PS-00467-2020 | Europaius

1/47  Procedimiento Nº: PS/00467/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00467/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, entidad PRA IBERIA, S.L. con CIF.: B80568769, (en adelante, “la entidad reclamada), por presunta infracción del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD); Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (LOPDGDD) y en base a los siguientes: ANTECEDENTES PRIMERO Con fecha 07/08/19, tuvo entrada en esta Agencia escrito, presentado por Dª A.A.A. (en adelante, “la parte reclamante”), entre otras, lo siguiente: “PRA IBERIA, está reclamándome una deuda de un contrato que desconozco. Hasta el año 2013 terceras personas han estado haciendo transferencias bancarias a mi nombre. He solicitado por escrito, vía telefónica y correo certificado a PRA IBERIA información sobre esta incidencia, pero a día de hoy, no he recibido contestación por ninguna vía, y siguen reclamándome la deuda con intereses.“ Al escrito de reclamación se aportó la siguiente documentación: - Copia de carta fechada a 12/06/19 dirigida a la reclamante y remitida por PRA IBERIA, S.L. donde se informa de la deuda que mantiene con ellos como consecuencia de la adquisición de una cartera deudora procedente de SANTANDER CONSUMER FINANCE. En la carta consta que la fecha de cesión fue 30/04/08, y que la fecha del primer impago fue el 01/02/06. - Carta fechada el 24/06/19 enviada por la reclamante a PRA IBERIA SL, donde se solicitaba el derecho de acceso a la documentación que posee la entidad de ella, en relación con la supuesta deuda. Se aporta certificado de entrega. SEGUNDO: Con fecha 17/09/19, por parte de esta Agencia se dirigió requerimiento informativo a la entidad PRA IBERICA, SL. y a la entidad SANTANDER CONSUMER FINANCE, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 09/10/19, la entidad SANTANDER CONSUMER FINANCE, S.A. remite a esta Agencia la siguiente información: - Que ha sido verificada la existencia de una relación contractual con la reclamante relativa a una tarjeta de crédito comercializada juntamente con GAS NATURAL FENOSA, cuya comercialización se produjo por teléfono el día 04/10/2000. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/47 - Se aporta copia de la: “SOLICITUD DE TARJETA XXXXXXX”, de fecha 04/10/2000, donde constan los datos de la reclamante y su dirección, pero sin firma de la reclamante. En los datos domiciliación bancaria, consta la entidad “XXXX C.A. DE MADRID y número de cuenta: ****XXXX” tachado a mano y sobrescrito en texto manuscrito el número “XXXX” como el texto: “CTA INCORR”. - Se aporta impresión de los datos existentes en la base de datos de la entidad SANTANDER CONSUMER, de la “TARJETA XXXX-UNION FENOSA”, donde consta la identificación de la reclamante. En los datos de domiciliación bancaria, consta un número de cuenta de la entidad bancaria, IBERCAJA: ****XXXX). En el apartado de procedencia de la cuenta, se señala “Captura telefónica”. - Se aporta impresión de los cargos en la tarjeta de crédito efectuados desde 09/09/2002 (fecha de activación de la tarjeta), hasta el 13/12/2004. - La entidad certifica que se produjo la devolución de los recibos de la tarjeta de crédito de los meses de febrero a diciembre del año 2006, por un importe nominal total de 452,59 euros. - Señala que vendieron la cartera de impagos, con fecha 30/04/08, a la sociedad AKTIV KAPITAL INVESTMENT PORTFOLIO A.G. representada fiscalmente en España por PRA IBERIA SL, cuya antigua denominación era: TREYM CONSULTING Y SERVICIOS A EMPRESAS, S.L.U. - Señala que se le comunicó a la reclamante la cesión de créditos mencionada en el punto anterior, el 28/05/08. Se aporta copia de carta donde se comunica la cesión del crédito a AKTIV CAPITAL INVESTMENTS PORTFOLIO A.G. - Señala que, “dada la antigüedad del expediente la restante documentación relativa a la reclamante no ha podido ser localizada, toda vez que las reclamaciones derivadas de la misma se encuentran, a la fecha, prescritas”. CUARTO: Con fecha 17/10/19, PRA IBERIA, S.L.U. remite a esta Agencia la siguiente información y manifestaciones: - Se aporta copia de carta fechada a 28/05/08 dirigida a la reclamante a la dirección indicada en el documento de solicitud de la tarjeta de crédito, donde se informa de la compra de la cartera de crédito por parte de la entidad AKTIV CAPITAL INVESTMENTS PORTFOLIO A.G. a la entidad SANTANDER CONSUMER FINANCE así como la información y datos personales con el crédito debido y la posibilidad de dirigirse a la entidad TREYM CONSULTING Y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/47 SERVICIOS A EMPRESAS, S.L.U. para el acceso, cancelación u oposición de dichos datos. - Aportan copia de certificado firmado por notario donde se manifiesta: “[…] el 12/01/18 se ha formalizado en España la CESION GLOBAL DE ACTIVOS Y PASIVOS de los portfolios adquiridos en España por la compañía "AKTIV KAPITAL PORTFOLIO AS, OSLO, SUCURSAL EN ZUG", transmitiendo en bloque todos los portfolios adquiridos en España por sucesión universal de la primera entidad a favor de "PRA IBERIA, S.L UNIPERSONAL", patrimonio en el que se incluyen, entre otros, el portfolio adquirido en virtud de la escritura de CESIÓN DE CRÉDITO que a continuación se indica y por tanto la deuda que por la presente se certifica la correspondiente a la reclamante por importe total de XXX €. - Aportan copia de carta dirigida a la reclamante a la dirección indicada en la solicitud de tarjeta remitida por la entidad PRA IBERIA, S.L.U., fechada a 21/01/15, donde manifiestan la adquisición de la totalidad de los activos y pasivos de AKTIV KAPITAL, a través de la cesión global del negocio de AKTIV KAPITAL y en consecuencia del crédito suscrito con en su día por la Santander Consumer. - Aportan documento del prestador del servicio de envío de requerimientos de pago y cesión de crédito de PRA IBERIA, S.L.U que certifica la generación e impresión el día 10/02/15 de un requerimiento de pago a nombre de la reclamante en la dirección indicada en la solicitud de la tarjeta de crédito y su puesta a disposición de la compañía de distribución Unipost, S.A. el día 13/02/15. - Afirman que, el 17/05/19, la reclamante se puso en contacto con ellos, comunicándoles una nueva dirección donde la volvieron a enviar la información. - Aportan impresión de pantalla de los datos obtenidos de la contratación telefónica que presuntamente fueron aportados por la reclamante. Dicha captura de datos en los sistemas se imprimió y se firmó por un apoderado de Santander Consumer antes del alta de la tarjeta. - Afirman que: “La reclamante contrató con Santander Consumer una tarjeta de crédito de Unión Fenosa vía telefónica el 4/10/2000. Como resultado de dicha contratación, se remitió a la dirección proporcionada por la reclamante, tanto la tarjeta como las condiciones de esta y las instrucciones para su activación. Así el 09/09/2002 la reclamante activó la tarjeta mediante un pago en una estación de servicio por 39 € y continúa utilizando la tarjeta hasta que la entidad cedente la da de baja por impago”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/47 - Afirman que: “Desde el 17/05/19 están en contacto con la reclamante para resolver sus dudas. Que por ello entendieron que no era necesario contestar formalmente a la solicitud de acceso y que han enviado a la reclamante un email certificado con los movimientos de la tarjeta y donde aclaran sus pagos”. - Se aporta copia de MRW Burofax con el asunto “Contestación reclamación” fechado el 17/10/19, donde consta un fichero adjunto con nombre “contestación reclamación_e_08673_20193.pdf”. Se aporta copia del contenido del fichero siendo éste una carta dirigida a la reclamante, fechada el 16/10/19, donde la informan, entre otros aspectos de que: - “El 9 de septiembre de 2002 se activó la tarjeta de crédito a su nombre. - Que recibieron dos transferencias cuya procedencia era una cuenta del cedente Santander Consumer por los pagos realizados pero que no pueden indicar el origen de dicha transferencia pues no se produjeron directamente en sus cuentas”. - Aportan certificado de SANTANDER CONSUMER donde constan los cargos en la tarjeta de crédito desde el año 2002 hasta el año 2005. QUINTO: Con fecha 21/11/19, la reclamante remitió a esta Agencia un segundo escrito informando de lo siguiente: - Envía copia de la documentación que recibió de la entidad PRA IBÉRICA, el 22/10/19 en contestación a la solicitud de acceso que les remitió el 24/06/19. - Denuncia que, la entidad reclamada afirma que ella hizo dos transferencias para pagar la deuda de la tarjeta desde una tercera cuenta corriente a la entidad SANTANDER CONSUMER, pero no le demuestran que están hechas por ella ni el número de cuenta desde donde fueron realizadas: El 16/06/2008 de XXX€ y El 28/06/2011 de XXX€, - Que le envían unos datos bancarios de la entidad financiera IBERCAJA, pero que se personó en esta entidad y le dijeron que no existía nada a su nombre. - Que le envían información de unas compras que desconoce y que sigue sin poder comprobar nada, pues no la proporcionan ni el contrato del banco, ni las facturas, ni las transferencias que justifiquen que ella es la titular de la tarjeta y por tanto la deudora de lo que la reclaman. SEXTO: Con fecha 01/06/20, se envía requerimiento informativo a la entidad financiera IBERCAJA BANCO, para que identificase a los titulares y autorizados de la cuenta bancaria ***XXXX, a fecha de 4 de octubre de 2000, los cambios producidos en estos datos, y el periodo temporal en que dicha cuenta permaneció abierta, en caso de que haya sido cerrada. SÉPTIMO: Con fecha 16/06/20, IBERCAJA BANCO, S.A. remite a esta Agencia la siguiente información y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/47 - La cuenta Nº ****XXXX permaneció abierta desde el 29 de junio de 2000 hasta el 21 de diciembre de 2001, donde figuraba como única titular en dicho periodo, esto es, desde junio/2000 hasta 21/12/01, la reclamante. OCTAVO: Con fecha 18/06/20, PRA IBERIA, S.L.U. remite a esta Agencia la siguiente información y manifestaciones, requerimiento de esta Agencia: - Que aportan las estipulaciones que regularon la cesión de la deuda entre SANTANDER CONSUMER FINANCE y AKTIV CAPITAL, hoy PRA IBERIA; S.L.U. Aportan documento de “ELEVACIÓN A PÚBLICO DE CONTRATO DE CESIÓN DE CRÉDITOS” del Notario D. ALBERTO BRAVO OLACIREGUI fechado a 30/04/2008 donde consta: - SANTANDER CONSUMER FINANCE, S.A., entre otros, como cedente. - AKTIV KAPITAL PORTFOLIO INVESTMENTS, A.G. como cesionario, siendo su representante fiscal es TREYM CONSULTING Y SERVICIOS A EMPRESAS; S.L. – […] por el que los CEDENTES venden y transmiten al CESIONARIO, quien compra y adquiere, la CARTERA DE CRÉDITOS, según se ha definido en el Expositivo II del citado Contrato.[…]” - Aportan copia del contrato copia de las estipulaciones que regularon la cesión de la deuda entre Santander Consumer Finance y Aktiv capital, hoy PRA IBERIA S.L.U., firmado y fechado a 30/04/2008 donde consta, entre otras, lo siguiente: “[…] V. Que el volumen de la Cartera de Créditos, la heterogeneidad de los Créditos que la componen y, en muchos casos, su antigüedad y/o su procedencia de alguna de las entidades de crédito fusionadas con los Cedentes hacen que éstos no puedan garantizar que los Datos de los Créditos sean siempre completos o correctos. En particular, los Cedentes no descartan que algunos de los Créditos que figuran en la Cartera de Créditos no sean en realidad créditos existentes o jurídicamente exigibles por los Cedentes o no resulten transmisibles, por lo que todos ellos deben considerarse a todos los efectos como Créditos dudosos. Por los mismos motivos, la documentación física relativa a los Créditos con la que cuentan los Cedentes no necesariamente es completa ni exhaustiva, pudiendo no existir documentación física respecto de algunos de los Créditos. El Cesionario conoce y acepta estas características de los Créditos, de los Datos de los Créditos y de la documentación física relativa a los Créditos. […] VII. Que, en el marco de una negociación previa para la posible transmisión de la Cartera de Créditos, los Cedentes y el Cesionario han mantenido diversas reuniones en las que el Cesionario ha podido informarse completamente y a su satisfacción sobre las características de la Cartera de Créditos, los procedimientos de registro y conservación de los Créditos de los Cedentes, los mecanismos para el cobro de los Créditos empleados por los Cedentes,[…] […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/47 1 .2. Exclusión de responsabilidad de los Cedentes: Las Partes reconocen que el objeto del Contrato es la compraventa de la Cartera de Créditos en su globalidad, sin consideración individualizada de cada uno de los Créditos que la componen y que se ceden. Adicionalmente, tras las reuniones entre las Partes y el proceso de due diligence realizado por el Cesionario, éste conoce y acepta que los Cedentes no garantizan que los Datos de los Créditos sean completos y exactos, y que algunos de los Créditos podrían no existir por cualquier causa (incluido su previo pago), no ser jurídicamente exigibles por los Cedentes o tener restringida su transmisibilidad. Por tanto, la totalidad y cada uno de los Créditos que el Cesionario adquiere se venden como dudosos conforme a lo previsto en al art. 1529 del Código Civil, adquiriendo el Cesionario la Cartera de Créditos a su íntegro riesgo (…)”. NOVENO: Con fecha 18/01/21, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad reclamada, en virtud de los poderes establecidos, por incumplir lo estipulado en los artículos 6.1) del RGPD, respecto del tratamiento ilícito de los datos personales de la reclamante y por infracción del artículo 15 del RGPD, respecto de la falta de diligencia a la hora de facilitar el acceso a la información sobre los datos personales de la reclamante con una sanción total de 60.000 euros (sesenta mil euros), 30.000 euros por la infracción del artículo 6.1 y 30.000 euros por la infracción del artículo 15 del RGPD. DÉCIMO: Notificado el acuerdo de inicio a la entidad reclamada, ésta mediante escrito de fecha 01/02/21 formuló, en síntesis, las siguientes alegaciones: 1.