1/9 Procedimiento Nº PS/00658/2016 RESOLUCIÓN: R/02249/2017 En el procedimiento sancionador PS/00658/2016, instruido por la Agencia Española de Protección de Datos a la entidad PRIME CREDIT 3 SARL, vista la denuncia presentada por D.ª C.C.C. y en consideración a los siguientes, ANTECEDENTES PRIMERO: En fecha 31/03/2016 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª C.C.C. (en lo sucesivo la denunciante) en el que expone que la entidad PRIME CREDIT 3, S.A.R.L., (en lo sucesivo, la denunciada o PRIME CREDIT) ha incluido sus datos personales en el fichero de solvencia patrimonial ASNEF sin haberle requerido con carácter previo el pago de la deuda. Añade que ASNEF EQUIFAX, S.L., tampoco le notificó la inclusión de sus datos en el fichero de solvencia patrimonial y que tuvo noticia de los hechos al cancelarle la tarjeta Visa. Anexa a la denuncia copia de los siguientes documentos: - Carta remitida a su nombre y a su dirección postal –la misma que figura en el DNI cuya copia aporta- por Santander Consumer Finance, S.A., de febrero de 2016, en la que le comunica que su tarjeta EROSKI red Visa será cancelada en abril por incremento del riesgo crediticio. - Escrito del denunciante a EQUIFAX IBÉRICA, S.L., de 17/02/2016, en el que ejercita el derecho de acceso y copia del reporter del envío por fax de dicho escrito. - Carta de EQUIFAX IBÉRICA, S.L., enviada a la dirección electrónica de la denunciante - I.I.I.-, de 17/02/2016, en la que le informa del resultado del acceso solicitado: Consta una incidencia asociada a su NIF ( L.L.L.), comunicada por PRIME CREDIT 3 SARL, con fecha de alta 17/09/2015, por un importe de 13.918,43 euros, por un producto de “préstamos personales” en calidad de avalista. En el fichero figuran además del NIF de la denunciante, su nombre y dos apellidos y un domicilio en la misma localidad donde reside, A.A.A., pero en una dirección que no es la que figura en su DNI, B.B.B.. - Escrito de la denunciante a EQUIFAX IBÉRICA, S.L., de 25/02/2017, indicando que no le han informado en el plazo que marca la ley de la inclusión de sus datos en el fichero que gestiona y en el que aparece incluida desde cinco meses antes. Manifiesta que los datos publicados en el fichero son falsos, pues no es titular de la deuda, y ejercita los derechos de cancelación y de oposición. El escrito fue enviado por fax y recibido sin incidencias en fecha 26/02/2016. - Carta de EQUIFAX IBÉRICA, S.L., de fecha 02/03/2016, en la que le deniega la cancelación solicitada al haber confirmado PRIME CREDIT la existencia de la deuda y su permanencia en el fichero. C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 2/9 - El correo electrónico enviado por la denunciante el 03/03/2016 desde I.I.I. a XXX.1@equifax.es en el que reitera lo expuesto en su anterior escrito a EQUIFAX IBÉRICA, S.L.: Que su inclusión en el fichero no se ajusta a la ley; desconoce quiénes es PRIME CREDIT y no le han comunicado la existencia de la supuesta deuda ni su inclusión en un fichero de morosidad. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de la AEPD se practicaron actuaciones de investigación encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección que se reproduce: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN A. PRIME CREDIT suscribió con Banco Popular Español, S.A. y/o Banco Popular-E (en adelante Banco Popular) un contrato de cesión de créditos, por lo que la entidad financiera cedió a PRIME CREDIT todos los derechos y obligaciones de ciertas operaciones y créditos entre los que se encontraba el contrato suscrito por la denunciante en calidad de avalista. Se adjunta copia del testimonio de la suscripción de dicho contrato de cesión. Los datos de la denunciante que constan en el Sistema de Información de la entidad PRIME CREDIT son los siguientes: nombre, apellidos, NIF, fecha de nacimiento que coincide con la que consta en el DNI, operación y dirección postal c/ A.A.A., primer vencimiento 26 de julio de 2012 y deuda nominal 12.243,69€. Se adjunta impresiones de pantalla al respecto. La empresa SERVIDEBT