PS-00430-2014

1/15 Procedimiento Nº PS/00430/2014 RESOLUCIÓN: R/00023/2015 En el procedimiento sancionador PS/00430/2014, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A., vista la denuncia presentada por D.D.D. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 23/08/2013 tuvo entrada en esta Agencia una denuncia de D.D.D. en la que declara que CAIXABANK le ha incluido en ficheros de morosidad sin requerimiento previo de pago de la deuda ni haber sido informado de la posibilidad de ser incluido en dichos ficheros. Aporta copia de la siguiente documentación: - Carta presentada ante LA CAIXA el 10/06/2013 en la que relata que era cliente de CAJA SOL y su Sociedad tenía un préstamo de 49 mil euros, avalado por él, que reconoce había resultado impagado el 30/04/2012, y que estaba intentando refinanciarlo comunicándose en diversas ocasiones por e mails con LA CAIXA. Indica que en mayo de 2013 se aprobó su operación y sobre esas fechas se enteró de que sus datos figuraban incluidos en el fichero de solvencia. Indica que no se le requirió el pago previamente a su inclusión. - Escrito de fecha 19/6/2013 por el que la entidad responsable del fichero BADEXCUG responde a una solicitud de acceso del denunciante informándole que consta en el fichero una deuda a nombre del denunciado informada por LA CAIXA por importe de 17.910 €, como avalista, y fecha de alta 23/12/2012. - Escrito de fecha 27/6/2013 por el que la entidad responsable del fichero ASNEF responde a una solicitud de acceso del denunciante informándole que consta en el fichero una deuda a nombre del denunciante como avalista informada por la Caixa por importe de 15.080,64 €. de alta el 24/12/2012. - Escrito de fecha 18/7/2013 por el que LA CAIXA reclama al denunciante una deuda por importe vencido de 9.749.06 € en su condición de fiador solidario de un préstamo no pagado. Se le informa de la posibilidad de que los datos del denunciante podrán ser comunicados a ficheros de incumplimiento de obligaciones dinerarias. Con fecha 22/10/2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos, acordando el archivo de la denuncia. El denunciante presentó recurso de reposición en fecha C/ Jorge Juan, 6 28001 – Madrid 28/11/2013, www.agpd.es sedeagpd.gob.es 2/15 fundamentándolo, básicamente, en que dicho requerimiento se realizó con posterioridad (18/07/2013). El recurso se resuelve el 23/12/2013 estimando la pretensión del denunciante de no archivo, e indica que se procediera a realizar actuaciones previas de investigación E/7563/2013. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información 1. CAIXABANK informa el 11/02/2014: a. Aporta la entidad escritos fechados el 15 y 30/12/2012, así como de 14/01/2013 dirigidos a nombre del denunciante y a la dirección coincidente con la aportada por el denunciante en su escrito de denuncia. En los mismos, se le comunica el incumplimiento del préstamo del que era fiador solidario. Se informa expresamente en cada uno de los escritos: <<En tanto que la deuda no ha sido satisfecha en el término previsto para ello, le informamos que de mantenerse al impago, los datos relativos al mismo podrán ser comunicados a ficheros de cumplimiento o incumplimiento de obligaciones dineradas. Se comunicará la cantidad que resulto de añadir al importe que figura en al presente escrito, en su caso, las cuotas sucesivas que venzan y los intereses que se devenguen. >>. La carta de 15/12/2012 no contiene el término o plazo previsto para el pago. Asimismo se le informa de que el importe vencido es 50.851,22 € que no coincide con el que aparecía informado. Lo mismo acontece con la carta de 30/12/2012. b. No aporta la entidad acuse de recibo acreditativo de la entrega de dichas cartas, aportando en su lugar impresiones de pantalla según las cuales dichas cartas fueron generadas en fechas 16/12/2012, 31/12/2012 y 15/1/2013. c. Informa la entidad que la remisión de las tres cartas anteriores se realizó a través de un tercero independiente, DELION COMMUNICATIONS, S.L.U. dando la siguiente descripción del proceso: C/ Jorge Juan, 6 28001 – Madrid - El envío se realiza a través de un procedimiento automatizado e informatizado, cuyo tratamiento es individualizado, diferenciado del resto de envíos que realiza la