1/6 Procedimiento nº.: E/02282/2013 ASUNTO: Recurso de Reposición Nº RR/00119/2014 Examinado el recurso de reposición interpuesto por Don A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/02282/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 24 de enero de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/02282/2013, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en legal forma, según aviso de recibo que figura en el expediente. SEGUNDO: Don A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 10/02/14, recurso de reposición, fundamentándolo básicamente en los siguientes extremos: En relación a los Hechos. Aparte de atribuirme erróneamente un contrato, nada se dice en la Resolución acerca de las diligencias adoptadas por Santander Consumer tendentes a la comprobación de los datos aportados para la firma del contrato. El supuesto fraude difícilmente puede considerase fruto del engaño malicioso de un tercero de mala fe cuando por lo abultado de los datos erróneos aportados cuesta creer que no hubo negligencia por parte de la Entidad financiera a la hora de su comprobación. En cualquier caso, el uso fraudulento de mis datos sólo pudo tener consecuencias negativas para mis intereses gracias a la admisión, sin ningún tipo de comprobación del resto de los datos aportados por quién cometió el fraude…Nada se dice en la Resolución que recurro por dejarme en un estado de indefensión. La Resolución de la AEPD hace caso omiso de la documentación incluida en mi denuncia como prueba de cargo. Dicha documentación, en mi opinión prueba que a partir de datos erróneos o falsos no debidamente comprobados por la financiera y fruto de un actuación fraudulenta no denunciada, Santander Consumer elaboró un documento mercantil para la venta de los derechos de la deuda a Luna Iberian, que a su vez me incluyó en ficheros de morosos sin que le constara los requerimientos previos de pago remitidos a mi nombre y dirección. Por tanto solicito que antes de dictar una nueva Resolución se tenga toda la documentación remitida en mi denuncia y que no se Archive el expediente sin considerar su probable entidad como prueba de cargo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II El artículo 38.1 el Real Decreto 1720/2007—RLOPD—en su redacción actualmente vigente tras la STS --Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo--dispone que: “
- Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. III En el presente caso, se procede a analizar la reclamación de fecha de entrada en esta AEPD—05/02/13—en dónde el epigrafado pone de manifiesto los siguientes hechos: “…se me atribuye erróneamente una deuda fruto de un hecho delictivo que he denunciado en dos ocasiones, sino que Santander Consumer Finance, una Entidad con la que jamás he tenido relación comercial ha utilizado mi nombre y número de DNI para expedir un documento mercantil, que a su vez, ha permitido un acto de compraventa ante Notario”. A requerimiento de esta AEPD, la Entidad denunciada—Santander Consumer—alega en fecha 12/11/13—noviembre 2013-- como mejor proceda en Derecho, lo siguiente sobre los “hechos” denunciados: Se acompaña copia del “presunto” contrato—que da origen a la deuda—de fecha 23/10/2008, junto con la copia del DNI de D. B.B.B., vinculado al nº ***DNI.
