1/8 Procedimiento nº: PS/00074/2017 ASUNTO: Recurso de Reposición Nº RR/00720/2017 Examinado el recurso de reposición interpuesto por la entidad BANCO CETELEM, S.A.. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00074/2017, y en base a los siguientes, HECHOS PRIMERO: Con fecha 04/08/2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00074/2017, en virtud de la cual se imponía a la entidad BANCO CETELEM, S.A.., una sanción de 20.000 euros (veinte mil euros), por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 10/08/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00074/2017, quedó constancia de los siguientes: procedimiento sancionador, Primero. En fecha 27/04/2016, el afectado presentó escrito en esta Agencia manifestando que la empresa Logalty le había remitido un certificado de transacción de CETELEM para su custodia, por lo que denuncia la utilización de sus datos de carácter personal sin su consentimiento (folio 1 y 2). Segundo. El denunciante aporta copia de correo electrónico de fecha 04/02/2016 remitido por Logalty (tercero de confianza de CETELEM) al denunciante en el que se indica: “Estimado el denunciante: Logalty le envía el certificado de la transacción “***CERT.1” de CETELEM para su custodia. Este certificado está firmado por Logalty”. A continuación se señalan los datos de la transacción electrónica: Enviado por: Banco Cetelem Fecha de Envió: Jueves, 04 de febrero de 2016 16:58:49… Documento enviado: MULTI-DOC Código de Envio: ***CERT.1 (folio 3). Aporta Certificado Contratación electrónica certificada de 04/02/2016 a las 16:58:47, en el que intervienen CETELEM como emisor del contrato y el denunciante, como estado del documento se encuentra no firmado (folio 5). Tercero. CETELEM y Logalty suscribieron el 01/09/2014 contrato para la prestación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 servicios de firma electrónica de los contratos de financiación con clientes. En el citado contrato Logalty ostenta la condición de encargado del tratamiento de conformidad con el artículo 12 de la LOPD (folios 35 y ss). Cuarto. CETELEM en escrito de 10/11/2016 ha manifestado que el denunciante “inicio un procedimiento de solicitud de financiación en el establecimiento A.A.A., establecimiento colaborador con Cetelem para la formalización objeto de dicha financiación”; a continuación señala que el denunciante “completo el formulario en papel que se muestra a continuación, y que el comercial del establecimiento A.A.A. transcribió en presencia de dicho cliente a través de la web de colaboradores de Cetelem y solicito a Logalty la perfección contractual de la documentación generada por Cetelem para su cliente”; en el mismo escrito y en el punto 1) toma inicial de datos en papel impreso señala la representación de la entidad que “A través de este formulario se realiza la toma inicial de datos socio-profesionales del cliente, que el mismo completa de su puño y letra. Una vez que los datos son transcritos en los pasos que a continuación figuran, este formulario papel es destruido a través de los medios propios del establecimiento” (folios 12 y 13). Quinto. CETELEM no ha acreditado que cuente con el consentimiento del denunciante para el tratamiento de sus datos, ni que concurra circunstancia alguna que permitiría a CETELEM tratar los datos del denunciante sin su consentimiento. Tampoco CETELEM ha aportado documento alguno identificativo de la personalidad del denunciante que dio lugar a la iniciación del procedimiento de solicitud del préstamo. TERCERO: BANCO CETELEM, S.A.. (en lo sucesivo el recurrente), ha presentado en fecha 08/09/2017, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas con anterioridad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II Se imputa a CETELEM en el presente procedimiento sancionador una infracción del artículo 6.1 de la LOPD, que determina: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Por su parte en el apartado 2, del mismo artículo, se señala que: “
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. CETELEM no ha acreditado que cuente con el consentimiento inequívoco del denunciante para el tratamiento de sus datos de carácter personal, materializado en la vinculación de aquellos al Certificado Contratación electrónica certificada nº ***CERT.1 de la entidad crediticia que fue enviado a su dirección de correo electrónico por la empresa Logalty y en la que interviene el denunciante sin que conste su firma. Dicho tratamiento de datos vulnera el principio de consentimiento, recogido en el artículo 6.1 de la LOPD, por cuanto el mismo ni se realizó con el consentimiento del denunciante, ni concurre en el supuesto examinado ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a CETELEM tratar los datos de la denunciante sin su consentimiento. III La Audiencia Nacional en numerosas sentencias traslada a las entidades denunciadas la carga de probar el consentimiento inequívoco para el tratamiento de los datos de carácter personal del denunciante, máxime cuanto estos lo niegan. En este sentido se pronuncia la Sentencia de la Audiencia Nacional, de fecha 21 de diciembre de 2001, que señala: “...de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D.... C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 (nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir,... debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/
