REPOSICION-PS-00320-2017

1/22 Procedimiento nº.: PS/00320/2017 ASUNTO: Recurso de Reposición Nº RR/00088/2018 Examinado el recurso de reposición interpuesto por la entidad PROSEGUR ACTIVA ESPAÑA, S.L., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00320/2017, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 16 de enero de 2018 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00320/2017, en virtud de la cual se impusieron a PROSEGUR ACTIVA ESPAÑA S.L., dos sanciones de 24.000 euros cada una por vulneración de lo dispuesto en los artículos 6.1 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD) y 4.3., en relación con el 29.4 de la LOPD y en relación, asimismo, con el artículo 38.1.

1. a)del Reglamento de desarrollo de la LOPD, infracciones tipificadas como graves en los artículos 44.3.
2. b)y 44.3.c), respectivamente, de conformidad con lo establecido en los artículos 45.5, 45.1 y 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 16 de enero de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00320/2017, se dejó constancia de los siguientes en la resolución impugnada: <<PRIMERO: A.A.A., con NIF NIF.1 (folio 4) denuncia a PROSEGUR por incluir sus datos personales en el fichero ASNEF por una deuda que no le pertenece. Ha manifestado que tras siete años de vigencia del contrato celebrado con PROSEGUR se dio de baja en fecha 08/09/2015, lo que comunicó a la entidad, y que tiene abonadas todas las facturas correspondientes al periodo en el que el contrato estuvo vigente (folios 2 y 3) SEGUNDO: El fichero auxiliar de ASNEF, FOTOCLI, de operaciones canceladas, revela que PROSEGUR informó al fichero de solvencia los datos personales del denunciante. - Como fecha de alta de la anotación consta el 04/04/2016 y como fecha de baja el 02/06/2016. - La deuda atribuida al denunciante era de 189,23 euros. - Como fechas del primer y último vencimiento impagados, consta “30/09/2015-31/12/2015”. (Folios 79 y 80) TERCERO: El denunciante ejerció ante EQUIFAX IBÉRICA, S.L., el derecho de cancelación de sus datos del fichero ASNEF en fecha 01/06/2016 dando lugar al expediente 2016/P.P.P.. Entre los documentos que lo integran, facilitados a la AEPD C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 por EQUIFAX (folios 84 a 100) existe una impresión de pantalla con el resultado de la consulta realizada a la entidad informante. PROSEGUR, conocida la petición de cancelación del denunciante, en fecha 02/06/2016 comunicó a EQUIFAX que accedía a la cancelación solicitada, (folios 84 a 100). CUARTO: El denunciante ha aportado en fase de prueba copia los siguientes documentos: a Los resguardos bancarios -de la entidad Caixa Bank- correspondientes a los adeudos domiciliados en su cuenta, emitidos por PROSEGUR para el cobro del servicio prestado. Esos documentos, que justifican el pago, corresponden a los meses de enero, febrero, marzo, abril, mayo, junio, julio y agosto de 2015. En todos ellos (ocho meses) los cargos emitidos mensualmente al denunciante por PROSEGUR para el cobro de sus servicios son de 47,12 euros. Con la única excepción de abril de 2015 en el que el recibo es un céntimo menor, se emite por 47,11 euros. (Folios 118 a 125) b El resguardo de una transferencia bancaria ordenada por el denunciante el 03/03/2016, por un importe de 47,12 euros. Como beneficiario de la transferencia figura PROSEGUR y la cuenta de abono pertenece a la entidad 0049 y finaliza en los dígitos 9943 (folio 126). Ese número de cuenta es el que PROSEGUR hizo constar en el escrito de requerimiento de pago que afirma haber enviado al denunciante en fecha 25/02/2016, reclamándole 236,35 euros (folio 66) QUINTO: El denunciante manifestó en la fase de prueba que dio de baja el servicio con PROSEGUR el 08/09/2015 y que había abonado todas las facturas emitidas. Que habida cuenta de que la baja se produjo iniciado el mes de septiembre, posteriormente, el 03/03/2016, abonó mediante transferencia el importe íntegro correspondiente a esa mensualidad. (Folio 117) SEXTO: El denunciante presentó reclamación ante la oficina de consumo de la Junta de Andalucía en junio de 2016. Solicitó que sus datos fueran cancelados de ASNEF, manifestó que había comunicado a PROSEGUR su decisión de darse de baja del contrato el 08/09/2015, que había abonado todas las facturas y que no reconocía los cargos que la entidad le reclamaba. Remitió con su reclamación ante la oficina de consumo de la Junta de Andalucía un formulario de baja de la compañía, debidamente cumplimentado con sus datos, en el que consta como fecha el 02/09/2015 y el reporter del fax en el que se envía el documento a PROSEGUR en fecha 08/09/2015 con resultado ok. (Folio 9) SÉPTIMO: PROSEGUR, en escrito dirigido a la oficina de consumo de la Junta de Andalucía responde a la reclamación formulada por el denunciante, de la que se le dio traslado el 04/07/2016 y que PROSEGUR recibió el 15/07/2016, haciendo la siguiente manifestación: “En relación al contrato ***CONTRATO.3 , (…) una vez revisado nuestros registros con lo que nos indica en su escrito, hemos validado la solicitud de baja por parte de nuestro cliente por lo que procedemos a formalizar la baja del contrato y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22 abonar todas las facturas que constaban como pendientes de pago en nuestro sistema. (folio 15) OCTAVO: PROSEGUR ha manifestado en sus alegaciones al acuerdo de inicio del expediente que atendió de manera inmediata el deseo del denunciante de darse de baja del contrato, que le fue comunicado el 08/09/2015; que el denunciante no abonó el importe de la cuota correspondiente a septiembre de 2015; que mediante burofax de fecha 25/02/2016, requirió al denunciante el pago de una deuda que ascendía 236,65 euros; que ante el requerimiento el denunciante procedió a abonar el importe que él consideraba que debía, el correspondiente a la cuota de septiembre de 2015 “pero sin atender el pago de los intereses devengados durante los cinco meses de demora”. Que el denunciante “desatendió el pago de los intereses legales devengados desde el mes de septiembre hasta que efectuó el pago en marzo. Esta cantidad es la realmente adeudada y no la que consta en la comunicación de la inclusión del fichero de solvencia patrimonial que por error de cálculo no se corresponde con lo realmente adeudado”. (Folio 61)El subrayado es de la AEPD. NOVENO: PROSEGUR ha aportado los documentos que acreditan que en fecha 29/02/2016, a través de correo postal, remitió al denunciante una carta en la que le requería el pago de 236,25 euros “debido a las facturas pendientes de cobro”, (folio 66)>> TERCERO: PROSEGUR ACTIVA ESPAÑA S.L., (en lo sucesivo la recurrente o PROSEGUR) ha presentado en fecha 12 de febrero de 2018, en esta Agencia Española de Protección de Datos, recurso de reposición en el que solicita que se acuerde la nulidad de la resolución impugnada dejando sin efecto la sanción impuesta. En apoyo de su pretensión aduce estos argumentos: 1.