← España

PS-00409-2016

1/15 Procedimiento Nº PS/00409/2016 RESOLUCIÓN: R/00912/2017 En el procedimiento sancionador PS/00409/2016, instruido por la Agencia Española de Protección de Datos a la entidad OK MONEY SPAIN, S.L.U., vista la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/10/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que OK MONEY SPAIN, S.L.U., (en lo sucesivo OKEY MONEY o la denunciada) ha incluido sus datos personales en el fichero ASNEF, en calidad de avalista, asociados a una deuda de 211,60 euros, sin haberle requerido el pago con carácter previo, lo que a su juicio vulnera el artículo 38.1.

  1. c)del Reglamento de Desarrollo de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (RLOPD). Aporta con la denuncia copia del DNI y de la carta recibida de ASNEF EQUIFAX, S.L., de fecha 22/09/2015, en la que le informa de la inclusión de sus datos en el fichero de solvencia ASNEF con fecha de alta 21/09/2015, en calidad de avalista, a instancia de OKEY MONEY. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos que se reflejan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN OK MONEY SPAIN S.L.U. aporta en la respuesta, de fechas 22 de enero, 11 de mayo y 2 de junio de 2016, a los requerimientos de información de esta Agencia la siguiente información:  La actividad de la empresa es la concesión de microcréditos online.  Copia impresa de los datos que constan en sus ficheros asociados a la denunciante, donde figura su nombre y apellidos, su número de D.N.I., un domicilio de Valencia, su número de teléfono y una dirección de correo electrónico .....@gmail.com, así como su cuenta bancaria.  Con fecha 8 de septiembre de 2015, la denunciante remitió a la empresa un correo electrónico, desde la dirección .....@gmail.com, del que aportan copia, en el que solicita la rectificación de sus datos personales, manifestando que se reemplacen dichos datos en los ficheros de OK Money únicamente por la dirección (domicilio de Valencia) y la dirección de correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 .....@gmail.com, así mismo, solicita que todas las notificaciones se realicen o bien por correo postal a su domicilio o bien al citado correo.  En contestación a la solicitud de la denunciante, OK Money le remitió un correo electrónico, del que aportan copia, en el que le informan de que han procedido a la rectificación de sus datos excepto del número de teléfono ya que no les ha facilitado ninguno diferente y es uno de los medios utilizados por la compañía para contactar con los clientes.  Con objeto de requerir a la denunciante la deuda que mantenía con OK Money derivada de un préstamo de 113,60€, se remitieron dos correos electrónicos en fechas 14 y 16 de agosto de 2015.  Aportan copia de los citados correos remitidos a la dirección .....1@gmail.com en las fechas indicadas. Así mismo, aportan copia impresa de los contactos que constan en sus ficheros relativos a la denunciante, en los que consta en envío de los correos mencionados.  La dirección de correo de la denunciante a la que se remitieron los correos, es la dirección de contacto que la cliente había facilitado en la solicitud de préstamos y que figuraba en sus ficheros antes de la solicitud de rectificación de datos de fecha 8 de septiembre de 2015, (posterior al envío de los requerimientos de pago).  Por otra parte, manifiestan que el procedimiento establecido por la compañía para realizar los requerimientos de pago es a través de correo electrónico, el cual informa cuando un correo no es enviado a su destinatario.>> TERCERO: Con fecha 30/09/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OK MONEY SPAIN, S.L.U., por una presunta infracción del artículo 4.3, en relación con el 29.4, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) y en relación también con el artículo 38.1.
