PS-00489-2017

1/30 Procedimiento Nº PS/00489/2017 RESOLUCIÓN: R/00693/2018 En el procedimiento sancionador PS/00489/2017, instruido por la Agencia Española de Protección de Datos a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/09/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que SIERRA CAPITAL MANAGEMENT 2012, S.L., y VODAFONE ESPAÑA, S.A.U., (en adelante, SIERRA CAPITAL, VODAFONE o las denunciadas) han tratado sus datos personales sin su consentimiento y la primera de ellas los ha incluido en ficheros de morosidad vinculados a una deuda cuya existencia no reconoce. Añade que en noviembre de 2015 supo que estaba incluido en ASNEF “por una supuesta deuda con Vodafone” y que esta entidad le informó telefónicamente de que la deuda vinculada a sus datos había sido vendida a SIERRA CAPITAL. Ejerció entonces ante SIERRA CAPITAL el derecho de acceso y solicitó una copia del contrato que supuestamente había celebrado con VODAFONE, del que derivaba la deuda, pero no llegó a conseguir la entrega de ese documento. Aporta copia de una carta de SIERRA CAPITAL dirigida a su nombre y domicilio, de fecha 21/04/2016, en la que le informa de que “En relación a la solicitud del contrato que ustedes firmaron con Vodafone, y donde figuran las condiciones suscritas con dicha compañía, lamentamos comunicarle que, debido a las características del acuerdo suscrito entre aquélla y nuestra compañía, no disponemos de la copia de dicho contrato”. SEGUNDO: A la vista de las actuaciones de investigación efectuadas por la Inspección de Datos de la AEPD y de los documentos aportados por el denunciante, se tiene conocimiento de las siguientes circunstancias relevantes a los efectos que nos ocupan: A. EQUIFAX IBÉRICA, S.L., en respuesta al requerimiento informativo de la Inspección de Datos aporta documentos de los que se desprende que: - Asociado al NIF del denunciante, G.G.G., consta una incidencia informada por SIERRA CAPITAL con fecha de alta 09/01/2013 y fecha de baja 23/03/2017, por un producto de telecomunicaciones y por un saldo deudor de 108,47 euros. También figuran vinculados a esta incidencia el nombre y dos apellidos del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/30 denunciante y un domicilio en ***DIRECCIÓN.1, que no coincide con el suyo. - El denunciante ejerció el 23/11/2015 el derecho de acceso ante EQUIFAX IBÉRICA, que le responde en la misma fecha y le comunica que sus datos figuran en ASNEF con fecha de alta 09/01/2013 informados por SIERRA CAPITAL. - El denunciante solicitó a EQUIFAX IBÉRICA la cancelación de sus datos de ASNEF en escrito de 28/06/2017. En esa fecha sus datos no constaban ya en el fichero de solvencia. B. Mediante diligencia de fecha 27/09/2017 se incorpora al expediente de investigación la copia del contrato de cesión de deuda celebrado entre VODAFONE y SIERRA CAPITAL, elevado a escritura pública el 28/09/2012. Documento que procede del expediente E/04318/2016 y del que transcribimos las siguientes estipulaciones: <<El vendedor, a los efectos de que el Comprador formalice una oferta vinculante e irrevocable por los créditos, ha puesto determinada documentación en información relativa a la cartera de créditos a disposición del Comprador, quien ha llevado a cabo un proceso de due diligence, y revisión en virtud del cual ha tenido la oportunidad de revisar la información de la Cartera de Créditos puesta a disposición por el Vendedor, habiendo efectuado el Comprador su propio análisis y valoración independiente con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos.>> (El subrayado es de la AEPD) El apartado 1.4 de la misma estipulación añade: <<(…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de due diligence, tal y como el Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa>>(El subrayado es de la AEPD) C. El denunciante ha aportado documentos de los que se infieren los siguientes extremos: - Ejerció el derecho de acceso ante EQUIFAX IBÉRICA el 23/11/2015, quien le respondió informándole de la existencia en esa fecha de una incidencia vinculada a su identificador ( G.G.G.) en calidad de titular de la deuda, comunicada por SIERRA CAPITAL, por un producto de telecomunicaciones y por un saldo impagado de 108,47 euros. Como fecha de alta del primer acreedor y fecha de visualización figura el 09/01/2013. También figuran en el fichero de solvencia vinculados a esta incidencia el nombre y dos apellidos del denunciante y un domicilio en la calle ***DIRECCIÓN.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/30 - El denunciante solicitó a SIERRA CAPITAL, mediante correo certificado con acuse de recibo de fecha 07/03/2016, copia de los documentos de los que derivaba la deuda. La denunciada acusa recibo de su solicitud el 10/03/2016 y le requiere como requisito para atender su derecho la entrega de una copia del DNI. *El denunciante remite copia del documento identificativo el 21/03/2016 y SIERRA CAPITAL le responde el 31/03/2016 que es la legítima titular de las deudas que mantiene con VODAFONE. Le informa de que las deudas proceden de dos operaciones de compra:

1. a)El expediente ***EXP.1, deuda adquirida mediante compraventa formalizada ante Notario el 28/09/2012 por un importe de 108,47 euros.
2. b)El expediente ***EXP.2, adquirida mediante compraventa formalizada ante Notario el 24/06/2013 por un importe de 42,02 euros. *SIERRA CAPITAL en escrito de esa misma fecha (31/03/2016) facilita al denunciante los siguientes documentos: Dos cartas que llevan el anagrama de VODAFONE y SIERRA CAPITAL, de fechas 2012 y 2013, respectivamente, en las que le informa de la cesión de la deuda de VODAFONE y le requiere el pago con la advertencia de que, de no atenderlo, podrá ser incluido en ficheros de solvencia. Copia de varias facturas emitidas por VODAFONE relacionadas con las dos cuentas cliente (***EXP.1 y ***EXP.2). Sin embargo no le remite la copia del contrato supuestamente celebrado con VODAFONE. Respecto a la cuenta ***EXP.1, dice que procede de un contrato celebrado entre el denunciante y VODAFONE el 18/10/2011, formalizándose la compraventa en escritura pública de 28/09/2012 y siendo la deuda de 108,47 euros. Respecto a la cuenta ***EXP.2, que procede de un contrato celebrado entre el denunciante y VODAFONE el 02/11/2011, formalizándose la compraventa con la operadora en escritura pública de 24/06/2013 y siendo el importe de la deuda de 42,02 euros. - El denunciante reitera a SIERRA CAPITAL el 12/04/2016 la petición de entrega de una “Copia del contrato físico o grabación de voz donde figure mi conformidad al contrato origen del impago o de la deuda” y “Copia de las cartas o intentos de cobro extrajudicial que ustedes suelen llevar a cabo, a fin de comprobar a qué dirección postal hacían ustedes dichos envíos”. - SIERRA CAPITAL responde al denunciante el 21/04/2016 en los siguientes términos: “En relación a la solicitud del contrato que ustedes firmaron con Vodafone, y donde figuran las condiciones suscritas con dicha compañía, lamentamos comunicarle que, debido a las características del acuerdo suscrito entre aquella y nuestra compañía, no disponemos de dicho documento”. (El subrayado es de la AEPD) - El denunciante interpone demanda de conciliación frente a SIERRA CAPITAL MANAGEMENT 2012, S.L. y VODAFONE ESPAÑA, S.A.U., en fecha 03/10/2016 en la que, entre otras pretensiones, requiere a las entidades para que aporten los contratos en los que figure expresamente su firma y que, en caso de que no existan o no puedan aportarlos, reconozcan que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/30 reclamación efectuada al denunciante es infundada, retiren sus datos de sus ficheros y cancelen las anotaciones practicadas en ficheros de morosidad. - El 14/03/2017 el Secretario del Juzgado de Primera Instancia número 1 de Benidorm, dicta Decreto en el que, tras constatar que ninguna de las entidades demandas compareció en la fecha fijada para el acto de conciliación, lo da por intentado de conformidad con el artículo 469 de la Ley de Enjuiciamiento Civil. TERCERO: Con fecha 31/10/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SIERRA CAPITAL MANAGEMENT 2012, S.L., por presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4, de la LOPD y en relación también con el artículo 38.1.
3. a)del RLOPD, tipificadas ambas como infracciones graves en los artículos 44.3.
