PS-00569-2016

1/17 Procedimiento Nº PS/00569/2016 RESOLUCIÓN: R/01434/2017 En el procedimiento sancionador PS/00569/2016, instruido por la Agencia Española de Protección de Datos a la entidad SISTEMAS FINANCIEROS MÓVILES S.L., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/11/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que SISTEMAS FINANCIEROS MÓVILES, S.L., (en adelante, la denunciada o SISTEMAS FINANCIEROS) ha incluido sus datos personales en el fichero de morosidad ASNEF sin el preceptivo requerimiento previo de pago. Añade que la entidad responsable del fichero ASNEF no le notificó esa inclusión. El denunciante hizo extensiva su denuncia a las entidades NBQ Techonology, S.A.U., y Protocolos y Servicios Financieros, S.L., lo que ha dado lugar a la tramitación de los expedientes de investigación E/0185/2016 y E/013998/2016, respectivamente. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Inspección que se reproduce: <<ACTUACIONES PREVIAS 1. CON RESPECTO DE LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO ASNEF: Los datos del denunciante, con fecha 23 de septiembre de 2016, se encuentran incluidos en el fichero denominado “ASNEF” (Datos relativos al cumplimiento o incumplimiento de obligaciones dinerarias), cuyo responsable es la entidad ASNEF-EQUIFAX, Servicios de Información sobre Solvencia y Crédito, S.L., por “2” incidencias de entidades financieras, pero no de la entidad informante Sistemas Financieros Móviles, S.L., según consta en el documento nº 1. También, han sido dadas de baja “13” incidencias a nombre y NIF del denunciante siendo “4” de ellas de la entidad informante Sistemas Financieros Móviles, S.L., en las siguientes fechas:  Fecha de alta el 31 de enero de 2014 y de baja el 1 de julio de 2014.  Fecha de alta el 30 de junio de 2014 y de baja el 30 de octubre de 2014.  Fecha de alta el 3 de noviembre de 2014 y de baja el 6 de julio de 2016.  Fecha de alta el 18 de julio de 2016 y de baja el 25 de julio de 2016. Dichas circunstancias se detallan en el documento nº 4. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/17 Por otra parte, han sido remitidas al denunciante “19” cartas de notificación de inclusión de incidencias, todas ellas al domicilio calle (C/...1), no constando que ninguna de ellas hubiera sido devuelta a su origen, entre las que se encuentran “6” de la entidad informante Sistemas Financieros Móviles, en el periodo comprendido entre enero de 2014 y julio 2016. Dicha dirección postal coincide con la que consta en la denuncia ante esta AEPD y en el DNI del denunciante. En la entidad figuran “11” expedientes asociados al denunciante mediante los que ha ejercitado sus derechos. 2. CON RESPECTO DE LA ENTIDAD SISTEMAS FINANCIEROS MÓVILES, S.L.:Dicha compañía ha comunicado a la Inspección de Datos, con fecha de 17 de mayo y de 25 de octubre de 2016, en relación con el requerimiento de pago al denunciante lo siguiente:  El denunciante se registró en la página web <www.creditomas.com>, el día 2 de octubre de 2013, facilitando su nombre, apellidos, DNI ***DNI.1, teléfono móvil ***TEL.1, teléfono fijo, dirección de correo electrónico <***EMAIL.1> y dirección postal calle (C/...1), se adjunta impresión de pantalla. También, envía DNI, Contrato de trabajo de duración determinada y cuenta bancaría por correo electrónico, el día 16 de octubre de 2013, se adjunta copia. Las condiciones del contrato de préstamo, que el denunciante aceptó, se encuentran en la página web y en el contrato que le enviaron al correo electrónico donde se reflejan las medidas legales. Se adjunta Condiciones particulares del contrato de préstamo de CreditoMas.es a nombre del denunciante. El día 16 de octubre de 2013 conceden el préstamo nº ***CRED.1 por importe de 70€, fecha de vencimiento 15 de noviembre de 2013.  Las comunicaciones de impago las realizan a través de una empresa externa Servicios de Mailcertificado, S.L. (en adelante Mailcertificado), las Condiciones Generales de Uso se encuentran en la página web <www.mailcertificado.com>. No existe contrato firmado sino aceptación del servicio a través de internet. En la cláusula 6. Protección de datos de las Condiciones Generales se especifican los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1999 y, en concreto, los siguientes: “Mailcertificado realiza el tratamiento de datos de carácter personal de sus Usuarios de conformidad con la Ley Orgánica 15/1999 (LOPD) y su normativa de desarrollo. Por un lado, solo se solicitan y registran los datos de los usuarios mínimos e imprescindibles, para la prestación del Servicio, según sus diferentes modalidades. Estos datos, son tratados con la máxima confidencialidad y guardados el tiempo estrictamente necesario para su uso (…). Estos datos se incorporan a un fichero automatizado que cumple todos los requisitos de inscripción y Seguridad prevenidos en el Real Decreto 1720/2007. Estos datos no serán cedidos a terceros salvo en los casos legalmente previstos, sin perjuicio de que los usuarios pueden, en cualquier momento, ejercer sus derechos de acceso, cancelación o rectificación en relación con dichos datos, solicitándolo a la dirección <....