PS-00383-2017

1/7 Procedimiento Nº PS/00383/2017 RESOLUCIÓN: R/02625/2017 En el procedimiento sancionador PS/00383/2017, instruido por la Agencia Española de Protección de Datos a la entidad EXPERIAN BUREAU DE CRÉDITO, S.A., vista la denuncia presentada por B.B.B., y en base a los siguientes ANTECEDENTES Mediante Acuerdo de fecha 2 de agosto de 2017 se inició procedimiento sancionador nº PS/00383/2017 instruido por la Agencia Española de Protección de Datos a EXPERIAN BUREAU DE CRÉDITO, S.A. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes hechos: PRIMERO: El 2 de septiembre de 2016 tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia de B.B.B. (en lo sucesivo el denunciante), contra EXPERIAN BUREAU DE CRÉDITO, S.A. porque la entidad denunciada, prestadora de servicios de información sobre solvencia patrimonial y de crédito responsable de tratamiento del fichero BADEXCUG, ha incumplido la obligación de notificación al denunciante recogida en el artículo 29.2 de la ley orgánica 15/1999. El denunciante aporta, entre otra, copia de la siguiente documentación:  Carta con referencia 9046779-REC e individualizada a nombre del denunciante a la dirección A.A.A., en la que se reclama el pago de la deuda contraída con TELEFÓNICA DE ESPAÑA S.A.U de importe 141,86 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago en el plazo de 7 días.  Copia del escrito de fecha 20/07/2016 dirigido por el denunciante a la Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información en el cual manifiesta que dirigió una reclamación al departamento de atención al cliente de TELEFONICA DE ESPAÑA S.A.U de la cual no ha recibido respuesta, por lo que solicita que se dicte resolución sobre la reclamación planteada. No consta sellado ni registrado por el Ministerio de Industria.  Escrito fechado el 21/07/2016 dirigido a EXPERIAN BUREAU DE CRÉDITO S.A en el que el denunciante ejerce el derecho de cancelación de sus datos personales inscritos a instancia de TELEFONICA DE ESPAÑA S.A.U en el fichero BADEXCUG.  Escrito fechado el 08/08/2016 y dirigido a EXPERIAN BUREAU DE CRÉDITO S.A. en el que el denunciante ejerce el derecho de acceso a sus datos personales inscritos en el fichero BADEXCUG.  Escrito fechado el 16/08/2016 en el que EXPERIAN BUREAU DE CRÉDITO S.A. en respuesta al ejercicio del derecho de cancelación, informa al denunciante de que su solicitud no puede ser atendida dado que los datos han sido confirmados por TELEFONICA DE ESPAÑA S.A.U. Asimismo, añade que los datos inscritos son: o C/ Jorge Juan, 6 28001 – Madrid NÚMERO DE OPERACIÓN: H.H.H. www.agpd.es sedeagpd.gob.es 2/7   FECHA DE ALTA: 07/10/2015  IMPORTE IMPAGADO: 41,83  DIRECCIÓN: A.A.A.. Copia de dos facturas de TELEFONICA DE ESPAÑA S.A.U. a nombre del denunciante enviadas a la dirección A.A.A., que serían el origen de la deuda inscrita en el fichero de solvencia. o La primera, con número de factura G.G.G. e importe de 91,60 euros, está asociada al número de línea fija I.I.I. y a la línea móvil J.J.J.. o La segunda, con número de factura F.F.F. e importe de 66,99 euros, está asociada al número de línea fija I.I.I. y a la línea móvil J.J.J.. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EXPERIAN BUREAU DE CRÉDITO, S.A., y en su escrito de respuesta manifiesta que tiene contratada la impresión de las notificaciones de inclusión con IMPRELASER, S.L. y su envío con CTI TECNOLOGÍA Y GESTIÓN S.A. a través del operador postal UNIPOST. Respecto al presente caso aporta:  Copia de la notificación de inclusión en BADEXCUG de fecha 08/10/2015, referenciada (código de referencia: D.D.D.) e individualizada a nombre del denunciante a la dirección A.A.A., que alude a una deuda de importe 142,26 euros informada por TELEFONICA DE ESPAÑA S.A.U. de fecha de alta 07/10/2015. Le informa asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición.  Copia del certificado expedido por IMPRELASER S.L. acreditativo de la impresión de 10.670 cartas de “Notificaciones Badexcug” de la Carga “07/10/2015”, donde figura que las notificaciones correspondientes a TELEFONICA DE ESPAÑA S.A.U. comprenden un total de 1.534 notificaciones cuyos números de referencia van desde el número “ E.E.E.” al “ C.C.C.”.  Copia del certificado expedido por CTI TECNOLOGÍA Y GESTIÓN, S.A. acreditativo del envío, a través del operador postal UNIPOST, de 10.670 notificaciones BADEXCUG correspondientes a la carga del día 07/10/2015 y que coinciden con las impresas por IMPRELASER S.L.  Copia del documento acreditativo del gestor postal UNIPOST en el que figura la remisión de 10.670 cartas con fecha 26/10/2015 en nombre de CTI TECNOLOGÍA Y GESTIÓN, S.A. sin individualizar una referencia a la carta al denunciante y validado por el gestor postal.  