REPOSICION-PS-00265-2017

1/18 Procedimiento nº.: PS/00265/2017 ASUNTO: Recurso de Reposición Nº RR/00966/2017 Examinado el recurso de reposición interpuesto por la entidad 4FINANCE SPAIN FINANCIAL SERVICES, S.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00265/2017 y en consideración a los siguientes HECHOS PRIMERO: Con fecha 13 de diciembre de 2017 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00265/2017, en virtud de la cual se impuso a 4FINANCE SPAIN FINANCIAL SERVICES, S.A., una sanción de 50.000 € (cincuenta mil euros) por vulneración de lo dispuesto en el artículo 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.

1. c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada a 4FINANCE SPAIN FINANCIAL SERVICES, S.A., en fecha 13 de diciembre de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00265/2017, se dejó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: A.A.A., con NIF ***DNI.1, denuncia que VIVUS ha tratado sus datos personales sin su consentimiento, los ha vinculado a deudas que no son ciertas, pues nunca ha contratado con esta entidad, y los ha incluido en ficheros de solvencia patrimonial asociados a deudas que no le pertenecen. SEGUNDO: VIVUS informó a los ficheros de morosidad ASNEF y BADEXCUG una deuda asociada al NIF del denunciante y a su nombre y apellidos, con fecha de alta, respectivamente, 20/02/2016 y 21/02/2016. Las dos incidencias fueron canceladas el 11/07/2016, tres días después de recibir del denunciante información y documentación que evidenciaba la existencia de un presunto fraude en la contratación del microcrédito del que derivaba la deuda que le atribuía (Folios 256 y 257 respecto a ASNEF y 134 respecto a BADEXCUG) TERCERO: VIVUS comunicó, por segunda vez, al fichero ASNEF los datos personales del denunciante (NIF, nombre y dos apellidos) por un saldo impagado pendiente de 940 euros con fecha de alta 20/07/2016, pese a que en esa fecha tenía evidencias claras de que la deuda no era cierta respecto al denunciante. La anotación fue cancelada el 04/10/2016. El fichero califica el tipo de baja “Directa”, es decir, efectuada por la entidad acreedora (Folios 249, 258 y 259) CUARTO: El 16/10/2015 VIVUS formalizó a través de su página web un contrato de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 microcrédito por importe de 300 euros con la persona que facilitó como suyos el nombre, dos apellidos y el NIF del denunciante. VIVUS ha aportado una impresión de pantalla de sus registros informáticos con los datos relativos al contrato de microcrédito, identificado con la referencia ***REF.1, así como las condiciones generales y particulares de la contratación. Los datos que figuran registrados en VIVUS asociados al referido contrato son los siguientes: el NIF ***DNI.1, del que es titular el denunciante; el nombre y apellidos de A.A.A.; la fecha de contratación del producto, el 16/10/2015; los números de teléfono ***TLF.1 y ***TLF.2; un domicilio en ***DIRECCIÓN.1, 1; la fecha de nacimiento 14/08/1964; la dirección electrónica ***EMAIL.1, y una cuenta en la entidad financiera ING DIRECT finalizada en los dígitos 82 (folios 64, 65, 117). También facilita la dirección IP desde la que el 16/10/2015 se contrató el microcrédito ( ***IP.1) QUINTO: VIVUS recabó del contratante al tiempo de la celebración del contrato de microcrédito la siguiente documentación que ha facilitado a la AEPD: - Copia del DNI del denunciante (folio 118) - Copia de un resguardo bancario de ingreso de nómina a favor de quien dice llamarse como el denunciante, ordenada por la empresa Promogroup Econsa, S.L., en una cuenta de la entidad financiera ING DIRECT (folio 119) - Copia de una nómina, correspondiente a septiembre de 2015, perteneciente a un trabajador identificado con el NIF, nombre y dos apellidos del denunciante, emitida por la empresa Promogroup Econsa, S.L. - Copia de una factura de Movistar correspondiente a una línea fija ( ***TLF.1 y móvil, ***TLF.3) emitida a nombre de una persona con el nombre, apellidos y NIF del denunciante. El domicilio vinculado al titular de la línea que aparece en la factura es ***DIRECCIÓN.1. La factura está domiciliada en una cuenta de la entidad ING DIRECT, (folios 121 y 122) VIVUS ha facilitado a esta Agencia la grabación de una llamada telefónica efectuada por personal de la empresa al teléfono facilitado por el contratante, en la que confirma los datos personales facilitados, su deseo de contratar el microcrédito y responde a varias preguntas que le formulan sobre su empleador, su lugar de residencia y las localidades en las que había residido con anterioridad. El sistema utilizado es la centralita de llamadas 3CX, por la cual todas las llamadas que emiten o reciben los agentes del call center se graban y guardan automáticamente en el servidor con acceso restringido por lo que, afirma, es imposible su modificación o alteración, (folio 62) SEXTO: El denunciante ejerció el derecho de acceso ante EQUIFAX y EXPERIAN el 26/05/2016 y el 28/05/2016, respectivamente (folios 9 a 11 y 15 a 18) y ante VIVUS el 14/06/2016 (folios 19 a 30). VIVUS facilitó al denunciante con su respuesta la copia del Contrato de Préstamo ***CONTRATO.1 suscrito a su nombre y con su NIF. El denunciante ejerció ante EQUIFAX el derecho de cancelación de sus datos del fichero ASNEF el 25/06/2016. La cancelación fue denegada al haber sido confirmada la deuda por la entidad informante. (Folios 276 a 290) SÉPTIMO: El 09/07/2016 el denunciante