1/11 Procedimiento nº: PS/00397/2016 ASUNTO: Recurso de Reposición Nº RR/00347/2017 Examinado el recurso de reposición interpuesto por la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L.. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00397/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 6 de marzo de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00397/2016 , en virtud de la cual se imponía a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L.., una sanción de 50.000 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD),en relación con el artículo 38.1c), 39 y 43 del RLOPD, infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 08/03/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00397/2016, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. Con fecha 06/10/2015 tiene entrada en esta Agencia escrito de la afectada denunciando que al renovar la tarjeta de crédito en entidad bancaria le han informado que sus datos figuran en el fichero de morosidad ASNEF; solicitada la baja en el citado fichero le comunican que no pueden atender la misma y que la inclusión se ha realizado a instancias de la empresa SIERRA CAPITAL por una deuda contraída con VODAFONE (folios 1 y 2). SEGUNDO. Consta copia del DNI de la denunciante nº E.E.E. domiciliada en C/ B.B.B., coincidente con el que figura en su escrito de denuncia (folio 3). TERCERO. Consta que la denunciante presento denuncia por estos mismos hechos ante la Guardia Civil de Torredonjimeno (Jaén), el 20/04/2015 (folios 9 a 11). CUARTO. En fecha 03/03/2016 EQUIFAX, como encargado del fichero ASNEF, ha informado que en el citado fichero constan dos incidencias asociadas al identificador E.E.E. correspondiente a la denunciante, informadas por SIERRA CAPITAL, por operación telecomunicaciones, en la condición de titular, por un importe impagado de 161,91 euros: Primera: con fecha de alta y baja 09/01/2013 a 19/06/2013 y, Segunda: con fecha de alta 22/10/2014, (sin que conste la baja). Esta incidencia fue notificada a la dirección C/ D.D.D., Madrid (folios 28, 35, 46, 48, 60). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 QUINTO. La denunciante, en fecha 24/03/2015, se dirigió al responsable del fichero ASNEF ejercitando el derecho de cancelación de sus datos de carácter personal, quien el 30/03/2015 le respondía que “hemos trasladado su solicitud a la entidad SIERRA CAPITAL, procediendo la misma a confirmar la existencia de la deuda y por tanto la permanencia de los datos en el fichero”. Asimismo, le informaba que sus datos habían sido consultados por CAJA SUR y BBVA (folios 63 a 69). SEXTO. VODAFONE en escrito de 09/03/2016 ha aportado impresiones de pantalla de sus ficheros informáticos en los que figuran los datos de la denunciante asociados a la línea de telefonía móvil número ***TEL.1, con domicilio en C/ C.C.C., Madrid y nº de cuenta bancaria. La línea móvil figura dada de alta el 04/07/2011 y de baja el 14/07/2011 por impago, siendo contratada a través de internet. La entidad ha manifestado que “no ha sido posible recuperar documentación asociada a la misma” y que “dada la antigüedad de la contratación no se ha podido recuperar información alguna al respecto” (folios 161 y 164 a 167). SEPTIMO. SIERRA CAPITAL no ha aportado a esta Agencia la documentación suficiente que acredite que llevara a cabo el preceptivo requerimiento de pago de la deuda al denunciante con carácter previo a la inclusión en el fichero de solvencia patrimonial y de crédito ASNEF, con la advertencia de que podría producirse la misma en caso de producirse su impago, acreditando su entrega en la dirección que consta en sus sistemas, por una deuda derivada de una línea de telefonía móvil que no había sido contratada por aquella, toda vez que la notificación resultó devuelta y teniendo conocimiento de ello se incluyeron los datos de la denunciante en el fichero ASNEF. TERCERO: SIERRA CAPITAL MANAGEMENT 2012, S.L.. (en lo sucesivo el recurrente), ha presentado en fecha 11/04/2017 en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas a lo largo del procedimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VI ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 II Se imputa a SIERRA CAPITAL en el presente procedimiento sancionador una infracción del artículo 4.3 de la LOPD, que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos.” El artículo 38.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Y el artículo 39 del Reglamento de desarrollo de la LOPD establece que: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra c del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda realmente existe o si ha sido saldada. Es objeto de estudio en el presente procedimiento, y por tanto cuestión a dilucidar en el mismo, si la inclusión de los datos del denunciante en los ficheros de morosos se realizó conforme determina la normativa de protección de datos. En el presente caso, de lo comunicado a esta Agencia por EQUIFAX ha quedado acreditado que los datos personales del denunciante fueron informados al fichero ASNEF, por SIERRA CAPITAL, por operación telecomunicaciones, por un saldo impagado de 161,91 euros, constando dos incidencias: primera, con fechas de alta y baja 09/01/2013 a 19/06/2013 (prescrita) y, segunda, 22/10/2014, sin que conste