PS-00458-2016

1/9 Procedimiento Nº: PS/00458/2016 RESOLUCIÓN R/00740/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00458/2016, instruido por la Agencia Española de Protección de Datos a la entidad AMERICAN EXPRESS CARD ESPAÑA, S.A.U., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/11/2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad AMERICAN EXPRESS CARD ESPAÑA, S.A.U., mediante el Acuerdo que se transcribe: <<Procedimiento Nº: PS/00458/2016 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AMERICAN EXPRESS CARD ESPAÑA, S.A.U., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 06/11/2015 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A., con NIF ***NIF.1 (en adelante, el denunciante), en el que manifiesta que AMERICAN EXPRESS CARD ESPAÑA, S.A.U., ha incluido sus datos personales en los ficheros de insolvencia ASNEF y BADEXCUG “sin haber cotejado previamente” su NIF “con el nombre de la persona morosa” pues afirma que él nunca ha sido cliente de dicha entidad Acompaña a la denuncia copia de los siguientes documentos: Carta recibida de BANKINTER, S.A., de fecha 13/10/2015, en la que le comunica que “nos gustaría aclarar determinadas informaciones recibidas en relación con su situación de solvencia patrimonial y crédito (…)” Y añade que “Dichas informaciones nos impiden continuar permitiéndole disfrutar de los beneficios derivados de su Cuenta Nómina”. Carta enviada al denunciante por ASNEF EQUIFAX, S.L., de fecha 02/11/2015, en respuesta a los derechos ejercitados, en la que le comunica que “tras las comprobaciones pertinentes, se ha procedido a la subsanación del error en el identificador ***NIF.1 a nombre de A.A.A.” y le informan de que fue la denunciada quien introdujo sus datos en el fichero. Carta enviada al denunciante por EXPERIAN BUREAU DE CRÉDITO, S.A., de fecha 26/10/2015, respondiendo a la cancelación que el denunciante ejercitó en esa misma fecha, en la que le comunican que tras realizar las comprobaciones pertinentes se ha procedido a la cancelación de la operación ***OPERACIÓN.1 informada por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 American Express Card. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones de investigación encaminadas a su esclarecimiento, teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: “ACTUACIONES PREVIAS 1. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO ASNEF: El NIF del denunciante, con fecha de 17 de diciembre de 2015, no se encuentra incluido en el fichero denominado “ASNEF” (Datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias), cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L., según se detalla en el documento nº 1. Si bien, han sido dadas de baja dos incidencias con el NIF del denunciante a nombre de B.B.B., por la entidad informante American Express del producto “tarjetas de crédito”:  Con fecha de alta 1 de junio de 2015 y fecha de baja 3 de julio de 2015 por “domi.nc”.  Con fecha de alta 6 de julio de 2015 y fecha de baja 2 de noviembre de 2015 por “incongr”. Dichas incidencias han sido notificadas a la dirección postal (C/...1) de Madrid habiendo sido devueltas a su origen, según se detalla en el documento nº 2. 2. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO BADEXCUG: De la documentación remitida por la compañía Experian Bureau de Crédito, S.A. (en adelante EXPERIAN), responsable del fichero denominado BADEXCUG, cuya finalidad es la prestación de servicios sobre solvencia patrimonial y crédito, con fecha de 14 de enero de 2016, no consta incidencia asociada al NIF del denunciante, según se detalla en el documento nº 2. Si bien, ha sido dada de baja una incidencia con el NIF del denunciante a nombre de B.B.B., por la entidad informante American Express del producto “tarjeta privada”, con fecha de alta el día 8 de abril de 2015 y de baja el día 26 de octubre de 2015, como consecuencia del derecho de acceso del denunciante, por tratarse de un NIF asignado a otro nombre. Dicha incidencia fue notificada a la dirección postal calle (C/...1) de Madrid, según se detalla en el documento nº 3. 3. CON RESPECTO DE AMERICAN EXPRESS CARD ESPAÑA, S.A.U.: Dicha compañía ha comunicado a la Inspección de Datos, con fecha de 14 de enero de 2016, en relación con la deuda asociada al NIF del denunciante lo siguiente:  Al cliente B.B.B., con DNI ***NIF.1, le fue concedida en 16 de marzo de 2001, una tarjeta de crédito, que generó desde enero de 2014 a noviembre de 2015 impagos por valor de 1.926,81€. No aportan documentación que acredite la contratación del citado producto ni la identidad del cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9  La contratación se realizó presencialmente a través del distribuidor Momentum Task Force, S.L. con el que la entidad financiera suscribió un contrato de prestación de servicios en el año 2001 y posteriormente se suscribió otro contrato en el año 2007. En el citado contrato, cláusula 15, se regulan entre las partes los aspectos relativos a los datos de carácter personal y la cláusula 1.3