remitió a VIVUS un email en el que manifestó que nunca había contratado con ella ni con empresas de su grupo; que no tenía ni había tenido nunca domicilio en ***LOCALIDAD.1; que no era titular de los números de teléfono que figuran en el contrato celebrado a su nombre ni conoce quién es el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 titular de esos números; que no es titular ni conoce a quien lo fuera de la dirección electrónica asociada a su nombre que consta en el contrato; que no es titular, ni cliente, ni tiene acceso a cuentas bancarias en la entidad financiera ING. (Folios 123 a 125) El denunciante informó en ese trámite a VIVUS que había interpuesto denuncia ante la Guardia Civil por estafa en el uso de sus datos personales; que por esos hechos existía un procedimiento judicial penal abierto -Diligencias Previas de Procedimiento Abreviado ***PROCED.1- tramitado por el Juzgado de Instrucción número 8 de Vigo y que había presentado denuncia ante la Agencia Española de Protección de Datos. (Folios 53 a 56)>> TERCERO: 4FINANCE SPAIN FINANCIAL SERVICES, S.A., (en lo sucesivo la recurrente o 4FINANCE) ha presentado en fecha 21 de diciembre de 2017 en esta Agencia Española de Protección de Datos recurso de reposición fundamentándolo, en esencia, en los siguientes motivos: 1. Pone en conocimiento de la AEPD un hecho nuevo: que con fecha 2. 3. 4. 5. 19/12/2017 se celebró el acto de conciliación por el despido de la trabajadora D.ª B.B.B. en el que la recurrente aceptó una avenencia -admitió que el despido era improcedente y acordó abonarle una indemnización- con la trabajadora despedida. Informa que con fecha 28/11/2016 despidió a la trabajadora “que fue responsable material del error que se produjo al no seguir los protocolos de la empresa respecto a las altas de registros en ficheros de morosos”. Que la segunda inclusión de los datos personales del denunciante en el fichero ASNEF –conducta que constituye el presupuesto fáctico de la infracción por la que la AEPD sancionó a la recurrente- “se debió a un puro error excepcional y absolutamente involuntario cuyo autor material ha sido sancionado disciplinariamente con el despido” y que “la baja directa de la segunda inclusión se produjo 76 días después de que se produce ese desgraciado error de la segunda alta y a iniciativa propia de mi representada”. La negativa de la AEPD a graduar la sanción impuesta por infracción de la LOPD de la que es responsable la recurrente. Afirma que la calificación de “grave falta de diligencia” que se le atribuye “se sustenta en hechos no probados”. Reitera la falta de proporcionalidad de la sanción impuesta y la procedencia de aplicar la atenuante cualificada del artículo 45.5 LOPD. Subsidiariamente, solicita la reducción del importe de la sanción en un 40%, cantidad equivalente a la que habría resultado de haberse acogido al reconocimiento de responsabilidad y al pago voluntario previsto en el artículo 85 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II A. En relación con las manifestaciones efectuadas por la recurrente, en las que invoca como fundamento de la impugnación determinados motivos, procede indicar lo siguiente: 1. Por lo que concierne al motivo que se esgrime en primer término, relativo a que con fecha 19/12/2017 se celebró el acto de conciliación por el despido de la trabajadora D.ª B.B.B., en el que la recurrente admitió que había sido improcedente y acordó abonarle una indemnización, siendo así que la citada trabajadora fue despedida el 28/11/2016 por ser “responsable material del error que se produjo al no seguir los protocolos de la empresa respecto a las altas de registros en ficheros de morosos”, se ha de señalar que este hecho es irrelevante a los efectos que nos ocupan. Y ello, por más que la recurrente advierta que para ella es importante que se cumplan los protocolos establecidos. Esa circunstancia carece de trascendencia a efectos de la sanción impuesta por infracción de la normativa de protección de datos de carácter personal pues en nada incide sobre la conducta infractora objeto del expediente sancionador ni tampoco sobre la culpabilidad de la entidad. A ese respecto hemos de indicar que hubiera tenido alguna relevancia que 4FINANCE, en lugar de acreditar documentalmente el despido de una trabajadora a la que responsabiliza de no seguir los protocolos de la empresa relativos a los registros de morosos, hubiera acreditado documentalmente qué medidas implementadas fueron las que la referida trabajadora incumplió, o hubiera descrito en qué consistían las medidas que integraban su protocolo y que permitieron que, después de haber acordado la cancelación de los datos de una persona en dos ficheros de solvencia se volvieran a informar por segunda vez al fichero ASNEF. 2. Otro de los motivos en los que se funda el recurso de reposición es la afirmación de la recurrente de que la segunda inclusión de los datos personales del denunciante en el fichero ASNEF, asociados a una deuda a la que él era ajeno, “ se debió a un puro error excepcional y absolutamente involuntario cuyo autor material ha sido sancionado disciplinariamente con el despido” y que “la baja directa de la segunda inclusión se produjo 76 días después de que se produce ese desgraciado error de la segunda alta y a iniciativa propia de mi representada”. Sobre el carácter “involuntario” de la inclusión de los datos del denunciante en ASNEF es importante recordar que la conducta típica del artículo 44.3.
