← España

REPOSICION-PS-00019-2016

1/13 Procedimiento nº.: PS/00019/2016 ASUNTO: Recurso de Reposición Nº RR/00527/2016 Examinado el recurso de reposición interpuesto por la entidad CAIXABANK, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00019/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 14 de junio de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00019/2016 , en virtud de la cual se imponía a la entidad CAIXABANK, S.A., una sanción de 50.000 € (Cincuenta mil euros) , por la vulneración de lo dispuesto en el artículo 4.3 en relación con lo previsto en el artículo 29.4 la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.

  1. c)de dicha norma, de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 22 de junio de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00019/2016, quedó constancia de los siguientes: procedimiento sancionador, <<HECHOS PROBADOS PRIMERO: Con fecha de 20 de febrero de 2015 se registra de entrada en esta Agencia escrito de Dña. A.A.A. y Don B.B.B., en adelante la/el denunciante o los denunciantes, poniendo de manifestó la inclusión y mantenimiento indebido por parte de CAIXABANK, S.A. de sus datos de carácter personal en el fichero de solvencia patrimonial y crédito BADEXCUG por el impago de una deuda cuyo abono no les correspondía, conforme se fijó en virtud de Sentencia Judicial cuya copia adjuntaban. (folios 1 al 108) SEGUNDO: Con fecha 30 de septiembre de 2003 se formalizó “Escritura de compraventa, con subrogación, ampliación y novación de préstamo“. Mediante dicha Escritura Pública la denunciante se subrogó en el préstamo hipotecario concedido por BANCO DE VALENCIA, S.A. que gravaba los bienes inmuebles adquiridos y acordó, con dicha entidad financiera, la ampliación del importe del préstamo hipotecario inicialmente concedido. Asimismo, consta en la escritura como garantía la constitución de fianza solidaria del denunciante y otras dos personas. (folios 9 al 63, 93) TERCERO: Con fecha 11 de julio de 2005 la Consejería de Economía, Hacienda y Ocupación de la Generalidad Valenciana, Servicios Territoriales de Alicante, expidió C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 “Liquidación Provisional del Impuesto de Transmisiones Patrimoniales y Actos Jurídicos Documentados “por la constitución de la citada fianza en la mencionada Escritura Pública de fecha 30 de septiembre de 2003. En dicho documento se designaba como sujeto pasivo obligado tributario al BANCO DE VALENCIA, S.A., entidad que abonó 1.506,75 € en pago de dicho concepto tributario con fecha 20 de junio de 2005. (folios 77 al 79) CUARTO: Con fecha 10 de diciembre de 2008 BANCO DE VALENCIA S.A. giró a nombre de Don B.B.B. un adeudo por importe de 1.506,75 euros contra la cuenta corriente ***CCC.1 . (folios 81, 93, y 94) QUINTO: Con fecha 14 de diciembre de 2008 se dieron de alta en el fichero BADEXCUG sendas anotaciones por importe deudor de 1.506,75 euros a nombre de los denunciantes por una operación de descubierto en cuenta corriente informada por BANCO DE VALENCIA, S.A., con fecha de última actualización de 1 de julio de 2012 (folios 82, 83, 131 y 152 ) SEXTO: Los denunciantes manifestaban en su denuncia que con fecha 2 de abril de 2013 interpusieron demanda en ejercicio de acción declarativa sobre inexistencia de deuda y de acción de condena de hacer anulación de apunte deudor y cancelación de cuenta bancaria, así como de cancelación de dato inexacto en fichero sobre incumplimiento de obligaciones dinerarias frente al BANCO DE VALENCIA, S.A., con posterioridad CAIXABANK, S.A., la cual correspondió conocer al Juzgado de Primera Instancia nº 7 de Alicante, en el procedimiento de Juicio Verbal nº ****/2013. (folio 1) SÉPTIMO: Con fecha 19 de julio de 2013 se produce la inscripción en el Registro Mercantil