← España

PS-00460-2016

1/17 Procedimiento Nº PS/00460/2016 RESOLUCIÓN: R/00844/2017 En el procedimiento sancionador PS/00460/2016, instruido por la Agencia Española de Protección de Datos a las entidades PRIMROSE PARTNERS LTD, y SOLUCIONES DIGITALES CRX SLU (antes DISPON SERVICIOS FINANCIEROS SL), vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 21/10/2014 tuvieron entrada en la Agencia Española de Protección de Datos (AEPD) sendos escritos de denuncia remitidos por A.A.A., en los que exponía que Primrose Partners LTD (Primrose) había incluido sus datos personales en el fichero Asnef sin que previamente se le hubiera requerido el pago de la deuda ni se le hubiera informado de la posibilidad de inclusión. La denuncia fue tramitada en el marco del expediente E/00262/2015, finalizado mediante Resolución del Director de la AEPD de 05/02/2015, por el que se acordaba no incoar actuaciones inspectoras y no iniciar procedimiento sancionador. La citada Resolución fue objeto de recurso de reposición interpuesto por la interesada. Dicho recurso fue resuelto estimativamente a su favor en Resolución RR/00250/2015 del Director de la AEPD de 16/04/2015, mediante la que se ordenaba la realización de actuaciones de investigación en el marco del expediente E/2192/2015. A pesar de las actuaciones realizadas, este expediente fue objeto de archivo por caducidad mediante Resolución de la Directora de la AEPD de 18/11/2015 en la que, en tanto en cuanto los hechos objeto de denuncia y susceptibles de infracción administrativa no habían prescrito, se ordenaba la apertura del presente expediente E/06893/2015. En conjunto, en el expediente obra la siguiente documentación de relevancia: --Copia de certificación de deuda emitida por Primrose con fecha 27/08/2014, relativa a una deuda que en esa fecha asciende a 565,50 €. En el certificado se desglosan los conceptos que integran esa deuda reclamada, entre ellos figura el concepto “comisiones generadas por la inclusión de la deuda en el fichero de impagos de Asnef”. --Copia de escrito de 02/03/2015 remitido por Equifax Ibérica SL en respuesta a un previo ejercicio del derecho de acceso, del que se desprende que en ese momento los datos de la denunciante se encontraban incluidos en el fichero Asnef a instancia de varias entidades, entre ellas Primrose. Como fecha de alta consta 04/02/2014, la deuda informada asciende a 781,50 € y como dirección figura (C/...1)(Asturias). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a Equifax y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Primrose. Las actuaciones concluyeron con el informe de la Inspección de Datos: <<< Con fecha 23/04/2015 se solicitó a Equifax Ibérica SL (en adelante Equifax) información relativa a Dª. A.A.A., NIF ***NIF.1, en relación a la inclusión de sus datos personales en el fichero Asnef por parte de Primrose. De la respuesta recibida (fechada a 08/05/2015) se desprende lo siguiente: --- Hasta la fecha en que Equifax cursa su respuesta al requerimiento de información formulado desde la Agencia, los datos de la afectada estuvieron incluidos en Asnef a instancia de Primrose en dos intervalos de tiempo, como consecuencia de una operación identificada con el código 0000000000********: + entre el 18/01/2014 y el 24/01/2014 (como motivo de la baja consta “directa”), como consecuencia de una deuda que ascendía en ese momento a 301,50 €. La inclusión fue objeto de un intento de notificación mediante el envío de una carta de 18/01/2014 a (C/...1), que consta como devuelta con fecha 22/03/2014. Se aportan impresiones de pantalla al respecto. + entre el 04/02/2014 y el 06/05/2015 (como motivo de la baja consta “directa”), como consecuencia de una deuda que ascendía en ese momento a 853,50 €. La inclusión fue objeto de un intento de notificación mediante el envío de una carta de 06/02/2014 a (C/...1), que consta como devuelta con fecha 15/03/2014. Se aportan impresiones de pantalla al respecto. --- Equifax expone que en su Servicio de Atención al Cliente constan cuatro expedientes asociados a la denunciante. Tres de estos expedientes tiene relación directa con la inclusión informada por Primrose, y que es objeto de la presente investigación: + 2014/****1. Expediente relativo a un ejercicio del derecho de cancelación recibido el 23/01/2014. Equifax procedió a la baja cautelar