← España

PS-00365-2016

1/11 Procedimiento Nº PS/00365/2016 RESOLUCIÓN: R/00631/2017 En el procedimiento sancionador PS/00365/2016, instruido por la Agencia Española de Protección de Datos a la entidad IBERCAJA BANCO S.A, vista la denuncia presentada y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 18/9/15 se presentó denuncia por D. A.A.A. y Dª B.B.B. manifestando que La entidad IBERCAJA BANCO S.A. ha incluido sus datos en BADEXCUG sin requerimiento previo de pago SEGUNDO: Se ha aportado la siguiente documentación en relación a los hechos denunciados. * Copia de DNI * Correos electrónicos con copias de DNI desde la cuenta .....1@gmail.com de los denunciantes de 18/10, 22/10, 28/10, 11/11 y 15/11/2013 a la dirección .....@ibercaja.es de solicitud de cancelación de cuenta, respuesta del banco por la misma vía de 25/10 y 15/11/2015. * Correo electrónico desde la cuenta .....1@gmail.com de los denunciantes de 22/7/2015 a la dirección .....@ibercaja.es de solicitud de reparación de daños, y acuse de envío de fax a la oficina del banco en Puertollano de 23/07/2015. * Reclamación presentada en el Defensor del Cliente de la Federación Aragonesa de Cajas de Ahorro en fecha 21/07/2015 * Dos cartas de Experian a nombre de cada denunciante de 7/7/2015 de notificación de alta en fichero Badexcug con fecha 5/7/2015 por importe de 422,75€ por la entidad CAJA DE AHORROS Y MONTE DE PIEDAD DE ZARAGOZA, ARAGON Y LA RIOJA. * Carta de Experian a nombre de la denunciante de 3/9/2015 de denegación de cancelación de datos y confirmando una deuda de 431,25€ por la entidad IBERCAJA que a fecha de alta 05/07/2015 era de 422,75€. TERCERO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/08003/2015. Concluyéndose la investigación con informe siguiente de la Inspección de Datos de fecha 6/6/15. CUARTO: La Directora de la Agencia Española de Protección de Datos acordó, con fecha 5/9/15 iiniciar procedimiento sancionador a IBERCAJA BANCO S.A. por la presunta infracción del art 4.3 de la LOPD QUINTO: Se han presentó escrito de alegaciones, por parte de la entidad denunciada, con fecha 13/10/16, manifestando, en síntesis lo siguiente: 1. Que la deuda comunicada al fichero Badexcug (Por Ibercaja) trae causa del saldo deudor existente en la cuenta de ahorro ***CCC.1 cuyos titulares son los denunciantes. 2. Que con carácter previo a la inclusión se requirió el pago mediante carta que fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 depositada en el buzón electrónico de los denunciantes, dado que éste era el domicilio de correspondencia de los mismos. 3. Que los datos fueron cautelarmente cancelados con fecha 29/2/16 SEXTO: Con fecha 23/11/15 se inició el período de práctica de pruebas y en él se acuerdan las siguientes: Dan por reproducidos a efectos probatorios la denuncia interpuesta y su documentación; los documentos generados por los Servicios de Inspección y las alegaciones al acuerdo de inicio presentadas En el mismo periodo se procede a interesar de EXPERIAN que certifiquen las fechas de alta y baja de la deuda informada por IBERCAJA BANCO respectos a los NIF ***NIF.1 Y ***NIF.2. Manifestando lo siguiente: - Que los datos de los denunciantes fueron incluidos, en el fichero de Badexcug durante el periodo 5/7/15 a 29/2/16, siendo la deuda dada de baja a petición de la entidad informante. SEPTIMO: Con fecha 03/02/17 se dictó la siguiente propuesta de resolución: <<<<< Que por la Directora de la Agencia Española de Protección de Datos se sancione a IBERCAJA BANCO S.A con multa de 40.001 € (cuarenta mil euros y un euros) por la infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma >>>>> HECHOS PROBADOS 1º Consta contrato de apertura de cuenta ***CCC.2 formalizado por ambos denunciantes como titulares de la misma, titulares con fecha 07/02/2011; señalando como domicilio en ***LOCALIDAD.1, 2º Consta contrato de IBERCAJA Directo (servicio de banca electrónica) formalizado por ambos clientes con domicilio en ***LOCALIDAD.2, con fecha 16/06/2003, a través del cual pueden acceder al buzón electrónico. Figurando como correo-e: .......@terra.es. Ambos clientes tienen designado el buzón electrónico, accesible a través de Ibercaja Directo (servicio de banca electrónica) o cajeros automáticos, como domicilio para recibir correspondencia. * 3º Que la deuda comunicada al fichero BADEXCUG EXPERIAN tiene su origen en un saldo deudor en la cuenta de ahorro n° cuyos titulares son los afectados. 4º Consta copia del el modelo genérico de requerimiento de W1pago, que fue Ibercaja Banco y, al tener dichos clientes designado como domicilio de correspondencia el buzón electrónico, fueron incorporadas en el buzón electrónico de cada uno de estos clientes con fecha 19/02/2014. No consta la efectiva recepción del mismo por los interesados. 