Central de la escritura de fusión por absorción del BANCO DE VALENCIA, S.A. por CAIXABANK, S.A. (folios 195 al 198) OCTAVO: Con fecha 3 de noviembre de 2013 se dieron de alta en el fichero BADEXCUG sendas anotaciones por importe deudor de 1.543,08 euros a nombre de los denunciantes por una operación de descubierto en cuenta corriente informada por CAIXABANK, S.A., permaneciendo anotados en dicho fichero hasta el 4 de mayo de 2014, fecha en que produjo la baja por proceso automático semanal de actualización de datos. (folios 88, 89, 117, 119, 124 al 125 ) NOVENO: Con fecha 6 de noviembre de 2013 CAIXABANK, S.A. requirió de pago a los denunciantes por importe de 1.577,45 euros, informándoles de que de mantenerse el impago los datos relativos a la deuda podrían ser comunicados a ficheros de cumplimiento o incumplimiento de obligaciones dinerarias. (folios 86 y 87) DÉCIMO: Con fecha 3 de diciembre de 2013 el Juzgado de Primera Instancia nº 7 de los de Alicante dictó el siguiente fallo en el Procedimiento: Asunto Civil 000****/2013: “Que estimando la demanda interpuesta por A.A.A. y B.B.B., debo declarar y declaro que los citados no adeudan cantidad alguna a la mercantil BANCO DE VALENCIA SA (actualmente CAIXABANK SA) derivada de la liquidación del impuesto de transmisiones patrimoniales devengado como consecuencia de la constitución de la fianza en el instrumento notarial de fecha 30/9/2003 y, en su virtud, debo condenar y condeno a la citada mercantil a anular el apunte deudor por importe de mil quinientos seis euros con setenta y cinco céntimos operado con fecha 10/12/2008 en la cuenta personal nº C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 ***CCC.1 de la que es titular B.B.B. así como la cancelación de la misma y a solicitar a la entidad EXPERIAN BUREAU DE CRÉDITO SA, titular del fichero sobre incumplimiento de obligaciones dinerarias BADEXCUG, la cancelación del dato inexacto de descubierto en cuenta corriente, en el que aparecen como intervinientes A.A.A. Y B.B.B., así como al pago de las costas procesales si las hubiere. “ Dicha Sentencia se declaraba firme. (folios 92 al 94) UNDÉCIMO: Con fecha 29 de enero de 2014 CAIXABANK, S.A. remitió a los denunciantes “Resumen anual” de Intereses y comisiones como titulares del contrato ***CONTRATO.1 con un apunte por importe neto de 36,33- euros en concepto de “Apertura descubierto” (folios 96 y 97) DUODÉCIMO: Con fecha 14 de marzo de 2014 la mercantil GESCOBRO COLLECTION SERVICES, S.L.U informó al denunciante que tenían instrucciones de CAIXABANK de “proceder inmediatamente, a presentar la demanda judicial ya preparada encaminada hacia el embargo de bienes“ ante el impago de la deuda de 1.577,45 euros. (folio 103) DECIMOTERCERO: Presentado escrito de demanda a través de la representación procesal de los denunciantes solicitando se despachase ejecución frente a CAIXABANK, S.A. con fundamento en el titulo ejecutivo consistente en la Sentencia de 3 de diciembre de 2013, el Juzgado de Primera Instancia nº 7 de Alicante dictó, con fecha 3 de abril de 2014, en el Procedimiento de “Ejecución de Títulos Judiciales ****/2014, los siguientes actos: (folios 104 al 108) Auto en cuya parte dispositiva se acordaba dictar orden general de ejecución del título indicado a favor de la ejecutante , en este caso los denunciantes, frente a CAIXABANK, S.A., parte ejecutada, y Decreto, en cuya parte dispositiva se acordaba requerir a la parte ejecutiva para que en el plazo de 15 días, computado desde la notificación del mismo, “se anule el apunte deudor por importe de mil quinientos seis euros con setenta y cinco céntimos operado con fecha 10/12/2008 en la cuenta personal nº ***CCC.1 de la que es titular B.B.B. así como la cancelación de la misma y a solicitar de la entidad EXPERIAN BUREAU DE CRÉDITO, SA, titular del fichero sobre incumplimiento de obligaciones dinerarias BADEXCUG, la cancelación del dato inexacto de descubierto en cuenta corriente en el que aparecen como intervinientes A.A.A. Y B.B.B. . “ TERCERO: Con fecha 27 de julio de 2016 se registra de entrada en esta Agencia Española de Protección de Datos recurso de reposición presentado por CAIXABANK, S.A., en adelante CAIXABANK o la recurrente, en el Servicio de Correos con fecha 22 de julio de 2016, fundamentándolo en que en el presente supuesto resulta de aplicación el supuesto
