PS-00500-2013

1/20 Procedimiento Nº PS/00500/2013 RESOLUCIÓN: R/00537/2014 En el procedimiento sancionador PS/00500/2013, instruido por la Agencia Española de Protección de Datos a la entidad MULTIGESTION IBERIA S.A.U., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 24/09/2012 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que declara haber recibido una reclamación de deuda por parte de MULTIGESTION IBERIA S.A.U. (en lo sucesivo MULTIGESTION) en nombre de FRONTERA CAPITAL S.A.R.L (en lo sucesivo FRONTERA) negando conocer al supuesto acreedor. MULTIGESTIÓN informa haber recabado la información del domicilio los ficheros inscritos en el RGPD con números ***COD.1, ***COD.2 y ***COD.3, sobre los que puede ejercer sus derechos de rectificación o de cancelación reconocido por la LOPD, llamando a los teléfonos ***TEL.1 o ***TEL.2, correspondientes al Departamento de Calidad. Desconoce cómo han podido llegar sus datos a dichos ficheros. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, al constatar que los citados ficheros inscritos en el Registro General de Protección de Datos corresponden a la denominación INCIDENCIAS JURIDICAS (código ***COD.1), DOMICILIOS (código ***COD.2) y AUTONOMOS (código ***COD.3), constando como responsable de los mismos la entidad SABERLOTODO INTERNET S.L. (en lo sucesivo SABERLOTODO), y como encargado del tratamiento B.B.B. por los Servicios de Inspección de esta Agencia se solicita información a MULTIGESTION, SABERLOTODO, TDX INDIGO IBERIA S.L. (en lo sucesivo TDX) y D. B.B.B., teniendo conocimiento de que los siguientes extremos conforme al informe de actuaciones de inspección E/6675/2012, que se transcribe: “ACTUACIONES PREVIAS 1. De la información y documentación aportada por MULTIGESTION. a. Aporta la entidad contrato suscrito con TDX en fecha 13/3/2012 para la realización de acciones de recobro. Según consta en el contrato, TDX es una empresa cuya actividad principal es la prestación de servicios de gestión y recobros de carteras de créditos impagados. TDX subcontrata con MULTIGESTIÓN. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/20 Aporta igualmente la entidad carta de encargo específica para dicha cartera relativa a productos de financiación procedentes de CAIXA BANK. b. La información recibida por MULTIGESTIÓN respecto de la deuda a recobrar consiste en la siguiente: nombre completo, NIF, número de contrato, teléfono móvil, y dirección postal, siendo esta última (C/.....................1)- BARCELONA (SP)-, distinta de la informada por el denunciante. El nombre y NIF coinciden con el del denunciante. c. Como información recabada de otras fuentes, identifica la entidad que consiguió el domicilio (C/.....................2)- BARCELONA- 1COREO DL- a través de TRUMBIC. d. La entidad tienen suscrito un contrato de servicios con TRUMBIC, fechado el 30/11/2009, en virtud del cual recibe servicios de suministro de información a través de la página web www.trumbic............ Aporta igualmente copia de la última factura recibida de TRUMBIC emitida en fecha 2/4/2012, por el acceso a sus servicios del 1/4/2012 a 31/3/2012. Aparentemente, esta última fecha seria errata, queriendo decir 31/3/2013. e. Aporta impresión de pantalla de los datos obrantes en el sitio web www.trumbic............ Se aprecia en dicha página que constan los siguientes datos relativos al denunciante: nombre completo, NIF, población, provincia, fecha de nacimiento, domicilio actual (calle, numero, piso y puerta, población y provincia), domicilio anterior (calle, numero, piso y puerta, población y provincia). 2. Solicitada información a TDX de la información y documentación aportada se desprende: a. Según informa la entidad, el denunciante suscribió con CAJA DE AHORROS Y PENSIONES DE BARCELONA, ahora CAIXABANK, S.A (La Caixa) el Contrato de Tarjeta Carnet RACC Master de fecha 13 de marzo del adjunta copia. Igualmente adjunta recibo justificativo de la tarjeta y PIN a Interesado. b. Informa igualmente que el acreedor actual de la deuda es FRONTERA CAPITAL, S.A.R.L nacionalidad de Luxemburgo, con domicilio social en (C/.....................3) Luxemburgo, y con NIE núm. ***NIE.1. FRONTERA CAPITAL, S.A.R.L. es titular del crédito en virtud del Contrato de Compraventa de Derechos de Crédito otorgado entre la CAIXABANK, S.A. y FRONTERA CAPITAL, S.A.R.L., según el cual la primera entidad vendía a la segunda diversos derechos garantizados, entre el que se encuentra el del denunciante. 3. Mediante diligencia de fecha 14/2/2013 se comprueba que los ficheros registrados con números ***COD.1, ***COD.2 y ***COD.3, ***COD.3 constan en el RGPD Registro General de Protección de Datos de esta Agencia, constando como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/20 responsable de los mismos la entidad SABERLOTODO INTERNET S.L. (en adelante SABERLOTODO). 