← España

REPOSICION-PS-00369-2022

1/16  -Expediente nº: RR/00301/2023 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por RCI BANQUE, S.A. SUCURSAL EN ESPAÑA (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 4 de abril de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 04/04/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente RR/00301/2023, en virtud de la cual se imponía a RCI BANQUE, S.A. SUCURSAL EN ESPAÑA por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 20.000 € (veinte mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 05/04/2023 fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00369/2022, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. El 11/03/2021 tiene entrada en la AEPD escrito de FACUA, en representación del reclamante, contra el reclamado motivado por la recepción de llamadas de teléfono y mensajes de texto, en los que se le reclama una deuda pendiente de pago relativa a la financiación de un vehículo; financiación que el reclamante desconoce ya que no mantiene relación jurídica o contractual alguna con el reclamado. Asimismo, manifiesta que los SMS que dirigen al reclamante se refieren a él como Transportes A.A.A., S.L. SEGUNDO. Constan aportadas capturas de pantalla en las que figuran mensajes remitidos por el reclamado al reclamante de fechas 22/07/2020, 03/08/2020, 05/08/2020, 11/08/2020, 31/03/2021, 19/04/2021 con el siguiente contenido: “miércoles, 22 de julio de 2020 RECIBO IMPAGADO VEHICULO PAGUE AHORA (...) € CON TARJETA EN EL TLF ***TELÉFONO.1 O REALICE TRANSFERENCIA B. SANTANDER ES … PARA EVITAR ASNEF DE TITULARES Y AVALES”. “lunes, 3 de agosto de 2020 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 *RCI* LE INFORMAMOS QUE TIENE UINA DEUDA PENDIENTE, LE ROGAMOS LLAME AL ***TELÉFONO.1 PARA REGULARIZAR LA SITUACION TLF ***TELÉFONO.1” “miércoles, 5 de agosto de 2020 *RCI* LE INFORMAMOS QUE TIENE UINA DEUDA PENDIENTE, LE ROGAMOS LLAME AL ***TELÉFONO.1 PARA REGULARIZAR LA SITUACION TLF ***TELÉFONO.1” “martes, 11 de agosto de 2020 **URGENTE**DEUDA VEHICULO**SOLICITAMOS CONTACTO URGENTE PARA EVITAR INCLUSION EN ASNEF DE TITULAR Y AVALES. LLAME AHORA AL ***TELÉFONO.1” “miércoles, 31 de marzo de 2021 **ULTIMO AVISO** NO LOCALIZAMOS SU PAGO***HASTA LAS 15HRS PARA EFECTUAR PAGO Y EL PARALIZAR TRAMITE** LLAME URGENTE AL ***TELÉFONO.1” “lunes, 19 de abril de 2021 **NECESITAMOS CONTACTO URGENTE**DEUDA VEHICULO**TRASPASO AL DPTO PREJUDICIAL. ULTIMA VIA AMISTOSA TLF ***TELÉFONO.1” TERCERO. Consta escrito del reclamante dirigido al reclamado en fecha 25/08/2020, informándole del acoso telefónico al que está siendo sometido en su línea móvil ***TELÉFONO.2 como consecuencia de una deuda vinculada a la financiación de un vehículo que desconoce tener, solicitando la supresión de sus datos personales. CUARTO. Consta la respuesta ofrecida por el reclamado al escrito anterior, de 09/09/2020, indicando que:” …le informamos que con los datos facilitados no aparece ninguna persona como cliente de esta Entidad”. El reclamante, como se puede comprobar en el hecho segundo, con posterioridad continuó recibiendo mensajes en su teléfono móvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 QUINTO. El reclamado en escrito de respuesta al requerimiento de información de la AEPD de fecha 15/02/2022 ha señalado “Que, consultados nuestros sistemas, no obra en los mismos información o documentación alguna sobre la persona cuyos datos Ustedes nos han facilitado. Por consiguiente, no nos resulta posible remitirles la información solicitada”. SEXTO. EL 18/04/2022 la AEPD dirige al reclamado un segundo requerimiento solicitando información del número de teléfono ***TELÉFONO.2. En su respuesta manifestaba que “el número de teléfono que nos facilitan obra en nuestro sistema asociado al contrato de préstamo nº ***PRÉSTAMO.1 formalizado con TRANSPORTES A.A.A., S.L. con CIF…, el 04/11/2015 y finalizado el 05/11/2021”. Y continua “Este número de teléfono fue facilitado directamente por el apoderado de la persona jurídica titular del contrato de préstamo, a través de su Espacio Cliente, en el transcurso de la relación comercial, concretamente el 17/07/2020. Este Espacio está disponible en la web de RCI BANQUE para que sus clientes puedan realizar, previo registro, determinadas gestiones y consultas sobre los contratos que mantienen vigentes con la Entidad. A través de dicho Espacio Cliente, los clientes, previamente registrados, tienen la posibilidad de modificar en el apartado "Mi perfil" determinados datos, entre ellos, el número de teléfono de contacto vinculado a su contrato. En este caso, el Cliente del contrato de préstamo anteriormente referido, modificó a través de esta funcionalidad, un dato de teléfono preexistente (segundo teléfono de contacto), introduciendo el número ***TELÉFONO.2. (…) TERCERO: La parte recurrente ha