- Caducidad de las actuaciones previas. Las actuaciones previas en las que se basa el presente procedimiento sancionador han caducado pues así lo dispone el artículo 67.2 de la LOPDGDD. En este sentido, indica el hecho segundo del acuerdo del inicio de procedimiento sancionador que: “A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del RGPD. Así, con fecha 17/09/19, se dirigen requerimientos informativos a la entidad PRA IBERICA, SL. y a la entidad SANTANDER CONSUMER FINANCE.” En su artículo 67 LOPDGDD, indica en su apartado 2 que: “2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Aunque se desconocer la fecha concreta del acuerdo de admisión a trámite de las actuaciones previas de investigación, y por el que debemos esperar a conocer el expediente completo de este procedimiento, lo que sí podemos afirmar de forma rotunda, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/47 la vista del hecho segundo de este acuerdo de inicio es que dicho acuerdo se produjo con anterioridad al 17/09/2019, pues es en esta fecha en la que se iniciaron las primeras actuaciones después de que la Subdirección General de Inspección de Datos, en función de las atribuciones otorgadas por la ley acordase el inicio de las mismas. No obstante, en la Resolución del procedimiento Nº: PS/00418/2019, como único referente encontrado sobre el criterio de la propia Agencia respecto al inicio del cómputo del plazo de la actuaciones previas de la inspección del artículo 67.2 LOPDGDD, se establece que: “Acordada esta admisión a trámite, que fue notificada a los reclamantes, y no a IZENPE, conforme a lo establecido en el artículo 65.5 de la LOPDGDD, se iniciaron actuaciones previas de investigación señaladas con el número E/00995/2019. En el marco de estas actuaciones, con fecha 04/02/2019, los servicios de inspección de esta Agencia cursaron a IZENPE una solicitud de información, en la que consta dicho número de referencia y se indica expresamente que dicho requerimiento se realiza “En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar los términos de unos hechos susceptibles de posible infracción a la normativa vigente de Protección de Datos y de los cuales ha tenido conocimiento esta Agencia Española de Protección de Datos” y en uso de las facultades conferidas por el artículo 58.1 del RGPD y el artículo 67 de la LOPDGDD.” La caducidad de las actuaciones previas ya se recogía en el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RDLOPD) estableciendo que el cómputo del inicio o “dies ad quo” desde la fecha de presentación de la denuncia. La redacción de dicho artículo es muy clarificadora a efectos interpretativos pues determina claramente el momento en que debe determinarse el acuerdo de admisión a trámite de las actuaciones previas de investigación, que no es otro que el inicio de las actuaciones de inspección mediante las atribuciones establecidas por la ley: “4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” Dicho artículo refleja la importancia de la caducidad de la actuaciones previas como respuesta a la adecuación de los principios administrativos y en especial al artículo 42.2 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) y porque si no existiese este límite no las actuaciones de inspección se podría prolongar de tal forma que quebrantaría el principio de seguridad jurídica que proclama nuestra Constitución. Este criterio se encuentra reflejado en diferente jurisprudencia, entre la que destacamos por su claridad la Sentencia de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional número 2696/2006 de 17 de octubre de 2007 (Nº de recurso 180/2006), (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/47 Consideramos por todo ello, y conforme a lo hasta aquí razonado, que lleva razón la parte actora en cuanto que ha habido una utilización fraudulenta de la institución de las diligencias previas. Nos hallamos en consecuencia ante un supuesto de fraude de Ley contemplado en el artículo 6.4 del Código Civil, por cuanto se pretende burlar la aplicación del artículo 42.2 de la Ley 30/1992 usando la solicitud de información para, con ella, evitar la caducidad del expediente sancionador.” Diremos que no es posible alegar que las actuaciones proceden del nuevo número de inspección, que se produce sobre el mismo caso, esto es la inspección E/01924/2020, de 1 junio de 2020 (continuación a la inspección E/08673/2019, de octubre de 2019), y que fue contestada por esta parte con fecha 18/06/2020 en el que se contiene una única petición: “Copia de las estipulaciones que regularon la cesión de la deuda entre Santander Consumer Finance y Aktiv capital, hoy PRA IBERIA S.L.U.”. Si bien la existencia de la cesión del crédito de la reclamante y sus detalles (fecha de la cesión, Notario interviniente, importe de la deuda, etc.) la conoce la Agencia al menos desde que recibe la renuncia de la reclamante. En este sentido en el acuerdo de inicio del procedimiento sancionador se indica: 1)Hecho Primero: “Con fecha 07/08/19, tiene entrada en esta Agencia, denuncia presentada por la reclamante en la que indicaba, entre otras, lo siguiente: (…) 2) Hecho Tercero: “Con fecha 09/10/19, la entidad, SANTANDER CONSUMER FINANCE, S.A. remite a esta Agencia la siguiente información y manifestaciones: (…) 3) Hecho cuarto: “Con fecha 17/10/19, PRA IBERIA, S.L.U. remite a esta Agencia la siguiente información y manifestaciones: (…) Resulta destacable el lapso de tiempo en que la Agencia investiga nuevos hechos indicados por la reclamante, en concreto la cuenta corriente que aparece en el contrato. En concreto, la reclamante informa a la Agencia el 21/11/19 que en Ibercaja no le han dado información, pero la Agencia no envía ningún tipo de información a dicha entidad bancaria hasta junio de 2020, es decir 7 meses después de conocer esta nueva información por parte de la reclamante, teniendo en cuenta además que las actuaciones de inspección se remontan, como hemos comentado anteriormente, al menos, desde el 17/09/19. Aun contando que dichas nuevas informaciones hubiesen sido suficientes para iniciar una nueva investigación, la Agencia hubiera tenido 3 meses desde que las conoció para haber actuado contra mi mandante, si así lo hubiese estimado, como señala la propia Agencia en la Resolución del PS/00418/19 antes citada: “(…) la decisión sobre la admisión o inadmisión a trámite debe notificarse a la reclamante en el plazo de tres meses desde que la reclamación tuvo entrada en la Agencia…”. Estos 3 meses habrían finalizado el 21/02/20, si bien, debe tenerse en cuenta que no es una nueva investigación sino la continuación de las actuaciones que fueron iniciadas antes del 17/09/19 Son relevantes así, destacar los siguientes hechos del acuerdo de inicio: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/47 “QUINTO: Con fecha 21/11/19, la reclamante remite a esta Agencia la siguiente información y manifestaciones: (…) - Que le envían unos datos bancarios de IBERCAJA pero que se personó.” SEXTO: Con fecha 16/06/20, IBERCAJA BANCO, S.A. remite a esta Agencia la siguiente información y manifestaciones, a requerimiento de esta Agencia: (…). SÉPTIMO: Con fecha 18/06/20, PRA IBERIA, S.L.U. remite a esta Agencia la siguiente información y manifestaciones, requerimiento de esta Agencia: (…) Así, la información completa o necesaria, a juicio de la Agencia, para finalizar las actuaciones de inspección, las obtiene el 18/06/2020, como señala en el fundamento de derecho séptimo y no es hasta el 18/01/2021 donde notifica a esta parte el presente acuerdo. Teniendo en cuenta la interrupción de los plazos de prescripción y caducidad por el estado de alarma, esto es 81 días, contados desde el 14/04/2020 al 3/06/20201 o, aun contándolos por periodos en meses, esto es 3 meses, resulta que: 1 Plazos administrativos 1.- Suspensión de los plazos: Real Decreto 463/2020 de 14 de marzo, Disposición Adicional Tercera. Se suspenden términos y se interrumpen los plazos para la tramitación de los procedimientos de las entidades del sector público. El cómputo de los plazos se reanudará en el momento en que pierda vigencia del Real Decreto 463/2020 o, en su caso, las prórrogas de este. Por tanto, los plazos se suspenden el 14/03/2020. 2.-Alzamiento de la suspensión de los plazos: Artículo 9 del Real Decreto 537/2020, de 22 de mayo, por el que se prorroga el estado de alarma declarado por el Real De creto 463/2020, de 14 de marzo. Con efectos desde el 1 de junio de 2020, el cómputo de los plazos administrativos que hubieran sido suspendidos se reanudará, o se reiniciará, si así se hubiera previsto en una norma con rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas. Los plazos administrativos se reanudarán el día 1 de junio de 2020. Estos plazos, con carácter general, se reanudarán, computándose por tanto los días que se hubiesen agotado antes del Real Decreto 463/20, de 14 de marzo. No obstante, estos plazos se reiniciarán, volviendo a computarse el plazo íntegro, si así se hubiese previsto en una norma con rango de ley aprobada durante la vigencia del estado de alarma y sus prórrogas. Plazos sustantivos: prescripción y caducidad 1.Suspensión de los plazos de prescripción y caducidad: Real Decreto 463/2020 de 14 de marzo, Disposición Adicional Cuarta. Los plazos de prescripción y caducidad de cualesquiera acciones y derechos quedan 1) Las actuaciones previas caducarían, sin tener en cuenta la interrupción del estado de alarma, al menos el 17/09/20, 1 año más tarde del inicio de las actuaciones. Sin embargo, el acuerdo de procedimiento sancionador se recibe 1 año y 4 meses más tarde. 2) La Agencia conoce nueva información el 21/11/2019 proporcionada por la reclamante, sin embargo, no es hasta junio de 2020 cuando completa su actividad inspectora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/47 La Agencia debió haber reanudado la inspección, si así lo hubiese considerado en un plazo de 3 meses, es decir, el 21/02/2020 (y, en todo caso, antes del decreto del estado de alarma), si bien no es hasta junio de 2020 donde reinicia su investigación. 3) La Agencia recopila la información completa de su investigación el 18/06/2020, es decir, todavía cuenta con 3 meses antes de que caducaran las actuaciones previas. 4) Teniendo en cuenta la suspensión del estado alarma (Desde el 14 de marzo al 4 de junio) dicho periodo se podría a ver alargado hasta el 17/12/2020, teniendo en cuenta incluso que contamos meses completos (3 meses en lugar de 81 días), por tanto, la Agencia habría contado con un plazo de 6 meses adicionales para a ver notificado el inicio del presente acuerdo a mi representada. 5) El acuerdo de inicio del procedimiento sancionador se ha notificado, al menos 1 mes más tarde en que se produjo la caducidad de las actuaciones previas, esto es, el 18/01/2021, contando con los periodos de suspensión del estado de alarma. Por lo anterior, entiende esta parte que las actuaciones previas que dan lugar al presente procedimiento sancionador se encuentran caducadas por el transcurso del plazo establecido en el artículo 67.2 de la LOPDGDD. Aun entendiendo esta parte que las actuaciones previas del presente acuerdo de inicio de procedimiento sancionador adolecen de caducidad, mi mandante procederá a entrar a valorar los hechos de las infracciones a las que se responsabiliza a mi mandante, distinguiendo entre las mismas, esto es, la infracción del artículo 6.1. del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a suspendidos durante el plazo de vigencia del estado de alarma y, en su caso, de las prórrogas que se adoptaren. 2.-Alzamiento de la suspensión de los plazos de prescripción y caducidad: Artículo 10 del Real Decreto 537/2020, de 22 de mayo, por el que se prorroga el estado de alarma declarado por el Real Decreto 463/2020. Con efectos desde el 4 de junio de 2020, se alzará la suspensión de los plazos de prescripción y caducidad de derechos y acciones. la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE -Reglamento general de protección de datos- (RGPD) y la infracción del artículo 15 RGPD. 2.- De la Infracción del artículo 6.1.RGPD. De la licitud del tratamiento. De la cesión de créditos y de la licitud del tratamiento. De los hechos del presente procedimiento. De la actuación diligente de mi mandante. De la falta de elementos probatorios por error en la valoración de la prueba por parte la Agencia. Del cumplimiento del criterio establecido por la AEPD. Como queda acreditado en la documentación del procedimiento administrativo: 1) El 30/04/2008 se suscribió y elevó a público la cesión de determinados créditos entre Santander Consumer Finance, E.F.C., S.A. (Santander Consumer) y Aktiv Kapital Potfolio Investments, A.G. (Aktiv Kapital) ante notario público. Entre dichos créditos se encontraba el de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/47 2) Posteriormente y a través de distintas operaciones mercantiles de cesión global de activos y pasivos, dicho crédito es adquirido por mi mandante PRA Iberia, S.L.U. (PRA) 3) Tanto en la declaración ante notario como en la inspección, Santander Consumer afirma que la reclamante adquirió una tarjeta de crédito de Unión Fenosa vía telefónica el 4/10/2000 en virtud de la legislación aplicable. Dicha operación telefónica, efectuado al amparo de la normativa aplicable en aquel momento, se revisó y se firmó por un apoderado de Santander Consumer antes del alta de la tarjeta. 4) Se acredita igualmente en los movimientos que acreditan el uso de la citada tarjeta, que la misma se activa el 9 de septiembre de 2002 mediante un pago en la estación de servicio de XXXXXXXXX–Cedip. Por XX€ y se continúa utilizando la tarjeta hasta que se da de baja por impago. 5) Se adjunta igualmente un certificado de Santander Consumer en el que se acredita los recibos pendientes de pago, esto son, los recibos números 41 a 51 por un importe nominal total de XXX euros, siendo el primero de ellos de 1/02/2006 y el último de ellos el 01/12/2006. Es decir, la tarjeta ha estado activa desde el 09/09/2002 hasta el 01/12/2006 en la que se produce la baja de la misma por impago. Cuando se activa la tarjeta, se observa que se ha producido un cambio en la cuenta corriente, así en los movimientos que acreditan la existencia de la deuda la cuenta corriente en que se producen los cargos es: “Número de Cuenta: ***CUENTA.1”(los datos no están completos por motivos de confidencialidad de la empresa cedente) si bien cuando se produce el alta la tarjeta, casi 2 años antes (el 04/10/2000) la cuenta que se refleja es *XXXX, con lo que se demuestra claramente la reclamante cambió el número de cuenta corriente para activar la tarjeta y comenzar su uso. 7) Tanto la reclamante como la Agencia ponen su atención en la cuenta en la que se solicitó la tarjeta el 04/10/2000 (cuenta que según la declaración de Ibercaja fue cerrada el 21/12/2001), si bien, esta cuenta no coincide con la cuenta de activación de la tarjeta el 09/09/2002, y donde se produjeron los cargos de la tarjeta, esto es, el número de cuenta que aparece en los movimientos que acreditan el uso de la tarjeta, la cuenta corriente “Número de Cuenta: ****XXXX”. 