- Imposibilidad de que se sancione por infracción del artículo 6.1 LOPD, por constituir el supuesto de hecho una excepción prevista en el artículo 6.2 LOPD. 2.- Existencia de una deuda cierta, vencida y exigible: Deuda que a juicio de PROSEGUR corresponde al interés legal, en el sentido del artículo 1108 del Código Civil, fruto de la demora durante más de cinco meses en el abono de la cuota del mes de septiembre de 2015. 3.- La indefensión sufrida por la recurrente derivada de la falta de notificación en el curso del procedimiento de la apertura del periodo de prueba. Se cita a tal efecto el Antecedente de Hecho Sexto de la Propuesta de resolución en el que se hace constar que la citada notificación se ha visto afectada por el error detectado al tiempo de emitir la propuesta, consistente en asociar a PROSEGUR un NIF que no le pertenecía (era el NIF de otra empresa del grupo) de modo que se puso a disposición en el Servicio de Notificaciones Electrónicas Notifica el 16/11/2017 el escrito de apertura del periodo de prueba que fue rechazado automáticamente el 26/11/2017. En el Antecedente citado se indicaba que PROSEGUR podía, en el trámite de alegaciones a la propuesta de resolución aportar la documentación y explicaciones solicitadas con la notificación de la apertura del periodo probatorio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 A este respecto la recurrente explica que si con su escrito de alegaciones al acuerdo de inicio del expediente sancionador, de 01/08/2017, no acompañó más documentos fue porque entendía que no eran necesarios. Y añade que “Es el Instructor del procedimiento quien, si tiene alguna duda sobre lo sucedido , debe asegurarse de dar la posibilidad a la denunciada de explicarse y aportar la documentación que estime necesaria. Lo que implica la obligación de observar y vigilar que se le notifica correctamente.” Y continúa diciendo que “El instructor no puede emitir una Propuesta de Resolución obviando que mi mandante podía haber aportado la documentación que ayudase a aclarar dudas al instructor.” 4. La vulneración del principio de presunción de inocencia pues la Administración no puede hacer prevalecer su interpretación de los hechos sin prueba de cargo que destruya la realidad de lo verdaderamente acaecido. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, que en esencia reiteran alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas fueron analizadas y desestimadas en los Fundamentos de Derecho II a VI, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular (…)” El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “ 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
3. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). La vulneración de los artículos 6.1 y 4.3 de la LOPD se tipifican como infracciones graves en el artículo 44.3.b, y 44.3.c, respectivamente, precepto que dispone: “3. Son infracciones graves: (…)
4. b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
5. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III Se atribuye a PROSEGUR en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones. A. A tenor del artículo 6 LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Ha quedado acreditado por las manifestaciones de las partes y por la documentación que obra en el expediente que el denunciante y PROSEGUR celebraron un contrato de seguridad en el año 2007 y que el denunciante comunicó a la denunciada, mediante fax de fecha 08/09/2015, su voluntad de dar de baja el referido contrato de forma irrevocable. Ninguna discrepancia existe, pues, sobe ambos extremos. Ahora bien existe una sustancial discrepancia entre la versión de los hechos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 ofrecida por PROSEGUR en el marco de la reclamación que el denunciante formuló ante la Oficina de Consumo de la Junta de Andalucía y la que expone en su escrito de alegaciones al acuerdo de inicio de este procedimiento sancionador que ratifica en las alegaciones a la Propuesta de resolución. Divergencia radical que atañe (
6. a)al curso que la denunciada dio a la solicitud de baja del contrato que el denunciante le comunicó por fax de 08/09/2015 y (
7. b)al origen de la deuda que PROSEGUR requirió de pago al denunciante en fecha 29/02/2016 y de la deuda por la cual incluyó los datos del denunciante en el fichero de solvencia ASNEF. (
8. a)Por lo que respecta a las gestiones efectuadas por PROSEGUR para dar curso a la solicitud de baja del contrato de servicios de seguridad, solicitud que el denunciante le comunicó a través de un fax de fecha 08/09/2015, la denunciada manifestó en sus alegaciones al acuerdo de inicio del expediente que de inmediato, nada más recibir el fax, gestionó esa petición de baja del contrato. Añadió en su alegaciones que, toda vez que la solicitud de baja se había presentado por el afectado el 8 de septiembre y la cuota de ese mes en curso no había sido aún satisfecha por el cliente, mediante burofax de 25/02/2016 le requirió el pago de una deuda de 236,35 euros explicándole la forma en la que podía efectuar el pago y las consecuencias que se derivarían para él de no atenderlo. La denunciada afirma que el denunciante procedió el 04/03/2016 (por tanto, poco más de seis días después de la fecha en la que hizo el requerimiento) a pagar una cantidad –de cuyo importe en ningún caso ha informado a esta Agencia- que, según sus declaraciones, correspondía a la cuota del mes de septiembre de 2015. Estos extremos quedan confirmados por el documento aportado por el denunciante (hecho probado cuarto, b): el resguardo de la transferencia bancaria ordenada el 3/03/2016 a favor de PROSEGUR por un importe de 47,12 euros. Para un mayor rigor expositivo transcribimos los siguientes párrafos del escrito de alegaciones al acuerdo de inicio presentado por PROSEGUR: “Ante el requerimiento de pago efectuado por mi representada, D. P.P.P. con fecha 4 de marzo de 2016, procedió al pago de la cantidad que entendía adeudada limitándose el mismo a la cuota del mes de septiembre pero sin atender el pago de los intereses devengados durante los cinco meses de demora”. El alegato de PROSEGUR continúa con la transcripción del artículo 1.108 del Código Civil tras lo cual afirma: “D. P.P.P. , en atención a lo dispuesto en el precitado artículo desatendió el pago de los intereses legales devengados desde el mes de septiembre hasta que efectuó el pago en marzo. Esta cantidad es la realmente adeudada y no la que consta en la comunicación de la inclusión en el fichero de solvencia patrimonial que por error de cálculo no se corresponde con lo realmente adeudado”. Y dice: “Cuando se incluyó a D. P.P.P. existía una deuda líquida, vencida y exigible”. Los términos de las alegaciones de PROSEGUR al acuerdo de inicio del expediente son taxativos respecto