4. Solicitada información a SABERLOTODO, D. C.C.C., en representación de dicha entidad, manifiesta: <<Esta mercantil no tiene en la actualidad acceso a ningún fichero que contenga datos personales de afectado. En su momento, esta mercantil explotó comercialmente un fichero propiedad de un tercero, que ustedes saben perfectamente quién es… Le recordamos que un titular registral de un fichero inscrito en la AEPD no equivale a que sea también propietario del referido fichero. Le recordamos también que ustedes negaron en su momento el cambio de titularidad registral de dicho fichero registrado con el número ***COD.2 … No es lo mismo titular registral y propietario del fichero (léase, por ejemplo, la Sentencia de la Sala de lo Contencioso-administrativo de la Audiencia Nacional, Sección 1a de 16 de abril de 2009, Rec. N° 494/ 2007)… Centrándonos en los términos del requerimiento, no podemos aportar información alguna respecto de los datos de la persona que nos requieren porque no tenemos acceso a los mismos. Rogamos que para ello se dirijan a la mercantil TRUMBIC, mercantil, por cierto, con la que no tenemos relación alguna. En consecuencia, no podemos facilitarles ninguna información acerca del consentimiento de dicho afectado. >> 5. Mediante diligencia de fecha 17/7/2013 se incorporó a las presentes actuaciones escrito de fecha 22/3/3/2013 recibido en el curso de las Actuaciones de Inspección de referencia E/5876/2012 y en la que D. C.C.C., esta vez en representación de TRUMBIC, manifestaba: <<En cuanto a que aportemos copia impresa de los datos de D. XXXXXXX que figuran en los ficheros comercializados por esta empresa, decirles al respecto que mi cliente no tiene acceso a dato personal alguno, puesto que sólo explota un fichero comercial propiedad de un tercero… 6 En cuanto al último de sus requerimientos nos remitimos al contenido del Acta realizada el día 27 de mayo de 2010, E-706/20l0/I-1, donde queda perfectamente claro todo. >> ... En fecha 17/7/2013 se remitió a D. B.B.B. escrito mediante el cual se le requería información obrante en el fichero PERSONAS acerca del denunciante así como acreditación documental del consentimiento del denunciante para disponer de dichos datos y motivo por el cual el fichero continuaba en explotación, pese a la resolución de inmovilización dictada por el Director de la Agencia. Dicha solicitud resultó devuelta por el Servicio de Correos en fecha 29/7/2012, con la indicación “Ausente de reparto” tras haber sido intentada su entrega en fechas 18/7/2013 y 19/7/2013, y no haber sido retirada la carta de la oficina de Correos. En fecha 13/8/2013 se reiteró la anterior solicitud de informacióm. Dicha solicitud resultó tambien devuelta por el Servicio de Correos en fecha 27/8/2013, con la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/20 indicación “Ausente de reparto” tras haber sido intentada su entrega en fechas 16/8/2013 y 19/8/2013, y no haber sido retirada la carta de la oficina de Correos.” TERCERO: Con fecha 18/09/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a MULTIGESTION por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, MULTIGESTION formuló las siguientes alegaciones: 1. Legitimación para el tratamiento de los datos personales del denunciante. La deuda del denunciante tiene su origen en el contrato de tarjeta de crédito Carnet RACC Master suscrito el 13/03/2000 con Caja de Ahorros y Pensiones de Barcelona (actualmente CAIXABANK). Las operaciones efectuadas con dicha tarjeta de crédito generaron una deuda de 434,15 €. El crédito correspondiente a esta deuda, junto con otros créditos, fueron cedidos a la entidad FRONTERA, en virtud de contrato de compraventa de derechos de crédito celebrado entre ambas entidades. Como consecuencia de la citada cesión de crédito, el nuevo acreedor frente al denunciante pasó a ser FRONTERA CAPITAL S.A.R.L.. Las entidades cedente (CAIXABANK) y cesionaria (FRONTERA) remitieron al denunciante a la (C/.....................1) Barcelona (dirección que constaba en los ficheros de CAIXABANK), una carta comunicándole la cesión del crédito del que era deudor, su origen y importe, e informándole que sus datos personales pasaban a ser incorporados a un fichero titularidad de FRONTERA. FRONTERA en fecha 01/01/2012 contrató con TDX los servicios de recobros de sus créditos. TDX subcontrató dichos servicios mediante contrato suscrito al efecto en fecha 13/03/2012 con MULTIGESTION. Entre los servicios mínimos a prestar por MULTIGESTION dirigidos al recobro de impagados se encuentran, no sólo la realización de llamadas y/o el envío de cartas