@mailcertificado.com>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 Para el caso de que la ejecución del presente Convenio de Colaboración diera origen a la comunicación entre las partes de información que pudiera ser considerada como datos de carácter personal de terceros, en virtud de lo establecido en la Ley Orgánica 15/1999, las partes se comprometen, recíprocamente, a:  No comunicarse datos personales sin el consentimiento de las personas físicas o, en su caso, sin autorización legal. (…)  No aplicar o utilizar los datos personales que eventualmente pudieran obtenerse, para fines distintos a los que figuran en el presente acuerdo, ni cederlos a otras personas -físicas o jurídicas- (…).  Adoptar las medidas de índole técnica y organizativa necesarias para garantizar la Seguridad de los datos de carácter personal que pudieren obtenerse, en su caso, y evitar su alteración, pérdida, tratamiento o acceso no autorizados, así como guardar Secreto profesional respecto de los mismos, aún después de finalizar las relaciones dimanantes de este acuerdo. (…)”.  El día 28 de noviembre de 2013, a los 11 días de impago, se le notifica al denunciante la deuda Requerimiento de Pago en el que se le informa: “sus datos serán enviados ASNEF transcurridos treinta días desde el vencimiento de su préstamo”, remitido por correo electrónico. Se adjunta copia con código de envío ***REF.2. La empresa Mailcertificado certifica que la comunicación con código ***REF.2 ha sido emitida por Sistemas Financieros Móviles al receptor <***EMAIL.1>, el día 28 de noviembre de 2013, 17:57:32 horas, con el resultado leído a las 17:59:40 horas, por la IP ***IP.1.XXX. Se adjunta dicho certificado emitido por un tercero de confianza, según artículo 25 de la Ley 34/2002, con validez legal y de su contenido.  También, el día 28 de noviembre de 2013, se le notifica al denunciante mediante mensaje SMS lo siguiente “Ref:***CRED.1. Su deuda es de 116,70€. Sera anotado en ASNEF en 30 días y enviado a una empresa de recobro sumando un 15% a su deuda. ***TEL.2 Creditomas.es”, con código ***CODIGO.1. La empresa Mailcertificado certifica que la comunicación con código ***CODIGO.1 ha sido emitida <creditomas> al receptor ***TEL.1, el día 28 de noviembre de 2013, 17:57:35 horas, con el resultado de entregado a las 17:57:47 horas. Se adjunta dicho certificado emitido por un tercero de confianza, según artículo 25 de la Ley 34/2002, con validez legal, y de su contenido.  Pasados 30 días desde el vencimiento de la deuda se remiten los datos del denunciante para su inclusión en el fichero ASNEF.>> TERCERO: Con fecha 23/11/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SISTEMAS FINANCIEROS MÓVILES, S.L., por la presunta infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación también con el artículo 38.1.c, del RLOPD, tipificada como infracción grave en el artículo 44.3.

1. c)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/17 CUARTO: Notificado el acuerdo de inicio, SISTEMAS FINANCIEROS presentó alegaciones en escrito de fecha 13/12/2016, que tuvo entrada en el Registro de la Agencia el 16/12/2016, en el que solicitó el archivo del procedimiento sancionador indicando que “no procede iniciar procedimiento sancionador contra la entidad” “ni encuadrar los hechos denunciados en infracción alguna”. En apoyo de su pretensión la representante de la denunciada adujo los siguientes argumentos: - - - - - - Que SISTEMAS FINANCIEROS a través de su página web www.creditomas.es ofrece microcréditos y facilita una amplia y detallada información que está a disposición de cualquiera que acceda a su web. Que el denunciante prestó su consentimiento a la contratación de un préstamo con la entidad denunciada que se rige por la Ley 16/2011, de Contratos de Crédito al Consumo, sin perjuicio de la aplicación de las disposiciones que procedan de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico y de la Ley 7/1996, de Ordenación del Comercio Minorista. Que el Condicionado General del contrato de préstamo celebrado entre el denunciante y SISTEMAS FINANCIEROS, en su estipulación 12, informa expresamente al contratante de que en caso de impago sus datos podrán ser incluidos en el servicio de créditos de ASNEF- EQUIFAX y en el fichero BADEXCUG. Que la estipulación 14 de las Condiciones Generales del contrato de préstamo concertado a través de creditomas.es señala en el punto 1: “Las notificaciones entre las Partes que deban realizarse como consecuencia del presente contrato serán válidas si se efectúan por correo certificado con acuse de recibo, por SMS, por email en los domicilios, teléfonos o correos electrónicos mencionados a continuación para cada una de las Partes: (…)”. Seguidamente se especifica respecto al prestatario “la indicada en la solicitud del préstamo”; Añade que tiene constancia de que la entidad Servicios de Mailcertificado, S.L, (en adelante, SERMAILCERTIFICADO) hizo el preceptivo requerimiento de pago al denunciante, previo a la inclusión en el fichero de morosidad, con la advertencia de que, en caso de no producirse el pago en el término previsto para ello, los datos