← España

PS-00651-2015

1/15 Procedimiento Nº PS/00651/2015 RESOLUCIÓN: R/01320/2016 En el procedimiento sancionador PS/00651/2015, instruido por la Agencia Española de Protección de Datos a la entidad A.A.A., vista la denuncia presentada por C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 5/01/2015 tiene entrada en esta Agencia una denuncia de C.C.C. en la que declara que el día 2/12/2014 recibió en su casa por correo un requerimiento de pago fechado el 13/11/2014 remitido por MULTIGESTIÓN IBERIA, empresa gestora de cobros, supuestamente contratada por UNO-E-BANK. En dicho requerimiento se reclama a D. C.C.C.s (es decir mismo nombre y apellidos, excepto el segundo que lleva y acaba en una

  1. s)con DNI terminado en ***W cuando el suyo es acabado en 75-A según copia del mismo que acompaña. Manifiesta que nunca ha sido cliente de UNO-E-BANK. Aporta copia de la carta de requerimiento de la que se desprenden sus manifestaciones, domicilio en A Coruña, le reclaman 17.047,09 € y se identifica la numeración de la operación que genera la deuda. En el pie de la misma figuran las sedes para el ejercicio de derechos. Adjunta también copia de denuncia interpuesta ante la Policía el 2/12/2014. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información con los siguientes resultados:
  2. a)MULTIGESTION IBERIA con fecha 28/04/2015 manifiesta que MULTIGESTION IBERIA SAU vendió su negocio a A.A.A. el día 31/07/2014. Aportan copia parcial de la escritura de elevación a público del citado contrato de compraventa de activos.
  3. b)UNOE-BANK, SA con fecha 8/05/2015 aporta copia de sus sistemas en los que figuran los datos de C.C.C., DNI completo diferente al del denunciante, que se anonimiza, y acaba en ***W, y domicilio en Barcelona. También le figura una cuenta de la operación que coincide con la que se contenía en la carta de recobro recibida por el denunciante, figurando una deuda de 20.486,99 € Añade que esos datos proceden de la citada persona, aportando copia de un contrato de tarjeta VISA a nombre del titular C.C.C., figurando su NIF acabado en 4***W así como una firma que no se asemeja a la del DNI del denunciante que aporta junto a la denuncia. El contrato aparece firmado por el cliente y FINANZIA SERVICIOS FINANCIEROS EFC, SA, y la fecha 18/05/2000. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 En cuanto a los datos proporcionados a MULTIGESTION para la tramitación de las labores de recobro, aporta impresión de sus pantallas donde figuran los datos de C.C.C., figurando su NIF acabado en ***W, dirección de Barcelona, la operación impagada, una línea móvil acabada en 13, una cuenta de domiciliación bancaria, y como fecha activación 29/10/2012.
