. (IBERIA CARDS), en su escrito de fecha 10 de mayo de 2017, ha remitido a esta Agencia la siguiente información:  Copia del contrato de Tarjeta de Crédito IBERIA SENDO, suscrito por el denunciante con fecha 1 de octubre de 2014, donde consta como dirección c/ A.A.A. y como dirección de correo electrónico D.D.D..  Según la información que consta en sus ficheros, con fecha 4 de enero de 2016, se realizó por el cliente, a través de la página web de la empresa, un cambio de domicilio a la B.B.B. (esta dirección coincide con la aportada por el denunciante a la Agencia y con la que consta en la notificación de inclusión de sus datos en BADEXCUG por IBERIA CARDS).  Aportan copia, entre otros, de los siguientes requerimientos de pago: o De fecha 5 de abril de 2016, referenciado e indivualizado a nombre del denunciante y a la dirección B.B.B., en el que se le informa de la inclusión de sus datos en BADEXCUG, en caso de impago de la deuda con referencia ***REF.1. El requerimiento se remitió por correo electrónico certificado a la dirección facilitada por el denunciante en su contrato D.D.D.. Aportan certificado emitido por la empresa LLEIDA.NET (tercero de confianza), utilizado por la compañía para la certificación de requerimientos de pago por correo electrónico, donde se acredita el envío del escrito (Notificación ***REF.1-3.pdf) al correo electrónico del denunciante con fecha 5 de abril de 2016. Según consta en el certificado se genera con el consentimiento expreso del interesado, a través de un sistema seguro y confidencial, que registra el tráfico. Se le asigna al certificado un identificador único (E1248692-S).” TERCERO: Con fecha 26 de junio de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a IBERIA CARDS por presunta infracción del artículo 4.3 en relación con el 29.4 de la LOPD tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 12.000 €, sin perjuicio de lo resultante de la instrucción del procedimiento. CUARTO: Notificado el acuerdo de inicio, IBERIA CARDS alegó que efectuó requerimiento previo de pago antes de incluir los datos del denunciante en el fichero certificado por LLEIDA NETWORKS TELEMATICS, S.A. (en adelante LLEIDA.NET) que acredita tanto su envío a la dirección de correo electrónico del denunciante en fecha 05/04/2016 (21:23 GMT+2), como su entrega en la misma en fecha 05/04/2016 (21:24 GMT+2) QUINTO: En fecha 02/11/2017 se emitió propuesta de resolución en el sentido de imponer a IBERIA CARDS una multa de 12.000 € por la infracción del artículo 403 en relación con el 29.4 de la LOPD, y en relación con los artículos 38, 39 y 43 del RLOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 SEXTO: Notificada la propuesta IBERIA CARDS reiteró que la documentación aportada acredita la entrega al denunciante del requerimiento de pago. HECHOS PROBADOS PRIMERO: En fecha 15/07/2016 tuvo entrada en esta Agencia denuncia del denunciante en el que pone de manifiesto que IBERIA CARDS ha incluido sus datos en el fichero de solvencia patrimonial y de crédito BADEXCUG, con fecha 03/07/2016, sin requerimiento previo de pago. SEGUNDO: Los datos personales del denunciante fueron incluidos por IBERIA CARDS en el fichero BADEXCUG en fecha 03/07/2016, por importe de 7.478,31 €. En fecha 14/07/2016 el denunciante solicitó la cancelación que fue denegada por IBERIA CARDS en fecha 19/07/2016. No obstante, en fecha 20/07/2016 EXPERIAN BUREAU DE CRÉDITO. S.L. (entidad de responsable del fichero badexcug) procedió a la cancelación cautelar de los datos tras revisar la documentación aportada por el denunciante (copia de denuncia presentada en fecha 12/07/2016 ante esta Agencia). No consta nueva inclusión en badexcug por IBERIA CARDS. TERCERO: IBERIA CARDS aportó copia del contrato de Tarjeta de Crédito IBERIA SENDO, suscrito por el denunciante con fecha 01/10/2014, donde consta como dirección postal c/ A.A.A. y como dirección de correo electrónico D.D.D.. En fecha 04/01/2016, se realizó por el cliente, a través de la página web de la empresa, un cambio de domicilio a la B.B.B. (esta dirección coincide con la aportada por el denunciante a la Agencia