  2. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  3. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, OK MONEY, mediante escrito de fecha 25/10/2016, formuló alegaciones en las que solicitó el archivo del procedimiento sancionador. En defensa de su pretensión adujo lo siguiente: - Afirma, en primer término, (Antecedente de Hecho cuarto, folio 2 de su escrito y 53 del expediente administrativo) que los datos personales de la denunciante se incluyeron en el fichero ASNEF “debidamente, con plena observancia de los requisitos establecidos tanto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (…) como en el Reglamento de desarrollo de la LOPD (…). En concreto queda acreditado que han concurrido los requisitos establecidos en los artículos 38 y 39 de dicho reglamento….” - Seguidamente (folio 3 de su escrito y 54 del expediente) manifiesta que los requerimientos se efectuaron entre el 14/08/2015 y el 16/08/2015 a la dirección de correo electrónico .....1@gmail.com que la denunciante había facilitado a la entidad en el momento de contratar sus productos. Añade que la denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 contactó con la entidad el 08/09/2015 y cambió esa dirección electrónica de contacto por .....@gmail.com - Como fundamentos jurídicos de su pretensión de archivo invoca los siguientes: a. Vulneración del principio de tipicidad por falta de correlación entre la infracción imputada y los hechos expuestos, lo que le lleva a concluir que “el Acuerdo de Incoación es inválido, pues no concreta suficientemente los hechos que se imputan como supuestos incumplimientos de los citados preceptos de la LOPD”. Considera que el Informe de Actuaciones de Investigación previa que se reproduce en el acuerdo de inicio del expediente se limita a exponer una serie de hechos de los que no se deduce infracción alguna de la normativa de protección de datos y que, sobre la base de tales hechos y de las infracciones imputadas, no queda claro si se ha cometido una infracción del artículo 4.3 de la LOPD o del 29.4 de la LOPD. b. Vulneración del principio de tipicidad al no concurrir los elementos del tipo infractor previsto en el artículo 44.3.
  4. c)de la LOPD en relación con el artículo 4.3 de la LOPD. Argumenta que no existe infracción del artículo 4.3 LOPD pues los datos de la denunciante que obran en sus ficheros son exactos y actualizados. c. Vulneración del principio de tipicidad al no concurrir los elementos del tipo infractor del artículo 44.3.
  5. c)de la LOPD en relación con el artículo 29.4 de la LOPD. En ese sentido afirma que ha observado los requisitos legales y reglamentarios para comunicar al responsable del fichero ASNEF los datos personales de la afectada. OK MONEY no acompaña a su escrito de alegaciones ningún documento que acredite que efectuó el preceptivo requerimiento de pago a la denunciante, previo a la inclusión de sus datos en un fichero de solvencia patrimonial. Finalmente, con carácter subsidiario, solicita que se gradúe la sanción que se le pudiera imponer de acuerdo con el principio de proporcionalidad del artículo 131.3 de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) y se fije en la cuantía mínima prevista para las infracciones graves. QUINTO: Con fecha 27/01/2017, de conformidad con el artículo 17.1 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora aprobado por el Real Decreto 1398/1993, se abrió un periodo de práctica de pruebas en el que se acordó: 1. Dar por reproducidos a efectos de prueba la denuncia interpuesta por A.A.A. y la documentación adjunta, los documentos obtenidos y generados por los Servicios de Inspección ante OKEY MONEY, así como el Informe de actuaciones previas de Inspección; documentos todos ellos que integran el expediente E/007129/2015. 2. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00409/2016 presentadas por OK MONEY y la documentación que a ellas acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 3. Solicitar a EQUIFAX IBÉRICA, S.L, copia impresa de la información que respecto a la denunciante conste en los ficheros ASNEF, FOTOCLI e Histórico de Notificaciones, en relación a deudas informadas por OK MONEY. Que informe si la afectada ejercitó ante ella el derecho de cancelación y en caso afirmativo que remita una copia del expediente tramitado al efecto. EQUIFAX IBÉRICA, S.L., evacuó el trámite de prueba el 14/02/2017. Aporta documentación acreditativa de que en esa fecha no existen inclusiones en el fichero ASNEF informadas por OK MONEY asociadas a los datos de la afectada. Declara que no constan expedientes tramitados por su servicio de atención al cliente relativos al ejercicio por la afectada de los derechos ARCO frente a inclusiones de sus datos que hubiera sido informadas por la entidad denunciada. . La documentación procedente del fichero FOTOCLI de operaciones canceladas de ASNEF, que EQUIFAX ha aportado en fase de prueba, acredita que OK MONEY incluyó en el fichero ASNEF los datos personales de la denunciante, con fecha de alta 21/09/2015, por un saldo deudor que ascendía en la fecha de alta a 211,60 euros y que en noviembre de 2015 desciende a 91,60 euros. Como primer y último vencimiento impagado consta la fecha 21/06/2015. La incidencia se dio de baja el 07/11/2015. SEXTO: Con fecha 08/03/2017 se notificó a la entidad denunciada la Propuesta de Resolución del PS/00409/2016, formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a OK MONEY SPAIN S.L.U. con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 4.3, en relación con el 29.4 de la LOPD y 38.1.