de la inclusión tras haber dado traslado de la solicitud a Primrose y no haberse pronunciado al respecto la citada entidad. La baja cautelar fue comunicada tanto a la solicitante y afectada como a Primrose, a la que Equifax remitió un escrito dirigido a la siguiente dirección: (C/...2) Madrid. Se aporta copia del expediente. + 2014/****2. Expediente relativo a un ejercicio del derecho de cancelación recibido el 04/04/2014. Equifax respondió mediante escrito de 11/04/2014, en el que se informaba, entre otros extremos, de que la inclusión informada por Primrose había sido confirmada por la entidad. Se aporta copia del expediente. + 2015/****3. Expediente relativo a un ejercicio del derecho de acceso recibido el 26/02/2015. Equifax respondió mediante escrito de 02/03/2015 junto con el que se adjuntaba un informe fechado a 27/02/2015 relativo a la inclusión de sus datos personales en el fichero Asnef a instancia de diversas entidades, entre ellas Primrose, en relación a una deuda informada por valor de 781,50 € dada de alta el 04/02/2014, constando como domicilio (C/...1). Se aporta copia del expediente. Con fecha 23/04/2015 se solicitó a Primrose información relativa a Dª. A.A.A., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 NIF ***NIF.1, en relación a la práctica del requerimiento de pago efectuado como paso previo a su inclusión en los ficheros de información de solvencia patrimonial y crédito, así como respecto al procedimiento que tenga implementado la entidad para practicar tal requerimiento previo de pago. Con fecha 13/05/2015 se registró de entrada en la AEPD escrito de respuesta remitido por Primrose (las hojas presentan el encabezamiento “dispon.es”), del que se desprende la siguiente información de relevancia: --- Con carácter previo, Dispon manifiesta que “la empresa Primrose Partners Limited, tiene residencia fiscal en Londres y se dedica a la concesión de micropréstamos a personas físicas. Para desarrollar su actividad, es propietaria entre otros dominios del dominio web www.dispon.es”. Señala que los datos facilitado por los clientes se guardan “en nuestros servidores, bajo protocolo seguro, o en los servidores de las entidades bancarias con las que trabajamos (como son los datos bancarios de los clientes a los cuales no tenemos acceso). Para cumplir con la normativa de protección de datos y de registro de ficheros, la empresa registró la información pertinente en el registro Information Commissioner’s Office (ICO), con el número de registro ***NÚM.1 el número de seguridad ***NÚM.2”. Añade que “la empresa actualmente no cede a terceros los datos de clientes fuera de la relación existente entre Primrose, Dispon, Asnef y los despachos de abogados encargados de la representación judicial de la empresa ante los tribunales para el recobro judicial de la deuda de los clientes, aunque dicha posibilidad está establecida en los Términos y Condiciones de nuestra página web así como en el contrato firmado por el cliente”. --- Primrose aporta impresión de pantalla que refleja el histórico de los domicilios asociados a la denunciante que constan en su base de datos. La última actualización, fechada a 30/05/2013, establece la siguiente dirección: (C/...1). --- Primrose manifiesta que “la empresa no realiza ...... por correo postal”. --- Primrose aporta copia de varios correos electrónicos dirigidos a la dirección .........@ hotmail .com desde el buzón ......@ dispon.es: + Correo electrónico de 14/11/2013, en el que se informa que “Lamentablemente sigues teniendo pendiente el pago de tu préstamo por importe de 346.39 euros (…) El tiempo va pasando y no queremos tener que incluirle en el fichero de morosos que te cerrará la puerta a otras vías de financiación”. + Correo electrónico de 18/11/2013, en el que se informa que “lleva ya 23 días en mora y a los 30 el sistema procederá a darte de alta en el registro de morosos de Asnef si no lo realizas antes de que se cumpla ese plazo”. No es detalla la cantidad adeudada. + Correos electrónicos de fechas 23 y 24 de enero de 2014 intercambiados con la denunciante, en los que se negocian pagos parciales a cambio de la exclusión de los datos de Asnef. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 + Correos electrónicos de 19/03/2014 intercambiados con la denunciante y relativos al montante de la deuda (la denunciante muestra su disconformidad y Dispon informa de porqué la cantidad reclamada sigue subiendo). --- Primrose manifiesta que “clienta solicitó en varias ocasiones que sus datos fueran dados de baja del registro de Asnef para que se le concediera financiación bancaria, por lo que sus datos se dieron de baja en varias ocasiones y posteriormente se volvieron a enviar. Actualmente, aunque su deuda está pendiente, al estar a la espera de la respuesta del juicio celebrado, no tenemos su expediente incluido en dicho registro”. >>> TERCERO: De todo lo actuado en la investigación previa se concluye, salvo prueba en contrario, que Dispon y a Primrose realizaron tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos. Las entidades denunciadas incluyeron los datos personales de la denunciante en el fichero Asnef asociados a una deuda sin haberle notificado el requerimiento de pago previo a la inclusión. CUARTO: El 28/10/16 la Directora de la AEPD emitió resolución por la que se acuerda Iniciar procedimiento sancionador a Dispon Servicios Financieros SL y a Primrose Partners LTD con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 4.3, tipificada como grave en el artículo 44.3.

  1. c)en la citada ley orgánica. La resolución fue remitida a las denunciadas. El 02/12/16 fue presentado en el Servicio de Correos escrito de alegaciones –remitido por Primrose-, con entrada el 07/12/16 en la AEPD, encabezado por ambas razones sociales. En dicho escrito hace constar que: "Debemos indicar que Primrose Partners Ltd. es una entidad de concesión de préstamos, que presta actualmente sus servicios a través de varias plataformas, entre ellas Dispon.es. … La concesión de préstamos y la inclusión en ficheros de morosidad de los clientes que no abonan sus préstamos lo realiza la entidad Primrose Partners Ltd. … La relación comercial con la clienta comienza el 30-05-2013, en el que se le concede su primer préstamo. Desde entonces, a la dienta se le concedieron tres préstamos que pagó en plazo, excepto el tercero, que pagó un día más tarde. El mismo día en que cancela su préstamo, solicita un nuevo préstamo, que actualmente tiene impagado. ... Desde el primer momento, la clienta indicó en su formulario de solicitud, que sus datos eran los siguientes: Móvil: ***TEL.1, Email: ..........@hotmail.com. Dirección: (C/...1) Asturias. Datos contrastados tras comunicar con ella en varias ocasiones. .... Las ...... que se realizan a nuestros clientes son digitales, tanto por email, por SMS, por teléfono, teléfono móvil o por WhatsApp. ... Sobre estos emails enviados los primeros días, la clienta respondió a dos de ellos, el 11-11-2013. En todos los emails enviados aparece la cantidad adeudada por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 dienta. … Con fecha 18-11-2013 se le envía email a la clienta avisándole de la próxima inclusión en Asnef. Tal y como se le indica a la clienta, se realizará la inclusión el día 30. Se le avisa el día 23, no se incluye el importe en el email ya que éste se actualiza de manera automática, y si el cliente cancela todo o parte del importe, éste se verá modificado. Sobre este email de fecha 18-11-2013, el cliente responde, se compromete a efectuar un pago parcial, haciendo referencia a la inclusión en el fichero de morosos de Asnef. Se adjunta copia de la conversación. … Se adjunta copia del email enviado con fecha 23 de noviembre de 2013, en el que se avisa a la clienta de su inclusión automática en el registro de morosos de Asnef. … Se adjunta conversación mantenida con la clienta con fecha 23 y 24-01-2014, en el que solicita la baja de los datos en Asnef, y la empresa niega su petición. Mientras tanto, la clienta solicita en Asnef la baja de los datos. … Se adjunta copia del email enviado con fecha 1 de febrero de 2014, en el que se avisa a la clienta de su inclusión automática en el registro de morosos de Asnef, tras la baja registrada. … Se adjunta copia del email enviado con 10 de noviembre de 2016, en el que se avisa a la dienta de su inclusión automática en el registro de morosos de Asnef. … Conclusión. En todo momento se realizó un tratamiento de datos de carácter personal correcto, se adjunta documentación que acredita las notificaciones efectuadas previas a la inclusión, en las cuales no sólo el cliente las recibe, sino que responde a la notificación