← España

PS-00492-2023

1/21  Expediente N.º: EXP202312400 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 22/07/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GEO ALTERNATIVA, S.L. con NIF B87382644 (en adelante, la parte reclamada). En el escrito recibido se informa de lo siguiente: La parte reclamante manifiesta que la compañía reclamada le requiere el pago de una deuda asociada al impago de factura de suministro de gas del mes de 07/2021, así como la inclusión de sus datos en ASNEF en relación con esta deuda, pese a haber llegado a un acuerdo ante la Sección de Consumo del Servicio Territorial de Industria, Comercio y Economía. Aporta: Informe de ASNEF sobre la inclusión de sus datos personales a instancias de la reclamada, de fecha 30/05/2023. Resolución de la Sección de Consumo del Servicio Territorial de Industria, Comercio y Economía, de fecha 17/02/22 en la que se acuerda el archivo de la denuncia por haber alcanzado un acuerdo entre las partes. Requerimientos de pago de deuda por parte de la reclamada, en fechas posteriores a la citada resolución. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/09/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 11/10/2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. El reclamado mediante escrito de 24/10/2023 manifiesta lo siguiente: que el derecho de acceso está regulado para que el usuario conozca el tratamiento de sus datos; que lo que se solicitó fueron grabaciones genéricas de conversación mantenida con gestor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 comercial sobre una factura. Asimismo, señala que no se ha recibido la resolución de la Sección de Consumo del Servicio Territorial de Industria, Comercio y Economía. Aporta: Certificado enviado a Asnef. Listado de comunicaciones enviadas al cliente. Contestación a reclamación de la reclamante ante la Sección de Consumo del Servicio Territorial de Industria, Comercio y Economía de Industria, Comercio y Economía. Justificante abono realizado. TERCERO: Con fecha 22/10/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 11/01/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD. QUINTO: Tras la notificación del acuerdo de inicio el 19/01/2024, en fecha 02/02/2024 el reclamado presentó escrito de alegaciones manifestando, en síntesis: que la deuda que originó la inclusión de la reclamante en el fichero es una deuda cierta, vencida y exigible, sobre la que se habían realizado múltiples reclamaciones y que fue posteriormente abonada por la reclamante en noviembre de 2023; que la controversia surge de la interpretación en la subrogación por el reclamado en los derechos de Cepsa y la presunta eliminación de los descuentos que se venían aplicando; que si bien la deuda se incluye en el fichero el 30/05/2023 la misma fue eliminada del mismo el 30/09/2023, con anterioridad al abono de la deuda por la reclamante ante la previsión de que la misma seria abonada; que, de la misma forma que la deuda cumplía con los requisitos del artículo 20 de la LOPDGDD, fue requerida con carácter previo a su inclusión; que se proceda al archivo y, en caso contrario, subsidiariamente a la minoración de la sanción propuesta en grado mínimo. SEXTO: Con fecha 13/02/2024, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los servicios de inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. SEPTIMO: Con fecha 16/04/2024 fue emitida Propuesta de Resolución en el sentido de que se sancionara a la parte reclamada por la Directora de la Agencia Española de Protección de Datos, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  2. a)del RGPD, con una multa de 20.000 € (veinte mil euros). La mencionada propuesta fue notificada el 25/04/2024 de acuerdo con el justificante que consta en el expediente. Con fecha 10/05/2024 la parte reclamada presentó escrito de alegaciones señalando como alegación previa una serie de consideraciones acerca de la deuda debida y la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 actuación de la parte reclamante con respecto a la misma. En ese sentido, hace referencia a la STS de 27/02/2024 (Sentencia núm. 280/2024) referente al derecho al honor. Asegura, además, que la deuda existía y era efectiva como consecuencia del impago de una factura; que la deuda fue comunicada a la parte reclamante; y que el tratamiento fue lícito; Asimismo, se solicita el archivo o, subsidiariamente, la minoración de la sanción. