PS-00578-2016

(9). Añade que “si bien el cargo se lo han hecho a la tarjeta mencionada, el dinero se lo han retirado de la cuenta acabada en 294”, “la cual fue abierta después de los hechos denunciados en el atestado anterior”. (folio 11). Aporta copia de certificado de BBVA en el que indica que el 29/12/2015 se canceló la cuenta acabada en 52

(23)Con fecha 2/02/2016, constata un nuevo cargo de 3,45 €, con fecha de operación 14/01/2016, de cargo el 2/02/2016, por concepto “por compra en comercios” por AVIS MAIN 46. Manifiesta la denunciante que tras comunicar con AVIS, reclamación acabada en 020, recibe un correo con fecha 12/01/2016, en el que manifiestan según copia que aporta:” Estimada Sra. A.A.A.…”, “debido a un fallo técnico” los cargos de 7,80 €, 473,34 €, y 505,99 €, han sido indebidos y se van a reingresar en su cuenta”. “En cuanto al movimiento de 500 euros son retenciones que se pasan en la tarjeta antes de hacer os cargos. Una vez realizados los cargos definitivos quedan anuladas de forma automática”. Manifiesta que en respuesta a su reclamación acabada en 744, AVIS “me adjunta factura de contrato acabado en 433 a nombre de B.B.B. por importe de 473, 34 €,” que se corresponde con el cargo en su tarjeta 76 de 13/11/2015. “ Añade que en otra respuesta de otra reclamación también de indican que el cargo de 505,99 € a su tarjeta 76, realizado en el Banco el 31/12/2015 que visionó el 1/01/2016 antes referido también consta el nombre de B.B.B. contrato 7001 Indica la denunciante que se dirigió a AVIS el 3/02/206 pidiendo además la cancelación de sus datos. Adjunta carta de AVIS ALQUILE UN COCHE SA de 16/02/2016 donde le informan, que una vez comprobado el expediente, se constata que dichos cargos han sido por error, debido a “que el cliente que usted menciona en su escrito había proporcionado una tarjeta de crédito cuya numeración coincidía casi en su totalidad con la de la denunciante, salvo en un dígito, y al tener varios contratos mensuales prolongados en el tiempo con AVIS, en el momento en que se tomó dicha numeración para hacer el cargo se produjo el error.” ”De conformidad con su solicitud hemos procedido a la cancelación de todos sus datos de carácter personales que constan en los ficheros titularidad de AVIS”. Aporta copia de correos electrónicos intercambiados con AVIS por los citados cargos y señalando que no es B.B.B. de 3, 12 y 19/01/2016. Aporta copia de los detalles de los movimientos tarjeta de crédito. Entre ellos figura: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 -473,34 €, fecha operación 13/11/2015, tarjeta acabada 76, anotado a mano en boli figura “contrato…acabado 433. Devuelto por AVIS”. -7,80 € fecha movimiento 22/12/2015, fecha valor 6/12/2015, pago con tarjeta, cargo por compra con tarjeta en comercios no figura el número de tarjeta, anotado a boli consta “Dicho importe ha sido devuelto por AVIS” -505,99 €, pago con tarjeta acabada en 76 fecha valor 15/12/2015, fecha movimiento 31/12/2015, concepto “cargo por compra con tarjeta en comercios”, código cuenta cliente acabado 13294, (folio 19). -3,45 €, cargo por compra con tarjeta en comercios, fecha movimiento 2/02/2016, fecha valor 14/01/2016, tarjeta acabada en 76, código cuenta cliente acabado 13294, anotado en boli “Devuelto por AVIS” . Finaliza indicando que “la empresa le ha abonado la totalidad de los importes realizados de forma fraudulenta”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad AVIS ALQUILE UN COCHE S.A., teniendo conocimiento en su escrito de 22/07/2016 de: 1) AVIS no cuenta en sus ficheros con datos relativos a la denunciante, ya que solicitó cancelación de los mismo con fecha 03/02/2016. 2) El error, tal como se le explicó a la afectada, se produjo porque la tarjeta de otro cliente, coincidía casi plenamente en su numeración con la de la denunciante, produciéndose un error humano en la consignación de los dígitos de la tarjeta de crédito del otro cliente. TERCERO: Se solicita a BANCO BILBAO VIZCAYA ARGENTARIA que informara si la tarjeta acabada en 776 fue cancelada el 21/11/2015 y detalle los motivos por los que se realizaron cargos en la citada tarjeta con posterioridad a la cancelación de la misma, concretamente el 22 y 31/12/2015, y 2 y 4/02/2016 teniendo conocimiento en su escrito de entrada 6/09/2016 de: 1) La tarjeta 76 correspondiente a la denunciante fue cancelada con fecha 21/11/2015, aporta impresión de sus sistemas en el que figura el número de la tarjeta y la cuenta asociada, y bloqueo con fecha 23/11/2015. 