PS-00536-2016

1/11 Procedimiento Nº PS/00536/2016 RESOLUCIÓN: R/01167/2017 En el procedimiento sancionador PS/00536/2016, instruido por la Agencia Española de Protección de Datos a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., vista la denuncia presentada por D. B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha 19/01/2017 tuvo entrada en esta Agencia denuncia formulada por D. B.B.B. (en lo sucesivo el denunciante) en la que manifiesta que UNOE BANK, S.A. (en lo sucesivo UNOE) ha incluido sus datos en los ficheros de morosidad ASNEF y BADEXCUG sin haberle requerido previamente el pago de las deudas motivo de dicha inclusión. Aporta copia de la siguiente documentación:  Con fecha 04/12/2015 notificación de alta de la incidencia (fecha de alta 3/12/2015) en el fichero de solvencia ASNEF asociada al denunciante e informada por UNOE por importe 3.335,99 euros.  Con fecha 29/12/2015 notificación de alta de la incidencia (fecha de alta 27/12/2015) en el fichero de solvencia BADEXCUG asociada al denunciante e informada por UNOE por importe 3.335,99 euros. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a UNOE, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de inspección E/01212/2016 que se transcribe: “La empresa UNOE BANK, S.A. en su escrito de fecha 7/4/2016 (fecha de registro 12/4/2016; número de registro 134152/2016) ha remitido la siguiente información pertinente a los efectos de la investigación:  Manifiesta que “Como el contrato entró en mora el 20/6/2011 es decir antes de la firma del contrato entre BBVA y NEXEA, la notificación personalizada a nombre de B.B.B. como titular de la tarjeta privada Affinity Card número D.D.D. asociada a la cuenta número C.C.C. se remitió a la dirección que consta en el documento n°1, a través del procedimiento que tenía implantado en aquellos momentos, es decir mediante envío de carta directamente al domicilio que constaba en la base de datos de mi representada. Este procedimiento es de sobra conocido por esta Agencia ya que originó un procedimiento que dio lugar a la modificación del mismo de acuerdo con su doctrina”  Aportan, como documento nº1, copia impresa de los datos que figuran en sus sistemas relativos al denunciante donde consta domicilio A.A.A.). Esta dirección coincide con la que figura en el D.N.I. del denunciante.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 TERCERO: Con fecha 2 de diciembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a UNOE BANK, S.A., ahora BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en lo sucesivo BBVA) por presunta infracción de los artículos 4.3 de la LOPD, relación con el artículo 29 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en relación también con los artículos 38 y 39 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD) tipificada como grave en el artículo 44.3.

1. c)de dicha norma. CUARTO: Notificado el acuerdo de inicio, BBVA reconoce la culpabilidad en los hechos que se imputados, y manifiesta que al haber sido sancionada por la AEPD al no poder acreditar los requerimientos previos de pago a la inclusión en ficheros de información sobre solvencia patrimonial y crédito, ha procedido a modificar su protocolo de actuación y ha contratado a NEXEA GESTION DOCUMENTAL, S.A. para dicho cometido. Alega asimismo que en fecha 22/11/2016 BBVA procedió a absorber a UNOE por lo que cabe la aplicación del artículo 45.5.e). QUINTO: En fecha 27/02/2017 se emitió propuesta de resolución en el sentido de imponer a BBVA una multa de 40.000 € por la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con los artículos 38 y 39 del RLOPD, propuesta que le fue notificada en fecha 03/03/2017, sin que se hayan recibido alegaciones a la misma. HECHOS PROBADOS PRIMERO: En fecha 19/01/2017 tuvo entrada en esta Agencia denuncia formulada por el denunciante en la que manifiesta que UNOE (ahora BBVA) ha incluido sus datos en los ficheros de morosidad ASNEF y BADEXCUG sin haberle requerido previamente el pago de las deudas motivo de dicha inclusión. SEGUNDO: En fecha 03/12/2015 los datos del denúnciate fueron incluidos por UNOE (ahora BBVA) en el fichero badexcug por un importe impagado de 3.335,99 €. No consta que BBVA haya instado la baja de dicha anotación. TERCERO: En fecha 27/12/2015 los datos del denunciante fueron incluidos por UNOE (ahora BBVA) en el fichero badexcug por un importe impagado de 3.335,99 €. No consta que BBVA haya instado la baja de dicha anotación. CUARTO: UNOE ha sido absorbida por BBVA según escritura de fusión por absorción otorgada por ambas entidades ante notario el día 22 de noviembre de 2016. Se aporta testimonio notarial de dicha escritura de fusión por absorción que determina que BBVA sucede al banco disuelto (UNOE) en todas las relaciones jurídicas y de hecho del mismo, en igual posición jurídica, las cuales serán continuadas por BBVA, incluso en cuanto a cualesquiera procedimientos o reclamaciones y recursos judiciales, administrativos, contencioso administrativos o de cualquier otra índole que se hallen en curso. QUINTO: BBVA ha reconocido la culpabilidad en los hechos imputados por cuanto manifiesta no poder acreditar en envío al denunciante de un requerimiento individual y personalizado, previo a la inclusión de sus datos en los ficheros asnef y badexcug. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Se imputa a UNOE (ahora BBVA) en el presente procedimiento sancionador la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
3. d)que “Los Estados miembros dispondrán que los datos personales sean….
4. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. Por otra parte, el artículo 5 del Reglamento general de protección de datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE, en su apartado 1.
5. d)establece que los datos personales serán: “exactos y, si fuera necesario, actualizados; se adoptarán todas la medidas necesarias todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos que sean inexactos con respecto a los fines para los se tratan (<<exactitud>>); norma en vigor y aplicable a partir del 25 de mayo de 2018. La obligación establecida en el artículo 4 de la LOPD transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: ”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
6. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
7. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
8. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
9. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 A lo que hay que añadir lo que determina el artículo 43 del RLOPD, en relación con la responsabilidad en la inclusión en ficheros de morosidad: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. En este caso, UNOE (ahora BBVA) incorporó a sus sistemas de información los datos del denunciante en relación con una deuda, por un producto financiero y posteriormente, procedió a incluirlos en los ficheros de morosidad ASNEF y BADEXCUG en relación con dicha deuda. En este sentido el denunciante manifestó a esta Agencia Española de Protección de Datos que dicha inclusión se había producido sin requerimiento previo de pago. Recordemos que en efecto, como se acredita en el expediente, a instancias de UNOE (ahora BBVA) fueron registrados los datos personales del denunciante por una deuda de 3.335,99 €. Por su parte, UNOE (ahora BBVA) no ha aportado a esta Agencia documentación que acredite de manera fehaciente que efectuara un requerimiento de pago al denunciante por la deuda de importe ya detallado con carácter previo a la inclusión de sus datos de carácter personal (en concreto nombre, apellidos, domicilio y núm. de DNI) en los ficheros de morosidad ASNEF y BADEXCUG según se ha detallado en los hechos probados relatados en el antecedente de hecho quinto. En relación a la consideración de documentación suficiente a la hora de acreditar el requerimiento previo de pago, a efectos de lo previsto en el citado artículo 38.3 del RLOPD, se hace obligado acudir a lo que dice la sentencia de la Audiencia Nacional de fecha 2 de junio de 2015 (rec. núm. 206/2014), en un supuesto muy similar al analizado: “Las actuaciones previas de inspección con el número E/(…) concluyeron con resolución del Director de la Agencia Española de Protección de Datos, de fecha 14 de abril de 2014, que acuerda proceder al archivo de actuaciones, con sustento en la aplicación del principio de presunción de inocencia, al considerar que no existía actividad probatoria de cargo de la comisión de la infracción denunciada y que existía deuda reconocida por la partes, fruto de una relación contractual entre las mismas, que legitimaba el tratamiento de datos del afectado sin su consentimiento, así como que había quedado acreditado el envío de una carta de requerimiento previo de pago por la entidad denunciada al domicilio del denunciante”. De manera concreta, la sentencia dice que: “Entre tales documentos destacan los siguientes: 1.- Copia del requerimiento de pago remitido por (…) a nombre del denunciante – deudor- y a su domicilio, fechado el 20 de junio de 2012, donde se informa de la existencia de una deuda pendiente, que se reclama, y de la posibilidad de inclusión en ficheros en caso de impago. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 2.- Certificado emitido el 10 de julio de 2013 por Experian Bureau de Crédito, S.A., con quien tenía contratada la entidad bancaria la realización de los requerimientos de pago con carácter previo a la inclusión en ficheros, donde se establece que el requerimiento remitido por Banesto, antes indicado, fue enviado el 20 de junio de 2012 al domicilio del deudor, a través de Crea FBC Marketing, S.L. e Impre-Laser, S.L., usando los servicios Unipost. Este certificado manifiesta también que no existe constancia de que la carta de requerimiento de pago hubiera sido devuelta. 3.-Certificado emitido por Impre-Laser, S.L., acreditativo de la impresión de la carta de requerimiento de pago remitida al domicilio del denunciante. 4.- Certificado emitido por Crea FBC Marketing, S.L., acreditativo del envío a través de Unipost de la carta de requerimiento de pago al domicilio del denunciante. 5.- Certificado de Unipost acreditativo del envió el 20 de junio de 2012 de la carta de requerimiento de pago al domicilio del denunciante". Es decir, en lo referido al presente caso, no se cumplen una serie de requisitos, o fases de la trazabilidad del envío en cuestión, por cuanto UNOE (ahora BBVA) no ha aportada prueba alguna que acredite haber efectuado al denunciante una notificación individualizada de requerimiento de pago, reconociendo la entidad la culpabilidad en los hechos imputados. A tenor de los hechos probados queda acreditado que la actuación de UNOE (ahora BBVA) ha sido contraria al principio de exactitud y veracidad de los datos recogido en el artículo 4.3 de la LOPD en relación con el 29.4 y en relación con los artículos 38.1.c), y 39 del RLOPD. III Corresponde analizar seguidamente si concurre el elemento subjetivo de la culpabilidad cuya presencia es esencial para poder exigir responsabilidad en el ámbito del Derecho Administrativo Sancionador, pues no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia de este elemento para imponerlas (STC 76/1999) . El artículo 130.1 de la LRJPAC recoge el principio de culpabilidad en el marco del procedimiento administrativo sancionador y dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. Por tanto, la acción u omisión sancionada administrativamente ha de ser, en todo caso, imputable a su autor a título de dolo o imprudencia, como ha reconocido reiteradamente el Tribunal Supremo. Es más, del tenor del artículo 130.1 de la LRJPAC se concluye que bastará la “simple inobservancia” para apreciar la presencia de culpabilidad a título de negligencia. En ese sentido la Audiencia Nacional, Sentencia de 17/10/2007 (Rec. 63/2006), ha manifestado que “....el ilícito administrativo previsto en el artículo 44.3.
10. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) El Tribunal Supremo, por su parte, entiende que “existe imprudencia” siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y considera que el grado de la diligencia a observar se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. La denunciada incluyó a la denunciante en un fichero de morosidad sin haberle requerido previamente el pago, incumpliendo con ellos los requisitos del artículo 38.1, c, del RLOPD. La normativa de protección de datos no sólo supedita la legitimidad de la inclusión de los datos del deudor en un fichero de solvencia a que se cumplan los requisitos descritos en el artículo 38 del RLOPD, sino que además “refuerza” la diligencia que debe desplegar el acreedor informante pues el artículo 43.1 RLOPD insiste en que tiene el deber de “asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39” en el momento de notificar los datos adversos al responsable del fichero común” “. (El subrayado es de la AEPD) La exposición precedente evidencia que UNOE (ahora BBVA) obró con falta de diligencia al incluir los datos personales del denunciante en los ficheros ASNEF y BADEXCUG sin cumplir la obligación que le impone el artículo 38.1.c, y 39 del RLOPD. En definitiva sí está presente el elemento subjetivo de la culpabilidad; la falta de diligencia se materializa en una radical ausencia de controles que verifiquen el cumplimiento las condiciones exigidas por la ley para incluir los datos de un tercero en un fichero de solvencia. IV El artículo 45 de la LOPD establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. La Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 202 y 13 de abril y 18 de mayo de 2005). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Respecto a la aplicación del artículo 45.5 de la LOPD se debe reseñar que la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, en relación también con los artículos 38 y 39 del RLOPD concretada en la inclusión de los datos personales del denunciante en los ficheros asnef y badexcug sin requerimiento previo de pago, fue cometida por UNOE, entidad que ha sido absorbida por BBVA según escritura de fusión por absorción otorgada por ambas entidades ante notario el día 22 de noviembre de 2016, que determina que BBVA sucede a UNOE en todas las relaciones jurídicas y de hecho del mismo, en igual posición jurídica, las cuales serán continuadas por BBVA, incluso en cuanto a cualesquiera procedimientos o reclamaciones y recursos judiciales, administrativos, contencioso administrativos o de cualquier otra índole que se hallen en curso. Este hecho determina la existencia del supuesto de hecho reflejado en el artículo 45.5.
26. e)y por tanto permite la aplicación de lo establecido en el artículo 45.5 en cuanto a la aplicación de la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en este caso, tratándose de una infracción grave, se aplicará la escala prevista por el artículo 45.1 para las infracciones leves. En cuanto a la aplicación del artículo 45.4 de la LOPD en atención a la graduación de la sanción debe considerarse lo siguiente: En relación con el carácter continuado de la infracción (apartado 4.a), y según doctrina reiterada de la Audiencia Nacional al respecto, los datos personales del denunciante fueron incluidos, sin cumplir con el requisito legal de requerimiento previo de pago, en dos ficheros de morosidad, ASNEF y BADEXCUG, en fechas 03/12/2015 y 27/12/2015, sin que conste que la entidad haya cursado la baja en los referidos ficheros de dichas anotaciones que vulneran la normativa de protección de datos, y por lo tanto la entidad persiste en la comisión de la infracción. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante una importante entidad financiera. En relación con el grado de intencionalidad (apartado 4.f), recordar con la Audiencia Nacional en su sentencia de 12 de noviembre de 2007 (Rec 351/2006), el siguiente criterio: “Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente caso que la entidad hubiera actuado intencionadamente o con dolo, no cabe ninguna duda de que incurrió en una grave falta de diligencia. En lo que respecta a la falta de perjuicios causados al denunciante (apartado 4.h), y en relación con la importancia de la inclusión y mantenimiento de los datos personales en ficheros de morosidad, el tema ha sido tratado en numerosas sentencias por parte de la Audiencia Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 Así, en relación con este punto y el anterior, recordar la doctrina que en la sentencia dictada el 16 de febrero de 2002 (recurso 1144/1999), por todas, se recoge: “... la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...”. Conforme a lo expuesto en los indecentes y fundamentos de derecho anteriores procede imponer a BBVA (antes UNOE) una multa de 40.000 € por la infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con los artículos 38.1.c), y 39 del RLOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con los artículos 38.1.c), y 39 del RLOPD, tipificada como grave en el artículo 44.3.
27. c)de la LOPD, una multa de 40.000 € (cuarenta mil euros), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es