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 22/07/2023 tiene entrada en la AEPD escrito de la parte reclamante en el que manifiesta que la reclamada le ha requerido el pago de una deuda vinculada con el impago de una factura relativa al suministro de gas del mes de 07/2021, incluyendo sus datos en ficheros de morosos, pese a haber llegado a un acuerdo ante la Sección de Consumo del Servicio Territorial de Industria, Comercio y Economía de la Junta de Castilla y León. SEGUNDO. Consta aportado documento de ASNEF/EQUIFAX, de fecha 30/05/2023, en el que se señala que “Le comunicamos que con fecha 29/05/2023 la entidad Geo Alternativa ha solicitado el alta en el fichero ASNEF los siguientes datos personales relativos al impago del contrato que mantiene con dicha entidad: PRODUCTO IMPORTE IMPAGADO CALIDAD ELECTRICIDAD GAS (...) TITULAR (…)” TERCERO. Consta aportado Contrato de Suministro de Gas Natural, Energía Eléctrica y Mantenimiento de Instalaciones de Gas nº ***CONTRATO.1, suscrito por la parte reclamante y el comercializador Cepsa Comercial Petróleo SAU el 05/06/2019. CUARTO. Consta aportado correo electrónico de 07/01/2021 de CEPSA (empresa con la que mantenía contrato de suministrado de electricidad) remitido a la parte reclamante en el que le informa del acuerdo alcanzado con la parte reclamada: “(…) Nos ponemos en contacto contigo para informarte que Cepsa Comercial Petróleo, S.A.U. (“Cepsa”) próximamente dejará de prestar sus servicios de Cepsa Hogar y Cepsa Luz y Gas Negocios. Por este motivo Cepsa ha alcanzado un acuerdo con la compañía comercializadora GEO Alternativa, S.L., que opera con la marca comercial “PODO” (www.mipodo.com) para la cesión de los clientes que tienen contratada la electricidad, gas natural y servicios de mantenimiento asociados con nosotros. Dicha cesión conllevará la consecuente subrogación contractual en tu contrato de suministro de electricidad y/o gas natural (y prestación de servicios de mantenimiento asociado) a favor de PODO. En este sentido, la subrogación por parte de PODO garantiza el mantenimiento de las Condiciones Generales y Particulares (“CGyP”) actuales de tu contrato, hasta la fecha de finalización de la anualidad vigente al tiempo de efectuarse la cesión efectiva del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 contrato y, en todo caso, durante un plazo mínimo de seis meses desde la fecha en que se produzca la cesión efectiva del contrato Con PODO se mantendrán las siguientes condiciones sin que tengas que hacer nada: Precios y descuentos de tus tarifas contratadas. Descuentos promocionales en carburante (en forma de puntos-descuento “Porque TU Vuelves”) en Estaciones de Servicio Cepsa (válido para clientes Cepsa Hogar). Un servicio de 12 meses de urgencias y reparaciones de electrodomésticos y de la instalación eléctrica de tu hogar incluido en el precio que tienes actualmente. Y por supuesto, el cambio se realizará sin ninguna interrupción del suministro y sin ningún coste adicional para ti. (…)” QUINTO. A pesar de lo manifestado en el correo anterior, la parte reclamada remitió a la parte reclamante correo electrónico de 03/03/2021, señalando lo siguiente: “(…) Cepsa te aseguró que al pasarte a Podo se mantendrían tus condiciones de Precio y de Producto hasta el final de la vigencia de tu contrato, pero nosotros queremos darte una bienvenida aún más especial. En Podo seguirás con las mismas condiciones que tenías de Precio y Producto hasta el 31 de enero de 2022 Queremos que el cambio para ti sea lo más sencillo posible, y ¿qué es más sencillo que todo siga igual? Igual no, ¡MEJOR!. Podo te ofrece 12 MESES gratis de un servicio de mantenimiento de urgencias de averías eléctricas y electrodomésticos. Valorado en 68 €. (…)” En esa misma comunicación, en la última página y al final de la misma figura lo siguiente: “(…) Por otra parte, te informamos que los descuentos aplicados en el precio del gas hasta el momento dejaran de estar vigentes a partir de la siguiente factura. Dispones de 15 días para la resolución del contrato si no estás de acuerdo con este cambio. Si no recibimos notificación por su parte en ese periodo de tiempo, entenderemos aceptadas estas nuevas condiciones”. SEXTO. Figuran correos cruzados entre la reclamante y reclamado de fechas 06/07/2021, 07/07/2021 y 08/07/2021 en los que la parte reclamante muestra su disconformidad con la modificación unilateral de las condiciones pactadas en el contrato original. SEPTIMO. Consta aportada escrito de la reclamante de 01/10/2021 dirigido a la Sección de Consumo, Servicio Territorial de Salamanca, de la Junta de Castilla y León en el que se solicita: 1) El ingreso por parte de GEO ALTERNATIVA, S.L. (PODO) del importe de la factura ***FACTURA.1, de (...) euros, más el interés legal incrementado en dos puntos aplicado a dicha cuantía, devengados y que se devenguen desde el 15 de agosto de 2021 hasta la fecha de su completo pago C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 2) Declare improcedente la modificación unilateral del precio aplicado en la factura ***FACTURA.2, por los motivos expresados en el cuerpo del escrito, obligando a GEO ALTERNATIVA, S.L. a aplicar el descuento pactado del 12%sobre la cuota fija y reducir el importe de dicha factura a la cantidad de (...)euros. 