← España

PS-00440-2014

1/15 Procedimiento Nº PS/00440/2014 RESOLUCIÓN: R/02633/2014 En el procedimiento sancionador PS/00440/2014, instruido por la Agencia Española de Protección de Datos a la entidad FINCONSUM EFC, S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de agosto de 2013 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de denuncia remitido por Don A.A.A. en el que manifiesta que la entidad FINCONSUM incluyó sus datos personales en ficheros de información de solvencia patrimonial y crédito sin haber efectuado previo requerimiento de pago. Junto con su escrito se aporta la siguiente documentación de relevancia: - Copia parcial de carta de fecha 27 de agosto de 2013, remitida por EQUIFAX, en la que le informan de que sus datos han sido dados de alta en el fichero ASNEF por parte de FINCONSUM con fecha 04/12/2012, como consecuencia de una deuda por importe de 91,28 €. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad Finconsum EFC, S.A., teniendo conocimiento de que: Con fecha 13/11/2013 se solicitó a FINCONSUM información relativa a Don A.A.A., NIF ***NIF.1, en relación a la práctica del requerimiento de pago con carácter previo a la inclusión de sus datos en ficheros de información de solvencia patrimonial y crédito. De la respuesta recibida se desprende lo siguiente: - En relación a la dirección de contacto de la denunciante que consta en los sistemas de FINCONSUM, aquélla es (C/............1), Sevilla, Se aporta impresión de pantalla al respecto. - FINCONSUM expone que tenía suscrito un contrato para la realización del envío de los requerimientos previos de pago, desde el 01/09/2010 con la empresa INFORSISTEM S.A. (en adelante INFORSISTEM, entidad absorbida por INDRA BMB SLU, en adelante INDRA). La AEPD ya tuvo conocimiento de la existencia de este contrato en el marco de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 tramitación del E/04354/2011. FINCONSUM manifiesta que a partir del 01/06/2013 la empresa DELION COMMUNICATIONS SLU (en adelante DELION) se subrogó en la posición ocupada por INDRA en el mencionado contrato. Se aporta documento justificativo al respecto. - FINCONSUM aporta copia de hasta nueve comunicaciones enviadas al afectado a la dirección señalada en el primer apartado entre el 01/09/2012 y el 28/08/2013, en las que se le reclama el pago de la deuda pendiente. Sin embargo, sólo en cuatro de ellas se le advierte expresamente de la posibilidad de inclusión en ficheros de información de solvencia patrimonial y crédito en caso de impago: o o o o - Escrito de 30/09/2012, identificado con el código ***NÚMERO.1, por el que se reclama una deuda de 10,29 €. Escrito de 20/11/2012, identificado con el código ***NÚMERO.2, por el que se reclama una deuda de 31,04 €. Escrito de 15/01/2013, identificado con el código ***NÚMERO.3, por el que se reclama una deuda de 52,32 €. Escrito de 01/02/2013, identificado con el código ***NÚMERO.4, por el que se reclama una deuda de 52,78 €. FINCONSUM aporta certificado de 25/11/2013 en el que se establece que las cartas descritas en el apartado anterior y cuya copia aporta FINCONSUM fueron generadas en el sistema en la fecha indicada como “fecha de generación” con la información facilitada por FINCONSUM EFC SAU, incluida la dirección postal de su receptor final. Asimismo, durante las cuarenta y ocho horas siguientes a dicha fecha, fueron impresa, ensobradas y entregadas al distribuidor postal para su posterior envío a la dirección postal indicada. Dicho distribuidor postal no ha comunicado hasta la fecha, en relación a las mismas, devolución alguna. En el citado certificado, como fechas de generación de las cartas consta 30/09/2012 (***NÚMERO.1), 20/11/2012 (***NÚMERO.2), 15/01/2013 (***NÚMERO.3) y 01/02/2013 (***NÚMERO.4), respectivamente. - No se aporta documento acreditativo, más allá del certificado mencionado, de la entrega de las cartas al distribuidor postal. TERCERO: Con fecha 25 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la Entidad Finconsum EFC, S.A., por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave en el artículo 44.3