8) Curiosamente ni la reclamante ni la Agencia preguntan sobre esta cuenta corriente ni mi mandante ni a Santander Consumer y eso teniendo en cuenta que la Agencia se dirige por segunda vez a mi mandante en junio de 2020 pero no dice nada sobre la declaración de la reclamante ni sobre su ampliación de investigación a Ibercaja (que no a Santander Consumer) con lo que hay no hay una aplicación igualitaria de la ley, pues no entiende esta parte por qué la Agencia no comunicó a esta parte en una segunda ocasión (a fin de que pudiese preguntar a la entidad cedente) o bien se dirigiese directamente a la entidad cedente para que aclarase la cuenta en la que se produjeron los cargos y pagos de la tarjeta de crédito. 9) Los extractos de la citada tarjeta desde el 01/9/2002 hasta el 08/02/2006 acreditan el uso de la tarjeta hasta en 56 ocasiones por consumos por importe superior a 1.500 euros, en el periodo de más de 3 años en que ha estado activa, si bien la entidad ce C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/47 dente únicamente certifica el saldo deudor de recibos desde el 01/02/2006 por importe principal (sin intereses) de XXX euros, con lo que claramente se han producido pagos en la cuenta de cargo de la tarjeta. 10) Por último, no se encuentra tampoco en el acuerdo del inicio del procedimiento sancionador que la inspección haya preguntado a la entidad Santander Consumer el detalle de las transferencias recibidas en su cuenta por importes de 150 € (16/06/2008) y 250 € (28/06/2011) pues la reclamante efectuó el pago en las cuentas de Santander Consumer. 11) Mi mandante aporta el concepto que puede consultar en sus cuentas sobre esta última transferencia, en virtud del detalle proporcionado por el cedente, siendo éste: “TRANSFERENCIA DE: ***TRANSFERENCIA.1”. Así la entidad emisora de la transferencia es la entidad 2096, perteneciente a la entidad Caja de España, hoy Unicaja Banco2, si bien nada de esto es objeto de investigación por parte de la Agencia y lo que se investiga es parcial y sin que mi mandante tenga la oportunidad de aportar ni añadir a la resolución del presente caso, quedando así al arbitrio de la información parcial aportada en la inspección. De lo que hasta aquí se ha relatado es que mi mandante, con independencia del análisis de la Agencia sobre el contrato firmado por la entidad cedente en abril de 2008 y al que nos referiremos posteriormente, ha acreditado su diligencia en el cumplimiento de la ley y ha presentado pruebas de la deuda a nombre de la reclamante, aparentemente cierta y exigible, y tampoco razona la Agencia cómo mi mandante puede acreditar una diligencia mayor en el cumplimiento de la normativa de protección de datos. Sí que debe mencionarse con carácter previo, que la reclamante en ningún momento ha negado la deuda, ni ha aportado la documentación proporcionada a la policía para la presentación de la oportuna denuncia por suplantación de personalidad, si es el caso, pues serían los órganos competentes para efectuar labores de investigación que exceden de la competencia de mi representada. Igualmente mencionar que la prueba de cargo más importante de la Agencia en este caso (contestación de Ibercaja) la permite afirmar que el tratamiento de datos de la reclamante no cumple los principios que ha de regir el tratamiento de datos personales (artículo 5 RGPD), si bien lo que la Agencia olvida es que: 1) La cuenta de cargo y abono de la tarjeta no es la misma que la que consulta la Agencia, ni la que acredita la existencia de la deuda. 2) La información obtenida por parte de la Agencia lo efectúa en el uso de las atribu ciones conferidas por una ley. 3) Mi mandante no puede, por sí misma, efectuar esta labor de investigación que efectúa la Agencia, ni obtener la confirmación de Ibercaja o de cualquier otro banco. Solo tiene, en base al RGPD, la posibilidad de acceder a dicha información siempre que: a. Sea proporcionada por el interesado (en este caso la reclamante que no se ha puesto en contacto con mi representada ni ha mostrado interés en aclarar su caso). b. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/47 De los órganos administrativos con competencias de investigación: Agencia de Protección de Datos, policía, jueces y tribunales, etc. Todo lo anterior implica que mi mandante ha actuado con la mayor diligencia que se le puede exigir en el tratamiento de la información de la reclamante, así mismo, mi mandante, en cumplimiento del criterio establecido por eta Agencia, ha procedido a anular la deuda en sus ficheros y ponerla a disposición de las autoridades públicas y cuerpos y fuerzas de seguridad, jueces y tribunales- para la remisión de cuanta información y documentación requiera para el esclarecimiento de los hechos una vez que la reclamante interponga la oportuna denuncia por suplantación de responsabilidad. A este respecto se acredita mediante la copia de la situación en los sistemas de mi mandante, la situación actual del expediente de la reclamante: El criterio de la Agencia se establece en distintas resoluciones, entre las que cabe citar: 1) el expediente Nº: E/01202/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES; 2) la también RESOLUCIÓN DE ARCHIVO DE ACTUACIONES del procedimiento Nº: E/01178/2020 y, 3) el expediente Nº: E/00712/2019 (…);Por su parte, se destaca el procedimiento Nº: E/01462/2019, (…). 3.- De la cesión de créditos y de la licitud del tratamiento. De los contratos en globo y su regulación en el Código Civil (CC). De la redacción de las cláusulas contractuales y de la competencia para su interpretación. De la responsabilidad de la existencia y legitimidad de los créditos en el CC. De la nulidad derivada del artículo 1203 CC y de la doctrina del TS. De la irretroactividad de la aplicación de la ley. La Agencia tanto en el hecho Séptimo como en el Fundamento de derecho II, 3º analiza parte del contrato celebrado entre Aktiv Kapital y Santander Consumer en abril de 2008, en concreto las estipulaciones V, y la cláusula 1.2. para concluir que: 1) Que mi mandante conocía o, en palabras de la Agencia “asumía” desde un principio como más probable la existencia de que los créditos no fueran reales o correctos y que incluso, algunos de los créditos podrían no existir. 2) Que mi mandante no acredita que ha adoptado las medidas que le exige el cumplimiento diligente de la obligación impuesta por el RGPD, tanto en la recopilación de los datos personales como en el posterior tratamiento de los mismos, por lo que, de la redacción de las cláusulas firmadas en el 2008, se constata una grave falta de diligencia de la entidad reclamada en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal. Un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros requeriría que el responsable del tratamiento esté en condiciones de probarlo, (principio de responsabilidad proactiva). 3) Lo anteriormente expuesto podrían suponer la vulneración del artículo 6.1 del RGPD, toda vez que la entidad reclamada pudiera haber tratado los datos personales de la reclamante sin legitimación alguna. Siendo los hechos relacionados analizados al amparo de la actual normativa con independencia de la prohibición de la aplicación retroactiva de la ley, en virtud de mandato constitucional, debemos de precisar en este momento que la interpretación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/47 Agencia del contrato suscrito responde previamente a una redacción del 2008, en la que existía una cultura diferente en materia de protección de datos y de la cesión de créditos de particulares y sobre todo, a una interpretación parcial de la Agencia, pues no toma en consideración el régimen de aplicación de estos contratos al amparo de la normativa aplicable: Código Civil y la jurisprudencia del Tribunal Supremo. Debemos además añadir a la información extractada por la Agencia las siguientes cláusulas: 1) Estipulación IX. “Que, a la vista de lo anterior, los Cedentes están interesados en vender y transmitir alzadamente y como dudosa, y el Cesionario está interesado en comprar y adquirir, la Cartera de Créditos(…) En particular, el objeto de este contrato es la venta en globo por un precio alzado de la totalidad de la Cartera de Créditos en su condición de activo financiero, sin consideración individualizada de cada uno de los Créditos que la componen y teniendo en cuenta, en especial, el carácter dudoso de todos y cada uno de los Créditos.” 2) Cláusula 1.2. “(…). El Precio es fijo y no es susceptible de modificación alguna como consecuencia de la inexistencia, los que ascienden intransmisibilidad o nexigibilidad de cualquiera de los Créditos, por la falta de solvencia de los deudores, por el contenido de los Datos de los Créditos, ni por cualquier otro supuesto respecto de los que expresamente se haya excluido la responsabilidad de los Cedentes” 3) Cláusula 2: “El Cesionario, en su condición de legítimo titular de la Cartera de Créditos en virtud de esta escritura, asume cualquier tipo de responsabilidad derivada o que pueda derivarse de dicha titularidad a partir de la fecha de la presente, liberando a los Cedentes de cualquier responsabilidad derivada de dicha titularidad desde dicha fecha.” 4) Cláusula 10. JURISDICCIÓN. “Para todo litigio, discrepancia, cuestión o reclamación que pudiese derivar de la ejecución o interpretación de este Contrato las Partes, con renuncia de cualquier otro fuero, se someten a la jurisdicción exclusiva de los Juzgados y Tribunales de Madrid capital (España).” Como puede verificarse de forma clara, la operación firmada entre Santander Consumer y Aktiv Kapial es una cesión de créditos del artículo 1526 y ss del Código Civil que se define como una transmisión de la titularidad de un crédito entre un antiguo acreedor y uno nuevo – cedente y cesionario-, producida como efecto jurídico de un contrato celebrado entre ellos. No existe en la cesión de créditos una cesión entera de la posición contractual, lo que requeriría el consentimiento del deudor, como sucede en la cesión de contratos, sino sólo de la titularidad activa, de forma que se desmembrarán las posiciones relativas al acreedor y deudor de una de las partes. Como reflejo de la responsabilidad del Cedente, no frente al Cesionario sino frente al deudor respecto al derecho cedido, existe numerosa jurisprudencia del Tribunal Supremo, que distintas Audiencias Provinciales aplican: 1) La Sentencia de la AP Navarra, sec. 3ª, S 19-12-2011, Nº 289/2011 (…); 2) La Sentencia de la Sección segunda 2ª de la Audiencia Provincial de León de fecha 19 de junio de 2007 (…)”. Teniendo clara la responsabilidad del cedente sobre el objeto de compraventa (no olvidemos que es un derecho al cobro lo que se vende, no una obligación de pago), lo que pretende el cedente, Santander Consumer, con la inclusión de dichas cláusulas es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/47 la exoneración completa de responsabilidad contra el Cesionario, esto es, Aktiv Kapital. Es decir, que Aktiv Kapital, acepta que la venta se produce en globo y con créditos dudosos, lo que implica que no va a pedir ningún tipo de compensación al Cedente, eso es, a Santander Consumer. No tiene ninguna aplicación adicional en materia de protección de datos, aunque, seguramente si el contrato fuera redactado a día de hoy, su clausulado sería más adecuado al RGPD (…): No es posible, así como indica la Agencia que el hecho de que un Cedente venda créditos como dudosos, implica que transmite su responsabilidad al Cesionario, pues ello va en contra tanto de la legislación aplicable como de la jurisprudencia del Tribunal Supremo, de hecho, recientes sentencias del Tribunal Supremo como la Sentencia número 2816/2019, de 18 de septiembre de 2019 (procedente del procedimiento 509/2017) y la STS 20 noviembre 2008 STS 1127/2008, número de Recurso: 2280/2002, (…). Así la inexistencia del contrato en el marco de una cesión de crédito implica el vacío de la figura de la novación subjetiva por cambio de acreedor recogida en el artículo 1203 del CC, deviniendo en consecuencia una “nulidad derivada” del negocio jurídico de cesión de crédito entre el cedente y mi el cesionario. Por tanto, siguiendo la conclusión del TS sobre la nulidad derivada y así la aplicación del 1203 CC la única consecuencia que puede aplicarse a mi mandante es atenerse a las consecuencias de la pérdida de su derecho, pero en ningún caso se puede invertir la carga de la responsabilidad establecida en el CC, así el cesionario no puede incurrir en responsabilidad contractual alguna frente al deudor cedido por la falta de cumplimiento de sus deberes contractuales por parte del cedente. En cualquier caso, como ya ha establecido la Agencia en sus diferentes Resoluciones, la interpretación de las cláusulas en los contratos entre las partes es de exclusiva competencia de los juzgados civiles, excediendo de las competencias atribuidas por Ley a la Agencia. A este respecto cabe destacar la cláusula 10 del contrato suscrito entre el Cedente (Santander Consumer) y el Cesionario (Aktiv Kapital) (…) Por su parte resulta destacable que la necesaria aplicación del principio de irretroactividad de la Ley, tanto en las normas vigentes en la contratación a distancia como en la aplicación del principio de responsabilidad proactiva del RGPD. Así la Agencia ha establecido la aplicación del principio de responsabilidad retroactiva del RGPD, publicado en abril de 2016, a un contrato suscrito en abril de 2008. Aplicación del RGPD a un contrato firmado 8 años antes de la publicación de Reglamento General de Protección de Datos y 10 años antes de su entrada en vigor. La irretroactividad es una consecuencia del principio penal de tipicidad y legalidad que, al igual que otros principios informadores del Derecho Penal, es aplicable, mutatis mutandis al derecho sancionador. El art. 9.3 de la Constitución Española señala que la Constitución la garantiza la irretroactividad de las disposiciones sancionadoras no favorables o restrictivas de derechos individuales y el art. 25 CE establece que nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa , según la legislación vigente en aquel momento. El Capítulo III del Título Preliminar (arts. 25 a 31) de la Ley 40/2015, de 1 de octubre, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/47 Régimen Jurídico del Sector Público contiene los preceptos constitucionales que regulan la potestad sancionadora de la Administración (…) 4.