← España

PS-00630-2015

1/14 Procedimiento Nº PS/00630/2015 RESOLUCIÓN: R/00508/2016 En el procedimiento sancionador PS/00630/2015, instruido por la Agencia Española de Protección de Datos a la entidad ING DIRECT NV SUCURSAL EN ESPAÑA, vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 29/12/2014 tuvo entrada en la Agencia Española de Protección de Datos (en lo sucesivo AEPD) un escrito de denuncia presentado por D. A.A.A. (en lo sucesivo el denunciante), en el que manifiesta que ING DIRECT NV SUCURSAL EN ESPAÑA (en lo sucesivo ING), incluyó sus datos personales en los ficheros de información de solvencia patrimonial y crédito ASNEF y BADEXCUG, sin haber efectuado previo requerimiento de pago. Manifiesta que tampoco le fue notificada la inclusión por parte de los mencionados ficheros. Junto con la denuncia se aporta la siguiente documentación de relevancia: - Copia de escrito de 28/11/2014 remitido a EQUIFAX por correo certificado ejerciendo el derecho de rectificación en relación a la inclusión informada por ING. En concreto, se solicita la rectificación del domicilio (en lugar de (C/.......1) Barcelona, (C/.......2) Barcelona) y de la cantidad de la deuda. - Copia de reclamación presentada ante ING el 01/12/2014, en la que se señala que la inclusión de sus datos en ASNEF es errónea por lo que a la dirección y el importe de la deuda se refiere. Respecto a la dirección señala que la actualizó en su área de cliente varios años atrás. - Copia de escrito de 05/12/2014 remitido por EXPERIAN en respuesta a un previo ejercicio del derecho de cancelación, en el que se informa de que sus datos se encuentran incluidos en BADEXCUG a instancia de, entre otras entidades, ING, como consecuencia de una deuda, asociada a un descubierto en cuenta corriente, que fue dada de alta el 12/10/2014 y que aparece identificada con el nº de operación ***NÚMERO.1. Como dirección figura (C/.......1) Barcelona. - Copia de informa de EQUIFAX de 16/12/2014, en el que se informa de que sus datos se encuentran incluidos en ASNEF a instancia de, entre otras entidades, ING, como consecuencia de una deuda, asociada a un descubierto en cuenta corriente, que fue dada de alta el 11/11/2014. Como dirección figura (C/.......1) Barcelona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad EQUIFAX IBERICA, S.L.(en lo sucesivo EQUIFAX), EXPERIAN BUREAU DE CRÉDITO, S.A. (en lo sucesivo EXPERIAN) e ING, - Con fecha 10/03/2015 se solicitó a EQUIFAX información relativa al denunciante en relación a la inclusión de sus datos personales en el fichero ASNEF a instancia de ING. De la respuesta recibida, fechada a 23/03/2015, se desprende la siguiente información de relevancia: EQUIFAX expone que los datos del denunciante se incluyeron en ASNEF a instancia de ING con fecha de alta 11/11/2014, permaneciendo incluidos en el momento en que se da respuesta al requerimiento de información formulado desde la AEPD. La deuda informada, asociada a descubiertos en C/C, ascendía a 156,06 € en el momento del alta. La inclusión fue objeto de un intento de notificación por parte de EQUIFAX, mediante el envío de una carta de 12/11/2014 a (C/.......1) Barcelona, que consta como devuelta a 21/01/2015. Con fecha 28/01/2015 esa dirección consta confirmada como dirección contractual. EQUIFAX expone que en su Servicio de Atención al Cliente constan tres expedientes asociados al denunciante: o 2014/*****1, relativo a un previo ejercicio del derecho de cancelación en relación a dos inclusiones informadas por dos entidades distintas de ING. EQUIFAX respondió mediante carta de 21/11/2014, junto con la que se adjuntaba informe en el que figuraban las inclusiones vigentes en ASNEF a esa fecha. Entre ellas, constaba la operación informada por ING. o 2014/*****2, relativo a un previo ejercicio del derecho de cancelación en relación a dos inclusiones informadas por dos entidades distintas de ING. EQUIFAX respondió mediante carta de 25/11/2014, junto con la que se adjuntaba informe en el que figuraban las inclusiones vigentes en ASNEF a esa fecha. Entre ellas, constaba la operación informada por ING. o 2014/*****3, relativo a un previo ejercicio del derecho de cancelación en relación a una inclusión informada por otra entidad distinta de ING. EQUIFAX respondió mediante carta de 02/12/2014, junto con la que se adjuntaba informe en el que figuraban las inclusiones vigentes en ASNEF a esa fecha. Entre ellas, constaba la operación informada por ING. o 2014/*****4, relativo a un previo ejercicio de rectificación en relación a la inclusión informada por ING. EQUIFAX respondió mediante carta de 11/12/2014, en la que se señalaba que los datos “han sido confirmados por la entidad informante, por