2) “En fecha 20/11/2015 la empresa AVIS realizó un cargo de 473,34 € en la tarjeta ***NÚM.1. Posteriormente el 21/11/2015 dicha tarjeta fue cancelada “es por ello que el 23/11/2015 BBVA procedió a la devolución de dicho importe” ”No obstante el 16/01/2016 AVIS también procedió a la devolución del mencionado cargo. En consecuencia para regularizar contablemente los movimientos de la tarjeta referida, procedió el 22/02/2016 a cargar en la tarjeta el importe de 473, 43 € al haberse devuelto por duplicado el cargo fraudulento”. Aporta copia de un correo entre empleados de BBVA de 30/08/2016 que señala: “En principio el caso de fraude esta cuadrado, los cargos que tiene el cliente son por procedimiento operativo del Banco. El cliente tuvo doble devolución –del comercio y del Banco, por eso tiene un cargo posterior que se le realiza desde el Banco para regularizar su situación. Te cuento con el cargo que está reclamando el cliente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Cargo original 13/11/2015 20/11/2015 AVIS LISBOA 473, 34 € Devolución BBVA 21/11/2015 20/11/2015 ANUL AVIS LISBOA 473, 34 € (mov no contable 13/11/2015 20/01/2016 ANUL AVIS LISBOA 473,34 € DEVOLUCION COMERCIO RAILW 12/01/2016 15/01/2016 473,34 € aVIS MAIN (mov no contable) 473,34 14/01/2016 CARGO BBVA 19/02/2016 15/01/2016 ANUL AVIS LISBOA 22/02/2016 AVIS LISBOA 473,34 € Según se ha entendido, la consulta viene por los movimientos posteriores al bloqueo de la tarjeta, pero es que no son operaciones, son movimientos contables que realizamos nosotros para regularizar el fraude del cliente.” 3) Con fecha 22/12/2015 y 30/12/2015, se produjeron dos cargos por parte de AVIS, ambos cargos fueron devueltos por el comercio el 15/01/2016. 4) El motivo por el que se realizaron cargos con posterioridad a la anulación de la tarjeta, se debe a que el comercio procesa los cargos mediante proceso Batch-automático-, sin intervención de otros sistemas, introduciendo manualmente los datos de la tarjeta”. “Como se procesa en Batch, los cargos entran en cuenta directamente sin pasar por el Centro autorizador –donde se habría denegado por el bloqueo de la tarjeta). 5) A la entidad no le constan 04/02/2016. cargos realizados con fechas 31/12/2015 y FUNDAMENTOS DE DERECHO PRIMERO: Los hechos expuestos podrían suponer por parte de AVIS ALQUILE UN COCHE S.A. la comisión de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12 de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”, tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Tras las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD:
2. a)En el presente supuesto la denunciante advirtió de los cargos indebidos y a pesar de ello y de recibir escrito reconociendo la denunciada el error, se dirige a la misma con el nombre del cliente Sra, A.A.A., y efectuó poco tiempo después nuevos cargos en la cuenta de la denunciante, concurriendo más de un tratamiento con sus datos, y a pesar de ser advertida de las circunstancias (45.4.a), lo que supone un agravante en su forma de actuación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8
3. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal como entidad que ofrece servicios y recaba datos necesarios para ello (45.4.
4. c)y dado el mayor rigor que, para dichas empresas que manejan un elevado volumen de datos, incidiendo como agravante.
5. c)La escasa diligencia en el tratamiento de datos, puesta de manifiesto al explicar que el error se produjo por la similitud de la cuenta bancaria proporcionada por el cliente, cuando existen otros elementos que adicionalmente debieran haber sido contrastados (nombre apellidos, identificación, etc.) para asegurarse de la persona que daba sus datos, que supone un agravante en la antijuridicidad puesta de manifiesto en dicha forma de actuar (45.4.j). Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a AVIS ALQUILE UN COCHE S.A. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (RLOPD) por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
6. b)de la citada Ley. 2. NOMBRAR como Instructor a ***INSTRUCTOR.1, y Secretario a ***INSTRUCTOR.2, indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
7. b)de la ley 39/2015, de 1/10 y art. 127 letra
8. b)del RLOPD, la sanción que pudiera corresponder sería de 40.001 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a AVIS ALQUILE UN COCHE S.A. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
9. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
10. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 8.000,20 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,80 Euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 8.000,20 Euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,80 y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecida en 24.000,60 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000,80 Euros o 24.000,60 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00578/2016 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
11. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno.>> SEGUNDO: En fecha 4/03/2017 se tuvo conocimiento de que la entidad denunciada abonó 24.000,60 €. AVIS ALQUILE UN COCHE S.A. ha procedido al pago de la sanción haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la LOPD. II El artículo 85 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00578/2016, de SEGUNDO: NOTIFICAR la presente resolución a AVIS ALQUILE UN COCHE S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es