- Del resultado de las actuaciones inspectoras. Del principio de responsabilidad objetiva. Del principio de culpabilidad que debe regir el derecho administrativo Tal y como relatamos en el hecho primero del presente escrito, mi mandante no puede ser objeto de sanción por culpa, pues ello sería hacer responsable de forma objetiva, lo cual está proscrito por tanto por la legislación como por la jurisprudencia. En este sentido, destacamos las argumentaciones de las siguientes Resoluciones de la Agencia Española de Protección de Datos: 1) Expediente Nº: E/02304/2018 (…): a la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. En la Sentencia de 17/10/2007” La doctrina de la Audiencia Nacional sobre esta materia es exigir a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la SAN de 17/10/2007; SAN de 29/04/2010 2) Expediente Nº: E/02157/2018: También la SAN de 29/04/2010, en su Fundamento Jurídico sexto, a propósito de una contratación fraudulenta, indicó que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. 5.- De la ausencia de aplicación del artículo 58 RGPD como medida alternativa. De la ausencia de transparencia de la Agencia antes del inicio del presente procedimiento sancionador. Principio de Igualdad ante la Ley. Desde este entendimiento de las cosas, la jurisprudencia constitucional sostiene que los principios de seguridad jurídica y de interdicción de la arbitrariedad de los poderes públicos impiden a los órganos judiciales apartarse arbitrariamente de los precedentes propios. En consecuencia, se vulnera el principio de igualdad, en su vertiente de derecho a la igualdad en aplicación de la Ley, cuando el mismo órgano, existiendo identidad sustancial del supuesto de hecho enjuiciado, se aparta del criterio mantenido en casos anteriores, sin que medie una fundamentación suficiente y razonable que justifique la nueva postura en la interpretación y aplicación de la misma legalidad. En este sentido, según hemos comentado, la Agencia conoce desde el 21/11/2019 que la reclamante desconoce las transferencias hechas en su nombre y desconoce las compras efectuadas con su tarjeta, además de no recordar la cuenta corriente de cargo y pago de dichas disposiciones (hecho quinto), también recaba información de una entidad bancaria (aunque errónea) sobre la cuenta corriente en el momento de la contratación (que después fue posteriormente modificada) en la que se indica que la cuenta de la reclamante fue cancelada antes de la activación de la tarjeta (hecho sexto). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/47 Si bien la Agencia, al contrario que ha efectuado en otras ocasiones, decide no trasladar esta información a mi mandante. No obstante, en otros procedimientos, la Agencia decide utilizar sus competencias en el área de cooperación con los responsables, que no sancionadora, así cabe citar como ejemplo el procedimiento Nº: E/02620/2019 y Nº: E/07245/2019 (…)”. 6.- De la prueba diabólica. Del principio de presunción de inocencia (in dubio pro reo) Así tratados los hechos acontecidos en el presente procedimiento, cabe aplicar al presente caso el principio de presunción de inocencia del artículo 130.1 de la Ley 30/1992. Conforme señala el Tribunal Supremo (STS 26/10/98) del derecho a la presunción de inocencia (…) y La Sentencia del Tribunal Constitucional de 20/02/1989 (…). Estos mismos argumentos son aplicados por la Agencia Española de Protección de Datos en sus Resoluciones, citándose la Resolución Nº R/01191/2009 (…) y el expediente Nº: E/04128/2017 (…). En todo caso, es obligado reseñar en relación con el principio de presunción de inocencia que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad de este principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 (…). De acuerdo con este planteamiento, hay que tener en cuenta que sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos a título de dolo o culpa. Asimismo, se debe tener en cuenta, en relación con ese principio de presunción de inocencia, que artículo 53.2.

b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, recoge este principio, al decir que los interesados en un procedimiento administrativo de naturaleza sancionadora tienen derecha a: “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. (…)” 7.- Del principio de confianza legítima. Criterio aplicado por la AEPD en anteriores resoluciones Desde este entendimiento de las cosas, la jurisprudencia constitucional sostiene que los principios de seguridad jurídica y de interdicción de la arbitrariedad de los poderes públicos impiden a los órganos judiciales apartarse arbitrariamente de los precedentes propios. En consecuencia, se vulnera el principio de igualdad, en su vertiente de derecho a la igualdad en aplicación de la Ley, cuando el mismo órgano judicial, existiendo identidad sustancial del supuesto de hecho enjuiciado, se aparta del criterio mantenido en casos anteriores, sin que medie una fundamentación suficiente y razonable que justifique la nueva postura en la interpretación y aplicación de la misma legalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/47 Igualmente, el principio de protección de la confianza legítima de los particulares en el ámbito del Derecho público limita la actividad del poder público, para impedir que éste destruya sin razón suficiente la confianza que su actuación haya podido crear en los ciudadanos sobre la estabilidad de una determinada situación jurídica. Por tanto, hay conculcación de dicho principio cuando la Agencia Tributaria incoa el presente procedimiento, dados los antecedentes expuestos. A este respecto traemos a colación el procedimiento Nº: E/01818/2019, (…). 8.- En relación a la infracción del artículo 15 RGPD. Del derecho de acceso. En el fundamento de derecho III del acuerdo de inicio del presente procedimiento la Agencia detalla cuales son los hechos que dan lugar a la infracción del artículo 15 RGPD y que, en síntesis, son: 1) La reclamante con fecha 24/06/19 envía una carta certificada donde solicita el acceso a la información que sobre sus datos personales.2) Con fecha 17/09/19, esta Agencia notifica a la entidad reclamada la denuncia interpuesta por la reclamante. 3) Mi mandante aporta una de las conversaciones mantenidas el 17/05/2019 con la reclamante que … “¿?” 4) En este sentido, también mi representada aporta un burofax enviado el 17/10/2019 y un email certificado con toda la información y documentación que obra en poder de mi mandante. Concluye la Agencia que “En el presente caso, la reclamante, mediante carta certificada de fecha 24/06/19, solicitó a la entidad reclamada, que le informara, por escrito a la dirección postal indicada, (no verbalmente ni por medios electrónicos), de toda la información relativa a sus datos personales, haciendo uso del derecho de acceso que le asistía. No obstante, la entidad reclamada, no procedió a enviar a la interesada la información solicitada hasta el 17/10/19 (3 meses y medio después de haberlo solicitado), y tras recibir, desde esta Agencia la notificación de la reclamación.” En consecuencia, la Agencia entiende que mi mandante ha infringido el artículo 15 RGPD y es sancionada con el artículo el artículo 72.1.
k)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento”. De la redacción del artículo 72.1.
k)de la LOPDGDD, se infiere que la infracción es el impedimento u obstaculización (lo que mi mandante no ha podido llevar a cabo porque de hecho ha contestado a la reclamante) o por la no atención reiterada del ejercicio de derecho. La “reiteración” se define en el diccionario de la Real Academia de la Lengua como: (…) Si bien, como demuestran los propios hechos establecidos en el acuerdo de inicio del procedimiento sancionador, las ocasiones en que mi mandante se ha retrasado en la contestación a la reclamante, ha sido solo 1, no ha habido reiteración alguna. Cabe así deducir, en relación a los hechos probados por la inspección y apoyados en los documentos aquí acompañados, que la apertura del presente procedimiento sancionador quiebra los principios de tipicidad y legalidad y que, por tanto, dada la prueba presentada, el presente acto administrativo debe ser objeto de archivo por ausencia de responsabilidad de mi mandante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/47 El principio de tipicidad es garantía de la seguridad jurídica a la que tiene derecho el ciudadano, para conocer en todo momento y con certeza, las conductas que constituyen una infracción administrativa, y a la vez, la sanción que llevan aparejada. Por su parte, atendiendo al principio de legalidad general del Derecho, reconocido expresamente por la CE (arts. 9.1 y 103.1), que supone el sometimiento pleno de la Administración a la ley y al Derecho, la sujeción de la Administración al bloque normativo, el presente procedimiento sancionador carece de toda justificación normativa. (STC 145/2013) La actuación de mi mandante no se ajusta en absoluto al elemento tipificado pues: 1) No ha impedido la contestación al ejercicio de derecho de la reclamante.2) Tampoco lo ha obstaculizado, es más mantiene el contacto telefónico con la misma para aclarar sus dudas y asesorarla de los procesos adecuados para solventarla. 3) Ni ha dejado de contestar a su ejercicio de derecho, aunque sea más tarde del plazo indicado, ni mucho menos ha reiterado ninguna conducta de falta de contestación. 9.- De la prescripción de la infracción Siendo así los hechos anteriormente relatados, en el hipotético caso de que mi mandante hubiera cometido alguna infracción, sería la establecida en el artículo 74.
c)Infracciones consideradas leves del LOPDGDD, que indica que: “
c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
k)de esta ley” Si bien, teniendo en cuenta que, la prescripción de las sanciones leves es en el plazo de 1 año y que mi mandante contestó el 17/10/2019, la presente infracción que, insistimos mi mandante no ha cometido, habría prescrito el 17/10/2020 o con la prórroga del estado de alarma, el 05/12/2020. El procedimiento adecuado para la falta de contestación de un ejercicio de derecho de acuerdo al artículo 63 LOPDGDD es un procedimiento de Tutela, al menos para darle la posibilidad a mi mandante para subsanar cualquier error, lo que hizo en cuanto tuvo conocimiento de que la reclamante se queja de su falta de contestación formal. Y recalcamos que la infracción que la agencia impone a mi mandante es la falta de un requisito formal a la atención de su derecho pues así lo señala la propia Agencia al indicar en el fundamento de derecho III que: “En el presente caso, la reclamante, mediante carta certificada de fecha 24/06/19, solicitó a la entidad reclamada, que le informara, por escrito a la dirección postal indicada, (no verbalmente ni por medios electrónicos), de toda la información relativa a sus datos personales, haciendo uso del derecho de acceso que le asistía. No obstante, la entidad reclamada, no procedió a enviar a la interesada la información solicitada hasta el 17/10/19 (3 meses y medio después de haberlo solicitado), y tras recibir, desde esta Agencia la notificación de la reclamación.” Si bien, nada dice el RGPD ni la LOPDGDD sobre la formalidad en la falta de contestación y tampoco nada indica la Agencia (ni la propia reclamante) sobre la acreditación de mi representada a las conversaciones mantenidas con la citada reclamante para la resolución de su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/47 10.-De la falta de motivación. Del principio de proporcionalidad Debe manifestar esta parte que, no encuentra en la apertura del presente procedimiento motivación alguna por parte de la Administración en la que pueda acreditar o argumentar su defensa, lo que conlleva a que se encuadre en una situación de indefensión. De esta forma, esta parte entiende, dicho esto con todo respeto y únicamente en términos de defensa, que la actuación de la Administración vulnera el artículo 9.3. CE al carecer de motivos o causas en que se basa la misma al aplicar la norma. El art. 9.3 de la CE consagra el principio de interdicción de la arbitrariedad de los po deres públicos. Una actuación puede considerarse arbitraria cuando carece de justificación. La Constitución exige, pues, que toda actuación de los poderes públicos se presente respaldada por razones justificativas que le sirvan de fundamento. De ello se derivan cuando menos dos importantes consecuencias: 11.- Petición subsidiaria. Reducción de los importes de sanción. Aplicación del principio de proporcionalidad. Atención a las circunstancias del caso. Subsidiariamente y a pesar de que esta parte no está de acuerdo con las infracciones y sanciones señaladas por la Agencia, solicita la reducción al grado mínimo de las sanciones y medidas correctivas establecidas en el artículo 76.2 de la LOPDGDD, de acuerdo a lo previsto en el artículo 83.2
k)RGPD acogiéndose además de las indicadas por la Agencia las siguientes: 1)
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. Pues no consta ni denuncia policial, ni la reclamante se ha puesto en contacto con mi representada para poder conocer sus dudas o poder solicitar más información aclaratoria. 2)
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente. Y así ha sucedido con la cesión de créditos de Aktiv Kapital a PRA Iberia. 3)
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. Y así mi mandante tiene un delegado de protección de datos al que la Agencia ni siquiera se ha dirigido. Por su parte y como hemos señalado anteriormente y en base al principio de igualdad ante la ley, solicitamos la aplicación del artículo 58.2.