y sms y el seguimiento de los planes de pago acordados con los clientes sino también la localización y búsqueda de información adicional en el caso de los expedientes ilocalizados de forma automática, añadiéndose que los nuevos datos de contacto se actualizarán y enviarán a TDX. Por consiguiente respecto al tratamiento de los datos del denunciante el responsable es FRONTERA, el encargado de tratamiento es TDX, y el subencargado del tratamiento es MULTIGESTION que dado tal condición está legitimada para tratar los datos de los deudores morosos (entre los que se encuentra el denunciante) con el fin de prestar los servicios de gestión de recobro y, en su caso, realizar las labores de búsqueda y localización de domicilios y otros datos adicionales. 2. Inexistencia de infracción del artículo 6.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/20 MULTIGESTION es un subencargado del tratamiento por cuenta de la entidad acreedora (FRONTERA), y trata datos que ya estaba tratando el acreedor sin precisar el consentimiento del deudor (el denunciante) con la finalidad de recuperar el crédito que no pagó a CAIXABANK y que, tras su cesión, debidamente comunicada, adeuda a FRONTERA. Resultando infructuosos los intentos de comunicación telefónica y/o postal con los datos que del denunciante habían sido facilitados por CAIXABANK a FRONTERA y comunicados a TDX y MULTIGESTION, esta última realizó las gestiones de búsqueda necesarias para obtener sin su consentimiento, nuevos datos del denunciante al que no se podía localizar. Para ello MULTIGESTION tiene contratados a distintas empresas como TRUMBIC CORPORATION, S.L. (en lo sucesivo TRUMBIC) y MEGA DATA INTEGRAL SERVICES, S.L.. Esta práctica es conforme a derecho según resuelve la Audiencia Nacional en su sentencia de fecha 21/01/2010 en que analiza un supuesto idéntico en que un encargado de tratamiento contratado por un acreedor para prestar el servicio de recobro de créditos impagados, obtuvo sin consentimiento del deudor morosos, datos adicionales que le permitieron conocer su nuevo domicilio, por lo que aquellos datos ( en este caso el domicilio) facilitados por el acreedor fueron modificados por el deudor durante la vigencia de la relación contractual. Concluye la Audiencia Nacional que el consentimiento inicial para el tratamiento de datos personales continúa proyectándose mientras permanece la relación contractual respecto de los datos personales del mismo tipo que los que fueron proporcionados siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato. Es más añade la sentencia que no se precisaría consentimiento dada la existencia de relación contractual como establece el artículo 6.2 de la LOPD. Por tanto MULTIGESTION no ha infringido el artículo 6.1 de la LOPD ya que, en su condición de encargada del tratamiento, estaba legitimada para tratar los datos del denunciante sin su consentimiento ya que este no era preciso conforme a lo dispuesto en el artículo 6.2 de la LOPD dada la existencia de relación contractual. Además el consentimiento otorgado por el denunciante cuando contrató la tarjeta de crédito se proyecta durante toda la vigencia de la relación contractual. 3. Contrato suscrito con TRUMBIC. En fecha 30/11/2009 MULTIGESTION suscribió un contrato con TRUMBIC por el que esta última presta un servicio de suministro de información personal a través del sitio web www.trumbic............ En dicho contrato TRUMBIC garantiza que la información suministrada por sus bases de datos proviene de fuentes accesibles al público. Así, a través de TRUMBIC, MULTIGESTION obtuvo el domicilio correcto y actual del denunciante en (C/.....................2), dirección a la que se dirigió la carta de 27/08/2012, y que según lo expuesto procede de fuentes accesibles al público. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/20 En cuanto a la diligencia desplegada por MULTIGESTION en el cumplimiento de la normativa de protección de datos referida al tratamiento de los datos del denunciante debe recordarse que contaba con habilitación legal para dicho tratamiento por hacerlo en nombre y por cuenta de su acreedor FRONTERA gracias a los contratos firmados entre las distintas partes, y por hacerlo de acuerdo con el contenido del contrato firmado con TRUMBIC que garantizaba que los datos provenían de fuentes de acceso público. No puede exigirse a MULTIGESTION que verifique caso por caso la veracidad de esta garantía ofrecida por TRUMBIC. No obstante cuando MULTIGESTION tuvo conocimiento en el marco de las actuaciones inspectoras de la inmovilización de los ficheros que facilita TRUMBIC, decidió resolver su relación contractual, y ante la falta de acreditación por dicha entidad del origen de los datos del denunciante ante el requerimiento de la Agencia, exigir a la misma el cumplimiento de su contrato. 