3) Imponga a GEO ALTERNATIVA, S.L. cualesquiera sanciones económicas que pudieran proceder por el citado incumplimiento contractual. A la luz de las alegaciones aportadas el citado organismo dictó resolución, de fecha 17/02/22, en la que se acordaba el archivo de la denuncia por haber alcanzado un acuerdo entre las partes. OCTAVO. Constan aportados requerimientos de deuda remitidos a la parte reclamante por la parte reclamada de fechas 27/09/2021, 21/01/2022 (pendiente el litigio ante Consumo) y 30/08/2022 y la empresa Collecta Servicios de Gestión de Cobros, S.L. de fechas 31/03/2022, 17/08/2022 y 28/12/2022 requiriendo el pago de la factura nº ***FACTURA.2, por un importe de (...) euros. NOVENO. Constan aportadas facturas de gas: - Nº ***FACTURA.3, periodo consumo 01/06/2021 a 30/06/2021 y emitida por la parte reclamada el 03/07/2021 por un importe de (...) euros - Nº ***FACTURA.2, periodo consumo 01/07/2021 a 31/07/2021 y emitida por la parte reclamada el 02/08/2021 por un importe de (...) euros. - Nº ***FACTURA.1, periodo consumo 25/02/2021 a 10/08/2021 y emitida por la parte reclamada el 13/08/2021 por un importe de -(...) euros, DÉCIMO. Consta correo electrónico, de fecha 05/09/2021, remitido por la parte reclamada a la parte reclamante en el que se señala lo siguiente: “(…) Te informamos que, tras realizar las comprobaciones oportunas, al abono que sale a tu favor, está ya generando ***FACTURA.1 de fecha 13/08/2021 y un importe de: -(...) euros, el motivo por el cual no te llega al banco es poque la factura ***FACTURA.2 de fecha 02/08/2021 y un importe de: (...) euros, esta impagada o parcial impagada hasta que no se genere el total de la deuda no podemos enviar el abono a tu banco. (…)” UNDÉCIMO. Figura aportado justificante Transferencia emitida por la entidad financiera ING, fecha 03/09/2021, ordenante la parte reclamante beneficiario parte reclamada, entidad destinataria Banco Santander, cuenta destino ES00 0000 0000 0000 0000 0000, por un importe de (...) euros, como información adicional figura ***TELÉFONO.1 Factura ***FACTURA.2 (el número de móvil de la reclamante y el número de factura). Asimismo, consta aportado justificante Transferencia emitida por la entidad financiera ING, fecha 03/11/2023, Ordenante la reclamante Beneficiario el reclamado, entidad destinataria Banco Santander, cuenta destino ES00 0000 0000 0000 0000 0000, por un importe de (...) euros, como información adicional figura el DNI de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones a la Propuesta de Resolución En primer lugar, la parte reclamada manifiesta como alegación previa una serie de consideraciones en relación con la deuda: que era debida; que la cliente era consciente de que mantenía una deuda con la parte reclamada; que la deuda encuentra su origen en la devolución de una factura; que la parte reclamante procedió al abono íntegro de la factura debida en el año 2023; que la parte reclamada eliminó del fichero de solvencia patrimonial a la parte reclamante con anterioridad a que esta hubiera abonado la deuda; que no ha habido ningún perjuicio patrimonial; y manifiesta, por último, su disconformidad con la sanción puesto que, insiste, la inclusión en el fichero fue correcta dado que la parte reclamante era deudora, aun cuando no se hubiera reflejado correctamente la cuantía de esa deuda. Es cierto que la parte reclamante mantenía una deuda con la parte reclamada aunque no por el importe que había accedido al fichero y pretendido por ésta, pues no hay que olvidar que la usuaria había efectuado una transferencia por importe de (...) euros; la Audiencia Nacional ha señalado en numerosas sentencias que aquél que utiliza un medio tan extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. Resulta evidente que la parte reclamada no observó los requisitos formales y materiales establecidos de conformidad con la normativa en materia de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 Por tanto, se exige que los datos sean ciertos, veraces, infringiéndose el requisito de la certeza en el momento en que se facilitan datos erróneos a un fichero que presta información a terceros sobre el incumplimiento de obligaciones dinerarias. En cuanto a la referencia a la STS de 27/02/2024 (Sentencia núm. 280/2024), se señala que la argumentación en ella vertida no puede extrapolarse a este caso, en tanto que la sentencia citada hace referencia a cómo el mero hecho de inclusión en un fichero de solvencia de