relativos al impago podrán ser incluidos en el fichero ASNEF. Declara que tiene constancia de que el requerimiento de pago efectuado al denunciante por SERMAILCERTIFICADO fue recibido por el denunciante y que se cumplieron todos los requisitos exigidos por la normativa de protección de datos para su validez. Concluye su alegato afirmando la ausencia de culpabilidad de la entidad y de antijuricidad de su conducta habida cuenta de los siguientes extremos: Que la relación contractual con el denunciante ha quedado acreditada; que se informó al prestatario, actual denunciante, antes y después de otorgar el consentimiento, de que en caso de no atender el pago en el plazo fijado para ello sus datos podrían ser incluidos en el fichero ASNEF; que está acreditada la existencia de una deuda cierta, vencida y exigible y, finalmente, que está acreditada la existencia de un requerimiento al denunciante, previo a la inclusión de sus datos en el fichero, efectuado por SMS y email. QUINTO: Con fecha 17/04/2017, de conformidad con lo prevenido en el artículo 77.2 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se abrió un periodo de prueba en el que se acordó practicar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 siguientes diligencias: 1. Incorporar al expediente sancionador la denuncia y su documentación anexa, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones y el informe de actuaciones previas de Inspección; documentos todos ellos que integran el expediente E/01399/2016. 2. Incorporar al expediente sancionador el Informe de Inspección emitido en el marco de las actuaciones de investigación previa con referencia E/04569/2016. El Informe de Inspección E/04569/2016, precitado, refleja el resultado de la inspección llevada a cabo en la sede de la empresa Servicios de Mailcertificado, S.L., (SERMAILCERTIFICADO) Detalla el protocolo de actuación que esa entidad sigue para efectuar los requerimientos de pago a través de email y SMS; los mecanismos que le permiten saber si el destinatario de la comunicación la ha recibido en su dirección electrónica e incluso si el mensaje ha sido leído y, por lo que atañe a las comunicaciones a través de SMS, permite conocer si el mensaje de requerimiento se ha recibido, con detalle de la hora, en el terminal móvil del destinatario. 1.- El Informe de Inspección E/04569/2016 transcribe la siguiente información publicada en el sitio web de Servicios de Mailcertificado, S.L. (SERMAILCERTIFICADO): “MailCertificado” es “un servicio de correo electrónico con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de apertura, dirección IP de la máquina desde la que se abrió, número de intentos de entrega y certificación de contenido.” “SmsCertificado” es “un servicio de SMS con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de entrega en el terminal, número de teléfono del terminal en el que se entregó, número de intentos de entrega y certificación de contenido.” 2.1.- Cuando una empresa contrata con SERMAILCERTIFICADO -por lo que aquí interesa, SISTEMAS FINANCIEROS- los servicios de Mailcertificado accede a un programa que reside en el servidor de aquélla y redacta, en forma de correo electrónico, un requerimiento de pago en el que incluye la dirección del destinatario y un cuerpo o texto relativo al requerimiento que se efectúa. Al dar la orden de enviar el mensaje, el servidor de SERMAILCERTIFICADO guarda el requerimiento de pago y crea y envía un correo electrónico de notificación al requerido que contiene un enlace al documento de requerimiento que ha sido guardado. El email que el deudor requerido recibe tiene este formato: “Mailcertificado.com xxx le envía una comunicación certificada”, siendo xxx el nombre de la entidad requirente que ha contratado los servicios de SERMAILCERTIFICADO. El subinspector actuante ha manifestado que cumpliéndose este sistema que SERMAILCERTIFICADO describe se “garantiza la integridad del contenido del requerimiento de pago efectuado a través de esta empresa”. 2.2.- Los envíos efectuados por la empresa SERMAILCERTIFICADO a través de correo electrónico (Mailcertificado) pueden hallarse en alguno de los siguientes estados: 1.) En proceso, cuando el documento de requerimiento de pago se ha almacenado en el servidor de la entidad y aún no se ha enviado al destinatario la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/17 notificación. 2.) Enviado, cuando ya se ha dado la orden de envío y el email sale del servidor de la empresa con destino al servidor de correo electrónico que presta servicio a la cuenta de destino, esto es, a la cuenta del cliente deudor al que se le requiere el pago. 3.) Leído, cuando además de haber recibido en la cuenta de correo electrónico del destinatario el correo electrónico enviado por SERMAILCERTIFICADO aquél accede al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (pulsa “aquí). Si el envío no fuera leído SERMAILCERTIFICADO efectúa varios intentos de notificación posterior. 4.) Fallido, cuando ha fallado la comunicación entre el servidor de SERMAILCERTIFICADO y el servidor que presta el servicio a la cuenta de destino (esto es, la dirección electrónica del deudor) 3.1.