1/6 Procedimiento Nº PS/00395/2017 RESOLUCIÓN: R/02493/2017 En el procedimiento sancionador PS/395/2017, instruido por la Agencia Española de Protección de Datos, a la entidad ALTAIA CAPITAL SARL (ALTAIA), vista la denuncia presentada por C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 01/09/16, tiene entrada en esta Agencia escrito de D. C.C.C., donde indica que: “no ha tenido nunca relación contractual con la entidad denunciada y ha sido incluido en el fichero de solvencia ASNEF por ella, sin requerimiento previo de pago”. El denunciante acompaña la documentación relacionada con dicha argumentación y que ha sido ya detallada en el acuerdo de incoación de expediente. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas y a requerimiento de esta Agencia, la entidad ALTAIA, aporta la información relacionada con la defensa de sus intereses y cuya relación ha sido ya detallada en el acuerdo de incoación del expediente. TERCERO: Con fecha 27/07/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad ALTAIA, con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por la presunta infracción del artículo 4.3), tipificada como GRAVE en el artículo 44.3.
- c)en la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio del procedimiento sancionador, y dentro del periodo concedido para la presentación de alegaciones, la entidad denunciada presenta escrito, con fecha 25/08/17, en el que indica: “Una vez que ALTAIA CAPITAL fue consciente del error cometido, por el cual se le sanciona, inició un proceso interno de revisión de los procedimientos, a fin de corregir dichos errores y establecer las medidas necesarias. Ha realizado un análisis de las comunicaciones remitidas a los titulares de los expedientes gestionados y afectados por la falta de indicación en la carta remitida sobre la posibilidad de inclusión de sus datos en ficheros de solvencia patrimonial y crédito. Tras realizar las comprobaciones oportunas, han sido dados de baja en ASNEF con efecto inmediato. Asimismo, llevó a cabo un análisis de sus procedimientos, adoptando medidas en la organización del negocio con el fin de evitar que lo sucedido vuelva a ocurrir. ALTAIA CAPITAL afronta su responsabilidad respecto de la infracción cometida y quiere hacer valer este extremo, así como las medidas adoptadas para evitar que en el futuro se cometan estos errores en la gestión de sus expedientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Por otra parte, la entidad solicita la acumulación de los procedimientos análogos al presente que pudieran derivarse respecto de la infracción cometida por esta entidad. Es por ello que, mediando el reconocimiento de responsabilidad en relación a la infracción cometida y el pago voluntario de la misma con anterioridad al momento de la resolución, tal y como recoge la Agencia en su escrito de acuerdo de inicio de procedimiento sancionador, ALTAIA se acoge a la cantidad estipulada de 14.400€ o a la que estime procedente la Agencia si acuerda la acumulación de futuros procedimientos que adolezcan de la misma infracción. QUINTO: Con fecha 31/08/17, se realiza la notificación de la respuesta a la solicitud de acumulación de expedientes indicando que, dicha acumulación tiene un carácter discrecional para la administración instructora y que al tratarse de “datos de carácter personal”, que le dan un carácter singular, impide acceder a lo solicitado. Además se indica que, una vez agotado el periodo de alegaciones y denegado la solicitud de acumulación de expedientes, se le concede un plazo de 10 días hábiles para hacer efectivo el pago de la cantidad estipulada en el acuerdo de inicio, antes de proceder a abrir la fase de resolución. SEXTO: Finalizado el plazo concedido para la realización del pago de la sanción impuesta, el 22/09/17, no se tiene conocimiento de que la empresa ALTAIA haya regularizado la situación requerida en el punto anterior. HECHOS PROBADOS a).- Con fecha 29/02/16, se suscribió contrato de cesión de créditos entre ALTAIA y ORANGE ESPAGNE, S.A.U. Como parte de dicha cesión se incluían una serie de datos personales del denunciante. En la cláusula 1.2 de dicho contrato (“Manifestaciones y Responsabilidad del Cedente) consta que ORANGE ESPAGNE, S.A.U (Cedente) garantiza que los créditos “existen, son válidos, vencidos y exigibles en su integridad de acuerdo con la legislación aplicable”. b).- Los datos personales que ALTAIA obtiene de ORANGE ESPAGNE son: Nombre, apellidos y NIF del denunciante, dirección: A.A.A. c).- Existe carta, firmada en representación de la entidad denunciada y de ORANGE ESPAGNE, S.A.U., dirigida al denunciante a su dirección, en la que le comunican la cesión, a 29/02/16, de una deuda por importe de 112,17 euros que el denunciante mantenía con ORANGE ESPAGNE, S.A.U. No incluye advertencia de la potencial inclusión de los datos del denunciante en ficheros de solvencia patrimonial y de crédito. d).