recibida, quedando expresamente de manifiesto su conocimiento v notificación. … … que la empresa actuó siempre y en todo momento de acuerdo a la normativa vigente, siendo la clienta la que está buscando maneras o métodos poco ortodoxos de no estar registrada en el registro de morosos de Asnef sin cancelar su deuda, tal y como demuestra la información que aportamos y la actuación de la clienta en todo este proceso. >>> QUINTO: Con fecha 13/12/16 se inició el período de práctica de pruebas, acordándose las siguientes: Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el informe de actuaciones previas de Inspección, las alegaciones al acuerdo de inicio presentadas por Primrose y la documentación que a ellas acompaña. El 02/02/16 se publica en el BORME el cambio de denominación social de Dispon Servicios Financieros SLU por el de Soluciones Digitales CRX SLU. En ambos casos el socio único es Primrose. SEXTO: En fecha 27/02/2017 se emitió propuesta de resolución en el sentido de archivar el procedimiento en relación con la infracción imputada a Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), e imponer a Primrose Partners LTD una multa de 50.000 € por la infracción del artículo 4.3 en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 29.4 de la LOPD, y en relación con el artículo 38 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD), tipificada como grave en el artículo 44.3.
  2. c)de dicha norma. SEPTIMO: Notificada la propuesta Primrose reiteró las alegaciones formuladas al acuerdo de inicio del procedimiento sancionador, añadiendo las siguientes: - Es una sociedad de nacionalidad británica que se dedica, entre otras actividades, a conceder micropréstamos a personas físicas. - Carece de establecimiento en España: únicamente opera en el país a través de los sitios web https:/www.dispon.es y https:/www.necesito-dinero.es. - Para la atención de dudas y sugerencias de sus clientes, reclamaciones de retrasos e impagos y recepción de correspondencia mantiene un contrato con la mercantil española Soluciones Digitales CRX SLU, que incluye una cláusula de acceso a datos, análoga a la prevista en el artículo 12 de la LOPD, pero conforme a la normativa del Reino Unido. - No se le puede aplicar la LOPD al encontrarse la entidad fuera del ámbito de aplicación territorial de la misma. - Subsidiariamente, falta de proporcionalidad en la sanción propuesta en atención al volumen de negocio de la entidad que es una microempresa con unos activos en el año 2015 de 700.000 libras esterlinas, no ha sido sancionado por anteriormente por la Agencia, y no ha habido intencionalidad de incumplir la normativa de protección de datos.. HECHOS PROBADOS PRIMERO: En fecha 30/05/13, fecha de la concesión del 1º préstamo solicitado por la denunciante (A.A.A.) a Dispon.es; el 2º fue el 24/07/13; el 3º el 22/08/13 y el 4º el 23/09/13 de 200 € + costes 69,40 € (269,40 €) por 33 días, proporcionando sus datos de identidad de teléfono fijo y móvil, email, dirección postal del domicilio y del centro de trabajo. (Folios 168-170, 186-192) SEGUNDO: En fecha 30/05/13, la denunciante (A.A.A., .........@hotmail.com) comunica a dispon.es su domicilio (vive con sus padres) en ese momento en (C/...1) Asturias. (Folio 107) TERCERO: En fecha 23/10/13, ......@dispon.es envía un email a la denunciante (......... @ hotmail .com) recordándole que tres días más tarde deberá efectuar el pago de 269,90 €; el 27/10/13 le recuerda que tiene pendiente de pago 310,39 €; el 08/11/13 es 334,39 €. (Folios 171-174) CUARTO: En fecha 14/11/13, ......@dispon.es envía un email a la denunciante (......... @ hotmail .com) recordándole que tiene pendiente de pago 346,39 €. Cuatro días más tarde lo reitera; en el intercambio de mensajes promete el pago; el 19/04/14 con el mensaje recordándole el pago le remiten copia del escrito que próximamente recibirá por correo en su casa con la deuda y la advertencia de posible inclusión en Asnef. (Folios 108-115, 175-185) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 QUINTO: En fecha 04/10/2013 Primrose suscribe con Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), un contrato de gestión de servicios por el cual esta última presta a Primrose los servicios de atención a clientes, verificación y servicio de cobro de deudas tanto en vía amistosa, como cuando proceda, en