una persona no morosa afecta a su derecho al honor regulado por la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Por el contrario, en el presente caso, en el ámbito de las competencias de esta Agencia, se busca determinar si la actuación de la parte reclamada fue conforme a la normativa en materia de protección de datos de carácter personal. El Tribunal Supremo en su STS 398/2024, 19 de marzo de 2024, entre otras, establece una clara diferencia entre el derecho al honor y derecho a la protección de datos personales. - En cuanto a la ausencia de perjuicio patrimonial provocados a la reclamante, tal manifestación no puede ser admitida; la reclamante tuvo que proceder a ingresar no ya aquel importe que pretendía apropiado, sino que en fecha 03/11/2023 procedió a transferir por segunda vez el importe de la factura para evitar nuevos requerimientos intimidatorios y la inclusión en el fichero, como queda acreditado en el hecho probado undécimo con el justificante de la Transferencia emitida por la entidad financiera ING, Ordenante, la reclamante y Beneficiario, el reclamado, entidad destinataria Banco Santander, cuenta destino ES00 0000 0000 0000 0000 0000, por un importe de (...) euros. - Por lo que se refiere a su disconformidad con la cuantía de la sanción y su relación con el principio de proporcionalidad, la Audiencia Nacional en numerosas sentencias ha señalado que este principio no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso se considera que no se vulnera el principio de proporcionalidad en la determinación de la sanción impuesta, resultando ésta ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen la minoración de la misma, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 - Alega la parte reclamada que el error cometido fue debido a que la usuaria abonó el importe que ella estimó como correcto y no la factura completa, ingresando una cantidad que el sistema no detecto ni vinculó como pago, pues no correspondía con ninguna cantidad debida. Sin embargo, tal manifestación tampoco puede ser aceptada; baste señalar, como así consta en los hechos probados décimo y undécimo, el correo electrónico de 5/09/2021, remitido a la parte reclamante que acredita y evidencia que era consciente de que una parte del pago se había realizado: “(…) Te informamos que, tras realizar las comprobaciones oportunas, al abono que sale a tu favor, está ya generando ***FACTURA.1 de fecha 13/08/2021 y un importe de: -(...) euros, el motivo por el cual no te llega al banco es poque la factura ***FACTURA.2 de fecha 02/08/2021 y un importe de: (...) euros, esta impagada o parcial impagada hasta que no se genere el total de la deuda no podemos enviar el abono a tu banco. (…)” Así como el ingreso que se había realizado como consta en el justificante de la Transferencia realizada, que fue emitida por ING, de fecha 03/09/2021, siendo el ordenante, la reclamante; beneficiaria, la entidad reclamada; y como entidad destinataria, Banco Santander; con cuenta destino ES00 0000 0000 0000 0000 0000, por un importe de (...) euros. En la misma figura como información adicional ***TELÉFONO.1 Factura ***FACTURA.2 (el número de móvil de la reclamante y el número de factura). - Alega la parte reclamada que se realizó la notificación requiriendo el pago de la deuda en numerosas ocasiones, deuda que fue reconocida por la parte reclamante con independencia de que no fuera la cantidad exacta. La inclusión en un fichero de solvencia en el que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por un acreedor o por quien actúe por su cuenta o interés deberá efectuarse de conformidad con lo señalado en el artículo 20.1 de la LOPDGDD, que establece la necesidad de cumplir a estos efectos una serie de requisitos:
  3. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  4. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  5. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. Por tanto, el requerimiento previo de pago es un requisito previo a toda inclusión de los datos en el fichero siendo necesario señalar que sí que es discutible y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 cuestionable que se hicieran requerimientos de pago previo cuando la deuda era objeto de reclamación administrativa y el órgano decisor no había dictado resolución sobre el asunto. Así, consta en el hecho probado octavo que la parte reclamada remitió comunicaciones a la parte reclamante intimándole al pago de la factura nº ***FACTURA.2, por importe de (...) euros en correo de 21/01/2022, cuando ya era conocedora del ingreso de la cantidad que la parte reclamante consideraba asumible. - Además, hay que señalar que la LOPDGDD en su Disposición adicional sexta, Incorporación de deudas a sistemas