Caixa, sin que, en consecuencia, se agrupe con ningún otro comunicado remitido al cliente. - La Entidad remite a la empresa DELION (que tiene encomendado el proceso de impresión, ensobrado y entrega al servicio postal para su correspondiente envío; y actualmente, el control de la posible devolución del envío) un fichero, con periodicidad semanal, que contiene todos los comunicados relativos al requerimiento previo de pago que deberán ser enviados. - DELION, durante las cuarenta y ocho horas que siguen a la recepción del fichero semanal enviado por “la Caixa’ lleva a cabo la impresión individualizada de cada comunicado y procede al correspondiente ensobrado. - Dentro de los dos días laborables inmediatamente siguientes a la www.agpd.es sedeagpd.gob.es 3/15 impresión y ensobrado, DELION realiza las siguientes acciones: - o Reporta a “la Caixa” las eventuales incidencias de impresión y/o ensobrado, enviando un tracking identificando aquellos comunicados objeto de incidencia en la fase de impresión/ensobrado (los cuales, para mejor conocimiento de esta Agencia, inician de nuevo el procedimiento hasta aquí relatado), y o Entrega a la empresa de servicios postales contratada al efecto (SOCIEDAD ESTATAL DE CORREOS Y TELÉGRAFOS, S.A., “CORREOS”) todos los comunicados correctamente impresos y ensobrados, para que procedan al correspondiente envío al domicilio del cliente. o Una vez depositado el comunicado para su distribución por CORREOS, reporta la fecha de impresión y ensobrado e indica la situación “ENVIADO” a un repositorio informático de la Caixa (REPOSITORIO DE COMUNICADOS A CUENTAS) que guarda dicha información, conjuntamente con una copia del comunicado enviado. Las devoluciones de los comunicados enviados son controladas directamente por la Entidad, mediante su departamento de Cartería: cualquier devolución es señalizada en el repositorio mencionado en el párrafo anterior. Aporta la entidad impresión de pantalla realizada al mencionado REPOSITORIO DE COMUNICADOS A CLIENTES, en su búsqueda con DNI, según la cual, no consta incidencia alguna en el correo remitido por la Caixa al denunciante. Aporta igualmente escrito remitido con fecha 17/07/2013 al denunciante, coincidente con el que el denunciante ha aportado. Aporta copia del acuse de recibo de dicho escrito. TERCERO: Con fecha 24/07/2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a CAIXABANK, S.A., por una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 18/08/2014 la denunciada alega: 1) Para imputar a la denunciada ha de existir un nexo causal: infracción y acción del sujeto responsable. Este nexo no existe pues CAIXABANK no es responsable del requerimiento previo de pago. Se desconoce si se refiere a que no es el encargado de los envíos pues los tiene contratados con DELION, o no es la responsable por haberse contraído el préstamo cuyo pago se gestionó con CAJASOL. 2) Nulidad de pleno derecho del acuerdo de inicio pues la obligación de acreditar la recepción por el destinatario del requerimiento previo de pago del artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 40 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); solo prevé la obligación de acreditar la efectiva realización de los envíos efectuando la AEPD una interpretación extensiva del tipo infractor. QUINTO: Con fecha 22/08/2014 se inicia el período de pruebas incorporando al procedente de actuaciones previas y alegaciones al cuerdo de inicio junto con su documentación. Además se solicita:
2. a)A la Caixa de cuanto era el préstamo solicitado y de que cantidad era fiador el denunciante.
3. b)Momento y tipo de operación mercantil por la que CAIXABANC gestiona los activos de CAJA SOL (con acreditación documental).
4. c)Sobre la puesta de los envíos de requerimientos de pago remitidos en el Servicio de Correos de la carta de 15/12/2013. Se solicita que acrediten que la tercera entidad los puso efectivamente en poder del Servicio de Correos con un recibo o documento de esta entidad que lo certifique. Asimismo, que dicha tercera entidad acredite que efectivamente la carta o envío estaba entre los enviados, precisando el medio de control que correlaciona la carta individualizada con el número dentro de los envíos masivos que se ponen en Correos.
