← España

PS-00357-2014

1/15 Procedimiento Nº PS/00357/2014 RESOLUCIÓN: R/02880/2014 En el procedimiento sancionador PS/00357/2014, instruido por la Agencia Española de Protección de Datos a la entidad COFIDIS SA, SUCURSAL EN ESPAÑA, vista la denuncia presentada por Dª B.B.B. y en base a los siguientes:, ANTECEDENTES PRIMERO: Con fecha 14/12/12 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) escrito de denuncia presentado por Dª B.B.B. en la que manifestaba que COFIDIS había prestado sus servicios a otra persona vinculando su DNI a la deuda del tercero y procediendo a su inclusión en un fichero de solvencia patrimonial. . La denuncia fue tramitada en el marco del expediente E/01960/2013, que dio pie a la apertura del procedimiento sancionador PS/00645/2013, terminado mediante Resolución del Director de la AEPD de 27/05/2014, que ordenaba el archivo del mencionado procedimiento sancionador, en base a la caducidad de las mencionadas actuaciones previas de inspección y la apertura y realización de nuevas actuaciones previas en el marco del expediente E/03105/2014. Por parte de la denunciante se presentó diversa documentación en relación a los hechos denunciados. SEGUNDO: Una vez que se procedió a la apertura de las nuevas actuaciones previas señaladas, la investigación ha concluido con el informe (E/03105/2014) de la Inspección de Datos, de fecha 3/6/14. TERCERO: Con fecha 17/7/14, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a COFIDIS por la presunta infracción de los artículos 6 y 4 de la LOPD tipificadas como grave en los artículos 44.3.b y 44.3.c, respectivamente, de la citada norma. CUARTO: Con fecha 26/08/14 por parte de COFIDIS se ha presentado escrito de alegaciones ante al Acuerdo de Inicio que se han tenido en cuenta en la resolución del presente procedimiento. QUINTO: Transcurrido el plazo de alegaciones que se concedió en el Acuerdo de iniciación del Procedimiento Sancionador nº PS/357/2014, se acordó aperturar periodo de práctica de pruebas, dando por reproducidos a efectos probatorios la denuncia interpuesta por Dª B.B.B. y su documentación, y los documentos obtenidos y generados por los Servicios de Inspección ante COFIDIS S.A. y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03105/2014 SEXTO: Por el instructor del procedimiento se dictó propuesta de resolución, con fecha 6/11/14, en el sentido que por parte del Director de la Agencia se sancionase a COFIDIS S.A. por la infracción de los artículos 6.1 y 4.3. de la LOPD. SEPTIMO: Se han presentado, con fecha 4/12/14, escrito de alegaciones a la propuesta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 de resolución, solicitando el archivo del expediente sancionador en base, en síntesis, a lo siguiente: * Caducidad de las actuaciones previas de investigación. * Nulidad del Acuerdo de inicio al limitarse a reproducir unas actuaciones previas de investigación que debieron ser archivadas por no tener validez jurídica. * Ausencia de culpabilidad. HECHOS PROBADOS 1º Consta denuncia presentada por Dª B.B.B. en la que manifestaba que COFIDIS había prestado sus servicios a otra persona vinculando su DNI a la deuda del tercero y procediendo a su inclusión en un fichero de solvencia patrimonial. 2º Consta que la denuncia fue tramitada en el marco del expediente E/01960/2013, que dio pie a la apertura del procedimiento sancionador PS/00645/2013, terminado mediante Resolución del Director de la AEPD de 27/05/2014, que ordenaba el archivo del mencionado procedimiento sancionador, en base a la caducidad de las mencionadas actuaciones previas de inspección y la apertura y realización de nuevas actuaciones previas en el marco del expediente E/03105/2014 3º Se presentó por la denunciante a siguiente documentación en relación a los hechos denunciados: * Copia del DNI. * Copia de escrito mediante el cual la denunciante solicita el ejercicio del derecho de acceso ante el responsable del fichero ASNEF, así como reporte del fax según el cual dicha solicitud habría sido enviada en fecha 23/2/2012. * Copia de escrito de fecha 23/2/2012 de ejercicio del