ESPAÑA, S.L., designada por PRIME CREDIT para la gestión de todos los derechos y acciones derivados del crédito cedido, remitió una notificación a la denunciante, el día 18 de agosto de 2015, en la que se le informaba de la cesión del crédito y se le instaba al pago de la cantidad debida, a la dirección postal calle A.A.A.. También, en dicha carta se le comunicaba que como usted ya conoce conforme carta de notificación de cesión de créditos, fechada el 29 de enero de 2014, Banco Popular ha cedido a PRIME CREDIT todos los derechos y acciones del crédito. En el pie del requerimiento consta un texto en el que, entre otros, se informa de que en caso de impago podrá notificar la inclusión de sus datos en los ficheros comunes de morosidad. Se adjunta copia del citado requerimiento de pago. También, el 9 de diciembre de 2015, SERVIDEBT ESPAÑA, S.L. remite un nueva notificación a la denunciante, en relación con la deuda que mantiene con PRIME CREDIT, en la que le informaban nuevamente de la cesión del crédito, se le instaba al pago y se le informaba de la inclusión de sus datos personales en ficheros comunes de morosidad. Se adjunta copia de la misma. PRIME CREDIT no acredita documentalmente el envío ni la entrega de los citados requerimientos de pago a la denunciante o, en su caso, de la devolución a su origen. PRIME CREDIT, mediante Escritura Pública Notarial de fecha 25/01/2016, otorgó poder de representación tan amplio y bastante como fuera necesario en Derecho a favor de GESIF, S.A.U., con ***CIF.1. En la descripción de los actos en los que la representante puede actuar en nombre de su poderdante se menciona expresamente C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 3/9 “… toda clase de actos, negocios, expedientes, trámites, procedimientos, diligencias y gestiones ante organismos administrativos, entre otros la Agencia Española de Protección de Datos …”. La apoderada, GESIF, S.A.U., cambió su denominación social por la de CABOT FINANCIAL SPAIN, S.A. El acuerdo social figura inscrito en el Registro Mercantil en fecha 13/03/2017 y se publicó en el BORME el 22/03/2017. B. Con respecto a la entidad Equifax Ibérica: la notificación de inclusión de la incidencia a nombre de la denunciante de la entidad informante PRIME CREDIT se realizó, con fecha de emisión el día 18 de septiembre de 2015, a la dirección calle A.A.A., no constando la devolución a su origen. La empresa SERVIFORM, S.A. (antes EMFASIS Billing&Marketing Services, S.L.) como prestador del servicio de generación de notificaciones de inclusión en el fichero ASNEF, en virtud del contrato marco, de fecha 22 de mayo de 2014, certifica que el 18 de septiembre de 2015 recibieron el fichero CARTAS_CREDI_INCLU_SP_20150918023600, con un total de 9132 registros, figurando como primera comunicación a procesar la de referencia ***REF.1 y como última la de referencia ***REF.2. Que en dicho proceso se generó la comunicación de referencia ***REF.3 dirigida a la denunciante con domicilio en la calle calle A.A.A.. Por lo que certifica la generación, impresión y puesta en el servicio de envíos postales el día 22 de septiembre de 2015. Se aporta copia de la notificación de inclusión remitida a la denunciante y del citado certificado. En relación con la referencia de la carta ***REF.3, Equifax Ibérica manifiesta lo siguiente: El registro de notificación, que genera cada alta, se va clasificando numéricamente en orden ascendente, según se va actualizando la información, con una numeración secuencial, donde los 4 primeros dígitos corresponde al año en curso, los 2 siguiente el mes en curso y los 7 restantes, una numeración ordinaria, que se inicia cada mes empezando a numerarse a partir de la cifra 1000001 (incluida). Una vez acabada la actualización de la información, el fichero generado, cuyos registros contienen los datos necesarios para la generación de la notificación, es ordenado por código postal, para ser remitido con este orden al prestador del servicio ya que el Servicio de Correos así lo exige. Por lo que después de la nueva clasificación