de información crediticia, establece que: “No se incorporarán a los sistemas de información crediticia a los que se refiere el artículo 20.1 de esta ley orgánica deudas en que la cuantía del principal sea inferior a cincuenta euros. El Gobierno, mediante real decreto, podrá actualizar esta cuantía”. Por último, alega la parte reclamada que no considera infringido el artículo 6.1 del RGPD, toda vez que los datos se trataron al ser la parte reclamante cliente de esta; además de ser necesario para la ejecución de un contrato y considerar que se perseguía un fin legítimo y el “cumplimiento de una obligación por el responsable del tratamiento”. A este respecto, y sin perjuicio del apartado de esta resolución dedicado específicamente a este punto, únicamente conviene remarcar que el artículo 20 de la LOPDGDD establece de manera específica los requisitos necesarios para considerar o presumir lícito desde la perspectiva de protección de datos la inclusión de datos en sistemas de información crediticia, cuya base de legitimación se ampara, con carácter general, en la existencia de un interés legítimo del responsable del tratamiento. Tal y como indica la exposición de motivos de la LOPDPGDD en virtud de este artículo se establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos. Asimismo, en el caso de los ficheros de solvencia patrimonial, el Tribunal Supremo considera que “para que la inclusión de los datos del deudor en un registro de morosos pueda ser considerada legítima” es necesario que los datos en estos consagrados sean exactos y veraces, además de pertinentes. Para tener la consideración de pertinentes, no cabe que haya existido por parte del deudor cuestionamiento de la misma, ya sea en vía administrativa, judicial o arbitral, la cuantía o la existencia de la deuda. Atendiendo a las circunstancias de este caso, expuestas a lo largo de la resolución, no puede concluirse que el tratamiento efectuado por la parte reclamada contara con una base de legitimación para la misma en los términos previstos por el artículo 6.1 del RGPD en relación con el mencionado artículo 20 de la LOPDGDD. Por todo ello, las alegaciones formuladas por la parte reclamada no pueden ser admitidas. III Obligación incumplida: infracción del artículo 6.1 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 Los hechos denunciados se materializan en la inclusión de los datos de carácter personal de la reclamante en el fichero ASNEF en relación con una deuda que adolecía del requisito de la certeza lo que podría vulnerar la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  6. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” El artículo 5 del RGPD, Principios relativos al tratamiento, establece que: “1. Los datos personales serán:
  7. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); (…)” Y el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  10. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  11. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  12. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  13. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  14. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece que: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  15. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  16. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  17. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  18. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  19. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  20. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  21. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia”. El tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Los hechos reclamados devienen como consecuencia de la subrogación por la parte reclamada en los derechos de CEPSA y la eliminación de los descuentos en factura que se venían aplicando a la clientela; la reclamante fue informada de dicha subrogación el 07/01/2021 y en la misma comunicación se le señalaba que se garantizaba el mantenimiento de las Condiciones Generales y Particulares del contrato “hasta la fecha de finalización de la anualidad vigente al tiempo de efectuarse la cesión efectiva del contrato y, en todo caso, durante un plazo mínimo de seis meses desde la fecha en que se produzca la cesión efectiva del contrato”, entre ellas “Precios y descuentos de tus tarifas contratadas”. El periodo de facturación de la parte reclamada como consecuencia o derivado del contrato de subrogación señalado anteriormente comenzaba el 25/02/2021. No obstante, a pesar de la comunicación anterior el 03/03/2021 la parte reclamante recibió nuevo correo de la parte reclamada en el que se le indicaba, entre otras, que: “Cepsa te aseguró