vía administrativa. SEXTO: En fecha 14/01/14, Equifax, tras la solicitud recibida el 10/01/14 de cancelación de datos de la denunciante, le comunica por email que no existen datos asociados a su identificador. (Folios 59-66) SEPTIMO: En fecha 17/01/14, Primrose incluye por 1ª vez en el fichero de morosos Asnef los datos personales de la denunciante asociados a un impago de 301,50 € por el vencimiento impagado de 26/10/13 en su calidad de titular de un préstamo personal. Consta anotada que fue emitida el 18/01/14 notificación de inclusión en el fichero Asnef dirigida a la dirección postal anotada de (C/...1) (Asturias) que fue devuelta el 22/03/14 por desconocido. Tras la solicitud de cancelación del afectado de 23/01/14 causó baja cautelar el 31/01/14, que le fue comunicada por email a la denunciante. (Folios 43-44, 52, 67-79) OCTAVO: En fecha 04/02/14, Primrose incluye por 2ª vez en el fichero de morosos Asnef los datos personales de la denunciante asociados a un impago de 275,50 € por el vencimiento impagado de 26/10/13 en su calidad de titular de un préstamo personal. Consta anotada que fue emitida el 06/02/14 notificación de inclusión en el fichero Asnef dirigida a la dirección postal anotada de (C/...1) (Asturias) que fue devuelta el 15/03/14 por desconocido. La solicitud de cancelación de la afectada de 04/04/14 fue desestimada por confirmación de 11/04/14 y le fue comunicada por email a la denunciante. (Folios 45-46, 87-96) NOVENO: En fecha 26/03/15, la denunciante solicita a Equifax el acceso a sus datos personales anotados en Asnef y el 02/03/15 le informan por correo a su domicilio de calle (C/...3) (Asturias) que desde 04/02/14 sus datos personales están incluidos en Asnef; que el importe de deuda en ese momento es de 781,50 €. (Folios 80-86) DECIMO: En fecha 06/05/15, fecha de baja en Asnef de la deuda (853,50 €) a nombre de la denunciante anotada por Primrose. (Folio 54) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Antes de analizar el fondo de la cuestión es preciso responder a la alegación de Primrose en el sentido de que no es aplicable la LOPD al presente caso con respecto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 a esta entidad al tratarse de una empresa domiciliada en Reino Unido y carecer de establecimiento en España. El artículo 1, “Objeto”, de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), aquí en relación con el tratamiento de datos personales producidos después de un cesión indebida, dice en relación con el derecho allí recogido que “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Por otra parte, el artículo 2, “Ámbito de aplicación”, dispone que: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  4. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento”. Asimismo, el RLOPD, en su artículo 3, incide en este tema, en sintonía con la Directiva 95/46/CE, estableciendo que: “1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
  5. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. (…) 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” Para aclarar lo expuesto hasta ahora conviene reseñar la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, emitida por su Gran Sala, en el asunto C-131/12, que dice al respecto “que el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 jurídica, no es un factor determinante» En este proceso tanto el Gobierno español como la Comisión, defendieron que el artículo 4, apartado 1, letra a), de la Directiva 95/46, “no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades» de éste”; que se trate de estar indisociablemente ligadas En la STJUE citada se dice que: “En la medida en que el primero de los tres requisitos enumerados por el tribunal remitente basta por sí mismo para concluir que un establecimiento como Google Spain cumple el criterio recogido en el artículo 4, apartado 1, letra a), de la Directiva 95/46, no es necesario examinar los otros dos requisitos. De lo anterior se deduce que procede responder a la primera cuestión prejudicial, letra a), que el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro”. En el presente caso concreto, hay que significar que en fecha 04/10/2013 Primrose suscribe con Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), un contrato de gestión de servicios por el cual esta última presta a Primrose los servicios de atención