se remite el fichero al prestador de servicios SERVIFORM para que proceda a la generación e impresión de las notificaciones de inclusión y su posterior depósito en Correos. Dicho procedimiento se detalla en el escrito remitido por Equifax Ibérica, S.L. el día 19 de diciembre de 2016. También, se aporta Albarán de Entrega del Servicio Estatal Correos y Telégrafos, S.A., de fecha de registro el 22 de septiembre de 2015, del cliente Equifax Ibérica, en cuyo pie de página consta “Por Correos y Telégrafos SAE: ADMITIDO Oficina: ***OFIC.1 Fecha: 22/09/2015 15:22:35” TERCERO: En fecha 24/03/2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PRIME CREDIT por la presunta infracción del artículo 4.3, en relación con el 29.4, de la LOPD, y en relación con el artículo 38.1.
- c)del RLOPD, infracción tipificada como grave en el artículo 44.3.
- c)LOPD. C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 4/9 CUARTO: El acuerdo de inicio del PS/00658/2016 fue notificado a la entidad denunciada, PRIME CREDIT, por la empresa de mensajería ENVIALIA en fecha 28/03/2017, a las 9:23 horas, a la dirección postal de calle E.E.E.. El envío fue recogido en esa misma fecha, 28/03/2017, por D.ª K.K.K., con NIF M.M.M.. En el albarán de entrega aparece estampado un sello de COBRALIA, Servicios Integrales de Recuperación, S.L., con domicilio en calle E.E.E.. QUINTO: El 03/04/2017 tuvo entrada en el Registro de la AEPD un escrito remitido por COBRALIA, Servicios Integrales de Recuperación, S.L., en el que su representante legal explica que en fecha 28/03/2015 se había recibido en las oficinas de la empresa, sitas en calle E.E.E., una notificación postal de la AEPD que iba dirigida a la empresa PRIME CREDIT 3, S.A.R.L. Indica que el domicilio de la calle E.E.E. es exclusivo de COBRALIA y que la destinataria de la carta, PRIME CREDIT, 3, S.A.R.L., no está domiciliada allí. HECHOS PROBADOS PRIMERO: Con fecha 31/03/2016 tuvo entrada en el Registro de la Agencia Española de Protección de Datos una denuncia presentada por D.ª C.C.C. frente a PRIME CREDIT 3, S.A.R.L. SEGUNDO: Con fecha 24/03/2017 la Directora de la Agencia Española de Protección de Datos, a la vista de los hechos denunciados, dictó acuerdo de inicio de expediente sancionador (PS/00658/2016) contra la entidad PRIME CREDIT 3, S.A.R.L., por una presunta infracción de la LOPD. TERCERO: El acuerdo de inicio fue notificado en fecha 28/03/2017 a la dirección postal de calle E.E.E.. Obra en el expediente el documento que acredita que el acuerdo de inicio que la AEPD notificó fue recibido en fecha 21/03/2017, a las 9 horas y 23 minutos. En el documento constan los datos de la persona que recoge la carta ( K.K.K., NIF M.M.M.), y un sello con la leyenda “Cobralia Servicios Integrales de Recuperación, S.L.” CUARTO: En el curso de las Actuaciones de Investigación previa E/2433/2016, precedente del PS/658/2016, la Inspección de Datos de la AEPD había hecho un requerimiento informativo a la entidad PRIME CREDIT 3, S.A.R.L., que fue remitido a la dirección de calle E.E.E., y que fue contestado por esa entidad. Así, el representante legal de PRIME CREDIT 3, S.A.R.L., en escrito de fecha 10/06/2016, en la respuesta al requerimiento informativo de la Inspección, dice: “…y domicilio a estos efectos en Calle E.E.E.”. QUINTO: En la respuesta al segundo requerimiento informativo de la Inspección, de 18/06/2016, PRIME CREDIT facilitó a la AEPD un nuevo domicilio: Avenida de D.D.D.. C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 5/9 SEXTO: El 03/04/2017 se recibe en la AEPD un escrito del representante legal de COBRALIA con el que aporta el acuerdo de inicio del PS/658/2016, que iba dirigido a PRIME CREDIT 3, S.A.R.L. y que le fue notificado el 28/03/2017. El representante legal de COBRALIA justifica la devolución a la AEPD de “la notificación postal ensobrada” dirigida a PRIME CREDIT en el hecho de que “fue entregada de manera incorrecta en el domicilio de COBRALIA”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 48 de la LOPD dispone en su apartado 3 que “Los