5. d)Sobre el control de las devoluciones enviadas (de los requerimientos previos de pago) del que aportan la impresión de pantalla de documento 9, folio 43 que se adjunta, se solicita que indiquen a partir de que fecha implantaron esta gestión, y a través de que mecanismo controlan la devolución de los envíos si los mismos no aparecen individualizados o relacionados dentro del lote de los enviados.
6. e)Informen de la posible causa de que las cartas de requerimiento enviadas el 15/12/2012 y 30/12/2012 no contenían el término o plazo para efectuar el pago en su caso, y porque no coinciden las cantidades que se incluyeron en ficheros con las informadas en dichas cartas. Las peticiones fueron infructuosas al no responder la denunciada. SEXTO: Con fecha 26/11/2014 se emitió la propuesta con el literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione a CAIXABANK S.A. con multa de 40.001 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
7. c)de dicha norma, de conformidad con el artículo 45.2 y 4 de la LOPD.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 SÉPTIMO: Frente a dicha propuesta, con fecha 2/01/2015 se reciben alegaciones de la denunciada en la que indica: 1) Ya se ha aportado en alegaciones el requerimiento previo de pago a la inclusión en ficheros de solvencia, conteniéndose la indicación de que regularice la situación de impago, sorprendiendo la propuesta que dice que se debe también indicar el tiempo para su abono, pues el término previsto para el pago ya se contiene en el documento obligacional suscrito por el cliente, sin que pueda constituirse este añadido del reglamento en una novación de la obligación de pago vencida. 2) En cuanto a la discrepancia de las cantidades por las que aparecen sus datos inscritos en ficheros, 15.080, 64 € y 17.910 € y el consignado en el requerimiento 50.831,22 €, no existe tal sino que es consecuencia del periodo que transcurre entre el envío de la comunicación y la efectiva declaración en ficheros, el eventual pago parcial minora el importe objeto de declaración en ficheros de solvencia. A este respecto se debe especificar que la carta que contiene el aviso de impago de 50.831,22 € porta fecha de 15/12/2012, existiendo otra de 30/12/2012 en que la cuantía no es menor sino superior: 51.237,35 €, luego la deuda no se reduce como se argumenta, dado que los datos se informan el 23 y 24/12/2012. Añade que además se acredita el envío y recepción de dichos comunicados. 3) Nulidad de pleno derecho por vulneración del derecho a la seguridad jurídica en relación con los requisitos del envío del requerimiento previo de pago. De la redacción del artículo 40.3 del Reglamento de la LOPD no se infiere que la entidad notificante deba acreditar el cumplimiento del requisito alguno relativo a la identificación individual del número de envío, exigiéndose solo la efectiva realización de los envíos. Se realiza así una interpretación extensiva del tipo infractor. 4) En cuanto al control de devoluciones sobre el envío individualizado, tampoco se deduce del citado artículo. Añade que además acreditaron que el control de envíos se produce mediante el sistemático registro informático, produciéndose una conducta no típica. 5) Subsidiariamente solicita la aplicación del artículo 45.5 de la LOPD al no existir beneficio, no es una infracción continuada, según la sentencia del Tribunal Supremo-sala contencioso, de 16/03/2010, porque no hay pluralidad de acciones, cometiéndose en un momento determinado. A este respecto, aunque no aporta más datos, parece referirse al recurso 5548/2006, de 16/03/2010, de la sección 6, que se imprime de la web de CENDOJ y se adjunta al expediente. Como se aprecia en la misma, se trata de que la recurrente METROVACESA presunta infractora del artículo 11, cedió el número de teléfono móvil del denunciante a CAJA DE AHORROS DEL MEDITERRÁNEO. Se recurre entre otros aspectos, la consideración de la sentencia de la Audiencia Nacional de que dicha cesión es una infracción continuada, en la que el plazo de prescripción ha de contarse teniendo en cuenta que se mantienen temporalmente los efectos lesivos. En el fundamento de derecho CUARTO, analiza la infracción del artículo 11 de la LOPD. El recurso indica que la cesión no es una infracción permanente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 o continuada. Como se aprecia, el supuesto nada tiene que ver con la infracción imputada a la denunciada pues no se trata de una cesión no consentida, sino de una falta de calidad de datos que permanece en el tiempo debido a la inclusión