- SmsCertificado es un servicio equivalente a MAILCERTIFICADO pero mediante el envío de mensajes cortos (SMS) y su funcionamiento es similar. Los clientes de SERMAILCERTIFICADO pueden acceder a una aplicación web de la entidad a través de la cual redactan el SMS que desean enviar y especifican el número de línea destinataria. El contenido del mensaje se firma digitalmente como en el caso anterior. El correo electrónico se envía al servidor de correo electrónico de SERMAILCERTIFICADO que almacenará una copia en su gestor de contenidos. El servidor de SERMAILCERTIFICADO se conecta con el “servidor del operador de telecomunicaciones que SERMAILCERTIFICADO tiene contratado” y efectúa los envíos. El servidor de mensajes SMS del operador de SERMAILCERTIFICADO contacta con el operador de la línea de destino, le transmite el mensaje y ésta lo entrega al terminal de la línea destinataria, esto es, la línea del deudor requerido. 3.2.- Se añade a lo anterior que los operadores de telecomunicaciones intercambian mensajes con información sobre la entrega exitosa o fallida del SMS. Así pues, en relación a la notificación a través de SMS únicamente se puede confirmar la recepción del mensaje en el terminal del destinatario o el fallo en la entrega del SMS. Se articula un procedimiento que permite guardar los mensajes entre operadoras tanto en el gestor de contenidos de la entidad como en el servidor de la Notaría. 3.3.- En el curso de las actuaciones previas el inspector actuante verificó el correcto funcionamiento de los mecanismos articulados por la entidad en relación con SmsCertificado. Además, el operador telefónico que presta el servicio a SmsCertificado confirmó al inspector actuante los datos de la recepción de los SMS, datos que coincidían con los facilitados por SERMAILCERTIFICADO. 4.- Baker & Mckenzie elaboró un informe jurídico relativo a los servicios de MailCertificado y SmsCertificado prestados por SERMAILCERTIFICADO del que se transcriben algunos fragmentos así como los comentarios recogidos en el Informe de Inspección E/04569/2016: - El informe de la consultora precisa que si bien los servicios prestados “se basan en la figura del tercero de confianza establecida en el artículo 25 LSSICE […] en el contexto en el que se desarrollan los servicios de MailCertificado®, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 BMailCertificado®, AcuerdoCertificado®, FaxCertificado® y SmsCertificado® no siempre podremos considerar, en puridad, que estemos ante un tercero de confianza dado que, en algunos casos, será únicamente una de las partes la que acuda a este tercero para realizar la comunicación sin que el receptor del mensaje haya elegido previamente ese canal como válido entre las partes para desarrollar sus comunicaciones.” (El subrayado es de la AEPD) - En relación a MailCertificado, el informe concluye que “…la Compañía prestadora del servicio tiene un control completo a nivel tecnológico tanto del origen como de la llegada del mensaje (entendiendo por llegada el acceso que se realiza desde la cuenta de correo que recibe la notificación), dado que estos eventos ocurren y son registrados en su propia plataforma. Es por ello que en ambos servicios MailCertificado está en disposición de asegurar frente a su propio cliente y frente a terceros el acuse de envío, la hora y fecha de apertura, la dirección IP de la máquina desde la que se abrió y el número de intentos de entrega.” (El subrayado es de la AEPD) El Informe de la Inspección de Datos de la AEPD subraya que según el informe de la consultora el servicio dispone de un control completo únicamente en un caso, el de las comunicaciones que son efectivamente accedidas por los destinatarios, ignorando el resto de los casos en el que no se produce el acceso a la notificación desde el correo del destinatario. - Respecto al servicio de SmsCertificado, el informe concluye que “…la constancia de la emisión y el contenido se obtienen también a través de la plataforma pero la constancia de la entrega depende necesariamente del operador telefónico que es quién suministra técnicamente esta información a MailCertificado para que, a su vez, ésta última pueda registrarla en sus sistemas. […] habrá de tenerse en cuenta, a efectos probatorios, que una parte de las garantías de que la comunicación se ha producido dependerá del operador telefónico, sin que la prueba, de acuerdo con nuestra jurisprudencia, se pueda desechar por ese solo hecho.” (El subrayado es de la AEPD) SEXTO: La propuesta de resolución, que fue notificada a SISTEMAS FINANCIEROS en fecha 12/05/2017 y consta recibida por la destinataria el 15/05/2017, se formuló en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se acuerde el archivo del procedimientos sancionador PS/00569/2016 abierto a SISTEMAS FINANCIEROS MÓVILES, S.L., al haber quedado acreditado que requirió al denunciante el pago de la deuda pendiente antes de proceder a la inclusión de sus datos en ASNEF, en los términos exigidos por los artículos 38.1.c y 39 RLOPD, por lo que la conducta que se denuncia no es subsumible en el tipo sancionador del artículo 44.3.