procedimientos sancionadores tramitados por la Agencia Española de Protección de Datos, en ejercicio de las potestades que a la misma atribuyan esta u otras Leyes, salvo los referidos a infracciones de la Ley 32/2003, de 3 de noviembre, General de Telecomunicaciones, tendrán una duración máxima de seis meses.” (El subrayado es de la AEPD) Por otra parte, el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala en su artículo 128: “1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones”. (El subrayado es de la AEPD) La Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) en su artículo 84 dispone: “1. Pondrán fin al procedimiento la resolución, el desistimiento, la renuncia al derecho en que se funde la solicitud, cuando tal renuncia no esté prohibida por el ordenamiento jurídico, y la declaración de caducidad”. (El subrayado es de la AEPD) El artículo 95 de la LPACAP, relativo a los requisitos y efectos de la caducidad, advierte que “3. La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 6/9 interrumpirán el plazo de prescripción. En los casos en que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia del interesado”. (El subrayado es de la AEPD) A tenor de la exposición precedente, toda vez que el acuerdo de inicio del PS/00658/2016 se firmó por la Directora de la Agencia Española de Protección de Datos el 24 de marzo de 2017, y tomando en consideración que en fecha 24 de septiembre de 2017 –cuando se cumplió el plazo de duración máxima del procedimiento que contempla la Ley- no se había dictado resolución sancionadora, procede declarar la caducidad del citado expediente sancionador. La consideración anterior ha de entenderse sin perjuicio de que, como se detalla más adelante, al no haber prescrito la presunta infracción que motivó su apertura –ya que la fecha estimada de prescripción es febrero de 2018- nada impide el inicio de un nuevo expediente sancionador sobre los mismos hechos (ex artículo 95.3 LPACAP) III Paralelamente, procede señalar que el RLOPD en su artículo 122 dice: “1. Con anterioridad a la iniciación del procedimiento sancionador, se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación. En especial, estas actuaciones se orientarán a determinar, con la mayor precisión posible, los hechos que pudieran justificar la incoación del procedimiento, identificar la persona u órgano que pudiera resultar responsable y fijar las circunstancias relevantes que pudieran concurrir en el caso. 2. Las actuaciones previas se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano. 3. Cuando las actuaciones se lleven a cabo como consecuencia de la existencia de una denuncia o de una petición razonada de otro órgano, la Agencia Española de Protección de Datos acusará recibo de la denuncia o petición, pudiendo solicitar cuanta documentación se estime oportuna para poder comprobar los hechos susceptibles de motivar la incoación del procedimiento sancionador. 4. Estas actuaciones previas tendrán una duración máxima de doce meses a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el apartado 2 hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquéllas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. (El subrayado es de la AEPD) Trasladando la disposición transcrita a los hechos que nos ocupan se observa C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 7/9 que el escrito de denuncia que dio lugar al PS/00658/2016 tuvo entrada en el Registro de la AEPD en fecha 31 de marzo de 2016 por lo que el plazo de doce meses dentro del cual han de practicarse las actuaciones de investigación y tiene que dictarse el acuerdo de inicio de procedimiento sancionador así como notificarse al presunto responsable (ex artículo 122 RLOPD) finalizaba el día 31 de marzo de 2017. La Directora de la AEPD dictó el acuerdo de inicio del procedimiento sancionador PS/00658/2016 antes de que se cumpliera el plazo indicado en el artículo 122.4 RLOPD, exactamente el 24 de marzo de 2017. En fecha 28 de marzo de 2017 se notificó a la dirección postal de calle E.E.E. En tal sentido, obra en el expediente el documento que acredita la recepción de la notificación en el citado domicilio a las 9 horas y 23 minutos del día 28 de marzo de 2017. En el acuse de entrega constan el nombre, apellidos y NIF de la persona que recoge la carta y un sello con la leyenda “Cobralia Servicios Integrales de Recuperación, S.L.”