- Y nada de esto ha sucedido”. Asimismo, la Audiencia Nacional en Sentencia de 01/02/2006, señaló, en cuanto a la prueba de la existencia de un consentimiento inequívoco, lo siguiente: “Es necesario tomar en consideración que lo que la Ley Orgánica 15/99 exige es que el consentimiento para el tratamiento de datos sea prestado de modo inequívoco, adjetivo que debe predicarse tanto de la forma de prestarse (que se preste de forma inequívoca y que no existan dudas sobre que el titular de los datos ha consentido en el tratamiento de los mismos) como de la acreditación de que se ha prestado (que no existan dudas de que el interesado ha consentido en la prestación de su consentimiento)”. En su escrito de denuncia el afectado manifiesta que no ha tenido ni tiene ningún tipo de relación comercial con las citadas entidades. Por su parte, CETELEM en su escrito de alegaciones ha manifestado que el denunciante inició un procedimiento de solicitud de financiación en un establecimiento colaborador situado en Majadahonda (Madrid), rellenando y completando un formulario en papel, siendo el comercial de dicho local el que transcribió en presencia del mismo a través de la web de colaboradores de la denunciada solicitando a Logalty, con quien mantiene un contrato de servicios, la perfección del contrato de manera electrónica con el concurso de tercero como prestador de servicios de confianza. No obstante, el denunciante niega la participación en la solicitud de financiación que se le imputa por lo que corresponde a CETELEM probar el consentimiento para el tratamiento de sus datos, circunstancia que no ha acreditado durante el procedimiento. Hay que añadir, además, que el protocolo o procedimiento de contratación establecido por CETELEM no es el adecuado al no permitir identificar a la persona con la que está contratando ni acreditar el consentimiento del afectado; en este sentido, CETELEM en ningún momento ha podido acreditar la personalidad de la otra parte contratante, al no poder facilitar en ningún momento quien fue la persona que facilitó los datos que dieron lugar a la inclusión en su sistema de información de los datos del denunciante. Y a pesar de que en su protocolo de actuación se determina que el contratante se identificará mediante un formulario que rellenará de su puño y letra dicho formulario no ha sido aportado. La propia entidad ha señalado que “A través de este formulario se realiza la toma inicial de datos socio-profesionales del cliente, que el mismo completa de su puño y letra. Una vez que los datos son transcritos en los pasos que a continuación figuran, este formulario papel es destruido a través de los medios propios del establecimiento”. En consecuencia, desde el propio protocolo de recogida de datos se especifica que se procederá a la destrucción del citado formulario, circunstancia que impide en el futuro la acreditación del consentimiento en la recogida inicial de datos procedente de terceros. CETELEM no ha acreditado que haya obtenido el consentimiento del denunciante para el tratamiento de sus datos pues, salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento justifica y legitima dicho tratamiento; en definitiva, le correspondía a CETELEM aportar la prueba de que dicho consentimiento ha sido prestado. IV - La representación de CETELEM ha alegado que el acuerdo de inicio se acordó una sanción mientras que en la propuesta de resolución el importe de la misma ha sido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 doblado, no habiendo sido notificado a la entidad que la sanción revista mayor gravedad ni concedido el plazo de quince días para que realizase las oportunas alegaciones previstas en el artículo 90.2 de la LPACAP, produciéndole indefensión. En cuanto a la última cuestión planteada, tal alegato no puede ser admitido; la denunciada ha tenido oportunidad de examinar el expediente, de conocer los documentos que lo integran, de hacer alegaciones y proponer pruebas, etc. Además, el órgano competente para resolver no considera a la vista de la resolución presente que la sanción revista mayor gravedad que la determinada en la propuesta de resolución, por lo que resulta intrascendente lo manifestado por las representación de la denunciada. Por otra parte, hay que indicar que el acuerdo de iniciación del procedimiento no es sino un mero acto de trámite; es cierto que es en el acuerdo de inicio donde se incluyen los hechos imputados, la designación de Instructor, y, en su caso secretario, indicación del régimen de recusación de los mismos, órgano competente, derecho a formular alegaciones, indicación de la infracción presuntamente cometida y posible sanción; sin embargo, corresponde a la Propuesta de Resolución, el fijar de forma motivada los hechos, especificándose los considerados probados y su exacta calificación jurídica, así como la infracción imputada y su posible sanción. Y si bien en el acuerdo de inicio se deben describir sucintamente los hechos, su posible calificación jurídica, así como las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción, su fundamentación fáctica no genera vinculación alguna de cara a la resolución definitiva del procedimiento, vinculación que si se produce con respecto a la Propuesta de Resolución. - En segundo lugar, alega igualmente la representación de la entidad que si bien solicitó la práctica de prueba al denunciante y esta se admitió, no ha tenido conocimiento de que aquel no contestó al interrogatorio propuesto hasta la notificación de la propuesta de resolución, causándole indefensión por lo que propone se abra un periodo extraordinario de prueba. En relación con la última cuestión no es posible atender la demanda de la representación de la denunciada al haber transcurrido el periodo procedimental oportuno para ello. Por otra parte, como se señalaba con anterioridad, CETELEM ha tenido oportunidad de examinar el expediente, de conocer los documentos que lo integran, de hacer alegaciones y proponer pruebas, etc., siendo lo sustancial en el presente caso que durante el procedimiento no ha podido ser acreditada la personalidad del solicitante, no aportando prueba ni indicio alguno, motivado porque el protocolo de contratación establecido no es el más adecuado al no permitir identificar a la persona con la que está contratando, ni acreditar el consentimiento del mismo; como se señala en el