a clientes, verificación y servicio de cobro de deudas tanto en vía amistosa, como cuando proceda, en vía administrativa, servicios que son prestados por la mercantil española, en su oficina ubicada en (C/...4) de Madrid, según manifiesta la propia Primrose y en donde se han remitido tanto los requerimientos de información, como el acuerdo de inicio y propuesta de resolución del procedimiento, y que han sido debidamente atendidos y respondidos por Primrose, por lo tanto, se estaría ante un tratamiento de datos personales llevados a cabo por Primrose a través de un establecimiento ubicado en España. En consecuencia se cumpliría el primero, y esencial, de los requisitos ya vistos más arriba, esto es, que estamos ante un tratamiento de datos personales efectuado en territorio español. Un tratamiento de datos personales que tuvo su continuación en el hecho de la inclusión en ASNEF que se describirá más abajo, fichero común de solvencia que en su práctica solicita a sus asociados que designen personas de contacto para la gestión las inclusiones. A este respecto debemos señalar que en el aviso legal contenido en la web www.dispon.es se informa que los usuarios podrán ejercer los derechos de acceso, rectificación, cancelación y oposición en la siguiente dirección de email: ....@dispon.es o postal a (C/...4) Madrid, dirección que corresponde a las oficinas de Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), También lo detallado en los párrafos anteriores daría explicación a que dicho tratamiento se realiza en el marco de las actividades de un establecimiento del responsable del tratamiento. Recordemos nuevamente que el Gobierno español y la Comisión alegaron en el proceso ante el Tribunal europeo que el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 actividades» de éste. Es por lo que es preciso profundizar en el concepto de establecimiento, algo que el RLOPD clarifica al determinar en el citado artículo 3.2 que: “A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” El concepto de “establecimiento permanente” es un concepto complejo, para cuya interpretación podríamos acudir a lo ya estudiado en el tema de la Doble Imposición, y más concretamente al Modelo de Convenio de Doble Imposición de la OCDE (MCDI), que sin ser estrictamente aplicable al caso se encuentra en sintonía con lo establecido en el RLOPD, y no debe obviarse que el tratamiento de datos personales analizados tiene como base un contrato de prestación de servicios suscrito entre la entidad británica y la española ya mencionadas. Así, el término «place of business» incluye cualquier local o instalación que sea utilizado para la realización de la actividad económica de la empresa, ya sean utilizadas o no en exclusividad para este fin (desde las clásicas oficinas o los espacios ubicados en los denominados centros de negocios, incluyendo los cedidos por una empresa a otra, aunque sea a título gratuito). En el presente caso concreto, como se va a ver más adelante, Primrose utiliza el espacio físico y recursos de otra entidad, Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), encargada para gestionar os servicios de atención a clientes, verificación y servicio de cobro de deudas Asimismo, la actividad tampoco tiene que producirse de forma ininterrumpida, aunque sí debe producirse con regularidad, como es el caso, contar con cierta estabilidad, y en el presente caso concreto, hay que recordar que la notificación del Acuerdo de inicio del presente procedimiento sancionador se realizó a Primrose a un domicilio de Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU) en Madrid. Como consecuencia de ello, Primrose procedió a realizar las correspondientes alegaciones lo que demostraría la existencia de un ejercicio efectivo y real de la actividad en España, más cuando el ejercicio de los derechos de acceso, rectificación, cancelación y oposición se llevaba a cabo a través de la entidad española Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU). Las inclusiones de los datos de la denunciante en el fichero ASNEF se realizan a instancias de Primrose, significándose que en respuesta a la solicitud de cancelación de datos en dicho fichero efectuadas por la denunciante, la entidad responsable del citado fichero ASNEF traslada dicha solicitud a Primrose mediante el envío de carta a una persona de