- Existe certificado expedido por SERVINFORM, S.A., de la generación, impresión y puesta en el servicio de envíos postales con fecha 17/05/16, de la comunicación dirigida al denunciante. e).- Existe copia del documento acreditativo del gestor postal UNIPOST, en el que figura la remisión de 87090 cartas con fecha 17/05/16 en nombre de EQUIFAX sellado por el gestor postal a 17/05/16. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 f).- Existe documento acreditativo del gestor postal CORREOS, en el que figura la remisión de 87090 cartas con fecha 17/05/16 en nombre de EQUIFAX IBERICA, S.L. validado por el gestor postal. g).- Existe certificado expedido por EQUIFAX IBERICA, S.L. que acredita que no consta que el requerimiento previo de pago dirigido al denunciante haya sido devuelto. h).- La inclusión de los datos del denunciante en el fichero ASNEF por parte de ALTAIA CAPITAL S.A.R.L. se produjo con fecha 07/06/16 y baja el 12/12/16. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a ALTAIA, que ha quedado reflejada en los hechos declarados probados arriba relatados. ALTAIA es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia a los establecido en el artículo 4.3 de la LOPD, donde se establece la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En el caso que nos ocupa, ALTAIA ha realizado el requerimiento previo de pago sin advertir a la denunciante que sus datos personales podrían ser incluidos en los ficheros de solvencia y crédito si no se regularizaba la situación de impago. ALTAIA reconoce su responsabilidad respecto de los hechos consignados en el procedimiento asumiendo la posible infracción imputada. Por otra parte, solicita que se acumulen en un mismo expediente los posibles procedimientos sancionadores que pudieran existir en la AEPD por los mismos hechos. A este respecto, se debe señalar que con fecha 31/08/17se notificó al interesado la desestimación de esta pretensión al considerar la especial singularidad del fondo de cada expediente. Notificado el acuerdo por el que se le indica que no pueden ser atendida su solicitud y concedido un plazo de tiempo razonable para que satisfaga la multa de la infracción especificada en el acuerdo de inicio, no se ha tenido constancia en esta Agencia de su cumplimiento antes de proceder a la apertura de la fase de resolución. III Por otra parte, tras las evidencias obtenidas en la fase de investigaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 previas, y sin perjuicio de lo que resulte de la instrucción, procede en este caso atender a lo estipulado en el artículo 45.5.
- b)de la LOPD, donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la regulación de la situación irregular de forma diligente, ya que, el procedimiento de requerimiento previo de pago se realiza correctamente, y se abre procedimiento sancionador por “no especificar en el mismo la posible inclusión de los datos personales en el fichero de solvencia si no satisface la deuda, ALTAIA excluye los datos del fichero ASNEF , como consecuencia de la recepción de la solicitud de información de esta Agencia. Así mismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el artículo 45.4 de la LOPD: -“El carácter continuado de la infracción” (apartado a): Los datos personales del denunciante se mantuvieron incluidos en ASNEF sin cumplir los requisitos exigidos legalmente, desde el 07/06/16 y hasta el 12/12/16 (6 meses y 5 días). -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c): La actividad empresarial desarrollada por la denunciada exige, por su propia naturaleza, un continuo tratamiento de datos de carácter personal de los clientes. -“El volumen de negocio o actividad del infractor” (apartado d): Sobre esta circunstancia subrayar el elevado importe económico de las operaciones de compra de cartera de créditos en las que la denunciada interviene. En calidad de atenuante se aprecia la circunstancia descrita en el apartado
- i)del artículo 45.4 LOPD, “La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. ALTAIA ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del RLOPD. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. El balance de las circunstancias contempladas anteriormente, permite fijar una sanción de 24.000 euros (veinticuatro mil euros). No obstante, atendiendo al reconocimiento de los hechos y a la responsabilidad en los mismos, por parte de la empresa ALTAIA y en aplicación a lo estipulado en el artículo 85.1 LPACAP, que conlleva aparejada una reducción de un 20% de la sanción a imponer, que en el presente caso, equivale a 4.800 euros, la sanción quedaría establecida en 19.200 euros (diecinueve mil dos cientos euros). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ALTAIA CAPITAL SARL una sanción de 19.200 euros (diecinueve mil dos cientos euros), por la infracción del artículo 4.3) de la LOPD, de conformidad con lo establecido en el artículo 45 de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a ALTAIA CAPITAL SARL. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento G. de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es