  2. e)del artículo 45.5 de la LOPD, debiendo aplicarse, en consecuencia, una multa en la escala inferior a la infracción que proceda. La recurrente defiende que la inclusión en el fichero BADEXCUG que motiva la infracción tiene su origen en una situación de conflicto iniciada entre los denunciantes y BANCO DE VALENCIA, S.A. en el año 2003 , la cual estaba pendiente de resolución tanto cuando dicha entidad financiera fue absorbida por CAIXABANK (julio 2013), como cuando se realizó tal comunicación de datos al mencionado fichero (noviembre 2013 ) , lo que ocurrió antes de resolverse la demanda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 interpuesta por los denunciantes al no recaer sentencia hasta diciembre de 2013. Atendido que dicha situación de conflicto, a la que CAIXABANK era completamente ajena, se trasladó a la recurrente por la mera operación societaria de fusión por absorción en julio de 2013, dando lugar a que CAIXABANK se limitara a incluir en ficheros de solvencia patrimonial una posición deudora anotada en los sistemas informáticos de BANCO DE VALENCIA, S.A. y transmitida como tal a los ficheros de CAIXABANK al culminar el proceso societario de fusión por absorción, concurre una evidente y cualificada disminución de la culpabilidad de CAIXABANK al resultar de aplicación el principio de proporcionalidad recogido en el artículo 45.5.b), debiendo estimarse el recurso de reposición interpuesto y reponer la resolución recurrida acordando una sanción comprendida en la escala inferior en gravedad en la que se integra la infracción grave imputada, correspondiente a las infracciones leves sancionables con multa de 900 a 40.000 euros. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por CAIXABANK, S.A. debe señalarse que la aplicación del supuesto contemplado en el artículo 45.5.
  3. e)de la LOPD ya fue analizado y desestimado en los Fundamentos de Derecho IV y VII, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<IV En el caso que nos ocupa, la conducta infractora se sustenta en el incumplimiento por parte de CAIXABANK de los requisitos de exactitud y certeza recogidos en el artículo 4.3 de la LOPD, al mantener los datos personales de los denunciantes en un fichero de solvencia patrimonial y crédito con posterioridad al momento en que conoció el fallo judicial que declaraba inexistente dicha deuda. Así, de la valoración conjunta de los elementos fácticos obrantes en el procedimiento se desprende:
  4. a)Que en virtud de la Sentencia nº ***/2013 acordada, con fecha 3 de diciembre de 2013, por el Juzgado de Primera Instancia nº 7 de los de Alicante en el en el Procedimiento: Asunto Civil 000****/2013 se estimó la demanda interpuesta por los denunciantes contra BANCO DE VALENCIA, S.A, mercantil que durante la tramitación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 dicho procedimiento fue absorbida por fusión por CAIXABANK, S.A., como prueba la fecha de inscripción de 19/07/2013 de la escritura de fusión por absorción del BANCO DE VALENCIA, S.A. por CAIXABANK, S.A. registrada en el Registro Mercantil Central (folio 196), aludiéndose incluso en el propio fallo que en el juicio se había acreditado documentalmente el cambio de denominación (folio 93).
