1/9 Procedimiento Nº PS/00590/2014 RESOLUCIÓN: R/00737/2015 En el procedimiento sancionador PS/00590/2014, instruido por la Agencia Española de Protección de Datos a la entidad LAZORA SII S.A.., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/11/2013, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de denuncia remitido por D. A.A.A. (en lo sucesivo el denunciante) en el que expone, entre otros extremos, que LAZORA incluyó sus datos personales en el fichero de información de solvencia patrimonial ASNEF sin que previamente le hubiera requerido el pago de la deuda. SEGUNDO: Se aporta junto a la denuncia copia de escrito remitido por EQUIFAX de 24/10/2013, en el que se informa de que sus datos personales han sido incluidos en ASNEF por parte de LAZORA con fecha de alta 21/10/2013, por una deuda por valor de 504,85 €. TERCERO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/07779/2013 Concluyéndose la investigación con informe siguiente de la Inspección de Datos de fecha 10/10/14 CUARTO: El Director de la Agencia Española de Protección de Datos acordó, con fecha 30/10/14 iiniciar procedimiento sancionador a LAZORA SII S.A.. Por la presunta infracción del art 4.3 de la LOPD QUINTO: Se han presentado escrito de alegaciones, por parte de la entidad denunciada, con fecha 24/11/14 acompañada de documentación, que se han valorado en la resolución de este expediente SEXTO: Por el instructor del procedimiento se apertura periodo de prácticas de pruebas incorporando las actuaciones practicadas en las actuaciones previas de inspección y las alegaciones efectuadas al acuerdo de inicio. Se solicitó a la entidad denunciada que remitieran informe acerca de las medidas que plantean adoptar, en su caso, para la acreditación de la recepción del requerimiento de pago y posterior control de devoluciones del mismo. SEPTIMO: En contestación a la prueba practicada se remitió, con fecha 12/1/15, el procedimiento implementado para la gestión de impagos, modificado con fecha 1/9/14 para incluir la acreditación de recepción del requerimiento de pago. OCTAVO: Con fecha de 21/1/15 se dictó propuesta de resolución por el instructor del procedimiento en el sentido que por parte del Director de la Agencia se sancione a LAZORA SII S.A.. por la infracción del art. 4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 NOVENO: Se han recibido escrito de alegaciones a la propuesta de resolución por parte de la entidad denunciada, con fecha 12/2/15, entendiendo que existen otras circunstancias que minorarían en mayor medida la responsabilidad de la LAZORA. Naturaleza de los perjuicios causados Entiende que si bien la deuda existente no ha sido objeto de renegociación dada su escasa cuantía, se ha renegociado el contrato del que dicha deuda trae causa y cuyo pago el inquilino no podía afrontar accediendo a la resolución anticipada del mismo y condonando la indemnización a la que LAZORA tenía derecho. Falta de intencionalidad El afectado conocía la existencia de la deuda pendiente y que conocía que la recta anual debía ser abonada en mensualidades anticipadas de igual importe cada una de ellas y hacerse efectivas dentro de los siete primeros días de cada mes. HECHOS PROBADOS 1º Consta denuncia presentada por D. A.A.A. en la que manifiesta que LAZORA incluyó sus datos personales en el fichero de información de solvencia patrimonial ASNEF sin que previamente le hubiera requerido el pago de la deuda 2º Junto al escrito de denuncia se ha aportado copia de escrito remitido por EQUIFAX de 24/10/2013, en el que se informa de que sus datos personales han sido incluidos en ASNEF por parte de LAZORA con fecha de alta 21/10/2013, por una deuda por valor de 504,85 €. 3º Consta en los ficheros de Equifax Ibérica la siguiente información asociada al NIF del denunciante: * Consta una inclusión por importe de 504,85 euros con fecha de alta 21/10/13 y baja 14/11/13 4º Consta en los ficheros de la entidad denunciada la siguiente información en relación a los hechos denunciados: * Que como dirección de contacto del afectado consta (C/.........1), Valladolid. * Que se manifiesta que el envío de los requerimientos de pago es realizado por la propia entidad, utilizando los servicios de Correos. En este sentido LAZORA manifiesta que el procedimiento sería el siguiente: -- “Al producirse la devolución de un recibo de un inquilino correspondiente a la mensualidad del contrato de arrendamiento firmado entre las partes, se informa del impago al inquilino mediante envío de carta por correo ordinario. Se mantiene copia de la comunicación enviada y se incluye en un control formato Excel en el que se detalla la facturación mensual, recibos impagados y fecha de comunicación al inquilino. -- La comunicación enviada tiene por objetivo llegar a una solución amistosa de este incidente con el inquilino, por lo que se le explica el plazo del que dispone el mismo para hacer las consultas o reclamaciones oportunas en relación a su deuda y realizar el pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 de la misma. Asimismo se le informa que en caso de impago su deuda será incorporada a ASNEF. -- Con una periodicidad quincenal, se envía a ASNEF un fichero en el que se comunican las altas y bajas de morosidad. En todo caso, sólo se dan de alta las deudas con más de 3 meses de antigüedad y de las cuales no se haya producido devolución de la comunicación al inquilino. -- En caso de devolución de la carta se registra en el control formato Excel y se reinicia el proceso de comunicación con el inquilino”. 