  6. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  7. c)de dicha norma.>> SÉPTIMO: El artículo 19 del Reglamento para el ejercicio de la potestad sancionadora, aprobado por el Real Decreto 1398/1993, regula en su artículo 19 el trámite de audiencia indicando en el apartado 1 que la propuesta de resolución se notificará a los interesados acompañando una relación de los documentos obrantes en el procedimiento a fin de que los interesados puedan obtener copia de los que estimen convenientes y concediéndoseles un plazo de quince días para formular alegaciones y presentar los documentos e informaciones que estimen pertinentes ante el instructor del procedimiento. El apartado 3 del precepto señala que la a propuesta de resolución se cursará inmediatamente al órgano competente para resolver el procedimiento, junto con todos los documentos, alegaciones e informaciones que obren en el mismo. En el presente caso la notificación de la propuesta de resolución consta recibida por OK MONEY el 08/03/2017 de forma que el plazo de quince días hábiles que el artículo 19 del Reglamento precitado concede para el trámite de audiencia finalizó el día 27/03/2017 sin que a fecha 28/03/2017 se tenga noticia de la recepción en la AEPD de las alegaciones a la propuesta de resolución formuladas por la entidad denunciada. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 HECHOS PROBADOS PRIMERO: A.A.A., con DNI ***DNI.1, denuncia que OK MONEY ha incluido sus datos personales en el fichero de solvencia ASNEF por una deuda, en calidad de avalista, de 211,60 euros sin requerirle previamente el pago, extremo del que ha tenido conocimiento al recibir en fecha 28/09/2015 una carta de Asnef Equifax comunicándole dicha inclusión. (Folios 1 y 3) SEGUNDO: OK MONEY incluyó en el fichero de solvencia ASNEF los datos personales de la denunciante, con fecha de alta 21/09/2015, por una deuda de 211,60 euros. El saldo deudor se redujo a 91,60 euros en noviembre de 2015. La incidencia se dio de baja del fichero el 07/11/2015 (Folios 120 y 121) TERCERO: En su respuesta al requerimiento informativo de la AEPD OK MONEY declaró que “Más allá de esta notificación por ausencia de entrega a la dirección de destino, OK MONEY no recibe ninguna otra confirmación o notificación” (folio 13). Y afirmó que “realizamos el requerimiento al pago por medios no certificados, ya que a nuestro entender ello es conforme a los requisitos vigentes”, (folio 14) CUARTO: La documentación aportada por la denunciada en prueba del cumplimiento de la obligación que le impone el artículo 38.1.
  8. c)RLOPD fue la siguiente: Impresiones de pantalla de sus registros informáticos referentes a la denunciante, en las se refleja la actividad efectuada por OK MONEY ordenada por días y horas en las que figuran estas referencias: “14.08.2015 16.43 Email Outbound To: .....1@gmail.com: Urgente: Su caso será repor….” (Folio 40) “16.08.2015 15.34.04 Email Outbound To: .....1@gmail.com: Su deuda se encuentra en p.” (Folio 42) QUINTO: OK MONEY ha declarado que recibe una notificación en el caso de que cualquier comunicación al cliente (por email) no haya sido enviada pero que no recibe confirmación de que dicha comunicación ha sido entregada y leída por el cliente. (Folio 12) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  9. g)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La LOPD dedica el Título II a los “Principios de protección de datos” y en su artículo 4, “Calidad de los datos” establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 El artículo 29.4 del citado texto legal dispone: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Estos preceptos deben integrarse con las definiciones recogidas en los artículos 3.a), 3.
  10. e)y 3.
  11. c)de la LOPD respecto a lo que debe entenderse por “datos de carácter personal”, “afectado o interesado” y “tratamiento de datos”, respectivamente: “cualquier información concerniente a personas físicas identificadas o identificables”; “persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  12. c)del presente artículo”; “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Reglamento de Desarrollo de la Ley Orgánica 15/1999, aprobado mediante el Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en su artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a)(….)
  13. b)(…) .
