1/6 Procedimiento Nº PS/00625/2016 RESOLUCIÓN: R/01234/2017 En el procedimiento sancionador PS/00625/2016, instruido por la Agencia Española de Protección de Datos, a la entidad PRIMROSE PARTNERS LTD, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: El día 23/12/15, tiene entrada en esta Agencia Española de Protección de Datos (AEPD) escrito de A.A.A. en el que denuncia a PRIMROSE PARTNERS LTD (PRIMROSE), -Dispon Servicios Financieros SL y Necesito Dineropor incluir sus datos en el fichero de solvencia “ASNEF”, sin requerimiento previo de pago. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Equifax y Dispon Servicios Financieros SL. Recibidas las respuestas por la Inspección de datos se emite el informe de actuaciones TERCERO: El 19/12/16 la Directora de la AEPD emitió resolución por la que se acuerda Iniciar procedimiento sancionador a PRIMROSE PARTNERS LTD con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por la presunta infracción del artículo 4.3, tipificada como grave en el artículo 44.3.
- c)en la citada ley orgánica CUARTO: Notificado el acuerdo de inicio, el 02/01/17 fue presentado escrito de alegaciones al acuerdo de iniciación, remitido por PRIMROSE, cuyo contenido se encuentra indicado en la propuesta de resolución. QUINTO: Con fecha 12/01/17 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio. Con fecha 09/03/17, el Instructor emite propuesta de resolución sancionadora consistente en que por la Directora de la Agencia Española de Protección de Datos se sancione a PRIMROSE PARTNERS LTD por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
- c)de la LOPD, una multa de 65.000 € (sesenta y cinco mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEXTO: Notificada la propuesta de resolución a PRIMROSE PARTNERS LTD, el 03/04/17, el 04/04/17 y 17/04/17 se han recibido en esta Agencia escritos de alegaciones a la propuesta de resolución, reiterando la no culpabilidad y el archivo del expediente y cuyo contenido se adjunta al expediente. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 HECHOS PROBADOS 1 --- 29/12/14, fecha del alta en la base de datos de PRIMROSE, de los datos personales del denunciante, A.A.A., como consecuencia de la solicitud y concesión del 1º préstamo. Asociados a su nombre figuran la dirección postal ((C/...1) (Badajoz)), electrónica (***@***.1. com) y telefónica (***TEL.1). Como consecuencia de los impagos producidos la deuda a la fecha del informe a la Inspección de Datos era de 822,70 € en la plataforma Dispon y de 198,45 € en la plataforma Necesito-dinero. (Folios 200-217) 2 --- Entre 01/06/15 y 29/06/15 PRIMROSE envía mensajes a la dirección electrónica ***@***.1.com del denunciante recordándole que tiene una deuda de 228,85 € que se va incrementando hasta los 513,50 € y que puede dar lugar a su inclusión en ficheros de morosos. (Folios 259-265) 3 --- 14/08/15, la persona denunciante suscribió contrato de préstamo nº ***PREST.1 con PRIMROSE por importe de 190 €, a pagar a vencimiento en 33 días 256 €. Para notificaciones se fija la electrónica (***@***.1.com). (Folios 249-255) 4 --- 30/08/15, la persona denunciante suscribió contrato de préstamo nº ***PREST.2 con PRIMROSE por importe de 260 €, a pagar a vencimiento en 33 días 349 €. Para notificaciones se fija la electrónica (***@***.1.com). (Folios 240-246) 5 --- 27/10/15, PRIMROSE envía mensaje a la dirección electrónica ***@***.1.com del denunciante recordándole la cuenta bancaria donde puede realizar el pago en 48 horas y adjuntando fichero de la carta que en unos días recibirá por correo en su casa. La carta no ha sido aportada. (Folios 266) 6 --- 28/10/15, PRIMROSE incluye por 1ª vez en el fichero de morosos Asnef los datos personales de la persona denunciante, asociados a un impago de 328,21 € por el vencimiento impagado de 16/09/15 en su calidad de titular de un microcrédito (código operación ***PREST.1), emitida el 29/10/15 y notificación de inclusión en el fichero Asnef dirigida a la dirección postal anotada de (C/...1) (Badajoz). (Folios 67, 62) 7 --- 04/11/15, PRIMROSE incluye por 2ª vez en el fichero de morosos Asnef los datos personales de la persona denunciante asociados a un impago de 419,16 € por el vencimiento impagado de 02/10/15 en su calidad de titular de un microcrédito (código operación ***PREST.2), emitida el 05/11/15 y notificación de inclusión en el fichero Asnef dirigida a la dirección postal anotada de (C/...1) (Badajoz). (Folios 68, 62) 8 --- 16/03/16, causa baja la anotación 1ª (28/10/15) con saldo impagado de 644,21 € (importe nominal 190) y la anotación 2ª (04/11/15) con saldo impagado de 659,16 € (importe nominal 260). (Folios 81, 84) 9 --- 21/03/16, PRIMROSE incluye por 3ª vez en el fichero de morosos Asnef los datos personales de la persona denunciante asociados a un impago de 659,16 € por el vencimiento impagado de 02/10/15 en su calidad de titular de un microcrédito (código operación ***PREST.2), emitida el 22/03/16 y notificación de inclusión en el fichero Asnef dirigida a la dirección postal anotada de (C/...1) (Badajoz). (Folios 69, 65) 10 --- 21/03/16, PRIMROSE incluye por 4ª vez en el fichero de morosos Asnef los datos personales de la persona denunciante asociados a un impago de 656.21 € por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 el vencimiento impagado de 16/09/15 en su calidad de titular de un microcrédito (código operación ***PREST.1), emitida el 29/10/15 y notificación de inclusión en el fichero Asnef dirigida a la dirección postal anotada de (C/...1) (Badajoz). (Folios 70, 65) 11 --- 31/03/16, causa baja la anotación 3ª (21/03/16) con saldo impagado de 659, 16 € (importe nominal 260). (Folios 86) 12 --- 22/04/16, fecha del escrito de Equifax informando al denunciante que su solicitud de cancelación ha sido denegada porque los datos han sido confirmados por Primrose. Situación que reitera por escrito de 30/09/16 con impago pendiente de 883,52 €. (Folios 132-156, 184-191) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD). II Se imputa a PRIMROSE PARTNERS LTD. la comisión de una infracción del artículo 4.3 de la LOPD, donde se establece la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Por su parte, el artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. La regulación de los preceptos indicados han sido desarrollados en el RD 1720/2007, de 21 de diciembre, (RLOPD, Reglamento de desarrollo de la LOPD), artículos 38, 39 y 43. III En este caso PRIMROSE PARTNERS LTD incluye en cuatro ocasiones los datos personales del denunciante sin haber acreditado la notificación al denunciante del requerimiento de pago previo a la inclusión, indicándole el importe a pagar, el plazo, la forma y el lugar, advirtiéndole que en caso contrario puede ser incluido en fichero de morosos. Los documentos aportados muestran el envío de mensajes por email, donde se alternan las gestiones de recobro con las peticiones de pago, los ofrecimientos de pagos aplazados, como el incremento de la deuda pendiente por el paso de los días, como los ingresos de cantidades y como advertencias de inclusión en Asnef y cartas de inicio de demanda judicial. En el intercambio de mensajes queda acreditado que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 denunciante no ha recibido la comunicación de requerimiento de pago previo a la inclusión en Asnef. Se han aportado copias de mensajes por email reclamando el pago, pero todos son anteriores a las fechas de los dos contratos firmados, vigentes y con deuda. El único que es posterior a la fecha de esos contratos no contiene importe de deuda, anuncia el envío de escrito por correo al domicilio, pero no se ha aportado. Todo ello lleva a la conclusión de que no queda acreditada la entrega de requerimiento de pago previo a las diferentes inclusiones. IV El artículo 44.3.
- c)de la LOPD, considera infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”´. Ninguna de las cuatro circunstancias necesarias para ser considerada falta muy grave (44.4 de LOPD) se da en el presente caso. Por otra parte, el artículo 45 de la LOPD, distingue la división de las infracciones, su cuantía y su graduación atendiendo a diferentes argumentos. Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: -El carácter continuado de la infracción queda fuera de duda, pues los datos han sido tratados en contra del principio de calidad del dato desde 28/10/15 –primera inclusión en Asnef, con cuatro inclusiones y una continúa, (45.4.a). -La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, (45.4.c). -El grado de intencionalidad al no tomar las medidas de control que hubieran evitado los hechos denunciados. (45.4.
- f)-Perjuicios causados a la persona denunciante, (45.4.h). -Afirman no disponer de protocolo de notificación que acredite el envío y la recepción. (45.4.j). PRIMROSE PARTNERS LTD ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del Reglamento de Desarrollo relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, cuando informó para su inclusión en fichero de solvencia patrimonial, los datos personales de la persona denunciante, asociado a deudas, sin que conste acreditada la notificación del requerimiento de pago previo exigido. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Valorados los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD cuya presencia ha quedado acreditada, procede sancionar a PRIMROSE PARTNERS LTD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad PRIMROSE PARTNERS LTD, una sanción, próxima al mínimo establecido en la escala de “graves”, de 55.000 € (cincuenta y cinco mil euros), por la infracción del artículo 4.3) de la LOPD, de conformidad con lo establecido en el artículo 45 de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a PRIMROSE PARTNERS LTD y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es