  1. c)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la Entidad Finconsum EFC, S.A., formuló alegaciones, significando, de manera sucinta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 1. Finconsum tiene suscrito un contrato de prestación de servicios desde 2010 con una empresa actualmente denominada Delion Communications S.L.U., para gestionar el procedimiento referente al requerimiento previo de pago que debe efectuar este establecimiento financiero de crédito, al objeto de utilizar, a través de dicha Sociedad un medio fiable para realizar las notificaciones a las que está obligado por el RLOPD. 2. En el presente caso no ha existido por parte de Finconsum actuación alguna contraria a lo dispuesto en la Legislación vigente en materia de LOPD. Obran en el expediente copia de diversos requerimientos previos de pago que fueron enviados al cliente por este establecimiento de crédito financiero de crédito en relación a la deuda existente (…). El domicilio al que se enviaron los requerimientos previos de pago, tanto los previos a la primera inclusión de los datos de la deuda en el fichero común Asnef como los posteriores a dicha fecha, se corresponden con la dirección postal facilitada por el afectado como domicilio y dato de contacto con ocasión de la cumplimentación del contrato de financiación suscrito con Finconsum. 3. El certificado al que se refiere ese Organismo es el emitido por la Empresa Delion Communications, S.L.U., conforme ésta manifiesta haber entregado las mencionadas cartas al distribuidor postal. Por tanto, Finconsum ha puesto a disposición de la AEPD documentación suficiente que acredita el cumplimiento de los requisitos establecidos en el art. 38 RLOPD y del requerimiento previo de pago a que se refiere el art. 39 RLOPD. Por todo ello solicita que se sirva admitir el presente escrito y tener por hechas las alegaciones que en él se contienen a los efectos legales correspondientes y, previos los trámites preceptivos, formular propuesta de resolución por la que se archiven las presentes actuaciones. QUINTO: Con fecha 27 de octubre de 2014 se inició el período de práctica de pruebas, durante el cual se da por reproducida la denuncia presentada, así como, la documentación anexa presentada por el denunciante y se procede a tener en cuenta las alegaciones y documentación presentada en tiempo y forma por la Entidad denunciada —FinConsum—a los efectos legales oportunos. SEXTO: Con fecha 11 de noviembre de 2014 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a FinConsum EFC, S.A., con una multa de 50.000 euros, por la presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma norma y en relación también con los artículos 38 y 39 del RLOPD; tipificada como grave en el artículo 44.3.
  2. c)de dicha norma. En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. SÉPTIMO: FinConsum EFC, S.A., presentó alegaciones a la propuesta de resolución en las que reitera que en los requerimientos de pago se le advertía que si no pagaba sus datos serían incluidos en el fichero de solvencia patrimonial y crédito Asnef. Tras la primera inclusión, se le continuaron enviando requerimientos de pago informándole de la inclusión y de la actualización del importe de la deuda (carta de 8 de enero de 2013). En la propuesta se reconoce que en cuatro de los requerimientos se le informa de la posible inclusión en ficheros de solvencia. Consta en el expediente certificado de la entidad Delion de que las cartas requiriendo el pago no han sido devueltas. Aunque no haya acreditación fehaciente de la recepción de los requerimientos si hay indicios de ello; la documentación aportada por FinConsum supone indicio suficiente del requerimiento previo del pago al denunciante. Solicita el archivo del procedimiento sancionador o, subsidiariamente, la aplicación de lo establecido en el artículo 45.5 de la LOPD y la minoración de la cuantía de la sanción. HECHOS PROBADOS PRIMERO. En fecha 30 de agosto de 2013 se recibe en esta AEPD escrito del afectado en dónde pone de manifiesto los siguientes hechos en orden a su adecuación a la LOPD: “He tenido conocimiento por parte de una Entidad bancaria que estoy inscrito en un fichero de morosos, hecho que se ha producido sin haber tenido notificación fehaciente de la deuda (…)”—folio nº 1--. SEGUNDO. En los sistemas de información de la Entidad denunciada—FinConsum— consta como dirección personal asociada al afectado la siguiente: (C/............1) (Sevilla). TERCERO. La Entidad-FinConsum aporta documento contractual, de fecha 02/06/2009, con rúbrica en dónde se plasma como domicilio en la casilla correspondiente: Vía Augusta-(C/............1)(Sevilla). (folio nº 12). CUARTO. Las cartas enviadas por la Entidad denunciada- FinConsum—están dirigidas a (C/............1)-Casa—(Sevilla)—folios nº 14 a 22 --dirección que se corresponde con la señalada por el afectado en su reclamación ante esta AEPD (folio nº 1). QUINTO. FinConsum tiene suscrito un contrato con una empresa denominada Delion Communications S.L.U para gestionar el procedimiento referente al requerimiento previo de pago que debe efectuar este establecimiento financiero de crédito, al objeto de utilizar, a través de dicha Sociedad un medio fiable para realizar las notificaciones a las que está obligado por el RLOPD—folio nº 62 SEXTO. Finconsum aporta a esta AEPD copia de los albaranes y sus correspondientes notas de entrega facilitados por Unipost S.A, así como, un certificado emitido por Delion Communications, S.L.U., informando