a)RGPD por parte de la Agencia consistente en el apercibimiento a mi mandante, como así lo ha efectuado en procesos anteriores que hemos detallado en el presente escrito: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: a)sancionar a todo responsable o encargado del tratamiento con una advertencia cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Reglamento”. A los anteriores hechos son de aplicación los siguientes FUNDAMENTOS DE DERECHO (…) 12.- Solicitud TESTIFICAL: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/47 Respuestas escritas a cargo de personas jurídicas (artículo 381 LEC). Que al amparo del artículo 381 de la Ley de Enjuiciamiento Civil que se requiera a las mercantiles: A) Santander Consumer, para que se pronuncie sobre las siguientes cuestiones: 1. Que aporten la cuenta corriente en que se cargaron y abonaron los importes en relación a este caso. 2. Que aporten la cuenta corriente y el detalle de las transferencias de XXX € y XXX € que se transfirieron posteriormente a mi mandante. B) A la/s entidad/es bancaria/s resultantes de la anterior prueba, para que se pronuncie sobre las siguientes cuestiones: 1. Si le consta la cuenta/s corriente/s aporta/s y que identifiquen su titularidad. 2. Si se produjeron los pagos y cargos de la tarjeta de crédito del presente caso. 3. Titularidad y conceptos de las transferencias de XXX y XXX euros relatados en los hechos del presente procedimiento. UNDÉCIMO: Con fecha 01/06/21, se notifica a la entidad reclamada la propuesta de resolución, en la cual se propone que, por la Directora de la Agencia Española de Protección de Datos se proceda a sancionar a la entidad PRA IBÉRICA, por infracción de artículo 6.1) del RGPD, respecto de la falta de diligencia en el tratamiento de los datos personales de la reclamante con una multa de 30.000 euros (treinta mil euros) y por infracción del artículo 15 del RGPD, respecto de la falta de diligencia a la hora de facilitar el acceso a la información sobre los datos personales de la reclamante, con multa de 30.000 euros (treinta mil euros). DUODÉCIMO: Con fecha 15/06/21, la entidad reclamada remite a esta Agencia escrito de alegaciones a la propuesta de resolución, en el cual indica, entre otras: “PRIMERO.- Ratificación del primer escrito de alegaciones: Manifestar que mi representada se ratifica en todo lo indicado en el primer escrito de alegaciones del expediente de referencia, reiterando su contenido. SEGUNDO.- De la Infracción del artículo 6.1.RGPD: De la licitud del tratamiento. Hechos nuevos. De la cuenta corriente en la que se cargaron los pagos y de la prueba del pago efectuado por la denunciante. Se ha solicitado e intentado recabar más pruebas que las presentadas, pero hasta este momento no ha podido aportar, si bien ha podido recabarlas y las aporta en el presente escrito. En este sentido, se aporta como DOCUMENTO Nº 1, certificado de la entidad cedente, Santander Consumer que acredita que la denunciante cambió la cuenta corriente a la entidad Caixabank. Esta nueva información prueba que la cuenta corriente de cargo de los recibos no era Ibercaja, sino una cuenta corriente de Caixabank, por lo que la prueba recabada es incompleta y por ello es preciso completarla con esta nueva información. Por su parte, mi mandante ha podido obtener el justificante de transferencia de 250€ efectuado por la propia denunciante. Como se prueba en el DOCUMENTO Nº 2 en dicho justificante aparece como “ORDENANTE” de la transferencia la propia demandante y la cuenta corriente desde donde procede la transferencia es de una cuenta corriente de Unicaja (antes Caja de España de Inversiones). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/47 En este sentido, debe aclararse que el hecho de que la denunciante aparezca como ORDENANTE de la transferencia implica necesariamente que haya tenido que identificarse en la entidad bancaria desde la que se emitió la transferencia, esto es, desde Unicaja. Lo más probable es que la propia denunciante acudiese a la entidad bancaria para, una vez identificada con su DNI, ordenase la transferencia desde su cuenta de Unicaja a la cuenta de mi mandante. No se trata así de un ingreso en efectivo o de un pago con tarjeta sino de una transferencia entre cuentas corrientes que supone que EL ORDENANTE TIENE QUE IDENTIFICARSE. Esta Agencia rechaza la versión indicando, entre otros motivos que: “No es cierto, como afirma la entidad reclamada que, “(…) la reclamante en ningún momento ha negado la deuda (…)”, pues el escrito de reclamación se inicia con la siguiente afirmación: “PRA IBERIA, está reclamándome una deuda de un contrato que desconozco. Hasta el año 2013 terceras personas han estado haciendo transferencias bancarias a mi nombre (…)”. Hay que aclarar que mi mandante estaba manteniendo conversaciones con la denunciante para resolver sus dudas y en ningún momento le negó la deuda y en relación con las transferencias bancarias hechas por terceros, es el propio documento Nº 2 adjunto el que acredita fehacientemente que, el ordenante de la transferencia de XXX € efectuada a la cuenta de mi mandante, la realizó la propia denunciante. Esta nueva prueba aportada es de vital importancia para probar la veracidad de las alegaciones de esta parte y siendo una información que incumbe a la denunciante y a su entidad bancaria, resulta así necesario que se amplíe el periodo de prueba para poder requerir de información a CaixaBank para que confirme que las compras y disposiciones efectuadas con la tarjeta de crédito de Unión Fenosa desde el 09/09/02hasta el 1/12/06 se han cargado en la cuenta ***XXXX y que asimismo confirme la entidad Unicaja que fue la propia denunciante quién ordenó la transferencia desde su cuenta corriente a la cuenta de mi mandante (***XXXX) el 27/06/201. TERCERA.- De la licitud del tratamiento y de la actuación diligente de mi mandante. Del cumplimiento del criterio establecido por la AEPD. Mi mandante ha acreditado con la documentación que ha aportado en el expediente que ha actuado de forma diligente pues, aunque no puede aportar el contrato firmado por la denunciante como insiste la Agencia, pues el mismo se efectuó de forma telefónica, de acuerdo con la legislación vigente, lo que sí aporta es: 1) Certificado notarial que acredita la cesión del crédito suscrito con el cedente (Santander Consumer). 2) Confirmación de un apoderado de Santander Consumer de que la operación telefónica se contrató de forma correcta, firmando así la aprobación de la concesión de la tarjeta. 3) Movimientos que acreditan el uso de la citada tarjeta, que la misma se activa el 9 de septiembre de 2002 mediante un pago en la estación de servicio de Navalcarnero – Cedip. Por 39 € y se continúa utilizando la tarjeta hasta que se da de baja por impago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/47 4) Los extractos de la citada tarjeta desde el 01/9/2002 hasta el 08/02/2006 acreditan el uso de la tarjeta hasta en 56 ocasiones por consumos por importe superior a XXXX euros, en el periodo de más de 3 años en que ha estado activa, si bien la entidad ce dente únicamente certifica el saldo deudor de recibos desde el 01/02/2006 por importe principal (sin intereses) de XXX euros, con lo que claramente se han producido pagos en la cuenta de cargo de la tarjeta. 5) El certificado de Santander Consumer acredita los recibos pendientes de pago, esto son, los recibos números 41 a 51 por un importe nominal total de XXX euros, siendo el primero de ellos de 1/02/2006 y el último de ellos el 01/12/2006. Es decir, se abonaron los recibos por el uso de la tarjeta de crédito del 1 al 40 sin ningún tipo de incidente. 6) Con las nuevas pruebas aportadas se acredita que la cuenta de cargo de los consumos de la tarjeta era una cuenta corriente de CaixaBank y no de Ibercaja. 7) Que la denunciante ha efectuado transferencias desde una cuenta corriente a su nombre de la entidad Unicaja. Dada las anteriores pruebas aportadas, entiende esta parte que ha acreditado el empleo de una diligencia razonable en la acreditación del crédito a nombre de la denunciante y, especialmente, en el documento Nº 2 aportado junto al presente escrito, se acredita que la denunciante conocía la deuda pues el 28/06/2011 ordenó una transferencia desde su cuenta de Caja de España de Inversiones (hoy UNICAJA). Por tanto, entiende esta parte que la documentación presentada acredita que mi mandante ha cumplido diligentemente con la normativa de protección de datos e igualmente el documento 2 acredita que el conocimiento de la denunciante sobre la existencia de la deuda fue anterior, en el 2011, pues ordenó la transferencia del importe de XXX€ a la cuenta de mi mandante, así dicho documento contradice lo indicado en la propuesta de resolución que señala que: “En el caso que nos ocupa, la reclamante, cuando tiene conocimiento de que la entidad PRA IBERICA la está reclamando una deuda que no reconoce como suya, se pone en contacto, el 24/06/19, con la entidad solicitando el acceso a sus datos personales y denunciando que la deuda sea suya y ésta, como responsable del tratamiento de los datos personales,….” Hay que aclarar que la denunciante NUNCA aportó denuncia en comisaría de la supuesta “suplantación de personalidad” que sugiere en sus escritos y además mi mandante estaba aclarando con ella las dudas que planteaba precisamente intentando aclarar el uso de la tarjeta, las cuotas pagadas e impagadas, los ingresos efectuados, etc., si bien, en ningún momento le indicó que existía una supuesta “suplantación de personalidad” o uso fraudulento de sus datos por terceras personas. Aun así, hasta donde mi mandante conoce la denunciante no ha presentado la oportuna denuncia a la comisaria para que se aclare si efectivamente terceras personas hicieron ingresos a su nombre y ello a pesar de que se le remitió toda la documentación que acredita la deuda. Es fundamental para esta parte probar la veracidad de lo sucedido y ello para demostrar su diligencia pues hasta donde mi mandante conoce, la denunciante efectuó una transferencia desde su cuenta identificándose previamente en su entidad bancaria, conocía así la existencia de la deuda y no negó la misma en las conversaciones mantenidas para aclarar la mismas. A pesar de lo anterior, mi manC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/47 dante decide de forma unilateral anular el expediente siguiendo el criterio establecido por la Agencia en sus resoluciones Nº: E/01202/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES; RESOLUCIÓN DE ARCHIVO DE ACTUACIONES del Nº: E/01178/2020 y, expediente Nº: E/00712/2019 con su también resolución de ARCHIVO DE ACTUACIONES. En estos casos, se archivan las actuaciones de investigación porque los responsables de tratamiento actuaron en la creencia de quien contrataba era quien decía ser. Además, en estos casos, los denunciantes presentaron ante la Policía denuncia por suplantación de identidad utilizando sus datos personales, si bien en este caso no sucede así, aunque mi mandante prefiere tomar la decisión de cerrar el expediente para no empeorar su situación pues verse afectada por pruebas parciales supone un grave quebranto a la posición de esta parte. Afortunadamente y a pesar de la antigüedad mi mandante ha podido recabar pruebas que la exoneran de responsabilidad en el presente procedimiento. Pero además en el procedimiento Nº: E/01462/2019, con resultado de RESOLUCIÓN DE ARCHIVO, en el que se aplica el mismo criterio anterior aun cuando la entidad objeto de inspección no pudo aportar la copia del contrato firmado, no obstante esta Agencia consideró adecuada su actuación en la anulación de la deuda, tal y como ha efectuado mi mandante al conocer la presunta suplantación de identidad de la reclamante y sin que, hasta el momento del acuerdo del inicio del procedimiento sancionador en que esta Agencia lo pone de manifiesto, pudiese haberlo hecho pues lo desconocía. No comparte esta parte el juicio que efectúa esta Agencia en el Fundamento de Derecho II, apartado 2 al indicar que: “En segundo lugar, una clara falta de diligencia debida demostrada por la entidad reclamada, en el incumplimiento del principio de exactitud (artículo 5.1d.), pues no se han adoptado las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan, y esto es así, pues cuando la entidad recibió la carta de la reclamante el 26/06/19, solicitando el acceso a la información y poniendo en duda la veracidad de la deuda, la entidad, lejos de mostrar la diligencia debida, hizo caso omiso a dicha solicitud, sigue exigiendo el pago de la deuda y no es hasta después de recibir el requerimiento de esta Agencia, el 17/09/19, cuando la entidad, mediante burofax envía, con fecha 16/10/19, la información que la reclamante estaba solicitando desde hacía 3 meses y 20 días.” No hay ninguna prueba que permita afirmar a este organismo lo que imputa a mi representada. Desde que la denunciante plantea dudas sobre la existencia de su deuda, mi representada mantiene conversaciones con la misma para aclarar sus dudas, no para reclamar la deuda, tampoco es cierto que mi mandante hiciese “caso omiso” a su solicitud, más bien todo lo contrario, mi mandante toma en serio su reclamación y le dio un trato personalizado a la misma. Por ello no entiende esta parte por qué la Agencia afirma sin ninguna prueba que la respalde que mi mandante reclamó la deuda e hizo caso omiso de la reclamación de la denunciante cuando no es cierto, aunque sí es conveniente para argumentar una falta de diligencia que no se produjo por parte de mi representada y así sin prueba alguna la Agencia afirmar con rotundidad que “…no se puede ni se debe tener en consideración las alegaciones hechas por la entidad reclamada sobre su presunta actuación diligente en este caso.”, lo que en definitiva y a falta de pruebas lo que quiere decir es que “no se cree la versión de mi mandante” si bien no se ponderan todos los actos efectuados por mi mandante, como es la remisión de la documentación en el moC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/47 mento en que percibe su error y la anulación de la deuda en el momento en que conoce que la denunciante afirma que han suplantado presuntamente su identidad en el pago de su deuda y ello aun teniendo en cuenta que la denunciante no aporta la preceptiva denuncia policial. CUARTA.- De la prescripción de la presunta infracción del artículo 6.1.RGPD a la luz de las nuevas pruebas aportadas. La nueva prueba presentada, esto es, el justificante aportado como documento Nº 2 en la que la denunciante ordena una trasferencia de XXX € a las cuentas de mi representada, demuestra que: 1) Al menos desde el 28/06/2011 la denunciante conocía la deuda y su reclamación por mi mandante, así ordena la transferencia desde su cuenta de Unicaja a la cuenta de mi mandante. 2) En el concepto de la transferencia, la denunciante indica: “***CONCEPTO.1” que corresponde a la numeración del expediente que se le está reclamando y a los cinco primeros dígitos de su DNI. 3) Como anteriormente explicamos, para efectuar una orden de transferencia desde una cuenta a un tercero, es imprescindible que el ordenante se identifique con su DNI. Siendo la infracción calificada como muy grave por el artículo 72.1.