  14. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. A su vez, el artículo 39 del RLOPD, “Información previa a la inclusión”, establece que “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  15. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Por otra parte, indicar que los artículos 40.3 y 43.1 del RLOPD disponen, respectivamente: “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. III En el presente procedimiento sancionador se atribuye al OK MONEY la comisión de una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con el artículo 38.1.c, del RLOPD, tipificada como infracción grave en el artículo 44.3.
  16. c)de la Ley Orgánica 15/1999, precepto que dispone: “Son infracciones graves, (..)
  17. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A. La documentación que ASNEF EQUIFAX, S.L., ha aportado demuestra que OK MONEY informó los datos personales de la denunciante (DNI, nombre, dos apellidos y domicilio) al fichero de solvencia patrimonial ASNEF. Como fecha de alta de la incidencia figura el 21/09/2015 y como fecha de baja el 07/11/2015 (Folios 120 y 121) Los requisitos que el artículo 38.1 del RLOPD exige para poder incluir datos de carácter personal en ficheros de solvencia patrimonial y crédito son una manifestación del principio de exactitud y veracidad, corolario del principio de calidad de los datos que proclama el artículo 4.3 de la LOPD en relación con el 29.4 de la LOPD, precepto que se ocupa de los servicios de información sobre solvencia patrimonial y crédito. OK MONEY ha declarado en sus alegaciones al acuerdo de inicio del expediente (Antecedente de hecho cuarto) que incluyó los datos de la denunciante en ASNEF “con plena observancia de los requisitos establecidos tanto en la Ley Orgánica 15/1999 (…) como en el Reglamento de desarrollo de la LOPD”. Afirma también que “En concreto, queda acreditado que han concurrido los requisitos establecidos en los artículos 38 y 39 del dicho reglamento….” (El subrayado es de la AEPD) Sin embargo, no obstante el tenor de sus declaraciones, la entidad no ha aportado, ni en el curso de las actuaciones de investigación previa ni en el trámite de alegaciones al acuerdo de inicio del expediente sancionador, ningún documento que pruebe que cumplió respecto a la afectada la obligación que impone el artículo 38.1.
  18. c)RLOPD conforme al cual quien comunica a un fichero de solvencia datos de terceras personas debe requerirle previamente a esa comunicación el pago de la deuda que motiva su inclusión. Así, en el curso de las actuaciones de investigación se solicitó a la denunciada que explicara el sistema que tiene implementado para la realización de los envíos de los requerimientos previos de pago, si los realizaba ella directamente o no, y, en caso afirmativo, que aportara la documentación que acreditara que las comunicaciones habían sido entregadas en la dirección que consta en sus sistemas asociada a la denunciante: acuse de recibo o documentación equivalente. OK MONEY respondió que realizaba ella directamente las comunicaciones; que tenía un sistema automático de envío de notificaciones a sus clientes a través de email C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 y que la entidad recibía una notificación “en el caso de que cualquier comunicación al cliente (por email) no haya sido enviada, aunque no recibe confirmación de que dicha comunicación ha sido entregada y leída por el cliente” (Folio 12) (El subrayado es de la AEPD) En su respuesta al requerimiento informativo de la AEPD insiste en que “Más allá de esta notificación por ausencia de entrega a la dirección de destino, OK MONEY no recibe ninguna otra confirmación o notificación” (folio 13). Y concluye afirmando que “realizamos el requerimiento al pago por medios no certificados, ya que a nuestro entender ello es conforme a los requisitos vigentes”, (folio 14) (El subrayado es de la AEPD) La documentación que aportó con el fin de demostrar el cumplimiento de la obligación impuesta por el artículo 38.1.
  19. c)RLOPD consistió en impresiones de pantalla de sus registros referentes a la denunciante en las se reflejaba la actividad efectuada por OK MONEY ordenada por días y horas. En los listados existen dos referencias que, a juicio de la entidad, prueban que cumplió el preceptivo requerimiento previo de pago: Las indicaciones tienen el siguiente texto: - “14.08.2015 16.43 Email Outbound To: .....1@gmail.com: Urgente: Su caso será repor….” (Folio 40) “16.08.2015 15.34.04 Email Outbound To: .....1@gmail.com: Su deuda se encuentra en p.” (Folio 42) OK MONEY aportó también el texto de los mensajes que manifiesta haber enviado a la denunciante por email en fechas 14/08/2015 y 16/08/2015. En ellos se hace mención a que sus datos podrán ser incluidos en “listados de Agencias de Calificación Crediticia” si persiste en no atender el pago de la deuda. B. La doctrina de la Audiencia Nacional en relación al alcance de la obligación que el artículo 38.1.