derecho de cancelación ante el responsable del fichero ASNEF. No consta comunicación fehaciente del mismo. * Copia de atestado de fecha 24/2/2012 de una denuncia presentada ante la Policía Nacional en el que la denunciante manifiesta: <<-- Que en el día de ayer la denunciante solicitó a LINEA DIRECTA y presupuesto para hacer un seguro y le comunicaron que no se lo podían dar porque tenían una deuda en el ASNEF, EQUIFAX, RAI y otro que no sabe cómo se llama, por una deuda de 5.248’15 euros. -- Que la denunciante seguidamente llama a ASNEF y le comunican que efectivamente tiene una deuda pendiente a nombre C.C.C., calle F.F.F., de granada , con su nº. de DNI H.H.H., por lo que tenía que ir a la Policía a hacer un denuncia. -- Que al preguntarle la procedencia de la referida deuda le han dicho que no se lo podían decir, por lo que la denunciante ignora la procedencia de la reseñada deuda y como solucionarlo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 -- Que la denunciante no ha realizado ninguna compra ni solicitado ningún préstamo, por lo que sospecha que también pudiera tratarse de un error en el número del DNI, que es lo único que tiene relación con la denunciante, ya que no coincide ni el nombre y apellidos ni la dirección. >> * Copia de correo electrónico remitido a info@......... mediante el cual la denunciante solicita el ejercicio del derecho de rectificación en el fichero ASNEF. * Copia de escrito de fecha 4/12/2012 mediante el cual el responsable del fichero ASNEF informa a la denunciante que, procediendo a su petición de ejercicio del derecho de rectificación se ha procedido a subsanar la identidad atribuida al NIF H.H.H., que pasa a estar a su nombre. Igualmente, se le informa que no existen datos asociados a la denunciante en el fichero de solvencia citado. 4º Consta en los ficheros de COFIDIS la siguiente información en relación a Dª B.B.B.: * Que en sus sistemas el DNI H.H.H. aparece asociado a C.C.C., persona a la que se encuentra vinculado el producto nº G.G.G., correspondiente a una línea de crédito con un importe concedido por valor de 4.000 €. * Se ha aportado impresión de pantalla que refleja como datos asociados a C.C.C., identificado con el NIF H.H.H., el domicilio sito en La Zubia, Granada, en Calle D.D.D., así como constan los datos bancarios E.E.E.. * Esos datos son los que aparecen consignados en una solicitud de crédito fechada a 04/01/2008 por la que C.C.C. solicita 12.000 €. Junto con su solicitud aporta copia del DNI (prácticamente ilegible, siendo la zona más legible precisamente la correspondiente a la numeración del documento, pero siendo del todo imposible discernir los datos de la persona titular o su foto), de una nómina (entre sus datos consta consignado el DNI H.H.H.) y una impresión de pantalla de la web de ING, que refleja el número de cuenta señalado ut supra y del que consta como titular C.C.C.. * COFIDIS aporta, asimismo, copia de dos cartas fechadas a 29/01/2008, en las que se comunica a C.C.C. de que su línea de crédito ha sido aceptada y que ya hemos realizado la transferencia a su cuenta. El importe del crédito es de 4.000 €, y en una de las comunicaciones se le informa de las condiciones del mismo. 5º Se ha aportado relación de numerosas comunicaciones realizadas al deudor por el retraso del pago de las cuotas del préstamo concedido, de las que se aportan copia, y en las que se aprecia que siempre se han remitido dichas reclamaciones de deuda a la dirección aportada por el deudor. 6º Se ha aportado extracto de la cuenta de cliente del deudor, del que se desprende que le fue concedido un crédito de 4.000 euros, que consecuencia del impago de los recibos que se pasaron al cobro se devengaron gastos, así como se devengaron intereses y gastos por el seguro contratado, por lo que, según informa la entidad, la deuda total vencida, líquida y exigible ascendía al importe de 5.248,15 €. 