4. b)y 44.3.c), respectivamente, de la citada Ley Orgánica, pudiendo ser sancionada cada una con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: Notificado el acuerdo de inicio, en fecha 16/11/2017, SIERRA CAPITAL formula alegaciones. Su pretensión se concreta en que se proceda al archivo de las actuaciones “por haber actuado en forma correcta en relación a los hechos que se le imputan, existiendo acreditación suficiente de haber cumplido con la obligación legal que le impone el artículo 38.1.c”. (El subrayado es de la AEPD) Subsidiariamente, pide que se le dé traslado de la copia del expediente. Los argumentos que SIERRA CAPITAL esgrime a fin de que se dicte resolución de archivo del presente expediente son, en síntesis, los siguientes: 1. Niega veracidad a lo manifestado por el denunciante y afirma que, en el caso de que hubiera existido una actuación fraudulenta de un tercero, no concurriría por su parte culpabilidad. Hace a ese respecto las consideraciones siguientes: - Que la AEPD no ha realizado ninguna labor inspectora ya que ha dado por veraces los hechos descritos por el denunciante. - Que el denunciante en ningún momento ha aportado documentos sobre el presunto fraude que afirma haber sufrido “por lo que esta parte no pudo tomarlo por cierto”. - Que una vez interpuesta demanda de conciliación por el denunciante y tras el estudio de la deuda SIERRA CAPITAL decidió no acudir al acto de conciliación y procedió a calificar la deuda como “incidente en contratación”, eliminándola del fichero de morosos por lo que no existe ninguna negligencia en su actuación. (Alegación segunda) 2. Afirma que “la sanción que se pretende imponer a esta parte, vulnera el principio de tipicidad sancionadora, ya que se impone una sanción a mi representada por unos hechos no constitutivos de infracción administrativa”. En ese sentido precisa que “(…) la correlación entre la conducta tipificada y el hecho enjuiciado ha de valorarse bajo el prisma de la razonabilidad, por lo que se vulnera el principio de tipicidad cuando la motivación contenida en el acto administrativo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/30 sancionador no responde a una argumentación lógica que permita subsumir la conducta del recurrente en el tipo aplicado”. A continuación indica que, en el presente caso, SIERRA CAPITAL no hizo sino subrogarse en la posición de acreedor que mantenía VODAFONE, por lo que el único posible responsable de la infracción descrita en el artículo 44.3.b, LOPD, debería ser VODAFONE. Y argumenta que “puesto que claramente el precepto definido en el meritado artículo [el artículo 44.3.b, LOPD] se refiere al momento inicial, cuando se produce la relación contractual a través de la cual VODAFONE necesita el consentimiento de sus usuarios para tratar sus datos, no pudiéndose interpretar la infracción de forma incierta y arbitraria (…) exigiendo a mi entidad el deber de conseguir el consentimiento de todos los morosos de los cuales mi entidad compra su deuda; exigencia ésta, la de obtener el consentimiento de los deudores, exceptuada por el artículo 19 del Real Decreto 1720/2007 (…)”(Alegación tercera) 3. Bajo la rúbrica “Sobre la culpabilidad necesaria para la comisión de la infracción”, la denunciada expone que está implícita en el principio de culpabilidad la idea de responsabilidad personal por una conducta concreta - la conducta antijurídica- lo que impide trasladar la responsabilidad sancionadora a una persona ajena a tal conducta. Seguidamente afirma que “ …se atribuye la comisión de una conducta antijurídica y constitutiva de una infracción administrativa a esta parte, que no interviene en ningún momento en la generación de los datos ni en conseguir el consentimiento de los usuarios de VODAFONE, siendo VODAFONE la que se ocupa de ello por lo que esta parte sería inimputable”.(El subrayado es de la AEPD) (Alegación cuarta) Añade además que la instructora se muestra de “ forma tácita” consciente de que es VODAFONE la responsable de adquirir el consentimiento en el uso de los datos, toda vez que la instructora indicó que no era posible hacer valer frente a ella responsabilidad administrativa por estar prescrita y, advierte, “pero ello no significa que se pueda imponer responsabilidad a esta entidad”. Seguidamente, después de transcribir varias citas jurisprudenciales, pasa a centrar los argumentos de su alegación cuarta (folios 210 a 232), directa o indirectamente, en el requisito descrito en el artículo 38.1.
5. c)del RLOPD, el requerimiento previo de pago, y en el cumplimiento de tal requisito por SIERRA CAPITAL. Ello, pese a que en el expediente sancionador que nos ocupa el incumplimiento del artículo 4.3 LOPD que se imputa a SIERRA CAPITAL lo es en relación con el 38.1.
6. a)del RLOPD -que alude a que la deuda informada al fichero de solvencia patrimonial debe de ser cierta, vencida y exigible, y no al invocado de contrario apartado
7. c)del precepto reglamentario. Así pues, siendo la reflexión que se hace en esta alegación cuarta absolutamente irrelevante a los efectos que nos ocupan, pues en ningún caso se ha responsabilizado a SIERRA CAPITAL de incumplir el artículo 38.1.
8. c)del RLOPD sino del incumplimiento del apartado
9. a)del precepto, se prescinde de su análisis. 4. La alegación quinta del escrito de alegaciones de SIERRA CAPITAL se refiere a la “Fundamentación sobre la imposición de la sanción”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/30 Sobre este particular la denunciada argumenta que no procede apreciar la concurrencia de las circunstancias de los apartados “a, c, d, g, y f,” del artículo 45.4 LOPD. QUINTO: En respuesta a la petición formulada por SIERRA CAPITAL en su escrito de alegaciones al acuerdo de inicio, en fecha 20/12/2017, mediante escrito firmado por el Subdirector de Inspección, se dio traslado a la denunciada de la documentación solicitada. La fecha de puesta a disposición a través de la sede electrónica de la copia del expediente fue el 20/12/2017 a las 09:27 horas y la fecha de aceptación el 20/12/2017 a las 09:45 horas. Así lo acredita el certificado emitido por el Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT. En fecha 04/02/2018 tiene entrada en la sede electrónica de la AEPD un escrito del letrado H.H.H.. con el que anexa un documento que lleva estampado un sello de SIERRA CAPITAL y la fecha 28/12/2017. A través de ese escrito SIERRA CAPITAL manifiesta que va a utilizar los servicios del letrado D. H.H.H.. para la defensa de sus intereses en el presente procedimiento y solicita de nuevo copia del expediente. En el escrito se designa como domicilio a efectos de notificaciones una dirección postal: calle E.E.E.. Conforme al artículo 14 de la LPACAP, “Derecho y obligación de relacionarse electrónicamente con las Administraciones Públicas”, apartado 2, en todo caso están obligados a relacionarse electrónicamente con las Administraciones Públicas “para la realización de cualquier trámite de un procedimiento administrativo” “
10. a)Las personas jurídicas” y “
11. d)Quienes representen a un interesado que esté obligado a relacionarse electrónicamente con la Administración”. El medio de notificación facilitado por el representante de SIERRA CAPITAL no se ajustó a las previsiones del artículo 14.2 LPACAP por lo que las notificaciones han continuado realizandose electrónicamente a la entidad denunciada. SEXTO: Con fecha 26/02/2018, de conformidad con lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se abre un período de prueba en el que se acuerda practicar las siguientes diligencias probatorias: 1. Dar por reproducida e incorporar al procedimiento a efectos de prueba la denuncia presentada por D. A.A.A. y la documentación anexa; los documentos recabados de terceras entidades por la Inspección de Datos en el curso de las actuaciones de investigación previa y la copia de la escritura pública del contrato suscrito entre Vodafone, SIERRA CAPITAL y Business Optimization Solution and Services, S.L., que fue traído al procedimiento sancionador que nos ocupa mediante Diligencia de fecha 27/09/2017. 2. Dar por reproducida e incorporar al expediente a efectos de prueba, las alegaciones de SIERRA CAPITAL al acuerdo de inicio del procedimiento sancionador. 3. Se solicita al Juzgado de Primera Instancia número 1 de Benidorm en fecha 26/02/2018 una copia íntegra de los documentos que integran el procedimiento de Conciliación ***PROC.1, concediéndole a tal fin un plazo de diez días hábiles (folio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/30 351) 4. Se solicita a SIERRA CAPITAL el 26/02/2018 que responda a las siguientes diligencias de prueba concediéndole a tal fin un plazo de diez días hábiles (folio 349): a. Que aporte los documentos que prueben que fue el denunciante quien prestó el consentimiento a la celebración del contrato del que nace la deuda que, supuestamente, ostentaba frente a él y por la cual procedió a comunicar sus datos personales a un fichero de solvencia patrimonial. b. Que manifieste si en la actualidad SIERRA CAPITAL continúa tratando los datos personales del denunciante. En caso contrario, deberá detallar si los datos personales del denunciante se han cancelado de los ficheros de la entidad y la fecha en su caso, debiendo acreditar documentalmente sus manifestaciones. A. El Juzgado de Primera Instancia número 1 de Benidorm evacuó el trámite de prueba mediante escrito que tuvo entrada en el Registro de la AEPD el 19/03/2018. Aporta, entre otros documentos, copia de los siguientes: - El Decreto del Letrado de la Admón. de J. del Juzgado de Primera Instancia número 1 de Benidorm, dictado el 09/02/2017, en el que acuerda admitir a trámite la demanda de conciliación formulada por el denunciante frente a SIERRA CAPITAL y VODAFONE y citar a las partes a una comparecencia a celebrar el 14/03/2017, con la advertencia de la obligación de comparecer y que, de no hacerlo ni manifestar justa causa que lo impida, se dará por intentado sin efecto el acto con imposición de costas. - Las Cédulas de citación al acto de la comparecencia hecha a SIERRA CAPITAL y a VODAFONE, de fecha 09/02/2017. La Diligencia de Constancia de 14/03/2017, dictada una vez recibidos los acuses de recibo que acreditan que ambas citaciones se hicieron en forma legal. - El Decreto del Letrado de la Admón. de J., de 14/03/2017, que acuerda, ante la acreditada incomparecencia de SIERRA CAPITAL y VODAFONE, dar por intentado sin efecto el acto de conciliación. - La Diligencia de Ordenación de 15/05/2017 declarando la firmeza de la resolución antes citada por el transcurso del plazo legalmente concedido para recurrir sin que se hubiera presentado recurso alguno. B. A fecha 02/04/2018 no se ha recibido en esta Agencia la respuesta de SIERRA CAPITAL a la petición de prueba formulada por la instructora del expediente. SÉPTIMO: La propuesta de resolución fue notificada electrónicamente a SIERRA CAPITAL, siendo la fecha de puesta a disposición y la fecha de aceptación el 10/04/2018. Así consta en el certificado del Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT. La propuesta de resolución se formuló en los siguientes términos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/30 <<PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a SIERRA CAPITAL MANAGEMENT 2012, S.L. con NIF B-86554482, con multa de 60.000 € (sesenta mil euros) por infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
12. b)de dicha norma SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a SIERRA CAPITAL MANAGEMENT 2012, S.L., con NIF B-86554482, con multa de 60.000 € (sesenta mil euros) por infracción del artículo 4.3, en relación con el 29.4, de la LOPD y en relación asimismo con el artículo 38.1.