  4. c)Con fecha 5/06/2015, MULTIGESTION IBERIA 2014 SLU responde: Aporta copia de los datos que UNO-E les facilitaron para reclamar la deuda que figuran anotados como Cliente Interface. Consta 29/10/2014; C.C.C., con dirección en Barcelona DNI acabado en 4***W y misma línea móvil que figuraba en UNO E. Junto a dichos datos le constan los de C.C.C. con mismo dni, pero con domicilio el que el denunciante hace figurar en su denuncia, y que también figuraba en la carta recibida, como fecha: 5/11/2014 (LOC). Reconoce que este domicilio fue localizado en gestiones propias por MULTIGESTION. Como documento soporte de obtención de la dirección precisa que suscribió un contrato con un proveedor de servicios, del que acompaña copia, fechado el 1/10/2014, denominado INFORMATION INTERNATIONAL GLOBAL CORP, (IIGC) Sociedad radicada en Islas Vírgenes Británicas dedicada al enriquecimiento de base de datos, con localización de datos de contacto. En el mismo se indica que ambas partes se obligan al cumplimiento de las obligaciones que les correspondan según la LOPD, que intercambian datos y el deber de secreto. En el contrato no se contiene la modalidad u origen de obtención de datos. Tampoco la denunciada da explicaciones sobre su origen y/o verificación. TERCERO: Con fecha 14/12/2015, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a A.A.A., (MI) por una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  5. c)de dicha norma. CUARTO: Con fecha 23/12/2015 la denunciada solicita copia del expediente que se le remite el 19/01/2016. QUINTO: Con fecha de registro en Correos de 15/01/2016 y entrada en la Agencia de 20 se reciben alegaciones de la denunciada, que indica: 1) No se ha obtenido copia del expediente vulnerándose su derecho a defensa. Vuelve e pedir copia del mismo. 2) MULTIGESTION tenía suscrito un contrato mercantil de prestación de servicios de cobro de 1/02/2011 con BBVA y con FINANZIA BANCO DE CREDITO SAU, después UNO E BANK de 31/05/2011. El 27/06/2011 se otorgó por BBVA y FINANZIA la escritura de fusión por absorción por la que FINANZIA quedó absorbida por BBVA quedando aquella disuelta y sucediendo BBVA a FINANZIA en todas sus relaciones jurídicas. Como consecuencia de ello, el contrato que MULTIGESTION IBERIA tenía suscrito con FINANZIA se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 consideró finalizado, de modo que las relaciones BBVA y MULTIGESTION IBERIA pasaron a regularse en exclusiva por el contrato de 1/02/2011. Aporta escrito de BBVA que indica lo señalado por la denunciada. MULTIGESTION IBERIA fue comprada por MULTIGESTION IBERIA 2014 el 31/07/2014 recabando el consentimiento de BBVA para poder ceder el contrato de MI a MI 2014. “De esta manera, la relación jurídica vigente al tiempo en que el denunciante afirma haber recibido una carta de esta representación, se daba entre MI 2014 y BBVA. Así, los datos que BVA (-aunque con origen en contrato de tarjeta VISA celebrado por FINANZIA con el cliente deudor comunica a MGI para que pueda prestarle los servicios de localización y gestión de cobro se hacen al amparo del artículo 12 LOD, quedando habilitada para tratar los datos de sus clientes deudores. 3) Recibieron de BBVA tras la fusión de FINANZIA el encargo de gestionar el cobro de la deuda de C.C.C.s, con s al final, y DNI acabado en ***W deudor del BBVA en virtud de contrato de tarjeta VISA que tenía suscrito con aquella entidad financiera, facilitando BBVA el 29/10/2014 los citados datos. 4) Apunta la doctrina sentada por la Audiencia Nacional respecto a la posibilidad de que las empresas de recobro traten datos distintos de los facilitados por la entidad acreedora que les contrató cuando ello sea necesario para prestar sus servicios y sin perder la condición de encargado de tratamiento, Añade que trató los datos de la persona referida existiendo habilitación ex 6.1 de la LOPD y como encargado de tratamiento y el tratamiento de los mismos es necesario para el mantenimiento y cumplimiento del mismo. Cita la SAN de 14/05/2009 referida a la apertura de infracción por artículo 6.1 a una entidad de recobro con contrato en que el deudor cambió de domicilio y número de teléfono y la denunciada para realizar su cometido obtuvo los nuevos datos de unos familiares procediendo a su tratamiento mediante el envío de una carta y una llamada telefónica, supuesto que no se parece al aquí denunciado. Cita la SAN 21/01/2010 en que la empresa denunciada intentó hacer gestiones en el domicilio proporcionado y al no poder contactar, se encomendó a una empresa de detectives su localización, facilitándole uno nuevo al que se remitió la comunicación. 5) Ante los infructuosos intentos de comunicar con el deudor a través de los datos facilitados, se realizaron gestiones de búsqueda necesarias sin el consentimiento del deudor para intentar obtener una sede donde contactarle. La dirección de c D.D.D. 9 en A Coruña del denunciante asociada al cliente deudor C.C.C.des, fue facilitada por INFORMACION INTERNACIONAL GLOBAL CORP ( en adelante IIGC) con la que antes, el 1/10/2014 había suscrito contrato. Una de las cláusulas del mismo indica: “Asimismo y en cualquier caso IGC garantiza a MI que está legitimado para la obtención, tratamiento y cesión de los datos personales y que en tales operaciones se cumple con la legislación vigente en la materia de protección de datos y en particular, con las exigencias de la AEPD en informe de 25/04/2011”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Aporta copia de “Encargo de obtención de datos “ de 5/10/2014, enviado a IIGC en que se contiene un listado de expedientes a incluir en prueba piloto a que se refiere el contrato de 1/10/2014, significando “en virtud del contrato vigente” les remitimos deudores a fin de que realicen las gestiones oportunas para la obtención de datos de contacto y localización figurando C.C.C.de ***NOMBRE.1 (datos del denunciante) con DNI completo acabado en ***W (del cliente deudor).