presentado en fecha 05/05/2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en las alegaciones ya formuladas a lo largo del procedimiento y, además, que no se puede afirmar que haya habido ausencia de respuesta al derecho de supresión ejercitado por el reclamante; que por parte del recurrente ha existido en todo momento responsabilidad proactiva; la ausencia de daños y perjuicios causados al reclamante; que el recurrente tuvo conocimiento del dato personal del teléfono a través de la información facilitada por la AEPD; la ausencia de proporcionalidad en la sanción impuesta y las medidas adoptadas por el recurrente para evitar incidencias como la que dio lugar al procedimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a V, de la Resolución recurrida, tal como se transcribe a continuación: “II Los hechos puestos de manifiesto se materializan en la recepción de llamadas en la línea de teléfono móvil del reclamante y mensajes de texto reclamándole una deuda pendiente de pago con el reclamado derivado de la financiación de un vehículo, que el reclamante desconoce al no mantener relación jurídica alguna con el reclamado, lo que supondría la vulneración de la normativa en materia de protección de datos de carácter personal. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)

  1. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” III 1. El ejercicio del derecho de supresión viene regulado en el artículo 17 del RGPD, que establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  2. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  3. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  4. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  5. d)los datos personales hayan sido tratados ilícitamente;
  6. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  7. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  8. a)para ejercer el derecho a la libertad de expresión e información;
  9. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  10. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  11. h)e i), y apartado 3;
  12. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  13. e)para la formulación, el ejercicio o la defensa de reclamaciones”. El Considerando 59 del RGPD señala que: "Deben arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el acceso a los datos personales y su rectificación o supresión, así como el ejercicio del derecho de oposición. El responsable del tratamiento también debe proporcionar medios para que las solicitudes se presenten por medios electrónicos, en particular cuando los datos personales se tratan por medios electrónicos. El responsable del tratamiento debe estar obligado a responder a las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en caso de que no fuera a atenderlas". Y el Considerando 66 del RGPD señala que: "A fin de reforzar el «derecho al olvido» en el entorno en línea, el derecho de supresión debe ampliarse de tal forma que el responsable del tratamiento que haya hecho públicos datos personales esté obligado a indicar a los responsables del tratamiento que estén tratando tales datos personales que supriman todo enlace a ellos, o las copias o réplicas de tales datos. Al proceder así, dicho responsable debe tomar medidas razonables, teniendo en cuenta la tecnología y los medios a su disposición, incluidas las medidas técnicas, para informar de la solicitud del interesado a los responsables que estén tratando los datos personales". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 2. La normativa en materia de protección de datos de carácter personal permite que puedas ejercer ante el responsable del tratamiento tus derechos de acceso, rectificación, oposición, supresión, limitación del tratamiento, portabilidad y de no ser objeto de decisiones individualizadas. Por tanto, este derecho puede ser ejercitado ante el responsable solicitando la supresión de sus datos de carácter personal cuando concurra alguna de las circunstancias establecidas en el artículo 17 del RGPD. No obstante, hay que señalar que este derecho no es ilimitado, de tal forma que puede ser factible no proceder a la supresión cuando el tratamiento sea necesario para el ejercicio de la libertad de expresión e información, para el cumplimiento de una obligación legal, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos a la persona responsable, por razones de interés público, en el ámbito de la salud pública, con fines de archivo de interés público, fines de investigación científica o histórica o fines estadísticos, o para la formulación, el ejercicio o la defensa de reclamaciones. 3. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado, vulneró el artículo 17 del RGPD, derecho de supresión, al no ser atendido el mismo, pese a que el reclamado alega lo contrario, como lo acredita que este continuó tratando los datos del reclamante. De la documentación obrante en el expediente evidencia que el reclamado vinculó el número de teléfono móvil del reclamante al contrato de préstamo número ***PRÉSTAMO.1; préstamo que había sido formalizado con TRANSPORTES A.A.A., S.L., con CIF …, desde el 04/11/2015 hasta el 05/11/2021, originando que el reclamante sufriera desde el 22/07/2020 hasta el 19/04/2021 un acoso, un asedio en forma de llamadas y mensajes sms depositados en su teléfono móvil reclamándole el pago de una deuda relacionada con la financiación de un vehículo, objeto del citado contrato de préstamo y que el reclamante en ningún caso había suscrito con la entidad reclamada con la que ni mantenía ni mantiene relación contractual alguna. Hay que señalar que el reclamado en escrito de respuesta al requerimiento de información remitido por la AEPD, de fecha 15/02/2022, manifestaba “Que consultados nuestros sistemas, no obra en los mismos información o documentación alguna sobre la persona cuyos datos Ustedes nos han facilitado. Por consiguiente, no nos resulta posible remitirles la información solicitada”. No obstante, el 18/04/2022 la Agencia dirigió al reclamado un segundo requerimiento, solicitando información del número de teléfono ***TELÉFONO.2 y en su respuesta, esta vez sí revelaba que “el número de teléfono que nos facilitan obra en nuestro sistema asociado al contrato de préstamo nº ***PRÉSTAMO.1 formalizado con TRANSPORTES A.A.A., S.L. con CIF…, el 04/11/2015 y finalizado el 05/11/2021”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Hay que recordar, como se recoge en los hechos probados, que el 25/08/2020 el mismo reclamante dirigió escrito al reclamado comunicándole el hostigamiento que venía sufriendo en su línea de telefonía móvil intimándole al pago de una deuda proveniente de la financiación de un vehículo y que en caso de no abonarla amenazaba con ser incluido en ficheros de solvencia patrimonial, comúnmente llamados de morosidad; financiación que manifestaba desconocer indicando “Que, desde el pasado 22 de julio del corriente … viene siendo hostigado por la mercantil, que por la presente nos dirigimos, mediante llamadas y envío de sms a la línea de teléfono asociada al número ***TELÉFONO.2, solicitando la cancelación de sus datos y la respuesta fue que “con los datos facilitados no aparece ninguna persona como cliente de esta entidad”. Una de las principales novedades y concepto principal que presenta el RGPD, es el principio de responsabilidad proactiva. Este principio se define como la necesidad de que el responsable del tratamiento de datos aplique medidas técnicas y organizativas apropiadas a fin de garantizar y demostrar que el tratamiento de datos personales es conforme con el Reglamento. Es decir, no basta con cumplir con la normativa de protección de datos, también hay que poder demostrar que se está cumpliendo con la normativa. Este principio viene recogido en el artículo 5.2 del RGPD, que establece: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”. Este principio exige por tanto una actitud consciente y diligente frente a todos los tratamientos de datos personales que se lleven a cabo, actitud que no ha existido en el presente caso puesto que ante el escrito remitido por el reclamante el 25/08/2020 el reclamante debió de actuar con mayor diligencia y proactividad a fin de preservar sus derechos en el tratamiento de sus datos de carácter personal y su legitimación, todo lo contrario de lo ocurrido el 18/04/2022 cuando la AEPD le remitió su segundo requerimiento, solicitando información relativa al número de teléfono ***TELÉFONO.2 perteneciente al reclamante. Y que ante dichas actuaciones el reclamado había procedido al borrado del número de teléfono del reclamante antes de contestar al requerimiento, medida está que debió llevarse a cabo a la luz del escrito del reclamante, verificando y comprobando que el mismo no era cliente de la entidad y que no podía pertenecer a TRANSPORTES A.A.A., S.L., y desde ese mismo momento los datos de carácter personal del reclamante no debieron ser objeto de tratamiento al no estar el reclamado legitimado para ello, por no tener ni el consentimiento ni la autorización para ello. 4. En el escrito de 25/08/2020 por el cual el reclamante informaba al reclamado del acoso al que estaba siendo sometido en su línea móvil ***TELÉFONO.2 como consecuencia de una deuda vinculada a la financiación de un vehículo que desconocía tener, solicitó la cancelación de sus datos personales ejercitando el derecho de suspensión ante el responsable y concretaba su solicitud señalando que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “- SE ABSTENGAN de continuar requiriendo pago alguno. - PROCEDAN A CANCELAR los datos de carácter personal de nuestro socio de su base interna. - PROCEDAN A CANCELAR o abstenerse de incluir los datos