13. a)del RLOPD, tipificada como infracción grave en el artículo 44.3.
14. c)de la citada Ley Orgánica.>> OCTAVO: A. El artículo 89.2 de la LPACAP establece para el caso de procedimientos de carácter sancionador que el órgano instructor formulará una propuesta de resolución que deberá ser notificada a los interesados y se deberá indicar la puesta de manifiesto del procedimiento y el plazo para formular alegaciones. Paralelamente, el artículo 73.1 de la LPACAP dispone que los trámites que deban ser cumplimentados por los interesados habrán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto. En el presente caso la propuesta de resolución concedió expresamente a SIERRA CAPITAL un plazo de diez días hábiles para formular alegaciones, plazo que se computa desde la recepción del escrito de propuesta. La propuesta de resolución del PS/489/2017 se notificó electrónicamente a SIERRA CAPITAL el 10/04/2018 y fue recibida por la entidad el mismo día. Así lo acredita el certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitad de la FNMT en el que consta que la AEPD notificó la propuesta a la denunciada siendo la fecha de puesta a disposición el 10/04/2018 a las 15:27 y la fecha de aceptación por la destinataria el 10/04/2018 a las 16:02. Así las cosas, en aplicación de las normas sobre cómputo de plazos de la LPACAP, el plazo concedido a SIERRA CAPITAL para formular alegaciones a la propuesta de resolución finalizó el día 24/04/2018. B. En fecha 25/04/2018, a las 18:41 horas, tienen entrada en la sede electrónica de la AEPD las alegaciones de SIERRA CAPITAL a la propuesta de resolución. La representación de la denunciada solicita que se dicte resolución en la que se declare la ausencia de responsabilidad de la entidad en los hechos que se le imputan y, subsidiariamente, se reduzca el importe de la sanción toda vez que no pudo ser consciente de las circunstancias que concurrían hasta que VODAFONE lo puso así de manifiesto y, entonces, de forma inmediata, canceló el apunte en el fichero de solvencia. En defensa de su pretensión invoca los argumentos siguientes: 1. Estima que la infracción que se le imputa “tiene su origen en una infracción del artículo 16.4 de la LOPD”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/30 Explica sobre ese particular que la única causa de la infracción de los derechos del denunciante que se imputa a SIERRA CAPITAL es la infracción por parte de VODAFONE de los principios de calidad de los datos y de transparencia pues debió de haber atendido directamente al interesado y haber trasladado a SIERRA CAPITAL las eventuales irregularidades sobre el tratamiento de sus datos que fundamentan la imputación que la AEPD hace a SIERRA CAPITAL por infracción de la LOPD. (Folio 5 del escrito de alegaciones a la propuesta de resolución) Argumenta a tal fin lo siguiente: - “El contrato de cesión de cartera de créditos se sustenta en una realidad: la previa existencia de una prestación de servicios entre una empresa y su cliente que, por alguna causa, genera una deuda insatisfecha frente a la empresa. La empresa, careciendo de medios adecuados para gestionar la deuda, la transmite a otra, …” Y continúa: “…la relación que origina la deuda es de una empresa, que conserva la documentación y toda la información relativa a su importe y circunstancias, mientras que la tercera empresa adquiere las deudas pendientes para gestionar su cobro confiando en la buena gestión llevada a cabo por la empresa primera”. En la misma línea, SIERRA CAPITAL afirma que “En el caso de que exista algún problema respecto al origen de la deuda o de la relación entre el deudor y el acreedor, la única entidad que puede resolverlo es la empresa originaria, puesto que ella es quien retiene en sus archivos la documentación relativa a la deuda y en sus sistemas toda la información sobre sus circunstancias” (El subrayado es de la AEPD) - Seguidamente dice: “…cuando el interesado acude a la empresa originaria, que es de donde procede la deuda, para pedir aclaraciones o exigiendo la cancelación del tratamiento, la empresa originaria, que mantiene la documentación y la información, tiene la obligación de atender dicha exigencia y, …en caso de que haya cedido el crédito y los datos relativos a la deuda, deberá conforme al artículo 16.4, notificar al cesionario acerca de la solicitud de cancelación ejercida por el interesado”. - Y concluye que “La empresa cesionaria se convierte, por ello, en un mero instrumento de la empresa originaria. Lleva a cabo el tratamiento de los datos relativos a las deudas de la cartera cedida siguiendo las instrucciones de la cedente …” (Folio 4 de las alegaciones a la propuesta). (El subrayado es de la AEPD) 2. Por lo que hace referencia a la infracción del artículo 6 LOPD tipificada en el artículo 44.3.
15. b)hace estas consideraciones: - C/ Jorge Juan, 6 28001 – Madrid Considera “imposible” la imputación que la propuesta de resolución hace a SIERRA CAPITAL del artículo 6 LOPD “tanto desde la perspectiva de la LOPD, como la Directiva 95/46, como del RGPD”. Explica que el artículo 6.1 de la LOPD norma “que invoca la propuesta de resolución exige el www.agpd.es sedeagpd.gob.es 10/30 - - - consentimiento del interesado como único escenario de legitimidad del tratamiento de los datos, salvo los supuestos excepcionales en que la ley establezca una excepción. Esta estructura provoca que, en caso de que existan dudas sobre la aplicabilidad de alguna de las excepciones legales, decaiga la excepción y se aplique directamente la regla general, tal y como hace la Agencia”. Pues bien, SIERRA CAPITAL considera que “este razonamiento infringe el artículo 7 de la Directiva 95/46/CE que no establece una regla general y excepciones”. Afirma que “Efectivamente, (…) si el tratamiento no resulta necesario para el contrato o se pone en duda la existencia del contrato mismo, el tratamiento de los datos carecerá de legitimidad. Pero en este caso, no es posible afirmar que la infracción cometida consista en la ausencia del fundamento del consentimiento”. En idéntico sentido explica que “no se han tratado datos de carácter personal sin recabar el consentimiento” sino que “se han tratado sin que resulte de aplicación el fundamento que establece el artículo 7.1.
16. b)de la Directiva….” Y añade que la misma regla se sigue por el artículo 6.
17. b)del RGPD. Concluye de lo anterior lo siguiente: “El artículo 6 del Reglamento y el 7 de la Directiva establecen que el tratamiento de datos personales es lícito cuando tiene por objeto la ejecución de un contrato con el interesado, y este fundamento es el que da cobertura al tratamiento de datos que ha llevado a cabo SIERRA”. “Si la Agencia considera que el contrato no existe, porque SIERRA no ha conseguido que VODAFONE le aporte una copia y, a pesar de que existen facturas que acreditan el consumo …y el origen de la deuda, …., la infracción que podrá atribuirse a SIERRA no es la falta de consentimiento del tratamiento, sino la ausencia de cobertura del fundamento del artículo 7.1.
18. b)de la Directiva” (El subrayado es de la AEPD) (Folios 5, 6 y 7 de las alegaciones a la propuesta) 3. La alegación tercera lleva por rúbrica “La ausencia de una copia del contrato no acredita la existencia de la prestación de los servicios que originaron la deuda”. - C/ Jorge Juan, 6 28001 – Madrid Sobre esta cuestión se hacen por la denunciada estas afirmaciones que le llevan a concluir la inexistencia de pruebas de la infracción tipificada en el artículo 44.
