1/7 Procedimiento nº.: PS/00341/2012 ASUNTO: Recurso de Reposición Nº RR/00065/2013 Examinado el recurso de reposición interpuesto por la entidad Bankia, S.A., contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00341/2012, y en base a los siguientes HECHOS PRIMERO: Con fecha 18 de diciembre de 2012, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00341/2012 , en virtud de la cual se imponía a la entidad Bankia, S.A., una sanción de 10.000 euros, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.d), de conformidad con lo establecido en el artículo 45, apartados 2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 19 de diciembre de 2012, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00341/2012, quedó constancia de los siguientes: procedimiento sancionador, 1. La persona denunciante, C.C.C. con DNI H.H.H. y con domicilio en B.B.B. suscribió el 27/04/07 como titular el préstamo nº ***PRÉSTAMO.1 con BANCAJA (ahora G.G.G.). 2. Equifax Ibérica S.L., a solicitud del denunciante, en su informe de 29/04/11 hace constar que los datos personales del denunciante figuran asociados a una deuda de 16.691,49 € en el fichero Asnef a instancias de BANCAJA, con fecha de F.F.F.. A petición del denunciante Equifax canceló la anotación el 09/05/11. 3. El día I.I.I. Bancaja, a través de Correos, notifica al denunciante un burofax en el que le comunica que tiene pendiente de pago 17.073,32 €. El motivo es que tenga conocimiento de ello antes de la reclamación judicial tal como exige la Ley de Enjuiciamiento Civil. 4. Experian, a petición del denunciante, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 informe de 29/04/11, hace constar que los datos personales del denunciante figuran asociados a una deuda de 16.691,49 € en el fichero Badexcug a instancias de BANCAJA (ahora Bankia, S.A.), con fecha de E.E.E.. No ha sido acreditada la baja. 5. La persona denunciante, por medio de escrito de 02/06/11, dirigido al Servicio de atención al cliente de BANCAJA (ahora Bankia, S.A.)), que lo recibe el J.J.J., solicitó la cancelación de sus datos personales en los ficheros Asnef y Badexcug. 6. La persona denunciante por escrito de 12/07/11 formulaba la denuncia ante esta Agencia ( D.D.D.) por haber sido incluida en los ficheros de morosos sin haberle notificado el requerimiento previo. SEXTO: El día K.K.K. el Secretario del Juzgado de Paz de Guía de Isora notifica a C.C.C. el Auto de 02/12/08 del Juzgado de Primera Instancia nº 2 de Arona. Su parte dispositiva es: <<< 1.- SE DESPACHA a Instancias de D./Dña. Caja De Ahorros De Valencia Castellón Y Alicante parte ejecutante, ejecución frente a D./Dña. C.C.C. parte ejecutada, por las siguientes cantidades 17.073,72 € de principal mas la cantidad de 5.691,24 € prudencialmente calculados para intereses y costas. 2.- SE DECLARAN EMBARGADOS como propiedad del ejecutado y en cuanto se estiman bastantes a cubrir las cantidades por las que se despacha ejecución, los bienes siguientes… >>> SEPTIMO: Bankia, S.A., A.A.A., producto de un error material involuntario. Posteriormente en sus alegaciones a la propuesta ha retirado dicho reconocimiento de responsabilidad por entender que la entidad infractora, Bancaja, fue adquirida por Bankia con efectos jurídicos de 23/05/11. TERCERO: Bankia, S.A., ha presentado, en fecha 16 de enero de 2013, con entrada en esta Agencia Española de Protección de Datos el día 18 de enero, recurso de reposición fundamentándolo, básicamente, en la siguiente alegación: “Que esta parte se ratifica en todo lo recogido en todas las alegaciones presentadas en tiempo y forma, en el procedimiento sancionador referenciado, especialmente en las alegaciones a la propuesta de sanción, presentadas el 29/11/2012 y que obran en el correspondiente expediente administrativo, al que expresamente nos remitimos”. Se reiteran en que se les imputa una actuación de otra entidad, Bancaja. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por Bankia, S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida, tal como se transcribe a continuación: “Se imputa a BANCAJA (ahora Bankia, S.A.), en el presente procedimiento, la comisión de una infracción del artículo 4.3 de la LOPD, que señala lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. Las razones o motivos por los que se ha generado el impago y el importe exacto de ese impago no son objeto del estudio de esta Agencia, temas ajenos a su competencia. En el caso que nos ocupa hemos de circunscribirnos al tratamiento de los datos personales de la persona denunciante por parte de la denunciada. Los datos comunicados por la persona denunciante cuando contrata son los datos que el banco en el desarrollo de la relación contractual debe utilizar. Los cambios de los mismos han de ser diligentemente documentados para que sean exactos en todo momento y permitan la comunicación entre las partes y el intercambio de prestaciones y contraprestaciones de forma fluida y regular. En el presente caso, ha quedado fijado el hecho: BANCAJA (ahora Bankia, S.A.), instó el alta de los datos relativos a la persona denunciante en los ficheros Asnef y Badexcug sin haber acreditado que se haya notificado a la persona afectada el requerimiento previo a la anotación en los ficheros de morosos. No ha acreditado ninguna razón para fundamentar esta inclusión de los datos del denunciante sin notificar el requerimiento. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito. El artículo 38 del Reglamento de desarrollo de la LOPD, “Requisitos para la inclusión de datos” dispone lo siguiente: 1. “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero.