  5. b)Que en dicha Sentencia, que era firme según contaba en la misma, se declaraba que los denunciantes no adeudaban cantidad alguna a la mercantil BANCO DE VALENCIA, S.A., en esa fecha CAIXABANK, S.A., derivada de la liquidación del impuesto de transmisiones patrimoniales devengado como consecuencia de la constitución de la fianza en el instrumento notarial de fecha 30/09/2003, motivo por el que condenaba a la citada mercantil a anular el apunte deudor de 1.506,75 euros operado el 10/12/2008 en la cuenta que se citaba del denunciante, cancelar la deuda y solicitar a la entidad titular del fichero BADEXCUG la cancelación del dato inexacto del importe deudor que aparecía asociado a los intervinientes, que en lo que nos afecta se correspondía con los datos de carácter personal de los denunciantes.
  6. c)Que CAIXABANK, S.A. informó la inclusión de los datos personales de los denunciantes en el fichero BADEXCUG por el descubierto en cuenta corriente del importe de 1543,08 €, -cantidad resultante de sumar el importe de la liquidación del impuesto de transmisiones patrimoniales abonado en su día por BANCO DE VALENCIA SA por la constitución de la fianza (1.506,75 €) y la comisión por apertura de descubierto (36,33 €)- , dando lugar a dos anotaciones de una operación deudora a nombre de los mismos con fecha de alta de 3 de noviembre de 2013.
  7. d)Que dicha comunicación de datos al fichero BADEXCUG se llevó a cabo por CAIXABANK con posterioridad a la absorción del BANCO DE VALENCIA, S.A., materializada tres meses antes, y antes de resolverse la demanda interpuesta por los denunciantes.
  8. e)Que cuando CAIXABANK conoció el fallo favorable a las pretensiones de los denunciantes en lugar de proceder a dar cumplimiento a lo ordenado en el mismo a los efectos de corregir tanto la información errónea obrante en sus sistemas como la comunicada indebidamente al fichero BADEXCUG a la situación real de los afectados, quienes no debían cantidad alguna a dicha entidad, continuó, sin embargo, manteniendo asociado a los datos de carácter personal de los afectados el descubierto en sus ficheros (Hecho Probado Undécimo, fecha 29 de enero de 2014) ), requirió de pago al denunciante la mencionada cantidad a través de una empresa de recobro (Hecho Probado Duodécimo, fecha 14 de marzo de 2014) y, además, no solicitó la baja de las incidencias deudoras que figuraban registradas en el fichero BADEXCUG.
  9. f)C/ Jorge Juan, 6 28001 – Madrid Que con fecha 3 de abril de 2014 con motivo de la demanda interpuesta por los denunciantes contra CAIXABANK de la reseñada www.agpd.es sedeagpd.gob.es 6/13 Sentencia, el Juzgado de Primera Instancia nº 7 de Alicante dictó con fecha 3 de abril de 2014 Auto dictando orden general de ejecución de la Sentencia de fecha 3 de diciembre de 2013 frente a CAIXABANK , así como Decreto, conteniendo las medidas ejecutivas cuya realización se requería a la parte ejecutada en un plazo de 15 días a contar desde su notificación, cuyo detalle coincidía con las acciones ordenadas en la mencionada Sentencia.