19. b)LOPD que se imputa a SIERRA CAPITAL. “La ausencia del documento contractual la equipara la Agencia a la ausencia de la relación de servicios que vinculaba a la parte y, por ello, a la falta de certeza de la deuda. Sin embargo, la Agencia no valora la prueba documental que consta en el expediente relativa a las liquidaciones de los consumos llevados a cabo por el denunciante mediante el uso de la línea telefónica contratada con VODAFONE”. (Folios 7 y 8 de las alegaciones a la propuesta) www.agpd.es sedeagpd.gob.es 11/30 HECHOS PROBADOS PRIMERO: A.A.A., con NIF G.G.G., (folios 82 y 83) denuncia a SIERRA CAPITAL por incluir sus datos personales en un fichero de solvencia patrimonial (ASNEF) asociados a una deuda de la que él niega ser titular. SEGUNDO: De la documentación que SIERRA CAPITAL facilitó al denunciante en respuesta al derecho de acceso ejercido ante ella, resulta que la entidad adquirió de VODAFONE una cartera de créditos mediante contrato de compraventa elevado a escritura pública notarial el 28/09/2012 y, formando parte de dicha cartera, existía un crédito que VODAFONE atribuía al denunciante, por importe de 108,47 euros, derivado del contrato supuestamente suscrito entre el denunciante y la operadora el 18/10/2011 –cuenta contrato ***EXP.1-.(Folio 26) TERCERO: SIERRA CAPITAL manifiesta en sus alegaciones al acuerdo de inicio del presente expediente sancionador que se subrogó en la posición de acreedor que mantenía VODAFONE y que fue esta operadora quien recabó todos los datos del denunciante (folio 208 último párrafo). Entre la documentación remitida por la denunciada anexa a esas alegaciones figuran los escritos de notificación de compra de deuda (folios 300 y 301) y las facturas facilitadas por VODAFONE (folios 294 a 298). En todos los documentos figuran los siguiente datos personales: A.A.A.. CUARTO: SIERRA CAPITAL comunicó al denunciante que no disponía del contrato que, supuestamente, éste había suscrito con VODAFONE y del que derivaba la deuda impagada que le atribuye, por la cual sus datos personales fueron incluidos en el fichero ASNEF. Obra en el expediente una carta de fecha de 21/04/2016 que SIERRA CAPITAL remite al denunciante, en respuesta al acceso ejercido por él a través de dos escritos de fechas 22/03/2016 y 13/04/2016 (folios 19 y 36), en la que manifiesta: “En relación a la solicitud del contrato (…) lamentamos comunicarle que, debido a las características del acuerdo suscrito entre aquella y nuestra compañía, no disponemos de la copia de dicho acuerdo” (folio 42) (El subrayado es de la AEPD) QUINTO: Con anterioridad al escrito aludido en el hecho probado cuarto, SIERRA CAPITAL, en carta de fecha 31/03/2016, respondiendo al derecho de acceso ejercido por el denunciante, explica que la deuda del expediente ***EXP.1 es de 28,47 euros, cantidad resultante de la deuda acreditada a través de los documentos que le adjunta, a la que se añaden las penalizaciones por impago aplicadas por VODAFONE, siendo la deuda total de 108,47 euros (folio 25) Con ese escrito remitió al denunciante copia de los documentos siguientes: - C/ Jorge Juan, 6 28001 – Madrid Carta de fecha 09/11/2012, en la que le informa de la compra a VODAFONE del “…saldo pendiente de pago derivado del contrato de telefonía suscrito por Vd. con dicha entidad con fecha 18/10/2011”, compraventa elevada a escritura pública notarial el 28/09/2012. La carta lleva los anagramas de SIERRA CAPITAL y de VODAFONE y la referencia “Cuenta Nº***EXP.1”. Como destinatario figura el nombre y apellidos del denunciante y una dirección postal en A.A.A.. (Folio 26) www.agpd.es sedeagpd.gob.es 12/30 - Cinco facturas emitidas por VODAFONE en las que el denunciante figura como titular (identificado por su NIF, nombre y dos apellidos) y en las que consta como dirección la de A.A.A.. De las cinco facturas, dos corresponden a la cuenta cliente VODAFONE ***EXP.1 y fueron emitidas el 01/12/2011 y el 01/01/2012, respectivamente. (Folios 28 a 35) SEXTO: En la fase de prueba se solicitó a SIERRA CAPITAL que aportara los documentos que probaran que fue el denunciante quien prestó el consentimiento a la celebración del contrato del que nace la deuda, contrato que supuestamente suscribió con VODAFONE, y por la cual procedió a comunicar sus datos personales a un fichero de solvencia patrimonial. SIERRA CAPITAL no respondió a las pruebas solicitadas. El escrito de petición de prueba fue recibido por SIERRA CAPITAL a través de notificación electrónica el 26/03/2018 –fecha de aceptación- (Folio 350 bis) SÉPTIMO: El denunciante interpuso demanda de conciliación frente a SIERRA CAPITAL MANAGEMENT 2012, S.L. y VODAFONE ESPAÑA, S.A.U., el 03/10/2016, en la que, entre otras pretensiones, requiere a las entidades para que aporten los contratos en los que figure expresamente su firma y que, en caso de que no existan o no puedan aportarlos, reconozcan que la reclamación efectuada al denunciante es infundada, retiren sus datos de sus ficheros y cancelen las anotaciones practicadas en ficheros de morosidad (folios 51 y 52, 361 y 362) OCTAVO: La demanda de conciliación se admitió a trámite el 09/02/2017 fijando para el acto de la comparecencia el día 14/03/2017 (folios 416 a 419). SIERRA CAPITAL no compareció (folio 430), por lo que el acto de conciliación se dio por intentado sin efecto el mediante Decreto de 14/03/2017 del Letrado de la Admón. de J. NOVENO: La denunciada manifiesta en sus alegaciones al acuerdo de inicio que “decidió no acudir y procedió a calificar la deuda como “incidente en contratación” eliminándola del fichero de morosos” (folio 207) DÉCIMO: El contrato de venta de créditos celebrado entre SIERRA CAPITAL y VODAFONE, elevado a escritura pública el 28/09/2012, dispone en su estipulación Primera: A. “(…) 1.3. El vendedor, a los efectos de que el Comprador formalice una oferta vinculante e irrevocable por los créditos, ha puesto determinada documentación en información relativa a la cartera de créditos a disposición del Comprador, quien ha llevado a cabo un proceso de due diligence, y revisión en virtud del cual ha tenido la oportunidad de revisar la información de la Cartera de Créditos puesta a disposición por el Vendedor, habiendo efectuado el Comprador su propio análisis y valoración independiente con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos. B. 1.4. (…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de due diligence, tal y como el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/30 Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”(El subrayado es de la AEPD)(Folio 71) UNDÉCIMO: De la documentación remitida por EQUIFAX IBÉRICA, S.L., procedente tanto del fichero FOTOCLI de operaciones canceladas como del fichero de Notificaciones de Inclusión, ambos auxiliares de ASNEF, y de la respuesta de EQUIFAX al acceso solicitado por el denunciante, quedan acreditados los siguientes extremos: a. Los datos personales del denunciante –NIF, nombre y dos apellidosasociados a la dirección ***DIRECCIÓN.1., fueron incluidos en el fichero de solvencia ASNEF, por un producto de telecomunicaciones y por un saldo deudor de 108,47 euros, por la entidad SIERRA CAPITAL. b. La incidencia se dio de alta en ASNEF el 09/01/2013. La baja del fichero tuvo lugar el 23/03/2017. c. El denunciante ejerció ante EQUIFAX IBÉRICA, S.L., los derechos de acceso y cancelación en las fechas siguientes y con estos resultados: El 23/11/2015 solicitó el acceso a los datos que constan registrados en ASNEF, respondiendo EQUIFAX en la misma fecha. El 28/05/2017 ejerció el derecho de cancelación de sus datos del fichero ASNEF. Le responden en la misma fecha que no existen datos inscritos asociados a su NIF. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
20. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) II La LOPD se refiere en su artículo 6 al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/30 su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y en su apartado 3 dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en su apartado 4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD dedica el Capítulo I del Título IV, a los “Ficheros de información sobre solvencia patrimonial y crédito” y en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos” dice: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
21. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) El artículo 38 del RLOPD, apartado 3, añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD) A su vez, el artículo 43 del RLOPD (“Responsabilidad”) dispone: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/30 “1.El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) El artículo 44.3.
22. b)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. El artículo 44.3.
23. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 € a 300.000 €, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. III Se atribuye a SIERRA CAPITAL en el presente expediente la comisión de dos infracciones tipificadas en la LOPD que versan sobre los principios del consentimiento y la calidad de los datos. La documentación que obra en el expediente evidencia que SIERRA CAPITAL incorporó a sus ficheros y trató los datos personales del denunciante - DNI, nombre y dos apellidos- asociados a una deuda cedida por VODAFONE que el afectado niega haber contratado. Igualmente, ha quedado acreditado que los datos personales del denunciante fueron informados al fichero ASNEF por SIERRA CAPITAL, por una deuda impagada de 108,47 euros, con fecha de alta 09/01/2013 y se dieron de baja del fichero de solvencia el 23/03/2017. A tenor de lo manifestado por SIERRA CAPITAL en el escrito que remitió al denunciante en respuesta al acceso solicitado se concluye que formando parte de la cartera de deuda comprada a VODAFONE (contrato elevado a escritura pública el 28/09/2012) una deuda asociada a los datos del denunciante (nombre, dos apellidos y NIF) con referencia ***EXP.1, por importe de 108,47. Ha quedado plenamente acreditado en el expediente que el denunciante solicitó a SIERRA CAPITAL el 10/03/2016, por correo certificado con acuse de recibo, que le facilitara una copia del contrato que supuestamente había suscrito con VODAFONE y del que derivaba la deuda comunicada a ASNEF que no reconocía como suya. Reiteró esta solicitud el 12/04/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/30 En fecha 21/04/2016 SIERRA CAPITAL respondió al denunciante que lamentablemente, debido a las características del acuerdo suscrito con VODAFONE, no disponía de la copia del contrato atribuido al denunciante del que derivaba la deuda reclamada. Interpuesta por el denunciante en fecha 03/10/2016, en el Juzgado de Primera Instancia de Benidorm, demanda de conciliación frente a VODAFONE y SIERRA CAPITAL en la que solicita que aporten los contratos en los que expresamente figurase su firma, ninguna de las entidades acudió al acto que fue fijado para el 14/03/2017. Así consta en el Decreto del Letrado de la Admón. de J. del Juzgado de Primera Instancia número 1 de Benidorm, de esa misma fecha, recaído en el procedimiento de conciliación ***PROC.1, en el que se da por intentado sin efecto. La baja del fichero ASNEF de los datos personales del denunciante se produjo nueve días después de la fecha señalada para el acto de conciliación al que la entidad denunciada no acudió, esto es, el 23/03/2017. IV La conducta infractora atribuida a SIERRA CAPITAL se concreta, por una parte, en el tratamiento de los datos personales del denunciante sin legitimación para ello. La entidad denunciada, responsable del tratamiento de los datos personales del denunciante, no ha sido capaz de acreditar que el denunciante fue parte en el negocio jurídico del que deriva la deuda que le atribuye, lo que ha de ponerse en relación con el hecho de que SIERRA CAPITAL tuvo pleno conocimiento antes de adquirir la deuda atribuida al denunciante de que la mercantil cedente de los créditos –VODAFONE- no disponía de todos los contratos celebrados por los deudores cedidos; contratos que a tenor del artículo 6.2 LOPD, en principio, amparaban el tratamiento de datos. Por otra parte, la conducta infractora se concreta en la inclusión de los datos del denunciante en un fichero de solvencia patrimonial por una deuda que, respecto a él, no era cierta, ni vencida ni exigible. A propósito del principio del consentimiento han de hacerse estas consideraciones: A. Los datos personales del denunciante fueron comunicados por VODAFONE a SIERRA CAPITAL asociados a una supuesta deuda que integraba la cartera de créditos “no endosables ni al portador” que esta última adquirió de la primera en virtud de un contrato de compraventa elevado a escritura pública el 28/09/2012. Es evidente que los créditos que VODAFONE vende a SIERRA CAPITAL están atribuidos en muchos casos a personas físicas y, por tanto, están vinculados a datos de carácter personal. La legitimación de VODAFONE para el tratamiento de los datos de sus clientes se amparaba en el artículo 6.2 LOPD, conforme al cual no es preciso el consentimiento del afectado para el tratamiento de sus datos “cuando se refieran a las partes de un contrato o precontrato de una relación jurídica negocial, laboral o administrativa y sean necesario para su mantenimiento o cumplimiento”. Así pues, era la existencia de un contrato entre VODAFONE y cada uno de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/30 deudores lo que legitimaba a esa entidad para tratar los datos personales de aquéllos. Es más, esa entidad debía de estar en condiciones de acreditar la existencia del contrato con cada uno de los deudores como medio de prueba de que el tratamiento de datos efectuado era ajustado a Derecho. En el presente caso, lo relevante a fin de concretar cuál es la conducta infractora atribuida a SIERRA CAPITAL es que cuando ésta celebra con VODAFONE el contrato de compraventa de deuda –que es la causa de la cesión de los créditoses perfectamente conocedora y consciente, pues había sido informada de ello con claridad, de que la cedente no disponía de los documentos contractuales –cualquiera que fuese el soporte en el que se encontraran- respecto a “todos” los créditos objeto de la venta. Recordemos que el tipo sancionador del artículo 44.3.
24. b)LOPD consiste en “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Pues bien, el representante de la denunciada circunscribe en sus alegaciones la conducta típica del precepto transcrito al momento en el que se celebra el contrato del que deriva la deuda pues ese, dice, es el momento en el que se recogen los datos personales, de tal forma que habría que concluir que en un supuesto de hecho como el que aquí se contempla SIERRA CAPITAL nunca podría incurrir en una infracción del artículo 6 LOPD. El representante de SIERRA CAPITAL argumenta en tal sentido que el tipo infractor mencionado se “refiere al momento inicial, cuando se produce la relación contractual a través de la cual VODAFONE necesita el consentimiento de sus usuarios para tratar sus datos”. Y continúa afirmando que no se puede interpretar “la infracción de forma incierta y arbitraria (…) exigiendo a mi entidad el deber de conseguir el consentimiento de todos los morosos de los cuales mi entidad compra su deuda” (Alegación tercera del escrito de alegaciones al acuerdo de inicio del expediente sancionador). Como se ha indicado anteriormente, en el presenta caso, cuando SIERRA CAPITAL suscribió el contrato de compra de deuda con VODAFONE era consciente de que no estaría en condiciones de cumplir la obligación impuesta por el artículo 6 de la LOPD pues no podría amparar el tratamiento de datos realizado en el artículo 6.2 LOPD ni, por consiguiente, probar la legitimidad del tratamiento de los datos personales del deudor cedido. Bajo esas premisas SIERRA CAPITAL decide suscribir la operación de compra de deuda y pasa a ser la responsable del tratamiento de los datos personales de quienes figuraban en los ficheros de VODAFONE en calidad de deudores. Si bien a priori pudiera parecer que SIERRA CAPITAL era una adquirente de buena fe y estaba legitimada para tratar los datos de los deudores, lo cierto es que la denunciada era conocedora de que la cedente no podía garantizar la legitimidad del tratamiento de todos los datos personales objeto de la cesión. Resulta por ello irrelevante analizar si la comunicación de los datos personales del denunciante a SIERRA CAPITAL efectuada por VODAFONE se encuadra en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/30 artículo 11.2.