se mantendrían tus condiciones de precio y de productos hasta el final de la vigencia de tu contrato, pero nosotros queremos darte una bienvenida aún más especial. En Podo seguirás con las mismas condiciones que tenías de Precio y Producto hasta el 31 de enero de 2022” En esa misma comunicación desgajada del resto, en forma más tenue y procurando su ocultación, se le informa que: “(…) Por otra parte, te informamos que los descuentos aplicados en el precio del gas hasta el momento dejaran de estar vigentes a partir de la siguiente factura. Dispones de 15 días para la resolución del contrato si no estás de acuerdo con este cambio. Si no recibimos notificación por su parte en ese periodo de tiempo, entenderemos aceptadas estas nuevas condiciones”. No consta notificación de la reclamante en el sentido expresado en dicho párrafo y la propia reclamante en su escrito de reclamación reconoce que “este párrafo, pasa totalmente inadvertido, ya que no viene resaltado”. La factura recibida por la parte reclamante Nº ***FACTURA.3, para el periodo de consumo 01/06/2021 a 30/06/2021, emitida por la parte reclamada el 03/07/2021 y pasada al cobro figura con un importe de (...) euros, importe que es el que venía asumiendo la parte reclamante, al conllevar los descuentos y bonificaciones pactados. Sin embargo, en agosto recibe la factura de nº ***FACTURA.2, para el periodo de consumo 01/07/2021 al 31/07/2021 por un importe de (...) euros, sin recoger ya los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 descuentos que se venían incluyendo con anterioridad. La afectada mostraría su disconformidad con el importe recogido en factura al considerar que los descuentos debían extenderse como mínimo hasta la fecha recogida en la comunicación de julio, y coincidir el importe con el que se venía facturando con anterioridad Y ese importe, (...) euros, fue el abonado por la reclamante en la cuenta correspondiente al reclamado como consta acreditado en el justificante de la transferencia efectuada en ING con fecha 03/09/2021, ordenada por la reclamante y con destino a la cuenta titularidad del reclamado, importe redondeado como bien manifiesta la reclamante a (...) euros. No obstante, el importe total de la factura fue requerido por la parte reclamada sin tener en cuenta el ingreso efectuado por la parte reclamante, por lo que la deuda que fue incluida en el fichero de solvencia patrimonial adolecía del requisito de la certeza incumpliendo las condiciones señaladas en el artículo 20.1.
  22. b)de la LOPDGDD que establece que
  23. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes. A mayor abundamiento, figura correo electrónico de fecha 05/09/2021 remitido a la parte reclamante en el indica: “(…) Te informamos que, tras realizar las comprobaciones oportunas, al abono que sale a tu favor, está ya generando ***FACTURA.1 de fecha 13/08/2021 y un importe de: -(...) euros, el motivo por el cual no te llega al banco es poque la factura ***FACTURA.2 de fecha 02/08/2021 y un importe de: (...) euros, esta impagada o parcial impagada hasta que no se genere el total de la deuda no podemos enviar el abono a tu banco. (…)” Es decir, la parte reclamada reconocía que parte de la factura había sido abonada por la parte reclamada y estaba parcialmente impagada en el importe de los descuentos y bonificaciones que se venían haciendo en factura. No hay que olvidar que la parte reclamante presentó denuncia a la Sección de Consumo, Servicio Territorial de Salamanca, de la Junta de Castilla y León en el que se solicitaba: 1) El ingreso por parte de GEO ALTERNATIVA, S.L. (PODO) del importe de la factura ***FACTURA.1, de (...) euros, más el interés legal incrementado en dos puntos aplicado a dicha cuantía, devengados y que se devenguen desde el 15 de agosto de 2021 hasta la fecha de su completo pago 2) Declare improcedente la modificación unilateral del precio aplicado en la factura ***FACTURA.2, por los motivos expresados en el cuerpo del escrito, obligando a GEO ALTERNATIVA, S.L. a aplicar el descuento pactado del 12%sobre la cuota fija y reducir el importe de dicha factura a la cantidad de (...) euros. 