  10. g)Con fecha 4 de mayo de 2014 se dieron de baja por proceso automático semanal de actualización de datos de CAIXABANK las incidencias deudoras por importe de 1.543,08 € anotadas a instancia de dicha entidad informante en el fichero BADEXCUG a nombre de los denunciantes. De los hechos anteriormente expuestos se concluye que a pesar de que CAIXABANK conocía a través de la Sentencia de fecha de 3 de diciembre de 2013, de obligado cumplimiento y firme, que la deuda informada al fichero BADEXCUG no era imputable a los denunciantes, al no ser los sujetos pasivos obligados al pago del tributo y, por tanto, no adeudar cantidad alguna a dicha entidad, mantuvo activa la deuda en sus ficheros asociada a los datos personales de los afectados, continuó reclamando el pago de la misma a través de una empresa de recobro y confirmó durante más de cinco meses mediante sucesivas actualizaciones los datos referentes a dicha deuda en el fichero BADEXCUG, produciéndose la baja de las anotaciones deudoras con fecha 4 de mayo de 2014, únicamente después de dictarse Auto y Decreto Judiciales de fecha 3 de abril de 2014 a raíz de la interposición de una nueva demanda por los afectados de ejecución de la reseñada Sentencia ante el incumplimiento manifiesto de la misma por CAIXABANK. En conclusión, CAIXABANK con posterioridad al mencionado fallo continuó tratando los datos personales de los denunciantes como deudores en sus propios ficheros, requiriendo al denunciante el pago de una deuda inexistente a través de una empresa de recobros y, además, mantuvo el alta de los datos de ambos en un fichero de solvencia patrimonial y crédito asociados a una deuda que no podía calificarse como cierta, vencida y exigible a los mismos al haberse declarado en la mencionada Sentencia de fecha de 3 de diciembre de 2013 que éstos no debían cantidad alguna a la citada entidad, todo lo cual supone un incumpliendo por parte de CAIXABANK del principio de la exactitud de los datos personales registrados en sus propios ficheros y en los comunicados al fichero BADEXCUG por adolecer del requisito de exactitud y certeza. Por todo lo cual, la citada entidad es responsable de la infracción del artículo 4.3 de la LOPD en su relación con lo dispuesto en el 29.4 de dicha norma y el artículo 38.1.
  11. a)del RDLOPD. V Consta acreditado en esta Agencia que las entidades asociadas a los ficheros de solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en los citados ficheros, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de los denunciantes son datos que figuran en los ficheros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 automatizados de CAIXABANK. Adicionalmente, son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.
  12. d)de la misma norma. Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
  13. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
  14. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si, en el presente caso, CAIXABANK puede ser considerada responsable del tratamiento efectuado con los datos personales de los afectados, y, más particularmente, en relación con la adecuación de su conducta a lo previsto en el principio de calidad de datos. Esta entidad, con posterioridad a la adopción y recepción del fallo judicial de 3 de diciembre de 2013 trató los datos titularidad de los denunciantes asociados a un importe deudor en sus propios ficheros, de los que es responsable conforme el artículo 3.
  15. d)de la LOPD y decidió su mantenimiento en el fichero BADEXCUG hasta que solicitó la baja de las anotaciones deudoras de los denunciantes con fecha 4 de mayo de 2014, habiendo decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudores), el contenido de la información (una supuesta deuda), y el uso del tratamiento (incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). El mencionado tratamiento se llevó a cabo mediante procedimientos automatizados de los datos. Con arreglo a lo cual, CAIXABANK es responsable de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 De lo expuesto se deduce que CAIXABANK ha sido responsable del tratamiento de datos de los denunciantes en sus propios ficheros, de su comunicación a través de tratamientos automatizados a los responsables del mencionado fichero común y de que el tratamiento automatizado de la información relativa a los afectados no haya respondido a los principios de calidad de datos recogidos en el artículo 4.3 de la LOPD al tratarlos con falta de exactitud y veracidad, toda vez que se trataba de una deuda que adolecía del requisito de certeza. Téngase en cuenta que tras el fallo judicial dicha entidad financiera no canceló la deuda en sus propios ficheros ni tramitó la exclusión de los datos de los denunciantes del fichero BADEXCUG en cumplimiento de la Sentencia, sino que mantuvo dicha información adversa en el citado fichero por un plazo de cinco meses aunque los denunciantes no eran los sujetos pasivos obligados al pago del tributo y, por tanto, no le debían el importe deudor informado a su nombre en el citado fichero. No obstante lo cual, CAIXABANK continuó actualizando semanalmente dicha operación hasta la fecha de la baja, todo ello aunque conocía que los denunciantes no debían cantidad alguna a esa empresa. Dicha conducta supone una clara vulneración del principio de calidad de datos, de la que debe responder CAIXABANK por ser responsable de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, información cuya exactitud debe verificar con anterioridad a la comunicación de alta o mantenimiento a tales ficheros comunes a fin de comprobar que cumple todos los requisitos establecidos en el artículo 4.3 de la LOPD y en los artículos 38 y 39 del RLOPD. La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que CAIXABANK es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4, ambos de la LOPD, y en los términos del artículo 43 en relación con las definiciones del artículo 3.