2. c)LOPD puede cometerse a título de dolo o de culpa o negligencia. Es obvio que la decisión de 4FINANCE de incluir por segunda vez los datos personales del afectado en ASNEF no fue intencionada, sino fruto de una actuación negligente. Aunque la recurrente sostiene que el origen de esta conducta es una suplantación realizada por un tercero y cuyos efectos se extienden no sólo al denunciante sino también a ella misma, lo cierto es que la consecuencia directa de la intervención fraudulenta del tercero fue el tratamiento de los datos del denunciante sin su consentimiento asociados a la contratación de un microcrédito y su inclusión en los ficheros ASNEF y BADEXCUG por una deuda a la que él era ajeno. Conductas que, pese a ser antijurídicas -contrarias al principio del consentimiento y de calidad de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 datos- no han originado ninguna responsabilidad sancionadora para a 4FINANCE. Como se expuso con claridad en la resolución que ahora se impugna en tanto esa entidad obró diligentemente en ambos casos estaba ausente el elemento subjetivo de la culpabilidad por lo que ninguna responsabilidad sancionadora es exigible. Dicho lo anterior, la resolución sancionadora dictada por la AEPD subraya que la segunda inclusión de los datos personales del denunciante en ASNEF asociados a una deuda a la que era ajeno se produjo después de que 4FINANCE supiera que existía una denuncia presentada en la Policía por esos hechos y un procedimiento penal en curso. Resulta evidente que esta segunda inclusión en ASNEF –que es la conducta en la que se materializa la infracción por la que ha sido sancionada- fue fruto exclusivamente de la falta de control de la entidad sobre el tratamiento que realiza de los datos personales de terceros. Esta conducta que la recurrente califica como “error excepcional” vulnera el artículo 4.3 de la LOPD y 38.1.a, del RLOPD. La Audiencia Nacional se ha pronunciado en repetidas ocasiones señalando que la inclusión equivocada o errónea de una persona en un fichero de solvencia es un hecho de gran transcendencia y que sólo es admisible esta comunicación cuando concurren los requisitos a los que la normativa de protección de datos supedita la inclusión. En ese sentido se ha de recordar que el RLOPD pone el acento en la diligencia que ha de presidir la decisión del responsable de comunicar datos de terceros a un fichero de cumplimiento o incumplimiento de obligaciones dinerarias. Así, el RLOPD no sólo exige que se cumplan los requisitos de los artículos 38.1 y 39 sino que impone al acreedor informante la obligación de “asegurarse” de que todos esos requisitos se cumplen en el momento en que notifica los datos adversos de un tercero a un fichero común (ex artículo 43.1 RLOPD) La recurrente menciona también en defensa de su pretensión que los datos del afectado permanecieron incluidos en ASNEF con carácter temporal, durante menos de 3 meses, exactamente 76 días, lo que a su juicio es poco tiempo en comparación con el periodo de seis años durante el que pueden permanecer los datos en ficheros adversos. A este respecto podría indicarse -siguiendo la misma línea argumental- que la sanción impuesta (50.000 euros) está próxima al mínimo fijado por la LOPD para las infracciones graves para las que está prevista una multa que puede oscilar entre 40.001 y 300.000 euros. 3. Considera que los hechos probados “no acreditan” la “grave falta de diligencia” que la AEPD le atribuye. Alega la recurrente que la AEPD no ha constatado que tal y como mantiene en la resolución sancionadora existiera por su parte una grave falta de diligencia. Se apoya para hacer tal afirmación en un fragmento de la resolución en el que se dice que “(…) el único protocolo que la AEPD ha constado que es correcto, de los que la denunciada tiene implementados, es el de contratación, sin que respecto a las verificaciones que ha de hacer (ex artículo 43 RLOPD) antes de comunicar datos de terceros a un fichero de solvencia esta Agencia haya constatado nada ni tampoco haya acreditado nada al respecto la denunciada”. En primer término destacar que la recurrente olvida que a quien los artículos 43.1 , 38.1 y 39 del RLOPD imponen obligaciones es a la entidad informante. Es ella quien tiene la carga de probar que actuó con la diligencia que era procedente antes de tomar la decisión de comunicar los datos de un tercero a un fichero de solvencia y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 4FINANCE no ha detallado las medidas a las que sometió la decisión de informar los datos de terceros a un fichero de esa naturaleza. Argumenta la recurrente que “no podemos aceptar que la AEPD infiera que no existían procedimientos para la verificación previa a la transmisión de datos a ficheros de morosidad cuando ella misma afirma que la AEPD no ha constatado “nada” a ese respecto”. Pues bien, tal constatación únicamente podría proceder de lo que quien tiene la carga de la prueba –en este caso 4FINANCE- hubiera acreditado. Y efectivamente la recurrente no ha aportado ninguna prueba o indicio de la medidas que tiene implementadas. A mayor abundamiento la recurrente afirma que procedió por propia iniciativa a cancelar la incidencia informada a ASNEF y no como sostiene la Agencia en su resolución a raíz de que recibiera el requerimiento informativo de la Inspección de Datos. Efectivamente no es factible probar qué fue lo que instó a la recurrente a dar de baja los datos del afectado de ASNEF exactamente el día 04/10/2016, el mismo día en que, a tenor de la documentación obrante en el expediente, consta acreditado que recibió el requerimiento informativo de la AEPD. Se suma a lo expuesto otra circunstancia adicional sobre la que volveremos en el apartado siguiente: cuando 4FINANCE respondió al requerimiento informativo de la AEPD, el que recibió el mismo día en que da de baja la inclusión del afectado de ASNEF, era el 13/10/2016 por lo que habían transcurrido únicamente 9 días de su decisión de cancelar la incidencia. Llama la atención que en su escrito la recurrente insistiera en que con fecha 11/07/2016 había procedido al bloqueo del expediente y días más tarde, el 20/07/2016, comunicara de nuevo, por segunda vez, los datos del afectado al fichero de solvencia patrimonial. 4. Reitera la falta de proporcionalidad de la sanción impuesta y la procedencia de aplicar la atenuante cualificada del artículo 45.5 LOPD. Sobre este extremo nos remitimos a lo expuesto en la resolución impugnada, Fundamento de Derecho IV, que damos por reproducido. 5. Con carácter subsidiario la recurrente solicita que se reduzca el importe de la sanción en un 40%, según dice cantidad equivalente a la que habría resultado de haberse acogido al reconocimiento de responsabilidad y al pago voluntario previsto en el artículo 85 de la LPACAP. Basta señalar que las reducciones que se contemplan en el artículo 85 de la LPACAP están sujetas a determinados requisitos -entre ellos, los descritos en el artículo 85.3 LPACAP- y pueden hacerse valer exclusivamente en un determinado momento procesal -bien dentro de los diez días siguientes a la notificación del acuerdo de inicio del expediente sancionador bien antes de dictar resolución-, sin que sea admisible hacer valer ninguna de las reducciones contempladas en el artículo 85, apartados1 y 2, LPACAP, en el trámite del recurso de reposición. Por otra parte, se ha de subrayar que el principio de legalidad, inherente al Estado de Derecho, impide a esta Agencia modificar el importe de la sanción impuesta si, como en el presente caso acontece, no se estima procedente ninguno de los motivos de impugnación invocados y tampoco existe una norma que justifique y ampare la reducción solicitada, similar a la prevista en el artículo 85 de la LPACAP. B. Se ha de insistir en el presente caso que la resolución impugnada no versó sobre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 la infracción del principio del consentimiento sino sobre el principio de calidad de los datos, toda vez que la conducta que se sanciona no es otra que la inclusión por segunda vez de los datos del denunciante en ficheros comunes de solvencia (ASNEF) teniendo conocimiento la entidad informante de que la contratación fue fraudulenta, y los mantuvo en esa segunda inclusión por tiempo de casi tres meses. Se dan por reproducidos los Fundamentos de Derecho II a IV, ambos inclusive, de la resolución recurrida, que se transcriben: <<II La Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD) se refiere en el artículo 4 al principio de calidad de los datos y en su apartado 3, al principio de exactitud o veracidad, corolario del anterior, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el artículo 29.4 de la LOPD establece que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) en su artículo 38.1 señala: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
3. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…)” El artículo 44.3.
4. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Las infracciones graves pueden ser sancionadas con multa de 40.001 a 300.000 euros, conforme a lo prevenido en el artículo 45.2 de la citada Ley Orgánica. III La conducta de VIVUS que motiva la apertura del presente expediente sancionador se concreta en la inclusión, por segunda vez, de los datos personales del denunciante en ASNEF con fecha de alta 20/07/2016, cuando la entidad era plenamente consciente de que la deuda comunicada al fichero de solvencia no cumplía el requisito de certeza que exige el artículo 38.1.a del RLOPD. Tal es así, que la primera inclusión de los datos del denunciante en los ficheros ASNEF y BADEXCUG se había dado de baja el 11/07/2016, habida cuenta de que tres días antes VIVUS había recibido diversa información y documentación de la que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 evidenciaba que la contratación del microcrédito del que derivaba la deuda informada a los ficheros de morosidad era fruto de una suplantación de identidad. A. A tenor de los documentos que obran en el expediente se verifica que VIVUS suscribió el 16/10/2015 un contrato de microcrédito, por importe de 300 euros, a través de su página web, con quien se identificó con el nombre, apellidos y NIF del denunciante. En el curso de las actuaciones de investigación previa VIVUS remitió a la AEPD, en respuesta al requerimiento informativo recibido el 04/10/2016, diversos documentos que revelan que con ocasión de la contratación del producto financiero obró con la diligencia que las circunstancias del caso exigían y las que el estado de la técnica aconsejan con el fin de asegurarse de que quien facilita como suyos determinados datos personales es quien dice ser. En particular, VIVUS solicitó al contratante, y ha aportado a la AEPD, la copia del DNI del denunciante; una nómina emitida a nombre y con el NIF del denunciante, correspondiente a septiembre de 2015, expedida por la empresa Promogroup Econsa, S.L.. También, una factura de MOVISTAR en la que el cliente y destinatario de la factura se identifica con el nombre, apellidos y NIF del denunciante. Adjunta además, con objeto de acreditar la contratación del microcrédito, la grabación de una conversación telefónica con el contratante en la que éste confirma los datos de identidad que había facilitado vía on line y responde satisfactoriamente a diversas preguntas del empleado de VIVUS que tienen por finalidad contrastar la información que el contratante había proporcionado. El impago del microcrédito en la fecha de vencimiento, el 10/11/2015, determinó que los datos personales del denunciante, asociados a la deuda contraída por el tercero que los facilitó como datos propios, fueran comunicados a los ficheros de solvencia patrimonial ASNEF y BADEXCUG con fechas de alta, respectivamente, el 20/02/2016 y el 21/02/2016. VIVUS dio de baja esas incidencias de los respectivos ficheros de solvencia nada más tener noticia, a través de una reclamación presentada por el denunciante en fecha 09/07/2016, en la que negaba haber celebrado contrato alguno con VIVUS, ser titular de las líneas de teléfono que constaban en los registros de la entidad asociadas a su nombre y ser o haber sido cliente de ING BANK; le informaba de la existencia de una denuncia por esos hechos ante la Guardia Civil y de un procedimiento penal abierto así como de la presentación de una denuncia en la AEPD. Sólo tres días después del email que el denunciante dirigió a VIVUS esta entidad canceló las incidencias informadas a ASNEF y BADEXCUG asociadas a sus datos personales: el 11/07/2015. Los hechos declarados probados ponen de manifiesto el grado de diligencia observada por VIVUS en el curso de la contratación del microcrédito a nombre del denunciante con el fin adecuar su comportamiento a la normativa de protección de datos. El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado” establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal (…) se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;…” De acuerdo con el artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD).Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Tanto la documentación que VIVUS recabó de la persona que decidió contratar con ella un microcrédito como otras medidas adicionales que la entidad adoptó con ocasión de la contratación evidencian que el protocolo seguido en ese caso particular era correcto y que estaba a la altura de las posibilidades que el desarrollo técnico actual ofrece. Es esa actuación diligente de VIVUS la que ha impedido que la AEPD, respecto a esa conducta, exija responsabilidad administrativa por vulneración de la LOPD. Y ello, porque, por más que la conducta examinada en sí misma sea antijurídica y contraria a los artículos 6.1 y 4.3 LOPD en relación con el 38.1. a. del RLOPD, falta el elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. No fue el denunciante –sino quien se hizo pasar por él- quien consintió la contratación y por ende el tratamiento de los datos personales y, por ello, la deuda derivada del contrato no es cierta desde la perspectiva del titular de los datos a los que consta asociada, pero faltando el elemento subjetivo de la infracción no nace responsabilidad sancionadora. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Por tanto, tal y como se indica al inicio de este Fundamento Jurídico, pese a que la denuncia formulada por el afectado, D. A.A.A., versó sobre el tratamiento de sus datos personales efectuado por VIVUS, vinculados a la contratación de un microcrédito y sobre la inclusión de sus datos en los ficheros ASNEF y BADEXCUG asociados a una deuda a la que era ajeno, tales conductas, sin perjuicio de que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 puedan infringir una disposición penal o ser contrarias a normas jurídicas de ámbitos distintos al que nos ocupa -el derecho fundamental a la protección de datos de carácter personal- no son subsumibles en los tipos sancionadores de los artículo 44.3.