al hecho de que el denunciante abonó el 04/03/2016 una cantidad (no dice cuál era el importe, aunque consta a través del documento aportado en pruebas por el denunciante que era de 47,12 euros) que correspondía a la cuota de los servicios de seguridad del mes de septiembre; que a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 raíz de tal pago el denunciante adeudó únicamente los intereses que habían devengado durante los seis meses que se mantuvo impagada la cuota de septiembre de 2015 (de septiembre de 2015 a marzo de 2016). PROSEGUR no ha informado del importe de la deuda que, según afirma, el denunciante seguía manteniendo con esa mercantil con posterioridad al pago de la cuota de septiembre de 2015 y que, a tenor de reiteradas manifestaciones de esa entidad, consistía exclusivamente en los intereses de demora devengados. Ahora bien, PROSEGUR, además de no precisar cuál era la cuantía de la deuda pendiente –que ha declarado que correspondía exclusivamente a los intereses de demora- utiliza una expresión intencionadamente equívoca sobre su importe. En varios párrafos de su escrito introduce una frase cuyo alcance no es posible precisar: que la cuantía “que consta en la comunicación de inclusión en el fichero ASNEF que el denunciante recibe de EQUIFAX”, y que ascendía a 189,23 euros, “por error de cálculo no se corresponde con lo realmente adeudado”. Evidentemente, en congruencia con la línea argumental que la denunciada mantiene, tampoco precisa cuál es el error de cálculo ni a cuánto asciende la supuesta deuda derivada de los intereses generados por el impago. Es importante subrayar en este punto que PROSEGUR no ha aportado, ni con las alegaciones al acuerdo de inicio ni con las alegaciones a la Propuesta, ningún documento haga prueba de las manifestaciones efectuadas. Hasta aquí la explicación de los hechos que PROSEGUR ha ofrecido a la AEPD en sus escritos de alegaciones. Sin embargo, tal explicación es radicalmente diferente de la que había facilitado tiempo atrás a la Junta de Andalucía, Oficina de Consumo, ante la que el denunciante presentó una reclamación contra la entidad en junio de 2016. Explicación ofrecida, evidentemente, antes de que la AEPD acordara la apertura de un expediente sancionador contra la denunciada. Pues bien, PROSEGUR respondió a la Junta de Andalucía -que le dio traslado de la reclamación del afectado- a través de un fax de fecha 21/07/2016, documento que obra en el expediente (folio 15), que fue a raíz de haber recibido tal reclamación cuando procedió a dar curso a la baja del contrato que el denunciante le había solicitado y reconoce además que en sus sistemas existían varias facturas pendientes de pago. Reproducimos por su interés el siguiente fragmento del fax que PROSEGUR envía a la Junta de Andalucía el 21/07/2016: “En relación al contrato ***CONTRATO.3 , (…) una vez revisado nuestros registros con lo que nos indica en su escrito, hemos validado la solicitud de baja por parte de nuestro cliente por lo que procedemos a formalizar la baja del contrato y a abonar todas las facturas que constaban como pendientes de pago en nuestro sistema. (Folio 15) El subrayado es de la AEPD. Así las cosas se han de hacer varias consideraciones: La primera, que en la fecha en la que PROSEGUR responde a la Junta de Andalucía (el 21/07/2016) habían transcurrido más de tres meses desde que el denunciante abonó la cuota del mes de septiembre de 2015 -recordemos que PROSEGUR reconoce que el afectado pagó esta cuota el 03/03/2016-, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 correspondía al último mes de vigencia del contrato. Por tanto, desde esa fecha no quedaba pendiente de pago por el denunciante ninguna factura y tampoco podía la denunciada haber emitido nuevas facturas después de septiembre de 2015, cuando el titular de los datos manifiesta su voluntad de poner fin al contrato. La pregunta que ha de formularse entonces es a qué facturas se está refiriendo PROSEGUR cuando explica a la Oficina de Consumo de la Junta el 21/07/2016 que “varias” facturas constan en sus sistemas como pendientes de abono. No puede obviarse que cuando la denunciada informa a la Junta de Andalucía de que existen en sus sistemas “varias” facturas del denunciante pendientes de pago y dice también en el mismo escrito que “procede a formalizar la baja del contrato”, está reconociendo que el contrato había continuado activo en sus sistemas hasta el momento en que recibió, a través de esa Oficina de Consumo, la reclamación del denunciante y hace las oportunas revisiones de sus ficheros. Una última reflexión merece –sin perjuicio de que tal cuestión es objeto de un análisis específico más adelante- la cuantía de la deuda que PROSEGUR reclamó al denunciante el 25/02/2016 y la cuantía de la deuda que informó a ASNEF el 04/04/2016 asociada a los datos personales del denunciante: La primera de 236,35 euros y la segunda de 189,23 euros. Estos datos han de conectarse con el importe correspondiente a las cuotas que el denunciante estuvo abonando a PROSEGUR por sus servicios en el ejercicio 2015. Como se refleja en el hecho probado cuarto, con la única excepción de una cuota, todas las demás que el denunciante pagó a PROSEGUR en 2015 tuvieron un importe de 47,12 euros, incluida la que el denunciante abonó mediante transferencia el 03/03/2016 en pago de la cuota del mes de septiembre de 2015. Pues bien, si al total requerido por PROSEGUR al denunciante el 25/02/2016 -236,35 euros- le restamos la cantidad que el denunciante satisfizo por la cuota impagada -de septiembre de 2015-, la cantidad resultante es de 189,23 euros; esto es, el mismo importe por el que PROSEGUR le incluyó en ASNEF. Pero es más, si el importe de la deuda informada a ASNEF se divide entre el importe de la cuota que el denunciante pagaba a PROSEGUR (47,12 euros) resulta que la citada cuantía (189, 23 euros) equivale a multiplicar por cuatro el importe de la cuota mensual. Resulta de lo expuesto que además de obrar en el expediente la declaración que PROSEGUR hizo ante la Junta de Andalucía –que evidencia que no tramitó la baja del contrato cuando el denunciante le comunicó su decisión de darlo por terminado y que con posterioridad a la fecha en la que debía haberse extinguido se emitieron a nombre del afectado nuevas facturas, tratamiento de datos para el que PROSEGUR no estaba legitimada- obran respecto a los hechos que nos ocupan otros sólidos indicios que confirman la vulneración del principio del consentimiento. En definitiva, que con posterioridad a septiembre de 2015, esto es, después de que su cliente y actual denunciante hubiera comunicado su voluntad de finalizar el contrato, PROSEGUR continuó tratando sus datos en el marco de una relación contractual inexistente, por lo que carecía de legitimación para el tratamiento de los datos del afectado que implicaran el nacimiento de nuevas obligaciones a su cargo. Todo indica que PROSEGUR generó con posterioridad a septiembre de 2015 varias facturas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 vinculadas a los datos personales del denunciante. B. La infracción del artículo 6.1 de la LOPD que se atribuye a PROSEGUR parte de la consideración de que esa entidad trató los datos personales del afectado después de la fecha en la que la solicitud de baja del contrato comunicada por su cliente debía haber surtido efectos. Tratamiento cuya finalidad que no se circunscribía al desenvolvimiento o ejecución del contrato que las partes celebraron en 2007. Así pues, el tratamiento de datos al que nos referimos, que es subsumible en el tipo sancionador del artículo 44.3.