  16. d)y
  17. c)de la citada Ley Orgánica. VI El artículo 44.3.
  18. c)de la LOPD establece como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. De la documentación que obra en el expediente se acredita cumplidamente que dicha entidad ha incurrido en la infracción descrita, habida cuenta que después de conocer la mencionada sentencia en lugar de tomar medidas para adecuar los datos personales de los denunciantes obrantes en sus ficheros a la situación declarada en el fallo judicial e instar la baja de una deuda inexistente informada a nombre de cada uno de los afectados al fichero BADEXCUG, continuó manteniendo en sus ficheros dicha información errónea y actualizándola periódicamente en el citado fichero de morosidad, a pesar de no ser una deuda cierta, vencida ni exigible a los denunciantes. Dicha conducta, además de suponer un incumplimiento del fallo acordado en la sentencia dictada el 3 de diciembre de 2013 por el mencionado Juzgado de Primera Instancia nº 7 de los de Alicante , constituye una vulneración del principio de calidad de datos recogido en el artículo 4.3 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 Todo lo cual pone de relieve una falta de diligencia en su actuación que impide pueda entenderse la existencia de ausencia de culpabilidad, produciéndose una conducta típica imputable a título de culpa. Como señalo la STS de 18 de marzo de 2005 (Rec. 7707/2000) es evidente “que no podría estimarse cometida una infracción administrativa, si no concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de infracción administrativa, no fuera imputable a dolo o culpa”. Por lo tanto, CAIXABANK ha incurrido en la infracción descrita, ya que el principio de calidad del dato es un derecho básico en materia de protección de datos. Conforme se ha razonado, la entidad mencionada ha tratado los datos de los denunciantes infringiendo tal principio, lo que supone una vulneración del artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en relación también con el artículo 38 del RLOPD, conducta que encuentra su tipificación en el artículo 44.3.
  19. c)de la citada Ley Orgánica. VII El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  20. a)El carácter continuado de la infracción.
  21. b)El volumen de los tratamientos efectuados.
  22. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  23. d)El volumen de negocio o actividad del infractor.
  24. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  25. f)El grado de intencionalidad.
  26. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  27. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  28. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  29. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  30. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  31. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  32. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  33. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  34. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El articulo 45.5 deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En el presente caso, en el que ha quedado acreditado que CAIXABANK ha vulnerado el principio de calidad de datos recogido en el artículo 4.3 de la LOPD, no se da ninguna de las circunstancias que permita apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5. En lo que respecta a los supuestos
  35. a)y
  36. b)del artículo 45.5, de lo actuado se desprende que la infracción imputada no se habría cometido de haber empleado CAIXABANK la diligencia que le era exigible para regularizar la situación una vez dictado el fallo firme de fecha 3 de diciembre de 2013, por lo que en el presente supuesto no se producen las circunstancias necesarias para apreciar una cualificada disminución de la culpabilidad de la entidad imputada. Se observa que dicha entidad decidió mantener los datos personales de los denunciantes asociados a una deuda inexistente en sus propios ficheros y en el fichero de solvencia patrimonial y crédito BADEXCUG a pesar de en dicho fallo se resolvió que los demandantes, en este caso los denunciantes, no adeudaban cantidad alguna a la entidad demandada, (CAIXABANK en esa fecha), la cual fue condenada a solicitar la cancelación del dato inexacto de descubierto comunicado a nombre de ambos afectados al fichero BADEXCUG, operación que demoró por cinco meses. Frente a dicho incumplimiento, los denunciantes debieron presentar nueva demanda a fin de que se ejecutase el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 mismo, no siendo hasta después del Auto y Decretos dictados, con fecha 3 de abril de 2014, por el Juzgado de Primera Instancia nº 7 de Alicante