- b)(…).
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. En este caso, BANCAJA (ahora Bankia, S.A.) informó los datos personales de la persona denunciante al fichero Asnef y al de Badexcug sin el requerimiento previo. Los hechos anteriormente relatados son contrarios al principio de calidad de datos consagrado en el artículo 4.3, en relación con el 29.4 de la LOPD y las normas reglamentarias citadas. III El artículo 44.3.
- d)de la LOPD considera infracción grave, “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la presente Ley o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave.” En este caso, BANCAJA (ahora Bankia, S.A.) ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del Reglamento de Desarrollo relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, cuando informó para su inclusión en el fichero de solvencia patrimonial, los datos personales de la persona denunciante, asociado a una deuda, sin efectuar los requerimientos previos de pago preceptivos y sin que reflejara la situación real de la relación contractual del denunciante afectado. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. Alega la entidad imputada en su escrito de alegaciones a la propuesta de resolución que no puede ser sancionada ya que la infracción fue cometida por BANCAJA, faltando el elemento subjetivo de la culpabilidad. En este sentido debe recordarse lo indicado en el artículo 19 del Real Decreto 1720/2007: “En los supuestos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 en que se produzca una modificación del responsable del fichero como consecuencia de una operación de fusión, escisión, cesión global de activos y pasivos, aportación o transmisión de negocio o rama de actividad empresarial, o cualquier operación de reestructuración societaria de análoga naturaleza, contemplada por la normativa mercantil, no se producirá cesión de datos, sin perjuicio del cumplimiento por el responsable de lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre”. Los datos del denunciante se encuentran en un fichero cuyo responsable, en la actualidad, es Bankia, S.A., entidad que en el año 2010 inició un proceso de integración de diferentes Cajas (entre ellas Bancaja), primero con un contrato de Integración, posteriormente constituyendo el Banco Financiero y de Ahorros, S.A., que luego segregaron a Altae Banco, S.A., modificando su denominación por la de Bankia, S.A., sociedad a la que se han transferido todos los activos y pasivos de las Cajas que la constituyen. Por tanto, Bankia, S.A., responde de las infracciones cometidas por las Cajas que ha absorbido, entre ellas Bancaja. … V El artículo 45.5 de la LOPD, establece que: “El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. La imputada en su escrito de alegaciones manifiesta que reconoce voluntariamente la responsabilidad, al notificarle el acuerdo de inicio de este procedimiento (d)), y que se ha producido una fusión posterior a los hechos (e). Ha de considerarse igualmente la circunstancia del conocimiento de la deuda en todo momento por el denunciante y la ausencia de perjuicios probados. Tal es el criterio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Audiencia Nacional en su sentencia de 23/07/12 al incluir dichas circunstancias dentro de las previstas en el apartado j): “Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora". La citada sentencia afirma: “Concurren en la entidad recurrente varias de las circunstancias agravantes tales como el importe volumen de actividad y la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal, lo que le obliga a extremar las medidas para el tratamiento de los datos que manejaba. Pero, al mismo tiempo también se aprecia como circunstancias atenuantes la falta de intencionalidad en su conducta el hecho de que el denunciante conociese en todo momento la existencia de una deuda pendiente y la falta de perjuicios para el afectado…”. Estas circunstancias, contempladas en los apartados reseñados permiten que la sanción sea fijada en la cuantía correspondiente a las infracciones tipificadas como leves (900 a 40.000 euros). III Por lo tanto, en el presente recurso de reposición, Bankia, S.A., no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Bankia, S.A., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 18 de diciembre de 2012, en el procedimiento sancionador PS/00341/2012. SEGUNDO: NOTIFICAR la presente resolución a la entidad Bankia, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es