1/7 Procedimiento nº.: E/04355/2015 ASUNTO: Recurso de Reposición Nº RR/00063/2016 Examinado el recurso de reposición interpuesto por D. C.C.C. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04355/2015, y en base a los siguientes HECHOS PRIMERO: Con fecha 3 de diciembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04355/2015, procediéndose al archivo de actuaciones en el que denunciaba la inclusión de sus datos en el fichero ASNEF, por lo que solicita el acceso ante EQUIFAX IBERICA SL donde le comunican que sus datos han sido comunicados al fichero por SALUS INVERSIONES Y RECUPERACIONES SL, ejerciendo su derecho de acceso ante esta entidad sin obtener respuesta. Dicha resolución, que fue notificada al recurrente en fecha 10 de diciembre de 2015, según aviso de recibo que figura en el expediente. SEGUNDO: D. C.C.C. (en lo sucesivo el recurrente) presentó en fecha 8 de enero de 2016 en el registro del Ministerio de Justicia –Gerencia Territorial de Valladolid- recurso de reposición, siendo registrado en esta Agencia el 18 de enero de 2016, fundamentándolo, básicamente, en las mismas alegaciones que ya resultaron analizadas en la resolución ahora recurrida. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II “En relación con las manifestaciones efectuadas por el recurrente, que reiteran básicamente las ya realizadas en el escrito de denuncia, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada, basada en los fundamentos jurídicos que se trascriben a continuación: En el supuesto que nos ocupa hay que analizar dos cuestiones, de un lado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 actuación de Orange España S.A. al haber cedido sus datos a Salus Inversiones. Y por otro lado, la actuación del cesionario, Salus Inversiones, al incluir sus datos en ficheros de solvencia económica y patrimonial. En cuanto a la primera de las cuestiones, en concreto, la cesión de una deuda, se ha de tener en cuenta lo siguiente: De acuerdo con el principio de calidad de datos, recogido en el artículo 4 de la LOPD, “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” Este principio de exactitud y veracidad de los datos se recoge, asimismo, en el artículo 29 de la LOPD, que establece en su apartado 4, en cuanto a los ficheros que contienen datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte el artículo el artículo 38 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), señala en el apartado 1.
- a)lo siguiente: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.” En el caso que nos ocupa, Salus Inversiones y France Telecom, actualmente Orange España formalizaron contrato de cesión de créditos y elevación a público de estos acuerdos con fecha 22 de julio de 2013 ante el Notario de Alcorcón don D.D.D. con su número de protocolo ****, procediéndose a la subrogación del crédito y efectuando las notificaciones pertinentes al reclamante. Que en la cesión de cartera realizada por Orange España, con la relación de créditos transmitidos se incluía una deuda de D. C.C.C. por un importe pendiente que asciende a 113,44€., y que proviene de la siguiente facturación asociada a la línea telefónica número E.E.E.: Número de factura ***FACTURA.1, con fecha 5 de mayo de 2009 y de importe 36,48€, número de factura ***FACTURA.2, de 5 de junio de 2009 y de 36,48€, número de fáctura ***FACTURA.3, de 5 de noviembre de 2009 y de 40,48€ Asimismo Salus Inversiones aporta copia de un escrito, con fecha 22 de agosto de 2013, remitido al denunciante a la C/ B.B.B. domicilio del mismo, en el cual se le notifica la cesión de la cartera. Por otra parte ha aportado certificado emitido por Equifax Ibérica SL, como distribuidor de la carta con número de referencia personalizada NT*********, referencia que consta cifrada en el código de barras de la parte superior derecho de dicha comunicación y certificado emitido por DB DATA PAPER como empresa que realizó el proceso de generación e impresión de ambas cartas. En estos certificados consta que fueron enviadas al domicilio “CL C/ Jorge Juan, 6 28001 – Madrid A.A.A.”. www.agpd.es sedeagpd.gob.es 3/7 SALUS INVERSIONES manifiesta que dicho domicilio fue confirmado por el titular ya que el mismo lo aportó en su reclamación, coincidiendo con el aportado a esta Agencia por el denunciante. Dichas notificaciones no han sido devueltas, tal como consta en los certificados de no devolución, así como en los certificados de envió y albarán de entrega en correos. Igualmente Salus Inversiones ha aportado impresión de pantalla donde consta una anotación sobre la solicitud de acceso del denunciante de fecha 28 de enero de 2015 y figura el siguiente texto “Enviada carta acceso datos por e-mail a dir aportada” en esta misma fecha. Asimismo Salus Inversiones ha aportado copia de la carta de contestación enviada al denunciante donde le informa de sus datos personales y de la compra de la cartera de impagados