REPOSICION-PS-00229-2015

1/7 Procedimiento nº.: PS/00229/2015 ASUNTO: Recurso de Reposición Nº RR/00977/2015 Examinado el recurso de reposición interpuesto por la entidad COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN. S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00229/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 11 de noviembre de 2015, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00229/2015 , en virtud de la cual se imponía a la entidad COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN, S.A., una sanción de 6.000 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 12 de noviembre de 2015, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00229/2015, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Con fecha 21/05/2014 tiene entrada en esta Agencia un escrito de la denunciante en el que declara: <<Con fecha 10 de Julio de 2013, recibí un escrito con fecha 6 de Julio de 2013 de Asnef Equifax en el que me comunicaban la incorporación de mis datos personales a su base de datos, por adeudar a la sociedad MELF ,S.A.R.L., la cantidad de 403.570,13 euros en calidad de avalista, ante la inquietud y el estado de ansiedad que me provocó, decidí acudir a la Comisaria de Policía de Getafe con la comunicación ya que con la sociedad a la que supuestamente adeudaba esa cantidad, no había tenido ningún tipo de relación comercial y nunca he sido avalista de nadie, a través de Internet localicé a MELF,S.A.R.L., comprobé que su domicilio estaba en Luxemburgo y lo primero que pensé es que podría ser algún tipo de fraude o estafa. En comisaria me aconsejaron que pasara por la entidad bancaria con la que trabajo habitualmente, para que me confirmase si la anotación en Asnef Equifax era correcta, ya que podría ser un error, y antes de firmar la denuncia debía asegurarme, en caso de no serlo, firmaría la denuncia y harían las gestiones pertinentes para localizar a la empresa MELF,S.A.R.L. a través de la Interpol. A primera hora del día 11 de Julio 2013, me confirmaron en el BBVA que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 realmente adeudaba según ASNEF esa cantidad a MELF,S.A.R.L y me informaron que está sociedad compró deuda mala al BSCH, en ese momento relacioné la deuda que me reclamaban, con la Sociedad en la que trabajaba Maderas XXXX, S.A., ya que se encontraba en Concurso de Acreedores desde finales del 2011 y de la cual tuve poderes hasta Octubre del año 2008 para librar efectos, pagarés, cheques etc. La revocación de poderes tiene fecha 27-10-2008. Ese mismo día 11 de Julio de 2013, me puse en contacto con COBRALIA, con el fin de que procediesen a la anulación de la anotación en el ASNEF EQUIFAX, informando igualmente de que me había presentado en Comisaria y estaban pendientes de mi respuesta, si no me facilitaban la anulación ese mismo día, pasaría para firmar la denuncia, ya que no tenía responsabilidad alguna sobre esa deuda. Una hora después de la conversación, 10,52 h según copia del fax que adjunto, me enviaron copia de la baja efectuada por el ASNEF, informé a la dirección de la Empresa Maderas XXXX de lo ocurrido y me confirmaron que varios compañeros, al igual que yo habían recibido en su domicilio las notificaciones de ASNEF, me consta que desde Administración llamaron a COBRALIA por teléfono para solicitar la baja del ASNEF de todos ellos. Una semana después me informaron de nuevo a través del BBVA que ya no aparecía como deudora. Cause baja como trabajadora de Maderas XXXX, S.A., el 20-11-2013. El 27 de Enero de 2014 recibí otro escrito de Cobralia, con fecha 20 de Enero 2014, en el que me reclamaban la deuda en un tono amenazante, indicando que interpondrían una demanda ejecutiva contra mis bienes personales. Me puse en contacto telefónico con el Director General de Maderas XXXX, S.A., que me confirmó, la recepción de otra carta dirigida a él personalmente y me informó de que el Bufete de Abogados de la Sociedad, estaba preparando un burofax del que adjunto copia, formulando una reclamación por la utilización indebida de los datos personales de accionistas, consejeros y apoderados y la reclamación de la deuda en tono amenazador a los mismos, exigiendo a su vez que acreditasen la cancelación de los datos de su base de datos. (Como respuesta, me consta que existe un Burofax enviado por Cobralia a Maderas XXXX, S.A. en el que confirma dicha