(130)Aporta copia de documento denominado “Gestión e localización” de 8/14, que en su punto B.2.1) en el sistema de localización mediante proveedores externos se indica que se facilitara a los proveedores externos como mínimo el nombre y apellidos, número identificativo, fecha de nacimiento si se dispone, y que el proveedor externo facilitará a MULTIGESTIÓN, los datos de contacto de todas aquellas personas físicas o jurídicas respecto de las que haya logrado obtenerlos por sus medios y exista concordancia entre nombre y apellidos y el número identificativo. Existe un apartado C2) denominado Validación dato domicilio en el que indica que el dato domicilio se validará o invalidar cuando se remita carta al interviniente y esa resulta devuelta Indica que fue IIGC la que envió una dirección que no era del cliente deudor sino del denunciante. Estima que fue diligente a la hora de solicitar los servicios de localización facilitando los datos necesarios, pero se observa que no correctos. Pese a ello, han pedido a IIGC que aclaren la fuente de los datos obtenidos del denunciante, que facilitaran a este procedimiento. Estima que trató los datos en la confianza legítima de que IIGC había cumplido con las garantías y que ha adoptado las medidas que debía. 6) En virtud del principio de igualdad para que se archive aporta un antecedente, el E/0445/2012 de 21/02/2013 referida a la misma denunciada que encomendó a una Agencia de detectives la localización de datos de un titular de una deuda que se obtuvieron de fuente de acceso público (no menciona cual). 7) Subsidiariamente concurrirían aspectos del artículo 45.5 de la LOPD que deberían llevar a la aplicación del apercibimiento o en su caso a la reducción de una eventual sanción. a. Reducción de la culpabilidad concurriendo elementos del párrafo 4
  1. a)del artículo 45, falta de intencionalidad, nombre y apellidos idénticos, el segundo apellido es lo que los diferencia y solo la última letra. No se comunicaron a terceras entidades, siendo el tratamiento puntual, solo se recibió por el denunciante una carta, ausencia total de beneficios e inexistencia de perjuicios causados a la denunciante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 paralizando el procedimiento de recobro cuando se tuvo conocimiento. La denunciada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de datos aportando copia de “Procedimiento de gestión técnica de localización “ “Sistema de localización mediante proveedores externos” elaborado e implementado por MGI a disposición de los gestores en la Intranet, se incluye también que “El proveedor externo facilitará a MULTIGESTIÓN IBERIA 2014 SL los datos de contacto de todas aquellas personas físicas o jurídicas respecto de las que haya logrado obtenerlos por sus medios y exista concordancia entre nombre y apellidos y el número de documento identificativo”. b. Se ha remitido una Circular a los empleados de MGI encargados de la gestión de localización de los datos de contacto de deudores recordando que la localización se efectuará utilizando nombre y apellidos y DNI, subsidiariamente también fecha de nacimiento. Aporta copia de circular 1/2013 de 26/06/2013 firmada por los empleados aunque no consta la fecha de firma. c. La denunciada pertenece a la Asociación Nacional de Entidades de gestión de cobro y posee certificado expedido por esta, que acredita que cumple el código ético de buenas prácticas sometiéndose asimismo a auditorías anuales como las de gestión de calidad, aporta copia de los documentos. d. Se regularizó la situación sin que el denunciante comunicara aspecto alguno a la denunciada. Al tener conocimiento a través de la denuncia interpuesta se paralizó el tratamiento de datos. Disponen en tal sentido de un manual de gestión de reclamaciones del que aportan copia. e. Acompañan copia de los datos del deudor C.C.C.des y no consta la dirección del denunciante, documento 12, sin que se determine ni se adivine la fecha en que salió la dirección del denunciante, aunque en fecha impresión consta 5/06/2015 SEXTO: Se imprime e incorpora al procedimiento el Informe del Gabinete Jurídico de 25/04/2011. El informe se refiere a la obtención de datos necesarios para la localización de deudores y las entidades que ofertan tales servicios con vistas a que las empresas puedan conseguir el cobro de sus deudas. Examina algunas sentencias sobre el asunto y concluye que un responsable