b)de la LOPDGDD (“El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del RGPD”) y siendo el plazo de prescripción de 3 años, en virtud de lo que establece el artículo 83.5, queda acreditado con la nueva documentación aportada que la infracción ha prescrito. QUINTA.- Del principio de presunción de inocencia (in dubio pro reo) en la valoración de la prueba ya presentada y la nueva prueba aportada. Las pruebas anteriormente aportadas son completadas con las presentes y del conjunto de estas acreditan que la denunciante cambió su cuenta corriente para la activación de su tarjeta de la cuenta de Ibercaja a la de CaixaBank. Asimismo, se acredita que la propia denunciante se identificó y efectuó una transferencia a la cuenta de mi mandante desde la entidad Unicaja. Así tratados los hechos acontecidos en el presente procedimiento, cabe aplicar al presente caso el principio de presunción de inocencia del artículo 130.1 de la Ley 30/1992 establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aún a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/47 Estos mismos argumentos son aplicados por la Agencia Española de Protección de Datos en sus Resoluciones, citándose a modo de ejemplo, la Resolución Nº R/01191/2009, de 25 de mayo de 2009, en la que aplicando las anteriores sentencias resolvió: “En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos (…) aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinante, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado “ En el expediente Nº: E/04128/2017, RESOLUCIÓN DE ARCHIVO DE ACTUACIONES, la propia Agencia aplica este criterio indicando: En todo caso, es obligado reseñar en relación con el principio de presunción de inocencia que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores orden penal, resultando clara la plena virtualidad de este principio de presunción de inocencia. El Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, hay que tener en cuenta que sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos a título de dolo o culpa. Asimismo, se debe tener en cuenta, en relación con ese principio de presunción de inocencia, que artículo 53.2.
b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, recoge este principio, al decir que los interesados en un procedimiento administrativo de naturaleza sancionadora tienen derecha a: “A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. SEXTA.- De la quiebra del principio de tipicidad. Infracción del artículo 15 calificada como grave por no contestar por escrito a la reclamación de la denunciante. En el fundamento de derecho III del acuerdo de inicio del presente procedimiento la Agencia detalla cuales son los hechos que dan lugar a la infracción del artículo 15 RGPD y que, en síntesis, son: 1) La reclamante con fecha 24/06/19 envía una carta certificada donde solicita el acceso a la información que sobre sus datos personales. 2) Con fecha 17/09/19, esta Agencia notifica a la entidad reclamada la denuncia interpuesta por la reclamante mediante un expediente de traslado de reclamación y solicitud de información. 3) Mi mandante aporta una de las conversaciones mantenidas el 17/05/2019 con la reclamante que demuestra que está aclarando las dudas de la denunciante, esto es, antes de que remitiese la carta certifiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/47 cada. 4) Igualmente mi mandante envía carta informativa en fecha 12 de junio de 2019 como se acredita en la página 4 y 16 del expediente administrativo. En dicha carta se identifica la procedencia de la deuda y su desglose. 5) En este sentido, también mi representada aporta un burofax enviado el 17/10/2019 y un email certificado con toda la información y documentación que obra en poder de mi mandante. Esta Agencia considera, valorando la prueba, que: “Pues bien, en el presente caso, la entidad reclamada no procedió a facilitar a la reclamante la información solicitada hasta 3 meses y medio después de haberlo solicitado con el agravante de que fue hecha, incluso un mes después, de conocer que la reclamante había puesto los hechos en conocimiento de esta Agencia. “Es por ello por lo que, se considera que la actuación de la entidad en este proceso es acorde con el elemento tipificado establecido en el artículo 72.1.k de la LOPDGDD pues, ha evitado la contestación al ejercicio de derecho de la reclamante y por tanto ha obstaculizado que la reclamante conociera, por escrito, toda la información que la entidad tuviera sobre sus datos personales, contestado solamente después de saber que los hechos habían sido puestos en conocimiento de esta AEPD. “Hay que apuntar que el punto: “3) Mi mandante aporta una de las conversaciones mantenidas el 17/05/2019 con la reclamante que … “, se encuentra incompleto en el escrito de alegaciones por lo que es imposible tenerlo en consideración para una correcta respuesta”. Y es cierto, mi mandante contesta tarde a la reclamación de la denunciante al entender POR ERROR que la misma ya se estaba aclarando a través de las conversaciones telefónicas pero no puede juzgarse que este error implica per se una conducta de IMPEDIMENTO u OBSTACULIZACIÓN, pues debe aclararse que no ha mediado ningún requerimiento de la Agencia ni la denunciante ha reiterado su solicitud, simplemente mi mandante percibe su error en el escrito de solicitud de información que le remite esta Agencia pues es la primera noticia que recibe después de la solicitud de la denunciante y por la que se da cuenta del error cometido. De la redacción del artículo 72.1k) de la LOPDGDD, se infiere que la infracción es el impedimento u obstaculización -lo que mi mandante no ha podido llevar a cabo porque de hecho ha contestado a la reclamante y ha procedido a contestar en cuanto ha percibido su error- o por la no atención reiterada del ejercicio de derecho -no mediando en este caso ni reiteración por la denunciante ni requerimiento por parte de la Agencia-. La “reiteración” se define en el diccionario de la Real Academia de la Lengua como: “1. f. Acción y efecto de reitera.,” Por su parte reiterar, según el diccionario, se define como: “1. tr. Volver a decir o hacer algo. U. t. c. prnl.” “Impedimento” se define en el diccionario de la Real Academia de la Lengua como: “1. tr. Obstáculo, embarazo o estorbo para algo.” Por su parte “Obstaculización” se define como la acción y efecto de obstaculizar. Que, a su vez se define como “1. Impedir o dificultar la consecución de un propósito.” El hecho es que mi mandante se da cuenta del error en la ausencia de contestación cuando recibe la solicitud de información de la Agencia, por ello procede a recopilar la documentación de la deuda y contesta tanto a la Agencia como a la denunciante, enviándola toda la documentación a fin de subsanar su error y sin necesidad de que medie requerimiento o reproche y ello no puede calificarse como agravante, pues el requerimiento de la Agencia es la primera ocasión en la que mi mandante tiene conocimiento del error cometido, error que reconoce en su propia contestación a la denunciante y se la pide disculpas por ello, no parece así que esta forma de proceder implique ni impedimento ni obstaculización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/47 Mi mandante entiende que el agravante sería en todo caso si se persistiese en no remitirle la documentación o si recibiese una nueva petición de la denunciante o un requerimiento de la Agencia, pero no fue así, no medio ningún requerimiento ni reproche, mi mandante procede a contestar a la denunciante en la primera ocasión en la que tiene conocimiento de su error y en cuanto recopila la documentación de la deuda, pidiendo disculpas por el error cometido. entiende esta parte que no hay prueba alguna que acredite que se ha obstaculizado o impedido el ejercicio de derechos de la denunciante y así considera que la calificación de muy grave de la Agencia quiebra los principios de tipicidad y legalidad. El principio de tipicidad es garantía de la seguridad jurídica a la que tiene derecho el ciudadano, para conocer en todo momento y con certeza, las conductas que constituyen una infracción administrativa, y a la vez, la sanción que llevan aparejada. Atendiendo al principio de legalidad general del Derecho, reconocido expresamente por la Constitución (arts. 9.1 y 103.1), que supone el sometimiento pleno de la Administración a la ley y al Derecho, la sujeción de la Administración al bloque normativo, el presente procedimiento sancionador carece de toda justificación normativa. SEPTIMA.- De la tipificación de la infracción y de su prescripción. Los hechos anteriormente relatados, lo único que demuestran es que mi mandante en el caso de que hubiese cometido alguna infracción (pues hay un procedimiento de tutela de derechos que la Agencia podrá haber iniciado en el presente caso), sería la establecida en el artículo 74.
c)Infracciones consideradas leves del LOPDGDD, que indica que: “
c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
k)de esta ley orgánica.” Si bien, teniendo en cuenta que, las prescripciones de las sanciones leves son en el plazo de 1 año y que mi mandante contestó el 17/10/2019, la presente infracción que, insistimos mi mandante no ha cometido, habría prescrito el 17/10/2020 o con la prórroga del estado de alarma, el 07/01/2021. En todo caso, el procedimiento adecuado para la falta de contestación de un ejercicio de derecho de acuerdo con el artículo 63 LOPDGDD es un procedimiento de Tutela de Derechos, al menos para darle la posibilidad a mi mandante para subsanar cualquier error. Como indicamos en el anterior escrito de alegaciones las sanciones administrativas son actos administrativos restrictivos de derechos, ya que son limitativas de la libertad individual (así lo expresó la STC 42/87, de 9 de abril) por ello es imprescindible que la Administración pruebe si la conducta de mi mandante se merece más reproche que el tipificado en la norma en atención a los principios de seguridad jurídica y libertad (art. 25.1 CE). OCTAVA.- Petición subsidiaria. Reducción de los importes de sanción. Aplicación del principio de proporcionalidad. Atención a las circunstancias del caso y a las nuevas pruebas presentadas. Subsidiariamente y a pesar de que esta parte no está de acuerdo con las infracciones y sanciones señaladas por la Agencia, solicita la reducción al grado mínimo de las sanciones y medidas correctivas establecidas en el artículo 76.2 de la LOPDGDD, de acuerdo con lo previsto en el artículo 83.2
k)RGPD. Por su parte y en base al principio de igualdad ante la ley, solicitamos la aplicación del artículo 58.2.
a)RGPD por parte de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/47 consistente en el apercibimiento a mi mandante, como así lo ha efectuado en procesos anteriores que hemos detallado en el presente escrito: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: a)sancionar a todo responsable o encargado del tratamiento con una advertencia cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Reglamento” Por todo lo expuesto, SUPLICO AL INSTRUCTOR que teniendo por presentado este escrito de alegaciones le admita y teniendo en cuenta lo en él expuesto, tras los trámites correspondientes, eleve a la Directora de la Agencia Española de Protección de Datos Resolución mediante la que se declare la no responsabilidad de mi representada con relación a los hechos que se le imputan o bien, subsidiariamente la aplicación del artículo 58.2.