4. Solicita se requiera a D. D.D.D. para que acredite que el nuevo y verdadero domicilio del denunciante proviene de fuente accesible al público. QUINTO: En fecha 14/02/2014 se emitió propuesta de resolución en el sentido de imponer a MULTIGESTION una multa de 40.001 € por la infracción del artículo 6.1 de la LOPD. SEXTO: Notificada la propuesta MULTIGESTION reiteró las alegaciones efectuadas al acuerdo de inicio del procedimiento sancionador señalando que está legitimada para actualizar el dato del domicilio del deudor ya que el consentimiento otorgado por éste en la recogida de datos se proyecta en el tiempo mientras permanezca la relación contractual como así ha señalado la Audiencia Nacional en diversas sentencias. Añade que la inmovilización del fichero “Domicilios” no es un hecho público y que lo desconocía, y que existe indefensión pues no ha requerido a TRUMBIC para que acredite el origen de los datos del denunciante contenidos en el fichero “Domicilios”. Solicita con carácter subsidiario la aplicación del artículo 45.5 de la LOPD ya que sólo de envío una carta, y resolvió su relación contractual con TRUMBIC al conocer de la existencia de posibles irregularidades relacionadas con el citado fichero HECHOS PROBADOS PRIMERO: Con fecha de 24/09/2012 tiene entrada en esta Agencia un escrito del denunciante en el que declara haber recibido una reclamación de deuda por parte de MULTIGESTION en nombre de FRONTERA, negando conocer al supuesto acreedor. MULTIGESTIÓN informa haber recabado la información del domicilio los ficheros inscritos en el RGPD con números ***COD.1, ***COD.2 y ***COD.3, sobre los que puede ejercer sus derechos de rectificación o de cancelación reconocido por la LOPD, llamando a los teléfonos ***TEL.1 o ***TEL.2, correspondientes al Departamento de Calidad. Desconoce cómo han podido llegar sus datos a dichos ficheros ((folios 1-2) SEGUNDO: En fecha 13/03/2000 el denunciante suscribió con Caja de Ahorros y Pensiones de Barcelona (actualmente CAIXABANK) un contrato de tarjeta de crédito Carnet RACC Master. Las operaciones efectuadas por el denunciante con dicha tarjeta de crédito generaron una deuda de 434,15 € (folios 67, 71-74) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/20 TERCERO: En fecha 22/12/2011 se elevó a escritura pública el documento privado de compraventa de derechos de crédito otorgada entre CAIXABANK y FRONTERA, por la cual CAIXABANK cedía a FRONTERA, una serie de créditos, entre ellos el correspondiente al denunciante por un importe de 434,15 €. Como consecuencia de la citada cesión de crédito, el nuevo acreedor frente al denunciante pasó a ser FRONTERA (folios 67-68, 75-76) CUARTO: Las entidades cedente (CAIXABANK) y cesionaria (FRONTERA) remitieron al denunciante a la (C/.....................1), Barcelona (dirección que constaba en los ficheros de CAIXABANK), una carta fechada el 30/12/2012 comunicándole la cesión del crédito del que era deudor, su origen y importe, e informándole que sus datos personales pasaban a ser incorporados a un fichero titularidad de FRONTERA (folios 68, 76-78) QUINTO: En fecha 01/01/2012 FRONTERA había contratado con TDX los servicios de recobros de sus créditos. En los ficheros de TDX constaba como dirección del denunciante (C/.....................1), Barcelona (folios 12-13, 55, 68, 78-126) SEXTO: En fecha 13/03/2012 TDX subcontrató con MULTIGESTION los servicios de recobro de sus clientes, y recibió carta de encargo de recobro de deudas titularidad de FRONTERA. Entre los servicios mínimos a prestar por MULTIGESTION dirigidos al recobro de impagados se encuentran la realización de llamadas y/o el envío de cartas y sms y el seguimiento de los planes de pago acordados con los clientes, así como la localización y búsqueda de información adicional en el caso de los expedientes ilocalizados de forma automática, añadiéndose que los nuevos datos de contacto se actualizarán y enviarán a TDX (folios 12, 15-54) SEPTIMO: En fecha 30/11/2009 MULTIGESTION suscribió un contrato con TRUMBIC, que fue resuelto en fecha 31/01/213, y que contenía, entre otras, las siguientes clausulas: “PRIMERA.- OBJETO El presente contrato tiene por objeto la prestación del servicio de suministro de información de modo unidireccional por parte de TRUMBIC CORPORATION SL a MULTIGESTION IBERIA, a través de la Red de Internet, en concreto a través de la página Web www.trumbic............ ... TERCERA.