PS-00607-2017

1/9 Procedimiento Nº PS/607/2017 Resolución: /00823/2018 En el procedimiento sancionador PS/607/2017, instruido por la Agencia Española de Protección de Datos, a la entidad CAIXABANK PAYMENTS SA. (CAIXABANK P.), vista la denuncia presentada por D A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 04/05/17, tiene entrada en esta Agencia, escrito de A.A.A., donde denuncia que: “Con fecha 15/07/16 cancela una cuenta en CAIXABANK y la tarjeta de crédito asociada a la misma, pero el 31/08/16 recibe una carta de la entidad reclamando una deuda de 149,00 euros de un gasto realizado el 09/08/16 con la tarjeta de crédito que había sido ya entregada el día de la cancelación de la cuenta, esto es, el 15/07/16. Los hechos son denunciados y se reclama en persona ante el director de la oficina de Valdemoro (Madrid) y a través de varias llamadas telefónicas al director de la oficina de Getafe (Madrid), de CAIXABANK donde les comunica que no había realizado la operación del día 09/08/17 y que por consiguiente se negaba a pagarla. Tras recibir varias cartas de Caixabank reclamando la deuda, pasaron sus datos a la empresa GESIF, la cual ha estado reclamándola hasta enero de 2017. Los datos fueron incluidos en los ficheros de morosidad ASNEF, el 23/10/16. Denuncia los hechos a la OMIC de Valdemoro (Madrid), el 17/11/16, y el 30/01/17 recibe una carta de CAIXABANK pidiendo disculpas y diciéndole que da de baja la deuda y los datos incluidos en los ficheros de solvencia”. Aporta la documentación ya indicada en la incoación del expediente y en la propuesta de resolución. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa CAIXABANK P., remitió la información ya indicada en la incoación del expediente y en la propuesta de resolución. TERCERO: Con fecha 19/12/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad CAIXABANK P, por dos presuntas infracciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), en los artículos 6.1 y 4.3 de dicha Ley, tipificadas como graves en los artículos 43.3.b y

1. c)respectivamente, pudiendo ser sancionada cada una de ellas, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica, fundamentándolo, esencialmente en: Respecto de la infracción del artículo 6.1) de la LOPD: “la denunciante da de baja una cuenta corriente junto con la tarjeta de crédito asociada, en CAIXABANK el 15/07/16. El 31/08/16 recibe una carta de la entidad reclamando una deuda de 149 euros de una compra realizada el 09/08/16 con la tarjeta de crédito dada de baja 15/07/16, (24 días antes). La denunciante indica que ese mismo día 31 de agosto, tras recibir la carta de reclamación de deuda y requerimiento de pago, se persona en las oficinas de la entidad, en Valdemoro y habla con el director de la oficina denunciando los hechos. También se pone en contacto telefónicamente, con el director de la oficina del Getafe para explicarle lo sucedido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 CAIXABANK alega que no tiene conocimiento de las reclamaciones hechas y solo, cuando recibe la reclamación por fraude a través de la OMIC de Valdemoro (Madrid) el 07/12/16, procede declarar la operación como fraude y a dar de baja los datos personales de la denunciante de los ficheros de solvencia el 31/01/17, pero esto se produce 55 días después de haber recibido la reclamación”. Respecto de la infracción del artículo 4.3 de la LOPD desarrollado en el artículo 38.1.