25. a)de la LOPD, en relación con los artículos 347 y 348 del Código de Comercio, o si por el contrario, como alega la denunciada, estamos ante un supuesto contemplado en el artículo 19 del RLOPD. La razón es evidente, pues la aplicación de esas normas no puede en ningún caso dispensar a quien es responsable del tratamiento –en este caso, SIERRA CAPITAL- de cumplir la obligación que el artículo 6 LOPD impone a quien trata datos de terceros. Nos remitimos a tal fin a las estipulaciones del contrato de venta de créditos entre SIERRA CAPITAL y VODAFONE, en particular a la estipulación primera apartados 1.3 y 1.4 (Hecho probado décimo) a tenor de las cuales se advierte que el vendedor (VODAFONE) ha puesto a disposición del comprador (SIERRA CAPITAL) determinada documentación e información relativa a la cartera de créditos; que ha llevado a cabo un proceso de “due diligence” y que ha tenido la oportunidad de revisar la información de la cartera de créditos habiendo hecho el comprador su análisis y valoración “con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos”. “(…) 1.3. El vendedor, a los efectos de que el Comprador formalice una oferta vinculante e irrevocable por los créditos, ha puesto determinada documentación en información relativa a la cartera de créditos a disposición del Comprador, quien ha llevado a cabo un proceso de due diligence, y revisión en virtud del cual ha tenido la oportunidad de revisar la información de la Cartera de Créditos puesta a disposición por el Vendedor, habiendo efectuado el Comprador su propio análisis y valoración independiente con respecto a sus valores, condiciones y proyecciones de pago futuros de los créditos. “1.4. (…) el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de due diligence, tal y como el Comprador ha podido constatar. En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”(El subrayado es de la AEPD)(Folio 71) B. Llegados a este punto parece conveniente responder al alegato de SIERRA CAPITAL -alegación cuarta del escrito de alegaciones al acuerdo de inicio del expediente- según el cual la AEPD estaría vulnerando el principio de personalidad de la sanción al exigir responsabilidad a SIERRA CAPITAL por una conducta –el tratamiento de datos sin consentimiento- de la que exclusivamente es responsable VODAFONE. Tal es así que SIERRA CAPITAL llega a afirmar en su escrito de alegaciones que la instructora del expediente se muestra de “forma tácita” consciente de que es VODAFONE la única responsable de recabar el consentimiento para el tratamiento de los datos, habida cuenta de que afirmó en el acuerdo de inicio que no era posible exigir responsabilidad a VODAFONE por haber prescrito la infracción. Se ha de indicar sobre este particular que la conducta sobre la que versa la denuncia sería, presuntamente, constitutiva de una infracción de la LOPD tanto por parte de VODAFONE –responsabilidad que en la fecha de entrada de la denuncia en esta Agencia ya estaba prescrita- como por parte de SIERRA CAPITAL. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/30 La responsabilidad exigible a SIERRA CAPITAL nace de su propia conducta y de su propia culpabilidad, de modo que es independiente de la culpabilidad en la que VODAFONE hubiera incurrido. SIERRA CAPITAL trató los datos personales del deudor cedido y actual denunciante a sabiendas de que desconocía si respecto a él el tratamiento era legítimo, toda vez que conocía perfectamente que no podía respecto a todos los deudores cedidos cumplir la obligación impuesta por el artículo 6 LOPD pues sabía que VODAFONE no tenía en su poder la documentación que acreditara la legitimidad del tratamiento por lo que no pudo hacerle entrega de ella. Cuando el denunciante solicita a SIERRA CAPITAL la copia del contrato supuestamente suscrito por él con VODAFONE, le responde que “En relación a la solicitud del contrato (…) lamentamos comunicarle que, debido a las características del acuerdo suscrito entre aquella y nuestra compañía, no disponemos de la copia de dicho acuerdo” (El subrayado es de la AEPD) Las facturas emitidas por VODAFONE a nombre del denunciante –documento que VODAFONE sí entregó a SIERRA CAPITAL y ésta facilitó al denunciante en respuesta al derecho de acceso, en las que constan sus datos personales (NIF nombre y dos apellidos, si bien la dirección postal no coincide con la suya) únicamente demuestran que existió consumo por un servicio prestado por VODAFONE a alguna persona y que se generó una deuda, pero en ningún caso pueden demostrar por sí solas que el afectado fuera beneficiario del suministro ni que hubiera otorgado el consentimiento al contrato del que deriva la deuda que le atribuye. C. La acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de culpa o negligencia. El elemento subjetivo de la culpabilidad es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. El Tribunal Constitucional en su Sentencia 76/1999 afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su presencia para imponerlas. A la necesidad de que esté presente el elemento subjetivo de la infracción, ya sea en forma de culpa –en cualquiera de sus manifestaciones, culpa leve, grave o gravísima- o de dolo se refiere el artículo 28.1 de la Ley 40/2015, de Régimen Jurídico de las Administraciones Públicas señala que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” La doctrina de la Audiencia Nacional sobre esta materia es exigir a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la SAN de 17/10/2007 (Rec. 63/2006), la Sala de lo contencioso-administrativo precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/30 desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. SIERRA CAPITAL no ha actuado en el tratamiento de los datos personales del denunciante con la diligencia que el cumplimiento de las obligaciones impuestas por la normativa de protección de datos exige. Por el contrario, se aprecia una grave negligencia de la entidad pues, a la luz de las estipulaciones del contrato antes mencionadas, supo que, respecto a un conjunto de deudas compradas a VODAFONE, la ausencia de documentos que acreditasen la titularidad de la deuda hacían que en esos casos el tratamiento de los datos personales efectuado no pudiera ampararse en el artículo 6.2 de la LOPD. Se añade a lo anterior que pese a las reclamaciones que el denunciante dirigió a SIERRA CAPITAL la entidad continuó tratando los datos hasta, al menos, el 23/03/2017, que es la fecha de baja de la incidencia informada a ASNEF. Recordemos que la baja del denunciante del fichero de solvencia estuvo precedida de una demanda de conciliación interpuesta por el denunciante y tramitada por el Juzgado de Primera Instancia número 1 de Benidorm. En la demanda de conciliación el denunciante solicita que se aporte documento firmado por él y en caso de no aportarlo que se admita por la demandada que no es el titular de la deuda y proceda a dar de baja sus datos de los ficheros de solvencia. SIERRA CAPITAL fue citada al acto de conciliación a celebrar en fecha 14/03/2017 al que no compareció. Días más tarde, el 23/03/2017 es cuando procede a cancelar la anotación en ASNEF. La AEPD no puede mantener en la actualidad, como sostuvo en ocasiones anteriores, en supuestos análogos al que ahora se examina, que SIERRA CAPITAL haya sido una adquirente de buena fe y concluir de ello que se encuentra exenta de responsabilidad administrativa sancionadora por ausencia del elemento subjetivo de la culpabilidad -entendido como omisión de la diligencia que es procedente observar en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos-, imprescindible para que nazca responsabilidad sancionadora. Ese fue el criterio que vino admitiéndose por esta Agencia ante el argumento aducido por las entidades cesionarias de los créditos de que no tenían ninguna duda de su legitimidad; de que quienes figuraban como deudores eran sus verdaderos titulares y de que bajo esas premisas habían sido adquiridos de la entidad cedente. Sin embargo, como se explica más arriba, un análisis detallado del contrato suscrito entre VODAFONE y SIERRA CAPITAL, del que trae causa la adquisición por esta última del crédito vinculado al denunciante (contrato elevado a escritura pública notarial el 28/09/2012), pone de manifiesto que existen estipulaciones contractuales que evidencian que SIERRA CAPITAL era consciente de que la cedente no podía facilitarle, respecto a todos los créditos objeto de la venta, los documentos pertinentes para acreditar la legitimidad del tratamiento de los datos personales efectuado. En resumen, la conducta de SIERRA CAPITAL, materializada en el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/30 de los datos personales del denunciante –NIF, nombre y dos apellidos- sin legitimación para ello, pues era plenamente consciente al adquirir de VODAFONE la deuda atribuida al denunciante que respecto a algunos de los créditos objeto de la venta la entidad cedente carecía de los documentos que legitimaran el tratamiento, por lo que al subrogarse en su posición jurídica y convertirse en responsable del tratamiento de los datos personales no estaría en condiciones de demostrar que el tratamiento era ajustado a Derecho, es contraria al artículo 6 de la LOPD y subsumible en el tipo infractor del artículo 44.3.
26. b)de la citada Ley Orgánica. V Por lo que respecta a la presunta infracción del artículo 4.3 de la LOPD que se imputa a SIERRA CAPITAL han hacerse estas reflexiones: A. Las normas jurídicas reproducidas en el Fundamento de Derecho II ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige, entre otros requisitos, que la deuda sea cierta, vencida, exigible y que haya resultado impagada (ex artículo 38.1.
27. a)Conviene recordar que el artículo 38.3 del RLOPD obliga al acreedor que informa datos de terceros a un fichero de solvencia a “conservar” a disposición de la Agencia Española de Protección de Datos “documentación suficiente” que acredite el cumplimiento de los requisitos establecidos en este artículo. Por su parte, el artículo 43 RLOPD señala que el acreedor, antes de tomar la decisión de comunicar los datos personales de su deudor a un fichero se solvencia patrimonial “debe asegurarse” de que concurren todos los requisitos exigidos por los artículos 38 y 39 RLOPD. Esto implica que SIERRA CAPITAL estaba obligada a verificar, antes de decidir comunicar a ASNEF la deuda atribuida al denunciante, que dicha deuda era cierta, vencida y exigible y, por tanto, que obraban en su poder los instrumentos o documentos que le permitieran dar cumplimiento a dicha obligación. Al igual que acontece en relación a la vulneración del principio del consentimiento, la circunstancia de que SIERRA CAPITAL hubiera adquirido la deuda de VODAFONE –se hubiera subrogado en su misma posición jurídica- no puede ser un motivo de dispensa para el cumplimiento de las obligaciones que la normativa de protección de datos le impone de forma inexcusable. Esto es, sólo podría comunicar a ficheros de impagados deudas que sean ciertas y exactas respecto al titular; debía tener en su poder los medios que le permitieran acreditar esos extremos y conservarlos a disposición de la AEPD. Por si alguna duda pudiera suscitarse el artículo 43.2 del RLOPD establece que “El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Cabe preguntarse cuáles son los documentos que SIERRA CAPITAL, que mantuvo incluido en el fichero ASNEF los datos del denunciante desde el 09/01/2013 hasta el 23/3/2017, más de cuatro años, ha “conservado” para acreditar ante esta Agencia que la deuda que informó a ASNEF era cierta, vencida y exigible, obviamente desde la perspectiva de la persona a la que se atribuye. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/30 La respuesta es que SIERRA CAPITAL no ha aportado ningún documento. Es más, nunca los ha tenido en su poder. La denunciada sabía desde antes de prestar el consentimiento a la operación de compra de una cartera de créditos de la probable carencia de documentación que acreditara la legitimación para tratar los datos de algunos de los deudores, datos que fueron cedidos por VODAFONE en el marco de la operación contractual suscrita con ella. Únicamente un documento como el que la Agencia solicitó en pruebas a SIERRA CAPITAL -que acreditara que el denunciante prestó el consentimiento al contrato del que deriva la deuda- podía evidenciar que la deuda que informó a ASNEF asociada al denunciante era respecto a él, una deuda cierta o, al menos, permitiría a SIERRA CAPITAL acreditar que obró diligentemente y que antes de incluir a un tercero en un fichero de solvencia verificó que disponía entre la documentación recibida de VODAFONE de aquella que, en relación a ese deudor en particular, amparaba el tratamiento efectuado. A la luz del artículo 38.3 del RLOPD resultaba fundamental que SIERRA CAPITAL hubiera constatado, antes de decidir la comunicación de los datos personales del afectado a los ficheros de solvencia, que disponía del referido documento y como dice el precepto lo hubiera conservado a disposición de la Agencia, pues solo así la entidad informante podría demostrar que la comunicación de los datos del denunciante al fichero resultaba ajustada a Derecho. El contrato de venta de créditos celebrado entre VODAFONE y SIERRA CAPITAL pone de manifiesto que la entrega de los documentos contractuales es fundamental. El primer inciso del apartado 1.4 de la estipulación Primera dice: “…el Vendedor se compromete a poner a disposición del Comprador ante el Notario interviniente antes del día 31 de diciembre de 2012 en virtud de acta de depósito separada, los contratos y facturas individuales escaneados que han sido encontradas durante el proceso de due diligence, tal y como el comprador ha podido constatar”. (El subrayado es de la AEPD) B. La denunciada actuó con una gravísima falta de diligencia -que fácilmente podría calificarse de dolo eventual- cuando pese a carecer de la documentación precisa y a ser conocedora de que había adquirido créditos de VODAFONE respecto a los que no podía demostrar la titularidad, tomó la decisión de incluir al denunciante en ASNEF. Hemos de destacar, por otra parte, que la diligencia que es procedente desplegar para dar cumplimiento a las obligaciones que la LOPD y norma reglamentaria impone a los responsables de ficheros y tratamiento –diligencia que como dice el Tribunal Supremo se ha de graduar en atención a la actividad profesional o no de quien trata los datos- aparece particularmente reforzada en este caso por el RLOPD. El artículo 43.1 del RLOPD insiste en que quien informa a un fichero de solvencia datos de terceros debe de “asegurarse” antes de tomar esa decisión de que concurren los requisitos de los artículos 38 y 39 de la norma reglamentaria que, recordemos, abarcan la certeza de la deuda y la obligación de tener y conservar los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/30 documentos que hagan prueba de que el acreedor informante cumple las condiciones a las que se supedita la legalidad de tales comunicaciones. En definitiva, SIERRA CAPITAL es responsable de una infracción del principio de calidad del dato, consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, y en relación también con el artículo 38.1.a, del RLOPD, infracción tipificada en el artículo 44.3.