2. c)LOPD.>> SÉPTIMO: El 18/05/2017 tuvieron entrada en el Registro de la AEPD las alegaciones de SISTEMAS FINANCIEROS a la Propuesta de Resolución en las que manifestó que “estando conforme con dicha propuesta de resolución en todos sus términos, dentro del plazo de 10 días otorgado así lo manifiesta, solicitando se continúe con el procedimiento hasta el dictado y notificación a esta parte de una Resolución de archivo” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1.- A.A.A., con DNI ***DNI.1 y domicilio en calle (C/...1), Cádiz declara que SISTEMAS FINANCIEROS ha incluido sus datos en el fichero ASNEF sin requerirle con carácter previo el pago de la deuda (folios 1 y 2) 2.- SISTEMAS FINANCIEROS incluyó en el fichero ASNEF los datos del denunciante en cuatro ocasiones: 1ª Incidencia: Alta de 31/01/2014 y baja 01/07/2014 2ª Incidencia: Alta de 30/06/2014 y baja 30/10/2014 3ª Incidencia: Alta de 03/11/2014 y baja 06/07/2016 4ª Incidencia: Alta de 18/07/2016 y baja 25/07/2016 La fecha de los vencimientos, primero y último, de la deuda que ha motivado las cuatro inclusiones es el 15/11/2013. Su importe era de 134,20 euros en la primera inclusión y ascendió a 134,21 euros en las tres restantes anotaciones. La deuda deriva de una operación de “Préstamos personales”. (Folios 82 a 94) 3.- La documentación aportada por EQUIFAX IBÉRICA, S.L., acredita que la responsable del fichero ASNEF notificó al denunciante la inclusión de sus datos en el fichero, informados por SISTEMAS FINANCIEROS, en cuatro ocasiones: Cartas con las referencias **REF.1, emitida el 01/02/2014; **REF.2, emitida el 01/07/2014; **REF.3, emitida el 04/11/2014 y **REF.4, emitida el 19/07/2016. (Folios 37, 43,45 y 51) Todas las cartas se enviaron a la dirección de calle (C/...1), Cádiz, y ninguna de ellas consta devuelta. 4.- La denunciada afirma que el 16/10/2013 se concedió el denunciante un préstamo por importe de 70 euros - nº ***CRED.1- con fecha de vencimiento 15/11/2013. Añade que ese mismo día el denunciante le remitió por email copia del DNI, de la nómina y de la cuenta bancaria (folio 220.b). Aporta impresión de pantalla de sus registros informáticos que lo confirman (folio 12.
3. c)5.- Obra en el expediente, aportado por SISTEMAS FINANCIEROS, la copia del DNI del denunciante, de un contrato de trabajo a su nombre y de una libreta de ahorro de BANKIA abierta a favor de él (Folios 12.r a 12.
4. u)6.- La denunciada ha aportado una impresión de sus ficheros informáticos que revela que, en fecha 02/10/2013, el denunciante se registró en la página web www.creditomas.com., facilitó su nombre, dos apellidos, DNI, teléfono móvil (***TEL.1), teléfono fijo ***TEL.3, dirección electrónica (***EMAIL.1) y dirección postal (calle (C/...1)). (Folio 12.c.) 7.- Las Condiciones Generales del contrato de préstamo concertado con SISTEMAS FINANCIEROS (https://www.creditomas.es/..........) contienen, entre otras estipulaciones, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 - Cláusula 3.1.3.: “Para poder solicitar un préstamo, el usuario deberá previamente haberse registrado a través del formulario que aparece en la página web www.creditomas.es y haber aceptado las condiciones generales que regulan el préstamo mediante la marcación de una casilla”. Añade que deberá incluirse en el formulario la información relativa a importe y duración del préstamo, nombre, apellidos, DNI/NIE, fecha de nacimiento y domicilio del prestatario así como el código postal, el teléfono móvil, la cuenta bancaria y la contraseña. - Cláusula 9.4: “Una vez el Prestatario incumple su obligación de devolución en plazo, el Prestamista podrá informar al registro de morosos que considere oportuno sobre el impago de la deuda del Prestatario, previa comunicación al Prestatario advirtiéndole de este hecho”. - Cláusula 14.1: “Las notificaciones entre las Partes que deban realizarse como consecuencia del presente contrato serán válidas si se efectúan por correo certificado con acuse de recibo, por SMS, por e-mail en los domicilios, teléfonos o correos electrónicos mencionados a continuación: -Prestatarios: la indicada en la Solicitud de Préstamo”. 8.- SISTEMAS FINANCIEROS realiza las comunicaciones de impago a sus clientes deudores a través de una empresa externa, Servicios de Mailcertificado, S.L., (en adelante SERMAILCERTIFICADO). Las Condiciones Generales por las que se rige el contrato, de las que se aporta copia, son accesibles a través de http://www.mailcertificado.com. (Folios 12.a y 12.v a 12.a.2.) 9.-SISTEMAS FINANCIEROS ha aportado un “certificado” expedido por la empresa SERMAILCERTIFICADO relativo a una comunicación dirigida a la dirección electrónica del denunciante ( ***EMAIL.1), comunicación identificada con el código de envío ***REF.2, que figura enviado el día 28/11/2013 a las 17:57:32 horas, siendo el resultado de la comunicación “leído”, la fecha y hora de la lectura el 28/11/2013 a las 17:59:40 horas y la IP de lectura “***IP.1.” (folio 12.
5. d)10.- El certificado expedido por SERMAILCERTIFICADO detalla cuáles son “los estados por los que ha pasado la comunicación hasta alcanzar el actual”. En fecha 28/11/2013 17:57:32 h. el estado es “Enviado”. En fecha 28/11/2013 17.57:38 h. el estado es “Entregado”. En fecha 28/11/2013 17:59:40 h. el estado era “Leido” (Folio 12.