5º Que los datos de los denunciantes fueron incluidos, en el fichero de Badexcug durante el periodo 5/7/15 a 29/2/16, siendo la deuda dada de baja a petición de la entidad informante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 6º Consta en EXPERIAN una Solicitud de acceso a los datos del afectado, recibida el día 10/07/2015 por correo certificado con acuse de recibo. 7º Que la entidad Caja de Ahorros y Monte de Piedad de Zaragoza, Aragón y Rioja, con fecha 22 de septiembre de 2011, segregó su actividad financiera a IBERCAJA BANCO S.A.U., entidad de nueva creación, de acuerdo con lo dispuesto en la escritura de segregación y constitución otorgada ante un notario de Zaragoza el 22 de septiembre de 2011 con número ***** de su protocolo. Que implica la transmisión en bloque, a título universal, a la sociedad beneficiaria de nueva creación IBERCAJA de la actividad financiera de la Caja de Ahorros y Monte de Piedad de Zaragoza, Aragón y Rioja. El conjunto patrimonial segregado forma una unidad económica y comprende el negocio financiero de la Caja de Ahorros y Monte de Piedad de Zaragoza, Aragón y Rioja, incluidos todos los elementos patrimoniales adscritos al mismo. FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

  1. g)en relación con el artículo 36 de la LOPD II Sobre los hechos imputados a la entidad denunciada y su calificación jurídica: En el presente expediente se analiza si la inclusión de los datos de los denunciantes en los ficheros de morosidad, por parte de la entidad denunciada ha contravenido las garantías establecidas en el art. 4 de la LOPD, y en particular a lo referente que dicha inclusión debe ser previamente advertida al titular de los datos mediante el requerimiento previo de pago. El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En particular, el artículo 29.2 de la Ley Orgánica 15/1999 dispone que “podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés”, añadiendo que “en estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 En cuanto a los plazos de conservación de los datos, el artículo 29.4 dispone que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Este régimen se desarrolla con mayor detalle por la Sección segunda del Capítulo I del Título IV del Reglamento de desarrollo de la Ley Orgánica aprobado por Real Decreto 1720/2007 de 21 de diciembre, en adelante RDLOPD. Así, en cuanto a los requisitos que habrá de tener la deuda para que proceda su inclusión en el fichero, el artículo 38.1 del Reglamento, en la redacción resultante de la Sentencia del Tribunal Supremo de 15 de julio de 2010 aclara que “sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
  3. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
  4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Se debe concluir, por consiguiente, que sólo en caso de que la deuda reúna los requisitos citados, no haya transcurrido el plazo citado y, en todo caso, se haya producido el requerimiento de pago al deudor al que se refiere el precepto será posible incorporar aquélla a los ficheros de solvencia patrimonial y crédito, estableciendo además el artículo 38.3 del reglamento que “el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. El requerimiento previo constituye una verdadera manifestación de voluntad por la cual el acreedor requiere al deudor para que cumpla su obligación, interrumpiendo así la prescripción. Se trata, de un acto que trasciende con creces de un mero cumplimiento formal, puesto que se otorga al deudor, Lo que impone la necesidad que el requerimiento ha de ser recepticio, debiendo dirigirse a la persona concreta que ha de cumplir la obligación y acreditando con carácter general la recepción del requerimiento. Tal es el criterio formulado por la Audiencia Nacional de 24 de enero de 2003, (Rec. 51/2001) de la que se se desprende que es sobre el responsable del fichero en quien recae la carga de la prueba de la recepción de la notificación por parte del afectado cuyos datos se han incorporado al fichero común de morosidad, no bastando la mera acreditación del envío de la comunicación”. Ese carácter de acto recepticio del requerimiento, al ser una manifestación de voluntad que produce efectos jurídicos, que se dirige una persona concreta, debiéndose de acreditar suficientemente, no sólo el envío, sino la efectiva recepción del mismo; se ha subrayado también la reciente sentencia de 28/6/16 (Recurso 0001703/2015) en el que manifiesta: “ Así es, el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 comunicación a