PS-00602-2014

1/12 Procedimiento Nº PS/00602/2014 RESOLUCIÓN: R/00857/2015 En el procedimiento sancionador PS/00602/2014, instruido por la Agencia Española de Protección de Datos a la entidad Tyco Integrated Security, S.L.U., vista la denuncia presentada por Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 6 de noviembre de 2013, tiene entrada en esta Agencia un escrito remitido por Don A.A.A. en el que expone lo siguiente: <<< 1. El Afectado y ADT ESPAÑA SERVICIOS DE SEGURIDAD, SL celebraron un contrato denominado de arrendamiento de sistema de seguridad (alarma), del que se aporta copia como DOCUMENTO N 1 (el “Contrato”). 2. En fecha 19 de julio de 2011 se resolvió dicho contrato y en virtud de ello ADT ESPAÑA SERVICIOS DE SEGURIDAD, SL incluyó al Afectado en el fichero de solvencia patrimonial y crédito titularidad de Equifax ibérica S.L. 3. Ante diversos intentos de llegar a una solución por el Afectado, así como el ejercicio de sus derechos de acceso y cancelación, se interpuso demanda ante el orden civil para que decretaran la inexistencia la deuda así como la cancelación de sus datos en dicho fichero. 4. Como consecuencia de la demanda anterior, se dictó sentencia el pasado día 04 DE JULIO DE 2013 en la que se declaraba la inexistencia de la deuda y se obligaba a ADT ESPAÑA SERVICIOS DE SEGURIDAD, SL a cancelar los datos en dicho fichero, de la que se aporta copia como DOCUMENTO N 2 (la “Sentencia”). 5. Que con fecha 19 de julio de 2013 se solicitó ante el titular del fichero de solvencia patrimonial y crédito la cancelación de los datos, acompañando de la mencionada sentencia, de los que se aporta copia como DOCUMENTO N 3. >>> Acompaña copia del DNI, del contrato suscrito con ADT ESPAÑA SERVICIOS DE SEGURIDAD SL, de la sentencia en que se declara la inexistencia de la deuda y de los documentos de ejercicio del derecho de cancelación. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad ADT ESPAÑA SERVICIOS DE SEGURIDAD SL (ahora Tyco Integrated Security SLU, – en lo sucesivo Tyco-). La investigación termina con el informe del Inspector de Datos: <<< Según consta el Registro Mercantil Central, ADT España Servicios de Seguridad S.L. tiene como denominación social Tyco Integrated Security S.L., con CIF **********. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 Con fecha 12 de diciembre de 2013 se ha requerido por escrito a ADT España Servicios de Seguridad S.L. el motivo por el que los datos del reclamante han sido incluidos en Asnef a pesar de la sentencia judicial que establece la inexistencia de la deuda. Este requerimiento de información consta como debidamente entregado en fecha 17/12/2013 pero no se ha recibido respuesta por parte de la entidad. >>> TERCERO: De todo lo actuado en las investigaciones previas se concluyó salvo prueba en contrario, que ADT ESPAÑA SERVICIOS DE SEGURIDAD, S.L., (ahora -Tyco-) realizó tratamiento de los datos personales de la persona denunciante sin tener en cuenta el principio de calidad de datos en las siguientes actuaciones: inclusión de los datos personales del denunciante en el fichero de morosos Asnef sin acreditar la notificación del requerimiento de pago previo y sin tener en cuenta la sentencia judicial que declara la inexistencia de la deuda y ordena la cancelación en Asnef. CUARTO: Con fecha 30 de octubre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Tyco, por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. c)de dicha norma. QUINTO: Notificado el acuerdo de inicio, la denunciada manifestó lo siguiente: ADT tuvo que interponer denuncia contra Secúritas Direct por los actos que estaba llevando a cabo respecto a los clientes de TYCO. Incluso todas las denuncias las está planteado Secúritas en nombre de los clientes de TYCO en su propio beneficio. Los hechos ocurridos relacionados con la denuncia fueron que el denunciante contrató con ADT la prestación de un servicio de seguridad de alta tecnología, lo que conllevaba un arrendamiento del equipo y una obligación de permanencia. Al cancelar el contrato se facturó la penalización que constaba en el contrato. Se le fue instando al pago de lo debido, y ante su impago se incluyeron sus datos en el fichero denominado ASNEF. Si no se contestó al requerimiento de información realizado por la Inspección de Datos fue porque se extravió. El día 28 de julio de 2011 se contactó con el denunciante para advertirle la penalización que conllevaba la baja anticipada del servicio. Si se mantuvieron los datos tras conocer la Sentencia fue debido