← España

PS-00466-2014

1/12 Procedimiento Nº PS/00466/2014 RESOLUCIÓN: R/02847/2014 En el procedimiento sancionador PS/00466/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANKINTER CONSUMER FINANCE, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 9 de septiembre de 2013 tiene entrada en esta Agencia un escrito de denuncia contra BANKINTER CONSUMER FINANCE, E.F.C. S.A (en adelante BANKINTER CF) de A.A.A. en el que declara que : “La denunciada ha facilitado mis datos personales a las empresas Cobralia Servicios Integrales de Recuperación (CIF ********) y Gescobro Servicios Jurídicos (CIF ********) para que me requieran el pago de una supuesta deuda que no existe. Así, dichas empresas han comenzado a enviarme cartas en las que me instan a abonar una cantidad. Además, como consecuencia del impago de la cantidad que me requieren indebidamente, me han comunicado que en un plazo de 90 días desde la situación de supuesto impago, mis datos podrán ser incluidos en el registro de morosos ASNEF y EXPERIAN. Nunca he recibido los servicios de las empresas acreedoras de la falsa deuda cuyo pago se me requiere. Me puse en contacto con ellos para explicarles que dichos cargos no me correspondían y aclarar el asunto, y que si tenían algún documento a mi nombre (cosa imposible) me hiciesen llegar una copia para poder comprobarlo, pero en ningún momento intentaron solucionarlo y lo único que me indicaban continuamente era que pagase. Como las cartas amenazadoras con embargarme e incluirme en archivos de morosos continuaban, acudí a la Oficina Municipal de Información al Consumidor, y tras casi dos meses de espera y todavía recibiendo cartas de amenazas, acabé recibiendo su respuesta. En ella, como se ve en la carta adjunta, reconocen su error dándome la razón resolviendo la reclamación a mi favor haciéndome un abono en mi cuenta con concepto “ABONO FRAUDE”. En principio el tema parecía solucionado, pero 24 días después recibo otra carta en la que de nuevo me amenazan y me dan un ultimátum de que pagase en 7 días o me embargaban (carta que ha venido en nombre de la empresa GESCOBRO Servicios Jurídicos).” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Aporta copia de la siguiente documentación : ⋅ cartas de reclamación de deuda, de fechas 26/08/2013 (GESCOBRO), 09/08/2013, 5/08/2013, 22/07/2013, 15/07/2013, 8/07/2013, 17/05/2013 (“BANKINTER”), 18/06/2013, 14/05/2013 (COBRALIA) ⋅ extractos de tarjeta bancaria OBSIDIANA de mayo, junio y julio de 2013. ⋅ reclamación de fecha 24/06/2013 interpuesta ante la OMIC de Torrejón de Ardoz donde manifiesta no haber solicitado nunca la tarjeta bancaria “OBSIDIANA” de “Bankinter Consumer Finance EFC”. ⋅ denuncia ante la Dirección General de la Policía del 17/05/2013 por cargos fraudulentos en su cuenta corriente por una tarjeta bancaria “OBSIDIANA” de “BANKINTER.” ⋅ Contestación de “BANKINTER” de fecha 9/08/2013 a reclamación “presentada con fecha 10 de julio de 2013” indicando que “ha quedado definitivamente resuelta a su favor. Por ello procederemos a la regularización de su solicitud”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANKINTER CONSUMER FINANCE, S.A., teniendo conocimiento de que: Los representantes de la entidad han aportado copia de la solicitud de tarjeta de crédito Visa Oro Obsidiana a nombre de D. A.A.A., constando firma en todas sus hojas, de fecha 19/07/2012 junto con sus condiciones generales y particulares así como copia del DNI del titular. La firma es similar a la del DNI. Indican que entre la documentación recabada por BANKINTER CF en el momento de la contratación figura también copia del certificado de percepción de pensión, emitido por el Director Provincial del Instituto Nacional de la Seguridad Social correspondiente al denunciante. Dicho certificado fue remitido a BANKINTER CF mediante fax el 06/08/12 y aportan su copia igualmente. Informan que la referida tarjeta de crédito fue utilizada el 21/09/2012 para retirar del Cajero Bankinter 28007 el importe de 600 € correspondiente al límite máximo que tenía establecida la tarjeta. Acompaña el extracto bancario de este movimiento. Les consta la reclamación presentada el 24/06/13 por el Sr. A.A.A. ante la Oficina de Información al Consumidor (O.M.I.C.) de Torrejón de Ardoz (Madrid) relativa a unos recibos que se cargaron en su cuenta en los meses de octubre, noviembre y diciembre de 2012 y enero de 2013 correspondientes a las cuotas mensuales de una tarjeta bancaria que afirma no haber solicitado. A este