9. b)LOPD, es aquél que no puede ampararse en el artículo 6.2 LOPD. Desde la fecha en la que el denunciante solicitó a PROSEGUR la baja del contrato, el 08/09/2015, la denunciada sólo podía tratar sus datos con el fin de ejecutar las obligaciones derivadas de aquél, por lo que aquí interesa cobrar la factura pendiente de abono, la cuota del mes de septiembre de 2015 pues el afectado se había dado de baja pasados ocho días del inicio de septiembre de 2015. El tratamiento que PROSEGUR hizo de los datos personales del denunciante exclusivamente con la finalidad de cobrar de la deuda precitada sí estaba amparado en el artículo 6.2 de la LOPD pues era necesario para el desenvolvimiento o ejecución de un contrato valido y existente. Carece de sentido por tanto lo esgrimido de contrario en el escrito de alegaciones a la Propuesta de resolución en el que PROSEGUR niega haber incurrido en una infracción del artículo 6.1 LOPD y argumenta que existía un “interés legítimo de la denunciada para tratar los datos personales del afectado, de conformidad con el artículo 6.2 LOPD, ya que ese tratamiento era indispensable para cobrar el importe adeudado.” Esta Agencia ha dejado claro en todo momento que el artículo 6.2 LOPD legitima el tratamiento de los datos personales de un tercero que sea parte en una relación contractual en tanto es necesario “para su mantenimiento o cumplimiento”. Igualmente se ha expuesto con claridad que la conducta en la que se materializa la infracción del principio del consentimiento, de la que se responsabiliza a PROSEGUR, no era el tratamiento de los datos del afectado necesario para el cobro de la deuda impagada, que fue abonada por el denunciante en fecha 03/03/2016. PROSEGUR trató los datos del afectado con una finalidad distinta del mero cumplimiento o ejecución de las obligaciones generadas por el contrato que le vinculaba con el denunciante. Desde que el titular de los datos comunica a PROSEGUR su voluntad de darlo por terminado la entidad carece de legitimación para el tratamiento de sus datos que llevó a cabo -que se concreta en la atribución al afectado de nuevas obligaciones- pues el contrato del que podían nacer había dejado de existir. Así pues, el tratamiento de los datos del denunciante en el que se concreta la conducta infractora no puede justificarse en el artículo 6.2 de la LOPD, ni como argumenta la entidad denunciada en la necesidad de conservar los datos para dar cumplimiento a la ejecución de la obligación de pago. Tal razonamiento es cierto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/22 únicamente respecto a la deuda de la cuota de septiembre de 2015 pero en ningún caso comprende la atribución por PROSEGUR de nuevas obligaciones que se generaron en fecha posterior. Nos remitimos a tal efecto a la fecha de devengo de la deuda informada a ASNEF, conforme a la cual el primer y último vencimiento corresponde, respectivamente, al 30/09/2015 y al 31/12/2015. C. El tratamiento de los datos personales del denunciante que es objeto de la infracción del artículo 6.1 LOPD, de la que es responsable PROSEGUR, se materializó en mantener vigente el contrato que el cliente dio por finalizado en septiembre de 2015 durante varios meses generando varias deudas a cargo del denunciante que posteriormente se comunicarían al fichero de solvencia ASNEF. El derecho a la presunción de inocencia rige sin excepciones en el procedimiento administrativo sancionador –si bien con ciertas matizaciones- por cuanto es una manifestación de la potestad punitiva del Estado y comporta, (STC 76/1990) “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El Tribunal Supremos (STS de 26/10/1998) ha indicado que la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” La prueba de cargo de la infracción del artículo 6.1 de la LOPD que se atribuye a PROSEGUR es la declaración emitida por la propia denunciada ante una Administración pública cuando le solicitó explicación sobre los hechos que el entonces reclamante planteó ante ella. Nos referimos al documento tantas veces mencionado en esta resolución que PROSEGUR remitió a la Junta de Andalucía mediante fax de 21/07/2016. Documento que ha servido de fundamento para la apertura del expediente sancionador. Esta prueba de cargo –documento que obra al folio 15- se acompaña de otros indicios razonables que confirman lo manifestado entonces por PROSEGUR: esto es, que procedía a dar curso a la baja del contrato que el denunciante había solicitado -lo que significa que el contrato había continuado vigente más allá de septiembre de 2015- y a abonar las facturas que constaban en sus sistemas como pendientes -lo que implica que, no debiendo el denunciante nada desde el 03/03/2016, fecha en la que paga la factura de septiembre de 2015, PROSEGUR emitió asociadas al afectado nuevas facturas que no podía ampararse en un contrato para el que el titular había manifestado su voluntad extintiva-. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 Como indicios que corroboran el alcance de la prueba de cargo nos referimos a la cuantía de la deudas requerida y del importe informado al fichero ASNEF así como a la fecha de los vencimientos impagados que PROSEGUR comunicó al citado fichero de solvencia. En definitiva, la prueba de cargo y las evidencias mencionadas tienen virtualidad para enervar la presunción de inocencia de la que goza la entidad denunciada. En contraste con las pruebas que confirman la exposición precedente PROSEGUR no ha aportado documento o prueba alguna que sustente la versión ofrecida en el curso del procedimiento sancionador. La entidad ha declarado que no estimó necesario aportar ninguna prueba con su escrito de alegaciones al acuerdo de inicio por considerarlos innecesarios para fundamentar su postura y que el instructor del procedimiento debe asegurarse de la posibilidad de la denunciada de explicarse y aportar la documentación que estime necesaria. Basta indicar ante este alegato que la prueba de cargo que obra en el expediente procede de la documentación anexa al escrito de denuncia y en consideración a ella se acordó la apertura del expediente sancionador. Además, en el acuerdo de inicio