que CAIXABANK instó la cancelación de la anotación deudora a nombre de los denunciantes en el fichero BADEXCUG. No hay que olvidar que las empresas que por su actividad están habituadas al tratamiento de datos personales, como ocurre con la entidad imputada, deben ser especialmente diligentes y rigurosas al realizar operaciones con ellos y deben optar, siempre, por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos, como de forma reiterada sostiene la Audiencia Nacional, entre otras, en Sentencia de 26 de noviembre de 2008, debiendo extremarse la diligencia para evitar que los posibles errores no se produzcan. A mayor abundamiento, tampoco obra en el expediente ningún elemento que lleve a apreciar la concurrencia de las circunstancias previstas en los apartados c),
  37. d)y
  38. e)del referido artículo 45.5. Sobre este particular, conviene significar que la infracción imputada no resulta imputable a la entidad absorbida (BANCO DE VALENCIA, S.A.) con fecha 19 de julio de 2013 según figura en el Registro Mercantil Central, sino a la entidad absorbente (CAIXABANK), puesto que la entidad responsable del fichero BADEXCUG ha informado que la incidencia dada de alta el 14 de diciembre de 2008 a nombre de los denunciantes a instancias del BANCO DE VALENCIA, S.A. tuvo como última actualización el día1 de julio de 2012, mientras que el alta del importe deudor que ahora nos ocupa en el mencionado fichero se produjo con fecha 3 de noviembre de 2013 a instancias de CAIXABANK, es decir con posterioridad a la materialización de la fusión por absorción. Por todo ello, procede imponer una multa cuyo importe se encuentre entre 40.001 € y 300.000 €, en aplicación de lo previsto en el apartado 2 del citado artículo 45 de la LOPD para las infracciones calificadas como graves. En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, se considera que operan como agravantes de la conducta que ahora se enjuicia los siguientes criterios:
  39. a)El carácter continuado de la infracción, porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a la denunciada, tiene naturaleza de infracción continuada o permanente, que aquí se justifica con el mantenimiento por parte de CAIXABANK durante cinco meses ( entre el 3 de diciembre de 2013 y el 4 de mayo de 2014) de datos de carácter personal que adolecían del requisito de certeza y exigibilidad en un fichero de solvencia patrimonial y crédito después de dictarse el citado fallo judicial ;
  40. c)“la vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; apartado
  41. d)“volumen de negocio”, toda vez que no cabe duda de que CAIXABANK es una de las mayores entidades financieras del país por cuota de mercado y resultados; apartado f), el “El grado de intencionalidad” debe entenderse en el sentido de grado de culpabilidad, siendo destacable en ese sentido la grave falta de diligencia demostrada por CAIXABANK en la conducta que es objeto de valoración en el expediente; y apartado
  42. h)en cuanto a la naturaleza de los perjuicios causados, Audiencia Nacional en varias sentencias, entre otras la de fecha 11/03/2010, rec. 429/2009, ha señalado que “Por otra parte, esta Sala también ha declarado con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 reiteración que son irrelevantes los perjuicios económicos toda vez que, el interés jurídico protegido por la LOPD es la privacidad, sin que sea necesaria lesión o daño patrimonial sino que basta que el comportamiento enjuiciado incida en la esfera privada de los afectados por los datos tratados”. Paralelamente, se considera que están presentes como circunstancias atenuantes los criterios recogido en los apartados
  43. b)y
  44. e)del artículo 45.4 ya citado. Así, respecto del criterio b), “el volumen de los tratamientos efectuados” ha estado asociado en lo que respecta a la infracción cometida únicamente a los datos de carácter personal de los denunciantes; en cuanto al criterio
  45. e)referido a “los beneficios obtenidos como consecuencia de la comisión de la infracción” no hay constancia de pruebas relativas a la existencia de beneficios obtenidos a raíz de la comisión de la infracción descrita. Por todo lo cual, y teniendo en cuenta los criterios de graduación de las sanciones previstos en el artículo 45.4 de la LOPD se estima adecuado a la gravedad de los hechos analizados imponer a CAIXABANK una sanción de 50.000 € como responsable de una infracción al principio de calidad de datos.>> III Por lo tanto, en el presente recurso de reposición, CAIXABANK, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, toda vez que, en contra de lo afirmado por la recurrente, no se produce el supuesto contemplado en el artículo 45.5.