de la fecha exacta de la entrega de cada una de las cartas y requerimientos de pago a Unipost S.A. SÉPTIMO. Queda acreditado que las cartas aportadas por la Entidad-FinConsum— (folios nº 14, 20 y 22) no aparece referencia alguna a las “consecuencias” legales en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 caso de incumplimiento de la obligación contractual: inclusión de los datos del afectado en ficheros de solvencia patrimonial y crédito. OCTAVO: No se ha acreditado la recepción de los requerimientos de pago por parte del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD--30/08/13--en dónde el afectado pone de manifiesto los siguientes “hechos” en orden a su adecuación a la LOPD: “He tenido conocimiento por parte de una Entidad bancaria que estoy inscrito en un fichero de morosos, hecho que se ha producido sin haber tenido notificación fehaciente de la deuda (…)”—folio nº 1--. Los hechos expuestos podrían suponer, en su caso, la presunta comisión de una infracción del art. 4.3 Ley Orgánica 15/1999, de 13 de diciembre—LOPD--, según el cual:” Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.”; tipificada como infracción grave en el art. 44.3
  4. c)de la referida norma, en su redacción vigente en el momento de cometerse los hechos denunciados. Por último, hay que mencionar el art. 38 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de Diciembre, referido al supuesto del art. 29 de la Ley, que establece que "sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  5. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
  6. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
  7. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación". Asimismo, el acreedor deberá informar al deudor "en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  8. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término prevenido para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Art. 39 Reglamento LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 La inclusión de datos en ficheros de solvencia patrimonial y crédito exige la existencia de una deuda cierta y la información al deudor, en los términos establecidos legal y reglamentariamente acabados de exponer, junto con el requerimiento de pago de la deuda, previo a la inclusión. III El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). IV En el presente caso, se parte de la presentación ante esta AEPD de prueba (documental) por parte de la Entidad denunciada-FinConsum--: entre los que se encuentran albaranes y sus correspondientes notas de entrega facilitados por Unipost, S.A, justificantes de la entrega de esas cartas y requerimientos de pago por parte de Delion Communications, SLU. En fase de instrucción—ex art. 78 Ley 30/92—se procede a examinar la documentación presentada llegando a las siguientes conclusiones:  Las cartas presentadas no preavisan de la cantidad total por la que se le incluye C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 en los ficheros de solvencia patrimonial y crédito. En consecuencia, aunque se hubiera abonado la cantidad requerida se hubiera producido la inclusión.  El albarán de entrega aportado no especifica una numeración de las cartas aportadas que permitan asociarla a la carta dirigida a cada afectado de manera que no se puede realizar una trazabilidad de la misma y constatar el envío y recepción de la misma al denunciante.  En las cartas presentadas (folios nº 14, 20 y 21) no se hace referencia alguna a las “consecuencias legales” en caso de incumplimiento de la obligación contractual. Sentado lo anterior, la cuestión que se suscita consiste en dilucidar si consta acreditada o no, la realización del requerimiento en cuestión, en los términos exigidos por el citado artículo 39 RLOPD, habiendo reiterado la Sala (SSAN, Sec 1ª, de 9 mayo 2003, Rec. 1067/1999 ; 8 de marzo de 2006, Rec. 319/2004 ; 18 de julio de 2007, Rec. 17/2006 ; 28 de mayo de 2008, Rec. 107/2007; 17 de febrero 2011, Rec. 177/2010 ; 20 de septiembre de 2012, Rec. 127/2011 etc) que cuando el destinatario niega la recepción del requerimiento, recae sobre el responsable del fichero o tratamiento, la carga de acreditar el cumplimiento de dicha obligación, siendo insuficiente los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación. Así viene reiterando esta Sala (SAN de 20 de abril 2006, Rec. 555/2004) que "aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda...". La normativa no exige ciertamente, que el requerimiento se lleve a cabo de una determinada forma, pero lo que si exige es que quien informa los datos a un fichero de morosidad deberá asegurarse que concurren todos los requisitos exigidos legal y reglamentariamente a tal fin, lo que implica que deberá estar en condiciones, caso de ser necesario, de poder acreditar la