cancelación, si fuese necesario podría solicitar una copia) Igual que la vez anterior, realicé una llamada a Cobralia, para decirles que me parecía totalmente increíble, que volviese a ocurrir, hable con la persona que firmaba el escrito, me pidió disculpas y solicite ejercer mi derecho sobre mis datos personales y que me enviasen una confirmación por escrito de que habían procedido a ello, ese mismo día me hicieron llegar un correo electrónico, donde adjuntaban una carta de fecha 28-1-14,que recibí en mi domicilio por correo ordinario igualmente sin firmar, reclamé el original firmado y me lo enviaron de nuevo con fecha 29 de Enero de 2014, certificado y con acuse de recibo. Me equivoque pensando que con esta última carta se habría solucionado el problema. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Transcurridos tres meses, el 7 de Mayo de 2014, vuelvo a recibir otro escrito con fecha 29-4-14 en el que me informan de la situación en la que se halla actualmente el procedimiento judicial, ofreciéndome incluso un descuento y me invitan a informarme telefónicamente para aprovecharme de esta promoción. Realmente inaudito, he llamado para comunicarles la recepción de la carta y me dicen que el escrito se ha realizado desde otro departamento y por supuesto debido a otro error. >> (folios 1-6) SEGUNDO: En fecha 21/12/2012 MELF adquirió una cartera de créditos a BANCO DE SANTANDER, créditos entre los cuales se encontraban créditos correspondiente a la entidad MADERAS XXXX, S.A. así como los datos de contacto de la denunciante, como apoderada de dicha sociedad (folios 43-53) TERCERO: En fecha 05/02/2013 COBRALIA suscribió con MELF un contrato de prestación de servicios con acceso a datos personales para la gestión, en calidad de encargado del tratamiento, de la cartera de deuda adquirida al BANCO DE SANTANDER. Entre los créditos gestionados por COBRALIA se encontraban créditos correspondientes a la entidad MADERAS XXXX, S.A. así como los datos de contacto de la denunciante, como apoderada de dicha sociedad (folios 43-53) CUARTO: En fecha 04/01/2013 COBRALIA recibió y cargó un fichero de deudores de MELF entre los que se encontraban deudas contraídas por la entidad MADERAS XXXX, S.A., así como los datos de contacto de la denunciante, como apoderada de dicha sociedad. Al efectuar la carga en los sistema informáticos COBRALIA atribuyó erróneamente a los apoderados la deuda cuya titularidad era de MADERAS XXXX, S.A., lo que motivó la inclusión de los datos de la denunciante en el fichero asnef (folios 43-53) QUINTO: Los datos de la denunciante fueron incluidos por MELF SARL en el fichero asnef en fecha 05/07/2013 por un importe de 403.570,13 €, siendo dados de baja en fecha 11/07/2013 tras la reclamación efectuada a COBRALIA por la denunciante. La inclusión fue efectuada por dicha entidad por descubierto en cuenta y en condición de avalista (folios 7, 30-42)>> TERCERO: COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN, S.A. ha presentado en el servicio de correos en fecha 9 de diciembre de 2015, con entrada en esta Agencia Española de Protección de Datos en fecha 11 de noviembre de 2015, recurso de reposición fundamentándolo, la caducidad del procedimiento sancionador y la reducción del importe de la multa impuesta en aplicación de lo dispuesto en el artículo 45.5 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 II Con carácter previo debe resolverse acerca de la caducidad del procedimiento sancionador. Así el artículo 48.3 de LOPD, determina que “los procedimientos sancionadores tramitados por la Agencia en el ejercicio de las potestades que a la misma atribuyan esta u otras leyes, tendrán una duración máxima de seis meses”. Por su parte el 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD establece: “Artículo 6. Cómputo de plazos. En los supuestos en que este reglamento señale un plazo por días se computarán únicamente los hábiles. Cuando el plazo sea por meses, se computarán de fecha a fecha.” “Artículo 128. Plazo máximo para resolver. 1. El plazo para dictar resolución será el que determinen las normas aplicables a cada procedimiento sancionador y se computará desde la fecha en que se dicte el acuerdo de inicio hasta que se produzca la notificación de la resolución sancionadora, o se acredite debidamente el intento de notificación. 