5. b)y 44.3.
6. c)LOPD, en relación con los artículos 6.1 y 4.3 LOPD, pues aun siendo ambas conductas antijurídicas, falta el elemento subjetivo de la culpabilidad necesario para que nazca responsabilidad administrativa sancionadora. B. Los hechos que constituyen el objeto del presente expediente sancionador están constituidos por la inclusión por segunda vez de los datos personales del denunciante en el fichero ASNEF a instancia de VIVUS con fecha de alta y baja, respectivamente, el 20/07/2016 y el 04/10/2016. Estos hechos son contrarios al artículo 4.3, en relación con el 29.4, de la LOPD y en relación también con el artículo 38.1.a, del RLOPD, que fija entre las condiciones que han de cumplirse para que los datos de un tercero puedan incluirse en un fichero de solvencia que la deuda en cuestión sea cierta, vencida y exigible. Como indicó el Tribunal Supremo en su Sentencia de 15/07/2010 -que declaró la nulidad, por ser disconforme a Derecho, del inciso último del artículo 38.1.
7. a)del RLOPD- “el adjetivo <cierto> es sinónimo de irrefutable, incontestable, indiscutible, etc, … “ y esta exigencia (la certeza de la deuda a la que alude el artículo 38.1.a, del RLOPD) es una manifestación del principio de calidad de los datos”. Cuando VIVUS procedió a incluir en ASNEF los datos personales del denunciante, asociados a la deuda derivada del microcrédito que un tercero contrató el 16/10/2015, era plenamente consciente de que la deuda no reunía el requisito de certeza. A ese respecto debe recordarse que el denunciante remitió a la denunciada en fecha 09/07/2016 explicaciones y documentos que evidenciaban que la contratación del microcrédito era fruto de un fraude. Y sólo tres días más tarde, el 11/07/2016, VIVUS, canceló las anotaciones que obraban en los ficheros de solvencia asociadas a los datos del denunciante. Se añade a lo anterior que el 12/07/2016 -antes por tanto de que decidiera incluir los datos de la denunciante en ASNEF, el 20/07/2016,- la denunciada recibió un requerimiento del Juzgado de Instrucción número 8 de Vigo dictado en las Diligencias Previas de Procedimiento Abreviado ***PROCED.1, seguidas por un delito de estafa, para que VIVUS le remitiera al Juzgado “los contratos originales suscritos a nombre de A.A.A. que obren en su poder”. Pese a estos antecedentes y a que el artículo 43.1 del RLPOD obliga al acreedor o a quien actúe por su cuenta o interés a asegurarse de que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar datos adversos al responsable del fichero común, el 20/07/2016 comunicó a ASNEF los datos del denunciante vinculados a una deuda de 940 euros a la que era ajeno, de forma que no cumplía el requisito del artículo 38.1.a, del RLOPD. C. La responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente incluso para que nazca esa responsabilidad la mera inobservancia del deber de cuidado. En Sentencia de 17/10/2007 (Rec. 63/2006) la Audiencia Nacional (Sala de lo Contencioso Administrativo) expone: que “ el ilícito administrativo previsto en el artículo 44.3.
8. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) La jurisprudencia exige a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia. En la Sentencia anteriormente citada la Audiencia Nacional precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. VIVUS, al proceder a incluir los datos del denunciante en ASNEF con fecha de alta 20/07/2016, cuando ya era consciente de que la deuda en cuestión no cumplía respecto al denunciante el requisito del artículo 38.1.