concurrencia de dichos requisitos (SAN de 35 de marzo 2010, Rec. 407/2009, por todas). En el caso que nos ocupa el denunciante (folio nº 1) niega “la notificación fehaciente de la deuda y la inscripción de forma sorpresiva de sus datos en ficheros de solvencia patrimonial y crédito”. Por tanto, al haber negado el denunciante la recepción del citado requerimiento corresponde, como ya se ha dicho, la acreditación de su realización a la entidad denunciada—FinConsum--que es la que comunica dichos datos a los ficheros de solvencia patrimonial y crédito. Naturalmente, el hecho de que el denunciante no haya formulado queja alguna acerca de la no recepción de correspondencia de la entidad con regularidad, o el hecho de que no se produjera ninguna incidencia en relación con la correspondencia enviada al domicilio del denunciante, no desvirtúa la afirmación realizada ni implica indicio alguno de que el requerimiento previo al pago fuera realizado con la información exigida por la normativa sobre protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 La documentación aportada resulta insuficiente en Derecho en orden a cumplir con los requisitos marcados legalmente, por lo que se considera acreditada la infracción del contenido del art. 4.3 LOPD en conexión con el art. 38 RLOPD—RD 1720/2007--, infracción tipificada en el art. 44.3
  9. c)LOPD—LO 15/99—y que es imputable a título de culpa o negligencia a la Entidad mencionada, que debió haberse asegurado del cumplimiento de dicha obligación con carácter previo a la comunicación de dichos datos, por lo que no cabe apreciar vulneración del principio de culpabilidad. El artículo 44.3.
  10. c)de la LOPD establece como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. La Agencia Española de Protección de Datos como ya se ha indicado más arriba ha resuelto numerosos procedimientos sancionadores por incumplimiento de calidad de datos en relación con ficheros de morosidad, tanto por alta improcedente por ser una deuda incierta o por mantener los mismos una vez abonada la deuda, como se trata en el presente caso (requisito material: exactitud del dato) o por una deuda no requerida previamente de pago por el acreedor al deudor (requisito formal: requerimiento previo), como se trata en el presente caso concreto. En este sentido, la Sentencia de la Audiencia Nacional de fecha 3 de abril de 2014, Recurso 265/2013, indica lo siguiente: “En el supuesto que nos ocupa, los indicios que pretende la parte actora que sean considerados para desvirtuar la presunción de inocencia son una carta enviada a través de la empresa Indra bmb con la que la parte actora tiene contratados los servicios para realizar los envíos de cartas de requerimiento previo de pago a la inclusión en ficheros de solvencia patrimonial y de crédito; copia de la factura emitidas por Correos de 31 de enero de 2012 de donde resulta el importe global de los envíos efectuados por la parte actora en el mes de enero de 2012; copia de los albaranes de entrega de las cartas remitidas por la entidad recurrente a través de Servicio de Correos en fechas 4 y 5 de enero de 2012, y el hecho de que el denunciante tiene activado el Servicio de Correspondencia Ecológica. Pues bien, con dichas pruebas no se ha acreditado que se hubiese efectuado el requerimiento previo a la inclusión en los ficheros Asnef y Badexcug de los datos personales del denunciante, habida cuenta que la exigencia del citado requerimiento tiene como objeto que el “deudor” o la persona obligada, conozca la existencia de la deuda vencida y exigible y la posibilidad de ser incluido en un fichero de morosos en el supuesto de no hacerla efectiva, ya que como se ha dicho, no se necesita el consentimiento del afectado para su inclusión en esta clase de ficheros, tratando así de salvaguardar la veracidad y exactitud de los datos que se van a incluir en dichos ficheros. Y, en el caso que nos ocupa, con lo aportado por la parte actora no se acredita que el denunciante haya podido tener conocimiento del requerimiento, pues no hay constancia que los requerimientos los hubiese recibido. Debemos añadir, que una vez comprobado por la Agencia la existencia de la inscripción de una deuda en un registro solvencia patrimonial, corresponde al que utiliza tal medio acreditar la concurrencia de los requisitos anteriormente mencionados. Como ya dijimos en nuestra Sentencia de 20 de abril de 2006 “... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos”. En consecuencia, a tenor de lo expuesto, los hechos descritos son constitutivos de la infracción del art. 4.3 de la LOPD.” En consecuencia, se sanciona a FinConsum al no haber podido acreditar la recepción por parte del denunciante de los requerimientos de pago efectuados. V Respecto a la alegada inexistencia culpabilidad en la comisión de la conducta infractora. En este sentido, no cabe duda de que la culpabilidad constituye nota esencial en materia sancionadora -artículo 130 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del procedimiento Administrativo Común (en lo sucesivo LRJPAC)- y que la llamada responsabilidad objetiva no tiene cabida en Derecho administrativo sancionador. Efectivamente, el artículo 130.1 de la LRJPAC dispone que “sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias 15/1999, de 4 de julio, y 76/1990, de 26 de abril) y la jurisprudencia mayoritaria de nuestro Tribunal Supremo (por todas Sentencia de 23 de enero de 1998), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” La Audiencia Nacional, en Sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. Y no existe negligencia, ni por tanto infracción culpable y punible, "cuando se haya puesto la diligencia necesaria en el cumplimiento de las obligaciones exigibles en materia de LOPD". VI El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  11. a)El carácter continuado de la infracción.
  12. b)El volumen de los tratamientos efectuados.
  13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  14. d)El volumen de negocio o actividad del infractor.
  15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  16. f)El grado de intencionalidad.
  17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15
  20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. A tal efecto, el art. 45.5 de la LO 15/1999 dispone que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a. Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b. Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c. Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d. Cuando el infractor haya reconocido espontáneamente su culpabilidad. e. Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente (…)”. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto “...no es si una manifestación del llamado principio de proporcionalidad (art. 131.1 Ley 30/92), incluido en el más general de prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos…”. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente procedimiento, los hechos probados suponen una falta de diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, con lesión de los derechos personales del denunciante El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”, pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra/s circunstancias que el mismo precepto cita. En este sentido, y al tratarse del incumplimiento de un requisito formal, indicar asimismo que, de acuerdo con lo que al respecto manifiesta esa Audiencia Nacional, cabría la aplicación de dicho apartado 5 del artículo 45 de la LOPD si se dieran los presupuestos fácticos contemplados, que no es el caso, como la existencia y exactitud de la deuda con la baja de los datos del afectado en los ficheros de morosidad ante la primera reclamación formulada (sentencia de fecha 10 de mayo de 2012), la falta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 intencionalidad de la entidad sancionada en su conducta por el hecho de que el afectado conozca la existencia de la deuda pendiente y la falta de perjuicios para él al haberse renegociado la deuda (sentencia de fecha 23 de julio de 2012) o la regularización de la irregularidad de forma diligente (sentencia de fecha 20 de septiembre de 2012), pero como ya se ha indicado no se dan estas circunstancias en el presente caso, o al menos, no se ha acreditado la baja en ASNEF. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar las operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de dato (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Por todo ello se impone una multa cuyo importe se encuentre entre 40.001€ y 300.000€, en aplicación de lo previsto en el apartado 2 del citado artículo 45 LOPD, al tener la infracción imputada la consideración de grave. En el presente caso, una vez analizadas las alegaciones y pruebas practicadas, tomando en consideración los criterios de graduación de las sanciones establecidos en el art. 45.4, y en particular, los siguientes:  La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal—art. 45. 4
  21. c)LOPD. FinConsum es una Entidad que por sus características y objeto social está en permanente contactos con datos personales de sus potenciales “clientes”.  El volumen de negocio o actividad del infractor.—art. 45.4
  22. d)LOPD--.  La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.—art. 45.4