se explicó con claridad a PROSEGUR cuáles eran las conductas infractoras de las que se le responsabilizaba, mencionando los hechos que servían de fundamento a la apertura del procedimiento sancionador. Pese a ello la denunciada declara en sus alegaciones a la Propuesta de resolución que estimó que no era necesario sustentar su versión de los hechos – que, por otra parte, contradice lo que ella misma había manifestado ante la Oficina de Consumo de la Junta- en prueba alguna. Decisión que, en tanto está vinculada con el ejercicio de su derecho de defensa, concierne exclusivamente a PROSEGUR. Señalar en todo caso que estaba acreditado en la documentación que sirvió de base a la apertura del expediente sancionador que había existido un tratamiento de datos por la entidad denunciada para el que carecía de legitimación, por lo que era a ella a quien incumbía la carga de acreditar el consentimiento al tratamiento efectuado. Nos remitimos a la SAN de 11/05/2001 en la que se indica que “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción” (El subrayado es de la AEPD). La conducta analizada, de la que es responsable PROSEGUR – constituye una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.b de la LOPD. IV Por lo que concierne a la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, que se atribuye a PROSEGUR han de hacerse las siguientes reflexiones: Las normas jurídicas reproducidas en el Fundamento de Derecho I ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero es el responsable de comprobar que tal inclusión se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido ha de traerse a colación la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) Los datos personales del denunciante se dieron de alta en el fichero ASNEF en fecha 04/04/2016 por un saldo impagado de 189,23 euros y por vencimientos impagados, primero y último, 30/09/2015-31/12/2015. El denunciante reconoce haber abonado en fecha 03/03/2016, a raíz del requerimiento de pago que le hizo PROSEGUR por carta de fecha 29/02/2016, la cuota correspondiente a septiembre de 2015. Este abono también ha sido reconocido por PROSEGUR. Así pues, en congruencia con el criterio expuesto en el Fundamento Jurídico precedente, habida cuenta de que el denunciante solicitó la baja del contrato el 08/09/2015 y que cuando sus datos son incluidos en ASNEF –el 04/04/2016- la única factura impagada estaba satisfecha con fecha de 03/03/2016, la deuda por la que PROSEGUR informa a ASNEF los datos del denunciante no era cierta, ni vencida ni exigible desde la perspectiva del afectado. La deuda se había vinculado por la entidad responsable a un contrato del que el denunciante fue parte pero que quedó extinguido antes de la fecha en la que tales obligaciones se generan. Así lo confirma la información que ofrece ASNEF referente a las fechas de los vencimientos, primero y último, de la deuda atribuida al denunciante: 30 de septiembre y 31 de diciembre de 2015. Conforme al alegato remitido por PROSEGUR a la oficina de consumo de la Junta de Andalucía, en el que dice que “procedemos a formalizar la baja del contrato y abonar todas las facturas que constaban como pendientes”, se evidencia que la cantidad informada correspondía a facturas emitidas con posterioridad al momento en el que el denunciante solicitó y comunicó a PROSEGUR la baja de su contrato. Así lo confirma la información que ofrece ASNEF sobre la fecha de los vencimientos, primero y último, de la deuda asociada al denunciante: 30 de septiembre y 31 de diciembre de 2015. Por tanto, la deuda generada no era, respecto al denunciante, una deuda cierta, ni vencida ni exigible. La inclusión en ASNEF de los datos del denunciante a instancia de PROSEGUR vulneraría el artículo 38.1.a, del RLOPD, en relación con los artículos 4.3 y 29.4 de la LOPD. A idéntica conclusión se llega si aceptamos la nueva versión que PROSEGUR ha ofrecido en el curso de este expedientes en sus escritos de alegaciones al acuerdo de inicio y a la Propuesta de resolución acerca del origen de la deuda que informó a ASNEF. Sostiene que la inclusión en ASNEF se produjo por una cantidad inferior a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 comunicada al citado fichero, importe que es erróneo y, dice, sería en realidad el importe correspondiente al interés devengado por el impago de la cuota de septiembre de 2015 hasta la fecha en la que el denunciante hace el pago, el 03/03/2016. Llegados a este punto se ha de subrayar, por una parte, que PROSEGUR no informa de a cuánto asciende la supuesta deuda generada por los intereses ni aporta la estipulación contractual en la que se prevea un interés para el caso de demora. En aplicación del artículo 1.108 del Código Civil que PROSEGUR invoca en su escrito, en tanto desconocemos cuál fue el supuesto interés pactado, si es que lo hubo, hemos de aplicar el interés legal del dinero. Siendo la cuota impagada de septiembre de 2015 de 47,12 euros el interés devengado durante seis meses estaría por debajo de un euro. Teniendo en cuenta que al denunciante se le requirió de pago con carácter previo a su inclusión en ASNEF por una cantidad de 236,65 euros y que, pese a realizar el pago de la cuota de septiembre, se le incluyo en el fichero por una deuda de 189,23 euros, aceptando la tesis de PROSEGUR conforme a la cual lo que debía era el interés devengado durante seis meses por la deuda de 47,12 euros (que hemos cuantificado en no más de un euro aplicando el interés legal del dinero) es evidente que la deuda informada a ASNEF no era cierta, ni vencida ni exigible. Resultaría por ello que tal inclusión en el fichero de solvencia incumplió el requisito de certeza de la deuda que exige el artículo 38.1.a, del RLOPD. Se suma a la anterior reflexión otra consideración de peso que conduce igualmente a concluir que, si como mantiene PROSEGUR la deuda informada a ASNEF no era sino el importe de los intereses devengados en el curso de seis meses por el impago de la factura de septiembre de 2015, tal inclusión no cumplía el requisito del artículo 38.1.a del RLOPD. Nos referimos a la doctrina sentada por la Sala de lo Contencioso Administrativo del a Audiencia Nacional a tenor de la cual se niega que puedan acceder a ficheros de solvencia, pues no reúnen el requisito del artículo 38.1.a, del RLOPD, deuda cierta, vencida y exigibleaquellas deudas que “exclusivamente” consistan en los intereses de demora devengados por el incumplimiento de una obligación de pago. A tenor de lo manifestado por PROSEGUR la deuda por la que incluyó al afectado en ASNEF procede, exclusivamente, de los intereses generados durante seis meses (de septiembre de 2015 a marzo de 2016) por el impago de la factura de septiembre de 2015. La conducta anteriormente descrita vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con el artículo 38.1.a, del RLOPD, infracción tipificada en el artículo 44.3.