9. a)RLOPD, en relación con el artículo 4.3 y 29.4 LOPD, obró con una grave falta de diligencia y así se hizo constar por la instructora del expediente en la Propuesta de Resolución. La entidad denunciada ha rechazado en sus alegaciones a la Propuesta de Resolución la grave falta de diligencia que se le atribuye y afirma que su conducta fue el fruto de un error, “una mera inobservancia de los sólidos procedimientos existentes”. Añade que, además, “en este caso concreto dicho error fue directa (por iniciativa propia de mi representada al comprobar los sistemas automáticos el error humano) y rápidamente subsanado (en un periodo inferior a tres meses) y además, es un error que no provocó efectivo daño alguno”. En relación a estas afirmaciones hemos de indicar, en primer término, que entendemos que la diligencia omitida fue “grave” por cuanto la denunciada había informado a la AEPD en el curso de las actuaciones de investigación previa que cuando dio de baja del fichero de solvencia los datos del denunciante había procedido a bloquearlos, hasta el punto de que remitió como prueba una impresión de pantalla de sus ficheros en los que consta “cliente bloqueado”. Pese al invocado “bloqueo de datos”, a los nueve días de haber cancelado la incidencia en ASNEF y supuestamente haber bloqueado los datos del denunciante en su fichero (el 11/07/2016) volvió a comunicarlos al fichero de solvencia por segunda vez (alta de 20/07/2016) Ahondando en la diligencia omitida por VIVUS se ha de indicar que el único protocolo que la AEPD ha constatado que es correcto, de los que la denunciada tiene implantados, es el de contratación, sin que respecto a las verificaciones que ha de hacer (ex artículo 43 RLOPD) antes de comunicar datos de terceros a un fichero de solvencia esta Agencia haya constatado nada ni tampoco haya acreditado nada al respecto la denunciada. VIVUS insiste en que la baja en ASNEF de la segunda inclusión de los datos del denunciante, que se produjo el 04/10/2016, más de dos meses después, es un ejemplo de la solidez de sus sistemas pues, dice, se constató “por iniciativa propia” el error producido. Sin embargo, no puede obviarse que el mismo día que la denunciada ordenó la cancelación de esa incidencia (el 04/10/2016) recibió el requerimiento informativo de la Inspección de Datos de la AEPD, por lo que sin duda fue esta circunstancia la que le llevó a examinar el expediente del denunciante y fue así como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 constató que indebidamente había comunicado sus datos por segunda vez al fichero de solvencia. Finalmente, en cuanto a la valoración que la AEPD ha hecho de la diligencia omitida por VIVUS, indicar que, de la misma forma que la conducta que constituye el objeto del expediente sancionador no es el tratamiento de los datos personales del denunciante sin su consentimiento -materializado en el alta de un microcrédito a su nombre fruto de la contratación por un tercero- pues como se dijo ninguna responsabilidad es exigible por tal conducta –por más que sea antijurídica- , ya que se constató que la entidad obró con la diligencia que era procedente, no cabe extrapolar las consideraciones que la AEPD hizo sobre la diligencia desplegada por la entidad en relación a tal conducta a otras conductas distintas, en particular a la que nos ocupa, pues únicamente procede valorar aquí la diligencia, o su omisión, demostrada respecto a la conducta analizada. En definitiva, en el supuesto que nos ocupa está presente el elemento subjetivo de la culpabilidad , concretado en la grave falta de diligencia demostrada por VIVUS, quien, después de tener en su poder abundante información que evidenciaba que el denunciante era ajeno a la deuda derivada del contrato de préstamo suscrito a su nombre, número de contrato ***CONTRATO.1, procedió a incluir sus datos en el fichero de solvencia por una deuda de 940 euros. La inclusión resultaba contraria al principio de calidad de los datos (ex artículo 4.3 LOPD en relación con el 38.1.a del RLOPD) y se mantuvo en el fichero durante algo más de dos meses, exactamente hasta el 04/10/2016. El mismo día en que VIVUS recibió el requerimiento informativo de la Inspección de Datos de la AEPD dio de baja esta segunda anotación del fichero ASNEF. Esta conducta es subsumible en el tipo infractor del artículo 44.3.
10. c)LOPD. IV El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” A. La denunciada solicitó en sus alegaciones al acuerdo de inicio y reiteró en las alegaciones a la Propuesta que se imponga por los hechos que han dado lugar a la apertura del presente expediente una sanción de carácter leve en su grado mínimo, en particular una sanción de 900 euros y, subsidiariamente, que se llegue, al amparo del artículo 86 de la LPACAP, a un acuerdo “para la imposición de una sanción, por la comisión de infracción leve, de multa por importe de 10.000€ a pagar en un plazo no superior a diez días”. Argumenta VIVUS que a su juicio han de apreciarse en el presente caso las circunstancias previstas en los apartados a),
26. b)y
27. d)del artículo 45.5, toda vez que, dice, ha reconocido los hechos, regularizado diligentemente la situación en cuanto conoció la anomalía provocada y concurren hasta cinco criterios del artículo 45.4 LOPD que en su opinión operan como atenuantes de la responsabilidad exigible. Las atenuantes a las que hace mención son las cuatro circunstancias que la AEPD había apreciado como agravantes en el acuerdo de inicio del expediente: apartados a, c, d, y g, del artículo 45.4 LOPD. Ese criterio se reitera en esta Resolución a excepción de la agravante de reincidencia, apartado g). En la Propuesta de Resolución se hizo constar que no se estimaba tal circunstancia y sí, en cambio, la descrita en el apartado e), de modo que la denunciada, como así hizo, tuvo ocasión de mostrar su rechazo a tal consideración en el escrito de alegaciones a la Propuesta. B. La primera cuestión a analizar es la relativa a la finalización convencional del procedimiento sancionador que VIVUS solicita como medida subsidiaria, al amparo del artículo 86 de la LPACAP, de la “Terminación convencional”. Este precepto establece: “1. Las Administraciones Públicas podrán celebrar acuerdos, pactos, convenios o contratos con personas tanto de Derecho público como privado, siempre que no sean contrarios al ordenamiento jurídico ni versen sobre materias no susceptibles de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 transacción y tengan por objeto satisfacer el interés público que tienen encomendado con el alcance, efectos y régimen jurídico específico que, en su caso, prevea