los deudores de requerimientos de pago como el que nos ocupa, XXXXX que se justificara suficientemente su entrega a XXXXXX para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo. El incumplimiento de tal obligación, previa a la inclusión de los datos en los ficheros de solvencia, determina la imputación del tratamiento de datos con infracción del principio de calidad mencionada, resultando relevante al respecto que la recurrente no haya aportado la documentación justificativa de la realización del citado requerimiento previo de pago con la correspondiente advertencia, exigible para la inclusión y mantenimiento de la deuda en los ficheros de tal naturaleza” II Sobre la culpabilidad de la entidad denunciada La cuestión que se suscita consiste en dilucidar si consta acreditada o no la realización del requerimiento en cuestión; en los términos exigidos por el citado artículo 39 RLOPD, En el presente caso, con respecto a este requisito, IBERCAJA BANCO S.A. manifiesta que las comunicaciones del requerimiento de pago fueron depositados en los buzones electrónicos de cada uno de los denunciantes con fechas 19/2/14, extremo acreditado por el certificado aportado de fecha 7/4/16. Hay que tener en cuenta que los medios que pueden considerarse como válidos, para que el responsable del fichero pueda acreditar, el envío y la recepción, de haber solicitado el consentimiento de los interesados, pueden incluirse el burofax, correo certificado, comunicación a través de e-mail, o cualquier otro medio de los considerados válidos en derecho, siempre y cuando permitiese acreditar la recepción del escrito por el interesado. Por consiguiente el requerimiento de pago implica la utilización de un medio que permita acreditar el envío y la recepción del mismo. Este es el sentido, en aplicación analógica de las normas que sobre la notificación de inclusión en estos ficheros establece el art. 40 en su apartado 4 del mismo RD 1720/2007: “En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío”. Debe concluirse por consiguiente que no hay constancia que el requerimiento se produjera con arreglo a lo que exige el artículo 38.1.
  5. c)del Reglamento de desarrollo de la LOPD, como previo a la inclusión de los datos personales del denunciante en los ficheros de solvencia. En este sentido el certificado aportado, realizado por la propia entidad, sólo probaría en su caso la incorporación de la comunicación del requerimiento en el buzón electrónico y no la efectiva recepción del mismo por sus destinatarios. La Audiencia Nacional en sentencia de fecha 23/05/2007, establece que "Pues bien, el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues solo así puede tenerse certeza de su recepción, si estos niegan la misma. En todo caso ha de realizarse el requerimiento expresando el concepto y el importe de la deuda determinante de la remisión de los datos al fichero de solvencia patrimonial, sin que pueda aceptarse, como señala la parte recurrente en su escrito de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 demanda, que hubiera bastado con que el titular de los datos hubiera realizado unas operaciones aritméticas para conocer el importe de la deuda que daría lugar a la inclusión de sus datos en el fichero "Asnef". Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo -norma primera de la Instrucción 1/1995- y una Ley Orgánica que tipifica como infracción grave el incumplimiento de la misma (artículo 44.3 .d/ de la LO 15/1999) debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental -artículo 18.4 de la CE bajo la referencia al uso de la informática- que extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud del dato, mediante la previa comprobación en el requerimiento previo". Por tanto, los hechos denunciados son contrarios al principio de calidad de datos consagrado en el artículo 4.3 en relación con el 29.4, ambos de la LOPD, y el artículo 38.1
  6. c)del Reglamento de desarrollo de la LOPD toda vez que IBERCAJA BANCO S.A. instó a la inclusión de los datos del denunciante, con motivo de deudas en el fichero de morosidad sin que hayan acreditado que hubiera sido requerido previamente de pago, con expresión de la cuantía de la deuda impagada y conforme exige la normativa precitada. Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  7. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  8. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 refleje con veracidad la situación actual del afectado”. La entidad imputada trató automatizadamente en sus propios ficheros los datos relativos a la persona denunciante y a la deuda imputada, datos de los que es responsable conforme al artículo 3.