7º Que respecto de las causas que han motivado la inclusión en los ficheros de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 morosidad se ha que respondió al impago por parte del mismo de los recibos mensuales pasados al cobro desde el mes de marzo de 2008, tras haberle requerido infructuosamente el pago, tal y como se desprende del extracto de cuenta del cliente aportada. 8º Consta así mismo manifestaciones en el sentido que los datos se excluyeron de dicho fichero cuando se tuvo conocimiento de que existía alguna duda acerca de alguno de los datos, en concreto del número de DNI que Don C.C.C. había facilitado a la firma del contrato. En este sentido, COFIDIS aporta copia de la comunicación recibida del responsable del fichero ASNEF en la que se informa de que el NIF H.H.H. está erróneamente atribuido a Don C.C.C., cuando ese NIF pertenece a otro titular. 9º Que con fecha de 10 de febrero de 2014 se solicitó a la Dirección General de la Policía Nacional información relativa a si el nº de DNI H.H.H. corresponde o ha correspondido además de a B.B.B. a C.C.C.. De la respuesta recibida se desprende lo siguiente: * En la base de datos de la policía consta que como DNI correcto de B.B.B. el H.H.H.. * En la base de datos de la policía no consta que el DNI H.H.H. esté asociado a un titular con la filiación C.C.C.. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD. II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/03105/2014, se determinó que, salvo prueba en contrario, COFIDIS trató los datos personales del denunciante sin acreditar su consentimiento e informando los mismos a un fichero de morosidad. COFIDIS ha presentado escrito de alegaciones ante el acuerdo de inicio manifestando, en síntesis, lo siguiente: * Que como ya se alegó en la resolución del PS/645/2013 se solicita el archivo del expediente por caducidad de las actuaciones previas de investigación al haber transcurrido más de 12 meses desde la entrada en la AEPD de la denuncia que ha dado origen en ambas ocasiones a la iniciación de las actuaciones de investigación. * Que no se han practicado nuevas actuaciones, sino que se limitan a reproducir las que debieron ser archivas por no tener validez por efecto de la caducidad en la que incurrieron. * Que se tengan por reproducidas las alegaciones que sobre el fondo del asunto se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 formularon en los escritos de alegaciones al acuerdo de inicio y propuesta de resolución del PS 645/2013. * Dichas alegaciones anteriores fueron las siguientes: * Que recibió en sus oficinas un contrato de crédito de los denominados VIDA LIBRE, de fecha 29/01/08 por importe de 4000 euros, suscrito con apariencia de legalidad por quien afirmaba ser titular del DNI H.H.H. D. C.C.C.. Se aportan una serie de documentos: copia de un recibo de salarios, contratación de una cuenta corriente, coincidiendo los datos personales del presunto titular en todos los documentos, esto es el nombre, el DNI y domicilio facilitado por el titular del crédito con lo que no había ningún indicio para sospechar de una situación anómala. * Que a D. C.C.C. se le remitieron numerosas cartas (hasta 15) donde COFIDIS ponía de manifiesto el impago y se señalaba un número de cuenta donde efectuar el pago pendiente. Remitiendo el 12/5/08 una carta consistente en requerimiento de pago de la deuda pendiente e información de que en caso de no verificar su pago los datos serían comunicados al fichero ASNEF. Todas las cartas se remitieron al domicilio que el Sr. C.C.C. hizo constar en el contrato. * Que tan pronto como COFIDIS tuvo conocimiento de que existía alguna duda acerca de alguno de los datos, en concreto del número de DNI que el SR. C.C.C. había facilitado y que no podía corresponder el número con dicho titular, hecho que le fue puesto de manifiesto por ASNEF, COFIDIS solicitó la baja de todos los datos en el fichero. * Considera que no existe vulneración de la normativa de protección de datos puesto que la entidad obró en todo momento de buena fe y aplicando plena diligencia III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  2. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  3. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 Debe contestarse en primer lugar a la alegación relativa a la caducidad de las actuaciones previas de investigación, ya que el escrito de denuncia presentado por la denunciante es de fecha 14/12/12. Efectivamente tras la recepción de la denuncia por el Director de la Agencia se ordenó a la Subdirección General de Inspección la realización de las actuaciones previas de investigación que se llevaron a cabo en el expediente E/01960/2013. En base a ellas se apertura expediente sancionador PS/645/13 que finalizó por resolución de 27/5/14 declarando el archivo de dicho procedimiento, ordenando a la Subdirección General de Inspección de la Agencia que procediese a realizar la correspondiente investigación en el marco de las actuaciones previas E/03105/2014 al no haber prescrito la presunta infracción cometida. De acuerdo a dicha resolución que ordenaba el inicio de nuevas actuaciones de investigación, éstas se han llevado a cabo en el expediente E/03105/2014 que finalizaron con informe de 3/6/14. Frente a lo mantenido por la entidad denunciada la declaración de caducidad de un expediente de actuaciones previas ni impide, que la documentación obtenida en las mismas, pueda ser utilizada en un procedimiento posterior siempre que no opere la prescripción de la presunta infracción cometida, por lo que aquella no puede ya considerarse sin efecto en virtud de dicha caducidad. La posibilidad de aperturar nuevas actuaciones previas de investigación (cuando la presunta infracción no ha prescrito) tras la caducidad de actuaciones previas anteriores ha sido avalada por la Audiencia Nacional, así se recoge en la SAN de 10-7-2013 que fundamenta lo siguiente: “TERCERO.- Alega, en segundo lugar, la parte demandante que se produjo la caducidad de las actuaciones previas al haber transcurrido más de dos años desde la fecha de la denuncia hasta la notificación del acuerdo de iniciación del expediente sancionador, de conformidad con el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. De modo que presentada la denuncia con anterioridad al 21 de octubre de 2009, el archivo por caducidad de un primer procedimiento de actuaciones previas de investigación con número E/00528/2010 el 17 de noviembre de 2010, y la posterior incoación de otro procedimiento de actuaciones previas de investigación con número E/03901/2010 por los mismos hechos que dieron lugar a la incoación del procedimiento sancionador el 7 de noviembre de 2011, vulnera el principio de seguridad jurídica y el artículo 122 del Reglamento de la LOPD. Sin embargo, aunque los dos procedimientos de actuaciones previas de investigación tuvieran lugar sobre los mismos hechos, lo cierto es que se tramitaron sucesivamente, comenzando las segundas actuaciones de investigación tras declararse la caducidad de las primeras, tal y como se expuso en el Fundamento de Derecho Primero de esta sentencia, por haberse rebasado el plazo de doce meses de duración máxima que prevé el artículo 122 del Reglamento de la LOPD y en cumplimiento de lo dispuesto en el apartado cuarto de este precepto. Al respecto, el artículo 92 de la LRJPAC, al que se remite su artículo 44.2 al prever la caducidad de los procedimientos en los que la Administración ejercite potestades C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 sancionadoras, entre otros, establece los efectos de la caducidad que, con independencia de provocar el archivo del procedimiento, “no producirá por si sola la prescripción de las acciones del particular o de la Administración pero los procedimientos caducados no interrumpirán el plazo de prescripción”. Por consiguiente, declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación, como ha sucedido en el presente caso.” En este caso al haberse iniciado el presente procedimiento sancionador (17/7/14), que fue notificado a la entidad denunciada con fecha (28/7/14) con anterioridad a la prescripción de la presunta infracción cometida (4/12/14), dichas apertura ha interrumpido el plazo de prescripción de dos años al tratarse de una infracción grave IV Se imputa a COFIDIS, en primer lugar, la comisión de la infracción del art. 44.3.