la baja. En relación con la primera inclusión de los datos de la denunciante en el fichero ASNEF, SIERRA CAPITAL ha aportado la carta enviada al denunciante con fecha 30/09/2014, en la que le informaban de la adquisición del crédito celebrada entre VODAFONE y la empresa y requerimiento de pago previo a la inclusión de los datos en el fichero. SIERRA CAPITAL ha acreditado que tiene externalizado el servicio para el envío de los requerimientos previos de pago con la empresa EQUIFAX, quien a su vez tiene subcontratado con EMFASIS, la generación, impresión, ensobrado y puesta a disposición de los servicios postales las cartas de requerimiento de pago; se aporta certificado de EMFASIS de que la citada comunicación se generó sin incidencias y que fue depositada en los servicios postales el 02/10/2014; se aporta el albarán de Unipost de la misma fecha y el escrito de EQUIFAX certificando que “nos consta que la carta de Notificación del Requerimiento Previo de Pago, enviada el fecha 01/10/2014 y con ref. NT********1 dirigida a la denunciante,…ha sido devuelta por motivo DESCONOCIDO con fecha 22/10/2014 al apartado de Correos designado al efecto”, por lo que hay que deducir que el requerimiento no se produjo. SIERRA CAPITAL como acreedor e informante de dichos datos a los ficheros de solvencia, debió extremar su diligencia y responsabilidad en el momento de facilitar una información de esa naturaleza, llevando a cabo un efectivo control de las devoluciones de las cartas enviadas por correo. Estos hechos son contrarios al principio de calidad de datos y, por tanto, contravienen lo dispuesto en el artículo 4.3 de la LOPD, en relación con el artículo 29.4 de la misma Ley, tipificada en el artículo 43.3.
- c)de la citada Ley Orgánica. III Consta acreditado en esta Agencia que las entidades asociadas a los ficheros ASNEF y BADEXCUG suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales del denunciante son datos que figuran en los propios ficheros automatizados de SIERRA CAPITAL. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados a los ficheros comunes de información sobre solvencia patrimonial, en caso de que dichos datos sean de obligados respecto de una deuda para con la entidad que insta la inclusión . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este sentido se pronunciaba la Audiencia Nacional en su sentencia de 18 de enero de 2006: “Y qué duda cabe que la LOPD comprende bajo su régimen sancionador, al que suministra los datos al responsable del fichero, que es quien en realidad sabe la situación en que se encuentra el crédito, si ha sido o no satisfecho, en qué condiciones y en qué momento ha tenido lugar. En definitiva es el conocedor de la situación de solvencia en que se encuentra el afectado. Y en caso de que se produzca una modificación de dicha situación, debe informar al responsable del fichero para que este refleje con veracidad la situación actual del afectado” Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por SIERRA CAPITAL puede subsumirse o no en tales definiciones legales. SIERRA CAPITAL instó la incorporación al fichero ASNEF de los datos de la denunciante, en virtud de una deuda que no respondía con veracidad a la situación actual de aquel (en aquel momento), ya que la misma no había sido requerida de pago tal y como exige la normativa en materia de protección de datos. Dicha comunicación se realizó mediante un procedimiento que implica un tratamiento automatizado de los datos, como es su incorporación a una cinta magnética en cuyo destino también va a ser tratada automáticamente por los responsables del fichero de solvencia. Conforme a lo expuesto, SIERRA CAPITAL han decidido sobre la finalidad del tratamiento (la calificación de la denunciante como deudor), el contenido de la información (los datos relativos a la deuda asociados a la denunciante), y el uso del tratamiento (la incorporación del denunciante a un fichero común de información sobre solvencia patrimonial y crédito al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo), por lo que son responsables de que la información suministrada no responda al principio de calidad de datos recogido en el artículo 4 de la LOPD (exigencia de que los datos sean exactos y respondan a la situación actual de los afectados). Además, todo lo anterior lo ha realizado sin que los datos comunicados y mantenidos en los ficheros fueran exactos, pues la deuda informada no había sido requerida previamente de pago, pues, aunque SIERRA CAPITAL envío carta personalizada la misma no fue recepcionada siendo devuelta a la entidad remitente por motivo desconocido, por lo que el requerimiento, no pudo hacerse efectivo. Ello supone una clara vulneración del principio de calidad de datos, de la que debe responder SIERRA CAPITAL por ser responsables de la veracidad y exactitud de los datos existentes en sus ficheros y de los que suministran para que se incluyan y mantengan en los ficheros de solvencia patrimonial y crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 La conclusión que se desprende de los hechos y fundamentos de derecho expuestos es que SIERRA CAPITAL es responsable de la infracción del artículo 4.3 en relación con el artículo 29.4 de la LOPD en los términos del artículo 43, en relación con la definición del artículo 3.