la disposición que lo regule, pudiendo tales actos tener la consideración de finalizadores de los procedimientos administrativos o insertarse los mismos con carácter previo, vinculante o no, a la resolución que les ponga fin. (…)” (El subrayado es de la AEPD) La disposición transcrita se encuadra en el Capítulo V del Título IV de la LPACAP relativo al procedimiento administrativo, capítulo que lleva por rúbrica “Finalización del procedimiento”. De los preceptos que integran este capítulo (artículos 84 a 95) se dedican específicamente al procedimiento sancionador los artículos 85, 89 y 90 Es esencial advertir que el precepto que la denunciada invoca, artículo 86 LPACAP, excluye de las materias sobre las que las Administraciones Públicas pueden celebrar acuerdos aquellas que no fueran susceptibles de transacción o compromiso. Paralelamente, el expediente administrativo en el que la denunciada propone llegar a un acuerdo con esta Agencia es un procedimiento de naturaleza sancionadora, a través del cual la Administración Pública, en este caso la Agencia Española de Protección de Datos (ex artículo 37.1.g LOPD) ejerce la potestad sancionadora que es una manifestación del ius puniendi del Estado. Las normas que regulan el ejercicio de la potestad sancionadora tienen carácter imperativo, de modo cualquier acuerdo al que se llegara entre esta Agencia y la persona jurídica denunciada sería nulo de pleno derecho conforme al artículo 6.3 del Código Civil español (a sensu contrario) En sus alegaciones a la Propuesta de Resolución VIVUS disiente de esa consideración y afirma que la “Terminación Convencional” que propone es legítima y menciona como ejemplo las Sentencias de conformidad que existen en el ámbito del procedimiento penal. Sin embargo no cabe ningún paralelismo pues la posibilidad de las denominadas Sentencias de Conformidad están expresamente previstas en la Ley de Enjuiciamiento Criminal sin que exista una norma equivalente para el procedimiento administrativo sancionador. Por lo que respecta al artículo 86 de la Ley 39/2015, como se dijo en la Propuesta de Resolución, esta disposición no es aplicable al procedimiento sancionador. Y por lo que atañe al Reglamento General de Protección de Datos al que alude VIVUS, sin perjuicio de recordar que por disposición expresa de esa norma no será aplicable hasta el 25/05/2018, nos limitamos a advertir que el presupuesto fáctico contemplado en el Considerando 131 que se invoca no coincide con el supuesto de hecho que nos ocupa, en el que ha quedado constatada una vulneración de la normativa de protección de datos. C. Corresponde seguidamente examinar la procedencia de apreciar alguna de las atenuantes cualificadas del artículo 45.5 LOPD, cuyo efecto jurídico es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que preceden inmediatamente en gravedad a la cometida por la denunciada. VIVUS ha invocado la presencia de tres de estas circunstancias (los apartados a, b, y
28. d)siendo suficiente una de ellas para que se produzca el efecto jurídico descrito, sin que pueda aplicarse dos veces con el mismo efecto según reiterada doctrina de la Sala de lo contencioso de la Audiencia Nacional. Esta Agencia discrepa del criterio de la denunciada y, como se expondrá a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 continuación, considera que no concurre ninguna de las circunstancias del apartado 5 del artículo 45 LOPD. Así, respecto a la descrita en el apartado
29. b)del artículo 45.5 LOPD -“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”- hemos de decir que puede predicarse la reacción diligente de la denunciada en relación al tratamiento de los datos del denunciante concretado en las primeras inclusiones en los ficheros ASNEF y BADEXCUG, pues es cierto que habiendo recibido el 09/07/2016 un email del denunciante en el que negaba haber contratado con ella, que fueran suyos los datos relativos al domicilio, a la cuenta bancaria y a los números de teléfono asociados a su nombre, apellidos y NIF y habiéndole informado de que presentó denuncia en la Guardia Civil, de que existía un Procedimiento Penal en curso y de la denuncia presentada por los mismos hechos ante la AEPD, remitiéndole copia del escrito de presentación de la denuncia ante esta Agencia, VIVUS, en un breve plazo, exactamente el 11/07/2016, esto es, cuatro días después, canceló las incidencias informadas a los ficheros de solvencia patrimonial. Aunque respecto a aquella conducta sí se aprecia una reacción diligente de VIVUS, no son esos hechos los que constituyen el presupuesto fáctico de la infracción que aquí analizamos. Centrándonos en la vulneración de la LOPD que se atribuye a VIVUS en este expediente sancionador no puede calificarse de diligente la actuación de la entidad denunciada cuando, pese a haber informado a la AEPD de que tras la baja de las incidencias en los ficheros el 11/07/2016 “había bloqueado” los datos del denunciante, tan sólo 9 días más tarde habían sido de nuevo incluidos en el fichero ASNEF. Esta circunstancia, unida a que la conducta infractora consistió en una segunda inclusión en el fichero de solvencia patrimonial y de que la cancelación de esta segunda anotación se produjo a raíz de que la Inspección de la AEPD le hiciera un requerimiento informativo sobre su actuación, en el marco del proceso de investigación efectuado, no dejan margen para valorar la actuación de VIVUS como una “diligente” reacción. Por lo que atañe al segundo motivo del artículo 45.5 LOPD que se invoca, apartado d), “Cuando el infractor haya reconocido espontáneamente su culpabilidad”, la apreciación de esta circunstancia exige, por una parte, que el reconocimiento sea espontáneo, lo que según el criterio doctrinal fijado por la Audiencia Nacional presupone que el reconocimiento se produce “motu proprio” por la entidad denunciada con la primera información que tiene de los hechos y, lo segundo y fundamental, que se haya producido por la infractora un reconocimiento de “culpabilidad”. No basta por ello con reconocer los “hechos”, sino que es preceptivo el reconocimiento de la culpabilidad, esto es, que esté presente en su conducta el elemento subjetivo de la infracción habida cuenta de que no actuó con la diligencia que era procedente atendidas las circunstancias del caso. En ningún párrafo o apartado de las alegaciones de la denunciada hay indicios de un reconocimiento de culpabilidad. Todo lo más existió un reconocimiento de los hechos pero no de que hubiera intervenido por su parte culpa o negligencia. El último de los motivos que podría justificar la aplicación del artículo 45.5. LOPD es el recogido en el apartado