  20. c)del RLOPD impone a quien comunica datos de terceros a un fichero de solvencia es que le incumbe la carga de probar que ha efectuado el preceptivo requerimiento previo de pago. Y añade que debe estar en condiciones de acreditar no sólo que ha practicado el requerimiento -utilizando para ello un medio que deje constancia efectiva de haberlo efectuado, no siendo suficientes los registros de la propia entidad informante- sino también de que tal requerimiento ha sido recibido por el destinatario. En este sentido pueden citarse, entre otras, las siguientes Sentencias de la Audiencia Nacional, Sala de lo Contencioso Administrativo: La SAN de 22/10/2015 (Rec.240/2014) que dice expresamente que “cuando el afectado niega la existencia de dicho requerimiento, recae sobre el responsable del fichero o tratamiento, la carga de acreditar el cumplimiento de dicha obligación, siendo insuficiente a tal fin los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación”. La misma Sentencia añade que si bien es cierto que la normativa no exige que el requerimiento se lleve a cabo de una determinada forma “lo que sí exige es que quienes informan los datos a un fichero de morosidad deberán asegurarse que concurren todos los requisitos exigidos legal y reglamentariamente a tal fin, lo que implica que deberá estar en condiciones, caso de ser necesario, de poder acreditar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 concurrencia de dichos requisitos”. La Audiencia Nacional se ha pronunciado también sobre una cuestión de especial relevancia en el asunto que nos ocupa: El valor que tienen los requerimientos de pago efectuados a través de email y sms a las direcciones facilitadas por los clientes. Considera el Tribunal que con ellos no se acredita que el denunciante haya tenido la posibilidad de conocer el requerimiento de pago, lo que resulta esencial pues, razona, las inclusiones de los datos de terceros en ficheros de solvencia no precisan contar con el consentimiento del afectado, de tal manera que el objeto del requerimiento previsto en el artículo 38.1.c RLOPD es que “el deudor o la persona obligada, conozca la existencia de la deuda vencida y exigible y la posibilidad de ser incluido en un fichero de morosos en el supuesto de no hacerla efectiva” En este sentido, la exigencia de que quien informe datos de terceros en un fichero de solvencia acredite la recepción por el destinatario del requerimiento de pago efectuado a través de email ha llevado a la Audiencia Nacional a desestimar el recurso contencioso administrativo presentado contra resoluciones sancionadoras de la AEPD en las que el requerimiento había sido efectuado a través de correo electrónico. En SAN de 26/03/2015, de la que se hace eco la reciente SAN de 04/11/2016 (Rec. 1432/2015), una vez acreditado por la demandante, sancionada por la AEPD, que los email en los que se requería el pago de la deuda habían sido enviados y que en el log (registro de actividad) del servidor de correo remitente no aparecían registros de error para los envíos de correo electrónico, se concluyó que “ no acreditan por sí solas que los mensajes fueran entregados al servidor del dominio destino MDA ni tampoco al destinatario” y que la actora “no ha acreditado que los mensajes fueron recibidos por sus destinatarios”. Así las cosas, es un criterio jurisprudencial consolidado que no basta para entender cumplida la obligación del artículo 38.1.
  21. c)RLOPD que la entidad informante acredite el envío de un email de requerimiento de pago al deudor – y menos aún la mera referencia a los envíos contenida en los ficheros de la entidad, como aquí acontece-, sino que es preciso que se acredite además la recepción no solo en el servidor del deudor destinario sino también en su dirección electrónica. Habida cuenta de que OK MONEY no ha acreditado en el curso de las actuaciones de investigación efectuadas por la Inspección de Datos, ni en el posterior trámite de alegaciones al acuerdo de inicio, la recepción en la dirección electrónica de la denunciante de los email mediante los que le requería el pago de la deuda -que la denunciada declara haberle enviado los días 14/08/2015 y 16/08/2015- y puesto que le incumbe a ella la carga de probar el cumplimiento de la obligación prevista en el artículo 38.1.
  22. c)RLOPD, toda vez que la denunciante niega que le hayan requerido el pago previo a la comunicación de sus datos a ASNEF, se concluye que OK MONEY ha incurrido en una infracción del artículo 4.3 LOPD en relación con el artículo 29.4 de la misma norma, tipificada en el artículo 44.3.