- PROTECCION DE DATOS. Las bases de datos suministradas contienen datos de carácter personal, por lo que ambas partes, se obligan al cumplimiento de las obligaciones, que como cedente y cesionario de este tipo de datos le correspondan, según lo dispuesto en la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/20 TRUMBIC CORPORATION SL es el DISTRIBUIDOR de las bases de datos que a continuación se indican y garantiza que la información suministrada por las mismas proviene de fuentes accesibles al público, reguladas en la LOPD, incluida la información sobre el propio sujeto del informe, dichas bases de datos de Domicilio Actual y Anterior estas inscritas en la Agencia Española de Protección de Datos con los números siguientes: Protección de Datos: Nº de Inscripción ***COD.2, el de la base de datos de Incidencias Jurídicas es el siguiente: Agencia de Protección de Datos: Nº de Inscripción ***COD.1, el de la base de datos de Autónomos es el siguiente: Agencia Protección de Datos: Nª de Inscripción ***COD.3. CUARTA.- RESPONSABILIDAD La información contenida en las bases de datos distribuida por TRUMBIC CORPORATION SL, obtenida de fuentes accesibles al público, puede no coincidir con la obtenida por MULTIGESTION IBERIA, a través de otros conductos. Por ello, no podrá exigir daños y perjuicios a TRUMBIC CORPORATION SL derivados de errores en la información que no corresponda con la de origen suministrada. TRUMBIC CORPORATION SL actuará con la diligencia debida, y ateniéndose en todo caso a los principios establecidos en la LOPD, para garantizar la calidad, exactitud, finalidad y actualidad de los datos contenidos en la base de datos suministrada. ... OCTAVA.- PRECIO El coste de dicho contrato asciende a la cantidad de 9.600 € (NUEVE MIL SEISCIENTOS EUROS) Anual más el 16% IVA, que se abonará mediante transferencia bancaria, previa entrega por parte de TRUMBIC CORPORATION SL de la factura correspondiente con antelación suficiente a la fecha de abono, que deberá cumplir con todos los requisitos exigidos por la normativa fiscal correspondiente. El pago de tal importe dará derecho a utilizar los citados servicio On Line por el plazo pactado a 50 usuarios, no obstante a petición de MULTIGESTION IBERIA podrá modificarse en cualquier momento el número de usuarios con acceso y por tanto el precio acordado” (folios 13, 57-61, 187-188) OCTAVO: MULTIGESTION aportó impresión de pantalla de acceso al fichero “Domicilios” de la web www.trumbic........... en donde figuran los siguientes datos - en el apartado “Datos Personales” figura el nombre y apellidos del denunciante, DNI, lugar y fecha de nacimiento. en el apartado “Domicilio Actual” figura “CALLE (C/.....................2), BARCELONA. en el apartado “Domicilio Anterior” figura “CALLE (C/.....................4), BARCELONA (folios 13, 56) NOVENO: El denunciante recibió carta de MULTIGESTION fechada el 27/08/2012 requiriéndole, en nombre de FRONTERA, el pago de una deuda por importe de 434,15 €. Dicha carta que se dirigió y fue recibida por el denunciante en la dirección (C/.....................2), Barcelona, contenía la siguiente leyenda informativa “La información del domicilio ha sido consultada en la Base de Datos cuyos números de Registro en la Agencia de Protección de Datos son ***COD.1, ***COD.2 y ***COD.3. Puede usted ejercer el derecho de rectificación o de cancelación reconocido por la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/20 15/1999 LOPD, llamando a los teléfonos ***TEL.1 o ***TEL.2, correspondientes al Departamento de Calidad...” (folio 3) DECIMO: En fecha 14/02/2013 figuraban inscritos en el Registro General de Protección de Datos de esta Agencia los ficheros con códigos ***COD.1 (INCIDENCIAS JURIDICAS), ***COD.2 (DOMICILIOS) y ***COD.3 (AUTONOMOS) constando como responsable de los mismos la entidad SABERLOTODO INTERNET S.L. y como encargado del tratamiento B.B.B.(folios 6-9) UNDECIMO: En fecha 21/09/2011 el Director de la Agencia Española de Protección de Datos dictó resolución en el procedimiento sancionador PS/00146/2011, imponiendo sendas multas de 600.000 €, tanto a SABERLOTODO, como a TRUMBIC. Dicha resolución, que se encuentra publicada en la página web de la Agencia www.agpd.es , en el apartado de resoluciones y documentos, contiene, entre otros los siguientes hechos probados: <<TERCERO: Finalizado el mencionado plazo de diez días hábiles concedido a SABERLOTODO en la Resolución de fecha 08/01/2009, se recibió escrito de dicha entidad en el que no hacía referencia a medida alguna adoptada para la cesación en la utilización y cesión de datos acordada por el Director de la Agencia Española de Protección de Datos. En consecuencia, con fecha 23/02/2009, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00629/2008, en virtud de la cual se acordó la inmovilización del fichero “DOMICILIOS”, del que es responsable la entidad SABERLOTODO, obligándose a la misma a cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Asimismo, en la citada Resolución se establecía que aquella inmovilización del fichero debe mantenerse hasta que por parte de SABERLOTODO se acredite debidamente ante la Agencia Española de Protección de Datos la cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados en el ejercicio de una actividad privada por el propio representante de la entidad imputada, D. D.D.D.. En la mencionada Resolución de fecha 23/02/2009, que se declara reproducida a los efectos oportunos, se consideró determinante, según el detalle que consta reseñado en el Antecedente Tercero de dicha Resolución, que este fichero contiene datos personales relativos a más de treinta y seis millones de afectados, y que asociados a la mayoría de los afectados figuran datos que no constan en fuentes accesibles al público, como son la fecha de nacimiento, el número de DNI y la indicación de piso y puerta de los domicilios respectivos, figurando, además, en muchos casos, un domicilio actual y uno anterior. En la descripción de dicho fichero recabada de SABERLOTODO, que figura actualizada a fecha 30/06/2008, consta que el número total de registros es de 36.812.617, disponiendo todos ellos de fecha de nacimiento, y de los que 3.442.902 de registros disponen del dato relativo al DNI. ... CUARTO: Durante el período comprendido entre el 04/12/2007 y el 01/06/2009, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/20 Director de la Agencia Española de Protección de Datos ha dictado resolución sancionadora contra la entidad Saberlotodo Internet, S.L. en siete procedimientos, señalados con los números PS/00178/2007, PS/00387/2007, PS/00003/2008, PS/00034/2008, PS/00086/2008, PS/00387/2008 y PS/00629/2008, en los que se sanciona a dicha entidad por el tratamiento de datos de carácter personal sin consentimiento de los afectados o/y por comunicación de tales datos a terceros. En dichas actuaciones se constató que la citada entidad es responsable del tratamiento de datos de carácter personal sin el consentimiento de los afectados y de facilitar dicha información a terceros. En definitiva, es responsable de la explotación con fines lucrativos del fichero denominado “Domicilios”, que contiene información correspondiente a más de treinta y seis millones de afectados, con indicación de fecha de nacimiento, nombre, apellidos y domicilio (con indicación en numerosos registros del piso y puerta del mismo), además de la indicación relativa a DNI, domicilio anterior y teléfono en numerosos registros, siendo ilícito el origen de esta información. Las circunstancias de hecho puestas de manifiesto en estas actuaciones, que coinciden con las expresadas anteriormente, determinaron la imposición de seis sanciones por incumplimiento de lo dispuesto en el artículo 6 de la LOPD, por un importe de 60.101,21 euros cada una, y seis sanciones más por incumplimiento del artículo 11 de la citada norma, por importes de 100.000 euros, en un caso, y 300.506.05 euros en los cinco casos restantes. Contra las resoluciones dictadas por el Director de la Agencia Española de Protección de Datos en los procedimiento mencionados, la entidad Saberlotodo Internet, S.L. interpuso recurso contencioso-administrativo ante la Audiencia Nacional, que ha dictado sentencia desestimatoria en los seis primeros procedimientos, no habiéndose resuelto el correspondiente a la sanción impuesta en el PS/00629/2008. Las Sentencias desestimatorias correspondientes a los procedimientos PS/00387/2007, PS/00003/2008, y PS/00387/2008 han sido recurridas en casación ante el Tribunal Supremo, que ha dictado auto de inadmisión parcial en los dos últimos casos citados, no habiendo recaído Sentencia en ninguno de ellos. QUINTO: Con fecha 23/02/2009, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00629/2008, en virtud de la cual se acordó la inmovilización del fichero “Domicilios”, del que es responsable la entidad Saberlotodo Internet, S.L., obligándose a la misma a cesar en la utilización y cesión de los datos de carácter personal registrados en dicho fichero, así como a adoptar las medidas oportunas para que el acceso a la información que contiene quede imposibilitado. Asimismo, en la citada Resolución se establecía que aquella inmovilización del fichero ha de mantenerse hasta que por parte de Saberlotodo Internet, S.L. se acredite debidamente ante la Agencia Española de Protección de Datos la cancelación de todos aquellos datos personales que no hubiesen sido recabados de los propios afectados, y con su consentimiento, o que no procedan de fuentes accesibles al público y, especialmente, los datos personales obtenidos del censo de población y de padrones municipales de habitantes, o