de carácter personal de nuestro socio de todos los ficheros de solvencia patrimonial pues los mismos no responden a una deuda cierta, vencida ni mucho menos exigible…” De conformidad con lo señalado en el artículo 17 del RGPD, la reclamante tenía derecho a obtener sin dilación indebida la supresión de sus datos por parte del reclamado, máxime cuando dichos datos estaban siendo tratados ilegítimamente y exponiendo al reclamante a una situación injusta e infundada. Por tanto, con los datos trasladados por el afectado en su solicitud el reclamado debió proceder con una mayor responsabilidad habida cuenta de lo que el reclamante estaba soportando y darse cuenta de que los mensajes y llamadas se estaban realizando a quien no estaba obligado a padecerlo pues no mantenía relación contractual alguna con la entidad y no limitarse a responder “que con los datos facilitados no aparece ninguna persona como cliente de esta Entidad”, pues con esos mismos datos la respuesta fue la contraria a requerimiento de la AEPD de 18/04/2022. De acuerdo con las manifestaciones del reclamado el citado número de teléfono fue facilitado directamente por el apoderado de la persona jurídica titular del contrato de préstamo, a través de su Espacio Cliente, en el transcurso de la relación comercial el 17/07/2020; dicho espacio está disponible en la web del reclamado para que sus clientes puedan realizar determinadas gestiones y consultas sobre los contratos que mantienen vigentes con la Entidad. En este caso, el cliente del contrato de préstamo anteriormente referido modificó a través de esta funcionalidad, el dato de teléfono preexistente (segundo teléfono de contacto), introduciendo el número ***TELÉFONO.2. Asimismo, el reclamado ha manifestado que no tenía constancia de que el titular de la línea telefónica se hubiera puesto en contacto con la entidad por ningún medio a fin de poner de manifiesto la situación sufrida o haya presentado reclamación alguna. No obstante, tal manifestación debe decaer y no puede ser admitida, a la luz de la documentación aportada; baste señalar el escrito del reclamante y la respuesta ofrecida al mismo de fecha 09/09/2020 citada anteriormente que evidencia todo lo contrario. 5. En cuanto a la ausencia de culpabilidad alegada por el reclamado hay que señalar que el principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). En esa doctrina abunda luego la STC (Sala Segunda) 129/2003, de 30 de junio de 2003, que, citando la anterior STC 246/1991, señala en su F.J. 8: (...) la admisión en nuestro Derecho administrativo sancionador de la responsabilidad directa de las personas jurídicas, reconociéndoles así capacidad infractora, conlleva que la responsabilidad se configure sobre la capacidad de infracción y la responsabilidad, “que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz ... y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma» ( STC 246/1991 , FJ 2). En el presente caso, habiendo existido actividad probatoria de cargo sobre los hechos que se le imputaban a la mercantil ahora recurrente, era a ella a quien competía proporcionar a los órganos administrativos que han intervenido en la sustanciación del expediente un principio de prueba, por mínimo que fuera, que permitiera hacerles pensar que la infracción de la norma no le era reprochable (...)”. Por tanto, la entidad ha adolecido de grave falta de diligencia como lo demuestra que sus procedimientos internos o bien protocolos de actuación fueron ineficaces y no fueron capaces de detectar que los datos aportados por el reclamante y la AEPD, especialmente su número de teléfono, no eran titularidad del verdadero deudor, Transportes A.A.A., S.L., con quien se había concertado un contrato de préstamo y que los avisos de impago continuaran remitiéndose a su móvil intimándole a pagar una deuda que no le correspondía. Y en lo que respecta a la buena fe alegada hay que señalar que la Audiencia Nacional en sus sentencias, entre otras la de 24/05/02 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. Por último, alega el reclamado error en la tipificación jurídica ya que no es cierto que haya habido ausencia de respuesta al ejercicio del derecho de supresión del interesado y que cuando se comunicó por la AEPD el número de móvil del reclamante fue desvinculado de Transportes A.A.A., S.L., y que tal proceder debería ser calificado como leve por lo que la infracción estaría prescrita. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 En primer lugar, en ningún lugar se afirma como dice el reclamado que hubiera ausencia de respuesta puesto que en los propios hechos probados se recoge la respuesta ofrecida al reclamante y al inspector actuante por el reclamado; lo que se afirma es que el derecho no fue atendido porque el tratamiento continuó a pesar de los escritos remitidos (lo que debería haber propiciado como mínimo el cese del tratamiento), como lo evidencia que siguieran intimando al reclamante con reiterados sms y advertencias de que en caso de impago seria incluido en ficheros de morosidad. En segundo lugar, tampoco es cierto como manifiesta el reclamado que hasta que el inspector actuante no comunicó el número de móvil del reclamante fue cuando se descubrió la vinculación del dato con el tercero, Transportes A.A.A., S.L., puesto que el reclamante (su representante) ya lo había comunicado en escrito de 25/08/2020. Por tanto, tuvieron que ser necesarios hasta tres intentos, a través sendos escritos para que el reclamado dejara de tratar los datos del reclamante, se diera cuenta de que éste no era el deudor y desprendiera la vinculación que asociaba el número del móvil como perteneciente al verdadero deudor y cliente de la mercantil. De lo que antecede se deduce que el derecho de supresión ejercitado por el reclamante no fue atendido lo que implica en cierto modo su obstrucción, su impedimento, la no atención reiterada al ejercicio del mismo, considerando que tal proceder supone la vulneración del artículo 17 del RGPD, infracción que se encuentra tipificada en artículo 83.5.
  14. b)del RGPD. IV La infracción del artículo 17 del RGPD se encuentra tipificada en el artículo 83.5.
  15. b)del citado RGPD en los siguientes términos: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  16. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, a efectos de prescripción, califica de “Infracciones consideradas muy graves”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  17. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” V A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  18. a)a
  19. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  20. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  21. b)la intencionalidad o negligencia en la infracción;
  22. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  23. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  24. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  25. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  26. g)las categorías de los datos de carácter personal afectados por la infracción;
  27. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  28. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  29. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  30. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
  31. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  32. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  33. a)El carácter continuado de la infracción.
  34. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  35. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  36. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  37. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  38. f)La afectación a los derechos de los menores.
  39. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  40. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 17 del RGPD tipificada en el artículo 83.5 del citado Reglamento de la que se responsabiliza al reclamado, en una valoración inicial, se estiman se estiman concurrentes los siguientes factores: Como circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate; no hay que olvidar que nos encontramos ante la infracción de un derecho del interesado, derecho de supresión, que no ha sido atendido por la entidad, lo que ha supuesto que el reclamante fuera intimado a el pago de una deuda que no le correspondía provocándole perjuicios con el intento de hacerle acreedor de una deuda que no le correspondía y el intento, producido el impago, de incluirlo en ficheros llamados comúnmente de morosidad; además, la operación de tratamiento ha supuesto que sus datos de carácter personal fueran objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 tratamiento sin legitimidad alguna al no evidenciarse base legal alguna para su tratamiento. Además, los datos personales del reclamante han sido objeto de tratamiento por el reclamado, sin que figure que es o haya sido cliente de la entidad (artículo 83.2.
  41. a)del RGPD). - Aunque si bien no es posible sostener que la entidad haya actuado intencionadamente o con dolo, no cabe duda de que ha incurrido en una grave falta de diligencia al no atender el derecho ejercitado como lo acredita que continuara y persistiera en su tratamiento como lo evidencian los mensajes emitidos con posterioridad al ejercicio del derecho (artículo 83.2.
  42. b)del RGPD). - El carácter continuado de la infracción, puesto que el reclamado ha estado tratando los datos de carácter personal del reclamante hasta el 19/04/2021; desde que le fue remitido el escrito de reclamación, solicitando la supresión los datos del reclamante debieron dejar de ser tratados sin dilación alguna (artículo 76.2.