6. e)11.- SERMAILCERTIFICADO certifica el contenido del mensaje enviado en nombre de SISTEMAS FINANCIEROS, a la dirección electrónica del denunciante, el 28/11/2013 (folio 12.h.) En el mensaje se informa al prestatario de que pasados treinta días desde la fecha de vencimiento de su préstamo se trasladará a una compañía de recobro la gestión de la deuda, incrementándose en un 15% sobre el total, y que sus datos serán C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17 enviados a ASNEF transcurridos treinta días desde el vencimiento del préstamo (folios 12.d. a 12.i.) 12.- SISTEMAS FINANCIEROS aporta un certificado expedido por SERMAILCERTIFICADO relativo a la emisión de un “SMS Certificado”, con código de referencia “***CODIGO.1”, con fecha y hora de envió el 28/11/2013 a las 17:57:35 horas, que ha resultado “Entregado”, en la fecha y hora siguiente: “28/11/2013, 17:57:47 horas” El texto del mensaje enviado al número ***TEL.1 es el siguiente:“Ref: ***CRED.1. Su deuda es de 116,70 E. Será anotado en ASNEF en 30 días y enviado a una empresa de recobro sumando un 15% a su deuda. ***TEL.2. Creditomas.es.” 13.- Como consta en el Informe de Actuaciones de Inspección emitido en el E/04569/2016 e incorporado al presente expediente sancionador en fase de prueba, los envíos efectuados por SERMAILCERTIFICADO a través de MailCertificado pueden encontrarse en los estados siguientes: En proceso; enviado; leído y fallido. El envío se encuentra en estado “Leído” cuando además de haber recibido en la cuenta de correo electrónico del destinatario el correo electrónico enviado por SERMAILCERTIFICADO, aquél accede al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (pulsa “aquí). 14.- El subinspector actuante en el E/04569/2016 manifestó que, cumpliéndose el sistema que SERMAILCERTIFICADO tiene implementado en relación con MailCertificado, se garantiza la integridad del contenido del requerimiento de pago efectuado por esta empresa a través de email. En relación con SmsCertificado, el subinspector actuante en el E/4569/2016 verificó el correcto funcionamiento de los mecanismos articulados por SERMAILCERTIFICADO entidad que permiten conocer si un SMS ha sido recibido en el terminal del destinatario o si se ha producido un fallo en la entrega. Y añadió que el contenido del mensaje de requerimiento de pago se firma electrónicamente por SERMAILCERTIFICADO. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
7. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La LOPD se ocupa en su artículo 4 de la "Calidad de los datos" y dedica el apartado 3 al principio de exactitud o veracidad, corolario del principio de calidad de los datos, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en el apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial al amparo del artículo 29 de la LOPD señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
8. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
9. c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Por otra parte, los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Proteccion de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
10. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III La denuncia formulada versa sobre el presunto incumplimiento de SISTEMAS FINANCIEROS de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente antes de incluir sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) A. El criterio que de forma constante viene manteniendo la Sala de lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) B. Consta acreditado en el procedimiento que SISTEMAS FINANCIEROS informó al fichero de solvencia ASNEF en varias ocasiones los datos personales del denunciante, asociados a una misma deuda que procede de una operación de préstamo personal y cuyo impago data del 15/11/2013. En particular, constan cuatro incidencias comunicadas al citado fichero con fechas de alta 31/01/2014, 30/06/2014, 03/11/2014 y 18/07/2016. Las incidencias se dieron de baja, respectivamente, en las siguientes fechas: 01/07/2014, 30/10/2014, 06/07/2014 25/07/2014. Asimismo, resulta acreditado que Asnef Equifax, Servcios de Información sobre Solvencia Patrimonial y Crédito, S.L., responsable del fichero ASNEF, notificó al deudor la inclusión de sus datos en el fichero, de conformidad con lo prevenido en el artículo 29.2 de la LOPD, en las siguientes fechas: el 01/02/2014 (carta con referencia **REF.1); el 15/07/2014 (número de referencia 2014-***REF.2); el 04/1/2014 (referencia **REF.3); y el 19/07/2016 (referencia 2016-***REF.3). Todo ello, sin que ninguna de las cartas conste devuelta. La acreditación documental efectuada por la responsable del fichero ASNEF en el curso de las actuaciones de investigación previa del cumplimiento de la obligación que le impone el artículo 29.2 de la LOPD de notificar al deudor la inclusión de sus datos en el fichero determinó que no se acordara la apertura de un expediente sancionador a dicha entidad pese a que la denuncia que examinamos le atribuía el incumplimiento de la referida obligación de la Ley Orgánica 15/1999. Por lo que respecta a la conducta de SISTEMAS FINANCIEROS que se somete a la valoración de esta Agencia, de la documentación remitida a la AEPD por la denunciada se evidencia que el denunciante contrató con ella, a través de la página web C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 www.creditomas.com, un préstamo personal por importe de 70 euros que le fue concedido en fecha 16/10/2013 para lo cual, previamente, debió registrarse en esa página web y facilitar su nombre, dos apellidos, DNI, teléfono móvil (***TEL.1), teléfono fijo (***TEL.3), dirección electrónica (***EMAIL.1) y dirección postal (calle (C/...1) (hecho probado sexto). El Condicionado General de contrato de préstamo en su cláusula 3.1.3. (http://www.creditomas.es............) exige expresamente como condición para contratar el préstamo que el cliente se registre en la