  9. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su mantenimiento en unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que IBERCAJA BANCO S.A. es responsable del tratamiento de datos de la persona denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información no respondiera al principio de calidad del dato recogido en el artículo 4.3 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de la persona afectada, aquí en el sentido descrito de ausencia de requerimiento previo de pago). IV Sobre la cuantía de la sanción El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente. En primer lugar procede valorar la aplicación del 45.5.
  25. e)de la LOPD, que efectivamente corresponde al haberse producido una fusión por absorción de la entidad infractora Caja de Ahorros y Monte de Piedad de Zaragoza, Aragón y Rioja por IBERCAJA BANCO S.A. y, por tanto, ésta es acreedora del atenuante que esa disposición contiene, por lo que procede fijar el importe de la sanción dentro de la escala de las leves Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, y que también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Pues bien, resultando aplicable a este supuesto la doctrina de la AN antes expresada, se han de tener en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular las siguientes circunstancias: 1. El importante volumen de negocio (apartado
  26. d)ya que como entidad bancaria es un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 hecho notorio. 2. La vinculación de la actividad de IBERCAJA BANCO S.A. con la realización de tratamientos de datos personales (apartado
  27. c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tano de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro. 3. El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de calidad de datos, durante el periodo 5/7/15 a 29/2/16, en los que permanecieron de alta en el fichero de morosidad. (7 meses) 4. El grado de intencionalidad. Debe tenerse en cuenta, de cara a la ponderación del importe de la multa que se trata del incumplimiento de un requisito formal, como es la acreditación de la recepción del requerimiento previo de pago, aportándose copia de un requerimiento previo cuya comunicación se realizó electrónicamente a la dirección de correo electrónico, que los denunciantes habían designado como domicilio para recibir correspondencia pero sin probar la efectiva recepción del mismo por los destinatarios 5. En cuanto a la circunstancia prevista en el apartado
  28. i)del artículo 45.4, existencia de protocolos y procedimientos adecuados de control para realizar comunicaciones de conformidad con lo establecido con la Ley, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se ha tratado de una anomalía del funcionamiento de los procedimientos implantados, sino un claro incumplimiento de los mismos a la vista de los hechos considerados probados a lo largo del procedimiento. En este sentido la Audiencia Nacional en sentencia de 24/01/2014 señala que “…, omisiones que ponen de relieve lo inadecuado de los procedimientos implantados…. El hecho de que a raíz de estas actuaciones se haya suscrito un contrato con Experian al objeto de asegurarse un mejor cumplimiento de las obligaciones impuestas por los artículos 38 y 39 RLOPD y, la acreditación de su realización frente a terceros, no puede tener los efectos atenuatorios que ella pretende, pues es obligación de la citada entidad la implementación de las medidas adecuadas a tal fin. Téngase en cuenta que la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que le es exigible una especial diligencia en el tratamiento de datos personales conforme reiterado criterio de esta Sala”. 6. En cuanto a la circunstancia prevista en el apartado
  29. h)del artículo 45.4, es evidente la existencia de los mismos al ser incluido el denunciante en ficheros de morosidad incumpliendo los requisitos formales; por otra parte, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. En consecuencia una vez valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 tanto favorables como adversos se considera procedente imponer una sanción de 40.000 euros por la infracción cometida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad IBERCAJA BANCO S.A, por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de la LOPD, una multa de 40.000€ (cuarenta mil euros), de conformidad con lo establecido en el artículo 45.5 y 45.4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a IBERCAJA BANCO S.A, y a A.A.A. Y B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.