10. c)de la citada norma, que dispone: “Son infracciones graves, (..)
11. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo” V PROSEGUR esgrime en su defensa la vulneración del principio “non bis in ídem” y explica que las conductas tipificadas en los artículos 44.3.
12. b)y 44.3.
13. c)LOPD cuya responsabilidad se le atribuye (ex artículo 43.1 LOPD) no son en realidad conductas distintas, sino una misma conducta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 En defensa de esta versión comienza su escrito de alegaciones manifestando que el expediente sancionador deriva de “un supuesto tratamiento indebido de datos sin el consentimiento del titular (inclusión en ficheros de morosos)” (El subrayado es de la AEPD). Con tal afirmación, que se transcribe literalmente, enturbia y confunde los límites de cada una de las conductas que se sancionan. En congruencia con esa versión de los hechos concluye que estamos en presencia de “un concurso ideal, de un concurso real o bien de un concurso medial” Sin perjuicio de advertir que en los Fundamentos precedentes ha quedado claramente delimitada cada una de las conductas que se subsumen en los respectivos tipos infractores (artículos 44.3.b y 44.3.
14. c)y que cada una de ellas vulnera un principio distinto de los que integran el contenido del derecho fundamental que la LOPD regula, a saber, el principio del consentimiento y de calidad de los datos, se pone en su conocimiento que la Audiencia Nacional, Sala de lo Contencioso Administrativo, se ha pronunciado en numerosas resoluciones sobre un pretendido concurso medial entre los artículos 6.1 y 4.3 LOPD en supuestos como el que aquí se plantea y ha rechazado su existencia. La tesis de un concurso real entre la infracción del artículo 6.1 y 4.3 de la LOPD se ha planteado en vía contenciosa en numerosas ocasiones dado que el Reglamento de desarrollo del Procedimiento Administrativo Sancionador, aprobado por el Real Decreto 1398/1993,(actualmente derogado) contemplaba esta figura en su artículo 4.4. Cabe citar al respecto la SAN de 28/01/2009 (Rec 151/2007) en cuyo Fundamento Jurídico quinto indica lo siguiente: “Basta con señalar que el artículo 4.4 del Reglamento de Procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, exige, para la aplicación del concurso medial, una necesaria derivación de unas infracciones respecto de otra u otras y viceversa, por lo que resulta indispensable que las unas no puedan cometerse sin ejecutar las otras, tal es el sentido que ha de conferirse a la expresión reglamentaria de que <<una infracción derive necesariamente la comisión de otra>>. Solo en tal caso puede seguirse la consecuencia propia del concurso medial y es que únicamente se imponga la sanción correspondiente a la infracción más grave cometida. Lo que no concurre en el caso examinado pues ninguna de las contravenciones administrativas sancionadas es un medio para la perpetración de la otra. Ambas pueden realizarse con independencia absoluta, porque protegen principios diferentes, en un caso el consentimiento (artículo 6.1 de la Ley 15/1999 ), y, en otro, la calidad el dato (artículo 4.3 de la citada LO), para la salvaguarda del poder de disposición del titular de los datos personales que integra el derecho fundamental a la protección de los datos.” (El subrayado es de la AEPD). Así pues, en atención a lo expuesto ese alegato de la denunciada no puede prosperar. VI El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/22 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
15. a)El carácter continuado de la infracción.
16. b)El volumen de los tratamientos efectuados.
17. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
18. d)El volumen de negocio o actividad del infractor.
19. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
20. f)El grado de intencionalidad.
21. g)La reincidencia por comisión de infracciones de la misma naturaleza.
22. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
23. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
24. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
25. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
26. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
27. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
28. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
29. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate", pero para ello es necesaria la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o de la antijuridicidad del hecho, o de alguna otra de las circunstancias que el mismo precepto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 cita. En el presente caso se estima aplicable, respecto a las dos infracciones de la LOPD atribuidas a PROSEGUR, la atenuante cualificada del artículo 45.5.