28. c)de la citada norma, que dispone: “Son infracciones graves, (..)
29. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. VI Como se recoge en el Antecedente octavo de esta resolución SIERRA CAPITAL presentó en la sede electrónica de la AEPD en fecha 25/04/2018 sus alegaciones a la propuesta de resolución, un día después de que hubiera finalizado el plazo otorgado para evacuar el trámite de audiencia. En respuesta a las alegaciones formuladas –que se detallan en el Antecedente Octavo, apartado B, del este escritoprocede señalar lo siguiente: a. La representación de la entidad esgrime como primer argumento que la única causa de la infracción de los derechos del denunciante que se imputa a SIERRA CAPITAL tiene su origen en que VODAFONE infringió el artículo 16.4 LOPD. El alegato que la entidad hace a este respecto es de todo punto inadmisible. Las afirmaciones que SIERRA CAPITAL formula en su defensa (nos remitimos al Antecedente Octavo de la resolución, en el que se reflejan detenidamente) no resultan aplicables al supuesto que nos ocupa. La deuda que SIERRA CAPITAL atribuye al denunciante y por la que lo mantuvo incluido en el fichero ASNEF durante más de cuatro años fue cedida por VODAFONE en virtud de una compraventa de la que formaban parte no sólo este crédito sino otros muchos (una cartera de créditos). Compraventa que se elevó a escritura pública el 28/09/2012 (Hecho probado segundo). La entidad hace manifestaciones tales como que en el caso de que exista algún problema respecto al origen de la deuda o de la relación entre el deudor y el acreedor, la única entidad que puede resolverlo es VODAFONE, la empresa originaria, “ puesto que ella es quien retiene en sus archivos la documentación relativa a la deuda y en sus sistemas toda la información sobre sus circunstancias”. Afirma también que en caso de que VODAFONE hubiera cedido el crédito y los datos relativos a la deuda (como efectivamente ocurrió), “deberá conforme al artículo 16.4, notificar al cesionario acerca de la solicitud de cancelación ejercida por el interesado”. Incluso llega a manifestar que “La empresa cesionaria se convierte, por ello, en un mero instrumento de la empresa originaria. Lleva a cabo el tratamiento de los datos relativos a las deudas de la cartera cedida siguiendo las instrucciones de la cedente …”(El subrayado es de la AEPD) Parece necesario recordar que SIERRA CAPITAL, a raíz de la operación de compra de deuda a VODAFONE -y como la propia denunciada reconoció en sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/30 alegaciones al acuerdo de inicio del expediente sancionador- se subrogó en la posición jurídica del acreedor originario, esto es, de VODAFONE. Así pues, SIERRA CAPITAL es desde entonces la responsable del fichero y del tratamiento de los datos personales del afectado. No son de recibo por ello afirmaciones tales como que es un “mero instrumento de la empresa originaria” (de VODAFONE). Por el contrario, es SIERRA CAPITAL quien decide sobre el tratamiento de los datos personales asociados a las deudas compradas. La exposición del representante de la entidad sobre la posición jurídica en la que quiere situar a la adquirente de la deuda (su cliente) encaja más bien en la figura de un encargado de tratamiento, posición que en ningún caso tiene SIERRA CAPITAL. No resulta admisible tampoco, por no ser procedente su aplicación por idénticas razones, la disposición del artículo 16.4 LOPD que SIERRA CAPITAL estima que VODAFONE vulneró, lo que, dice, abocó a su representada a vulnerar los derechos del denunciante. Este precepto dice: “Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a que se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá proceder a la cancelación” (el subrayado es de la AEPD) Condición, la de responsable del tratamiento, que desde octubre de 2012 ostenta exclusivamente SIERRA CAPITAL y no VODAFONE. A mayor abundamiento es necesario traer a colación la estipulación primera punto 4 del contrato celebrado entre VODAFONE y SIERRA CAPITAL (Hecho probado décimo) que establece que “el Vendedor se compromete a poner a disposición del Comprador …, los contratos y facturas individuales escaneadas que han sido encontradas durante el proceso de due diligence, … En dicho proceso se ha puesto de manifiesto que el Vendedor no dispone de la totalidad de los contratos ni de las facturas de la deuda cedida, sin que pueda derivarse ningún tipo de responsabilidad para el Vendedor por esta causa”. (El subrayado es de la AEPD). La estipulación sexta, apartado 1.2. (iii) del referido contrato, en su inciso último, señala que el vendedor (VODAFONE) en ningún caso está obligada a “exhibir o entregar ningún contrato original de los clientes deudores”. Por último se ha de recordar también, por cuanto contribuye a desvirtuar el alegato de la denunciada, que el denunciante se dirigió a SIERRA CAPITAL en marzo y abril de 2016 (esto es, un año y un mes antes de que cancelara sus datos de ASNEF) a través de sendos escritos en los que le solicitaba el acceso a su datos personales. b. Se alega de contrario que resulta “imposible” la imputación que la propuesta de resolución hace a SIERRA CAPITAL del artículo 6 LOPD “tanto desde la perspectiva de la LOPD, como la Directiva 95/46, como del RGPD”. Manifiesta que el artículo 6.1 de la LOPD norma “que invoca la propuesta de resolución exige el consentimiento del interesado como único escenario de legitimidad del tratamiento de los datos, salvo los supuestos excepcionales en que la ley establezca una excepción. Esta estructura provoca que, en caso de que existan dudas sobre la aplicabilidad de alguna de las excepciones legales, decaiga la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/30 excepción y se aplique directamente la regla general, tal y como hace la Agencia”. Pues bien, la denunciada afirma que “ este razonamiento infringe el artículo 7 de la Directiva 95/46/CE que no establece una regla general y excepciones” pues explica que “(…) si el tratamiento no resulta necesario para el contrato o se pone en duda la existencia del contrato mismo, el tratamiento de los datos carecerá de legitimidad. Pero en este caso, no es posible afirmar que la infracción cometida consista en la ausencia del fundamento del consentimiento”. Explica en idéntico sentido que “no se han tratado datos de carácter personal sin recabar el consentimiento” sino que “se han tratado sin que resulte de aplicación el fundamento que establece el artículo 7.1.
30. b)de la Directiva….” Basta con relación a los argumentos expuestos hacer estas breves consideraciones. La primera de ellas que, como se expuso en la propuesta de resolución era la existencia de un contrato entre el denunciante y VODAFONE lo que legitimaba el tratamiento de sus datos personales por la cedente y que al comunicar los datos del denunciante a SIERRA CAPITAL, en virtud de una operación de venta de deuda, la cesionaria debía de estar en condiciones de acreditar la legitimidad para el tratamiento efectuado. El contrato opera en el ámbito de aplicación de la LOPD dispensando de la exigencia de recabar el consentimiento al tratamiento por cuanto tal consentimiento está implícito en el prestado con ocasión de la contratación. En segundo término señalar que la disposición del artículo 6 LOPD y el tipo sancionador del artículo 44.3.