a)RGPD. PRIMER OTROSI DIGO que siendo de interés de esta parte el esclarecimiento de los hechos del presente procedimiento, solicita la ampliación del periodo de prueba en base a la nueva prueba aportada por esta parte y así de acuerdo con lo especificado en el artículo 77 de la LPACAP, sin perjuicio de posterior ampliación y aportación de cuantos documentos se estimen de interés, se solicitan las siguientes: DOCUMENTAL PÚBLICA Y PRIVADA. Consistente en que se tengan por reproducidos y auténticos los documentos de tal carácter obrantes en el expediente. TESTIFICAL: Respuestas escritas a cargo de personas jurídicas: A) CaixaBank, para que se pronuncie sobre las siguientes cuestiones: Que confirme los cargos de las compras y disposiciones efectuadas con la tarjeta de crédito de Unión Fenosa tal y como constan en las páginas 48 y 49 del expediente administrativo a nombre de la denunciante desde el 9 de septiembre de 2002 hasta el 1 de diciembre de 2006. B) Unicaja, para que se pronuncie sobre las siguientes cuestiones: Que confirme que fue la propia denunciante quién ordenó la transferencia desde su cuenta corriente a la cuenta de mi mandante el 27 de junio de 2011, según se acredita en el documento Nº 2 adjunto al presente escrito. Por ello, SOLICITO AL INSTRUCTOR que dando por recogido y aceptado el interés y solicitud de esta parte en el esclarecimiento de los hechos, se acepten las pruebas presentadas y se lleven a cabo si así lo juzga la Agencia en un nuevo período probatorio ordenando lo necesario para su realización”. DÉCIMOTERCERO: De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes hechos: HECHOS PROBADOS 1º.- En el presente caso, del proceso seguido hasta ahora, se han constatado dos presuntas infracciones al RGPD: - Por una parte, la entidad reclamada está exigiendo el pago de una deuda por la utilización de una tarjeta de crédito, que la reclamante niega haber contratado, por lo que, la entidad pudiera estar realizando un tratamiento ilícito de los datos personales de la reclamante. - Por otra parte, la reclamante denuncia que, habiéndose puesto en contacto con la entidad que le está exigiendo ahora el pago de la deuda, (PRA IBERICA), solicitando ejercer su derecho de acceso a la información que poseen de ella, no ha recibió ningún tipo de contestación oficial al respecto, y siguen exigiendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/47 el pago de la deuda que niega ser suya, por lo que la entidad pudiera haber cometido una infracción al RGPD al no posibilitar el acceso a la reclamante. 2º.- A requerimiento de esta Agencia, la entidad SANTANDER CONSUMER FINANCE, S.A. afirmó que, el 04/10/2000, la reclamante contrató, vía telefónica, una tarjeta de crédito comercializada juntamente con la entidad GAS NATURAL FENOSA, aportando la hoja de contratación, donde constan los datos personales de la reclamante y su dirección, así como los datos de domiciliación bancaria, en una cuenta perteneciente a la entidad IBERCAJA, pero no se aporta ninguna otra documentación, como por ejemplo, el contrato firmado por la reclamante, copia del DNI, o la propia grabación telefónica, que pudiera corroborar que la contratación de la tarjeta de crédito fue realizada verdaderamente por la reclamante y no por una tercera persona ajena ya que ni siquiera la hoja de contratación está firmada por ni autentificada por ningún responsable. Esta entidad alega a este respecto que: “(…) dada la antigüedad del expediente la restante documentación relativa a la reclamante no ha podido ser localizada (…)”, pero sí que aporta varios documentos que en comparación unos con otros resultan contradictorios: - Impresión de los cargos en la tarjeta de crédito efectuados desde 09/09/2002 (fecha de activación de la tarjeta), hasta el 13/12/2004. No existen cargos posteriores a dicha fecha. - La entidad bancaria certifica que, se produjeron la devolución de los recibos de la tarjeta de crédito pasados al cobro, de los meses de febrero a diciembre del año 2006 (un años después), por un importe nominal total de XXX euros, pero no certifica ni envía impresión de los cargos efectuados en la tarjea en este periodo, justificando solamente que: “que, en la relación contractual de la tarjeta de crédito se produjeron varios impagos de las deudas lo que originó diversos procesos de recobro a la reclamante”. No existiendo, por tanto, constancia de que efectuaran cargos en la tarjeta de crédito, ni en el año 2005 ni en el año 2006. Tampoco se certifica cuando fue dada de baja la tarjeta de crédito. - Se certifica la venta posterior de dicho impago, el 30/04/08, a la sociedad AKITV KAPITAL INVESTMENT PORTFOLIO A.G. 3º.- En el contrato de cesión de la deuda entre SANTANDER CONSUMER FINANCE y AKTIV CAPITAL, elevado a público el 30/04/08, consta, entre otras estipulaciones la siguiente cláusula, para tener en cuenta: “[…] V. Que el volumen de la Cartera de Créditos, la heterogeneidad de los Créditos que la componen y, en muchos casos, su antigüedad y/o su procedencia de alguna de las entidades de crédito fusionadas con los Cedentes hacen que éstos no puedan garantizar que los Datos de los Créditos sean siempre completos o correctos. En particular, los Cedentes no descartan que algunos de los Créditos que figuran en la Cartera de Créditos no sean en realidad créditos existentes o jurídicamente exigibles por los Cedentes o no resulten transmisibles, por lo que todos ellos deben considerarse a todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/47 efectos como Créditos dudosos. Por los mismos motivos, la documentación física relativa a los Créditos con la que cuentan los Cedentes no necesariamente es completa ni exhaustiva, pudiendo no existir documentación física respecto de algunos de los Créditos. El Cesionario conoce y acepta estas características de los Créditos, de los Datos de los Créditos y de la documentación física relativa a los Créditos. 1.2. Exclusión de responsabilidad de los Cedentes: (…) Adicionalmente, tras las reuniones entre las Partes y el proceso de due diligence realizado por el Cesionario, éste conoce y acepta que los Cedentes no garantizan que los Datos de los Créditos sean completos y exactos, y que algunos de los Créditos podrían no existir por cualquier causa (incluido su previo pago), no ser jurídicamente exigibles por los Cedentes o tener restringida su transmisibilidad (…)”. 4º.- El 12/01/15 se formalizó la cesión global de activos y pasivos desde la compañía AKTIV KAPITAL PORTFOLIO AS, OSLO, SUCURSAL EN ZUG", transmitiendo en bloque todos los porfolios adquiridos en España por sucesión universal de la primera entidad a favor de "PRA IBERIA, S.L UNIPERSONAL". 5º.- La reclamante recibió una carta fechada a 12/06/19, remitida por PRA IBERIA, S.L. donde la informan de la “deuda que mantenía con ellos como consecuencia de la adquisición de una cartera deudora procedente de SANTANDER CONSUMER FINANCE a través de AKTIV KAPITAL PORTFOLIO AS. En la carta consta que la fecha del primer impago y que la reclaman, fue el 01/02/06. 6º.- Ante esta información, el 24/06/19 la reclamante envía una carta certificada a PRA IBERIA SL, solicitando ejercer su derecho de acceso a la documentación que poseía la entidad, en relación con la supuesta deuda, pues niega que sea suya. 7º.- Con fecha 07/08/19, la reclamante presentó un escrito en esta Agencia donde informa que, “PRA IBERIA, está reclamándome una deuda de un contrato que desconoce. Que hasta el año 2013 terceras personas han estado haciendo transferencias bancarias a su nombre. Que ha solicitado por escrito, vía telefónica y correo certificado a PRA IBERIA información sobre esta incidencia, pero a día de hoy, no he recibido contestación por ninguna vía, y siguen reclamándome la deuda con intereses.“ 8º.- A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, con fecha 17/09/19, esta Agencia dirigió requerimientos informativos a la entidad PRA IBERICA, SL. y a la entidad SANTANDER CONSUMER FINANCE. 9º.- Con fecha 17/10/19, la entidad reclamada envió un Burofax a la reclamante informándola, entre otros aspectos de que: - “El 9 de septiembre de 2002 se activó la tarjeta de crédito a su nombre. - Que recibieron dos transferencias cuya procedencia era una cuenta de Santander Consumer por los pagos realizados pero que no pueden indicar el origen de dicha transferencia pues no se produjeron directamente en sus cuentas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/47 10º.- Requerido a la entidad IBERCAJA BANCO, S.A. que identificase a la titular de la cuenta corriente donde se cargaron los gastos de la tarjeta de crédito, ésta certifica que, dicha cuenta permaneció abierta desde el 29/06/2000 hasta el 21/12/2001, a nombre de la reclamante. 11º.- De toda la documentación e información recopilada en este expediente se destacan las siguientes circunstancias: a).- La cuenta corriente abierta en IBERCAJA, donde se cargaban los recibos de la tarjeta de crédito estuvo abierta solamente desde el 26/06/2000 hasta el 21/12/2001, a nombre de la reclamante. b).- El 09/09/2002 (9 meses después de haberse cancelado la cuenta en IBERCAJA) se activó la tarjeta de crédito en la entidad bancaria SANTANDER CONSUMER, a nombre de la reclamante incluyendo en la domiciliación bancaria la cuenta abierta en su día en IBERCAJA, que ya estaba cerrada y por tanto fuera de uso. c).- La entidad bancaria SANTANDER CONSUMER, solamente justifican cargos en la tarjeta de crédito desde 09/09/2002 (fecha de activación de la tarjeta), hasta el 13/12/2004. No justifica cargos posteriores a dicha fecha, tampoco justifica cunado procedió a cancelar la tarjeta de crédito. d).- No obstante, lo anterior, SANTANDER CONSUMER afirma que la fecha del primer impago fue el 01/02/2006 y la fecha del último impago fue el 10/12/2006, pero no justifica los cargos efectuados en este periodo de tiempo. Estos impagos son producidos 5 años después de haber cancelado la cuenta corriente en IBERCAJA. e).- la entidad reclamada (PRA IBÉRICA) afirma que recibió dos transferencias de SANTANDER CONSUMES, que indicaba haberlas recibido a nombre de la reclamante, (con fecha 16/06/2008 por XXX € y con fecha 28/06/2011 por XXX €.) pero no puede justificar la procedencia inicial de ellas pues se produjeron desde la entidad SANTANDER CONSUMER. Por su parte, la entidad SANTANDER CONSUMER afirma que: “dada la antigüedad del expediente la restante documentación relativa a la reclamante no ha podido ser localizada, toda vez que las reclamaciones derivadas de la misma se encuentran, a la fecha, prescritas”, por lo que, no se puede asegurar que las trasferencias realizadas para pagar los cargos en la tarjeta de crédito fueran realizadas verdaderamente por la reclamante tal y como niega ésta. 12º De la documentación aportada en el periodo de alegaciones a la propuesta de resolución se desprende: a).- En el periodo de alegaciones a la propuesta de resolución, la entidad reclamada, (PRA IBERICA) presenta certificado emitido por la entidad SANTANDER CONSUMER FINANCE, en el cual se indica textualmente lo siguiente: “Que, con fecha 30 de abril de 2008 y ante el Notario de Madrid, D. B.B.B., bajo el número de su protocolo XXX, se cedió el citado derecho del crédito con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/47 el número de operación ***OPERACIÓN.1 a favor de Aktiv Kapital Portfolio Investment, A.G. (posteriormente AKTIV KAPITAL PORTFOLIO AS, OSLO, SUCURSAL EN ZUG y actualmente PRA IBERIA, S.L.U.); empresa que ostenta el derecho actual como acreedor legítimo de la deuda cedida. SEGUNDO.- Que, según información que consta en nuestros sistemas, en la operación de crédito número ***OPERACIÓN.1, cuyos datos personales constan actualmente anonimizados, figuran como últimos datos de domiciliación bancaria los siguientes: Banco ***BANCO.1 Agencia...: XXXX MOSTOLES ***DIRECCIÓN.1: ****XXXX. Dichos datos fueron proporcionados por el cliente vía telefónica para la activación de su tarjeta. Anteriormente, en el momento de la contratación, esto es, el 4/10/2000, la cuenta corriente proporcionada por el cliente fue la siguiente: ***7095 correspondiente a la entidad Ibercaja. TERCERO.- Que, consta un pago procedente del cliente del número de operación ***OPERACIÓN.1 de fecha 27/05/2008 por importe de XXX € que fue transferido a PRA IBERIA, S.L.U. Y para que así conste a los efectos oportunos, expido el presente certificado en Madrid a 11 de junio de 2.021”. También presenta un recibo de transferencia recibida en la entidad SANTANDER cuyos datos destacados son: Fecha: 28/06/2011; Ordenante: A.A.A.; Entidad Ordenante: CAJA ESPAÑA DE INVERSIONES,C.A;Concepto: NUM.REF. ***REFERENCIA.1 ;Importe: XXX euros; Beneficiario de la transferencia: B. Santander En este recibido de transferencia, existen varios datos importantes para tener en cuenta en este caso: a).- Las referencias indicadas en el apartado de “concepto” no concuerdan: por una parte, la referencia del crédito que se traspasó de SANTNADER FINANCE CONSUMER a la entidad AKTIV KAPITAL PORTFOLIO está identificada con el código “XXXXXXXX”, mientras que la referencia indicada en el concepto del traspaso que efectuó la reclamante al Banco de Santander es, “XXXXXXXX”, diferenciándose ambas referencias en el dígito “Q” y “K”. b).- Ni en el certificado presentado por la entidad reclamada, de la entidad SANTANDER FINACE CONSUMER, ni en el recibo de la transferencia hecha por la reclamante a la entidad Banco Santander, se indica nada que corrobore que la reclamante sea la deudora de los impagos efectuados en la tarjeta de crédito en el año 2006. c).- Según se indica en el recibo de transferencia, la reclamante lo efectuó a favor de la entidad B. Santander y no a la entidad SANTANDER CONSUMER FINANCE (entidad que emitió la tarjeta de crédito) ni a la entidad AKTIV KAPITAL PORTFOLIO. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/47 I- Competencia. Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II- Contestación a las alegaciones a la Propuesta de Resolución. La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, sobre las alegaciones presentadas por la entidad reclamada se debe indicar: A.