1/6 Procedimiento Nº PS/00624/2016 RESOLUCIÓN: R/01729/2017 En el procedimiento sancionador PS/00624/2016, instruido por la Agencia Española de Protección de Datos, a la entidad VIVUS FINANCE SAU (VIVUS), vista la denuncia presentada por Dª A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: el 10/01/16 y el 07/05/16, se presentas en esta Agencia, escritos de Dª A.A.A., donde se denuncia a la entidad VIVUS por: “Haber incluido sus datos personales en el fichero de solvencia patrimonial y crédito ASNEF, con fecha de alta el 12/03/14 y por importe de 1.255 euros, sin requerimiento previo de pago y sin tener relación contractual con ellos”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a VIVUS, remitiendo, entre otra, la siguiente información: • Carta, con referencia **REF.1, de fecha 12/02/14, dirigida a Dª A.A.A., a la dirección: (C/...1), en la que le informan de que mantiene un crédito con la entidad VIVUS, por importe de 1.018,74€, y que en caso de no proceder al pago de la deuda en el plazo previsto, se incluirán sus datos en ficheros relativos al incumplimiento de obligaciones dinerarias. En el NIE figura como domicilio (C/...2). Si bien, en el primer escrito remitido por la denunciante a esta AEPD, consta (C/..3)y en el segundo, (C/..3). • El Servicio Notificaciones de Requerimiento Previo de Pago, lo tiene contratado con la mercantil Experian Bureau de Crédito, S.A. La compañía Experian certifica que el proceso de impresión y envío de requerimiento previo de pago, el día 12/02/14, con código de operación **OPER.1, dirigida a la denunciante con dirección postal (C/...1), se realizó por las empresas terceras: “Ruta Oeste, S.L.” e “Impre-Laser, S.L.”, a través del operador postal Unipost. También, certifica que el citado requerimiento previo de pago fue devuelto por los servicios postales con la anotación DIRECCIÓN ERRONEA. • La compañía Impre-Laser, S.L. certifica la impresión de 45.407 cartas, de ellas 251 requerimientos corresponde a la compañía VIVUAS, desde el número **REF.2 al **REF.3, entre las que se encuentra la **REF.1. Se adjunta relación de requerimientos previos de pago de la carga del 11/02/14 emitido por ImpreLaser. TERCERO: Con fecha 22/12/16, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a VIVUS con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 1720/2007, de 21 de diciembre, por la presunta infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)en la citada Ley. CUARTO: Notificado el acuerdo de inicio, VIVUS formuló alegaciones en las que, entre otras, indica: “(…)VIVUS tiene establecidos procedimientos adecuados para cumplir con la diligencia debida el envío de requerimientos previos de pago de conformidad con la normativa aplicable, contratado con dos entidades: EXPERIAN BUREAU DE CRÉDITO, S.A. y VALMAR GESTIÓN INTEGRAL, S.L. además, VIVUS diligentemente envía correos electrónicos a sus clientes, en casos de impago, reclamando el pago de la deuda contraída y advirtiendo de la posibilidad de la inclusión de los datos de dicho cliente en el fichero de solvencia. La denunciante recibió requerimientos de pago indicando la posibilidad de incluir su deuda en los registros de morosos correspondientes por medio de carta y de correo electrónico. Se adjunta el contrato de prestación de servicios entre VIVUS y VALMAR, en vigor desde el 01/04/13, y tres certificados emitidos por Doña M.M.M. en nombre y representación de VALMAR, certificando el envío de 3 cartas por correo ordinario a Doña A.A.A. a la dirección facilitada por la cliente para la formalización de su relación con VIVUS y que, por tanto, consta en las bases de datos de VIVUS: Calle (C/...1), A Coruña. También se adjunta, las 3 cartas que fueron enviadas por VALMAR a Doña A.A.A. y sus correspondientes albaranes de entrega”. Se alega también que: “(…) VIVUS envía requerimientos de pago a sus clientes impagados por correo electrónico. Se adjunta una captura de pantalla de uno de los emails en cuestión, enviado el 07/01/14, requiriendo a la denunciante del pago de la deuda contraída con motivo del crédito obtenido a través de la página web www.vivus.es y en el que se le advierte que se va a proceder a incluir su expediente en el correspondiente registro de impagados en caso de no satisfacer la deuda pendiente”, sin aportar prueba que acredite la recepción del mismo por la denunciante. Se indica en las alegaciones que: “(…) La denunciante ha aportado direcciones erróneas con la finalidad de eludir las consecuencias de su impago: el error en la dirección se produce en la misma solicitud del micro-préstamo. La denunciante dolosa y reiteradamente ha ido indicando direcciones postales incorrectas a lo largo de todo el procedimiento de solicitud y gestión de su préstamo con VIVUS, y según conocemos por el expediente, también ha proporcionado direcciones erróneas en sus relaciones con terceros, incluso a esta Agencia. A continuación listamos las diferentes direcciones aportadas por la denunciante: - (C/...3), A Coruña. En los folios 1, 5, 9, 12, 13, 15, 61, 62, 70, 92 del expediente. - (C/...1), A Coruña. En los folios 5, 15, 62, 96, 128, 129 del expediente. - (C/...4), A Coruña. En el folio io del expediente. - (C/...2), A Coruña. En el folio 59 del expediente. Como consta en el folio 98 del expediente la dirección que Doña A.A.A. facilitó para la solicitud del micro-préstamo a VIVUS es ‘4 Coruña. (C/...1)”. Esta dirección, aportada por la denunciante fue puesta en conocimiento de los prestadores de servicios EXPERIAN y VALMAR (…)”. Por último, VIVUS solicita a esta Agencia, que aprecie no ha incurrido en infracción alguna de la normativa vigente de protección de datos y proceda a declarar el archivo de las actuaciones del presente procedimiento. Subsidiariamente, en caso de que se aprecie que, su conducta ha infringido el artículo 4.3 LOPD, entienden que concurren ampliamente los criterios establecidos en el artículo 45 LOPD para reducir el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 importe de la sanción propuesta. QUINTO: Con fecha 27/01/17, se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta con su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio presentadas por la denunciada y la documentación que a ellas acompaña. SEXTO: A fecha de la resolución, no se tiene constancia de la recepción en esta Agencia de alegaciones a la propuesta de resolución, por lo que han quedado acreditados los siguientes, HECHOS PROBADOS: 1.