respecto indican que la reclamación tuvo entrada en el Servicio de Atención al Cliente de BANKINTER el 10 de julio de 2013, como se le hizo saber al denunciante mediante carta de 15/07/2013 cuya copia también acompañan. La reclamación fue resuelta por el Servicio de Atención al Cliente a favor del reclamante mediante carta de 9/08/2013 remitida a la dirección que coincide con la que figura en su DNI, carta cuya copia aportan, coincidiendo con la que el denunciante ha facilitado a esta Agencia. Los representantes de la entidad han manifestado que “tan pronto conoce BANKINTER C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 CF la posibilidad de estar en presencia de un supuesto de suplantación de identidad por persona próxima al denunciante, el mismo día 9/08/2013 se procede (

  1. i)a comunicárselo inmediatamente al Sr. A.A.A., informándole que su reclamación ha sido resuelta de manera definitiva a su favor; y (
  2. ii)a cancelar la tarjeta, regularizando la situación” Aportan impresión de pantalla de información obrante en los sistemas de BANKINTER CF: Pantallazo correspondiente a la tarjeta de crédito. Relación de vencimientos impagados, donde se puede observar las anotaciones del 09/08/2013 procediendo al recobro manual de los nominales impagados y a la anulación de todos los intereses y gastos generados. Aportan también copia de los contratos de prestación de servicios de recobro suscritos con GESCOBRO y COBRALIA Los representantes de la entidad manifiestan por último que “No consta en sus sistemas que el denunciante fuera dado de alta en fichero de morosidad ni consta que esté incluido a la fecha de este escrito.” TERCERO: Con fecha 4 de septiembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANKINTER CONSUMER FINANCE, S.A., por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  3. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANKINTER CF, mediante escrito que tuvo entrada en el Registro de la AEPD el 2 de octubre de 2013, formuló alegaciones en las que solicitó el archivo del presente expediente sancionador o que, con carácter subsidiario, se acuerde su transformación en apercibimiento en aplicación del artículo 45.6 de la LOPD ó cuando menos se aplique la imposición de las sanciones que pudieran corresponderle con arreglo a la escala prevista para las infracciones leves, a tenor de los artículos 45.5 y 45.4 de la LOPD. En apoyo de su pretensión invoca los siguientes argumentos: En el acuerdo de inicio no se imputa a Bankinter CF por el artículo 6.1 de la LOPD Bankinter CF no es responsable de la infracción que se le imputa. Bankinter fue diligente en el cumplimiento de sus obligaciones: El 12/08/13, al día siguiente de emitirse la resolución del SAC favorable al denunciante teniendo por regularizada la deuda (09/08/13) y tras cancelar la tarjeta y los datos del denunciante en sus sistemas, BANKINTER CONSUMER FINANCE incluyó al Sr A.A.A. en el fichero de expedientes recobrados que ese día se envió por correo electrónico a la agencia de recobro. Resulta evidente que si la carta de fecha 26/08/13 fue enviada por GESCOBRO al denunciante no fue por culpa de BANKINTER CF, que llevó a cabo todas las actuaciones necesarias para que la deuda del Sr. A.A.A. se tuviera por inexistente y no volviera a ser reclamada por ninguna agencia de recobro a quien se hubiera C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 encomendado el citado expediente. QUINTO: Con fecha 3 de octubre de 2014 se inició el período de práctica de pruebas en el que: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANKINTER CONSUMER FINANCE, S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06533/2013. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00466/2014 presentadas por BANKINTER CONSUMER FINANCE, S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 14 de octubre de 2014 se formuló propuesta de resolución, proponiendo que por el Director de la Agencia Española de Protección de Datos se sancione a BANKINTER CONSUMER FINANCE, S.A.,con multa de 1.000 € (mil euros) por una infracción del artículo 4.3, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  4. c)de dicha norma, de conformidad con lo establecido en el artículo 45.2 en relación con el 45.5 de la citada Ley Orgánica. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: El denunciante D. A.A.A., con NIF:***NIF.1 manifiesta que BANKINTER CF le ha reclamado una cantidad que no le correspondía, (a través de Gescobro y Cobralia), de una supuesta deuda que no existe. (folios 1 y 2) SEGUNDO: Queda acreditada la existencia de un contrato de una tarjeta de crédito Visa Oro Obsidiana con los datos personales del denunciante (nombre, apellidos ,Dni, cuenta bancaria) firmado con fecha 19 de julio de 2012. (folios 46 a 48) TERCERO: Se acredita la existencia de una denuncia interpuesta en comisaria en fecha 17 de mayo de 2013 por el denunciante, según la cual se han hecho cargos en su cuenta de Bankia que el denunciante entiende que son fraudulentos (folio 17) CUARTO: Con fecha 15 de julio de 2013 Bankinter CF acusa recibo de la reclamación interpuesta por el denunciante ante la OMIC de Torrejón de Ardoz el 24 de junio de 2013 y que tuvo entrada en el servicio de atención al cliente de la entidad denunciada el 10 de julio de 2013. (folios 31,54 y 55) QUINTO: La reclamación del denunciante, ante la OMIC de Torrejón de Ardoz, expone que le han venido cobrando a través de su banco una serie de recibos que no le corresponden de una supuesta tarjeta bancaria Obsidiana BANKINTER CF que nunca había solicitado ( folio 16) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 SEXTO: Con fecha 9 de agosto de 2013 Bankinter envía una carta al denunciante donde se resuelve la reclamación a favor del denunciante y se señala que se procederá a regularizar su solicitud. (folios 7 y 56) SEPTIMO: Con fecha 9 de agosto de 2013 consta la baja de la tarjeta Visa Oro Obsidiana a nombre del denunciante en los registros de Bankinter CF (folios 32 y 57) OCTAVO: Con fecha 12 de agosto de 2013 se abonó por parte de Bankinter CF, 102,27 euros, al denunciante con el concepto de ABONO FRAUDE SAC *******. (folio 24) NOVENO: Queda acreditado que Gescobro, gestor de recobros de Bankinter CF, en fecha 26 de agosto de 2013 requirió el pago de una deuda de 216, 80 euros más intereses al denunciante señalando, que si no se llegaba a un acuerdo amistoso se ultimaría una demanda judicial. (folio 3) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II La entidad denunciada manifiesta que en el acuerdo de inicio no se imputa a Bankinter CF por el artículo 6.1 de la LOPD. La fundamentación de la no imputación por parte de la Agencia del artículo 6.1 de la LOPD coincide básicamente con lo expresado en sus alegaciones por la entidad denunciada. El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. Hay que señalar que el tratamiento de los datos personales del denunciante por parte de la empresa Bankinter CF tiene su origen en un contrato firmado que con posterioridad se declaró fraudulento. Indicar que la Sentencia de 29 abril 2010 recuso 76/2009 afirma, “a la vista de las especiales circunstancias concurrentes en el caso de autos, no cabe apreciar culpabilidad alguna (ni siquiera a título de culpa o falta de diligencia) en la actuación de la entidad recurrente, que actuó en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal con una documentación en apariencia auténtica y a ella correspondiente, por lo que estaba legitimada para el tratamiento de sus datos de carácter personal. En consecuencia, al faltar uno de los requisitos exigidos para la imposición de sanción por vulneración del principio del consentimiento consagrado en el artículo 6.1 de la LOPD , procede dejar sin efecto la sanción impuesta por la comisión de dicha infracción. Todo lo anteriormente señalado permite presumir una actuación diligente de la entidad denunciada sin que, en ningún momento, se tuvieran dudas acerca de la veracidad de esa documentación, ni se tuviera conocimiento de que dicha documentación acreditativa de la personalidad fuera o no real. Por tanto no se ha infringido el artículo 6.1 de la LOPD. III El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 8.5 del RLOPD, referente a la “calidad de los datos”, establece: “5. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste. Si los datos de carácter personal sometidos a tratamiento resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados en el plazo de diez días desde que se tuviese conocimiento de la inexactitud, salvo que la legislación aplicable al fichero establezca un procedimiento o un plazo específico para ello. Cuando los datos hubieran sido comunicados previamente, el responsable del fichero o tratamiento deberá notificar al cesionario, en el plazo de diez días, la rectificación o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 cancelación efectuada, siempre que el cesionario sea conocido. En el plazo de diez días desde la recepción de la notificación, el cesionario