bien facilitados por la entidad Detectives Lucentum, S.L., o recabados en el ejercicio de una actividad privada por el propio representante de la entidad imputada, D. D.D.D. . En la mencionada Resolución, se consideró determinante que el fichero citado contiene datos personales relativos a más de treinta y seis millones de afectados, y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/20 asociados a la mayoría de los afectados figuran datos que no constan en fuentes accesibles al público, como son la fecha de nacimiento, el número de DNI y la indicación de piso y puerta de los domicilios respectivos, figurando, además, en muchos casos, un domicilio actual y uno anterior. En la descripción de dicho fichero recabada de Saberlotodo Internet, S.L., actualizada a fecha 30/06/2008, consta que el número total de registros es de 36.812.617, disponiendo todos ellos de fecha de nacimiento, y de los que 3.442.902 de registros disponen del dato relativo al DNI. Asimismo, consta acreditado, y así fue reconocido por D. D.D.D. , representante de la entidad, que los datos personales registrados no se recaban directamente de los propios afectados, sino que proceden, entre otras fuentes, del censo de población y de padrones municipales de habitantes, o bien han sido facilitados a SABERLOTODO por la entidad Detectives Lucentum, S.L., o recabados por el propio representante de la entidad imputada con anterioridad a 1980, en el ejercicio de una actividad privada que no ha justificado. De hecho, la mayor parte de los registros consultados por la Inspección actuante corresponde a personas que no figuraban, en ese momento, en repertorios de abonados a servicios telefónicos. Con fecha 03/04/2009, por el Director de la Agencia Española de Protección de Datos se dictó Resolución en la que se acuerda la desestimación del recurso de reposición interpuesto por SABERLOTOD contra la citada Resolución de esta Agencia de fecha 23/02/2009, en virtud de la cual se acordó a inmovilización del fichero “DOMICILIOS”, confirmando la misma en todos sus extremos. La anterior Resolución del Director de la Agencia Española de Protección de Datos, de fecha 03/04/2009, fue impugnada por la entidad Saberlotodo Internet, S.L. en vía contencioso-administrativa, dando lugar a la Sentencia dictada por la Audiencia Nacional, de 30/04/2010, que desestima el recurso contencioso-administrativo interpuesto. Previamente, con fecha 22/07/2009, la Audiencia Nacional dictó Auto por el que acordó denegar la suspensión de la ejecutividad de la Resolución impugnada, que había sido solicitada por Saberlotodo Internet, S.L. Contra esta Sentencia de la Audiencia Nacional, la entidad SABERLOTODO interpuso recurso de casación, que ha sido inadmitido parcialmente mediante Auto del Tribunal Supremo de fecha 20/01/2011.>> (folios 192-261) DUODECIMO: El artículo 17.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, establece que el órgano instructor podrá rechazar, de forma motivada, aquellas pruebas cuya práctica no estime procedentes en los términos previstos en el artículo 137.4 de la LRJPAC. En razón de lo expuesto, se declaró la improcedencia de la prueba consistente en requerir a D. B.B.B.y a TRUMBIC que el nuevo y verdadero domicilio del denunciante proviene fuente accesible al público por cuanto el resultado de la misma no alteraría el sentido de la resolución a adoptar (folio 273) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/20 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste, así, en este sentido la Audiencia Nacional, en sentencia de fecha 31 de mayo de 2006 señalaba: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/20 En el presente caso ha quedado acreditado que MULTIGESTION IBERIA trató los datos personales del denunciante en su condición de subencargado del tratamiento para el recobro de una deuda titularidad de FRONTERA. Intentada sin éxito la localización del denunciante para poder llevar a efecto el cobro de la deuda, MULTIGESTION recabó un nuevo dato del denunciante (su nueva dirección) mediante la consulta efectuada en la web www.trumbic........... obteniendo del fichero “Domicilios” contenido en ella, el dato del nuevo domicilio del denunciante “CALLE (C/.....................2), BARCELONA”, el cual utilizó para el envío del requerimiento de pago objeto de denuncia (folio 3). Corresponde por tanto examinar si el tratamiento del dato del nuevo domicilio efectuado por MULTIGESTION vulnera el principio del consentimiento consagrado en el artículo 6.1 de la LOPD. Hemos de señalar previamente que MULTIGESTION es una empresa de implantación nacional, líder en el sector de la adquisición y gestión integral de deuda, en concreto en la recuperación de deudas, actividad