31. b)LOPD han venido aplicándose desde la entrada en vigor de la Ley Orgánica 15/1999. En tercer lugar, la Directiva 95/46/CE en su artículo 7 dice que “Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si:
32. a)el interesado ha dado su consentimiento de forma inequívoca, o
33. b)es necesario para la ejecución de un contrato en el que el interesado sea parte o para la aplicación de las medidas precontractuales adoptadas a petición del interesado”. Por tanto, en contra de lo que se sostiene por la entidad denunciada sí es posible afirmar, al amparo del artículo 7.
34. a)de la Directiva, “que la infracción cometida consista en la ausencia del fundamento del consentimiento”. c . La denunciada argumenta en defensa de su pretensión que la AEPD equipara la falta de la copia del contrato a la falta de certeza de la deuda. Y destaca que la Agencia “no valora la prueba documental que consta en el expediente relativa a las liquidaciones de los consumos llevados a cabo por el denunciante mediante el uso de la línea telefónica contratada con VODAFONE”. La lectura del escrito de propuesta y las reflexiones que en ella se hacen dejan muy claro cuál es la función que desempeña el documento contractual solicitado. Lo relevante a los efectos de la normativa de protección de datos es acreditar que el denunciante es efectivamente el titular de la deuda que VODAFONE vende a SIERRA CAPITAL y por la que ésta informa sus datos personales al fichero ASNEF. Y puesto que se ha reconocido de contrario que la deuda atribuida al denunciante derivaba de un contrato supuestamente celebrado por él con VODAFONE el medio que nos permitiría acreditar que el tratamiento de los datos personales del afectado es legítimo es un documento, cualquiera que sea el soporte en el que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/30 encuentre, del que resulte que fue el denunciante quien otorgó el consentimiento a la contratación. SIERRA CAPITAL no ha aportado tal documento ni ningún otro del que se desprenda algo más que la existencia de un consumo, esto es, que efectivamente VODAFONE prestó un servicio y se generó por ello una deuda. En ningún caso que sea el denunciante el titular de la deuda. A ese respecto, y sin ánimo de ser exhaustivo, recordemos que es abundantísima la doctrina sentada por la Audiencia Nacional en sus resoluciones en las que deja claro que la carga de la prueba de la existencia de una obligación –en este caso atribuida al denunciante- incumbe a quien reclama su cumplimiento. En definitiva, ninguno de los argumentos esgrimidos por SIERRA CAPITAL en sus alegaciones, tal y como se ha indicado, pueden prosperar. VII El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
35. a)El carácter continuado de la infracción.
36. b)El volumen de los tratamientos efectuados.
37. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
38. d)El volumen de negocio o actividad del infractor.
39. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
40. f)El grado de intencionalidad.
41. g)La reincidencia por comisión de infracciones de la misma naturaleza.
42. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
43. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
44. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/30
45. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
46. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
47. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
48. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
49. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La sanción a imponer a SIERRA CAPITAL ha de graduarse de acuerdo con las disposiciones del artículo 45.4 LOPD al no haberse apreciado ninguna de las atenuantes cualificadas descritas en el artículo 45.5 de la Ley Orgánica. Se ratifica así el criterio seguido en su día en el acuerdo de inicio del expediente sancionador y en la propuesta de resolución que apreciaron respecto a las dos infracciones de la LOPD que se atribuyen a SIERRA CAPITAL la concurrencia, en calidad de agravantes, de las circunstancias descritas en los apartados a),
50. c)
51. h)y
52. g)del artículo 45.4 LOPD. Conviene añadir que en ningún caso se ha admitido la presencia de las agravantes de los apartados
53. d)y
54. f)del artículo 45.4 LOPD, como erróneamente afirmó el representante de SIERRA CAPITAL en sus alegaciones al acuerdo de inicio. Así pues, en la graduación de las sanciones que corresponde imponer a SIERRA CAPITAL se aprecian como agravantes las siguientes circunstancias del artículo 45.4 LOPD: -“El carácter continuado de la infracción”, apartado a): Es de aplicación en aquellos casos en los que la infracción cometida tiene carácter permanente, naturaleza que la Audiencia Nacional otorga a las infracciones de los artículos 6.1 y 4.3 LOPD. En el asunto que nos ocupa tiene una especial relevancia por cuanto denota una mayor culpabilidad y antijuridicidad de la conducta de SIERRA CAPITAL. Los datos del denunciante fueron tratados por la denunciada sin legitimación para ello – dado que no ha podido acreditar que el denunciante fuera efectivamente el titular de la deuda- desde la fecha de compra, el 28/09/2012, y al menos hasta su baja del fichero ASNEF. Además, permanecieron incluidos en ASNEF, informados por SIERRA CAPITAL e incumpliendo el artículo 38.1.
55. a)RLOPD, habida cuenta de que la deuda vinculada a los datos del denunciante no era cierta respecto a su persona, durante más de cuatro años: del 09/01/2013 al 23/03/2017. Llama la atención que la entidad continuara tratando los datos del denunciante y los mantuviera incluidos en ficheros de solvencia después de las reclamaciones presentadas por el denunciante, en particular después de que SIERRA CAPITAL hubiera reconocido en una carta enviada al denunciante, fechada el 21/04/2016, que no disponía de la copia del contrato que supuestamente aquél había celebrado con VODAFONE y del que procedía la deuda que le atribuía. No será hasta nueve meses después de la fecha de esa carta cuando SIERRA CAPITAL cancele la anotación en ASNEF de los datos del denunciante. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de SIERRA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/30 CAPITAL lleva implícita el tratamiento de datos de carácter personal, lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006) exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. -“La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas” (apartado h). Circunstancia que tiene también especial significación en el supuesto analizado. Por una parte, la Audiencia Nacional ha declarado a propósito de la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, (por todas SAN de 16/02/2002, Rec. 1144/1999, Fundamento de Derecho Cuarto) que: “...la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Por otra, añadimos a las consideraciones precedentes que, tal y como consta acreditado en el expediente, desde que el denunciante conoce en noviembre de 2015 que sus datos están incluidos en el fichero ASNEF realizó varias gestiones ante SIERRA CAPITAL con el propósito de que hiciera las rectificaciones oportunas. Al no lograrlo interpuso demanda de conciliación frente a ella y la cedente del crédito. Pues bien, al hilo de lo anterior recordemos que la SAN recaída en el recurso contencioso administrativo 1775/2015 advierte que son perjuicios todas las actuaciones que la persona afectada se ha visto obligada a desplegar para poner fin a las consecuencias de la actuación infractora que denuncia. De aplicación exclusiva a la infracción del artículo 4.3 LOPD se aprecia la concurrencia como agravante de “La reincidencia por comisión de infracciones de la misma naturaleza”, (apartado g). Este precepto ha de integrarse con la norma del artículo 29.3.
56. d)de la Ley 40/2015, de Régimen Jurídico del Sector Público, que al referirse a la aplicación del principio de proporcionalidad advierte que se deberán tomar en consideración, entre otros criterios, “La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza cuando así haya sido declarado por resolución firme en vía administrativa”. Pueden citarse a modo de ejemplo dos resoluciones firmes en vía administrativa dictadas el 22/06/2017 en las que la AEPD sancionó a SIERRA CAPITAL por vulneración del principio de calidad de los datos, artículo 44.3.
57. c)LOPD: Las recaídas en los expedientes sancionadores PS/633/2016 y PS/557/2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/30 SIERRA CAPITAL rechaza la aplicación de la agravante de reincidencia y alega que la AEPD funda su aplicación en las resoluciones sancionadoras recaídas en los procedimientos PS/633/2016 y PS/557/2016, resoluciones que afirma no son firmes debido a que interpuso sendos recursos en vía contenciosa que están pendientes de resolución. Sin embargo, el artículo 29.3 de la Ley 40/2015 únicamente exige que la resolución sancionadora que se tome en consideración para integrar la agravante de reincidencia sea firme en vía administrativa, condición que sí cumplen las recaídas en esos expedientes administrativos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L., con NIF B86554482, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
58. b)de la LOPD, una multa de 60.000€ (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la Ley Orgánica 15/1999. SEGUNDO: IMPONER a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L., con NIF B86554482, por una infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación asimismo con el artículo 38.1.
59. a)del Reglamento de desarrollo de la LOPD, aprobado por el R.D. 1720/2007, tipificada como infracción grave en el artículo 44.3.
60. c)de la LOPD, una multa de 60.000€ (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 de la Ley Orgánica 15/1999. TERCERO:: ACORDAR el ARCHIVO de las actuaciones practicadas en relación con VODAFONE ESPAÑA, S.A.U., con NIF A80907397 habida cuenta de que la infracción de la que podría ser responsable habría prescrito varios años atrás. CUARTO: NOTIFICAR la presente resolución a SIERRA CAPITAL MANAGEMENT 2012, S.L. QUINTO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U. SEXTO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
61. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/30 encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es