lo que le comunicamos el no poder atender a su solicitud”. - Con fecha 10/03/2015 se solicitó a EXPERIAN información relativa al denunciante en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 relación a la inclusión de sus datos personales en el fichero BADEXCUG a instancia de ING. De la respuesta recibida, fechada a 24/03/2015, se desprende la siguiente información de relevancia: EXPERIAN expone que los datos del denunciante estuvieron incluidos en BADEXCUG a instancia de ING entre el 12/10/2014 (fecha de alta) y el 11/01/2015 (fecha de baja), por una deuda asociada a un descubierto en cuenta corriente que en el momento del alta ascendía a 135,61 €. La inclusión fue objeto de un intento de notificación por parte de EXPERIAN mediante el envío de una carta de 14/10/2014 a (C/.......1) Barcelona (se aporta impresión de pantalla al respecto). EXPERIAN manifiesta que esta notificación fue devuelta por el servicio postal y que por este motivo se dio de baja la inclusión. EXPERIAN expone que en su Servicio de Protección al Consumidor consta un expediente asociado al denunciante, identificado con el nº C*********, y relativo a un ejercicio del derecho de acceso recibido el día 05/12/2014 al que se dio respuesta mediante el envío de una carta ese mismo día. Se aporta copia del expediente. - Con fecha 10/03/2015 se solicitó a ING información relativa al denunciante en relación a la práctica del requerimiento de pago efectuado como paso previo a su inclusión en los ficheros de información de solvencia ASNEF y BADEXCUG, así como respecto al procedimiento que tenga implementado la entidad para practicar tal requerimiento previo de pago. De la respuesta recibida, registrada de entrada en la AEPD el 01/04/2015, se desprende la siguiente información de relevancia: ING aporta impresión de pantalla en la que aparecen reflejados loa datos del denunciante, entre ellos su domicilio: (C/.........2). ING expone que para la realización del envío de los requerimientos previos de pago ha contratado los servicios de una tercera empresa, TELEMAIL S.L. Se aporta copia de contrato de prestación de servicios suscrito con esta entidad, de fecha 30/08/2011. ING manifiesta que cuenta con un protocolo definido, para proceder al envío de un requerimiento de pago. Conforme al mismo, el sistema detecta que se ha producido un impago por un cliente. En este momento el cliente es dado de alta en la herramienta de impagados y se le comunica por correo electrónico y por sms a su teléfono móvil tales circunstancias, comunicaciones que se vuelven a efectuar a los tres y diez días posteriores desde que se efectuó la primera, realizándose en este último caso, además, una llamada telefónica. Una vez transcurridos cuarenta días desde que el sistema detectó el impago y sin que el cliente haya regularizado su deuda actual, cierta, vencida y exigible, se le notifica nuevamente la cuantía de la deuda reclamada, así como la posibilidad de la inclusión de sus datos personales en ficheros de información de solvencia patrimonial y de crédito, para el caso de continuar el impago en el plazo que se determine en la misma. Esta comunicación es la que se envía a través de TELEMAIL, S.L., que a su vez utiliza a UNIPOST para realizar los envíos. En el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 supuesto de que el cliente no atienda al requerimiento previo de pago en el plazo concedido en la comunicación recibida, se procede a incluir sus datos personales en los ficheros de insolvencia patrimonial y de crédito correspondientes, ajustándose dicha inclusión a lo que la normativa aplicable determina. En el caso del requerimiento de pago enviado al denunciante, ING manifiesta que “ha resultado imposible localizar la comunicación de requerimiento previo de pago efectuada al cliente. Ante tal acontecimiento, mi representada ha abierto la correspondiente incidencia, detectando que la falta de localización de la comunicación requerida se debe a un mero error puntual derivado de un cambio en un proceso automático de salida de la carta de D. A.A.A.. Este error puntual, supone una excepción anormal en el general buen funcionamiento de un sistema de comunicaciones implementado de manera completa y con pleno respeto a lo que prescriben tanto el art. 29 de la Ley Orgánica 15/1999, 13 de diciembre, de Protección de Datos de Carácter Personal, como los arts. 37 y siguientes del Reglamento 1720/2007 que desarrolla la citada Ley. Adicionalmente y para evitar que en un futuro se vuelva a producir dicho error puntual que ha sido totalmente fortuito, esta entidad se encuentra actualmente trabajando para implementar nuevas medidas de control que refuercen las ya previstas, que