2. a)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, RLOPD: “la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan” sentencia dictada por AN el 16/02/02 (recurso 1144/1999). La inclusión como moroso del denunciante se realiza en dos ficheros comunes de solvencia, lo que supone un “mayor campo de difusión” de dicha condición y con ello del perjuicio causado (sentencia de la Audiencia Nacional de 18/05/2017- R 53/16. CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia, mediante escrito de fecha 12/02/18, formuló, en síntesis las siguientes alegaciones: “No supondría una infracción del artículo 6.1 de LOPD el haber adjudicado un gasto al titular de la tarjeta que ha cancelado el contrato si la operación se hubiera llevado a cabo con anterioridad a la cancelación del mismo. Esto es debido a que el contrato prevé que el titular de la tarjeta pueda cancelar el contrato, sin perjuicio de que las operaciones que están en marcha, es decir, que se han realizado con anterioridad a la cancelación, puedan ser liquidadas. Se reproduce un extracto de un contrato de tarjeta que indica lo anterior: <<4º.- Plazo, La tarjeta 4B, Master Card, tendrá un plazo de validez que figura impreso en ella, no pudiendo ser utilizada con posterioridad a dicha fecha de caducidad, sin perjuicio de su renovación. El titular del contrato podrá pedir por escrito la cancelación voluntaria en cualquier momento, en cuyo caso, sin perjuicio de las operaciones en marcha, se producirá la liquidación correspondiente a dicha tarjeta>> Este tipo de operaciones son posibles porque es muy habitual que en operaciones de ámbito internacional y offline, el emisor de la tarjeta reciba en sus sistemas las operaciones pasado ciertos intervalos de días que pueden variar según el tipo de comercio. No obstante, en este caso, la tarjeta asociada al contrato nº ***CONT.1 fue cancelada en fecha 15/07/16, y a la denunciante se le reclamaba una deuda por una operación de fecha 09/08/16 procedente del e-commerce ***URL.1. Cúmplenos informar a esa Agencia que el procesamiento de esta operación por parte de CaixaBank Payments se debe a una mala praxis del comercio que expondremos a continuación. Entre las fechas 03/08/16 y el 10/08/16 el comercio envió a CaixaBank Payments (emisor de la tarjeta) 11 peticiones de autorización para que éste último autorizara o denegara la operación. Estas peticiones de autorización se realizan online por lo que Caixabank Payments pudo examinarlas y procedió a denegar 11 peticiones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 de autorización debido a que la tarjeta estaba cancelada. A continuación le mostramos una tabla resumen con todas las peticiones de autorización de operación realizadas por el comercio a CaixaBank Payments: Adicionalmente, como Anexo I al presente escrito, aportamos detalle de todas las operaciones denegadas por CaixaBank Payments ordenadas cronológicamente. Sin embargo, toda operación de compra en el sistema bancario tiene dos partes: 1.- la petición de autorización, y 2.- la confirmación de autorización a través de un proceso diferido que permite la liquidación de la operación y que no puede ser denegada por el emisor de la tarjeta. En fecha 09/08/16, el comercio presentó por intercambio la compensación de una operación de 149€ referenciada a una de las operaciones denegadas. En concreto, el comercio presentó a liquidación y compensación la última petición de autorización de fecha 10/08/16 y con Transaction ID ***ID.1. Se aporta el Informe detallado de Clearing and Settlemen (Base II) de la operación de fecha 10/08/16 que muestra que el comercio presentó a liquidación la operación. Las operaciones de compra en el sistema bancario y las relaciones entre las partes que operan en el sistema de pagos electrónicos se encuentran reguladas por la normativa de VISA. La normativa VISA estipula que un comercio no pude presentar una compensación sobre una autorización denegada por lo que el comercio no actuó correctamente al presentar por intercambio la compensación de una operación que había sido denegada previamente por CaixaBank Payments. En concreto, la normativa VISA requiere que los datos coincidan entre las etapas de autorización y compensación de una transacción. La Regla 1.7.2.1 indica que si una autorización (entendida como la autorización de la operación por parte del emisor de la tarjeta) es obtenida, cualquier dato y subsiguiente registro para la compensación deben ser iguales que, o consistentes, con los datos de la solicitud de autorización y la respuesta a la autorización. De lo anterior se desprende que si no existía dicha autorización por parte del emisor de la tarjeta — como prueba la documentación aportada como Anexo I - el comercio no debía presentar la operación a compensación. Cuando un comercio presenta a compensación una operación (como se presupone que ha sido previamente autorizada por el comercio) no puede ser denegada por el emisor de la tarjeta. En concreto, en las Core Rules de VISA se estipula que el emisor de la tarjeta en todo caso debe, en primer lugar, proceder al pago y, en segundo lugar, tiene la opción de reclamar al comercio el importe de la transacción si su caso está previsto en alguna regla de VISA. Esto es lo que refleja el principio de Attempt to Settle que señala la normativa VISA. Con lo anterior, se pone de manifiesto que la actuación de CaixaBank Payments fue correcta cuando procedió a denegar 11 veces la petición de autorización. Sin embargo, el comercio presentó a liquidación y compensación la última petición de autorización de fecha 10/08/16 de forma incorrecta [contrariamente a lo que estipula la normativa de VISA. En línea con lo anterior, la normativa VISA en el Reason Code 72, establece la posibilidad de retroceder la operación en aquellos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 casos en que el comercio presenta a compensación una transacción cuya autorización ha sido denegada por el emisor, como es el caso que nos ocupa. Sobre la sanción por vulneración del artículo 4.3 de la LOPD en relación con el artículo 38.1.