  4. b)de la LOPD que establece como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo “. El art. 6 de la LOPD establece en su apartado primero que “el tratamiento de datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. A continuación, dicho precepto en su apartado segundo establece aquellos supuestos en los que no será preciso dicho consentimiento, entre los que se encuentra el supuesto en que los datos se refieran a las partes de un contrato o precontrato de una relación negocial. El art. 3
  5. h)de la LOPD define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”: El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia. Ahora bien, tal y como ha expresado la Audiencia Nacional, sala de lo contencioso administrativo, y, entre otras, en Sentencia de 28/02/2007 -recurso n°.236/2005-, el consentimiento ha de ser necesariamente “inequívoco”. De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento. Por otro lado, la carga de acreditar la existencia del “consentimiento inequívoco”, a que hace referencia el art. 6.1 de la LOPD, recae sobre la entidad responsable del fichero o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 encargada del tratamiento de los datos personales, cuando su existencia sea negada por el titular de tales datos (Sentencia de la AN de 8/11/2012 -recurso n°. 789/2010-). En este caso, los datos personales de la denunciante fueron incorporados a los sistemas de información de COFIDIS (en concreto su DNI – NIF), asociado a un contrato suscrito por D. C.C.C., sin que haya quedado acreditado que la entidad dispusiera del consentimiento de la denunciante para el tratamiento de sus datos personales (DNI NIF), ni que hubiera tomado las medidas para acreditar fehacientemente la identidad y el DNI – NIF del cliente En este sentido, procede citar la Sentencia de la Audiencia Nacional de fecha 21/12/2001 en la que declara que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... (Nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Por tanto, corresponde a COFIDIS acreditar que cuenta con el consentimiento de la denunciante para el tratamiento de sus datos personales, máxime cuando éste niega haberlo otorgado, y cuando no consta que se haya efectuado ninguna comprobación, o que no fueron suficientes, para acreditar la correcta identificación de los datos personales de su cliente En consecuencia, COFIDIS ha efectuado un tratamiento de los datos personales de la denunciante, sin que haya acreditado en el procedimiento que cuente con el consentimiento del mismo para su tratamiento, ni que cuente con habilitación legal para ello. Dicho tratamiento de datos vulnera el principio del consentimiento recogido en el artículo 6 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante ni se ha realizado con la concurrencia de ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD, que hubieran permitido a la entidad tratar los datos de la denunciante, puesto que no era titular del contrato que habilitaría el tratamiento de sus datos personales Respecto del tiempo de dicho tratamiento, debe tenerse en cuenta que el DNI de la denunciante estuvo incorporado a un fichero de morosidad, asociada a una deuda que no le correspondía, hasta la solicitud de baja de los mismos solicitada en noviembre de 2012, lo que evidencia que hasta esa momento los datos de la denunciante continuaban tratándose también en los ficheros de la denunciada y además de este tratamiento, incluyó los datos en el citado fichero ASNEF Por lo tanto, COFIDIS, al tratar los citados datos de los denunciantes sin contar con su consentimiento, ha vulnerado el artículo 6 de la LOPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 V El artículo 44.3.
  6. b)de la LOPD tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. COFIDIS, a través de sus empleados o agentes, ha realizado un contrato, sin controlar ni realizar un trabajo de supervisión que permita detectar si la persona ha manifestado real e inequívocamente su voluntad de contratar. En definitiva, es necesario que, una vez identificada la persona sin lugar a dudas –y documentada la identificación-, y tras la información pertinente ha prestado su consentimiento al contrato del servicio y, en consecuencia, al tratamiento de sus datos personales. En el caso que nos ocupa han tratado los datos de la persona denunciante sin contar con su consentimiento lo que supone una vulneración de este principio, conducta que encuentra su tipificación en este artículo 44.3.