y con la que consta en la notificación de inclusión de sus datos en BADEXCUG por IBERIA CARDS). CUARTO: IBERIA CARDS ha aportado un certificado de comunicación electrónica (email certificado) expedido en fecha 05/04/2016 por Lleida.net en el que consta lo siguiente: “La operadora de telecomunicaciones “LLEIDANETWORKS Serveis Telematics, S.A.” en calidad de tercero de confianza certifica que los datos consignados en el presente documento son los que constan en sus registros de comunicaciones electrónicas. Detalles del envío Nombre/Razón social del usuario: Iberia Cards (CIF/NIE ***CIF.1) Identificación de usuario: 361745 Remitente: Registered email <***EMAIL.1> (reenviado en nombre de <***EMAIL.2>) Destino: D.D.D. Fecha y hora de envío: 5 de abril de 2016 (21:23 GMT+2) Fecha y hora de entrega: 5 de abril de 2016 (21:24 GMT+2) Asunto: CORREO ELECTRÓNICO CERTIFICADO Iberia Cards: Notificaciones a clientes Ref. ***REF.1” El correo electrónico contiene un archivo adjunto consistente en una carta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 requerimiento de pago fechado el 05/04/2016, referenciado e incivilizado a nombre del denunciante con dirección c/ B.B.B., en el que se le informa de la existencia de una deuda de 556,06 € (referencia: número de cuenta ***REF.1) cuyo impago en el plazo de 10 días provocará la inclusión de sus datos en el fichero BADEXCUG. QUINTO: Los detalles de la entrega del referido correo electrónico constan en el certificado expedido por Lleida.net, en el Anexo de detalles técnicos que dice facilitar los “Detalles del envío y entrega a los destinatarios o sus agentes electrónicos debidamente acreditados”. Entre ellos, los relativos al “registro de sistema” indican: “to=< D.D.D.>,(....) SEXTO: El certificado expedido por Lleida.net acredita únicamente el envío de un correo electrónico con origen en la cuenta ***EMAIL.3 con destino a la cuenta D.D.D. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II La LOPD se ocupa en su artículo 4 de la "Calidad de los datos" y dedica el apartado 3 al principio de exactitud o veracidad, corolario del principio de calidad de los datos, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en el apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial al amparo del artículo 29 de la LOPD señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
  3. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  4. c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Por otra parte, los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
  5. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio que de forma constante viene manteniendo la Sala de lo Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) En la misma línea la SAN de 28/06/2016 (Rec. 1703/2015) expone en el Fundamento Jurídico segundo: “(…) el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de comunicación a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 los deudores de requerimientos de pago como el que nos ocupa, Delion Comunications, S.L.U., y que se justificara suficientemente su entrega a UNIPOST, S.A., para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo”. (El subrayado es de la AEPD) IV A. La denuncia que nos ocupa versa sobre el presunto incumplimiento por IBERIA CARDS de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente con carácter previo a la inclusión de sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) Está acreditado que IBERIA CARDS informó al fichero BADEXCUG los datos del denunciante con fecha de alta 03/07/2016, por un saldo deudor de 7.478,31 €. En fecha 14/07/2016 el denunciante solicitó la cancelación que fue denegada por IBERIA CARDS en fecha 19/07/2016. No obstante, en fecha 20/07/2016 EXPERIAN BUREAU DE CRÉDITO. S.L. (entidad de responsable del fichero badexcug) procedió a la cancelación cautelar de los datos tras revisar la documentación aportada por el denunciante (copia de denuncia presentada en fecha 12/07/2016 ante esta Agencia). No consta nueva inclusión en badexcug por IBERIA CARDS. La deuda informada al fichero de solvencia asociada al denunciante procede del