1/6 Procedimiento nº.: PS/00017/2013 ASUNTO: Recurso de Reposición Nº RR/00719/2013 Examinado el recurso de reposición interpuesto por la entidad Dña. A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00017/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 25 de julio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00017/2013, en virtud de la cual se archivó el citado procedimiento incoado a FINANCIERA EL CORTE INGLES E.F.C., S.A., por presunta vulneración del artículo 4.3 en relación con el 29.4 de la Ley 15/1999, de 15 de diciembre, de Protección de Datos de Carácter Personal. Dicha resolución, que fue notificada al recurrente en fecha 30/07/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00017/2013, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha 28/02/2012, tiene entrada en esta Agencia un escrito la denunciante en el que denuncia que, ha sido notificada que EL CORTE INGLES había procedido a la incorporación de sus datos en los ficheros de solvencia ASNEF y BADEXCUG, con relación a una deuda por importe de 540,80 €, no obstante manifiesta que dicha deuda se encontraba abonada desde el 24/11/2011 (folio 1, 53 a 58) SEGUNDO: En fecha 05/02/2012 los datos de la denunciante fueron informados por FINANCIERA EL CORTE INGLES, al fichero BADEXCUG por una deuda de 540,80 € (folio 2) TERCERO: En fecha 06/02/2012 los datos de la denunciante fueron informados por FINANCIERA EL CORTE INGLES al fichero ASNEF por una deuda de 540,80 € (folio 4) CUARTO: Consta en el expediente justificante de ingreso a EL CORTE INGLES por importe de 549,85 € efectuado por la denunciante en fecha 24/11/2011 (folio 3) figurando “cobro recibos devueltos”, por un importe de 549,85, vencimiento 31/10/2011, en la que en nominal figura 536,86 €, gastos: 8,05 € y mora 4,94 €.. QUINTO: Consta en el expediente resúmenes de compras efectuadas por la denunciante con la tarjeta de EL CORTE INGLES nº ***NÚMERO.1, originando los correspondientes cargos, y recibos mensuales que se detallan: - Recibo vencimiento 30/11/2011: 382,15 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 - Recibo vencimiento 31/12/2011: 158,65 € La suma de ambos recibos asciende a la cantidad de 540,80 €, que no fue abonada por la denunciante y por la que se informaron sus datos a los ficheros ASNEF y BADEXCUG, previo requerimiento de pago efectuado el 23/01/2012 (folios 12-15, 24-25, 31)>> TERCERO: Dña. A.A.A. (en lo sucesivo la recurrente) ha presentado en fecha 20/08/2013 en la Consejería de Salud y Bienestar de la Junta de Andalucía,, con entrada en esta Agencia Española de Protección de Datos en fecha 23/08/2013, recurso de reposición en el que solicita la imposición de sanción a FINANCIERA EL CORTE INGLES E.F.C., S.A., reiterando que la cantidad de 540,80 € cuyo impago motivó la inclusión de sus datos en los ficheros asnef y badexcug había sido abonada con anterioridad a dicha inclusión. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por la recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II El artículo 4 de la LOPD señala en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado” y en su apartado 4 prescribe: “Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo 16”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan en todo momento a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” IV Consta acreditado en esta Agencia que las entidades asociadas a los ficheros “Asnef” y “Badexcug” suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes a través de cinta magnética para que tales actualizaciones queden registradas en el fichero siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en sus propios ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de cintas magnéticas que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3. d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado c), delimita en qué consiste el tratamiento de datos incluyendo en tal concepto “las operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el imputado puede subsumirse o no en tales definiciones legales. En el presente caso, FINANCIERA EL CORTE INGLÉS trató automatizadamente (artículo 6.1) los datos relativos a la denunciante en sus propios ficheros, de los que es responsable conforme al artículo 3.
- c)citado. Adicionalmente decidió sobre la finalidad, contenido y uso del tratamiento y resolvió autónomamente sobre su incorporación (artículo 4.3 en relación al 29.2) a ficheros comunes de solvencia patrimonial y crédito. Dicha comunicación se realizó, a mayor abundamiento, mediante un procedimiento que implica un tratamiento automatizado de datos como es su incorporación a una cinta magnética cuyo destino es, también, ser tratada automatizadamente por el responsable del fichero de solvencia, siendo dados de alta en el fichero “badexcug” al culminar el proceso descrito en fecha 19/02/2012, en donde los mantuvo hasta fecha 28/06/2012. De lo expuesto se deduce que FINANCIERA EL CORTE INGLES ha sido responsable del tratamiento de datos en sus propios ficheros, de su comunicación a través de tratamientos automatizados al responsable del fichero común y de que el tratamiento automatizado de la información relativa al denunciante no responda a los principios de calidad de datos recogidos en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Conforme a lo expuesto, el imputado no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información, y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). En este punto debe analizarse si se vulneró el principio de calidad de datos y si los datos incorporados al fichero de solvencia eran exactos y la deuda era cierta, vencida y exigible al denunciante. En este sentido la documentación obrantes en el expediente acredita por un lado, que en fechas 5 y 6 de febrero de 2012 los datos de la denunciante fueron incluidos por FINANCIERA EL CORTE INGLES en los ficheros badexcug y asnef por una deuda de 540, 80 €, y por otro que la denunciante efectuó el 24/11/2011 un pago a EL CORTE INGLES por importe de 549,85 €, cantidad que, como se observa, no corresponde a la deuda que motivó su inclusión en los citados ficheros, y que FINANCIERA EL CORTE INGLES señala se refiere a una deuda de un recibo impagado (octubre de 2011) anterior a los recibos de los meses de noviembre y diciembre de 2011, que resultaron impagados y cuya suma asciende a la cantidad de 540,80 €, que es la que se informó a los ficheros de solvencia, sin que obre en el expediente prueba que acredite su pago. El justificante de abono que aporta la denunciante efectuado el 24/11/2011 se corresponde con la deuda de vencimiento 31/10/2011, por lo que difícilmente podría comprender las deudas cuyos vencimientos fueron posteriores, de noviembre y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 diciembre, y en tal sentido obedecen a una deuda abonada anterior. Debe señalarse que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, lo visto anteriormente en aplicación del principio de presunción de inocencia, impiden imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso ha quedado acreditado que la inclusión de los datos de la denunciante en los ficheros asnef y badexcug trae causa de una deuda distinta y posterior a aquella que la denunciante justifica haber abonado, y que por tanto no ha sido puesta en cuestión por ésta al no ser objeto la denuncia origen del presente expediente sancionador. En consecuencia no cabe apreciar vulneración de lo dispuesto en el artículo 4.3 en relación con el 29.4 de la LOPD, y procede por tanto el archivo del procedimiento sancionador. >> III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dña. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de julio de 2013, en el procedimiento sancionador PS/00017/2013. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es