3) Imponga a GEO ALTERNATIVA, S.L. cualesquiera sanciones económicas que pudieran proceder por el citado incumplimiento contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 Y que como consta en hechos probados, a la luz de las alegaciones formuladas dictó Resolución, de fecha 17/02/22 en la que se acordaba el archivo de la denuncia por haber alcanzado un acuerdo entre las partes. Sin embargo, de la solicitud formulada por la parte reclamante en la citada denuncia figura atendido lo relativo al primer punto, como consta acreditado por el ingreso realizado por la parte reclamada de la factura ***FACTURA.1, por importe de (...) euros, periodo 25/02/2021 a 10/08/2021, confirmado por la parte reclamante en su escrito de 23/07/2023 señalando haber recibido llamada de Consumo que le iban a abonar dicha factura (Esta cantidad, según consta en factura provenía de la diferencia entre el consumo real y el contratado y era debido por la mercantil); del resto nada se dice y la misma reclamante en el citado escrito añade “pero no mención alguna a la factura supuestamente impagada” Tanto antes como con posterioridad a la fecha de la Resolución de Consumo, e incluso estando pendiente de resolución, la mercantil remitió numerosas comunicaciones intimando al pago del importe de la factura nº ***FACTURA.2, por importe de (...) euros: constan correos de 27/09/2021, 21/01/2022 (pendiente el litigio ante Consumo) y 30/08/2022; también la entidad Collecta Servicios de Gestión de Cobros, S.L. en escritos de 31/03/2022, 17/08/2022 y 28/12/2022 se dirigió a la parte reclamante intimándole al pago otorgándole plazo para ello y, en caso contrario, presentarle demanda en procedimiento monitorio por impago. Finalmente, la parte reclamante recibió escrito de ASNEF/EQUIFAX de 30/05/2023 en el que le informaban del alta en el fichero ASNEF de sus datos personales como consecuencia del impago de la factura nº ***FACTURA.2, por importe de (...) euros. La Sala Primera del Tribunal Supremo -en sus SSTS 463/2019, de 11 de septiembre; 174/2018, de 23 de marzo; 68/2016, de 16 de febrero; 740/2015, de 22 de diciembre; y 176/2013, de 6 de marzo, entre otras- ha sentado una doctrina que puede sintetizarse de la siguiente manera: “Los datos que se incluyan en estos registros de morosos han de ser ciertos y exactos; pero no basta con el cumplimiento de esos requisitos para satisfacer las exigencias del principio de calidad de los datos en este tipo de registros. Hay datos que pueden ser ciertos y exactos sin ser por ello pertinentes, pues no son determinantes para enjuiciar la solvencia económica de los interesados. - Si la deuda es objeto de controversia, porque el titular de los datos considera legítimamente que no debe lo que se le reclama y la cuestión está sometida a decisión judicial o arbitral, la falta de pago no es indicativa de la insolvencia del afectado. Puede que la deuda resulte finalmente reconocida, en todo o en parte, por la sentencia o el laudo arbitral y por tanto pueda considerarse como un dato veraz. Pero no era un dato pertinente y proporcionado a la finalidad del fichero automatizado, porque éste no tiene por finalidad la simple constatación de las deudas, sino la evaluación de la solvencia patrimonial de los afectados. Por ello, solo es pertinente la inclusión en estos ficheros de aquellos deudores que no pueden o no quieren, de modo no justificado, pagar sus deudas, pero no de aquéllos que legítimamente están discutiendo con el acreedor la existencia o la cuantía de la deuda. - Cuando se trata de ficheros relativos al cumplimiento de obligaciones dinerarias, la deuda debe ser además de vencida y exigible, cierta, es decir, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 inequívoca, indudable, siendo necesario además el previo requerimiento de pago. Por tal razón, no cabe incluir en estos registros datos personales por razón de deudas inciertas, dudosas, no pacíficas o sometidas a litigio. - La inclusión en los registros de morosos no puede ser utilizada por las grandes empresas para buscar obtener el cobro de las cantidades que estiman pertinentes, amparándose en el temor al descrédito personal del afectado, al menoscabo de su prestigio profesional y a la denegación del acceso al sistema crediticio que supone aparecer en un fichero de morosos, evitando con tal práctica los gastos que conllevaría la iniciación del correspondiente procedimiento judicial, muchas veces superior al importe de las deudas que reclaman. Por tanto, la inclusión en el registro de morosos cuando el cliente ha cuestionado legítimamente la existencia o la cuantía de la deuda, en vía judicial o arbitral, constituye una presión ilegítima. En consecuencia, a la luz de la referida doctrina, cabe dar respuesta a la cuestión planteada por la Sección de Admisión en los siguientes términos: En atención a la finalidad de ese tipo de registros -que no es la de constatar el impago de deudas, sino la de evaluar la solvencia patrimonial del deudor-, para que la inclusión de los datos del deudor en un registro de morosos pueda ser considerada legítima no basta con que sea exacto y veraz el dato del importe de la deuda impagada, sino que es necesario que, además, la inclusión en el registro sea pertinente. Y no será pertinente cuando el deudor haya cuestionado legítimamente, en vía administrativa, judicial o arbitral, la existencia o cuantía de la deuda” Por tanto, la conducta de la parte reclamada se considera que vulnera el principio de licitud consagrado en el artículo 6.1 del RGPD, en relación con el artículo 20.1 de la LOPDGDD, tipificada en el artículo 83.5
