1/11 Procedimiento Nº PS/00419/2016 RESOLUCIÓN: R/00147/2017 En el procedimiento sancionador PS/00419/2016, instruido por la Agencia Española de Protección de Datos a la entidad EXPERIAN BUREAU DE CRÉDITO S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/09/2015 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de A.A.A. (en adelante denunciante), y con fechas de 14 y de 19/11/2015, 29/04/2016 y 05/05/2016, subsanación del mismo en los que manifiesta que no le han requerido el pago de la deuda ni notificado la inclusión de sus datos personales en los ficheros de solvencia patrimonial denominados ASNEF y BADEXCUG, por parte de la entidad BANKIA, S.A. (en lo sucesivo BANKIA), aunque disponen de sus domicilios en Ávila y Alicante. Que la entidad BANKIA le retuvo la totalidad de un ingreso, en noviembre de 2013, por los intereses de un aval y que interpuso reclamación ante el Banco de España concluyendo, con fecha de 05/11/2014, lo siguiente: “Este Departamento no es competente para valorar, decidir ni pronunciarse sobre los posibles daños y perjuicios (…). Dichas cuestiones podrán someterse, en su caso, y de considerarlo el perjudicado, a los correspondientes órganos judiciales”. Añade que no dispone de la documentación contractual suscrita con BANKIA (Caja Ávila), que procede de un aval del año 1991, para garantizar el pago de operaciones comerciales con la empresa Freiremar, S.A., el domicilio facilitado fue (C/...1), Ávila. Que en el año 1996 anuló todos los créditos y cuentas con Caja Ávila debido al tipo de interés abusivo. Que desde el año 2002 se trasladó a vivir a localidad de Alicante en varios domicilios, como (C/...2), hasta que adquirió su actual vivienda en la (C/...3)de Alicante. En la denuncia ante esta AEPD consta como domicilio postal del denunciante (C/...3)de Alicante, en la respuesta al derecho de acceso de BADEXCUG consta la dirección postal (C/...4), de Ávila (que coincide con la que le ha notificado BANKIA) y en el DNI (C/...5) de Ávila. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia llevaron a cabo la realización de actuaciones previas de investigación para el esclarecimiento de los hechos: 1. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO ASNEF: Los datos del denunciante, con fecha de 18/05/2016, se encuentran incluidos en el fichero denominado ASNEF, cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L., (en lo sucesivo EQUIFAX), por la entidad informante BANKIA, con fecha de alta el 14/12/2015, operación “avales y garantías”, por importe de 359,60€. También figuran diversas incidencias que han sido dadas de baja, entre otras, “3” de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 la entidad informante BANKIA, siendo la última de fecha 02/12/2015, por motivo “cliente”, al ejercer el derecho de cancelación. Se han remitido al denunciante “9” notificaciones de inclusión de sus datos personales en el fichero ASNEF, siendo “4” de ellas de la entidad informante BANKIA y las dos últimas con la siguiente información: Fecha de alta el 12/01/2015, del producto “avales y garantías”, por importe de 134,85€, naturaleza “titular” y dirección postal calle (C/...2) - ***LOCALIDAD.1 (Alicante), no consta devolución a su origen, referencia de la carta 2015-01*******. Adjuntan copia de la misma, del sobre “UNIPOST *******1” y certificado de la compañía Énfasis Billing & Marketing Services, S.L., como prestador del servicio de notificaciones, y de UNIPOST Nota de entrega de envíos con el sello del cliente titular Equifax Ibérica, S.L., de fecha 14/01/2015. Fecha de alta el 14/12/2015, del producto “avales y garantías”, por importe de 269,70€, naturaleza “titular” y dirección postal calle calle (C/...4), Ávila, no consta devolución a su origen, referencia de la carta 2015-12-****1. Adjuntan copia de la misma, del sobre “UNIPOST *******2” y certificado de la compañía Énfasis Billing & Marketing Services, S.L., como prestador del servicio de notificaciones, y de UNIPOST Nota de entrega de envíos con el sello del cliente titular Equifax Ibérica, S.L., de fecha 15/12/2015. Con fecha de 08/10/2015 la entidad BANKIA informa al fichero ASNEF como domicilio (C/...4), Ávila. 2. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO BADEXCUG: De la documentación remitida por la compañía Experian Bureau de Crédito, S.A. (en adelante EXPERIAN), responsable del fichero denominado BADEXCUG, cuya finalidad es la prestación de servicios sobre solvencia patrimonial y crédito, con fecha de 11/04/2016, consta una incidencia a nombre del denunciante de la entidad informante BANKIA, con fecha de alta el 03/01/2016, operación “avales y garantías”, por importe de 359,60€. También figura que han sido dadas de baja “3” incidencias informadas por BANKIA siendo la última de fecha de baja el 02/12/2015. Se han remitido al denunciante “17” notificaciones de inclusión de sus datos personales en el fichero BADEXCUG, siendo “4” de ellas de la entidad informante BANKIA (del año 2011 y 2012) y las dos últimas con la siguiente información: Fecha de inclusión el 11 de enero de 2015, fecha de impresión el 13 de enero de 2015, del producto “avales y garantías”, tipo de interviniente “titular”, por importe de 134,85€ y dirección postal calle (C/...2) - ***CP.1 (Alicante). Adjuntan copia de la misma, del sobre con el código de barras ***CÓDIGO.1, relación de notificaciones emitidas por la compañía Imprelaser, S.L., como prestador del servicio de notificaciones, y Nota de entrega de intercambio de Ruta Oeste, S.L. acreditativo del envío, a través del operador UNIPOST del cliente BADEXCUG. Dicha carta fue devuelta por “dirección error” el 7 de septiembre de 2015. Fecha de inclusión el 03/01/2016, fecha de impresión el 05/01/2016, del producto “avales y garantías”, tipo de interviniente “titular”, por importe de 269,7€ y dirección postal (C/...4) Ávila. Adjuntan copia de la misma, del sobre con el código de barras ***CÓDIGO.2 y relación de notificaciones emitidas por la compañía Imprelaser, S.L., como prestador del servicio de notificaciones, y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 Notas de entrega de CTI Tecnología y Gestión, S.A. BADEXCUG acreditativo del envío, a través del operador UNIPOST del cliente BADEXCUG. No consta ninguna incidencia en su envío y entrega al destinatario. 3. CON RESPECTO DE BANKIA: Dicha compañía ha comunicado a la Inspección de Datos, con fecha de 28/12/2015 y de 04/05/2016, en relación con la deuda del denunciante lo siguiente: El denunciante contrató con Caja Ávila una “Póliza de contrato mercantil de garantía por prestación de fianza”, con fecha de 20/02/1991, con domicilio en calle (C/...5) Ávila, ante quien se concede Freiremar, S.A., con domicilio en (C/....7) Las Palmas de Gran Canaria, por importe de 1.500.000 Ptas. Entre las cláusulas consta la siguiente: “Domicilio y comunicaciones: el domicilio que ha quedado consignado en este contrato. El/los titulares deberán comunicar fehacientemente a la CAJA cualquier cambio o modificación del domicilio referido. ( )”. Al amparo de dicha póliza se otorgó un aval ante la mercantil Freiremar que estará vigente hasta que se autorice su cancelación. Se adjunta copia de la misma. Para la cancelación de los avales es practica bancaria que la entidad exija la devolución de la carta de aval original, de manera que el beneficiario de la garantía no pueda ejecutarla. En caso de no devolverse el original de la carta aval se exige un documento que el reclamante aportó el 10/02/2014, pero no estaban completos los datos y hace referencia a un aval del Banco Santander del año 2000. Por lo que el reclamante tiene a día de hoy un contrato vigente con BANKIA y que es consciente de ello ya que en los últimos meses ha realizado gestiones. Las causas de exclusión de los datos del denunciante en los ficheros de solvencia en noviembre de 2013, se debe a las cantidades adeudadas hasta ese momento. No obstante la deuda actual asciende a 359,60€. El domicilio que constaba en las bases de datos de Caja Ávila, antes de su integración en BANKIA, era calle (C/...2) 6 - ***LOCALIDAD.1 (Alicante), domicilio que migró a BANKIA, manteniéndose el mismo hasta el 08/10/2015, fecha en la que el cliente procede a su modificación, pasando a ser calle (C/...4) Ávila, se adjunta acreditación de dicha circunstancia firmado por el denunciante. El requerimiento de pago fue remitido por BANKIA al denunciante, el 22/01/2014, de la operación aval ***NÚM.1, garantía “personal con fiadores”, importe 43,95€, en el que se le informaba, entre otros, de lo siguiente “Si usted no regulariza su deuda sus datos podrán ser informados a ficheros de solvencia (…)”. Se adjunta copia y no les consta la devolución de correspondencia, advirtiendo, por tanto de la necesidad de contactar con el cliente. En la relación de envíos a los ficheros de solvencia de las incidencias del denunciante consta como dirección calle (C/...2) y código postal ***CP.1, en el periodo comprendido entre el día 31/05/2012 y el día 01/10/2015, fecha a partir de la cual se comunica como dirección calle (C/...4) de Ávila. Se adjunta Informe histórico de envío de mora BUREAUX. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 TERCERO: Con fecha 08/09/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a EXPERIAN, por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de EXPERIAN mediante email de 23/09/2016 solicito copia del expediente; mediante diligencia de 28/09/2016 la representación de la entidad se persono en esta Agencia para tomar vista del expediente y copia del mismo; mediante e-mail de 27/092016 solicito ampliación del plazo para alegaciones siéndole concedida la citada ampliación mediante escrito del instructor de 28/09/2016. La representación de EXPERIAN mediante escrito de fecha 14/10/2016 formuló en síntesis las siguientes alegaciones: el cumplimiento por EXPERIAN de las obligaciones del artículo 40 del Reglamento; que la única responsable de la calidad de los datos existentes en los ficheros es la entidad aportante de los mismos; que no ha cometido infracción alguna por lo que se debería proceder al archivo del procedimiento. QUINTO: Con fecha 15/12/2016 se inició un período de práctica de pruebas, acordándose las siguientes: - Se dan por reproducidos a efectos probatorios la denuncia interpuesta por el denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/06853/2015. - Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00419/2016 presentadas por EXPERIAN y la documentación que a ellas acompaña. SEXTO: En fecha 21/12/2016, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se archivara a EXPERIAN por la supuesta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de dicha norma. Asimismo, en cumplimento de los establecido en el artículo 19.2 del Real Decreto 1332/1994 se acompañaba Anexo conteniendo la relación de los documentos obrantes en el expediente a fin de obtener copia de los que estimara convenientes. La representación de EXPERIAN, a fecha de la presente resolución no había presentado escrito de alegación alguna. HECHOS PROBADOS PRIMERO. Con fecha 23/09/2015, 18/11/2015, 23/11/2015 tuvo entrada en esta Agencia Española de Protección de Datos escritos del afectado manifestando que no le han requerido el pago de la deuda ni notificado la inclusión de sus datos personales en los ficheros de solvencia patrimonial por parte de la entidad BANKIA (folio 1 y ss). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 SEGUNDO. El denunciante ha aportado copia de su DNI cuyo número es ***DNI.1 (folio 19) TERCERO. BANKIA en escrito de 04/05/2016, ha manifestado que la relación del denunciante con la entidad trae causa del contrato suscrito con Caja Ávila (actualmente BNKIA), Póliza de contrato mercantil de garantía por prestación de fianza, de 20/02/1991, por el que se otorga aval a la empresa Freiremar, S.A. con domicilio en (C/....7) de Las Palmas de Gran Canaria; en la citada póliza figura como fiador y domiciliado en (C/...5), Ávila. En la Clausula 11º Domicilio y Comunicaciones se indica que “A todos los efectos, el domicilio del/los titular/es es el que, como tal, ha quedado consignado en este contrato. El/los titular/es deberán comunicar fehacientemente a la CAJA cualquier cambio o modificación del domicilio referido. Se consideraran recibidas por el titular todas las comunicaciones que la CAJA le dirija al último domicilio que, con los anteriores requisitos, figure en sus archivos…”(folios 262 a 263). En relación con la póliza anterior, BANKIA aporta copia del afianzamiento, señalando en su escrito que “se encuentra vigente hasta que por Freiremar, S.A, autorice su cancelación” (folio 264). CUARTO. En fecha 19/05/2016, Equifax Ibérica, S.L. como encargado del fichero ASNEF, ha informado que en el citado fichero constan dos incidencias asociadas al identificador ***DNI.1 correspondiente al denunciante, informadas por Bankia, por operación Avales y Garantías, en la condición de titular: Primera, con fecha de alta y baja: 12/01/2015-02/12/2015, por un importe de 134,85 euros. La citada incidencia fue notificada a la dirección C/ (C/...2), ***CP.1***LOCALIDAD.1 (Alicante). Segunda, con fecha de alta 14/12/2015 por un importe de 359,60 euros. La citada incidencia fue notificada a la dirección (C/...4), Avila (folios 201, 207, 208, 215). QUINTO. El denunciante, en fechas 27/07/2015, 12/08/2015, 22/11/2015, se dirigió al responsable