1. c)del anexo del contrato, donde además de establecerse la obligación del contratista de asegurarse de identificar por medio de su DNI al cliente, se le exige también, la obtención de la fotocopia del citado documento, extremo este último, que no se exigía en el contrato de 2001, por ser requisito legal posterior al mismo. Se adjunta copia de los citados contratos.  La comunicación para la inclusión del cliente en el fichero ASNEF se efectuó el 23 de marzo de 2015 y el día 28 de octubre de 2015, la entidad que gestiona el citado fichero remite comunicación a American Express haciendo constar que con el identificador ***NIF.1 a nombre de D. B.B.B., les figuraba otro titular. Tras la correspondiente verificación y de forma inmediata, el 30 de octubre de 2015, se solicitó la baja en el fichero.” FUNDAMENTOS DE DERECHO PRIMERO: Los hechos expuestos podrían suponer la comisión por AMERICAN EXPRESS CARD ESPAÑA, S.A.U., (en lo sucesivo, AMERICAN EXPRESS o la denunciada) de sendas infracciones de los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD), preceptos que disponen: Artículo 6.1: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. Artículo 4.3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Artículo 29.4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. A su vez, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), en su artículo 38.1 establece: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…)” El artículo 44.3.
3. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 El artículo 44.3.
4. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: De las Actuaciones de Investigación practicadas por la Inspección de Datos resulta que AMERICAN EXPRESS afirma que celebró en el año 2001 con A.A.A., con DNI ***NIF.1, un contrato de tarjeta de crédito “Blue Card” que fue cancelado el 31/10/2003. Añade que el 03/09/2003 el contrato pasó a la modalidad “Gold Credit Card” y fue cancelado el 23/03/2015 por impago de varias facturas, ascendiendo el saldo deudor a 1926,81 euros. La denunciada no ha aportado, pese a que se le requirió en tal sentido, ni la copia del contrato ni la copia del DNI del cliente que supuestamente contrató con ella. La denunciada afirma que la contratación se hizo presencialmente, a través del distribuidor Momentum Task Force, S.L., que llevaba a cabo “ventas directas y personales” en puntos de reunión concertados o con cita personal con el cliente”, y añade que “Éste es el sistema que se utilizó para la formalización de la Tarjeta del Cliente”. Según la cláusula 1.4 de las Condiciones Generales del contrato que suscribió con ese distribuidor en el año 2001, éste tenía obligación de asegurarse de que los titulares de las Tarjetas se identificasen mediante el DNI y de que rellenasen y firmasen la solicitud de Tarjeta. AMERICAN EXPRESS informó los datos de su cliente, asociados al NIF del que es titular el denunciante, a los ficheros de solvencia patrimonial ASNEF y BADEXCUG. En el fichero ASNEF se dieron de alta dos incidencias: la primera el 01/06/2015 con baja el 02/07/2015 acordada por el responsable del fichero como consecuencia de que se hubiera devuelto la carta de notificación de la inclusión. La segunda con fecha de alta el 06/07/2015. En este caso la carta de notificación también fue devuelta pero la denunciada confirmó la dirección el 30/07/2015, por lo que la incidencia estuvo vigente hasta el 02/11/2015. Respecto a BADEXCUG, dio de alta una incidencia asociada al NIF del denunciante con fecha 08/04/2015. La anotación se dio de baja el 26/10/2015 como consecuencia del ejercicio por el denunciante del derecho de cancelación de sus datos La documentación que obra en el expediente acredita que BANKINTER, S.A., hizo varias consultas por el número de NIF del denunciante a los ficheros ASNEF y BADEXCUG. TERCERO: De las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, procede graduar la sanción a imponer de acuerdo con los siguientes criterios recogidos en el artículo 45.4 de la LOPD que, en el presente caso, operan como como agravantes de la responsabilidad del infractor: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 -“El carácter continuado de la infracción” (apartado a,) pues el dato del NIF del denunciante fue tratado por AMERICAN EXPRESS, sin el consentimiento de su titular, durante un largo periodo de tiempo. Recordemos que si bien en las impresiones de pantalla facilitadas únicamente se tiene noticia de la existencia del contrato entre la denunciada y su cliente a partir de 2015, ésta ha declarado que se celebró en 2001. Se añade a lo anterior que los datos personales del denunciante permanecieron incluidos en los ficheros de solvencia patrimonial, sin que la entidad informante estuviera legitimada para esa comunicación, durante casi cuatro meses en ASNEF y durante más de seis meses en BADEXCUG. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,), pues la actividad empresarial de la denunciada, por su misma naturaleza, exige un continuo tratamiento de datos de carácter personal. - “El grado de intencionalidad” (apartado,