página web y facilite esos datos personales. Ha quedado también acreditado que el denunciante remitió a la denunciada, con quien contrató el préstamo on line, la copia de su DNI, de un contrato de trabajo a su nombre y de una libreta abierta en BANKIA a su favor. Nos remitimos a este respecto al hecho probado quinto de esta Resolucion. C. Frente a la manifestación del denunciante, que niega que SISTEMAS FINANCIEROS le hubiera requerido el pago de la deuda con carácter previo a su inclusión en ASNEF, la denunciada adujo en sus alegaciones al acuerdo de inicio del expediente sancionador que le había informado antes de contratar el préstamo personal de que, en caso de no atender el pago en el plazo fijado para ello, sus datos podrían ser incluidos en ASNEF y que, asimismo, le requirió el pago de la deuda antes de comunicar sus datos al fichero de solvencia, requerimiento que –afirma- se hizo por una doble vía, SMS y email. Por lo que atañe al cumplimiento de la obligación que el artículo 39 del RLOPD impone al acreedor de informar al deudor al tiempo de celebrar el contrato de la posibilidad de que sus datos se comuniquen a un fichero de solvencia si no atiende el pago en el plazo señalado, las Condiciones Generales del contrato de préstamo, accesibles a través de https://www.creditomas.es/.........., indican que para poder contratar un préstamo a través de esa página –como hizo el denunciante- el usuario ha de registrarse cumplimentando un formulario que aparece en ella y aceptar las Condiciones Generales mediante la marcación de la correspondiente casilla. Pues bien, la cláusula 9.4 del Condicionado General, dice: “Una vez el Prestatario incumple su obligación de devolución en plazo, el Prestamista podrá informar al registro de morosos que considere oportuno sobre el impago de la deuda del Prestatario, previa comunicación al Prestatario advirtiéndole de este hecho”. (El subrayado es de la AEPD) Centrándonos en la presunta omisión por SERVICIOS FINANCIEROS del preceptivo requerimiento de pago previo, la denunciada ha declarado que efectuó el requerimiento al denunciante a través de email y SMS. Al hilo de lo anterior es necesario traer a colación la cláusula 14.1 del condicionado general del contrato de préstamo suscrito conforme a la cual “Las notificaciones entre las Partes que deban realizarse como consecuencia del presente contrato serán válidas si se efectúan por correo certificado con acuse de recibo, por SMS, por e-mail en los domicilios, teléfonos o correos electrónicos mencionados a continuación” y especifica que, respecto a los prestatarios, condición que reúne el denunciante, los domicilios, teléfonos o correos electrónicos son los indicados “en la Solicitud de Préstamo”. (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 Así pues, las comunicaciones al denunciante por la entidad denunciada efectuadas por email y por SMS habrían de realizarse a la dirección electrónica y al número de móvil ***EMAIL.1 y ***TEL.1, respectivamente, pues -a la vista de los documentos aportados por la denunciada- éstos son los datos que fueron proporcionados por el denunciante cuando se dio de alta en el sitio web creditomas.com. La denunciada, con el fin de probar que efectuó el preceptivo requerimiento de pago previo a la inclusión en ASNEF, ha aportado varios certificados expedidos por SERMAILCERTIFICADO, que es la empresa externa a través de la cual los realizó. Requerimientos de pago que están firmados electrónicamente por ella. Por lo que atañe al requerimiento de pago realizado a través de email, en el certificado que SISTEMAS FINANCIEROS adjunta a sus alegaciones se hace constar que el emisor del mensaje es ella, SISTEMAS FINANCIEROS; que los datos del receptor del mensaje (el denunciante) es la dirección de correo electrónico ***EMAIL.1, que coincide con la que está registrada en los ficheros de la acreedora y que le fue proporcionada por el denunciante cuando se registró en su página web. Los datos referentes a esa comunicación que constan en el certificado expedido por SERMAILCERTIFICADO son los siguientes: El código de referencia asociado a la comunicación es “ ***REF.2”. La fecha y hora del envío del email el “28/11/2013” a las “17:57:32 horas” y como “resultado de la comunicación: leído”. Se detalla también, la fecha y hora en que tuvo lugar la lectura del mensaje: el 28/11/2013, a las 17:57:32 horas y la dirección IP de lectura: ***IP.1.)” También se aporta un certificado referente al contenido del mensaje enviado por correo electrónico que está firmado de forma digital por SERMAILCERTIFICADO. El mensaje en cuestión es un requerimiento de pago de fecha 28/11/2013, en el que SISTEMAS FINANCIEROS informa al deudor, actual denunciante, de que no ha devuelto el préstamo que le fue concedido el 16/10/2013, número ***CRED.1, que debió haber devuelto el 15/11/2013; que la deuda actual -con arreglo a las condiciones del contrato- asciende a 116,70 euros y se le advierte que transcurridos 30 días desde el vencimiento del préstamo sin que la deuda sea abonada sus datos serán enviados a ASNEF. D. Llegados a este punto se ha de recordar que la línea jurisprudencial reiteradamente seguida por la Audiencia Nacional viene exigiendo que cuando el deudor niega haber recibido el requerimiento de pago previo corresponde al acreedor informante acreditar el envío del requerimiento y su recepción por el destinatario. El núcleo de la controversia que ha dado origen a esta denuncia es que el denunciante niega haber recibido el requerimiento de pago de la deuda informada al fichero ASNEF que la denunciada acredita haber enviado a través de email. La relevancia de acreditar “la recepción” por el interesado del correo electrónico a través del cual se efectúa el requerimiento de pago de la deuda es determinante. Sólo si este extremo ha quedado probado se entiende cumplida por el acreedor informante la obligación impuesta por el artículo 38.1.