ab initio en ficheros de solvencia, sin los requisitos legales y reglamentarios previstos. De acuerdo con la sentencia de la AN, recurso 611/2010 de 13/11/2011 sería una infracción continuada, como se desprende del fundamento de derecho TERCERO: “Ahora bien, a los efectos del cómputo del plazo de prescripción de la infracción, debe distinguirse entre los supuestos en los que el principio de calidad del dato se vulnera por la inclusión y el mantenimiento en el fichero de solvencia patrimonial de datos inexactos o no actualizados; y aquellos otros en los que la infracción del citado principio tiene su origen en la falta de requerimiento previo de pago al deudor aunque el dato de la deuda inscrito sea exacto. En el primer supuesto, la infracción se produce en el momento en el que se inscribe el dato en el fichero de solvencia patrimonial y sigue produciendo mientras el dato inexacto permanece inscrito en el mismo, pues al quebrar la correspondencia que debe “mediar entre los datos incluidos en el fichero y la situación real del afectado, la infracción persiste durante el tiempo en el que los datos inexactos permanecen en el fichero infringiendo tal principio de calidad. En el segundo -inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor-, la infracción del principio de calidad del dato encuentra su razón de ser en la falta de requerimiento previo de pago al deudor, en cuanto priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. Como ya dijimos en nuestra sentencia de 20 de abril de 2006 "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos". De modo que aquel que incluye los datos personales de una persona en un fichero de solvencia patrimonial sin haber efectuado un previo requerimiento de pago al deudor del que exista constancia, comete una infracción de la LOPD relacionada con el principio de calidad del dato, que no solo se produce en el momento de la inscripción sino que persiste mientras no se repara la irregularidad cometida. Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 En el supuesto que nos ocupa, no se cuestiona la exactitud de la deuda inscrita sino la falta de requerimiento previo al deudor antes de que sus datos accedieran, en relación con una deuda concreta líquida y exigible al fichero de solvencia patrimonial. Se trata de una infracción grave que tiene previsto un plazo de prescripción de la infracción de dos años (art. 47 de la Ley Orgánica 15/1999).” Se desprende pues que si es de tipo continúo la infracción cometida HECHOS PROBADOS 1. De acuerdo con la impresión de la hoja aportada por el denunciante- -ejercicio de acceso de 18/06/2013-que lleva el logo de EQUIFAX, y fechada a 27/06/2013, sus datos figuran incluidos en el fichero ASNEF desde 24/12/2012 por el impago de 15.080,64 € por CAIXABANK SA como avalista (6 a 8). El préstamo es el número 9620 acabado en 85, titularidad de LLamvaz SL según carta requerimiento de la CAIXA al denunciante de 18/07/2013 por importe de 9.749,06 € (12, 39,44 a 47) que no indica plazo para el abono de la deuda. 2. De acuerdo con el documento aportado por el denunciante, -ejercicio de acceso de 19/06/2013-sus datos se hallan incluidos por CAIXABANK SA en el fichero BADEXCUG por el mismo tipo de impago del apartado 1, desde 23/12/2012, por el impago de 17.910,86 € 3. En los sistemas de la denunciada figuran los datos del denunciante como avalista de un préstamo titularidad de Llamvaz SL (28-29, 32, 34, 40). 4. LA CAIXA tiene contratado con un tercero (DELION COMMUNICATIONS SLU) el proceso de impresión, ensobrado y entrega al servicio postal para el envío de los requerimientos previos partiendo del envío semanal de un fichero remitido por LA CAIXA (29, 30, 48). Cuando el envío se pone en Correos, el tercero introduce en el sistema informático de LA CAIXA la fecha de impresión, ensobrado y ENVIADO. 5. LA CAIXA no acredita que por las cantidades 15.080,64 € y 17.910 €, por las que figura incluido el denunciante en ficheros de solvencia el 23 y 24/12/2012 hubiera requerido fehacientemente el pago previo a tales inclusiones La carta que declara haber enviado el 15/12/2012 se refiere al vencimiento del préstamo vencido de 50.851,22 €, no precisa el tiempo otorgado para el abono y no queda acreditado que efectivamente se puso en el Servicio de Correos, no quedando identificado individualmente el número de envío. Tampoco existe un control que relacione el número de envío con la gestión de su devolución, pues solo se dispone del “Repositorio de comunicados a clientes” en que no se identifica el número de envío de la carta