fundamento de derecho tercero de la presente resolución corresponde la carga de probar el citado consentimiento inequívoco para el tratamiento de los datos de carácter personal del denunciante a CETELEM, no pudiendo trasladar dicha obligación a la actividad probatoria del instructor del procedimiento y por tanto ende de la Administración. V De acuerdo con las previsiones de la LOPD, el artículo 44.3.b) tipifica como infracción grave “b) Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. En el presente caso, CETELEM no ha acreditado el consentimiento del afectado para el tratamiento de sus datos por lo que ha incurrido en la infracción descrita, ya que el consentimiento para el tratamiento de los datos personales es un principio básico del derecho fundamental a la protección de datos, recogido en el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 La entidad mencionada ha tratado los datos de la denunciante sin que haya acreditado su consentimiento inequívoco, vinculándolos al Certificado Contratación electrónica certificada nº ***CERT.1 enviado a su dirección de correo electrónico por la empresa Logalty (tercero de confianza de CETELEM) y en la que dice intervenir el denunciante, sin que conste su firma en acreditación del consentimiento, lo que supone una vulneración del artículo 6.1 de la LOPD, conducta que encuentra su tipificación en este artículo 44.3.b) de la citada Ley Orgánica. VI El artículo 45.2, 4 y 5 de la LOPD establece que: “
- Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…)
- La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a) El carácter continuado de la infracción. b) El volumen de los tratamientos efectuados. c) La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d) El volumen de negocio o actividad del infractor. e) Los beneficios obtenidos como consecuencia de la comisión de la infracción. f) El grado de intencionalidad. g) La reincidencia por comisión de infracciones de la misma naturaleza. h) La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i) La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j) Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.
- El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos: a) Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. b) Cuando la entidad infractora haya regularizado la situación irregular de forma diligente. c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. d) Cuando el infractor haya reconocido espontáneamente su culpabilidad. e) Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. La representación de CETELEM ha solicitado el archivo del procedimiento al considerar que no ha sido infringido el artículo 6.1 de la LOPD. Sin embargo, tal alegato no puede ser aceptado por lo dicho con anterioridad, toda vez que no consta acreditado el consentimiento para el tratamiento de los datos del denunciante. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que Cetelem vulneró el artículo 6.1 de la LOPD al tratar los datos del denunciante sin su consentimiento, materializado en la vinculación de estos al Certificado Contratación electrónica certificada nº ***CERT.1 enviado a su dirección de correo electrónico por la empresa Logalty (tercero de confianza de CETELEM) y en la que dice intervenir el denunciante pero que no acredita y sin que conste su firma, por lo que su actuación ha de ser objeto de sanción. No obstante, teniendo en cuenta las especificas circunstancias que concurren en el presente caso, permite apreciar la existencia de motivos para la aplicación de la circunstancia contemplada en el apartado b) del artículo 45.5 de la LOPD, al haber regularizado la situación denunciada con diligencia antes de la intervención de esta Agencia al cancelar toda relación con el afectado nada más conocer los hechos ahora denunciado, lo que permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate". Por otra parte, se advierten circunstancias que operan como agravantes de la conducta de la entidad que ahora se enjuicia. Así, concurren las siguientes agravantes previstas el artículo 45.4 de la LOPD: - El apartado c) “La vinculación de su actividad con la realización de tratamientos de datos de carácter personal” pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de los clientes como de terceros. - El apartado d) “Volumen de negocio o actividad del infractor” toda vez que se trata de una gran entidad dentro de su sector de actividad. - El apartado i) “La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor”. Sin embargo, hay que señalar que esta anomalía en el procedimiento ha dado lugar a que no sea efectivo, y todo hace indicar que no se trató de una anomalía puntual del funcionamiento sino debido a que el diseño del protocolo de identificación utilizado es impropio de una entidad de este tipo, situación que debería mejorar con medidas adicionales para no incurrir en hechos similares a los imputados y que no han podido ser evitados como consecuencia de una falta de diligencia debida. Además, este error en el protocolo de actuación no se limita a un caso concreto como el que se está tratando ahora, sino que puede afectar a la totalidad de tratamientos de datos de los clientes circunstancia que debe ser considerada como agravante cualificada de la culpabilidad en los hechos imputados lo que permite elevar la cuantía de la sanción inicialmente fijada en el acuerdo de inicio (art 45.4.j). En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, se impone una sanción de 20.000 € por la infracción del artículo 6.1 de la LOPD de la que CETELEM debe responder. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BANCO CETELEM, S.A.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 4 de agosto de 2017, en el procedimiento sancionador PS/00074/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad CETELEM, S.A.. BANCO De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es