a un error informático; lo lógico es que el denunciante se hubiese puesto en contacto con TYCO para la cancelación de sus datos, pero no lo hizo. En cuanto fueron conscientes del error dieron de baja los datos del denunciante incluidos en el fichero ASNEF SEXTO: Con fecha 28 de noviembre de 2014, se inició el período de práctica de pruebas, Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, el requerimiento de información a TYCO sin respuesta y las alegaciones al acuerdo de inicio de esta entidad ajuntando documentos. Asimismo, se requirió a Don A.A.A. para que en el plazo de diez días, a contar de la recepción de este acuerdo, aporte copia del contrato firmado (si lo hubiere), de facturas y comunicaciones recibidas de ADT (ahora Tyco) y reclamaciones -a OMIC, Juntas de Arbitraje de Consumo, organismo de Industria competente, Juzgados- en relación con los hechos denunciados o procedentes de dicha compañía o sus subcontratadas, o de Asnef / Equifax Ibérica, que no hubiera presentado con su denuncia. Se solicitó a Equifax Ibérica SL para que en el plazo de diez días aporte a este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 procedimiento copia impresa de los datos que figuran en los ficheros de Asnef -y sus expedientes-, respecto a Don A.A.A. con NIF B.B.B., en relación con las deudas informadas por (ADT España Servicios de Seguridad SL (ahora Tyco). Por último, se requirió a Tyco para que en el plazo de diez días, a contar de la recepción de este acuerdo, aporte copia del DNI y poder de representación bastante de su representante, contrato firmado por la persona denunciante y DNI de esta y toda la documentación con la ejecución del mismo; comunicaciones recibidas y enviadas en relación con los hechos denunciados; sentencia del Juzgado y documentos relacionados; copia legible de los escritos remitidos al denunciante por sí o por empresa de recobros, incluida la notificación del requerimiento de pago previo a la inclusión en Asnef –si lo hubiere- y todas las comunicaciones relacionadas con este fichero de morosos en el soporte en que se hubieran producido; impresión legible de las pantallas de la base de datos referidas al denunciante. SÉPTIMO: TYCO aportó la documentación solicitada. Equifax acompañó las altas y bajas del denunciante en el fichero ASNEF. OCTAVO: Con fecha 10 de marzo de 2015 se formuló propuesta de resolución con el literal:” “Que por el Director de la Agencia Española de Protección de Datos se sancione a TYCO INTEGRATED SECURITY, SLU, con multa de 50.000 € (cincuenta mil euros), por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
2. c)de dicha norma, de conformidad con el artículo 45. 2) y 4) de dicha LOPD” NOVENO: Con fecha de 30 de marzo de 2015, TYCO presenta escrito de alegaciones en el que señala, en síntesis, lo siguiente: - Detalla que lo acontecido fue fruto de errores informáticos producidos en 2013 en los listados de inclusiones en ASNEF a través de varios filtros o condiciones de servicio que seleccionan la información susceptible de ser tratada. En el tratamiento de dicho tipo de datos, se cruzan varias bases de datos como resultado da un listado de clientes que tienen deuda activa, El error incluyó interrupciones en el suministro eléctrico, que provocó el reseteo de los sistemas alterándose los filtros programados. - TYCO ha reconocido la culpabilidad de forma espontánea por lo que solicita que se aplique lo establecido en el apartado
3. d)del artículo 45.5 de la LOPD - Los hechos se corrigieron en cuanto se recibieron las comunicaciones del error cometido. Se cancelaron los datos del denunciante en el fichero ASNEF el 17 de diciembre de 2014. Por ello, solicitan que se aplique lo establecido en el apartado
4. b)del artículo 45.5 de la LOPD. HECHOS PROBADOS PRIMERO: Don A.A.A. con NIF B.B.B., suscribió un contrato de arrendamiento de servicios de seguridad, el día 14 de junio de 2011, con la entidad ADT, por un periodo de 24 meses; con una penalización si se daba de baja el contratante. (Folios 93 a 96). SEGUNDO: El denunciante resolvió dicho contrato el 12 de julio de 2011. Folio 14). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 TERCERO: ADT incluyó los datos del denunciante en el fichero denominado ASNEF en fecha 30 de noviembre de 2011. (Folio 220). CUARTO: El 30 de julio de 2013, TYCO comunicó los datos del denunciante en el fichero ASNEF. (Folio 221) QUINTO: El denunciante presentó demanda que fue tramitada por el Juzgado de Primera Instancia e Instrucción número 1 de Majadahonda, que, en fecha 4 de julio de 2013, resolvió estimar parcialmente la demanda presentada por Don A.A.A. contra ADT y declarar la inexistencia de deuda a favor de la parte demandada proveniente del contrato de arrendamiento de servicio de seguridad de 14 de junio de 2011, debiendo ser dado de baja en los archivos ASNEF o de morosidad en los que haya sido incluido en relación al anterior contrato. (Folios 18 a 23) SEXTO: Con fecha 10 de julio de 2013, Don A.A.A. solicitó a Equifax la baja de sus datos en el fichero ASNEF, acompañando copia de la Sentencia dictada a su favor (Folios 263-270). SÉPTIMO: Equifax se dirigió a TYCO para que informase si se procedía a la cancelación de los datos del denunciante y TYCO, en fecha 18 de julio de 2013 confirmó el mantenimiento de los datos en el fichero ASNEF (Folio 272). OCTAVO: TYCO procedió a dar de baja los datos del denunciante en fecha 18 de diciembre de 2013. (Folio 232) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. II La infracción imputada a TYCO deriva de lo previsto en el artículo 44.3.
6. c)de la LOPD, que tipifica como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. El artículo 4.3 señala: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. También se ha de relacionar ese 4.3 con el artículo 29 de la LOPD que regula de forma específica la prestación de servicios de información sobre solvencia patrimonial y crédito, distingue dentro de ellos dos supuestos. Uno de los cuales es el relativo a los ficheros de solvencia patrimonial en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés, que se regulan en el apartado 2. Estos ficheros se caracterizan porque no necesitan del consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 afectado para la obtención y tratamiento de sus datos, lo que supone una excepción a los principios rectores de la LOPD (entre ellos el del consentimiento del afectado en el tratamiento y cesión de sus datos de carácter personal). No obstante, frente a esta excepción, la propia norma articula una serie de contrapesos, como es su limitación a un caso concreto (cumplimiento o incumplimiento de obligaciones dinerarias) y la obligación de notificar a los afectados el hecho de que se han registrado sus datos de carácter personal. Por otra parte, el artículo 38 del RLOPD regula los "requisitos para la inclusión de los datos" en esos ficheros y ha sido impugnado en algunos de sus apartados ante el Tribunal Supremo, habiéndose dictado la STS de 15/07/010 (Rec. 23/2008), que anula entre otros preceptos, por disconformes a derecho, el último inciso del artículo 38.1.
7. a)y el apartado 2 del citado artículo 38 del RDLOPD. Considera el Alto Tribunal que la parte del artículo 38.1.
8. a)anulada, que es la que aquí nos interesa, no responde a la previsión legal del artículo 4.3 LOPD, en atención a la defectuosa redacción del precepto reglamentario por una inconcreción en su texto no solo de aquellos procedimientos que justifican la no inclusión en los ficheros de las deudas a que aquellos se refieren, sino también porque esa vaguedad permite considerar que incluso cuando la reclamación se formule por el acreedor exista la imposibilidad de inclusión de los datos en el fichero. La redacción del artículo 38 del RDLOPD, tras la aplicación de la citada STS es la siguiente: 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
9. a)Existencia previa de una deuda cierta, vencida, exigible que haya resultado impagada.
10. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación.
11. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 3 El acreedor o quien actué por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo a que se refiere el artículo siguiente.” Es decir, para la inclusión de los datos en ficheros de información sobre solvencia patrimonial y crédito, tanto la redacción actual del precepto como la original, requiere al inicio del apartado 1.
12. a)que la deuda sea cierta, exigencia que responde al principio de veracidad y exactitud de los datos recogido en el artículo 4.3 de la LOPD. Es el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por ello se viene considerando, también con la redacción actual del citado artículo 38.1.a del RDLOPD tras la sentencia del Tribunal Supremo, que en supuestos como el presente en que consta una demanda instada por el denunciante para dirimir la certeza y exactitud de la deuda ante un tribunal, con competencia para declarar la existencia o no de la deuda, no concurre el requisito de deuda cierta exigido por el citado artículo 38.1.