podrá proceder a la actualización de los datos de carácter personal que viniera tratando bien con el consentimiento del interesado, bien sin necesidad del mismo, al encontrarse tal tratamiento amparado por el artículo 6.2 de la LOPD lo que en el fondo no es más que una materialización del deber de actualización y exactitud establecido en el artículo 4.3 de la LOPD según el cual “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El Informe continua declarando “Ahora C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 bien, para que lo que acaba de anticiparse sea posible será necesario, por una parte que la recolección de los datos actualizados se lleve a cabo por la propia entidad legitimada para hacerlo, bien directamente, bien a través de un encargado de tratamiento que opere en su nombre. Además, será necesario que los datos actualizados se obtengan lícitamente, procediendo de quienes se encontrasen legitimados para tratarlos o cederlos, como sucedería en caso de encontrarse los datos en fuentes accesibles al público o ser tratados por detectives privados, autorizados para ello por la legislación de seguridad privada. Pero la doctrina sentada por la AN en las sentencias a las que se ha venido haciendo referencia no legitima la mera recopilación de información para su mera puesta a disposición de quien quisiera acceder a la misma, sino que únicamente legitima al que ya se encuentra legitimado para el tratamiento. En este sentido la AN ha considerado contraria a la LOPD la recogida, recopilación y comunicación de información referida a gran parte de la población española para su mera puesta a disposición de terceros que la soliciten a cambio de una contraprestación.” “En consecuencia para que la actividad a la que se refiere la consulta pueda considerarse lícita será necesaria la concurrencia de dos requisitos: por una parte que la fuente de la que se obtiene la información se encuentre legitimada para su tratamiento y por otra, que la información sea facilitada directamente al responsable legitimado para el tratamiento y actualización de los datos o a quien actué como encargado del tratamiento por cuenta de aquel” En el presente supuesto, si bien en el contrato entre IIGC y MGI se establecía que la primera garantizaba a MGI que en la obtención de datos se cumplía la legislación vigente, y de acuerdo con el Informe citado, ningún medio de control de los resultados obtenidos han sido aportados en este caso, bien porque no los tiene establecidos MGI, bien por falta de previsión, que denota falta de diligencia en la supuesta obtención legal de datos adicionales de los deudores. SÉPTIMO: Con fecha 20/04/2016 se emitió propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se sancione a A.A.A. con multa de 40.001 €, por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  2. c)de dicha norma, de conformidad con el artículo 45. 4) de dicha LOPD.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 OCTAVO: El 23/05/2016 se presentan alegaciones por la denunciada en las que reitera lo manifestado, añadiendo: 1) La dirección c/ D.D.D. 9 en A Coruña en un corto espacio de tiempo se asoció al cliente deudor Sr. C.C.C.es, nunca al denunciante fue facilitada por la empresa proveedora de MGI, IIGC. 2) Aporta lo que manifiesta s fue la respuesta de localización de los datos por parte de IIGC, que conste en un listado fechado 10/10/2014 en el que entre otros contiene la dirección de c/ D.D.D. en A Coruña, mismo DNI y mismo nombre y apellidos que el que le entregó. MGI, si bien sigue sin precisarse el origen de conocimiento de dichos datos (repertorios telefónicos, listas de personas pertenecientes a grupos de profesionales, diarios y/o boletines oficiales y los medios de comunicación) y MGI declara que ha solicitado el origen, pero no se le respondió. Añade que la AEPD no puede exigir que se acredite el origen de la dirección recabada, pues ello compete a IIGC. Tanto la petición como la respuesta contenían el DNI y el nombre y apellidos. IIGC tenía obligación de comprobar el dato del DNI del deudor”, tal y como se señala en el “procedimiento de gestión técnica e localización”, documento 4. No existe falta de diligencia. Aporta documentación acreditativa (correo electrónico de 4/04/2016 11/03/2016) por la que rescindió la relación con IIGC. y carta de 3) La propuesta debería apreciar el artículo 45.5 de la LOPD, por: a. Diligente regularización 45.5.