30. b)LOPD –“Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. Tal decisión se funda en el hecho de que la denunciada dio de baja la incidencia en ASNEF en fecha 02/06/2016, en respuesta a la cancelación solicitada por el denunciante ante EQUIFAX el 01/06/2016. Se añade a lo expuesto que en respuesta a la reclamación que el denunciante presentó en la Oficina de Consumo de la Junta de Andalucía le comunicó que había “validado la solicitud de baja por parte de nuestro cliente por lo que procedemos a formalizar la baja del contrato y a abonar todas las facturas que constaban como pendientes de pago en nuestro sistema”. El efecto jurídico que deriva de la aplicación de cualquiera de las circunstancias descritas en el artículo 45.5 LOPD es la imposición de la sanción con arreglo a la escala que precede en gravedad a la prevista para la infracción cometida, por lo que en el presente caso, siendo graves las dos infracciones atribuidas a PROSEGUR, la sanción a imponer estará comprendida dentro de los márgenes que el artículo 45.1 LOPD fija para las infracciones leves: de 900 a 40.000 euros. En la graduación de la sanción han de tomarse en consideración, en calidad de agravantes, las siguientes circunstancias descritas en el artículo 45.4 LOPD: -“El carácter continuado de la infracción”, apartado a): Circunstancia que opera tanto respecto a la vulneración del principio del consentimiento como de calidad de los datos. Durante un prolongado periodo de tiempo, casi nueve meses, desde la fecha en la que debieron producirse los efectos de la baja del contrato (el 08/09/2015) hasta que la entidad denunciada cesa en el tratamiento de los datos personales del denunciante (en julio de 2016, cuando responde al requerimiento de la Oficina de Consumo de la Junta de Andalucía), PROSEGUR trató sus datos de forma ilegítima. Por otra parte, los datos personales del denunciante se incluyeron en ASNEF, vinculados a una deuda que respecto a él no era cierta, ni vencida ni exigible, el 04/04/2016 y se dieron de baja el 02/06/2016. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,). La actividad empresarial de PROSEGUR lleva implícita el tratamiento de datos de carácter personal lo que le obliga a extremar la diligencia en el cumplimiento de la normativa de protección de datos. La Audiencia Nacional en SAN de 17/10/2007 (Rec. 63/2006), ha exigido a aquellas entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros que observen un adecuado nivel de diligencia y precisa que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 - “El volumen de negocio o actividad del infractor” (apartado d,). Basta señalar sobre este particular que según la información corporativa que PROSEGUR ofrece en su página web (Informe 2015) la cifra de facturación en el ejercicio 2015 superó los 3.900 millones de euros. A tenor de las reflexiones precedentes, toda vez que concurre la atenuante cualificada del artículo 45.5.
31. b)LOPD y valoradas las circunstancias que agravan la responsabilidad exigible a PROSEGUR ( ex artículo 45.4 LOPD, apartados a, c y
32. d)se acuerda imponer a la entidad denunciada por cada una de las infracciones de la LOPD de las que es responsable (ex artículo 43.1 LOPD), artículos 6.1 y 4.3 de la citada Ley Orgánica, una sanción de 24.000 euros.>> III Para mayor claridad responderemos brevemente a los motivos de impugnación que la recurrente esgrime apoyándonos para ello en los argumentos que han servido de fundamento a la resolución impugnada. 1.- El primer motivo del recurso es para la recurrente la imposibilidad de sancionar por infracción del artículo 6.1 LOPD toda vez que el supuesto de hecho se encuadra en la excepción contemplada en el artículo 6.2 LOPD. Este precepto dispensa de la obligación de recabar el consentimiento al tratamiento de datos de carácter personal cuando estos se refieran a quienes son parte en un contrato y , añade la citada disposición, siempre que “sean necesarios para su mantenimiento o cumplimiento”. Sin embargo, como se expuso detenidamente en el Fundamento de Derecho III de la Resolución recurrida, el tratamiento de los datos personales del denunciante que PROSEGUR efectuó, y que constituye el presupuesto fáctico de la infracción de la LOPD que se le imputa, no se circunscribió al desenvolvimiento o ejecución del contrato que el denunciante y la ahora recurrente suscribieron en 2007 (número de contrato ***CONTRATO.3) por lo que ese tratamiento no podía ampararse en el artículo 6.2 LOPD. Constituye un hecho probado –y prueba de cargo de la atribución a PROSEGUR de responsabilidad por vulneración de la LOPD, tanto del principio del consentimiento como de principio de calidad de los datos- que el denunciante presentó una reclamación contra PROSEGUR ante la Oficina de Consumo de la Junta de Andalucía en el mes de junio de 2016 en la que exponía que comunicó a PROSEGUR en fecha 08/09/2015 su decisión de darse de baja del contrato celebrado entre ambas; que tenía todas las facturas abonadas y que no reconocía los cargos que la entidad le reclamaba. Pues bien, en su respuesta a la oficina de consumo de la Junta de Andalucía cuya reclamación había recibido el 15/07/2016, PROSEGUR dice que “…una vez revisados nuestros registros con lo que nos indica en su escrito, hemos validado la solicitud de baja por parte de nuestro cliente por lo que procedemos a formalizar la baja del contrato y abonar todas las facturas que constaban como pendientes de pago en nuestro sistema” (folio 15 del expediente). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 Lo expuesto anteriormente ha de ponerse en relación con otra prueba documental (Hecho probado sexto in fine): qque obra en el expediente: el reporter con resultado OK de un fax enviado a PROSEGUR el 08/09/2015 de un formulario de baja de esa compañía debidamente cumplimentado con los datos del denunciante. Así pues, de ambos elementos se infiere con claridad que el denunciante solicitó la baja del contrato el 08/09/2015 y que la entidad no la atendió. Lo que viene a reconocer implícitamente cuando un año más tarde, en el marco de la reclamación presentada contra ella en consumo procede a dar de baja y a anular las facturas emitidas, que no son sino facturas que se emitieron después de la fecha en la que debió proceder a la baja del contrato. Razonamiento que nos condujo a afirmar que, en contra de lo argumentado por la recurrente, el tratamiento de datos que PROSEGUR realizó con posterioridad a la recepción de su solicitud de baja, traducido en la emisión de varias facturas, no podía ampararse en la excepción del artículo 6.2. LOPD. La legitimación que otorga el artículo 6.2 LOPD para tratar datos de terceros que son parte en un contrato se circunscribe a aquel tratamiento que es necesario para su mantenimiento o cumplimiento. En el presente caso PROSEGUR trató los datos del denunciante después de que el afectado hubiera manifestado su voluntad de dar por terminado el contrato, por lo que siendo entonces la relación contractual inexistente carecía de legitimación para un tratamiento que implicara el nacimiento de nuevas obligaciones. El tratamiento amparado en el artículo 6.2 LOPD que se invoca por la recurrente únicamente podía circunscribirse a ejecutar las obligaciones que derivaban de aquél, por lo que aquí interesa, el cobro de la factura de septiembre de 2015, pues se solicitó la baja el 08/09/2015. Está acreditado documentalmente que el denunciante procedió al abono de la factura de septiembre de 2015 en fecha 03/03/2016, por importe de 47,12 euros, y no por el importe que le había reclamado PROSEGUR (236,25 euros) ni por el importe por el que la recurrente le incluyó en ASNEF el 04/04/2016, 189,23 euros. 2.- La deuda por la cual el denunciante fue incluido en ASNEF el 03/03/2016 no es cierta, ni vencida ni exigible, por lo que incumple el requisito del artículo 38.1.