contacto de la entidad en el domicilio social de Dispon Servicios Financieros SLU (actualmente Soluciones Digitales CRX SLU), en concreto (C/...5) Madrid. Reiterar en este sentido que la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014 dice que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», sin «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante”. Para finalizar hacer referencia de la Resolución 221/2009 de fecha 20 de diciembre de 2012 del Tribunal Económico-Administrativo Central dice en relación con el concepto de establecimiento permanente en el ámbito tributario que, sin ser estrictamente aplicable al caso, se encuentra en sintonía con lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 RLOPD; una Resolución en la que podemos leer que: “Lo decisivo es que se tenga la disponibilidad de un local, lugar o espacio, cualquiera que sea el título jurídico que la proporcione. Poco importa que la empresa sea propietaria o arrendataria del local, instalaciones o medios, o disponga de ellos por otra causa. Por lo tanto, no es necesario que el uso del lugar fijo esté avalado por un contrato suscrito al efecto, de modo que, el hecho de que una empresa tenga un determinado espacio a su disposición para su utilización en actividades empresariales es suficiente para que constituya "un lugar fijo de negocios". Así los comentarios al artículo 5 del Modelo de convenio de la OCDE señalan en su número 4 que: "Un lugar de negocios puede existir incluso cuando no se disponga ni se necesite local alguno para la realización de las actividades de la empresa, y ésta simplemente disponga de cierto espacio. Poco importa que la empresa sea propietaria o arrendataria del local, instalaciones o medios, o disponga de ellos por otra causa. Así lo ha entendido también este Tribunal Central en resolución de 20 de abril de 2006 (R.G. 1979-03), al no considerar necesario que se ostente un título legal formal sobre las instalaciones que constituyan establecimiento permanente: "Ante todo ha de observarse que el Convenio no determina en virtud de qué título la empresa no residente ha de utilizar el lugar fijo en cuestión, siendo claro, por tanto, que no se exige titularidad dominical y ni siquiera condición de arrendatario, basta, por tanto, que disponga del lugar fijo para llevar a cabo en él su actividad (...)" Dicha resolución ha sido confirmada mediante sentencia de la Audiencia Nacional de 24 de enero de 2008, (Recurso 894/2008) que, entre otras consideraciones, indicó lo siguiente:<<QUINTO.- Hay que preguntarse, pues, en primer lugar si (...) efectuaba toda o parte de su actividad mediante un lugar fijo de negocios en España. Esta opción se integra por tres elementos: un (
  6. a)lugar de negocios, que sea (
  7. b)fijo y en el que (
  8. c)se realicen actividades propias de la empresa. El primer elemento comprende cualquier espacio, instalación o medio material empleado para realizar el giro propio de la entidad, sirva o no exclusivamente a tal fin (parágrafo 2 de los comentarios al artículo 5 del Modelo de Convenio ), siendo irrelevante el título por el que se dispongan, pudiendo tratarse incluso de los locales de otra compañía.(...)>>." Por último, y ya centrado el tema en la protección de datos personales, reseñar la sentencia del Tribunal de Justicia europeo (Sala Tercera) de fecha 1 de octubre de 2015, que, en el asunto C-230/14, viene a decir que dicha actividad, además de ser efectiva y real, basta que sea “mínima” (incluso un “único agente”, utilizando los medios humanos y técnicos “necesarios para la prestación de los servicios”), y aunque se trate de un entidad “que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión” (como se trata en el presente caso concreto que nos ocupa). Añadir que en la sentencia citada se analiza un caso en el que se abre una cuenta bancaria destinada al cobro de los créditos (como aquí, que es el Banco Santander – folio 136) y se utiliza un apartado de correos (que también es el caso, un apartado contratado con la SE CORREOS Y TELÉGRAFOS – folio 136). Por lo tanto las alegaciones de Primrose en el sentido de que no es aplicable la LOPD deben ser desestimadas. III El artículo 4.3 de la citada Ley dispone: “Los datos de carácter personal serán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el RLOPD, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  9. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
