1/4 Procedimiento nº.: PS/00230/2016 ASUNTO: Recurso de Reposición Nº RR/00899/2016 Examinado el recurso de reposición interpuesto por la entidad CAIXABANK CONSUMER FINANCE EFC SA, antes FINCONSUM E.F.C., S.A.U., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00230/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 22/11/2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00230/2016 , en virtud de la cual se imponía a la entidad FINCONSUM E.F.C., SOCIEDAD UNIPERSONAL, una sanción de una sanción de 20.000 € por una infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el 6.1 de dicha LOPD, tipificada como grave en el artículo 44.3.
- k)de la LOPD, de conformidad con lo establecido en el artículo 45.1), 2), 45.4.c), .d), .
- j)y 45.5.
- d)de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 23/11/2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. SEGUNDO: Como hechos probados del citado PS/00230/2016, quedó constancia de los siguientes: procedimiento sancionador, 1. Los datos del denunciante no figuraban en el fichero ASNEF a 5/08/2015 (40, 41). Antes de dicha fecha, los datos del denunciante han figurado incluidos en dicho fichero desde 19/09/2014
(52)por TTI FINANCE SARL producto: Tarjeta de crédito importe 4.705,70 euros (46,47, 73) figurando la dirección de (C/...1), Málaga, que no coincide ni con la que consigna el denunciante en su denuncia ni con la de su DNI (1, 8). La baja del fichero, de 27/05/2015, fue por el ejercicio del denunciante del derecho de cancelación, subsanado el responsable del mismo, constando como motivo “incongruencia” (51 y 59). 2. En el histórico de consultas de los datos del denunciante consta que CAIXABANK ha efectuado 4 desde 13/05 a 28/05/2015
(49). 3. TTI FINANCE SARL, sociedad con domicilio social en Luxemburgo, adquirió el 11/07/2014 de FINCONSUM una cartera de deuda de créditos impagados entre los que se encontraban el identificado con el NIF del denunciante (16, 24) por el importe de 4.705,70 €, si bien asociados a A.A.A., una dirección y dos número de teléfonos que no coinciden con la del denunciante. Entre los datos cedidos que figuran en los sistemas de TTI, figura el DNI, que coincide con el del denunciante
(17), el nombre y apellidos que también coincide y dos líneas telefónicas que no se asemejan a la que figura en la denuncia (17, 1), así como el domicilio que tampoco coincide con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 consignado en la denuncia por el denunciante o el que figura en su DNI (17, 1, 8).
- FINCONSUM E.F.C., (ahora CAIXABANK CONSUMER FINANCE EFC SA) reconoce que tenía el NIF del denunciante asociado a los datos del cliente A.A.A. (PPM), (folio 17) cuyos datos fueron cedidos a TTI. Solo se conoce que coincidiera como dato identificativo el citado NIF, ya que el resto de los datos del cliente, dirección, números de teléfonos no coinciden con los del denunciante. “ TERCERO: En nombre de FINCONSUM E.F.C., SOCIEDAD UNIPERSONAL, CAIXABANK CONSUMER FINANCE EFC SA ha presentado en el Servicio de Correos en fecha 21/12/2016, con entrada en la AEPD el 28/12/2016, recurso de reposición fundamentándolo, básicamente, en: 1) La carga de la prueba recae sobre la Administración. Nadie está obligado a probar su inocencia. 2) Reitera lo manifestado durante el procedimiento de que no le ha constado hasta la notificación del acuerdo de inicio noticia alguna de que los datos fueran inexactos, concurriendo total ausencia de intencionalidad que debe valorarse como circunstancia atenuante, agregando la falta de perjuicios causados al no verificarse daño económico cuantificable. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con la carga de la prueba; cabe citar entre otras, la Sentencia de la Audiencia Nacional de fecha 11/05/2001 en la que se afirma que “quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado –art. 6 LO 5/1992-, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. Criterio también mantenido por la Audiencia Nacional en su Sentencia de 15/12/2001 que señala que “Los inspectores de la APD comprueban que los datos de ... figuran registrados en una copia del fichero de clientes. Datos personales que fueron utilizados por ... para remitir las susodichas revistas al menor. Dichos hechos no han sido negados por la actora, es más los admite, sin embargo sostiene que la falta de consentimiento para el tratamiento de datos no ha sido acreditado por la APD, y ésta al tenerlos como tales a la espera de que los probara el inculpado ha invertido la carga de la prueba. Argumento de todo punto insostenible, porque de acuerdo con el principio que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 rige en materia probatoria (art. 1214 del Código Civil) la APD probó el hecho constitutivo que era el tratamiento automatizado de datos personales del menor ... , y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo.... Es decir, ..., debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que en el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/
- Y nada de esto ha sucedido.” En tal sentido, no procede acoger la alegación de la denunciada. Respecto de las alegaciones tendentes a la reducción de la sanción, la ausencia de medidas tomadas respecto a un cliente al que se le asocia el DNI de un no cliente como es el denunciante, es un factor muy importante. La denunciada no acredita el modo en que se produjo, manifestando que sufrió un engaño a través de la suplantación de la persona que en modo alguno acredita. Se reproduce para la denegación de la reducción de cuantía el argumento que figura en el último fundamento de derecho de la resolución. A ello se debe añadir que la denunciada es una entidad que ofrece servicios financieros a sus clientes y que como una de sus obligaciones originarias y principal es la identificación veraz y correcta de la identidad de dicha persona con la que se va a mantener una relación contractual, al que se asocia una deuda de más de cuatro mil euros. III Por lo tanto, en el presente recurso de reposición, FINCONSUM E.F.C., SOCIEDAD UNIPERSONAL no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por FINCONSUM E.F.C., SOCIEDAD UNIPERSONAL Contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22/11/2016, en el procedimiento sancionador PS/00230/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad CAIXABANK CONSUMER FINANCE EFC SA que es como se denomina ahora la anterior FINCONSUM E.F.C., SOCIEDAD UNIPERSONAL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 21/
- Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es