  23. c)de la Ley Orgánica 15/1999. IV La denunciada manifiesta en sus alegaciones y en la respuesta al requerimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 informativo de la Inspección que, a su juicio, el protocolo que sigue con los requerimientos de pago previos a la inclusión de sus clientes deudores en ficheros de solvencia es correcto. Es más, en el escrito remitido a la Inspección de Datos por fax el 20/01/2016 dice que la interpretación que hace la AEPD, conforme a la cual el envío de la notificación previa a la inclusión de los datos de un cliente en un fichero de solvencia ha de realizarse por medios fehacientes o certificados, “va más allá de lo dispuesto en el artículo 38.1.
  24. c)del RLOPD”, la califica de “sorprendente” y dice que “nos gustaría aprovechar esta oportunidad para obtener una clarificación por parte de la AEPD acerca de este particular, dado que no tenemos constancia de que exista ninguna recomendación ni orientación interpretativa al respecto emanada de la AEPD”. Indicar en este sentido que la AEPD se limita a aplicar las normas jurídicas de la LOPD y el RLOPD siguiendo la interpretación que de ellas hace la Sala de lo Contencioso Administrativo de la Audiencia Nacional. Son muy antiguas las Sentencias dictadas por ese Tribunal en las que se pronuncia sobre la necesidad de que el acreedor que informa los datos de un tercero a un fichero de solvencia esté en condiciones de acreditar el requerimiento previo de pago y su recepción por el destinatario. Es además, como la Audiencia Nacional ha puesto de manifiesto en numerosas ocasiones, una exigencia implícita en la norma, pues de nada valdría fijar como requisito el requerimiento previo al deudor si no se exige también la prueba de su recepción por el destinatario. En el presente caso OK MONEY ha obrado con una grave falta de diligencia concretada en no haber efectuado el preceptivo requerimiento de pago a través de medios que le permitan acreditar que se efectuó y que fue recibido por el destinatario. La presencia del elemento subjetivo de la infracción es esencial para poder exigir responsabilidad en el ámbito del Derecho Administrativo Sancionador, pues no cabe imponer sanciones basadas en la responsabilidad objetiva del presunto infractor como ha señalado el Tribunal Constitucional en cuya Sentencia 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. También el artículo 130.1 de la LRJPAC se refiere al principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. A propósito de cuándo puede entenderse que ha existido imprudencia el Tribunal Supremo (STS 05/07/1998 y 03/03/1999) viene entendiendo que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como la profesionalidad exigible al infractor o el especial valor del bien jurídico protegido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 OK MONEY es una empresa que opera en el mercado de los microcréditos online, por lo que su actividad profesional exige un constante tratamiento de datos personales a lo que se añade que, por su misma naturaleza, hará uso con relativa frecuencia de la facultad que le otorga el artículo 29.4 LOPD e incluirá los datos de los terceros deudores en ficheros de solvencia. No parece que ésta sea una actuación aislada en el desarrollo de su actividad empresarial, lo que le obliga a extremar la diligencia en el cumplimiento de las disposiciones de la LOPD y RLOPD que regulan las condiciones a las que se supedita la inclusión de los datos de terceros en ficheros de morosidad V Finalmente, por lo que concierne a los argumentos de OK MONEY esgrime sobre la vulneración por esta Agencia del principio de tipicidad, pese a que parece innecesario, se hacen las consideraciones siguientes. En relación a la pretendida falta de correlación entre la infracción imputada y los hechos, hasta el punto de comentar que el administrado no tiene obligación de “descifrar” o “predecir” cuáles son los concretos hechos en los que la Administración se ampara para incoarle un expediente sancionador, señalar que el acuerdo de inicio comienza detallando cuál es la conducta objeto de la denuncia. En el presente caso, Hecho primero, que la denunciante ha manifestado que ha incluido sus datos en ASNEF por una deuda de 211,60 euros “sin haberle requerido previamente el pago de la deuda lo que a su juicio vulnera el artículo 38.1.