3. a)del RLOPD: CaixaBank Payments tiene a disposición de sus clientes distintos mecanismos para reclamar operaciones no reconocidas como el servicio de CaixaProtect. En este caso concreto, y como ya hemos manifestado con anterioridad, no hay constancia de que la denunciante iniciara ningún proceso de reclamación por no reconocimiento, de modo que la deuda, al no ser reclamada ni liquidada, siguió el proceso habitual que tiene la entidad para estos casos al considerarse que la deuda era cierta, vencida, exigible y habiendo resultado impagada. Como ya indicamos en la Solicitud de Información E/03887/2017, esta entidad cumplió con todos los requisitos que exige el RLOPD para la previa inclusión de los datos en ficheros de solvencia y envió las respectivas cartas de requerimiento previo de pago a la denunciante de forma previa a incluir sus datos en ficheros de solvencia. Manifiestan que pese a que el Servicio de Atención al Cliente de CaixaBank dictaminó que el cargo de 149€ se trataba de una operación de fraude, quisiéramos indicar que ello no ha sido demostrado y que de los movimiento anteriores de la tarjeta se puede desprender que este cargo es relativo a una suscripción que la denunciante contrató en la web ***URL.1, ya que aparece un cargo en el histórico de movimientos de la tarjeta de la misma empresa en fecha 03/08/15. Aportamos el extracto de movimientos de la tarjeta que refleja la operación de 03/08/15. Subsidiariamente, esta Entidad discrepa de los criterios de graduación aplicados para el establecimiento de la sanción, y, en consecuencia, del importe de la multa propuesta por el órgano instructor. El apartado quinto del artículo 45 LOPD, en consonancia con el principio de proporcionalidad de la sanción, permite el establecimiento de “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a).- Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios delos criterios enunciados en el apartado 4º de este artículo. Atendiendo a lo anterior, entendemos que las siguientes circunstancias deben ser tenidas en cuenta por la Agencia tanto en la calificación de la infracción, como en el establecimiento del importe de la sanción pecuniaria: (
4. i)No existe ningún beneficio obtenido como consecuencia de la comisión de la presunta infracción Es decir, la Orden establece que CaixaBank Payments dispone de 2 meses para dar respuesta a la reclamación formulada por la denunciante ante la OMIC de Valdemoro. En este caso, la denunciante presentó la reclamación en fecha 07/12/16, el servicio de Atención al Cliente dio respuesta en fecha 30/01/17 y al día siguiente procedió de manera inmediata a dar de baja los datos de los ficheros de solvencia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 Por lo que en ningún caso esa Agencia puede considerar que existe carácter continuado de la infracción va que desde que se determinó que se daba de baja la deuda de los sistemas y de los ficheros de solvencia, esta Entidad únicamente tardó 1 día en dar de baja los datos de los ficheros de solvencia. (iii) El grado de intencionalidad Respecto a la primera sanción por presunta infracción del artículo 6.1 de la LOPD, resulta evidente que no existe intencionalidad alguna de cometer infracción puesto que mi representada estaba obligada por la normativa VISA a cargar la operación cuando el comercio se la presentó a liquidación. Por lo tanto, únicamente estaba cumpliendo con la normativa aplicable a la transacción. Respecto a la segunda infracción por presunta infracción del artículo 4.3 de la LOPD en relación con el artículo 38.1.