- d)y
- c)de la citada Ley Orgánica. IV Respecto del requerimiento de pago, no hay constancia de que se produjeran estos con arreglo a lo que exige el artículo 38.1.
- c)del Reglamento de desarrollo de la LOPD, como previo a la inclusión de los datos personales de la denunciante en fichero de solvencia, en este caso ASNEF. Es por ello, que correspondía a tanto a SIERRA CAPITAL probar la realización del mismo, es decir, su envío y recepción por el interesado informando de que producido el impago, sus datos podrían ser comunicados a los ficheros de solvencia, con expresión de la deuda impagada, como requisito previo a la inclusión en los citados ficheros. La Audiencia Nacional en sentencia de fecha 23/05/2007, establece que "Pues bien, el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues solo así puede tenerse certeza de su recepción, si estos niegan la misma. En todo caso ha de realizarse el requerimiento expresando el concepto y el importe de la deuda determinante de la remisión de los datos al fichero de solvencia patrimonial, sin que pueda aceptarse, como señala la parte recurrente en su escrito de demanda, que hubiera bastado con que el titular de los datos hubiera realizado unas operaciones aritméticas para conocer el importe de la deuda que daría lugar a la inclusión de sus datos en el fichero "Asnef". Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo -norma primera de la Instrucción 1/1995- y una Ley Orgánica que tipifica como infracción grave el incumplimiento de la misma (artículo 44.3 .d/ de la LO 15/1999) debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental -artículo 18.4 de la CE bajo la referencia al uso de la informática- que extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud del dato, mediante la previa comprobación en el requerimiento previo". Así pues, no ha quedado acreditado que la deuda informada por la entidad al fichero ASNEF haya sido requerida previamente de pago, que el requerimiento de pago haya sido remitido a la dirección del denunciante, así como la justificación que acreditara la recepción por su destinatario. En ese mismo sentido se pronuncia la Sentencia de la Audiencia Nacional de 19/09/2007 (Rec. 130/2006) en su Fundamento de Derecho Tercero señala que: en relación con esta exigencia de intimación debemos señalar que el requerimiento ha de realizarse de manera que se tenga constancia de su recepción por los destinatarios, pues la exhibición de una carta, en relación con las cuales no consta no ya su recepción sino, ni siquiera, su envío, no permite tener por cumplida la citada exigencia. Debemos tener en cuenta, en este sentido, que cuando una norma reglamentaria impone la realización de este requerimiento previo- norma primera de la Instrucción 1/1995- y una Ley Orgánica tipifica como infracción grave el incumplimiento de la misma, ( artículo 44.3 d LOPD), debe concluirse que la carga de acreditar la comunicación corre de cuenta del que comunica los datos al fichero, pues se trata de salvaguardar un derecho fundamental - artículo 18.4 de la CE bajo la referencia al uso de la informática- y que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 extiende su protección bajo la fórmula del respeto a los principios que establece la LO 15/1999, entre los que se encuentra la exactitud de datos que acceden a los ficheros de responsabilidad patrimonial, mediante la previa comprobación en el requerimiento previo. La solución contraria, presumiendo cumplida la exigencia del requerimiento previo con la mera alegación de que el mismo se envió, supondría vaciar de contiendo dicha intimación legal y reglamentariamente impuesta, pues bastaría con la simple afirmación de su existencia parea que hubiera de entenderse realizada. Con tal proceder se privaría a los interesados del conocimiento y, en su caso, de la posibilidad de formular reparos a la exactitud, o no, del dato personal que va a acceder al fichero de responsabilidad patrimonial" que es precisamente la finalidad del principio que se pretende salvaguardar". Por tanto, los hechos denunciados son contrarios al principio de calidad de datos consagrado en el artículo 4.3 en relación con el 29.4, ambos de la LOPD, y el artículo 38.1
- c)del Reglamento de desarrollo de la LOPD toda vez que SIERRA CAPITAL instó la inclusión de los datos del denunciante, con motivo de una deuda en el fichero ASNEF sin que hayan acreditado que hubiera sido requerido previamente de pago conforme exige la normativa precitada. V La representación de SIERRA CAPITAL ha alegado que en ningún precepto se señala la obligación de acreditar la recepción de la comunicación del requerimiento y que actuó en todo momento con la diligencia debida y conforme al principio de buena fe al utilizar los datos cedidos por VODAFONE. En primer lugar, hay que tener en cuenta que comprobado por la Agencia el acceso de una deuda a un registro solvencia patrimonial, corresponde al que utiliza tal medio acreditar la concurrencia de los requisitos señalados en el artículo 38.1 del Reglamento de desarrollo de la LOPD anteriormente mencionados. Como señala la A.N. en sentencia de 20/04/2006: "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos" EN segundo lugar, es cierto que SIERRA CAPITAL no puede conocer si el responsable del reparto ha entregado o no dicha comunicación al deudor, pero también lo es que en el presente caso existe una presunción de su no recepción; la empresa a través de EQUIFAX, encargada de gestionar el control de las devoluciones, conocía que