de ORANGE. Cabe señalar a este respecto que la Ley 30/92, de 26 de noviembre del Régimen Jurídico y del Procedimiento Administrativo Común (en adelante LRJPAC) que regula con carácter general el instituto de la prescripción, hace una remisión normativa a las leyes especiales por razón de la materia objeto de regulación. En este sentido, el artículo 132.1 dispone que “Las infracciones y sanciones prescribirán según lo dispuesto en las leyes que las establezcan.” En este sentido, la LOPD, establece en el artículo 47, lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor” En este caso concreto, de la documentación obrante en el expediente; se puede constatar que la cesión fue realizada el 22 de julio de 2013, siendo las deudas del año 2009, por lo que la posible infracción denunciada respecto a Orange ha prescrito de conformidad con lo dispuesto en el artículo 47.1 de la LOPD. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 17 de marzo de 2015 al establecer que “Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 III En cuanto a la segunda cuestión objeto de análisis, en concreto, la inclusión de los datos del denunciante en ficheros de morosidad por el impago de una deuda generada por los servicios de la línea telefónica objeto de contratación fraudulenta, inclusión realizada por Salus Inversiones, se ha tener en cuenta lo siguiente: De acuerdo con el principio de calidad de datos, recogido en el artículo 4 de la LOPD, “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.” Este principio de exactitud y veracidad de los datos se recoge, asimismo, en el artículo 29 de la LOPD, que establece en su apartado 4, en cuanto a los ficheros que contienen datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte el artículo el artículo 38 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), señala en el apartado 1.
- a)lo siguiente: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada..” En el caso que nos ocupa, Salus Inversiones incluye los datos del denunciante en ficheros de morosidad el 26 de septiembre de 2013, como consecuencia de la compra de la deuda a Orange. Por otro lado, cabe analizar la actuación de la entidad Salus Inversiones respecto a la inclusión de los datos del denunciante en ficheros de morosidad. El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita. Como señala la STS de 18 de marzo de 2005, recurso 7707/2000, es evidente “que no podía estimarse cometida una infracción administrativa si no se concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de la infracción administrativa no fuera imputable a título de dolo o culpa”. En suma, el principio de culpabilidad, en palabras del Tribunal Constitucional (STC 246/1991, de 19 de diciembre) “constituye un principio estructural básico del derecho administrativo sancionador”. En este caso se aprecia una ausencia de culpabilidad en la conducta de Salus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Inversiones en la medida en que la misma fue comprada el 22 de julio de 2013 a Orange para poder gestionar el cobro de las mismas, es decir, se trata de un tercero que actuó de buena fe y sin conocimiento del origen de la deuda, únicamente de la deuda en sí, por lo que no puede entenderse cometida la infracción y, en consecuencia, no procede el inicio de un procedimiento sancionador. Finalmente reseñar que Asnef al haber transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda dio de baja la misma. Por otra parte, esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la exactitud de la deuda, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para su tratamiento. La determinación de la legitimidad de una deuda basada en la interpretación del contrato suscrito o de su cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. III El recurrente plantea en su recurso, al igual que hacía en su escrito de denuncia, que SALUS INVERSIONES no realizó requerimiento de pago con carácter previo a la inclusión de sus datos personales en los ficheros de información de solvencia patrimonial y crédito, solicitando que se abra procedimiento sancionador contra esta entidad. Al respecto debe señalarse que, en primer lugar, en relación con el requerimiento previo de pago, la normativa sobre protección de datos de carácter personal no exige, ciertamente, que este se realice de una determinada forma, pero sí que se cumplan todos los requisitos exigidos por la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) y su desarrollo reglamentario, lo que implica que la entidad denunciada esté en disposición, si así fuera el caso, como ocurre en el presente supuesto, de poder acreditar el cumplimiento de dichos requisitos. Así se desprende de reiterada jurisprudencia sentada por la Audiencia Nacional (por todas, sentencia de la Audiencia Nacional de fecha 24 de enero de 2014). En segundo lugar, se hace necesario recordar que el denunciante, “incluso cuando