5. a)del RLOPD, mi representada procedió a incluir los datos en ficheros de solvencia de la denunciante porque consideraba que la deuda era cierta, vencida y exigible y que había resultado impagada ya que la denunciante no inició ningún procedimiento para reclamar la deuda por no reconocimiento.
6. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. “Respecto a la segunda infracción por presunta infracción del artículo 4.3 de la LOPD en relación con el artículo 38.1.
7. a)del RLOPD, reiterar a esa Agencia que dentro del plazo legalmente establecido para dar respuesta a la reclamación de la denunciante, esta Entidad procedió a estudiar la reclamación y darle respuesta incluso en menos de dos meses, regularizando la situación al día siguiente (31/01/17) por lo que no cabe duda que actuó con la mayor diligencia posible. En virtud de todo lo anterior, resulta procedente la calificación de la infracción como infracción leve, en su escala inferior, por sustancial concurrencia de los criterios anterior e inmediatamente relacionados Por todo lo anteriormente expuesto, Se solicita que se formule propuesta de resolución en la que proponga la declaración de no existencia de infracción o responsabilidad por parte de esta Entidad por infracción del artículo 6.1 de la LOPD ni del artículo 4.3 de la LOPD en relación con los artículos 38.1.
8. a)del RLOPD“ QUINTO: Con fecha 21/02/18, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/3887/2017 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/607/2017, presentadas por la representación de la entidad denunciada. SEXTO: Con fecha 21/03/18, se notifica la propuesta de resolución sancionadora consistente en: a).- Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad CAIXABANK PAYMENTS, por infracción del artículo 6.1) de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 LOPD, tipificada como grave en el artículo 44.3.
9. b)de dicha norma, con una multa de 60.000 (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. b).- Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad CAIXABANK PAYMENTS, por infracción del artículo 4.3) de la LOPD, en relación con el artículo 38.1.
10. a)del RLOPD, tipificada como grave en el artículo 44.3.
11. c)de dicha norma, con una multa de 60.000 (sesenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. Ambas infracciones dan como resultado una sanción conjunta de 120.000 (ciento veinte mil eros) recordando a la entidad que en cualquier momento anterior a la resolución del presente procedimiento, puede llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma. SÉPTIMO: Notificada la propuesta de resolución, la entidad CAIXABANK P. presenta las siguientes alegaciones a la propuesta, con fecha 03/04/18, dentro del periodo concedido al efecto: De conformidad con lo establecido el art. 85.2 de la Ley 39/2015, de 1 de octubre de Procedimiento Administrativo Común de las Administraciones Públicas, así como en el apartado Segundo de la Propuesta de Resolución, CaixaBank Payments ha procedido al pago voluntario de la sanción impuesta por razón del presente procedimiento, por lo que, de acuerdo con el mencionado artículo, se ha reducido el importe dela sanción un 20% siendo la cantidad resultante 96.000 euros. OCTAVO: Con fecha 27/03/18, la entidad CAIXABANK P, ha procedido al pago de la sanción en la cuantía de 96.000 (noventa y seis mil euros), haciendo uso de las reducciones previstas en el acuerdo de inicio. En este caso, la reducción contemplada en el artículo 85.2 de la Ley 39/2015 LPACAP. HECHOS PROBADOS De la información y documentación aportada por las partes, se puede constatar los siguientes puntos: 1º.- El 15/07/16 se cancela la cuenta que la B.B.B. tenía abierta en la entidad CAIXABANK y la tarjeta de crédito asociada a la misma. 2º.- El 31/08/16 la B.B.B. recibe una carta de requerimiento previo de pago de la entidad CAIXABANK, donde la reclaman una deuda de 149,00 euros, de una compra realizada el 09/08/16 con la tarjeta de crédito que había sido ya entregada el día de la cancelación de la cuenta, esto es, el 15/07/16. 3º.- El 31/08/16, la B.B.B. reclama en persona ante el director de la oficina de Valdemoro (Madrid) y a la directora de la oficina de Getafe