33. a)RLOPD en relación con el artículo 4.3 LOPD. La tesis de PROSEGUR según la cual esta deuda (189,23 euros) correspondía al importe de los intereses generados por la demora en el pago de la factura de septiembre de 2015 que el denunciante abonó en marzo de 2016 (algo más de cinco meses), además de estar en contradicción con todas las pruebas que obran en el expediente es por pura lógica inadmisible. Obran en el expediente los adeudos domiciliados en la cuenta del denunciante en Caixa Bank por PROSEGUR para el cobro de los servicios que le prestó durante enero, febrero, marzo, abril, mayo, junio, julio y agosto de 2015 (Hecho probado cuarto) Todos esos recibos tienen un importe de 47,12 euros salvo el de abril que asciende a 47,11 euros. Parece ilógico pensar que un recibo de tal importe (que sería C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 el de septiembre de 2015 inicialmente impagado por el denunciante y que abonó en marzo de 2016) hubiera generado por intereses de demora una deuda de 189,23 euros (importe por el que fue incluido en ASNEF) . Estamos claramente ante facturas emitidas a nombre del afectado con posterioridad a la fecha en la que debió surtir efectos su decisión de dar por terminado el contrato (septiembre de 2015). Está acreditado que el denunciante había abonado todas las facturas anteriores (Hecho probado cuarto) y que la factura de septiembre de 2015 se abonó en marzo de 2016. A pesar de ello un mes más tarde en abril de 2016 PROSEGUR le incluye en el fichero de solvencia ASNEF. Explicación que concuerda también con la respuesta de la recurrente ante la Oficina de Consumo de la Junta de Andalucía, cuando con ocasión de la reclamación interpuesta por el afectado, por no darle de baja en la fecha que consta recibido el fax solicitándola, dice que “ha validado su solicitud de baja”, que procede a “formalizar la baja del contrato” y “a abonar todas las facturas que constaban como pendientes en nuestros sistemas”. Parece obvio que el importe reclamado al denunciante por la recurrente y por el que fue incluido en el fichero ASNEF desde el 04/04/2016 hasta el 02/06/2016 procedía de tales facturas. Facturas que se emitieron cuando el contrato era inexistente (desde septiembre de 2015) y que no pueden por ello ampararse en el artículo 6.2 LOPD. Así lo confirma también la documentación facilitada por EQUIFAX IBÉRICA a tenor de la cual la deuda por la que se incluyó al denunciante en el fichero de solvencia correspondía a los vencimientos impagados primero y último “30/09/2015 – 31/12/2015”. Finalmente indicar que obran en el expediente administrativo documentos que constituyen auténticas pruebas de cargo de las infracciones atribuidas a la recurrente y que hacían innecesaria por redundante la documentación que le fue solicitada. Añadir sobre la pretendida indefensión generada por esta Agencia que la recurrente ha tenido varios trámites en los que poder aportar los documentos que a su derecho convenía sin que haya hecho uso de la facultad que ostentaba, por lo que la deficiencia procedimental que efectivamente ha existido en ningún caso le ha generado indefensión material. Puede citarse a tal fin la SAN de 11/03/2010 (Rec. 806/2008) que recoge la doctrina sentada por el Tribunal Supremo según la cual las infracciones procedimentales sólo producen la anulación del acto cuando suponen una disminución efectiva, real y trascendente de garantías que entrañe una indefensión material del sancionado. La Sentencia aludida, que contempla un supuesto de hecho en el que la irregularidad procedimental consistió en la omisión de otro trámite, las alegaciones a la propuesta de resolución, dice en su Fundamento de Derecho Cuarto: << Es doctrina reitera del Tribunal Supremo que las infracciones procedimentales sólo producen la anulación del acto administrativo en el supuesto de que las mismas generen una disminución efectiva y real de las garantías de forma que puedan alterar la resolución de fondo. En otro caso, no es procedente la anulación del acto administrativo por omisión de un trámite preceptivo cuando, aun de haberse cumplido este trámite, se pueda prever razonablemente que el acto administrativo sería igual al que se pretende anular, o cuando la omisión de un trámite no causa indefensión al interesado, indefensión que no se produce cuando, a pesar de la omisión de aquél, el interesado ha tenido ocasión de alegar y probar a lo largo del procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 administrativo o en sede jurisdiccional lo que no pudo alegar o probar al omitirse dicho trámite. Por su parte, el Tribunal Constitucional en su sentencia 117/2002 recoge “Para comenzar, debemos afirmar que carece de toda relevancia constitucional la queja atinente a la falta de notificación de la propuesta de resolución formulada por la recurrente. Como acertadamente ha puesto de manifiesto el Abogado del Estado, en sentido técnico sólo el instructor tiene atribución legal para elevar dicha propuesta, lo que efectivamente hizo en el caso origen de este proceso constitucional. Ahora bien, esa propuesta de resolución, reproducía el pliego de cargos en sus elementos esenciales: relato de los hechos, calificación jurídica de los mismos e individualización de la sanción cuya imposición se sugería. Toda vez que la expedientada tuvo oportunidad de alegar respecto del contenido del mencionado pliego, no es posible apreciar que la ausencia de traslado de la propuesta de resolución con la que concluyó la instrucción del expediente mermara sus derecho de defensa ni le causara indefensión material alguna”. (El subrayado es de la AEPD) IV Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PROSEGUR ACTIVA ESPAÑA S.L., con NIF B87222006, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16 de enero de 2018, en el procedimiento sancionador PS/00320/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad PROSEGUR ACTIVA ESPAÑA S.L., TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
34. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es