incumplimiento por su parte de la obligación de pago derivada del contrato contrato de Tarjeta de Crédito IBERIA SENDO, suscrito por el denunciante con fecha 01/10/2014, donde consta como dirección postal c/ A.A.A. y como dirección de correo electrónico D.D.D.. B. IBERIA CARDS con objeto de probar que requirió al denunciante el pago de la deuda antes de informar sus datos al fichero BADEXCUG, ha aportado copia escrita de una carta dirigida al denunciante que tiene fecha del 05/04/2016 en la que le concede un plazo de diez días para atender el pago y le advierte de que si no pone fin a la situación de impago será incluido en el fichero BADEXCUG. Afirma que tal comunicación de requerimiento de pago se envió al denunciante a través de un “correo electrónico certificado” remitido por LLEIDA.NET. IBERIA CARDS aportó copia carta de requerimiento de pago fechado el 05/04/2016, referenciado e incivilizado a nombre del denunciante con dirección c/ B.B.B., en el que se le informa de la existencia de una deuda de 556,06 € (referencia: número de cuenta ***REF.1) cuyo impago en el plazo de 10 días provocará la inclusión de sus datos en el fichero BADEXCUG. Consta certificado emitido por la empresa LLEIDA.NET (tercero de confianza), utilizado por IBERIA CARDS para la certificación de requerimientos de pago por correo electrónico, donde se certifica el envío del requerimiento (Notificación ***REF.1-3.pdf) al correo electrónico del denunciante D.D.D. en fecha 05/04/2016 (21:23 GMT+2), y su entrega en la misma en fecha 05/04/2016 (21:24 GMT+2). El certificado se genera con el consentimiento expreso del interesado, a través de un sistema seguro y confidencial, que registra el tráfico. Se le asigna al certificado un identificador único (E1248692-S). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 IBERIA CARDS ha aportado un “certificado digital” de “Lleida.net” en el que se certifica que en nombre de IBERIA CARDS, fecha 05/04/2016 (21:23 GMT+2) se envió un correo electrónico desde la dirección ***EMAIL.3 a la dirección D.D.D. y que éste fue recibido en la citada dirección en fecha 05/04/2016 (21:24 GMT+2), así como que el correo electrónico contenía un archivo adjunto consistente en una carta de requerimiento de pago fechado el 05/04/2016, referenciado e incivilizado a nombre del denunciante con dirección c/ B.B.B., en el que se le informa de la existencia de una deuda de 556,06 € (referencia: número de cuenta ***REF.1) cuyo impago en el plazo de 10 días provocará la inclusión de sus datos en el fichero BADEXCUG. El contenido del certificado de Lleida.net no ha quedado acreditado por la documentación que aporta, esto es, los detalles técnicos que se adjuntan a dicho certificado. El Anexo relativo a los detalles técnicos dice versar sobre los “Detalles del envío y entrega a los destinatarios o a sus agentes electrónicos debidamente autorizados”. En el presente caso esos detalles técnicos son los siguientes:
  6. a)
  7. b)
  8. c)Detalles de las cabeceras del correo electrónico: “from ***EMAIL.3 to D.D.D.,” siendo el asunto “CORREO ELECTRONICO CERTIFICADO Iberia Cards: Notificaciones a clientes Ref. ***REF.1. Detalles del dominio destino: Se hace constar que en el momento del envío el correo electrónico enviado a cuentas del dominio “ D.D.D.”, era gestionado por el servidor “5mx2. D.D.D.”. Detalles del registro de sistema: En el que se indica “to=< D.D.D.>,(....) Tras el análisis de los detalles técnicos se concluye que únicamente consta acreditado el envío de un correo electrónico –cuyo texto incluía un requerimiento de pago a nombre del denunciante de una deuda por importe de 556,06 euros- con origen en la cuenta ***EMAIL.3 y que iba destinado a la cuenta D.D.D.. Ahora bien, tal documentación en ningún caso acredita la “recepción” del referido correo por el destinatario. Llegados a este punto parece conveniente recordar que en el envío y recepción de un mensaje a través de correo electrónico participan los siguientes actores
  9. a)Terminal remitente
  10. b)Servidor de correo del dominio remitente (MTA1)
  11. c)Servidores de correo intermedios (MTA2….MTAn)