  7. b)de la citada Ley Orgánica. VI Se imputa a COFIDIS asimismo la infracción del artículo 4.3 de la LOPD que indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Resulta acreditado en esta Agencia que las entidades asociadas a los ficheros “Asnef” y “Badexcug” suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el fichero siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la denunciante son datos que figuran en los propios ficheros automatizados de COFIDIS. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. El Real Decreto 1720/2007, de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD, (RLOPD) vigente desde el 19/04/208, dispone: Artículo 38. Requisitos para la inclusión de los datos. “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: A) Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el imputado puede subsumirse o no en tales definiciones legales. En el presente caso, la entidad denunciada trató (artículo 6.1) los datos relativos a la denunciante en sus propios ficheros, de los que es responsable conforme al artículo citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación (artículo 4.3 en relación al 29.2) a ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implica tratamientos automatizados de datos como es su incorporación a una cinta magnética cuyo destino es, también, ser tratada automatizadamente por el responsable del fichero de solvencia, siendo dados de alta en el fichero de solvencia patrimonial al culminar el proceso descrito. De lo expuesto se deduce que COFIDIS sido responsable del tratamiento de datos en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa a la denunciante no responda a los principios de calidad de datos recogidos en el artículo 4 de la LOPD,. VII El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
  8. c)y 3,
  9. h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por su parte, el R.D. 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  10. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” Se deduce por tanto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, por una parte, que la deuda sea cierta, vencida, exigible y que haya resultado impagada, y por otra, que se haya requerido de pago al deudor antes de informar los datos a la entidad responsable de la gestión del fichero. Conviene recordar, además, que es el acreedor el responsable de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. No se discute en este supuesto la existencia de un requerimiento previo sino la certeza de la deuda. En este caso COFIDIS incorporó a sus sistemas informáticos datos personales de la denunciante (NIF,) asociados a la contratación de una línea de crédito de las que no era C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 titular; Por ello, el tratamiento posterior de esos datos, determinó que la entidad le imputara una deuda que, respecto al denunciante, no era cierta, ni vencida ni exigible. La posterior información de dichos datos al fichero ASNEF en relación con deudas que no eran veraces al no responder a la situación de la Sra. B.B.B., ni por tanto vencidas y exigibles, por lo que se ha vulnerado el principio de calidad de datos previsto en el artículo 4 de la LOPD. La conculcación de este principio supone la comisión de la infracción grave prevista en el transcrito artículo 44.3.c). El artículo 44.3.
  11. c)de la LOPD, tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. VIII El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Debe tenerse en cuenta que el art. 45.5 trata de hacer efectivo hasta sus últimas consecuencias el principio de proporcionalidad y ello pues no sólo se permite aplicar en cada caso los criterios que resultan de la aplicación de los dispuesto en el art. 45.4, sino que permite que tras una primera tarea de acomodación de la multa al caso concreto se pueda producir una segunda valoración mediante la aplicación de la sanción correspondiente relativa a la escala inferior y ello cuando se aprecie,- por quien tiene la competencia para fijar la sanción, esto es el Director de la agencia de Protección de Datos -, una disminución de la culpabilidad del imputado o de la antijuricidad del hecho. Pues bien en este caso a pesar que se ha acreditado la existencia de una vulneración, por parte de la entidad denunciada, del principio del consentimiento establecido en el art. 6 de la LOPD, y de la calidad del dato establecido en el artículo 4 se deduce que ha existido una cualificada disminución de la culpabilidad teniendo en cuenta las alegaciones puestas de manifiesto por la entidad: * Aportado copia de un contrato con los datos de su cliente y con copia de un DNI, cuyo número corresponde al de la denunciante. Existía pues una apariencia de legalidad en la contratación a pesar de la falta de diligencia en el cotejo del documento de identidad del contratante. * Que la entidad mantuvo comunicaciones con su cliente, enviándole 15 cartas incluyendo la que contenía el requerimiento previo a la inclusión. Los dos anteriores argumentos implican la existencia de circunstancias que resultan relevantes para determinar el grado de antijuricidad y de culpabilidad presente (art. 45.5a en relación con el 45.4.
  27. j)Teniendo en cuenta lo anterior, y los criterios de graduación de las sanciones establecidos en el art. 45.4, que recoge el principio de proporcionalidad en la aplicación de las sanciones, teniendo además en cuenta que tras la reclamación de la denunciante ante ASNEF sus datos fueron dados de baja y no hubo tratamiento posterior no se emitieron nuevas facturas ; evitándose el tratamiento de los datos y dando de baja a la información suministrada al fichero de morosidad, se considera procedente imponer una sanción de 10.000 por cada una de las infracciones cometidas. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 PRIMERO: IMPONER a la entidad COFIDIS S.A. SUCURSAL EN ESPAÑA S.A., por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  28. b)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: IMPONER a la entidad COFIDIS S.A. SUCURSAL EN ESPAÑA S.A., por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica TERCERO: NOTIFICAR la presente resolución a COFIDIS S.A. SUCURSAL EN ESPAÑA S.A., y a B.B.B.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.