el requerimiento de pago dirigido a la denunciante había sido devuelto, por lo que estaba señalando y certificando que el requerimiento no había sido entregado a su destinataria. La A.N. en sentencia de 28/06/2016 ha señalado que “Así es, el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de comunicación a los deudores de requerimientos de pago como el que nos ocupa, Delion Communications, S.L.U y que se justificara suficientemente su entrega a UNIPOST, S.A. para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 El incumplimiento de tal obligación, previa a la inclusión de los datos en los ficheros de solvencia, determina la imputación del tratamiento de datos con infracción del principio de calidad mencionada, resultando relevante al respecto que la recurrente no haya aportado la documentación justificativa de la realización del citado requerimiento previo de pago con la correspondiente advertencia, exigible para la inclusión y mantenimiento de la deuda en los ficheros de tal naturaleza”. En cuanto a que no es necesario acreditar la recepción del requerimiento por el interesado, tal manifestación tampoco puede ser admitida, la propia A.N. ha señalado en numerosos casos que la exhibición de la copia de una carta en relación con la cual no consta su recepción por el deudor y ni siquiera su envío, no permite tener por acreditada la citada exigencia. También la A.N. en sentencia de 14/04/2015, ha señalado que “En definitiva, mediante tal actividad S.A. de Promociones y Ediciones facilitó a la entidad encargada del fichero de solvencia una información relativa a datos personales de la denunciante infringiendo el principio de calidad de los datos, pues lo hizo sin practicar a la deudora el requerimiento previo de pago antes expresado. Así es, el hecho de que la carta que contenía el citado requerimiento fuera entregada por la demandante a la empresa que le presta el servicio de distribución postal, Distribuidora Postal, S.A., y que esta certificara que la misma no fue devuelta por el servicio de Correos, no significa necesariamente que fuera entregada a la destinataria, por lo que no constituye prueba de este extremo. El incumplimiento de tal obligación, previa a la inclusión de los datos en los ficheros de solvencia, determina la imputación del tratamiento de datos con infracción del principio de calidad mencionada, resultando relevante al respecto que la recurrente no haya aportado la documentación justificativa de la realización del citado requerimiento previo de pago con la correspondiente advertencia, exigible para la inclusión y mantenimiento de la deuda en los ficheros de tal naturaleza”. En cuanto a la buena fe, hay que indicar que la Audiencia Nacional en su Sentencia de 24/05/02 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”. VI De acuerdo con las previsiones de la LOPD, según redacción dada por la Ley 21/2011, el artículo 44.3.
- c)tipifica como infracción grave “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. A tenor del artículo 45.2 las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. SIERRA CAPITAL ha incurrido en la infracción grave descrita al comunicar los datos de carácter personal del denunciante al fichero de morosidad ASNEF, sin que conste acreditado que haya realizado el requerimiento previo de pago a la citada inclusión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 VII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. SIERRA CAPITAL ha solicitado que se declare el archivo del procedimiento y no existencia de responsabilidad de la entidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que SIERRA CAPITAL ha vulnerado el artículo 4.3 de la LOPD, al informar los datos de carácter personal del denunciante al fichero de morosidad ASNEF sin acreditar la recepción del preceptivo requerimiento de pago previo a la inclusión llevada a cabo el 22/10/2014 (sin que conste la baja), por lo que su actuación ha de ser objeto de sanción. Por tanto, en cuanto a la aplicación del artículo 45.5 no se dan las circunstancias establecidas, lo que impide apreciar la existencia de motivos para la aplicación de la facultad contemplada en el mismo, debido, por un lado, no obra en el expediente ningún elemento que lleve a apreciar la concurrencia de alguna de las circunstancias previstas en los apartados b, c),
- d)y
- e)del referido artículo y, por otro, a la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, entre otras en Sentencia de 26 de noviembre de 2008). Por otra parte, se aprecian la concurrencia de circunstancias agravantes en la conducta de ambas entidades: el carácter continuado de la infracción (apartado
- a)del artículo 45.4 de la LOPD), porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a SIERRA CAPITAL tiene naturaleza de infracción continuada o permanente; la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
- c)del artículo 45.4 de la LOPD), pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. Una vez valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 tanto favorables como adversos se impone una sanción de 50.000 euros, por vulneración del artículo 4.3 de la LOPD, de la que SIERRA CAPITAL debe responder. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SIERRA CAPITAL MANAGEMENT 2012, S.L.. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 6 de marzo de 2017, en el procedimiento sancionador PS/00397/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad SIERRA CAPITAL MANAGEMENT 2012, S.L.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es