13. a)para la inclusión de los datos en los ficheros de solvencia patrimonial y crédito. La citada reclamación que se tramita conforme a la normativa incide en que mientras tanto se resuelve, no se ha de agravar la condición del reclamante, vedando que pueda hablarse de deuda cierta e impide su inclusión en los ficheros de solvencia patrimonial y crédito. Si cuando se está tramitando con conocimiento de la reclamada no se considera cierta, más lo sería cuando queda resuelta a favor del afectado, como en este caso. La inclusión mientras se tramita la reclamación, resulta con independencia del resultado que con posterioridad pudiera dictarse, pues como se ha señalado en la SAN de 30/05/2012 ( Rec. 664/2010 ) la certeza de la deuda constituye un requisito para que los datos personales puedan tener acceso a los citados ficheros ex artículo 38.1.
14. a)RDLOPD, de tal forma que si se incluye una deuda que en ese momento no es cierta se infringe el principio de calidad de datos, por lo que al haberse ya perfeccionado la conducta típica resulta irrelevante a efectos de la existencia de la infracción, el posterior resultado de la reclamación o laudo arbitral, sin perjuicio de que, en su caso, lo resuelto por el laudo arbitral firme pueda ser valorado y tomado en consideración a efectos de poder apreciar una cualificada disminución de la antijuridicidad, especialmente a partir de la citada STS de 15 de julio 2010 . En el presente caso se ha comprobado que la denunciada comunicó y confirmó el alta de los datos del denunciante al fichero ASNEF cuando se había resuelto por el Tribunal competente las discrepancias sobre la deuda, y conocía aquella su interposición, así como del resultado de la Sentencia que declaraba nula la deuda y obligaba a sacar del fichero ASNEF sus datos; por lo que debió abstenerse de esa inclusión y, cuando en julio de 2013, el denunciante solicitó la baja de sus datos debió autorizarla y no confirmarlos y mantenerlos durante 5 meses más. No se puede decidir unilateralmente la exigibilidad de la deuda y anotar en fichero de solvencia, cuando la denunciada conocía el hecho de que estaba pendiente de pronunciamiento del Tribunal competente. Esta tesis se mantiene por ejemplo en la sentencia de la Audiencia Nacional sección 1, recurso 227/2011, de 26/10/2012, fundamento de derecho IV, en el caso de que el denunciante había acudido a un órgano administrativo “Por ello viene considerando la Sala, también con la redacción actual del citado artículo 38.1.a del RDLOPD tras la sentencia del Tribunal Supremo de 15 de julio 2010 , que en supuestos como el presente en que consta una reclamación instada por la afectada para dirimir la certeza de la deuda ante un órgano arbitral, con competencia para declarar la existencia o no de la deuda, no concurre el requisito de deuda cierta exigido por el citado artículo 38.1.
15. a)para la inclusión de los datos en los ficheros de solvencia patrimonial y crédito.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Es decir la citada reclamación veda que pueda hablarse de deuda cierta e impide su inclusión en los ficheros de solvencia patrimonial y crédito. No siendo cierta la deuda, y sabido por la denunciada antes de enviar los datos a los ficheros de solvencia, pues le constaba la motivación del denunciante plasmada en la reclamación, no pueden ingresar dichos datos en tales ficheros. En este caso, no se puede hablar de tal certeza. Es decir, mientras que un tercero legalmente establecido concrete, no es posible, por el sistema garantista que opera en este tipo de ficheros, la materialización de su inclusión, en un caso como este, en que se concretaba y razonaba fundadamente la posible falta de certeza de parte de la deuda. Así, la Sentencia de la Audiencia Nacional recurso 0000309/2011 de 16/11/2012 se pronuncia entre otras sobre este asunto indicando en el fundamento de derecho V: “La redacción actual del precepto, como la original, no impiden que sea sancionable el anotar en los ficheros de morosidad deudas que no son ciertas y que posteriormente deben ser canceladas por la empresa acreedora que procedió a dicha anotación". Aplicando la anterior doctrina al presente supuesto, ha de concluirse que TYCO ha vulnerado el principio de calidad del dato del artículo 4.3 de la LOPD, al comunicar datos del denunciante para su registro en el fichero “Asnef”, que no puede ser considerados ciertos y exigibles, teniendo en cuenta la reclamación judicial presentada así como la sentencia que anula la deuda, y por no haber realizado, al menos, la exclusión de los mismos de modo cautelar, una vez tuvo conocimiento de dicha reclamación ante el Tribunal. Entidad que incluso procedió a no dar de baja la deuda tras la Sentencia y la solicitud expresa del denunciante, conducta que encuentra su tipificación, en la actualidad, en el artículo 43.3.