  3. b)de la LOPD teniendo en cuenta que sí que consta la fecha en la que se cancelaron los datos erróneos. Declara que canceló los datos nada más recibir solicitud de información inicial de la AEPD, el 13/05/2015, es decir cuando tuvo conocimiento por primera vez que la dirección no se correspondía con el deudor, cesando incluso en la gestión del expediente. Se remite al folio 70 en relación con el 212 y ss. en el que el primero figuraba a 1/06/2015 la dirección del denunciante y en el segundo, en hoja imprimida el 5/06/2015 ya no figura. b. Otras circunstancias que podrían agruparse en reducción de la culpabilidad o antijuridicidad, como que solamente se envió una carta, disponen de procedimientos, medios y protocolos para el correcto tratamiento de los datos, falta de intencionalidad, sin que se causaran perjuicios al denunciante HECHOS PROBADOS 1. C.C.C., DENUNCIANTE, dni acabado en...75 A, con domicilio en c D.D.D. 9, 1, izda A Coruña, recibe en dicho domicilio una carta de recobro de MULTIGESTION IBERIA requiriendo el pago por cuenta de UNO E BANK de 17.047,09 € y código operación: F.F.F.89. En la carta recibida por el denunciante figura como destinatario C.C.C.s, dirección: que coincide con la del lugar en que ha sido entregada, la del denunciante: c D.D.D. 9, 1, izda A Coruña. En el contenido de la carta que recibe el denunciante, además, figura como dígitos de un DNI del deudor acabado en ***W, que no se corresponden con los últimos del denunciante que son 75 A (1,3, 4, 5). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 2. UNOE-BANK, SA tiene en sus sistemas los datos de C.C.C. DNI completo diferente al del denunciante, acabado en ***W, y domicilio en Barcelona (56, 58,59), código de cuenta operación que coincide con la que se contenía en la carta de recobro recibida por el denunciante F.F.F.89 (59 y 4) (1,3, 4, 5, 59,4). UNOE-BANK, SA acredita que esos datos proceden de la citada persona, aportando copia de un contrato de tarjeta VISA a nombre del titular C.C.C., figurando su NIF acabado en ***W, así como una firma que no se asemeja a la del DNI del denunciante aportado en su denuncia. El contrato aparece firmado por el cliente y FINANZIA SERVICIOS FINANCIEROS EFC, SA, y la fecha 18/05/2000(60, 61). Esos datos se proporcionaron a la empresa de recobro MULTIGESTION IBERIA, desde 31/07/2014 denominada: A.A.A.. . (14, 15, 34 y ss., 57, 62). 3. A fecha 1/06/2015 en los sistemas de la entidad de recobro A.A.A.. (MGI) constan de los datos de C.C.C., figurando su NIF acabado en ***W, dirección de Barcelona como cliente UNO E, cuenta operación F.F.F.89 (68. 70). También figura en sus sistemas además, la dirección de c D.D.D., 9, 1, I (piso y puerta) de A Coruña del denunciante asociados a los datos de la deuda
(70). No figura anotado el NIF del denunciante. Los datos que UNO E cede a MGI según esta entidad, coinciden con los que manifestaba UNO E BANK haber proporcionado (68, 71). MGI reconoce que el dato que figura en sus sistemas c D.D.D., 9, 1, I (piso y puerta) de A Coruña es un dato no procedente de UNOE BANK sino un dato propio, de localización.