  46. e)de la LOPD, ya que para su aplicación no basta que se haya producido un proceso de fusión por absorción como el ocurrido en julio de 2013, en que la recurrente absorbió el BANCO DE VALENCIA, S.A. , siendo también necesario que la infracción sea anterior a dicho proceso, “no siendo imputable a la entidad absorbente”, circunstancia ésta que no ocurre en el caso analizado . . La infracción al principio de calidad de datos analizada resulta imputable directamente a CAIXABANK, ya que sin perjuicio de que el origen de la deuda anotada en los sistemas informáticos de la entidad absorbida datara del año 2008, consta en la resolución recurrida que la comunicación y mantenimiento de los datos de los denunciantes al fichero de solvencia patrimonial y de crédito BADEXCUG objeto de estudio fue decidida directa y autónomamente por CAIXABANK tres meses después de finalizado dicho proceso de absorción, conforme prueba que el alta de la anotación deudora en el fichero BADEXCUG se produjo el 3 de noviembre de 2013 a instancia de la recurrente como entidad informante. Esta conducta resulta directamente imputable a la recurrente en su condición de nueva responsable del fichero absorbido, y no se limita únicamente a instar el alta los datos personales de los denunciantes en el fichero BADEXCUG al existir una posición deudora en los ficheros absorbidos, sino que se extiende también en su mantenimiento indebido. Así, consta que la decisión de CAIXABANK de comunicar los datos de los afectados al mencionado fichero se produjo no obstante ser conocedora de que la certeza de dicha deuda, en esas fechas, estaba siendo objeto de cuestionamiento en el Juicio Verbal nº ****/2013 , seguido en el Juzgado de Primera Instancia nº 7 de Alicante (Hecho Probado Sexto). Por lo que podría haber optado por esperar al resultado del Fallo Judicial, finalmente dictado el 3 de diciembre de 2013, a fin de asegurarse de que concurrían todos los requisitos exigidos en la normativa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 protección de datos para poder comunicar a un fichero de solvencia patrimonial y de crédito datos personales asociados a una deuda. Además, con posterioridad a dicho fallo judicial favorable a los intereses de los denunciantes, en lugar de instar la cancelación de la deuda incierta, tal y como se le requería en el citado Fallo Judicial y resultaba acorde al principio de calidad de datos, la recurrente continuó manteniendo activos los datos adversos de los denunciantes en dicho fichero hasta el 4 de mayo de 2014, cancelación que se produjo después de dictarse con fecha 3 de abril de 2014 por el Juzgado de Primera Instancia nº 7 de Alicante el Auto y Decreto reseñados en el Hecho Probado Decimotercero. (Hecho Probado Decimotercero) Es decir, tanto la inclusión como el mantenimiento indebido de los datos personales de los denunciantes en el fichero BADEXCUG asociados a una deuda inexistente se produce a instancias de CAIXABANK después de finalizado el proceso de fusión por absorción invocado por la recurrente, por lo que resulta imputable únicamente a CAIXABANK y no a la entidad financiera absorbida, motivos por los que debe rechazarse que en el supuesto analizado se haya producido una disminución cualificada de la responsabilidad de la recurrente en la comisión de la infracción al principio de calidad de datos que se le imputa. . Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de junio de 2016, en el procedimiento sancionador PS/00019/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.