en un periodo no superior a tres meses se encontrarán funcionando correctamente”. TERCERO: Con fecha 23/11/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ING por presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, ING mediante escrito de 15/12/2015 formuló alegaciones, significando, que la entidad tiene implementado un sistema para la realización de los envíos de los requerimientos previos de pago; que reconoce voluntariamente la responsabilidad en los hechos imputados; que ha habido un error en el cumplimiento de los requisitos del artículo 38 del Reglamento de la LOPD; que se aplique el artículo 45.5 de la LOPD aplicando la escala relativa a las infracciones leves y que la cuantía sea graduada en atención a las circunstancias concurrentes en su grado mínimo. QUINTO: En fecha 18/12/2015 se inició un periodo de práctica de pruebas acordándose las siguientes: Dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/01399/2015. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por ING y la documentación que acompaña. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 SEXTO: Al haber reconocido la entidad interesada la responsabilidad en los hechos que se le imputan, se procede a elevar a la Directora de la Agencia Española de Protección de Datos el expediente a los efectos de dictar resolución al respecto. HECHOS PROBADOS PRIMERO: En fecha 29/12/2014, el denunciante presentó escritos en la AEPD manifestando que sus datos de carácter personal habían sido informados en los ficheros de solvencia ASNEF y BADEXCUG, por ING con ocasión de una deuda sin el preceptivo requerimiento de pago previo (folio 1 y 2). SEGUNDO: Consta aportado el DNI del denunciante nº ***NIF.1 (folios 3). TERCERO: En fecha 24/03/2015, Equifax Ibérica, S.L. como encargado del fichero ASNEF, ha informado que en el citado fichero consta una incidencia asociada al identificador NIF ***NIF.1 correspondiente al denunciante, informada por ING, por descubiertos en CC, en la condición de titular, por un saldo impagado de 811,65 euros constando como fecha de alta 11/11/2014 (no consta la baja). La citada incidencia fue notificada a la dirección (C/.........1)-Barcelona (folios 38, 43). CUARTO: Consta que el denunciante se dirigió a ASNEF-EQUIFAX como responsable del fichero ASNEF en fechas 05/12/2014 en el ejercicio del derecho de rectificación, respondiendo el 11/12/2014 que los datos habían sido confirmados por la entidad informante por lo que no podían atender la solicitud de cancelación; asimismo, le informaban que sus datos habían sido consultados por Caixabank (folios 83, 84). QUINTO: En fecha 01/04/2015, EXPERIAN como responsable del fichero BADEXCUG, ha informado que en el citado fichero consta una incidencia asociada al identificador ***NIF.1 correspondiente al denunciante, informada por ING, por producto descubierto en cuenta corriente, con fechas de alta y baja 12/10/2014- 11/01/2015, por un saldo impagado de 135,61 euros (813,50 en el momento de la baja) (folios). La citada incidencia fue notificada a la dirección (C/.........1)-Barcelona (folios 97,98, 101, 102). SEXTO: Consta que el denunciante se dirigió a EXPERIAN como responsable del fichero BADEXCUG en fecha 05/12/2014 en el ejercicio del derecho de acceso de sus datos inscritos en el fichero, informando en la misma fecha de los datos registrados en el fichero asociados a su identificador e informados por ING. Asimismo le informaban que sus datos habían sido consultados por ING, Caixabank y Kutxabank (folios 106 y 107). SEPTIMO: ING no ha aportado a esta Agencia la documentación que acredite que llevara a cabo los requerimientos de pago de la deuda al denunciante con carácter previo a las citadas inclusiones en los ficheros de solvencia patrimonial y de crédito ASNEF y BADEXCUG, con la advertencia de que podría producirse la misma en caso de producirse su impago, ni que hayan sido entregados en la dirección que consta en sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 OCTAVO: ING en escrito de 01/04/2015 ha manifestado que “ha sido imposible localizar la comunicación de requerimiento previo de pago efectuada al cliente…” (folio 110) y en escrito de 15/12/2015 que tras el examen de los hechos reconoce voluntariamente y de forma espontánea su responsabilidad en los mismos (folio 180). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: "Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda." En aplicación del anterior precepto y teniendo en cuenta que ING ha reconocido la responsabilidad en los hechos acaecidos, procede resolver el procedimiento iniciado. III Se imputa a ING en el presente procedimiento la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". La obligación establecida en el artículo ut supra impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: "Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el creedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley". Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: "Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos". El artículo 38.1 del Reglamento de desarrollo de la LOPD señala que para la inclusión de los datos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 "Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación". Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias". Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. De lo dicho hasta el momento, se infiere que se consuma la infracción por la inclusión en el fichero de datos inexactos, y por la inclusión de los datos sin haber observado las precauciones establecidas al objeto de garantizar su exactitud, como sucede en el caso de no haberse realizado el requerimiento previo de pago. En el presente caso, de la documentación aportada al expediente se desprende que los datos personales del denunciante fueron informados por ING, para su registro en los ficheros de solvencia patrimonial y de crédito ASNEF, con fecha de alta 11/11/2014 y, BADEXCUG, con fechas de alta y baja 12/10/2014-11/01/2015, por una operación de descubierto en cuenta corriente, por un saldo impagado de 811,65 (ASNEF) y 135,61 euros (BADEXCUG), sin que conste acreditado que la deuda hubiera sido requerida de pago con carácter previo a las citadas inclusiones tal y como establece la normativa vigente. La propia entidad ha reconocido su responsabilidad en los hechos denunciados manifestando además que le había sido imposible localizar la comunicación de requerimiento previo de pago efectuada. En consecuencia, los hechos relatados son contrarios al principio de calidad de dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y en relación también con los artículos 38 y 39 del RLOPD. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 Respecto del requerimiento de pago, no hay constancia de que se produjera este con arreglo a lo que exige el artículo 38.1.
  3. c)del Reglamento de desarrollo de la LOPD, como previo a la inclusión de los datos personales del denunciante en los ficheros ASNEF y BADEXCUG. Es por ello, que correspondía a ING probar la realización del mismo, es decir, su envío y recepción por el interesado informando de que producido el impago, sus datos podrían ser comunicados a los ficheros de solvencia, como requisito previo a la inclusión en los citados ficheros. La Audiencia Nacional en sentencia de fecha 23/05/2007, establece que "Pues bien, el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues solo así puede tenerse certeza de su recepción, si estos niegan la misma. En todo caso ha de realizarse el requerimiento expresando el concepto y el importe de la deuda determinante de la remisión de los datos al fichero de solvencia patrimonial, sin que pueda aceptarse, como señala la parte recurrente en su escrito de demanda, que hubiera bastado con que el titular de los datos hubiera realizado unas operaciones aritméticas para conocer el importe de la deuda que daría lugar a la inclusión de sus datos en el fichero "Asnef". Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo -norma primera de la Instrucción 1/1995- y una Ley Orgánica que tipifica como infracción grave el incumplimiento de la misma (artículo 44.3 .d/ de la LO 15/1999) debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental -artículo 18.4 de la CE bajo la referencia al uso de la informática- que extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud del dato, mediante la previa comprobación en el requerimiento previo". Así pues, no ha quedado acreditado que la deuda informada por la entidad a los ficheros ASNEF y BADEXCUG haya sido requerida previamente de pago, que el requerimiento de la deuda haya sido remitido a la dirección del denunciante, así como la justificación que acreditara la recepción por su destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 En ese mismo sentido se pronuncia la Sentencia de la Audiencia Nacional de 19/09/2007 (Rec. 130/2006) en su Fundamento de Derecho Tercero señala que: en relación con esta exigencia de intimación debemos señalar que el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues la exhibición de una carta, en relación con las cuales no consta no ya su recepción sino, ni siquiera, su envío, no permite tener por cumplida la citada exigencia. Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo- norma primera de la Instrucción 1/1995- y una Ley Orgánica tipifica como infracción grave el incumplimiento de la misma, ( artículo 44.3 d LOPD), debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental - artículo 18.4 de la CE bajo la referencia al uso de la informática- y que extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud de datos que acceden a los ficheros de responsabilidad patrimonial, mediante la previa comprobación en el requerimiento previo. La solución contraria, presumiendo cumplida la exigencia del requerimiento previo con la mera alegación de que el mismo se envió, supondría vaciar de contiendo dicha intimación legal y reglamentariamente impuesta, pues bastaría con la simple afirmación de su existencia parea que hubiera de entenderse realizada. Con tal proceder se privaría a los interesados del conocimiento y, en su caso, de la posibilidad de formular reparos a la exactitud, o no, del dato personal que va a acceder al fichero de responsabilidad patrimonial" que es precisamente la finalidad del principio que se pretende salvaguardar". Por tanto, los hechos denunciados son contrarios al principio de calidad de datos consagrado en el artículo 4.3 en relación con el 29.4, ambos de la LOPD, y el artículo 38.1
  4. c)del Reglamento de desarrollo de la LOPD toda vez que ING instó la inclusión de los datos del denunciante, con motivo de deuda proveniente de descubierto en cuenta corriente en los ficheros ASNEF y BADEXCUG sin que haya acreditado que hubiera sido requerido previamente de pago conforme exige la normativa precitada. V El artículo 44.3.
  5. c)de la LOPD considera infracción grave: "Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. ING ha incurrido en la infracción grave descrita al comunicar los datos de carácter personal del denunciante a los ficheros de morosidad, sin que conste acreditado que se haya realizado el requerimiento previo de pago a la citada inclusión. VI El artículo 45.2, 4 y 5 de la LOPD establece que: "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  6. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14
  7. b)El volumen de los tratamientos efectuados.
  8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  9. d)El volumen de negocio o actividad del infractor.
  10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  11. f)El grado de intencionalidad.
  12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente". En el supuesto examinado, ING ha solicitado la aplicación subsidiaria del artículo 45.5 de la LOPD, estableciendo en la cuantía de la sanción la escala relativa a las infracciones leves, graduando la sanción en su cuantía mínima al concurrir, además, circunstancias previstas en el artículo 45.4 de la LOPD. Hay que señalar que el citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 En el caso examinado, de las actuaciones practicadas ha quedado acreditado que ING vulneró el artículo 4.3 de la LOPD, al incluir los datos del denunciante en los ficheros de solvencia patrimonial y de crédito ASNEF y BADEXCUG, sin que conste haber realizado el requerimiento previo de pago, por lo que su actuación ha de ser merecedora de sanción. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, al concurrir la circunstancia prevista en el apartado
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad, al reconocer que “ha incurrido en un error por el hecho de incluir los datos de impago de una persona en los ficheros de solvencia patrimonial, omitiendo el requerimiento previo de pago y por tanto, no advirtiéndole de la posible inclusión de sus datos en tales ficheros”, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. ING ha invocado la ausencia de intencionalidad, ausencia de beneficios, falta de reincidencia, ausencia de perjuicios y la acreditación de la implantación de procedimientos adecuados de control en el envío de los requerimientos de pago previos a la inclusión en ficheros de morosidad, a efectos de graduación de la sanción. En cuanto a la circunstancia prevista en el apartado
  22. f)del artículo 45.4, relativa al grado de intencionalidad, dicha expresión debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec. 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que las entidades hubieran actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. - En cuanto a la circunstancia prevista en el apartado