(69). MULTIGESTION declara que dicho dato se lo proporcionó la empresa INFORMATION INTERNATIONAL GLOBAL CORPORATION (IIGC) entidad radicada y constituida en las Islas Vírgenes Británicas
(78), con quien tiene un contrato de 1/10/2014 que aportan y tiene como objeto la localización y actualización de datos de contacto de deudores (69, 78, 79). En el contrato se indica que IIGC está legitimada para la obtención tratamiento y cesión de los datos personales y que en tales operaciones se cumple con la legislación vigente en materia de protección de Datos y en particular con las exigencias de la AEPD en informe de 25/04/20111
(79). 4. Se acredita que el 5/10/2014, MGI solicita a su localizador de datos IIGC las gestiones para la obtención de datos de contacto de C.C.C.de ***NOMBRE.1, dni E.E.E. 14 W (128 a 130). Con fecha 10/10/2014, IIGC devuelve los datos obtenidos que son los mismos proporcionados, asociados a c D.D.D., 9, 1, I (piso y puerta) de A Coruña, domicilio del denunciante. (324 a 326). 5. MI aportó impresión de sus sistemas, Ficha, en la que los datos de la dirección en a Coruña del denunciante, en una impresión de 4 hojas efectuada a 5/06/2015 ya no constaban (212 a 214). 6. MULTIGESTIÓN no aporta la fuente o el origen del dato incorporado que le proporciona la empresa IIGC, desconociendo su origen. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Se imputa a la denunciada el artículo 4.3 de la LOPD que indica: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan como veracidad a la situación actual del afectado.” Ya el Convenio de 1981 del Consejo de Europa para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, ratificado por España en el año 1984, establecía como principio básico para la protección de datos el denominado “principio de calidad de los datos”, que obligaba expresamente a que los datos se obtuvieran y trataran leal y legítimamente, que se registraran para finalidades determinadas y legítimas, y no se utilizaran de forma incompatible con dichas finalidades, que fueran adecuados, pertinentes y no excesivos en relación con las finalidades para las cuales se hayan registrado, que fueran exactos y si fuere necesario puestos al día y, finalmente, que se conservaran bajo una forma que permita la identificación de las personas concernidas durante un período de tiempo que no exceda del necesario para las finalidades para las cuales se hayan registrado. Requisitos de exactitud y veracidad de los datos personales, establecidos en la repetida LOPD, que son exigibles al titular del fichero o tratamiento, según deriva del propio artículo 4.3, no solo en lo que atañe a la recogida y conservación de los datos personales en los propios ficheros, o a su comunicación a un fichero sobre solvencia patrimonial o crédito (que es el supuesto más frecuente), sino también en cualquiera de las diversas fases o modos en los que puede manifestarse el tratamiento de los datos personales. Ello, teniendo en cuenta el concepto amplio que de tratamiento deriva del artículo 3.
  2. c)de la LOPD , que comprende no solo la recogida, grabación o conservación de los datos, sino también la elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. De donde resulta que en cualquiera de dichas manifestaciones, se requiere la exactitud y veracidad de los datos personales por parte del responsable del fichero o tratamiento. Junto a ello se debe englobar el concepto de dato personal, que se contiene en el artículo 3.