que mantuviera el tratamiento de los datos, deberá proceder a la rectificación y cancelación notificada. Esta actualización de los datos de carácter personal no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre. Lo dispuesto en este apartado se entiende sin perjuicio de las facultades que a los afectados reconoce el título III de este reglamento.” IV Se imputa a Bankinter CF en el expediente sancionador que nos ocupa una infracción del artículo 4.3 de la LOPD en relación con el artículo 8.5 del RLOPD. El tratamiento de datos de forma inexacta del denunciante se materializó en el envío a éste de una carta de Gescobro de fecha 26 de agosto de 2013 en el que se le informaba que tenía una deuda de 216,80 euros más intereses con Bankinter CF señalando, que si no se recibía el total pendiente en 7 días se ultimaría una demanda judicial. (hecho probado noveno). De la documentación que obra en el expediente se acredita cumplidamente que en fecha 10 de julio de 2013 Bankinter CF tenía constancia de la notificación de la reclamación por parte del denunciante, que con fecha 9 de agosto de 2013 Bankinter envía una carta al denunciante donde se resuelve la reclamación interpuesta a favor del denunciante y se señala que se procederá a regularizar su solicitud. (hecho probado sexto). Con la misma fecha, 9 de agosto de 2013, Bankinter da de baja la tarjeta Visa Oro Obsidiana a nombre del denunciante en los registros de Bankinter CF (hecho probado séptimo) y realiza un abono al denunciante de 102,27 euros, con el concepto de ABONO FRAUDE SAC ******* para regularizar la situación en fecha 12 de agosto de 2013. (hecho probado octavo). Sin embargo a pesar de haber dado de baja la tarjeta por fraude el 9 de agosto de 2013 (hecho probado séptimo), Bankinter FC requirió el pago a través de Gescobro de una deuda de 216,80 euros más intereses al denunciante con fecha 26 de agosto de 2013 (hecho probado noveno), 16 días después de resolver la reclamación a favor del denunciante y dar de baja la tarjeta. La entidad denunciada en sus alegaciones al acuerdo de inicio manifiesta que Bankinter CF no es responsable de la infracción que se le imputa, que Bankinter fue diligente en el cumplimiento de sus obligaciones, ya que el 12/08/13, al día siguiente de emitirse la resolución del SAC favorable al denunciante teniendo por regularizada la deuda (09/08/13) y tras cancelar la tarjeta y los datos del denunciante en sus sistemas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 BANKINTER CONSUMER FINANCE incluyó al Sr A.A.A. en el fichero de expedientes recobrados que ese día 12/08/13 se envió por correo electrónico a la agencia de recobro. Así mismo señala que resulta evidente que si la carta de fecha 26/08/13 fue enviada por GESCOBRO al denunciante no fue por culpa de BANKINTER CF, que llevó a cabo todas las actuaciones necesarias para que la deuda del Sr. A.A.A. se tuviera por inexistente y no volviera a ser reclamada por ninguna agencia de recobro a quien se hubiera encomendado el citado expediente. Con respecto a estas alegaciones hay que señalar lo siguiente: En primer lugar Bankinter CF es el responsable del tratamiento y es la entidad para la que se gestiona el cobro y la que tiene que asegurarse del cumplimiento de los plazos de corrección de los datos inexactos. En segundo lugar el artículo 12.4 de la LOPD no actúa como un mecanismo de exclusión de la responsabilidad del responsable del tratamiento sino, en todo caso, de agregación de esta. Por tanto se aprecia una falta de diligencia de una entidad que por el volumen de datos tratados y su especialización debería actuar con un especial cuidado. Por ello la información tratada por Bankinter CF en sus ficheros no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
  6. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  7. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” V Debemos analizar si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. En STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas. El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 resulten responsables de los mismos aun a título de simple inobservancia. Del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia, expresión que alude a la omisión del deber de cuidado que exige el respeto a la norma. Conviene traer a colación en este caso la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (Rec. 63/2006), en la que el Tribunal expone que “....el ilícito administrativo previsto en el artículo 44.3.