que desempeña desde 1992, y en la cual el tratamiento de datos de carácter personal constituye parte esencial de su actividad, estando por tanto familiarizada con la normativa en materia de protección de datos, en la cual el principio del consentimiento constituye piedra angular para preservar la privacidad de los ciudadanos frente a tratamientos (como en el caso que nos ocupa) vulneradores de tal principio y por tanto de lo dispuesto en el artículo 6.1 de la LOPD. En este sentido, procede citar la sentencia de la Audiencia Nacional de fecha 21 de diciembre de 2001 en la que se declaraba que “de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D. (…) (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cual era el consentimiento del mismo. Es decir, (...) debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. Respecto a la culpabilidad de MULTIGESTION IBERIA debe considerarse lo dispuesto en el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), según el cual “... sólo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia”. Esta simple inobservancia no puede ser entendida como la admisión en el Derecho administrativo sancionador de la responsabilidad objetiva, pues la doctrina del Tribunal Constitucional (Sentencias de 26/04/1990, 19/12/1991 y 04/07/1999, entre otras) y la jurisprudencia mayoritaria del Tribunal Supremo (Sentencia de 23/01/1998, entre otras), así como las exigencias inherentes a un Estado de Derecho, exigen que el principio de culpabilidad requiera la existencia de dolo o culpa. El Tribunal Supremo (Sentencias de 16 y 22/04/1991) considera que del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/20 elemento culpabilista se desprende “... que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” Por su parte, la Audiencia Nacional, en sentencia de 29 de junio de 2001, en materia de protección de datos de carácter personal, ha declarado que “... basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor. En este sentido la sentencia de 5 de junio de 1998 exige a los profesionales del sector “... un deber de conocer especialmente las normas aplicables”. En similares términos se pronuncian las Sentencias de 17/12/1997, 11/03/1998, 02/03 y 17/09/1999. Aplicando la anterior doctrina, la Audiencia Nacional, en varias sentencias, entre otras las de fechas 14/02/ y 20/09/2002 y 13/04/2005, exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros, visto que se trata de la protección de un derecho fundamental de las personas a las que se refieren los datos, por lo que los depositarios de éstos deben ser especialmente diligentes y cuidadosos a la hora de realizar operaciones con los mismos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Así, la sentencia de la Audiencia Nacional de 6 de febrero de 2008, en su Fundamento de Derecho cuarto, dice que: <<La exigencia de la culpabilidad procede de lo que señala el articulo 130 de la Ley 30/92 cuando dice que: "Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia". Por lo que se refiere a la aplicación de dicho principio de culpabilidad, hay que señalar (siguiendo el criterio de esta Sala en otras sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 1139/2001) que la comisión de la infracción ' prevista en el articulo 44.3.
3. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del Art. 130 de la Ley 30/1992, lo cierto es que la expresión "simple inobservancia" del Art. 130.1 de la Ley 30/1992, permite la imposición de la sanción, sin duda en supuestos dolosos, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado. Como ya se ha referido, la delicada materia a la que se refiere la Ley de Protección de Datos, se traduce en la necesidad de exigir una especial diligencia a las entidades gestoras de los datos. Por lo tanto, la conducta que configura el ilícito administrativo -artículo 44.3.
4. d)de la Ley Orgánica 15/1999- requiere la existencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/20 culpa, que se concreta, según la resolución impugnada, en la falta de control de la entidad recurrente en comprobar si contaba con el consentimiento de la denunciante para el tratamiento de sus datos. Esa falta diligencia configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente, y, obviamente, no precisa de la concurrencia de dolo. A estos razonamientos aun cabe añadir que en nuestras Sentencias de 23 de marzo y 16 de Junio de 2004 (recursos 435/2002 y 865/2002) también señalamos que "cuando se invoca la buena fe en el actuar, para justificar la ausencia de culpa -como se hace en el presente caso- basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea de tradicional reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición e profesional" -SAN