  23. i)del artículo 45.4, existencia de protocolos y procedimientos adecuados de control y seguridad para el envío de requerimientos de pago previo, hay que señalar que los mismos no han sido efectivos, y todo hace indicar que no se ha tratado de una anomalía del funcionamiento de los procedimientos implantados, sino un claro incumplimiento de los mismos a la vista de los hechos considerados probados a lo largo del procedimiento. En este sentido la Audiencia Nacional en sentencia de 24/01/2014 señala que “…,omisiones que ponen de relieve lo inadecuado de los procedimientos implantados…. El hecho de que a raíz de estas actuaciones se haya suscrito un contrato con Experian al objeto de asegurarse un mejor cumplimiento de las obligaciones impuestas por los artículos 38 y 39 RLOPD y, la acreditación de su realización frente a terceros, no puede tener los efectos atenuatorios que ella pretende, pues es obligación de la citada entidad la implementación de las medidas adecuadas a tal fin. Téngase en cuenta que la recurrente es una entidad que por su actividad está en permanente contacto y trata gran volumen de datos de carácter personal, por lo que le es exigible una especial diligencia en el tratamiento de datos personales conforme reiterado criterio de esta Sala”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 - En cuanto a la circunstancia prevista en el apartado
  24. g)del artículo 45.4, alega la representación de la entidad que no ha sido sancionado con anterioridad por los mismos hechos; no obstante, hay que señalar que la reincidencia no se contempla como circunstancia atenuante, sino como agravante de la conducta infractora. La Audiencia Nacional en sentencia de 26/02/2014 establece que “Si ello lo relacionamos con que para aminorar la sanción, a tenor del apartado 5 del artículo 45 LOPD , deben concurrir dos o más circunstancias del apartado 4 del mismo artículo 45, y además de manera "significativa", que no se dan en el presente supuesto y que además, en el mismo apartado 4, se prevé como circunstancia agravante la reincidencia, y es un hecho notoria la reiteración de conductas infractoras en materia de protección de datos por parte de France Telecom, de todo ello concluimos que el artículo 45.5 LOPD no puede ser aplicado en el caso”. - En cuanto a la circunstancia prevista en el apartado
  25. h)del artículo 45.4, es evidente la existencia de los mismos al ser incluido el denunciante en ficheros de morosidad incumpliendo los requisitos formales; por otra parte, la Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, señala que “Por otra parte, esta Sala también ha declarado con reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. - En cuanto a la ausencia de beneficios, la LOPD prevé en el artículo 45.4 circunstancias tanto agravantes como atenuantes de la responsabilidad, por ello, al margen de que en la conducta de la compañía aseguradora se aprecie como atenuante de su conducta la circunstancia prevista en el apartado
  26. e)la ausencia de beneficios, la concurrencia de las circunstancias agravantes expresadas en el párrafo siguiente justifican la sanción a imponer, plenamente respetuosa con el principio de proporcionalidad. Por otra parte, se aprecia la concurrencia de circunstancias agravantes: el carácter continuado de la infracción (apartado
  27. a)del artículo 45.4 de la LOPD), porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a ING, tiene naturaleza de infracción continuada o permanente; el importante volumen de negocio de ING (apartado
  28. d)del artículo 45.4 de la LOPD), toda vez que se trata de una gran entidad financiera por cuota de mercado y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
  29. c)del artículo 45.4 de la LOPD), pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Por tanto, en el presente caso aun concurriendo la circunstancia prevista en el apartado
  30. d)del artículo 45.5 de la LOPD “Cuando el infractor haya reconocido espontáneamente su culpabilidad”, permitiendo la aplicación de la escala relativa a la clase de infracciones que precede inmediatamente en gravedad a la considerada, se hace necesario ponderar la sanción a imponer teniendo también en cuenta el tiempo de permanencia en los ficheros de solvencia y, si bien en el caso del fichero ASNEF no consta la baja (ING en escrito de 15/12/2015 manifiesta que “pese a mantenerse en impago, ya no consta comunicado en los ficheros de solvencia”), en el fichero BADEXCUG los datos figuraron incluidos desde el 12/10/2014 al 11/01/2015, es decir, prácticamente 3 meses por lo que una vez valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 tanto favorables como adversos se impone una sanción de 26.000 €, por vulneración del artículo 4.3 de la LOPD, de la que ING debe responder. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ING DIRECT NV, SUCURSAL EN ESPAÑA por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  31. c)de dicha norma, una multa de 26.000 € (veinte seis mil euros) de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a ING DIRECT NV, SUCURSAL EN ESPAÑA y a A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.