se considere a sí mismo “víctima” de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado (…) El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora –en este caso, la AEPD- y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. En estos términos se ha pronunciado la Audiencia Nacional en su sentencia de 2 de junio de 2015, en la que recuerda que, de conformidad con la jurisprudencia del Tribunal Supremo (STS de 9 de junio de 2014), para lo que sí se reconoce legitimación al denunciante es “para demandar el desarrollo de la actividad investigadora que resulte conveniente para la debida averiguación de los hechos que hayan sido denunciados, pero no para que esa actividad necesariamente finalice en una resolución sancionadora”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Sentadas estas bases, procede traer a colación aquí las averiguaciones realizadas por la AEPD en el marco del expediente de actuaciones previas de investigación E/04355/2014. En concreto, se debe señalar que Salus Inversiones aporta copia de un escrito, con fecha 22 de agosto de 2013, remitido al denunciante a la C/ B.B.B. domicilio del mismo, en el cual se le notifica la cesión de la cartera. Por otra parte ha aportado certificado emitido por Equifax Ibérica SL, como distribuidor de la carta con número de referencia personalizada NT*********, referencia que consta cifrada en el código de barras de la parte superior derecho de dicha comunicación y certificado emitido por DB DATA PAPER como empresa que realizó el proceso de generación e impresión de ambas cartas. En estos certificados consta que fueron enviadas al domicilio “(C/.......1) Valladolid”. SALUS INVERSIONES manifiesta que dicho domicilio fue confirmado por el titular ya que el mismo lo aportó en su reclamación, coincidiendo con el aportado a esta Agencia por el denunciante. Dichas notificaciones no han sido devueltas, tal como consta en los certificados de no devolución, así como en los certificados de envió y albarán de entrega en correos. Igualmente Salus Inversiones ha aportado impresión de pantalla donde consta una anotación sobre la solicitud de acceso del denunciante de fecha 28 de enero de 2015 y figura el siguiente texto “Enviada carta acceso datos por e-mail a dir aportada” en esta misma fecha. Asimismo Salus Inversiones ha aportado copia de la carta de contestación enviada al denunciante donde le informa de sus datos personales y de la compra de la cartera de impagados de ORANGE. En virtud de lo expuesto, tras la valoración de las pruebas aportadas, se procedió al archivo de las actuaciones, en aplicación del principio de presunción de inocencia que ampara a la entidad denunciada, y que no ha podido ser desvirtuado, pudiendo considerarse que la actividad investigadora realizada por la AEPD, en consonancia con la jurisprudencia reseñada ut supra, ha sido acorde o proporcionada con los hechos denunciados. En concreto, debe significarse que la citada sentencia de 2 de junio de 2015 de la Audiencia Nacional señalaba en relación a un supuesto similar al que es objeto del presente recurso que “debe declararse que la actividad investigadora realizada por la Agencia Española de Protección de Datos ha sido acorde o proporcionada con los hechos que fueron denunciados, y debe estimarse conforme con las funciones que el artículo 37.1, letras a), d ) y
- g)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal , asigna a la Agencia Española de Protección de Datos de velar por el cumplimiento de la legislación sobre protección de datos, atender las peticiones y reclamaciones formuladas por las personas afectadas y ejercer la potestad sancionadora, así como con el diseño del procedimiento sancionador en el Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 172/2007, de 21 de diciembre. Por otro lado, la resolución de archivo de las actuaciones resulta acorde a la actividad probatoria desplegada en el procedimiento administrativo y los documentos aportados por la entidad denunciada para acreditar el cumplimiento de las exigencias legales, establecidas para la inclusión de datos personales de los deudores en los ficheros de solvencia patrimonial y crédito, como el fichero Asnef. La resolución ha procedido a valorar las pruebas aportadas y concluye C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 razonablemente, en aplicación del principio de presunción de inocencia que ampara a la entidad denunciada, que las actuaciones deben ser archivadas, no estimando acreditada la comisión de la infracción denunciada”. IV Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. C.C.C. contra la resolución de esta Agencia dictada con fecha 3 de diciembre de 2015, en el expediente de actuaciones previas de inspección E/04355/2015. SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 Reglamento de desarrollo de la LOPD aprobado por Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es