  12. d)Servidor de correo del dominio destinatario (MDA)
  13. e)Terminal destinatario Así, el esquema simplificado del envío de un correo electrónico, entre un remitente y un destinatario cuyas cuentas de correo son gestionadas por servidores de correo ubicados en distintos dominios, vendría a ser el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 1) Cuando el remitente quiere enviar un correo electrónico (en el presente caso desde la cuenta ***EMAIL.3) al denunciante ( C.C.C.), su sistema de correo electrónico se comunica con el servidor de correo electrónico del dominio del remitente (MTA1). Para que este haga llegar el mensaje a su destinatario. 2) El mensaje de correo sale del servidor MTA1 y es transmitido a través de una sucesión de servidores de correo intermedios (MTA2….MTAn) ubicados en Internet hasta que finalmente llega al servidor del dominio destinatario (MDA). 3) El mensaje que se encuentra almacenado en el servidor MDA, no será descargado en el terminal del destinatario y mostrado a éste hasta que se haya conectado al servidor de correo. Lo descrito en este último punto es relevante desde el punto de vista temporal, ya que las comunicaciones entre el remitente y el servidor de destino se producen de manera sucesiva y en un breve espacio de tiempo (en un escenario de funcionamiento normal, en cuestión de minutos), mientras que la descarga del correo electrónico en el terminal del destinatario no se producirá hasta que éste se conecte al servidor, lo que podría ocurrir mucho tiempo después y lo que vendría a ser una fase 4. En consecuencia, deben de producirse las cuatro comunicaciones que se muestran en el gráfico. En el presente caso los documentos aportados no permiten ni siquiera acreditar que el correo electrónico enviado por Lleida.net se hubiera recibido en el servidor del correo de destino. El mensaje de correo transita por una sucesión de servidores de correo MTA 1, MTA2,…. , MTAn para llegar al servidor de correo del dominio de la cuenta destinataria MDA. A continuación se relacionan una serie de casos en los que la comunicación pudo no ser recibida y al mismo tiempo no se registró un error en el servidor origen:
  14. a)Ausencia de respuesta: El protocolo SMTP no exige a los servidores que lo implementan la obligación de responder a las solicitudes con mensajes de error en el caso de que estos ocurran. El protocolo determina como deben de ser codificados determinados tipos de error de forma que cumplan con éste, pero es la configuración de los servidores de correo la que establece si ante un determinado error se responde con el mensaje correspondiente o no. Un ejemplo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 de este tipo de configuración sería un servidor de correo electrónico que al recibir un correo destinado a una cuenta inexistente no comunica el error al servidor origen. Este tipo de configuración suele hacerse con el fin de evitar los ataques que se dedican a probar las cuentas de correo de un dominio con el fin de averiguar cuáles existen y cuáles no.
  15. b)Descartado como spam: Los servidores y algunos clientes de correo acostumbran a incorporar programas anti spam, anti virus y sistemas de verificación del origen de los correos en base a reputación que pueden hacer que un correo electrónico, aunque no sea malicioso ni spam, sea clasificado como tal. Si se da esa circunstancia, no se produce ninguna comunicación de error en el envío al remitente caso y, en función de la configuración del servidor receptor, el mensaje podría ser borrado (en torno al 85% del correo electrónico que recibe un servidor de correo es spam) o bien almacenado temporalmente en una carpeta de correo no deseado que no es accesible al destinatario.
  16. c)Error interno: En la comunicación 3 se produce un error. En este caso el error, que ocurre dentro de la red de la organización que gestiona el correo del destinatario puede no remitir al servidor remitente un mensaje de error (informar sobre errores internos a entidades externas no es habitual) y el destinatario nunca ha llegado a recibir el correo electrónico.