  3. a)de la LOPD como “cualquier información concerniente a personas físicas identificadas o identificables”” En el presente supuesto, la denunciada es la responsable del tratamiento consistente en enviar la carta al denunciante. Para ello, parte de la base de los datos que le proporciona la responsable del fichero, en este caso UNO E, que no le dio los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 datos del denunciante, sino del verdadero titular de una relación contractual. La denunciada contrata con otra empresa la averiguación de datos adicionales con el fin de localizar al deudor. En el presente supuesto, no cabe duda que se produce una búsqueda de datos del deudor, y teniendo en cuenta la coincidencia casi plena de nombre y apellidos del verdadero deudor y del denunciante, se consagra como dato de este el de la dirección del denunciante asociado a su nombre y apellido, asociando pues deudor con la persona del denunciante que se manifiesta al recibir este la carta. La coincidencia total excepto de la última letra del segundo apellido, una s, no supuso obstáculo para que la denunciada entendiendo que era la misma persona le enviare la carta, conteniendo la reclamación de pago. Este requerimiento de pago se envía a la persona que no es deudora. Queda acreditado que por la coincidencia de apellidos, la denunciada no se asegura y envía la carta de requerimiento de pago a una persona que no es tal. Se acredita que el denunciante nada adeudaba a UNO E y la entidad de recobro le remite una carta que le identifica como deudor sobre la base de la coincidencia de nombre y apellidos. Partiendo del nombre y apellidos, la denunciada recaba una dirección en la que considera como la del deudor. En la base de datos de la denunciada, esta, motu propio agregó a los datos de nombre y apellidos casi coincidentes con los de la persona deudora, (solo se diferencian en la última letra del segundo apellido), una dirección producto de una búsqueda que contrata con IIGC. Si bien la denunciada no da detalles ni explicaciones de cuál es el origen de los datos que obtiene, de cómo esa empresa contratada procede a la búsqueda de tales datos, se acredita que esa dirección y ese nombre sirven para dirigir una carta de requerimiento al denunciante que no es deudor, incurriendo en un uso de datos que revela falta de calidad, veracidad y realidad en esos datos, y que identifican a una persona que no es la deudora. III En cuanto a las alegaciones de la denunciada referentes a la posibilidad de obtener datos nuevos que respondan a la actualización de los que se hubieran proporcionado y no hubieran dado resultados en los envíos gestionados, aquí no se discute dicha acción, pues es claro que existe dicha posibilidad. Aquí lo que se discute y se considera infringido es que los datos que se obtienen no son los del deudor sino los de una tercera persona que no es deudor de cantidad alguna, fuese por no haber obtenido los datos de una fuente fiable, fuese por no verificar la fuente de obtención de los mismos. De cualquier modo, la denunciada no explica ni ha aportado la fuente de procedencia de los datos del denunciante. En tal sentido, siendo la denunciada conocedora de las cautelas en la obtención de los datos adicionales para el recobro, pues menciona el Informe Jurídico de 25/04/2011, no precisa en modo alguno el origen del dato que ha tratado con falta de calidad en sus sistemas como responsable del tratamiento en un encargo de tratamiento. IV La infracción se tipifica como grave en el artículo 44.3.
  4. b)de la LOPD que indica: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” V El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  5. a)El carácter continuado de la infracción.
  6. b)El volumen de los tratamientos efectuados.
  7. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  8. d)El volumen de negocio o actividad del infractor.
  9. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  10. f)El grado de intencionalidad.
  11. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  12. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  13. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  14. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  15. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  16. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  17. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15
  18. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  19. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Solicita la denunciada que se aplique el artículo 45.5
  20. b)de la LOPD por diligente regularización, teniendo en cuenta que el denunciante no se dirigió a dicha entidad, y que ya no constaba anotada la dirección el 5/06/2015, al tener noticias a través de la Agencia, indicando que si en vez denunciar hubiese reclamado cuentan con protocolos de actuación en estos casos. Además proporciona otras circunstancias que en conjunto pueden conducir a la aplicación del 45.5.