  43. a)de la LOPDGDD en relación con el artículo 83.2.k). - La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal de sus clientes como de terceros por lo que, dado el volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
  44. b)de la LOPDGDD en relación con el artículo 83.2.k). Como circunstancias atenuantes: - El número de personas afectadas pues solo consta que lo haya sido el reclamante”. III El recurrente en su escrito de recurso alega su disconformidad con la resolución recurrida reiterando lo ya manifestado durante la tramitación del procedimiento y también, no se puede afirmar que haya habido ausencia de respuesta al derecho de supresión ejercitado por el reclamante; que por parte del recurrente ha existido en todo momento responsabilidad proactiva; la ausencia de daños y perjuicios causados al reclamante; que el recurrente tuvo conocimiento del dato personal del teléfono a través de la información facilitada por la AEPD; la ausencia de proporcionalidad en la sanción impuesta y las medidas adoptadas por el recurrente para evitar incidencias como la que dio lugar al procedimiento. - Alega el reclamado que no se puede afirmar que haya habido ausencia de respuesta al derecho de supresión ejercitado por el reclamante y que no fue hasta que la Agencia comunico el número de teléfono del reclamante cuando se constató que el mismo se encontraba vinculado a un tercero, Transportes A.A.A.. Sin embargo, tal argumentario no puede ser admitido; ya se señalaba en la resolución recurrida y se le reitera al recurrente que no se ha afirmado que hubiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 ausencia de respuesta puesto que en los propios hechos probados se recoge la respuesta ofrecida tanto al reclamante como al inspector actuante por el reclamado ante el requerimiento efectuado; lo que se afirmaba sin duda alguna era que el derecho no fue atendido porque el tratamiento persistió a pesar de los escritos remitidos (lo que debería haber propiciado como mínimo el cese del tratamiento), y se continuara intimando al reclamante con nuevos sms y advertencias de que en caso de impago seria incluido en ficheros de morosidad. Incurre el recurrente nuevamente en el error de vincular el conocimiento del dato del teléfono al momento en que la AEPD le dirigió requerimiento de información de fecha 15/02/2022; sin embargo, hay que aclararle al recurrente que el dato del teléfono ya le era conocido con anterioridad porque le fue aportado por el reclamante, a través de su representante, en el escrito que le dirigió el 25/08/2020 quejándose de los sms que se le estaban enviando como así figura en los hechos probados: “TERCERO. Consta escrito del reclamante dirigido al reclamado en fecha 25/08/2020, informándole del acoso telefónico al que está siendo sometido en su línea móvil ***TELÉFONO.2 como consecuencia de una deuda vinculada a la financiación de un vehículo que desconoce tener, solicitando la supresión de sus datos personales”. Por tanto, como también se señalaba en la resolución el reclamado tampoco ha demostrado el cumplimento del principio de responsabilidad proactiva, porque no basta con atender a la normativa en materia de protección de datos, sino también demostrar que se está cumpliendo con la misma. - El recurrente ha alegado su disconformidad con la afirmación realizada por la AEPD en relación con los daños y perjuicios causados al reclamante puesto que este no fue considerado en ningún momento cliente de la misma y por ende no podía ser considerado deudor de la misma. Sin embargo, tal alegato no puede ser aceptado; resulta llamativo y contradictorio lo señalado por el recurrente de que no fue considerado al reclamante en tales cualidades y no tuviera empacho en remitirle numerosos mensajes de texto en los que se le intimaba y conminaba a pagar la deuda para evitar su inclusión en ficheros de solvencia patrimonial, comúnmente denominados de morosos. Por otra parte, no debemos olvidar que nos encontramos ante el derecho fundamental a la protección de datos de carácter personal que persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tratamiento ilícito y lesivo para su dignidad. - Alega igualmente el recurrente la manifiesta desproporcionalidad en la cuantía de la sanción impuesta, a la vista de los hechos acaecidos, alegaciones realizadas y las circunstancias que concurren en el caso concreto. En cuanto al principio de proporcionalidad de las sanciones, la A.N. en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la resolución no vulnera el principio de proporcionalidad en la determinación de la sanción impuesta, resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, máxime teniendo en cuenta la cuantía a la que puede ascender dicha sanción de conformidad con el art. 83.5.
  45. b)del RGDP, que prevé para la infracción del artículo 17 del RGDP, "… multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Por tanto, se considera que la sanción impuesta es sumamente ponderada y proporcionada a la gravedad de los hechos puesto de manifiesto en la resolución recurrida. IV En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por RCI BANQUE, S.A. SUCURSAL EN ESPAÑA contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 04/04/2023, en el expediente RR/ 00301/2023. SEGUNDO: NOTIFICAR la presente resolución a RCI BANQUE, S.A. SUCURSAL EN ESPAÑA. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  46. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  47. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.