  17. d)Error en la entrega: En ocasiones pueden producirse errores en la comunicación 4 que impiden que aunque un mensaje de correo se encuentre en el servidor, pueda ser descargado o visualizado. Este tipo de errores tampoco tienen por qué ser notificados al servidor remitente.
  18. e)Doble error: Cabe la posibilidad de que ocurriese un error pero que la comunicación de dicho error al servidor remitente fallase o que se produjera un nuevo error, esta vez en el propio registro del mensaje de error recibido. En definitiva, la denunciada ha facilitado a la AEPD en prueba de que efectuó el preceptivo requerimiento de pago al deudor anterior a la comunicación de sus datos a BADEXCUG, tanto en el curso de las actuaciones de investigación previa como con a sus alegaciones al acuerdo de inicio del expediente, el certificado de Lleida.net. anteriormente analizado. Documento que contiene evidencias del envío de un mensaje remitido desde la dirección de correo ***EMAIL.3 a la cuenta de destino D.D.D., pero no incluye evidencias de la entrega de dicho correo electrónico al destinatario. C. Es determinante la acreditación de que se recibió por el destinatario (en este caso el denunciante) el correo electrónico a través del cual IBERIA CARDS le requería el pago de la deuda. Únicamente si ese extremo resulta probado podemos entender cumplida la obligación impuesta por el artículo 38.1.
  19. c)del RLOPD al acreedor que informa al fichero datos de terceros. El cumplimiento de esta obligación legal es condición indispensable para que la inclusión de los datos personales de un tercero en un fichero de solvencia patrimonial sea respetuosa con la normativa de protección de datos de carácter personal. La información contenida en los registros informáticos de Lleida Networks prueba que el mensaje de correo electrónico fue enviado al servidor encargado de la cuenta de correo electrónico del denunciante. Lo que no prueban esos registros informáticos es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 que el servidor llegara a entregar el mensaje de correo electrónico al buzón D.D.D.. Existen circunstancias no achacables al titular de la cuenta de correo que podrían hacer que el mensaje, habiendo sido recibido por el servidor, no fuera efectivamente entregado al buzón destinatario como, por ejemplo: • Que el proceso encargado de entregar los correos recibidos a los correspondientes buzones hubiese sufrido un error fatal que provocase la pérdida de uno o más correos. • Que el software anti spam utilizado por el servidor de correo electrónico hubiese clasificado erróneamente como spam el mensaje. Es debido a ello que esta Agencia considera que no se han aportado evidencias de la entrega de la notificación del requerimiento de pago al buzón de correo electrónico del denunciante. La SAN de 14/11/2016 (Rec. 1432/2015) se ha pronunciado sobre la relevancia de probar la “recepción por el destinatario” del correo electrónico a través del cual se le requiere el pago de la deuda previo a la inclusión de sus datos en un fichero de solvencia y se le informa de que en caso de no atender el pago en plazo sus datos podrían ser incluidos en un fichero de morosidad. La Sentencia precitada desestimó el recurso contencioso administrativo interpuesto por la entidad sancionada contra la resolución dictada por la AEPD por infracción de los artículos 4.3 y 29.4 LOPD, en relación con el artículo 38.1.c, del RLOPD, por cuanto el requerimiento de pago se había efectuado por correo electrónico al email del denunciante sin que se tuviera constancia de la recepción del email por el destinatario. En su Fundamento de Derecho cuarto dice: “Pues bien, con dichas pruebas no se ha acreditado que se hubiesen efectuado los requerimientos previos a la inclusión en los ficheros Asnef y Badexcug de los datos personales de los denunciantes, (…) En relación a lo correos electrónicos enviados se desconoce si se recibieron adecuadamente por los denunciantes.(…)” Añade que “A este respecto, resulta interesante lo declarado por esta Sala en relación con cartas enviadas conteniendo el requerimiento en cuestión. Este Tribunal en su Sentencia de 15 de septiembre de 2011 –recurso nº. 341/2010-, siguiendo una línea jurisprudencial consolidada, declara que ha sostenido que, a los efectos de entender cumplido el requisito del requerimiento de pago antes de incluir los datos personales en un fichero de solvencia patrimonial, no resulta una prueba válida una copia de una carta que le requiriese de pago sin que conste su envío ni mucho menos la recepción por los denunciantes”. (El subrayado es de la AEPD) Trasladando las consideraciones realizadas a los hechos que se someten a la valoración de esta Agencia se concluye que la denunciada, en tanto no ha demostrado la recepción por el denunciante del correo electrónico enviado por Lleuda.net, no cumplió la obligación que le impone el artículo 38.1.c del RLOPD en relación con los artículos 4.3 y 29.4 de la LOPD de conformidad con el criterio jurisprudencial de la Sala de lo Contencioso administrativo de la Audiencia Nacional antes citado. D. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público, recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 infracción administrativa las personas físicas y jurídicas (…) que resulten responsables de los mismos a título de dolo o culpa”. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia. Paralelamente, el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) ha venido entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia que debe observarse se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. Se suma a lo expuesto que la normativa de protección de datos además de supeditar la legalidad de la inclusión de los datos del tercero deudor en un fichero de solvencia al cumplimiento de los requisitos descritos en el artículo 38.1 del RLOPD “refuerza” la diligencia que ha de desplegar el acreedor informante para su cumplimiento. Esta disposición señala que el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la AEPD documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo –por tanto, también el descrito en el apartado 1.c, del precepto- y del requerimiento previo al que se refiere el artículo 39 del RLOPD. Así las cosas, a tenor de la exposición precedente hemos de concluir que en el presente caso, IBERIA CARDS, omitiendo la diligencia que estaba obligada a desplegar en el cumplimiento de las obligaciones que le imponen la LOPD y el RLOPD, vulneró el artículo 4.3 de la citada Ley Orgánica en relación con el artículo 29.4 y en relación también con el artículo 38.1 de su Reglamento de desarrollo, conducta que es subsumible en el tipo infractor del artículo 44.3.
  20. c)LOPD. V El artículo 45 de la LOPD establece en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  21. a)El carácter continuado de la infracción.
  22. b)El volumen de los tratamientos efectuados.
  23. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  24. d)El volumen de negocio o actividad del infractor.
  25. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  26. f)El grado de intencionalidad.
  27. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  28. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 personas.
  29. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  30. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  31. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  32. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  33. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  34. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  35. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por cuanto la entidad regularizó la situación de manera diligente, habida cuenta que los datos del denunciante incluidos en el fichero BADEXCUG desde fecha 03/07/2017, fueron dados de baja en fecha 20/07/2017, tras la solicitud de cancelación efectuada por éste en fecha 14/07/2017. Procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD. Se considera como circunstancia atenuante de la conducta del infractor el hecho en que el requerimiento de pago fue contratado por la entidad Lleida.net, entidad que certificó a IBERIA CARDS su envío por correo electrónico y entrega en la dirección electrónica del denunciante, resultando que dicha certificación únicamente acredita el envío del requerimiento, no así su entrega (artículo 45.4.
  36. j)LOPD). Se considera como circunstancia agravante la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal, pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa (artículo 45.4.
  37. c)LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SOCIEDAD CONJUNTA PARA LA EMISION DE MEDIOS DE PAGO, EFC, S.A. una multa de 12.000 € (doce mil euros) por la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con los artículos 38, 39, y 43 del RLOPD, tipificada como grave en el artículo 44.3.
  38. c)de dicha norma, de conformidad con los dispuesto en el artículo 45.1, 4 y 4 de la citada ley orgánica. SEGUNDO: NOTIFICAR la presente resolución a SOCIEDAD CONJUNTA PARA LA EMISION DE MEDIOS DE PAGO, EFC, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  39. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.