- En fase de instrucción—ex art. 78 Ley 30/92—se solicita copia del DNI del denunciante, el cual tiene la misma numeración que consta en el contrato aportado por la Entidad denunciada: ***DNI.1, si bien las fotografías plasmadas en ambos documentos son distintas; el nombre—B.B.B. y A.A.A.- y la fecha de nacimiento también difieren. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 “La situación actual del contrato es dado de baja y con los datos disociados desde que se tuvo conocimiento a través del afectado del posible uso fraudulento de sus datos a través de reclamación de fecha 26/01/13”. Item, adjunta la contestación al denunciante que data de fecha 01/02/13 en dónde se le responde lo siguiente: “…parece existir una utilización ilícita de sus datos de la que no teníamos conocimiento previo a su escrito. Por lo que le confirmamos que hemos procedido a eliminar de nuestra base de Datos cualquier información relacionada con su persona al mismo tiempo que se han dado instrucciones para que sean eliminados de cualquier otra base en la que figuren”. Los hechos anteriormente descritos dieron lugar a que se investigara una presunta infracción del art. 61 LOPD. “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). La Entidad denunciada—Santander Consumer—cuando tuvo conocimiento de la reclamación del afectado, lo puso en conocimiento de la Entidad PARATUS AMC a efectos del cese inmediato de las gestiones vinculadas a la “deuda” contraída, en fecha 29/01/
- El día 06/02/13 por parte de la Entidad PARATUS AMC (gestora de la empresa Luna Iberian) confirma que ha cesado las gestiones de recobro y que el cliente no está incluido en el fichero de “morosos”—Asnef (Equifax). Respecto a la vinculación inicial de sus datos con un contrato que manifiesta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 “nunca ha formalizado”, cabe indicar que la actuación de un tercero de mala fe excluye el elemento subjetivo de la culpabilidad frente a la Entidad denunciada, que también ha sido víctima de un “presunto” engaño malicioso. Por tanto, la Entidad denunciada actuó de manera diligente al mantener una copia del DNI junto con el contrato coincidente en su numeración con el nº de DNI asociado al denunciante como hemos señalado anteriormente, sin que pudiera detectar la falsificación realizada. A tal efecto, hemos de traer a colación, la SAN 29-04-2010 “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleo o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato de financiación”. La Audiencia Nacional—SAN 22/03/12 Rec. Nº 9/2009—dispone en un supuesto de naturaleza similar lo siguiente: “Por todo lo cual, conforme a lo argumentado respecto de la infracción de vulneración del principio del consentimiento, no cabe tampoco respecto de esta infracción apreciar culpabilidad en la actuación de la entidad recurrente, que actuó en la creencia errónea de que la deuda que trató en sus ficheros y comunicó a los ficheros de solvencia patrimonial y crédito, era atribuible a la persona que efectuó la compra y obligada al pago aplazado, que se identificó documentalmente con el nombre, apellidos y DNI del denunciante, cuya identidad suplantó”. En este punto es preciso recordar que en el ámbito del derecho administrativo sancionador, además de los principios de legalidad y tipicidad, también se ha de aplicar el principio de culpabilidad. Efectivamente, los principios del orden penal resultan de aplicación al derecho administrativo sancionador, como reiteradamente ha declarado la jurisprudencia del Tribunal Supremo y la doctrina del Tribunal Constitucional, y entre ellos el principio de culpabilidad. Debe tenerse en cuenta en el presente caso las actuaciones realizadas con posterioridad por ambas entidades, esto es, cuando tienen conocimiento de la incidencia denunciada en la propia reclamación del afectado de fecha 26/01/13 “contrato dado de baja y datos del afectado disociados por uso fraudulento”; así como, que nos encontramos ante un supuesto de error invencible, al considerar la Entidad denunciada que contrataba con el titular de los datos de carácter personal, lo que produce que no exista intencionalidad, culpabilidad o animo alguno de aprovechamiento. Las cuestiones que plantea el recurrente en su escrito de Recurso, “depuración de responsabilidades por los evidentes fallos en el protocolo de seguridad” de la Entidad denunciada o “el estado de indefensión en el que se ha encontrado” son cuestiones que no entran dentro del marco competencial de esta AEPD. A mayor abundamiento, se interpuso por el recurrente denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado, siendo en su caso el Juez de Instrucción del lugar dónde se haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 cometido el presunto hecho delictivo el que deberá adoptar las medidas que en el marco legal vigente estime oportunas. Por tanto, analizados los hechos y la documentación aportada se infiere que la Entidad denunciada—Santander Consumer—adoptó la diligencia mínima exigible en estos casos, no concurriendo el elemento subjetivo de la culpabilidad debido a la intervención de un tercero de mala fe en disposición de los datos del afectado. Por todo lo expuesto, se procede a desestimar el presente Recurso de reposición. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Don A.A.A. contra la resolución de esta Agencia dictada con fecha 24 de enero de 2014, en el expediente de actuaciones previas de inspección E/02282/
- SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es