- En la base de datos de VIVUS, consta como titular: Dª A.A.A. (....), ID.- **DNI.3, (C/...1); A Coruña. 2.- VIVUS ha contratado con la empresa EXPERIAN BUREAU DE CRÉDITO SA. (EXPERIAN), el servicio de impresión y envío de “requerimientos previos de pago”, anteriores a la inclusión de operaciones impagadas en ficheros de solvencia patrimonial y de crédito. 3.- El 12/02/14, VIVUS emite escrito, con ref. **REF.1, de “requerimiento de previo de pago” dirigido a A.A.A., al domicilio: “(C/...1)” y en el que le notifica que tiene una deuda de 1.018,75 euros. Se le indica que, si no abona el importe en los plazos previstos y siempre que se cumplan los requisitos previstos en la legislación vigente, dicho impago puede dar lugar a la inclusión en ficheros de morosos. 4.- Existe certificado de la empresa Impre-Laser SL., (empresa subcontratada por EXPERIAN para la impresión y envío de correspondencia), acreditativo de la impresión de 45.407 cartas de requerimiento previo de pago, de la carga 11/02/14. Figura que los requerimientos correspondientes a VIVUS, comprenden un total de 251 requerimientos, desde el número **REF.2 hasta **REF.3, donde se encuentra comprendida la carta con referencia **REF.1. 5.- Existe certificado de la empresa RUTA OESTE SL., (empresa subcontratada por EXPERIAN para la impresión y envío de correspondencia), donde se acredita el envío a través del operador postal UNIPOST de 45.407 de requerimientos previos de pago correspondientes a la carga 11/02/14. 6.- Como control de la posible devolución de dicho requerimiento previo de pago, aportan certificación de EXPERIAN, como prestador del servicio de gestión de cartas devueltas de notificaciones de requerimientos de previos de pago, de VIVUS, en el que se hace constar que la carta de notificación con referencia **REF.1, remitida a la denunciante consta devuelta con: “DIRECCIÓN ERRONEA”. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a VIVUS que ha quedado reflejada en los hechos declarados probados arriba relatados y que se resumen en que el escrito de requerimiento de pago previo a la inclusión fue remitido a una dirección que no era la de la denunciante; fue devuelto por el servicio de correos con anotación de dirección incorrecta; y a pesar de ser devuelto VIVUS efectuó la anotación en el fichero de solvencia ASNEF. El requerimiento previo de pago deriva del derecho de información que obliga a notificar al deudor con carácter previo a la inclusión de sus datos en el fichero de solvencia, siendo consustancial al citado derecho que el deudor tenga conocimiento fehaciente de las circunstancias que en su caso motivan la inclusión. El hecho de que la notificación sea devuelta impide la inclusión de los datos personales en este tipo de ficheros, toda vez que es un requisito necesario conforme dispone el artículo 38.1 del RLOPD. Ante tal eventualidad, debe evitarse dicha inclusión, sin perjuicio de la posibilidad de entablar otro tipo de acciones en favor del acreedor. Se debe señalar que en el procedimiento administrativo sancionador está proscrita la analogía, por lo que no se debe identificar lo dispuesto en el artículo 40.5 del RLOPD con los hechos ahora analizados, toda vez que, en el citado RLOPD se contempla de forma expresa la actuación que debe llevar a cabo el responsable de los ficheros de morosidad, en el caso de que la notificación resultara devuelta, circunstancia que no se contempla para la notificación del requerimiento previo de pago. VIVUS es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la imputada relacionados con el artículo 4.3 de la LOPD, donde se establece la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Por otro lado, el artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. La regulación de los preceptos indicados han sido desarrollados en el RD 1720/2007, de 21 de diciembre, (RLOPD, Reglamento de desarrollo de la LOPD), artículos 38, 39 y 43. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Tras las evidencias obtenidas en la fase de investigaciones previas e instrucción, no procede en este caso ninguna de las circunstancias especificadas en el artículo 45.5 para su aplicación. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 45.4 de la LOPD: 1.- El carácter continuado de la infracción, pues los datos han sido tratados sin consentimiento desde octubre de 2015 –fecha del alta en la base de datos como clientea febrero de 2016 –anulación de los recibos, (apartado 4.a). 2.- La vinculación de la actividad del infractor con la realización de tratamientos de carácter personal, (apartado 4.c). 3.- El grado de intencionalidad es el de una entidad jurídica dirigida por los órganos de dirección que toman las decisiones relevantes y ejecutadas por empleados de todos los niveles. Los incumplimientos de estos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos (apartado 4.f). 4.- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos, (apartado 4.i). Valorados los criterios de graduación de las sanciones previstos en el artículo 45 de la LOPD, cuya presencia ha quedado acreditada, procede sancionar a VIVUS. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad VIVUS FINANCE SAU, una sanción de 50.000 € (cincuenta mil euros), por la infracción del artículo 4.3) de la LOPD, de conformidad con lo establecido en el artículo 29 y 45 de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a VIVUS FINANCE SAU. y a Dª A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva, una vez sea ejecutiva la presente resolución de conformidad con lo dispuesto en el artículo 98.1.
- b)de la Leu 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 00000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es