  23. h)LOPD-- al ser incluidos los datos de carácter personal del afectado en los ficheros de solvencia patrimonial y crédito. Finalmente, con carácter subsidiario, se invoca por la parte actora la aplicación del art. 45.4 y 5 de la LOPD, ya que no se causado perjuicio alguno al denunciante, y la nula voluntad de la parte actora de causar perjuicio alguno. La misma Sentencia indicada con anterioridad, de 3 de abril de 2014, se pronuncia sobre la imposición de una multa de 50.000 euros, indicando lo siguiente: “En la resolución recurrida se señala que no resulta de aplicación el art. 45.5 de la LOPD por lo siguiente: <<debido, por un lado, a que no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en sentencia de 26 de noviembre de 2008). Además, al tratarse del incumplimiento de un requisito formal, hay que indicar asimismo que, de acuerdo con lo que al respecto manifiesta la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 cabría la aplicación del apartado 5 del artículo 45 de la LOPD si se dieran los presupuestos fácticos contemplados en el mismo, que no es el caso, como regularizar la irregularidad de dicha inclusión de manera diligente con anterioridad a la interposición de la denuncia ante este organismo (SAN de 20/09/2012) o proceder a la baja de los datos en los ficheros ante la reclamación formulada (SAN de 10/05/2012). Por otra parte, tampoco es posible la aplicación de la circunstancia privilegiada contemplada en el apartado
  24. e)del artículo 45.5 de la LOPD, puesto que la inclusión en los ficheros de solvencia patrimonial y de crédito, tanto en ASNEF (20/01/2012), como en BADEXCUG (22/01/2012), se produjo con posterioridad al traspaso del negocio bancario a favor de CATALUNYA BANC, el 07/06/2011, entidad que quedo subrogada en la totalidad de derechos, acciones, obligaciones, responsabilidades y cargas del negocio bancario segregado y aportado por CAIXA D’ESTALVIS DE CATALUNYA, TARRAGONA Y MANRESA, siendo por tanto imputable a la misma la infracción cometida>>. Y en relación con el art. 45.4 de la LOPD se dice que: <<existen circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Así, hay que señalar el apartado
  25. a)El carácter continuado de la infracción, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a CATALUNYA BANC, tiene naturaleza de infracción continuada o permanente (STAN de 24 de junio de 2010, Rec. 539/2007),
  26. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros y el apartado
  27. d)“volumen de negocio” toda vez que se trata de la una de gran entidad financieras del país. En el presente caso, valoradas en conjunto las circunstancias privilegiadas del artículo 45.4 de la LOPD, se impone una sanción de 50.000 € por la infracción del artículo 4.3 de la LOPD de la que CB debe responder>>. Debemos partir que el art. 45.4 de la LOPD contempla en la actualidad circunstancias que podríamos denominar agravantes, y no solo atenuantes de la responsabilidad. La Sala en línea con la resolución recurrida, no aprecia la concurrencia significativa de circunstancias que permitan aplicar la citada atenuación privilegiada, ni en definitiva aprecia la existencia de una cualificada disminución de la culpabilidad o antijuridicidad en la entidad recurrente Así, en relación con la ausencia de intencionalidad, señalar que la infracción apreciada se puede cometer de forma culposa y que en este caso la falta de diligencia de la parte recurrente ha sido clara, pues no se ha llevado a efecto el requerimiento preceptivo y que ponen de relieve lo inadecuado de los procedimientos implantados en relación con el requerimiento previo de pago a la inclusión en ficheros de morosidad, al margen de la acreditación de su recepción. También hay que resaltar que el hecho de estar desde el 20 y 22 de enero de 2012 los datos personales del denunciante en ficheros de solvencia patrimonial ello implica un perjuicio por sí mismo a aquel. Por todo ello, al margen de que se aprecie en la conducta infractora imputada a la compañía recurrente la circunstancia prevista como atenuadora de la gravedad de la sanción del art. art. 45 de la LOPD, por el hecho de que la compañía sancionada no haya obtenido beneficio alguno de la comisión de la infracción, sin que conste la concurrencia de las restantes circunstancias atenuantes alegadas, la concurrencia de la circunstancias agravantes expresadas, justifica la graduación de la sanción realizada, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 habiéndose seguido el criterio de proporcionalidad ya que la cuantía de la sanción impuesta se encuentra próxima al mínimo previsto.” Por todo ello se acuerda imponer una sanción que se cifra en la cuantía de 50.000€, sanción situada en la escala inferior de las calificadas infracciones graves de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FINCONSUM EFC, S.A., por una infracción del artículo 4.3 de la LOPD, tipificada como infracción grave en el artículo 44.3
  28. c)de dicha norma, una multa 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a FINCONSUM EFC, S.A., y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.