5. f)expresión que debe interpretarse como equivalente a “grado de culpabilidad”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. En el presente caso se estima que AMERICAN EXPRESS obró con una grave falta de diligencia al no haber efectuado las comprobaciones pertinentes sobre la adecuación del modus operandi de la empresa distribuidora a las indicaciones del Condicionado General del contrato y no verificar, antes de que los datos personales facilitados por la empresa contratista accedieran a su fichero, que se había identificado adecuadamente al contratante. -“La naturaleza de los perjuicios causados al denunciante”, (apartado h). En el presente caso la documentación obrante en el expediente acredita los perjuicios causados al denunciante, habida cuenta de que BANKINTER, S.A., le comunicó en carta de fecha 13/10/2015 que la información recibida sobre su situación de insolvencia le impedía continuar disfrutando de los beneficios que le ofrecía su “Cuenta Nómina”. Como se ha indicado esta entidad accedió en varias ocasiones a la información asociada al NIF del denunciante obraba en los ficheros ASNEF y BADEXCUG. Por lo tanto, de conformidad con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a AMERICAN EXPRESS CARD ESPAÑA, S.A.U., con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD) por la presunta infracción de los artículos 6.1 y 4.3, en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 29.4, de la LOPD, tipificadas ambas como infracciones graves, respectivamente, en los artículos 44.3.
6. b)y 44.3.
7. c)de la citada Ley Orgánica. 2. NOMBRAR Instructora a D.ª ***INSTRUCTOR.1 y Secretario a D. ***INSTRUCTOR.2, indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por D. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones así como el informe de actuaciones previas de Inspección; documentos todos ellos que forman parte del expediente. 4. QUE a los efectos previstos en el artículo 64.2
8. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) y en el artículo 127,
9. b)del RLOPD, la sanción que pudiera corresponder por cada una de las infracciones sería de 50.000 euros (cincuenta mil euros), sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a AMERICAN EXPRESS CARD ESPAÑA, S.A.U., indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
10. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
11. f)y 85 de la LPACAP, se le informa de que si no efectuara alegaciones en plazo al acuerdo de inicio, éste podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio, lo que llevará aparejada una reducción del 20% de la sanción que proceda imponer, equivalente en este caso, por cada una de las infracciones, de 10.000 euros (diez mil euros). Con la aplicación de esta reducción, la sanción por cada una de las infracciones quedaría establecida en 40.000 euros (cuarenta mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo, podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la sanción fijada para cada una de las infracciones cometidas, equivalente en este caso a 10.000 euros (diez mil euros). Con la aplicación de esta reducción, la sanción por cada una de las infracciones cometidas quedaría establecida en 40.000 euros (cuarenta mil euros) y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción correspondiente a cada una de las infracciónes quedaría establecido en 30.000 euros (treinta mil euros) En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (40.000 o 30.000 euros) de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento sancionador (PS 00458/2016) y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De acuerdo con lo establecido en los artículos 37.
12. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos>> SEGUNDO: En fecha 16/11/2016 la entidad AMERICAN EXPRESS CARD ESPAÑA, S.A.U. ha procedido al pago de la sanción en la cuantía de 60.000 euros (sesenta mil euros) haciendo uso de las reducciones previstas en el artículo 85 de la LPACAP recogidas en el Acuerdo de inicio, lo que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de su responsabilidad. TERCERO: En fecha 16/11/2016 tuvo entrada en esta Agencia escrito de la entidad AMERICAN EXPRESS CARD ESPAÑA, S.A.U., de la misma fecha, en el que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00458/2016, de SEGUNDO: NOTIFICAR la presente resolución a AMERICAN EXPRESS CARD ESPAÑA, S.A.U. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es