  24. a)del RGPD. IV Tipificación de la infracción del artículo 6.1 del RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  25. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  26. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V Sanción por infracción del artículo 6.1 del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  27. a)a
  28. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  29. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  30. b)la intencionalidad o negligencia en la infracción;
  31. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  32. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  33. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  34. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  35. g)las categorías de los datos de carácter personal afectados por la infracción;
  36. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  37. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  38. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21
  39. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
  40. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  41. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  42. a)El carácter continuado de la infracción.
  43. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  44. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  45. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  46. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  47. f)La afectación a los derechos de los menores.
  48. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  49. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  50. a)del RGPD de la que se responsabiliza al reclamado se estiman concurrentes los siguientes factores: La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad; el nivel de los perjuicios sufridos por la reclamante que afectan a su solvencia económica al habérsele incluido en sistemas comunes de información crediticia a instancias del reclamado en relación con una deuda que adolecía del requisito de certeza puesto que la reclamante había abonado el consumo realizado sin los descuentos de los que venía beneficiándose con anterioridad (artículo 83.2.
  51. a)del RGPD). La intencionalidad o negligencia en la infracción, pues el reclamado incluyó los datos en fichero de moroso sin que la deuda cumpliera los requisitos del artículo 20.1 de la LOPDGDD. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
  52. b)del RGPD). La actividad de la entidad infractora vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  53. b)de la LOPDGDD en relación con el artículo 83.2.k). Con arreglo a lo que antecede se estima adecuado establecer una sanción de 20.000 euros por vulneración del artículo 6.1 del RGPD. VI Adopción de medidas Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
  54. a)a j). Al confirmarse la infracción, podrá acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  55. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Por tanto, se considera procedente ordenar que el reclamado, en el plazo de seis meses a partir de la firmeza de la resolución, que adecúe los tratamientos objeto del presente procedimiento a la normativa aplicable. En el texto de esta resolución se establecen cuáles han sido los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. En concreto, que se proceda a cumplir con lo exigido por la normativa en materia de protección de datos legitimando el tratamiento de conformidad con los requisitos señalados en el artículo 20 de la LOPDGDD. Se advierte que no atender la orden impuesta por este organismo podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GEO ALTERNATIVA, S.L., con NIF B87382644, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  56. a)del RGPD, una multa de 20.000 € (veinte mil euros). SEGUNDO: ORDENAR a GEO ALTERNATIVA, S.L., con NIF B87382644, que en virtud del artículo 58.2.
  57. d)del RGPD, en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a cumplir con lo exigido por la normativa en materia de protección de datos respecto a la legitimación de los tratamientos objeto del presente procedimiento, de conformidad con los requisitos señalados en el artículo 20 de la LOPDGDD TERCERO: NOTIFICAR la presente resolución a GEO ALTERNATIVA, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  58. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  59. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.