- Punto segundo: “De la licitud del tratamiento. Hechos nuevos. De la cuenta corriente en la que se cargaron los pagos y de la prueba del pago efectuado por la denunciante”: Para poder dar cumplida respuesta a esta alegación, se debe recordar que, a lo largo del procedimiento ha quedado constatado que: 1º.- La entidad SANTANDER CONSUMER FINANCE, S.A. afirmó que, el 04/10/2000, la reclamante contrató, vía telefónica, una tarjeta de crédito comercializada juntamente con la entidad GAS NATURAL FENOSA, aportando, a requerimiento de esta Agencia, la hoja de contratación de dicha tarjeta, donde constan los datos personales de la reclamante y su dirección, así como los datos de domiciliación bancaria, en una cuenta corriente perteneciente a la entidad IBERCAJA, pero sin la firma de la reclamante que dé valor al documento. Tampoco se aporta ninguna otra documentación, como, por ejemplo, copia del DNI, o la grabación telefónica de dicha contratación, que pudiera corroborar que la contratación de la tarjeta de crédito fue realizada efectivamente por la reclamante. 2º.- Como justificación de lo anterior, la entidad SANTANDER CONSUMER FINANCE alegó a esta Agencia que: “(…) dada la antigüedad del expediente la restante documentación relativa a la reclamante no ha podido ser localizada (…)”, aunque si aporta un listado de los cargos realizados en la tarjeta de crédito, en el periodo comprendido entre el 09/09/2002 (fecha de activación de la tarjeta), hasta el 13/12/2004. 3º.- La entidad SANTANDER CONSUMER FINANCE afirma después que, se produjo la devolución de los recibos de la tarjeta de crédito pasados al cobro, de los meses de febrero a diciembre del año 2006, por un importe nominal total de XXX euros, pero no certifica ni envía impresión del listado de los cargos realizados en la tarjeta en dicho periodo, esto es, desde 01/02/2006 hasta el 31/12/2006. La entidad SANTANDER CONSUMER FINANCE no aportó ninguna constancia de que se efectuaran cargos en la tarjeta de crédito (listado con la fecha de cargo, el importe y el establecimiento comercial), del año 2006, donde afirma que se produjeron los impagados, tal y como acredita que sí se efectuaron cargos durante los años 2002 a 2004. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/47 4.- SANTANDER CONSUMER FINANCE vendió la deuda de la tarjeta, los 452,59 euros, el 30/04/08, a la sociedad AKITV KAPITAL INVESTMENT PORTFOLIO A.G., actualmente PRA IBËRICA SLU. 5.- En el periodo de alegaciones a la propuesta de resolución, la entidad reclamada, (PRA IBERICA), presenta un certificado emitido por la entidad SANTANDER CONSUMER FINANCE, cuyo texto se indica más arriba. De esta última documentación aportada por la entidad reclamada, se constatan datos para tener en cuenta para la resolución del procedimiento: a).- El certificado emitido por la entidad SANTANDER FINANCE CONSUMER, indica textualmente: “(…) la operación de crédito número ***OPERACIÓN.1, cuyos datos personales constan actualmente anonimizados (…)”, sin identificar, por tanto, con nombre, apellidos y DNI, a favor de quien estaba concedida la operación de crédito indicada. b).- Las referencias indicadas en el apartado de “concepto” no concuerdan: por una parte, la referencia del crédito que se traspasó de SANTNADER FINANCE CONSUMER a la entidad AKTIV KAPITAL PORTFOLIO está identificada con el código “XXXXXXXX”, mientras que la referencia indicada en el concepto del traspaso que efectuó la reclamante al Banco de Santander, que no al Santander Finance Consumer, es, “XXXXXXX”, diferenciándose ambas referencias en el dígito “Q” y “K”. c).- Ni en el certificado firmado por la entidad SANTANDER FINACE CONSUMER, ni en el recibo de la transferencia hecha por la reclamante a la entidad Banco Santander, se incluye ninguna referencia a que la reclamante sea la deudora de los impagos efectuados en la tarjeta de crédito en el año 2006. d).- Según se indica en el recibo de transferencia, la reclamante lo efectuó a favor de la entidad B. Santander y no a la entidad SANTANDER CONSUMER FINANCE (entidad que emitió la tarjeta de crédito) ni a la entidad AKTIV KAPITAL PORTFOLIO. Por tanto, no es posible, a partir de la documentación aportada por la entidad reclamada, identificar a la reclamante con la titularidad de la tarjeta de crédito durante el año 2006. B).- Punto Tercero: “De la licitud del tratamiento y de la actuación diligente de mi mandante. Del cumplimiento del criterio establecido por la AEPD. En este apartado cabe aclarar lo siguientes puntos: - Si es cierto que existe un “Certificado notarial que acredita la cesión del crédito suscrito con el cedente (Santander Consumer)”. - No es cierto que “un apoderado de Santander Consumer certifique que la operación telefónica se contrató de forma correcta, firmando así la aprobación de la concesión de la tarjeta” pues en el certificado emitido figura textualmente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/47 “(…) Dichos datos fueron proporcionados por el cliente vía telefónica para la activación de su tarjeta (…)”. - Solamente se acredita el uso de la tarjeta desde el año 2002 hasta el 13/12/2004, y no hasta el 08/02/2006 como alega la entidad reclamada, por lo que no es posible afirmar que existiera uso de la tarjeta durante el año 2006, como tal y como defiende la entidad reclamada. - La entidad no certifica ningún cargo en la tarjeta de los años 2005 y 2006, solamente certifica recibos pendientes de abono (números 41 a 51) por un importe nominal total de XXX euros de los meses de febrero a diciembre del año 2006. Más aún, si esto fuera cierto, que el último pago certificado de la tarjeta fue el 08/02/2006, como afirma la entidad reclamada, no es lógico que se reclamen después recibos devueltos desde dicha fecha hasta el 01/12/2006. - La entidad Santander Consumer afirma que existen recibos pendientes de pago, esto son, los recibos números 41 a 51 por un importe nominal total de 452,59 euros, siendo el primero de ellos de 1/02/2006 y el último de ellos el 01/12/2006, pero no aporta listado de los cargos efectuados en la tarjeta (fecha, importe y establecimiento comercial) tal y como hace en los cargos efectuados durante los años 2002 a 2004. Sobre el hecho de que la reclamante indique ahora que, “(…) Por tanto, entiende esta parte que la documentación presentada acredita que mi mandante ha cumplido diligentemente con la normativa de protección de datos (…)” , se debe discrepar de esta afirmación pues, teniendo presente que, incumbe a la entidad reclamada la carga de acreditar que ha recabado el consentimiento del titular de los datos objeto de tratamiento o que, al menos, ha adoptado las medidas necesarias que se le exige en el cumplimiento diligente, tanto en la recopilación de los datos personales como en el posterior tratamiento de los mismos, (considerando

(42)del RGPD), los hechos aquí traídos constatan una grave falta de diligencia debida de la entidad reclamada en el cumplimiento de sus obligaciones en materia de protección de datos, pues un cumplimiento diligente en la gestión del tratamiento de los datos personales sería demostrar que se cumplen los principios relativos al tratamiento de los datos recogidos en el artículo 5 del RGPD. Circunstancia que en este caso no se ha producido. Pues bien, en el caso que nos ocupa no se han aportado pruebas suficientes que corroboren que la reclamante fue quien realmente firmó el contrato de la tarjeta de crédito, ni por la entidad SANTANDER CONSUMER FINANCE, que alegó en su día que: “dada la antigüedad del expediente la restante documentación relativa a la reclamante no ha podido ser localizada, toda vez que las reclamaciones derivadas de la misma se encuentran, a la fecha, prescritas”, ni por la entidad PRA IBERIA, que alega que los únicos datos que tiene de la reclamante son los proporcionados por la entidad SANTANER CONSUMER FINANCE. Por otro lado, existe una clara falta de diligencia debida demostrada por la entidad reclamada, en el incumplimiento del principio de exactitud (artículo 5.1d.), pues no se han adoptado las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan, y esto es así, pues cuando la entidad recibió la carta de la reclamante el 26/06/19, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/47 solicitando el acceso a la información y poniendo en duda la veracidad de la deuda, la entidad, lejos de mostrar la diligencia debida, hizo caso omiso a dicha solicitud, siguió exigiendo el pago de la deuda y no fue hasta que recibió un requerimiento de esta Agencia, el 17/09/19, cuando, mediante burofax envió a la reclamante la información que ésta la estaba solicitando desde hacía 3 meses y 20 días. La entidad reclamada se defiende indicando que: “(…) llevan desde el 17/05/19 en contacto con la reclamante para solventar sus dudas (…)”. No obstante, no aporta prueba concluye de haber accedido a lo solicitado por la reclamante antes de recibir el requerimiento de esta Agencia. C).- Punto cuarto: Sobre la prescripción de la infracción No se puede tener en consideración estas alegaciones pues, tal y como se ha expuesto anteriormente, no ha quedado constatado que la transferencia realizada por la reclamante el 28/06/2011 a la entidad BANCO SANTNADER, fuera para el pago de la deuda en la tarjeta de crédito en cuestión, pues, en primer lugar, la tarjeta es contratada en otra entidad diferente, esto es, en la entidad SANTANDER CONSUMER FINANCE y no en el BANCO SANTANDER, unido a que las referencias apuntadas en los dos documentos no coinciden. Por una parte, la referencia del crédito que se traspasó de SANTNADER FINANCE CONSUMER a AKTIV KAPITAL PORTFOLIO figura el código “XXXXXXXX”, mientras que la referencia indicada en el concepto del traspaso que efectuó la reclamante al BANCO SANTANDER figura: “XXXXXXXX”, diferenciándose ambas referencias en el dígito “Q” y “K” Por otra parte, según se desprende de la información y documentación del expediente, la primera noticia que la reclamante tienen de la duda que la reclaman es el 12/06/19, cuando recibió una carta remitida por PRA IBERIA, S.L. donde la informan de la presunta deuda que mantenía con ellos como consecuencia de la adquisición de una cartera deudora procedente de SANTANDER CONSUMER FINANCE a través de AKTIV KAPITAL PORTFOLIO AS, presentando reclamación ante esta Agencia el 07/08/19, por lo que, en este caso, no cabe la prescripción de la infracción como alega la entidad reclamada. D).- Punto quinto, “Sobre la presunción de inocencia de la entidad reclamada”, Precisar en este punto que, la extensa jurisprudencia del Tribunal Supremo, en cuanto a este principio fundamental, volver a incidir a la entidad reclamada que dicho principio impone a la administración una actuación que, se podrían resumir en, en un primer lugar, en no dar curso a denuncias genéricas y evitar investigaciones que, por estar sustentadas en reclamaciones carentes de un mínimo soporte indiciario, pudieran llevar consigo actuaciones innecesarias. Por tanto, la eficacia de este principio se despliega cuando, existe falta absoluta de pruebas o cuando las obtenidas no son de cargo o no reúnen las debidas garantías. Esto es, en caso de duda, por insuficiencia probatoria, se favorecerá al imputado, (STC. 44/89, de 20 de febrero). La STS 1218/2004 de 2 noviembre hace la siguiente distinción entre Presunción de Inocencia y el “in dubio pro reo” (Fundamento de Derecho Primero): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/47 (…) 1º Una primera de carácter objetivo que podría calificarse de constatación de existencia o no de verdaderas pruebas, fase en la que a su vez habría que diferenciar dos operaciones distintas: a) precisar si en la realización de las diligencias probatorias se han adoptado y observado las garantías procesales básicas y b) precisar si, además, tales diligencias probatorias suponen o aportan objetivamente elementos incriminatorios o de cargo. 2º Una segunda fase de carácter predominante subjetiva, para la que habría que reservar “strictu sensu”, la denominación usual de “valoración del resultado o contenido integral de la prueba”, ponderando en conciencia los diversos elementos probatorios, en base a los cuales se forma libremente la conciencia del Tribunal. En la primera fase operaría la presunción de inocencia y en la segunda el principio “in dubio pro reo”. Así la presunción de inocencia se desenvuelve en el marco de la carga probatoria y supone (STC. 31.5.85) que no es el acusado a quien corresponde demostrar que es inocente frente a la acusación que contra él se formula, sino que es a quien la mantiene, a quien compete acreditar la imputación mediante las correspondientes pruebas, (…) que puedan objetivamente reputarse como pruebas de cargo:(...) Por su parte, el principio “in dubio pro reo”, presuponiendo la previa existencia de la presunción de inocencia, se desenvuelve en el campo de la estricta valoración de las pruebas, de la apreciación de la eficacia demostrativa por el Tribunal de instancia a quien compete su valoración para formar su convicción sobre la verdad de los hechos (art. 741 LECr.). En este mismo sentido, encontramos las SsTS 277/2013 de 13 de febrero, 936/2006 de 10 de octubre y 346/2009 de 2 de abril”. Esto no ocurre en el presente caso, pues de los hechos probados, indicados anteriormente, se desprende la existencia de pruebas concluyentes que prueban la existencia de infracciones al RGPD por parte de la reclamada y, por otro lado, de la documentación aportada por las partes implicadas en el proceso reúnen información suficiente que posibilita una apreciación probatoria de la infracción. E).- Punto sexto, “Sobre la quiebra del principio de tipicidad”. En este punto, la entidad reclamada, reconoce que “(…)mi mandante contesta tarde a la reclamación de la denunciante al entender POR ERROR que la misma ya se estaba aclarando a través de las conversaciones telefónicas (…)”, pero alega que “(…) pero no puede juzgarse que este error implica per se una conducta de IMPEDIMENTO o, OBSTACULIZACIÓN pues debe aclararse que no ha mediado ningún requerimiento de la Agencia ni la denunciante ha reiterado su solicitud, simplemente mi mandante percibe su error en el escri

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.