16. c)de la citada Ley Orgánica. Por tanto, la conclusión que se desprende es que se ha incumplido el requisito básico para la inclusión y permanencia en ficheros de solvencia, que ha sido la certeza de la deuda, al discutirse su cuantía. De lo anterior se deduce que las comunicaciones de los importes de la factura discutida, al fichero ASNEF implican que la denunciada facilitó una información que no respondía a la situación exacta, veraz y actual del denunciante. En conclusión, TYCO es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD, en los términos previstos en el artículo 43 en relación con el artículo 3.
17. d)y
18. c)de la citada Ley Orgánica. III Alega TYCO que el denunciante no se dirigió a esa entidad solicitando la exclusión de sus datos del fichero ASNEF. Hay que recordar que tras la Sentencia que declaraba que la deuda no era exigible y que debían ser excluidos sus datos del fichero ASNEF, el denunciante se dirigió al responsable del citado fichero solicitando la cancelación de sus datos y acompañando la Sentencia como fundamento. Equifax se dirigió a TYCO trasladando la solicitud del denunciante y TYCO ratificó la deuda quince días después de dictada la Sentencia. Asimismo mantuvo los datos de Don A.A.A. durante cinco meses más después de conocer la Sentencia. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
19. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
20. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por TYCO puede subsumirse o no en tales definiciones legales. Y ello tanto es así, puesto que la entidad imputada trató automatizadamente en sus propios ficheros los datos relativos al denunciante y a la supuesta deuda (que no era cierta ni exigible a la postre por decisión de un Tribunal ordinario); datos de los que es responsable conforme al artículo 3.
21. d)citado. Adicionalmente, decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación a unos ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implicaba un tratamiento automatizado de datos cuyo destino era, a su vez, un tratamiento automatizado por parte de los responsables de los ficheros de solvencia, siendo dados de alta al culminar el proceso descrito. De lo expuesto se deduce que TYCO ha sido responsable del tratamiento de datos del denunciante en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa al denunciante no responda a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD (exigencia de que los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, la entidad imputada no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). V El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
22. a)El carácter continuado de la infracción.
23. b)El volumen de los tratamientos efectuados.
24. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
25. d)El volumen de negocio o actividad del infractor.
26. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
27. f)El grado de intencionalidad.
28. g)La reincidencia por comisión de infracciones de la misma naturaleza.
29. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
30. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
31. j)Cualquier otra circunstancia que sea relevante para determinar el grado de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
32. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
33. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
34. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
35. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
36. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” A. Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. B. Se estima que no concurren las circunstancias necesarias para que pueda establecerse la sanción aplicando la escala relativa a las infracciones leves, por actuación diligente en la regularización, como exige el 45.5.
37. b)de la LOPD. Desde que se presentó la demanda y conoció la Sentencia que estimaba las pretensiones del denunciante hasta la baja efectiva de la línea pasan cinco meses, aun cuando el denunciante solicita la baja expresamente tras la Sentencia y TYCO ratifica el mantenimiento de sus datos. C. No puede tenerse en consideración que haya reconocido espontáneamente la responsabilidad, ya que no consta en el escrito de alegaciones al acuerdo de inicio tal reconocimiento ni en la contestación a la prueba. D. Por otra parte, los criterios de graduación de las sanciones, establecidos en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados contraviniendo el principio de calidad de datos, al menos desde diciembre de 2011 hasta diciembre de 2013. La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que TYCO es una empresa que tiene como actividad la prestación de servicios de seguridad y tiene un constante tratamiento de datos de carácter personal derivado del volumen de negocio y clientes que tiene, estando, por tanto, su actividad relacionada con el tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 En lo que se refiere al volumen de negocio, se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la inclusión y mantenimiento de los datos del denunciante después de dictarse una Sentencia en sentido contrario, no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD hace que se imponga una sanción por importe de 50.000 €. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad Tyco Integrated Security SLU, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
38. c)de dicha norma, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2, y 4 de la citada Ley Orgánica. Que por el Director de la Agencia Española de Protección de Datos se sancione a Tyco Integrated Security SLU, con multa de 50.000 € (cincuenta mil euros), por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
39. c)de dicha norma, de conformidad con el artículo 45.2, y 4 de dicha LOPD. SEGUNDO: NOTIFICAR la presente resolución a Tyco Integrated Security SLU, y a Don A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es