  21. a)como el error solo se produjo en una ocasión, disponen de procedimientos, medios y protocolos para el correcto tratamiento de los datos, falta de intencionalidad, y no causaron perjuicios al denunciante En primer lugar, se debe señalar que una vez se aplica la reducción que establece el artículo 45.5 (por concurrencia de una de las causas que así lo permiten) resulta obvio que ya no es relevante la concurrencia de otra u otras de dichas circunstancias puesto que la reducción ya se ha producido (SAN 28/04/2015). El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Audiencia Nacional (AN) tiene establecido en multitud de sentencias en relación al art. 45.5 LOPD, que no es sino una manifestación del llamado principio de proporcionalidad (art. 131.1 de la Ley 30/1992), incluido en el mas general de prohibición de exceso, y reconocido por la jurisprudencia como principio general del derecho. Ha añadido la AN que dicha regla debe aplicarse con exquisita ponderación y solo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual, insistimos, puede darse, por excepción, en casos muy extremos (de aquí la expresión "especialmente cualificada") y concretos (por todas SAN, Sec. 1ª, de 24/09/2010 (Rec 245/2010). De modo que la posibilidad prevista en el artículo 45.5 LOPD, no es sino consecuencia del valor justicia que informa nuestro ordenamiento jurídico (art. 1 C.E., en relación con las STC 50/1995 y 173/1995), siendo plasmación de tal principio en casos de cualificada disminución de la culpa o de la antijuridicidad. Con fundamento en dicha doctrina estima A.N. que su aplicación debe ser individualizada, en atención a las circunstancias concretas que resulten de cada caso, correspondiendo al sancionado la carga de acreditar las circunstancias de las que resulte una disminución "especialmente cualificada" de la culpabilidad o de la antijuridicidad. En consecuencia, pues, no es posible establecer criterios generales para la aplicación del citado artículo 45.5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 El artículo 45.5 LOPD, en la redacción que le dio la reforma operada por la Ley 2/2011 de 4/03, de Economía sostenible, dispone que el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en una serie de supuestos que cita. En relación con la culpabilidad, el art. 130.1 de la Ley 30/1992, de 26/11, preceptúa “solo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos”, pero añadiendo que incluso "a título de simple inobservancia" Cabe indicar que el principio de culpabilidad impide la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, también es cierto, que la ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. Pues bien, resultando aplicable a este supuesto la doctrina de la AN antes expresada, dadas las concretas circunstancias del caso que nos ocupa, se aprecia que para MGI concurre la circunstancia expresada en el artículo 45.5.
  22. b)ya que era la primera noticia que tenía la denunciada, actuando a los pocos días de recibir de la Agencia la información considerando que sus datos obtenidos podrían ser erróneos, eliminándolos de sus sistemas el 5/06/2015 o que permite aplicar la citada atenuación privilegiada. Una vez considerada para MGI la aplicación del artículo 45.5 de la LOPD, en el presente caso, se han de tener en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4 de la LOPD, en particular: 1. El importante volumen de negocio (apartado
  23. d)ya que como entidad de recobro es un hecho notorio. 2. La vinculación de la actividad de MGI con la realización de tratamientos de datos personales (apartado
  24. c)pues es evidente que en el desarrollo de la actividad que desempeña se ve obligada a un continuo tratamiento de datos personales tano de sus clientes como de terceros potenciada por la relevancia de los bienes jurídicos protegidos por aquellas normas y la profesionalidad de los responsables o encargados, máxime cuando operan con ánimo de lucro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 3. En cuanto a las medidas adoptadas, en este caso habría bastado tomar la cautelas propia de haber implementado en el contrato o adicionalmente al mismo, un control de la obtención u origen de los datos, dado que todo y cualquier acceso a datos de afectados ha de contar con legitimación, y aunque proceda de fuentes de acceso público ha de poderse acreditar el origen del datos por parte de su responsable, el que decide sobre su finalidad, MGI. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones reseñados, para MGI, se impone una sanción de 20.000 €. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad A.A.A., por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  25. c)de la LOPD, una multa de 20.000 €, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A., y a B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.