  8. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aún a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la STAN anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el supuesto que nos ocupa el elemento subjetivo de la culpabilidad se concreta en la falta de diligencia observada por Bankinter CF al tratar datos de forma inexacta del denunciante exigiéndole una cantidad que no debía (a través del gestor de cobros Gescobro), con posterioridad a la resolución de una reclamación por fraude en el que se anulaba la deuda imputada al denunciante. (hechos probados sexto, séptimo y octavo) B) Por otro lado, la Ley Orgánica 15/1999 en su artículo 43.1 indica que “los responsables de los ficheros y los encargados de los tratamientos estarán sujetos al régimen sancionador establecido en la presente Ley”. Por su parte, el artículo 3
  9. d)del citado texto legal considera “responsable del fichero o tratamiento” a la “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, dispone: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Bankinter CF señalaba, en las alegaciones al acuerdo de inicio, la posibilidad de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 resolver subsidiariamente el procedimiento sancionador con un apercibimiento, sin embargo hay que señalar a este respecto que el procedimiento sancionador ya se ha acordado y, por tanto, no procede el apercibimiento, y que el procedimiento de apercibimiento es un procedimiento excepcional cuya apertura depende del órgano sancionador. Todo ello conforme al artículo 45. 6 de la LOPD. El apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate"; pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Del examen de los hechos probados y de la documentación que obra en el expediente se desprende la conveniencia de apreciar, en el asunto que nos ocupa, la circunstancia prevista en el apartado
  25. b)del artículo 45.5 de la LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. Sólo se produjo la reclamación de la deuda inexacta una vez, a través de una carta de Gescobro, con posterioridad a la resolución por fraude y baja de la tarjeta. Podemos apreciar diligencia en la regularización de la situación irregular, ya que la carta exigiendo la deuda, a través de Gescobro, fue sólo 16 días después de dicha baja por fraude. (hechos probados y sexto al noveno) Por lo expuesto, procede imponer una multa cuyo importe oscile entre 900€ y 40.000€, en aplicación de lo señalado en el apartado 1 del artículo 45 en relación con el apartado 5 del citado precepto. Como se ha indicado, el artículo 45.5, en el caso de que se aprecie la concurrencia de alguna de las circunstancias contempladas en el mismo, remite a la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el asunto concreto (en este supuesto una infracción grave). En cuanto a los criterios de graduación de las sanciones contemplados en el artículo 45.4 de la LOPD, consideramos que concurre una circunstancia que opera como agravante de la conducta que ahora se enjuicia. La circunstancia recogida en el apartado
  26. c)del artículo 45.4 apartado, versa sobre la vinculación de la actividad de BANKINTER CF con la realización de tratamientos de datos de carácter personal, pues el desarrollo de su actividad empresarial exige un constante tratamiento de datos personales de clientes. Por otro lado sólo se produjo la reclamación de una deuda inexacta una vez, a través de una carta de Gescobro, con posterioridad a la resolución por fraude y baja de la tarjeta y se excluye la intencionalidad de la entidad denunciada. En el presente caso, valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se sanciona a BANKINTER CONSUMER FINANCE, S.A. con una multa de 1.000 € (mil euros) por la infracción de la que esta entidad es responsable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANKINTER CONSUMER FINANCE, S.A., por una infracción del artículo 4.3, de la LOPD, tipificada como infracción grave en el artículo 44.3.
  27. c)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45.2 y 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a BANKINTER CONSUMER FINANCE, S.A. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.