2. El vencimiento del citado plazo máximo, sin que se haya dictada y notificada resolución expresa, producirá la caducidad del procedimiento y el archivo de las actuaciones.” En el presente caso el procedimiento sancionador se inició mediante acuerdo dictado en fecha 12/05/2015, y la resolución sancionadora fue notificada a la entidad recurrente en fecha 12/11/2015. En conclusión no cabe apreciar la caducidad del procedimiento sancionador que fue resuelto y notificado dentro del plazo establecido por la normativa anteriormente reseñada. En relación con las manifestaciones efectuadas por COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN, S.A., en relación a la reducción del importe de la multa impuesta debe señalarse que ya fue analizada y desestimada en el Fundamento de Derecho VI de la Resolución recurrida, tal como se transcribe a continuación: <<VI El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:

1. a)El carácter continuado de la infracción.
2. b)El volumen de los tratamientos efectuados.
3. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 de carácter personal.
4. d)El volumen de negocio o actividad del infractor.
5. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
6. f)El grado de intencionalidad.
7. g)La reincidencia por comisión de infracciones de la misma naturaleza.
8. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
9. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
10. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
11. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
12. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
13. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
14. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
15. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. Conviene recordar que desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. No obstante lo anterior, la Sentencia de la Audiencia Nacional dictada el 21 de septiembre de 2005, Recurso 937/2003, establece que “Además, en cuanto a la aplicación del principio de culpabilidad resulta que (siguiendo el criterio de esta Sala en otras Sentencias como la de fecha 21 de enero de 2004 dictada en el recurso 113/2001) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 que la comisión de la infracción prevista en el art. 77.3
16. d)puede ser tanto dolosa como culposa. Y en este sentido, si el error es muestra de una falta de diligencia, el tipo es aplicable, pues aunque en materia sancionadora rige el principio de culpabilidad, como se infiere de la simple lectura del art. 130 de la Ley 30)1992, lo cierto es que la expresión “simple inobservancia” permite la imposición de la sanción, sin duda en supuestos doloso, y asimismo en supuestos culposos, bastando la inobservancia del deber de cuidado”. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. En cuanto a la importancia de la inclusión y mantenimiento de los datos personales en un fichero de morosidad, ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional. Así en la Sentencia dictada el 16/02/2002, por la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto se señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, ...” COBRALIA reconoce su responsabilidad en los hechos imputados por lo que cabe la aplicación de lo dispuesto en el artículo 45.5 de la LOPD, por lo que procede imponer multas cuyo importe se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD). En el presente caso, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.4, y en particular la reacción diligente de la entidad por cuanto, efectuada por la denunciante reclamación en fecha 11/07/2013, sus datos fueron excluidos del fichero asnef en fecha de manera inmediata ese mismo día, fichero asnef en el que habían sido incluidos en fecha 05/07/2013, así como la ausencia de beneficios obtenidos por la imputada y la ausencia de perjuicios acreditados a la denunciante, procede la imposición de una multa de 6.000 € por la infracción del artículo 4.3 de la LOPD.” III Por lo tanto, en el presente recurso de reposición, COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por COBRALIA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 SERVICIOS INTEGRALES DE RECUPERACIÓN, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 11 de noviembre de 2015, en el procedimiento sancionador PS/00229/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN, S.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es