  25. c)del Reglamento de Desarrollo de la Ley Orgánica 15/1999”. Es más, en el brevísimo escrito de la Inspección con “Resultado de las actuaciones de investigación” -muy breve en comparación con la abundante documentación, alguna defectuosa, y otros escritos de la denunciada- se dedican cuatro párrafos de los ocho que forman ese escrito a la cuestión relativa al requerimiento de la deuda a la denunciante previo a la inclusión de sus datos en el fichero ASNEF. Los dos últimos argumentos que OK MONEY esgrime sobre la falta de tipicidad de la conducta tienen que ver con la interesada desvinculación que la entidad hace de los artículos 4.3 y 29.4 de la LOPD, analizando por separado una presunta infracción del artículo 4.3 y por otra del artículo 29.4 LOPD. Sin embargo, tanto en el primer párrafo de los Fundamentos de Derecho del Acuerdo de inicio del expediente como en el punto 1 de su parte dispositiva se expresa con toda claridad que se ha infringido el “artículo 4.3, en relación con el 29.4, de la LOPD, tipificada como infracción grave en el artículo 44.3.c)”. No hay razón que explique lo que lleva a la denunciada a ignorar que la infracción cometida es de un precepto en conexión con el otro (el artículo 4.3 –principio de exactitud y veracidad- en relación con el 29.4 de la Ley que se refiere a la inclusión de datos de terceros en ficheros de solvencia que debe ajustarse a las exigencias del principio indicado) Por las razones expuestas los argumentos que OK MONEY esgrime sobre la pretendida falta de tipicidad de la infracción no pueden prosperar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 VI El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  26. a)El carácter continuado de la infracción.
  27. b)El volumen de los tratamientos efectuados.
  28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  29. d)El volumen de negocio o actividad del infractor.
  30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. f)El grado de intencionalidad.
  32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  36. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  37. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  38. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  39. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  40. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional, Sala de lo Contencioso Administrativo, viene entendiendo que la aplicación del artículo 45.5 LOPD ha de ser individualizada en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar los elementos de los que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. En el presente caso no concurre ninguna de las circunstancias descritas en el artículo 45.5 LOPD, de manera que la sanción a imponer estará comprendida en la escala que el artículo 45.2 fija para las infracciones graves. En la graduación de la sanción a imponer ha de valorarse la concurrencia de las circunstancias del artículo 45.4 LOPD. En el presente caso, operan como agravantes de la conducta enjuiciada las siguientes: -“El carácter continuado de la infracción” (apartado a,) pues los datos personales de la denunciante permanecieron incluidos en el fichero ASNEF durante casi dos meses sin cumplir los requisitos exigidos legalmente. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de OK MONEY exige un continuo tratamiento de datos personales de los clientes. - “El grado de intencionalidad” (apartado,
  41. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. En el asunto que nos ocupa existió una grave falta de diligencia de la denunciada pues ni ha podido acreditar el cumplimiento de la obligación impuesta por el artículo 38.1.
  42. c)RLOPD ni tiene implementado un protocolo que garantice el cumplimento de esa norma. El artículo 43.1 del RLOPD “refuerza” en cierto modo la diligencia exigible al señalar que el acreedor “deberá asegurarse” que se cumplen esos requisitos cuando informa los datos personales a un fichero de morosidad. Por el contrario, OK MONEY ha reconocido en sus alegaciones que “es notificado en el caso de que cualquier comunicación al cliente (por email) no haya sido enviada, aunque no recibe confirmación de que dicha comunicación ha sido entregada y leída por el cliente” (folio 12) - “La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado h,) En ese sentido recordemos que la Audiencia Nacional, en SAN de 16/02/2002 (Rec. 1144/1999), ha declarado que “(…) la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan”. (El subrayado es de la AEPD) Tomando en consideración el principio de proporcionalidad de la sanción así como los criterios de graduación de las sanciones antes referidos, se acuerda sancionar a OK MONEY, por infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación también con el artículo 38.1.
  43. c)del RLOPD, una sanción de 50.000 euros, cuantía próxima al mínimo previsto para las infracciones graves (ex artículo 45.2 LOPD) Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN, S.L.U., por una infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, y en relación también con el artículo 38.1.
  44. c)del RLOPD, tipificada como infracción grave en el artículo 44.3.
  45. b)de la LOPD, una multa de 50.000 euros de conformidad con lo establecido en el artículo 45.2 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a OK MONEY SPAIN S.L.U., y a D.ª A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.