5º LAZORA aporta copia de una comunicación fechada a 14/08/2013 remitida a nombre del afectado a la dirección descrita en el primer apartado. Se le reclama el pago de una deuda por valor de 512,88 € y se le informa de la posibilidad de inclusión en ficheros de información de solvencia patrimonial y crédito en caso de impago. 6º LAZORA no aporta ningún documento acreditativo de que la comunicación descrita en el apartado anterior hubiera sido efectivamente enviada y correctamente recibida en la dirección de destino. Según lo expuesto ut supra esa comunicación fue remitida por correo ordinario. 7º LAZORA manifiesta que no tienen constancia de que la carta señalada hubiera sido devuelta. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD II Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe E/07779/2013 se determinó que salvo prueba en contrario, LAZORA no ha acreditado que requiriese de pago al denunciante con carácter previo a la inclusión de sus datos personales en ficheros de morosidad, con advertencia de tal posibilidad en caso de impago. Por parte de la entidad se han presentado las siguientes alegaciones, en síntesis, ante el acuerdo de inicio: * Que dicha entidad y el denunciante firmaron un contrato de arrendamiento el día 15/5/10 en relación a una vivienda sita en localidad de Arroyo de la Encomienda. * Que en virtud de dicho contrato de alquiler el inquilino debía hacer frente todos los meses al pago de una renta dentro de los siete primeros días de cada mes. * Que ante el impago de la recta del mes de julio se puso en marcha el mecanismo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 recobro de impagados empezando por él, contacto telefónico para informar de la devolución del recibo. Si dicha situación no se soluciona se envía al inquilino una comunicación escrita dando cuenta de la situación de la deuda * Que en este supuesto se envió al Sr. A.A.A. una carta por correo ordinario requiriendo el pago de la deuda y de la posibilidad de incluir sus datos en los ficheros de morosidad. No consta que la carta fuera devuelta * Que se reconoce responsable de la comisión de la infracción imputada por la Agencia en cuanto que no puede acreditar de manera fehaciente la recepción del requerimiento de pago por parte del inquilino (el denunciante) * Que tiene implementado un procedimiento aplicable ante las situaciones en las que tenga un lugar un impago que se siguió en este caso verificando los datos del apagado y la no devolución por el servicio de correos de la carta con el requerimiento de pago remitida * Una vez realizada la verificación se notificó a Asnef la situación del impagado siendo incorporados con fecha 18/10/13 * Que el 11/11/13 el denunciante comunico su intención de abonar las rentas adeudadas y resolver el contrato de arrendamiento. Firmándose el documento de resolución contractual el 15 de diciembre con fecha de efectos el 1/1/14 * En virtud del reconocimiento de la responsabilidad se solicita la aplicación del art. 45.5.d). Solicitando además que se tengan en cuenta los siguientes hechos: -- Que la deuda contraída por el denunciante era cierta, vencida y exigible -- Que la carta remitida al denunciante cumplía con los requisitos formales exigidos por el RD del RLOPD -- Que el denunciante pago la deuda el día 11 de noviembre confirmándose la exactitud de la misma -- Ausencia de beneficios obtenidos -- falta de intencionalidad, y que el denunciante conocía la existencia de la deuda -- Ausencia de reincidencia, al ser la primera vez que son objeto de una denuncia ante la Agencia. Estando incorporando nuevas mejoras al procedimiento al objeto de poder acreditar que el deudor ha recibido el requerimiento de pago a que hace referencia el art. 38 del Reglamento. III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos del denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. IV El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, estableciéndose una serie de requisitos para poder incluir datos en esos ficheros, es decir, se han regulado diversos condicionantes en relación al contenido de esa información o la necesidad de realizar ciertas actividades que deben llevarse a cabo antes de dicha inclusión. Su finalidad es proteger al afectado para que no se vea perjudicado por ese tratamiento de datos (que siempre tiene un carácter desfavorable). El cumplimiento de estos requisitos corresponde al acreedor pues es el único en disposición de conocer si la deuda es real, existe por el importe declarado y no ha sido pagada El Real Decreto 1720/2007, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999 de protección de datos de carácter personal, establece en su artículo 38: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: A) Existencia previa de una deuda cierta, vencida y exigible, que haya resultado impagada Entre los requisitos relativos al contenido de la deuda, desarrollados en el art 38 (y aplicada la Sentencia del TS de 15/7/10) figuran los siguientes:
- a)Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.