30. a)“Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 el apartado 4 de este artículo”. Un pronunciamiento acerca de la concurrencia o no de esta circunstancia nos remite al análisis de aquellas circunstancias recogidas en el artículo 45.4 LOPD que la denunciada califica de atenuantes. D. Tal y como se ha señalado anteriormente, en el acuerdo de inicio del expediente sancionador la AEPD estimó la aplicación como agravantes de las circunstancias descritas en los apartados a, c, d, y g, del artículo 45.4 LOPD y del apartado
31. i)como atenuante y en la Propuesta de Resolución se prescinde de la circunstancia del apartado
32. g)y se aprecia la del apartado e). Sin embargo, discrepando radicalmente del criterio de la AEPD, VIVUS entiende que donde la AEPD aprecia agravantes lo que existen, y han de ser calificadas como tal, son circunstancias atenuantes. Sin perjuicio de hacer una breve mención a los comentarios discrepantes de la entidad denunciada, esta Agencia estima que concurren en el presente caso las siguientes agravantes descritas en el artículo 45.4 LOPD: El apartado
33. a)“el carácter continuado de la infracción”. La Audiencia Nacional atribuye a la infracción del artículo 4.3 LOPD carácter continuado pues sus efectos jurídicos no se agotan en el momento de la comisión de la infracción sino que ésta se mantiene en el tiempo durante el periodo en el que persiste la inclusión en el fichero sin cumplir los requisitos a los que el artículo 38.1 del RLOPD supedita la legalidad de tal inclusión, en este caso particular durante algo más de dos meses. La denunciada argumenta que este periodo de tiempo es excesivamente breve si se compara con los 6 años que la LOPD permite que permanezcan incluidos en ficheros de solvencia los datos de terceros, y concluye que no caber aplicar la agravante apreciada por la AEPD. Sin embargo, sobre esta cuestión la doctrina de la Sala de lo contencioso administrativo de la Audiencia Nacional es abundantísima y viene admitiendo esta agravante en supuestos como el que nos ocupa. De ser no meses sino años el tiempo en el que el afectado hubiera permanecido indebidamente en un fichero de solvencia la agravante se ponderaría para imponer una sanción mayor que la fijada en el acuerdo de inicio de este sancionador, cuya cuantía está próxima al mínimo fijado por la Ley para las infracciones graves. La descrita en el apartado c). Respecto a la vinculación de la actividad que VIVUS desarrolla con el tratamiento de datos de carácter personal y pese a que la denunciada aduce que la AEPD no ha probado este extremo y que su actividad no difiere desde ese punto de vista con otras del tráfico mercantil, lo cierto es que su sector de actividad requiere recabar del cliente y tratar numerosos datos y de distinta naturaleza. Así, se tratan datos de identificación como el NIF, nombre y apellidos, se trata el domicilio y los teléfonos de contacto y los datos financieros como el número de cuenta bancaria. En la mayoría de las actividades comerciales que a diario se presentan no se recaban datos y si se recogen, no son todos los indicados antes sino alguno o algunos de ellos. Así pues, la AEPD reitera la presencia de esta circunstancia como agravante de la conducta analizada. El apartado
34. d), volumen de negocio o actividad del infractor. La denunciada ha rechazado la existencia de esta agravante y argumenta que la AEPD ha valorado incorrectamente los datos, pues alude a que en el ejercicio 2015 el volumen de ventas superó los 15 millones de euros cuando lo cierto es que “presenta fondos propios negativos derivados de la acumulación de pérdidas de ejercicios anteriores. Así, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 2014 tuvo pérdidas por valor de 5 millones de euros y en 2015 los beneficios obtenidos fueron destinados a compensar pérdidas de ejercicios anteriores”. Según el tenor literal del apartado
35. d)del artículo 45.4 LOPD el precepto toma en consideración el “volumen de negocio o actividad”, y no el volumen de las ganancias o beneficios, por cuanto pone el acento en el número de tratamientos de datos efectuados que es lo que revela la cifra de negocio. De tal manera que es irrelevante que las ganancias que la denunciada hubiera obtenido un año (concepto el de ganancia, hemos de insistir, que no forma parte de la definición de esta circunstancia) las destine a cubrir las pérdidas de otros ejercicios. Lo cierto es que el volumen de negocio del año 2015 fue elevado, ya que superó los 30 millones de euros. La circunstancia del apartado e), que alude a los beneficios obtenidos como consecuencia de la comisión de la infracción. VIVUS niega también que estemos ante una agravante de su conducta y argumenta que esta disposición opera como atenuante pues, no solo no ha obtenido beneficios de la actuación analizada, sino que ha debido hacerse cargo de perjuicios económicos derivados de estos hechos. Lo cierto es, sin embargo, que como ha advertido la Audiencia Nacional en sus resoluciones, lo determinante en estos casos es que la conducta infractora se realizó con el fin de obtener un beneficio económico –en particular, en el caso que nos ocupa cobrar el importe de la deuda para lo que procedió a incluir los datos del afectado en el fichero de solvencia- por más que fuera lícito, y siendo éste el móvil de su actuación no cabe apreciar esa circunstancia como atenuante. Se añade además que los perjuicios económicos sufridos por VIVUS derivan de una conducta que no ha sido sancionada, la contratación realizada por el tercero suplantando la identidad del titular de los datos. A la luz de los hechos declarados probados y de la exposición precedente, valoradas las circunstancias concurrentes, tanto adversas como favorable a la denunciada, esta Agencia concluye que VIVUS es responsable de la vulneración del artículo 4.3, en relación con el artículo 29.4, de la LOPD y en relación con el artículo 38.1.
36. a)del RLOPD, conducta tipificada como infracción grave en el artículo 44.3.
37. c)LOPD, debiendo acordar la imposición de una sanción de 50.000 euros, cuantía próxima al mínimo fijado por el artículo 45.2 LOPD para las infracciones graves.>> III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por 4FINANCE SPAIN FINANCIAL SERVICES, S.A., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 13 de diciembre de 2017, en el procedimiento sancionador PS/00265/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad 4FINANCE SPAIN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 FINANCIAL SERVICES, S.A. TERCERO: Advertir a la sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es