del fichero ASNEF ejercitando el derecho de acceso de sus datos de carácter personal, quien el 29/07/2015, 04/09/2015 y 23/11/2015 le respondía adjuntando la información asociada a su identificador y, además, en esta última fecha que sus datos habían sido consultados por RCI Banque. También el 28/11/2015 se dirigió al responsable del fichero ASNEF ejercitando el derecho de cancelación de sus datos de carácter personal, quien le respondía el 02/12/2015 que “tras las comprobaciones pertinentes, se ha procedido a la Baja con la/s entidad/es Bankia-Caja Madrid en el fichero ASNEF de los datos asociados a su identificador” (folio 237). SEXTO. En fecha 16/06/2016, EXPERIAN como responsable del fichero BADEXCUG, ha informado que en el citado fichero consta cuatro incidencias asociada al identificador ***DNI.1 correspondiente al denunciante, informadas por Bankia, por operación Avales y Garantías, en la condición de titular: - Primera, con fecha de alta y baja: 23/10/2011-27/05/2012, por un importe de 631,83 euros. La citada incidencia fue notificada a la dirección (C/...6)-Avila. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 - Segunda, con fecha de alta y baja: 03/06/2012-10/11/2013, por un importe de 771,73 euros. La citada incidencia fue notificada a la dirección (C/...2), , ***CP.1***LOCALIDAD.1 (Alicante). Tercera, con fecha de alta y baja: 11/01/2015- 02/12/2015, por un importe de 134,85 euros. La citada incidencia fue notificada a la dirección (C/...2), 6, ***CP.1***LOCALIDAD.1 (Alicante). Cuarta, con fecha de alta: 03/01/2016, por un importe de 269,70 euros. La citada incidencia fue notificada a la dirección (C/...4), -Avila. (folios 308 y ss). SEPTIMO. EXPERIAN ha aportado impresión de pantalla del resultado de consulta efectuada a la base de datos SQL, existiendo cuatro registros asociados al DNI del denunciante: el primero y el segundo datan del 09/01/2012 y 10/01/2012, relacionada con la primera inclusión en el fichero. El tercero, de fecha 07/09/2015, con valor A (alta en la tabla de notificaciones devueltas) y en el campo “acción sobre el registro” el valor 2 (alta registro EXPERIAN). El cuarto, de fecha 09/09/2015, con valor B (baja en la tabla de notificaciones devueltas) y en el campo “acción sobre el registro” el valor 6 (confirmación SPC entidad) (folio 508). OCTAVO. BANKIA en escrito de 04/05/2016, ha manifestado que la relación del denunciante con la entidad trae causa del contrato suscrito con Caja Ávila (actualmente BANKIA), Póliza de contrato mercantil de garantía por prestación de fianza, de 20/02/1991, por el que se otorga aval a la empresa Freiremar, S.A. con domicilio en (C/....7) de Las Palmas de Gran Canaria; en la citada póliza figura como fiador y domiciliado en (C/...5), Ávila. En la Clausula 11º Domicilio y Comunicaciones se indica que “A todos los efectos, el domicilio del/los titular/es es el que, como tal, ha quedado consignado en este contrato. El/los titular/es deberán comunicar fehacientemente a la CAJA cualquier cambio o modificación del domicilio referido. Se consideraran recibidas por el titular todas las comunicaciones que la CAJA le dirija al último domicilio que, con los anteriores requisitos, figure en sus archivos…” (folios 262 a 264). NOVENO. BANKIA en escrito de 04/05/2016 ha aportado el Informe Histórico de envió a los ficheros de solvencia en el que figura la dirección postal del denunciante en cada periodo, apareciendo la dirección C/ (C/...2), 6, en ***LOCALIDAD.1 (Alicante), desde el 31/05/2012 hasta el 01/10/2015; a partir de esta fecha y hasta 14/04/2016 figura la C/ (C/...4), 9,4º,2, como dirección del denunciante (folios 299 a 302). BANKIA manifiesta en el citado escrito que “…, les informamos que el domicilio que constaba en las bases de datos de Caja Ávila antes de su integración en Bankia, correspondía a C/ (C/...2), , ***CP.1-***LOCALIDAD.1 (Alicante), domicilio que migró a Bankia en la integración tecnológica, manteniéndose el mismo hasta el 8 de octubre de 2015, fecha en la que el cliente procede a su modificación, pasando a ser en C/ (C/...4), -Avila” (Folio 261). DECIMO. BANKIA ha aportado copia del documento actualización de la información de las condiciones para el tratamiento de datos personales, de fecha 08/10/2015, debidamente firmado por el denunciante, en el que figura el nuevo domicilio (folios 303 a 305). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 UNDECIMO. En el informe de actuaciones la inspectora actuante indica que “Se han remitido al denunciante “17” notificaciones de inclusión de sus datos personales en el fichero BADEXCUG, siendo “4” de ellas de la entidad informante BANKIA…”. Además, el denunciante ha dispuesto de varios domicilios, C/ (C/...1), 10, Ávila; (C/...6), Ávila; C/ (C/...2), 6, ***CP.1-***LOCALIDAD.1 (Alicante); (C/...3), Alicante; (C/...4), Ávila; (C/...5), Ávila (folios 387 a 390). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a EXPERIAN la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. III En el artículo 38.1 del Reglamento de la LOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial, en relación con las obligaciones dinerarias a que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurra, por lo que ahora importa, el siguiente requisito:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada”, y
- b)(…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. En cualquier caso, se hace preciso señalar que la Agencia Española de Protección de Datos no es el órgano competente para dirimir si la deuda reclamada al denunciante era correcta o no, ni su cuantía exacta con carácter definitivo e irrevocable, para eso están los tribunales de justicia en última instancia, aquí de orden civil; a la Agencia le compete determinar si se han cumplido los requisitos legal y reglamentariamente establecidos para la inclusión de los datos personales del afectado en los ficheros de morosidad –en el presente caso en el fichero BADEXCUG-. O como dice la sentencia de 3 de julio de 2007 de la Audiencia Nacional: “Otra cosa es que para ejercer su competencia (refiriéndose al Director de la Agencia) haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros”. Pero esas valoraciones sí deben servir a la Agencia para saber que la información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 trasmitida al fichero contaba con la suficiente veracidad, tal como demanda la Ley. IV El artículo 40 del RGLOPD establece que: “1. El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. 2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos. 4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío. 5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. V Hay que señalar que la exigencia de responsabilidad sancionadora presupone la existencia de dos elementos, la conducta antijurídica descrita en el tipo sancionador y el elemento subjetivo de la infracción, requisito esencial por cuanto en el Derecho Administrativo sancionador está proscrita la responsabilidad objetiva y rige en todo caso el principio de culpabilidad. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A su vez, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) proclama en el artículo 130.1 el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Solo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Por tanto, a la luz de este precepto, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Así, la Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone que “....el ilícito administrativo previsto en el artículo 44.3.
- d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva...”. VI En el presente caso, EXPERIAN dispone de un procedimiento para el cumplimiento de las obligaciones previstas en el artículo 40.4 y 5 del Reglamento de desarrollo de la LOPD, que introdujeron la obligación de realizar un control de las notificaciones devueltas, debiendo solicitar a la entidad acreedora la confirmación de que la dirección era la pactada a efectos de notificaciones y no proceder al tratamiento si no se realizaba dicha confirmación. Este procedimiento establece que “las notificaciones de altas que vengan devueltas por motivo distinto del rehusado deben ser notificadas a las entidades que aportaron la información y solicitar la confirmación expresa por parte de las mismas sobre si, la dirección a la que se ha remitido dicha comunicación se corresponde, o no, con la contractualmente pactadas a efectos de notificación. En el caso de que la confirmación por parte de la entidad no se produzca, se procederá a dar de baja el registro afectado”. EXPERIAN en escrito de alegaciones al acuerdo de inicio ha manifestado que la contestación al requerimiento de información E/6835/2015 se encontraba incompleta y que dos de las cuatro incidencias de inclusión en el fichero BADEXCUG notificadas al denunciante habían sido devueltas, por lo que EXPERIAN como responsable del fichero comunicó dichas circunstancias a la entidad informante