. Llegados a este punto se ha de indicar que la entidad PRIME CREDIT había confirmado el domicilio de E.E.E. como domicilio de notificaciones en su respuesta al requerimiento informativo de la Inspección de Datos de la AEPD. En particular, en la respuesta al primer requerimiento informativo el representante de PRIME CREDIT cita expresamente esa dirección postal como domicilio para la práctica de notificaciones. No obstante, en la respuesta al segundo requerimiento informativo de la Inspección de Datos el representante de PRIME CREDIT cambia el domicilio de notificaciones y designa a tal fin la avenida de D.D.D.. En los registros informáticos de la AEPD continuó figurando como domicilio válido para notificar a la denunciada el primero que facilitó razón por la cual se remite a aquél el Acuerdo de inicio del procedimiento sancionador. Por otra parte, no será hasta el 3 de abril de 2017 cuando se reciba en esta Agencia una carta de Cobralia Servicios Integrales de Recuperación, S.L., en la que su representante legal explica que recibió en fecha 28 de marzo de 2017 en sus oficinas una notificación postal de la AEPD dirigida a la empresa PRIME CREDIT 3, SARL; que el domicilio de la calle E.E.E. es exclusivamente el domicilio de Cobralia y que PRIME CREDIT no tiene allí su domicilio. Adjunta a la carta remite a la AEPD el sobre con la notificación del acuerdo de inicio de expediente sancionador dirigido a nombre de PRIME CREDIT3, S.A.R.L., El sobre de la notificación se recibe en la AEPD abierto. IV La denuncia que dio origen a las actuaciones de investigación en el marco del E/02433/2016 versó sobre la presunta comisión por PRIME CREDIT3, SARL, de una infracción grave de la LOPD - artículo 4.3, en relación con el 29.4, de la citada LOPD y del 38.1.c, del RLOPD- cuyo plazo de prescripción (ex artículo 47.1 LOPD) es de dos años. El término inicial o dies a quo del cómputo del plazo de prescripción –según se infiere de la documentación que obra en el expediente- sería febrero de 2016. En la documentación que la denunciante aporta figura una carta que le dirige Santander Consumer Finance, que lleva fecha de “Febrero 2016”, en la que le comunican: “Su tarjeta EROSKI será cancelada el próximo 10 de abril por incremento de su riesgo crediticio. Si desea más información puede ponerse en contacto con el Servicio de C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 8/9 Atención al cliente Teléfono …” Conforme al artículo 47.1 LOPD las infracciones presuntamente cometidas por PRIME CREDIT prescribirían en febrero de 2018, por lo que ningún impedimento existe para que la AEPD pueda acordar la apertura de un procedimiento sancionador contra dicha entidad dentro del plazo de prescripción indicado. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR LA CADUCIDAD DEL PROCEDIMIENTO SANCIONADOR PS/00658/2016 y el consiguiente archivo de las actuaciones practicadas, conforme a los artículos 84.1 de la LPACAP y 48.3 de la LOPD en relación con el 128.2 del RLOPD. SEGUNDO: DECLARAR LA CADUCIDAD de las ACTUACIONES DE INVESTIGACIÓN PREVIA practicadas en el E/02433/2016, por el transcurso del plazo que fija el artículo 122.4 del RLOPD. TERCERO: ACORDAR que por la Subdirección de Inspección de Datos se lleven a cabo nuevas actuaciones de investigación previa en el marco del expediente E/04716/2017 al no haber prescrito las presuntas infracciones de la normativa de protección de datos de las que es presunta responsable PRIME CREDIT3, S.A.R.L. CUARTO: NOTIFICAR la presente resolución a CABOT FINANCIAL SPAIN, S.A., en su condición de representante en España de PRIME CREDIT, 3, S.A.R.L., y a D.ª C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es 9/9 C/ Jorge Juan, 6 28001 – E.E.E. www.agpd.es sedeagpd.gob.es