11. c)del RLOPD a la que se supedita la legalidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 de la inclusión de los datos patrimonial. personales de un tercero en un fichero de solvencia La SAN de 14/11/2016 (Rec. 1432/2015) advierte de la relevancia que tiene acreditar la recepción del correo electrónico a través del cual se efectúa un requerimiento de pago previo a la comunicación de datos de un tercero a un fichero de morosidad. Así, la precitada SAN desestimó el recurso contencioso administrativo interpuesto por la entidad sancionada contra la resolución dictada por la AEPD por infracción de los artículos 4.3 y 29.4 LOPD, en relación con el artículo 38.1.c, del RLOPD, por cuanto el requerimiento de pago se había efectuado por correo electrónico al email del denunciante sin que se tuviera constancia de la recepción. Así, en el Fundamento de Derecho cuarto indica: “Pues bien, con dichas pruebas no se ha acreditado que se hubiesen efectuado los requerimientos previos a la inclusión en los ficheros Asnef y Badexcug de los datos personales de los denunciantes, (…) En relación a lo correos electrónicos enviados se desconoce si se recibieron adecuadamente por los denunciantes.(…)” (El subrayado es de la AEPD) En el presente caso, como se detalla en el hecho probado noveno, la denunciada ha aportado un documento (“certificado”) de SERMAILCERTIFICADO –empresa con la que contrató la práctica de los requerimientos de pago previos a la inclusión de sus clientes deudores en ficheros de solvencia- en el que se detalla que el correo electrónico a través del cual hizo el requerimiento de pago al deudor fue enviado a la dirección ***EMAIL.1, está identificado con el código de envío “***REF.3” y consta en el estado “Leído” siendo la fecha y hora de la lectura el 28/011/2013 a las 17.59.40 horas y la IP de lectura “***IP.1.” (folio 12.
12. d)El estado “Leído” significa que el mensaje no sólo se ha recibido en el servidor de destino sino -y esto es lo determinante- que se ha recibo en la cuenta de correo electrónico del destinatario y además que el destinatario ha accedido al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (“Lea aquí la comunicación”) Las actuaciones llevadas a cabo por la Inspección de Datos de la AEPD cuyo resultado se plasma en el Informe del E/ 04569/2016, que han sido incorporadas a este expediente, se han centrado en el examen de los diferentes trámites que integran el protocolo de actuación de SERMAILCERTIFICADO en los servicios que presta de Mailcertificado y SmsCertificado. Basta hacer constar a los efectos que aquí interesan que la Inspección de la AEPD ha concluido lo siguiente: Por una parte, que el protocolo seguido en el servicio de Mailcertificado (esto es, el servicio de requerimiento prestado por la empresa SERMAILCERTIFICADO a través de correo electrónico) garantiza la integridad del texto del mensaje de requerimiento enviado. En el presente caso el mensaje enviado es un requerimiento de pago al denunciante por una deuda de 116,70 euros advirtiéndole de la inclusión en ficheros de morosidad si no atiende el pago en los treinta días siguientes a la fecha de vencimiento. Por otra, que se ha verificado que cuando el estado de los mensajes electrónicos se califican como “leídos” por la empresa SERMAILCERTIFICADO, esos correos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 electrónicos han llegado a la dirección electrónica del destinatario y han sido leídos, o lo que es igual, que el destinario, recibido el mensaje en su correo electrónico con el texto “SISTEMAS FINANCIEROS le envía una comunicación certificada”, y un enlace (“Lea aquí la comunicación”), ha dado el paso de descargar el texto del mensaje a través de ese enlace. Recordemos también que con arreglo al condicionado del contrato el denunciante aceptó que las comunicaciones a él dirigidas se pudieran hacer a la dirección de correo electrónico facilitada cuando se registró en la página web, que coincide con aquella a la que se ha enviado el requerimiento de pago de la deuda. Así las cosas, a tenor de la exposición precedente y de los hechos declarados probados, se estima que en el presente caso está acreditado que el denunciante fue requerido de pago por SISTEMAS FINANCIEROS, con carácter previo a la inclusión de sus datos en ASNEF, mediante un mensaje electrónico cuya recepción en su dirección electrónica ha quedado igualmente probada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO:ACORDAR el ARCHIVO del procedimiento sancionador PS/00569/2016 abierto a SISTEMAS FINANCIEROS MÓVILES, S.L., por cuanto la conducta denunciada no es subsumible en el artículo 44.3.
13. c)LOPD habida cuenta de que ha quedado probado que la denunciada requirió al denunciante el pago de la deuda pendiente antes de incluir sus datos en el fichero de solvencia patrimonial en los términos exigidos por los artículos 38.1.
14. c)y 39 del RLOPD, por lo que no existe infracción del artículo 4.3, en relación con el 29.4, de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a SISTEMAS FINANCIEROS MÓVILES, S.L., y a D. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es