  10. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  11. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que le haya sido notificado el requerimiento de pago previo a la inclusión. En este caso Primrose, incluye en dos ocasiones los datos personales del denunciante sin haber acreditado la notificación al denunciante del requerimiento de pago previo a la inclusión, indicándole el importe a pagar, el plazo, la forma y el lugar, advirtiéndole que en caso contrario puede ser incluido en fichero de morosos. Los documentos aportados muestran el envío de mensajes por email, tanto en los días posteriores al microcrédito hasta el vencimiento, como en los días y meses sucesivos. Donde se alternan las gestiones de recobro con las peticiones de pago, los ofrecimientos de pagos aplazados, como el incremento de la deuda pendiente por el paso de los días, como los ingresos de cantidades y promesas de pago, como advertencias de inclusión en Asnef y cartas de inicio de demanda judicial. En el intercambio de mensajes queda acreditado que la denunciante no ha recibido la comunicación de requerimiento de pago previo a la inclusión en Asnef; que solicita le envíen una copia del mismo y le indique el día en que se lo enviaron; le prometen el envío pero la denunciante manifiesta su queja de que no se lo han enviado como le prometieron. Todo ello lleva a la conclusión de que no queda acreditada la entrega de requerimiento de pago previo a las diferentes inclusiones. Como quiera que no se ha remitido por vía postal ordinaria la notificación del requerimiento no se ha producido conforme a las normas de protección de datos. IV De la tipificación: El artículo 44.3.
  12. c)de la LOPD, con la redacción de la Ley 2/2011, de 4 de marzo, considera infracción grave: “
  13. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”´. Ninguna de las cuatro circunstancias necesarias para ser considerada falta muy C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 grave (44.4 de LOPD) se da en el presente caso. En este caso, Primrose ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del Reglamento de Desarrollo relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, cuando informó para su inclusión en fichero de solvencia patrimonial, los datos personales de la persona denunciante, asociado a deudas, sin que conste acreditada la notificación del requerimiento de pago previo exigido. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. V De la sanción: El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador, e impide aplicar lo dispuesto en el artículo 45.5 de la LOPD. Los criterios de graduación de las sanciones establecidas en el artículo 45.4, de la LOPD aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: --- Es claro el carácter continuo de la infracción desde la primera inclusión en Asnef en enero de 2014 la 1ª y un mes más tarde la segunda, hasta la cancelación de la inclusión en Asnef en mayo de 2015 (art. 45.4.
  29. a)--- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Primrose es una empresa que tiene como actividad la prestación de servicios de micropréstamos a todo tipo de personas y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales (art. 45.4.
  30. c)--- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Todos los incumplimientos de toda la cadena de ejecución perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos (art. 45.4.
  31. f)--- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos (art. 45.4.
  32. i)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 El balance de todas las circunstancias contemplados por el 45.4 de la LOPD permite fijar la sanción en 50.000 €. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PRIMROSE PARTNERS LTD, por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con el artículo 38 del RLOPD, tipificada como grave en el artículo 44.3.
  33. c)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: ARCHIVAR el procedimiento sancionador respecto de la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con el artículo 38 del RLOPD imputada a SOLUCIONES DIGITALES CRX SLU. TERCERO: NOTIFICAR la presente resolución a PRIMROSE PARTNERS LTD, y a SOLUCIONES DIGITALES CRX SLU. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.