Con respecto a la devolución, manifiesta que “EXPERIAN tiene encargado a IMPRELASER la recogida, grabación y destrucción de las notificaciones devueltas. En virtud de este contrato IMPRELASER envía a EXPERIAN semanalmente todos los datos de las cartas devueltas durante ese periodo de tiempo, y EXPERIAN carga dichos datos en la herramienta interna de gestión de notificaciones. Realizada la búsqueda pertinente, no consta ninguna incidencia en su envío y entrega al destinatario de esta notificación”. De las actuaciones inspectoras de esta Agencia se desprende que EXPERIAN BUREAU DE CRÉDITO, S.A. lleva a cabo la notificación a la denunciante a través de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 entidad CTI TECNOLOGÍA Y GESTIÓN S.A., mediante carta de 08/10/2015 comunicándose la inclusión de sus datos en el fichero BADEXCUG, a solicitud de TELEFONICA DE ESPAÑA, S.AU., con fecha de alta 07/10/2015. Se aporta certificado expedido por IMPRELASER S.L. acreditativo de la impresión de la carta en la que se comunica al denunciante la inclusión en BADEXCUG a solicitud de TELEFONICA DE ESPAÑA S.A.U. Se acredita mediante certificado expedido por CTI TECNOLOGÍA Y GESTIÓN, S.A. el envío de dicha carta a través del operador postal UNIPOST el 26/10/2015, en nombre de CTI TECNOLOGÍA Y GESTIÓN, S.A. sin individualizar una referencia a la carta al denunciante y validado por el gestor postal. Con respecto a la devolución de dicha carta comunicando la inclusión en el fichero, EXPERIAN BUREAU DE CRÉDITO, S.A. manifiesta que tiene encargado a IMPRELASER la recogida, grabación y destrucción de las notificaciones devueltas. En virtud de este contrato IMPRELASER envía a EXPERIAN semanalmente todos los datos de las cartas devueltas durante ese periodo de tiempo, y EXPERIAN carga dichos datos en la herramienta interna de gestión de notificaciones. Realizada la búsqueda pertinente, no consta ninguna incidencia en su envío y entrega al destinatario de esta notificación”. Por lo tanto, concluir que no se ha aportado por parte de la entidad denunciada, documentación, que permita acreditar que una tercera entidad independiente a EXPERIAN BUREAU DE CRÉDITO, S.A., certifique la recepción de la notificación de inclusión en BADEXCUG por parte de la denunciante, pese a lo establecido en el artículo 40 RLOPD donde se indica que el responsable del fichero común deberá notificar a los interesados su inscripción, en el plazo de treinta días desde dicho registro, a través de un medio fiable, auditable e independiente de la entidad notificante, para que el responsable pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. TERCERO: Con fecha 2 de agosto de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EXPERIAN BUREAU DE CRÉDITO, S.A., por presunta infracción del artículo 29.2 de la LOPD, en relación con la inclusión en ficheros según el art. 40 del RLOPD, tipificada como GRAVE en el artículo 44.3

1. g)de dicha norma, pudiendo ser sancionada con multa de 50.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, EXPERIAN BUREAU DE CRÉDITO, S.A. mediante escrito de fecha 24/08/2017 aporta copia del procedimiento vigente a fecha de hoy para la gestión de las notificaciones devueltas que ha sido citado anteriormente, cuyo título es “Procedimiento de Gestión de Notificaciones devueltas”, alegando que “ Dicho procedimiento se lleva aplicando desde la entrada en vigor del RLOPD en abril de 2009 a todas las notificaciones de inclusión enviadas por EXPERIAN desde entonces” En dicho escrito formula entre otras las siguientes alegaciones: “el control de devoluciones de las notificaciones de inclusión se realiza a través de una empresa tercera, denominada IMPRE-, S.L., que es también la que realiza la impresión de las notificaciones de inclusión. Esta empresa graba los códigos de barras de las notificaciones devueltas y los envía a EXPERIAN semanalmente, quien los incorpora a un fichero donde figuran todas las notificaciones devueltas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 En el caso de la inclusión en BADEXCUG de la deuda relativa al denunciante B.B.B. por TELEFÓNICA DE ESPAÑA, (única a que se refiere este procedimiento sancionador), EXPERIAN envió una notificación de inclusión en fecha 8 de octubre de 2015. El código identificativo de dicha notificación es el ***NOT.1. Los detalles de dicha notificación fueron aportados a la Agencia Española de Protección de Datos al contestar la solicitud de información nº E/5320/2016 Dicha notificación no fue devuelta. A efectos de acreditar este extremo se adjunta certificado original expedido por IMPRE-LASER, S.L. acreditativo de que no se han recibido devoluciones relativas a dicha notificación de inclusión.” QUINTO: Con fecha 29/08/2017 se inició el período de práctica de pruebas, acordándose incorporar al expediente a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/01560/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento PS/00383/2017 presentadas por EXPERIAN BUREAU DE CRÉDITO, S.A. Todo ello con su correspondiente documentación adjunta. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: Los datos del denunciante han sido dados de alta en el fichero de solvencia patrimonial BADEXCUG, el 07/10/2015, por un importe impagado de 41,83 €. Se constata la entrega de carta de EXPERIAN, de fecha 08/10/2015, referenciada (código de referencia: D.D.D.) e individualizada a nombre del denunciante a la dirección A.A.A., en la que le notifica la inclusión de sus datos en BADEXCUG por una deuda de importe 142,26 euros informada por TELEFONICA DE ESPAÑA S.A.U. y con una fecha de alta 07/10/2015. Le informa asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Mediante certificado expedido por IMPRELASER S.L. de fecha 07/08/2017, se acredita que la carta remitida al denunciante con el código de referencia D.D.D., no ha sido devuelta. SEPTIMO: Con fecha 26/09/2017, se formuló propuesta de resolución, proponiéndose que se proceda al ARCHIVO de la denuncia presentada contra EXPERIAN BUREAU DE CRÉDITO, S.A., al no quedar acreditada la comisión de infracción administrativa alguna en el marco de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 II En el presente procedimiento se imputa a EQUIFAX la comisión de una infracción del artículo 29.2 de la LOPD, que dispone que: “2. Podrán tratarse también datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente” III El artículo 40 del RGLOPD establece que: “1. El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. 2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos. 4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío. 5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. IV Hay que señalar que la exigencia de responsabilidad sancionadora presupone la existencia de dos elementos, la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción, requisito esencial por cuanto en el Derecho Administrativo sancionador está proscrita la responsabilidad objetiva y rige en todo caso el principio de culpabilidad. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Por tanto, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Así, la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
3. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva...”. Hay que señalar que EXPERIAN dispone de un procedimiento para el cumplimiento de las obligaciones previstas en el artículo 40 del Reglamento de desarrollo de la LOPD, que introdujo la obligación de realizar un control de las notificaciones devueltas, debiendo solicitar a la entidad acreedora la confirmación de que la dirección era la pactada a efectos de notificaciones y no proceder al tratamiento si no se realizaba dicha confirmación. Este procedimiento establece que “las notificaciones de altas que vengan devueltas por motivo distinto del rehusado deben ser notificadas a las entidades que aportaron la información y solicitar la confirmación expresa por parte de las mismas sobre si, la dirección a la que se ha remitido dicha comunicación se corresponde, o no, con la contractualmente pactadas a efectos de notificación. En el caso de que la confirmación por parte de la entidad no se produzca, se procederá a dar de baja el registro afectado”. Ahora bien, a la luz de los hechos probados en el procedimiento, EXPERIAN ha aportado copia de la carta de notificación de inclusión en el fichero de fecha 07/10/2015 debidamente referenciadas (con código de barras D.D.D.,) e individualizada en relación con el denunciante, donde se le informa del importe de la deuda y de que sus datos figuran incluidos en el fichero con expresión de la fecha de alta. Asimismo, señala que las cartas las cartas impresas por IMPRELASER y el envío por Ruta Oeste a través del operador postal UNIPOST aportando igualmente los albaranes de entrega en el servidor postal, de fecha 09/10/2015 debidamente validados por la oficina postal. Además, ha aportado escrito de IMPRELASER de fecha 07/08/2017 en el que certifica que desde 2010 presta a EXPERIAN el servicio de imprimir las cartas de notificación de inclusión en el fichero y de entregar dichas cartas a otras empresas u operadores postales para su distribución; dicho servicio incluye la grabación de las notificaciones devueltas por dichos servicios y lo envía a EXPERIAN con periodicidad semanal; que la notificación de inclusión en BADEXCUG con código de barras D.D.D., no ha venido devuelta y por tanto no había sido grabada y enviada a EXPERIAN. En este mismo sentido hay que señalar que el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD) establece en su artículo 8.5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 A tenor de todas las consideraciones precedentes, habida cuenta de las particulares circunstancias que concurren en los hechos sometidos a nuestra consideración y el carácter restrictivo y excepcional del procedimiento administrativo sancionador, no existen elementos para apreciar una infracción de la normativa reguladora del derecho a la protección de datos de carácter personal por EXPERIAN, por lo que se propone se acuerde el archivo del procedimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de la denuncia formulada contra EXPERIAN BUREAU DE CRÉDITO, S.A. por la supuesta infracción del artículo 29.2 de la LOPD en relación con el artículo 40 del RLOPD, tipificada como grave en el artículo 44.3.
4. g)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a EXPERIAN BUREAU DE CRÉDITO, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es