BANKIA confirmando en ambas ocasiones que la dirección era correcta a efectos de notificación. EXPERIAN ha aportado impresión de pantalla del resultado de la consulta efectuada a la base de datos SQL, existiendo cuatro registros asociados al DNI del denunciante: el primero y el segundo datan del 09/01/2012 y 10/01/2012, relacionada con la primera inclusión en el fichero y que dada la fecha del mismo se hallaría prescrito. En cuanto los otros dos restantes se encuentran relacionados con la incidencia tercera de inclusión en BADECUG reflejada en el hecho sexto. El tercer registro, muestra la devolución de la notificación el 07/09/2015, reflejando el valor A (alta en la tabla de notificaciones devueltas) y en el campo “acción sobre el registro”, refleja el valor 2 que determina el alta del registro en EXPERIAN (alta registro EXPERIAN). El cuarto registro, de fecha 09/09/2015 confirma que la dirección es la correcta, conteniendo el valor B (baja en la tabla de notificaciones devueltas) y en el campo “acción sobre el registro” refleja el valor 6 que determina la confirmación por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 BANKIA (confirmación SPC entidad). A mayor abundamiento, BANKIA ha aportado copia del documento actualización de la información de las condiciones para el tratamiento de datos personales, de lleva fecha de 08/10/2015 (un mes después de la devolución y confirmación del domicilio en C/ (C/...2), 6, ***LOCALIDAD.1 (Alicante)), debidamente firmado por el denunciante, en el que figura el nuevo domicilio de éste en (C/...4), Avila Además, BANKIA ha aportado el Informe Histórico de envió a los ficheros de solvencia en el que se refleja la dirección del denunciante en cada uno de los periodos, figurando la C/ (C/...2), 6, ***LOCALIDAD.1 (Alicante), desde el 31/05/2012 hasta el 01/10/2015; es a partir de esta fecha cuando comienza a figura la C/ (C/...4), 9,4º, 2, hasta el 14/04/2016 como dirección del denunciante (folios 299 a 302). Por último, BANKIA ha manifestado que “les informamos que el domicilio que constaba en las bases de datos de Caja Ávila antes de su integración en Bankia, correspondía a C/ (C/...2), 6, Bj, ***CP.1-***LOCALIDAD.1 (Alicante), domicilio que migró a Bankia en la integración tecnológica, manteniéndose el mismo hasta el 8 de octubre de 2015, fecha en la que el cliente procede a su modificación, pasando a ser en (C/...4), Avila” (Folio 261). Añadir a las consideraciones anteriores que no se tiene noticia de que el denunciante hubiera solicitado a BANKIA con anterioridad al 08/10/2015, la comunicación del cambio de domicilio (en el expediente constan seis distintos) y que de conformidad con las cláusulas de la Póliza de contrato mercantil de garantía por prestación de fianza, de 20/02/1991, debía hacerlo. La citada póliza establece en su Clausula 11º Domicilio y Comunicaciones que “A todos los efectos, el domicilio del/los titular/es es el que, como tal, ha quedado consignado en este contrato. El/los titular/es deberán comunicar fehacientemente a la CAJA cualquier cambio o modificación del domicilio referido. Se consideraran recibidas por el titular todas las comunicaciones que la CAJA le dirija al último domicilio que, con los anteriores requisitos, figure en sus archivos…” (el subrayado corresponde a la LOPD). En este sentido debe recordarse que el Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la LOPD (RLOPD) establece en su artículo 8.5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello.” A tenor de las consideraciones precedentes, habida cuenta de las particulares circunstancias que concurren en los hechos sometidos a nuestra consideración y el carácter restrictivo y excepcional del procedimiento administrativo sancionador, no existen elementos para apreciar una infracción de la normativa reguladora del derecho a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 la protección de datos de carácter personal, por lo que debe acordarse el archivo del procedimiento. En conclusión, habida cuenta de todo lo expuesto, podemos deducir que no existe por EXPERIAN comportamiento alguno que vulnere la normativa en materia de protección de datos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a la entidad EXPERIAN BUREAU DE CRÉDITO S.A., por una supuesta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la misma Ley. SEGUNDO: NOTIFICAR la presente resolución a EXPERIAN BUREAU DE CRÉDITO S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es