- b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación La exigencia de que la deuda sea cierta, responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD, su infracción se tipifica como grave C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 en el art. 44.3.c que establece como tal: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación der los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cundo sea constitutivo de infracción muy grave” Dicho requerimiento previo de pago constituye un requisito autónomo y formal que debe necesariamente cumplirse aun cuando la deuda sea cierta, vencida y exigible. En el caso que nos ocupa LAZORA no aporta ningún documento acreditativo de que el requerimiento de pago hubiera sido efectivamente enviado y correctamente recibida en la dirección de destino, habiéndose remitido dicha documentación por correo ordinario. En consecuencia no cabe duda relativa al incumplimiento de la normativa aplicable que exige que dicho incumplimiento sea previo. El artículo 4 de la Ley Orgánica 15/1999, referente a la “calidad de los datos”, establece en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que la denunciada ha vulnerado el principio de calidad del dato, contemplado en el art. 4, siendo responsable de la infracción del artículo 29.4 de la LOPD en relación con el artículo 38.1
- c)del RFLOPD. El artículo 44.3.
- c)de la LOPD considera infracción grave: “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave”. En este caso, LAZORA ha incurrido en la infracción descrita ya que vulneró el principio de calidad de datos consagrado en el artículo 4 de la LOPD cuando informó en para su registro en el fichero de una deuda sin haber cumplido el requisito material de requerir previamente del pago con anterioridad a la inclusión de la deuda en los ficheros de morosidad. V El artículo 45 de la LOPD, en la redacción dada por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece, en sus apartados 1 a 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de IIS datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La entidad denunciada solicita la aplicación del artículo 8 del RD 1398/93 y del art. 45.5d de la LOPD reconociéndose que la inclusión en el fichero ASNEF no realizó correctamente, pues no puede acreditar de manera fehaciente la recepción del requerimiento de pago por parte del denunciante. Por consiguiente pueden deducirse que existen una serie de circunstancias que minoran de forma cualificada la responsabilidad de LAZORA, en primer lugar el reconocimiento de su responsabilidad que implica la aplicación del art. 45.5.d. En cuanto a las circunstancias tenidas en cuenta para fijar el importe de la sanción, en aplicación de los criterios de graduación de las sanciones establecidos en el artículo 45.4, se han tenido en cuenta las siguientes - Se imputa el incumplimiento de un requisito formal: la falta de requerimiento previo con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 anterioridad a la inclusión; pero no la existencia o exactitud de la deuda, teniendo en cuenta que se trata además de una incidencia puntual puesto que la entidad tiene implementado un procedimiento para la gestión del recobro de la deuda y las cartas de requerimiento si fueron enviadas, cumpliéndose con el resto de los requisitos. Y todo ello en relación a una empresa que no realiza tratamientos de datos de carácter personal, a una gran escala; puesto que su actividad no estrechamente relacionada con el tratamiento de datos personales. - Que ante la reclamación y pago de la deuda se procedió a dar de baja a la deuda anotada en el fichero de morosidad evitándose todo tratamiento posterior de los datos del denunciante. Esta circunstancia, la de dar de baja en los ficheros de morosidad ante la primera reclamación formulada por el denunciante, permite tomar en consideración la especial diligencia en la regularización de la situación irregular, criterio contemplado en la Audiencia Nacional en la SAN de 10/5/12. Por todo ello se considera procedente, en base a los criterios expresados más arriba y que atenúan la responsabilidad de LAZORA imponer una sanción cuya cuantía se cifra en la cantidad de 6.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad LAZORA SII S.A.., por una infracción del artículo 4 de la LOPD, tipificada como grave en el artículo 44.3.c de dicha norma, una multa de 6.000 € (seis mil euros) de conformidad con lo establecido en el artículo 44.4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a LAZORA SII S.A.. y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es