REPOSICION-PS-00406-2017

1/11 Procedimiento nº.: PS/00406/2017 ASUNTO: Recurso de Reposición Nº RR/00053/2018 Examinado el recurso de reposición interpuesto por la entidad TTI FINANCE SARL. (TTI), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/406/2017, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30/11/17 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/406/2017, por la que se acuerda Imponer a la entidad TTI, una multa de 60.000 (SESENTA MIL euros); por una infracción del artículo 4.3) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (LOPD), tipificada como grave en su artículo 44.3.c), fundamentándolo, esencialmente en: “Se sanciona a TTI por haber realizado el requerimiento previo de pago sin atender a lo estipulado en la LOPD, al no presentar certificado de “NO devolución” de dicho requerimiento y al haber incluido los datos personales del denunciante en el fichero ASNEF, en una fecha anterior a la fecha límite concedida para el pago de la deuda. Esto es, la inclusión de los datos personales en el fichero de solvencia ASNEF fue realizado el 07/12/16, mientras que el requerimiento previo de pago fue puesto en el servicio de envíos postales UNIPOST, el 10/10/16. En el requerimiento previo de pago se indicaba que se concedía un plazo de 30 días para regularizar su situación de impago. Plazo que finalizaría, como muy pronto el 10/12/16, tres días después de haber sido incluido en el fichero ASNEF”. Dicha resolución, que fue notificada a la entidad recurrente, con fecha 29/12/17, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de lo siguiente: a).- Existe carta de requerimiento previo de pago, referenciada y con fecha de 04/11/16, que remite la entidad denunciada al denunciante a su dirección, en la que se reclama el pago de la deuda. Se le requiere para que en el plazo de 30 días realice el pago de la deuda y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago. b).- Existe certificado expedido por SERVINFORM SA que acredita que con fecha 04/11/16 se recibió el fichero de cartas entre las que se encontraba el requerimiento previo de pago dirigido al denunciante. c).- Existe escrito de SERVINFORM SA donde certifica la generación, impresión y puesta en el servicio de envíos postales, el 10/11/16 del requerimiento previo de pago dirigido al denunciante. d).- Existe documento acreditativo del gestor postal UNIPOST en el que figura la remisión del requerimiento previo de pago al denunciante con fecha 10/11/16. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 e).- Los datos personales de B.B.B. son incluidos en el fichero de solvencia el 07/12/16 (3 días antes de la finalización del plazo concedido para la regularización de su situación). TERCERO: La entidad TTI ha presentado, con fecha 24/01/17, recurso de reposición fundamentándolo, básicamente, en que: A).- Incompetencia de la AEPD para la incoación, tramitación y resolución del procedimiento sancionador frente a TTI FINANCE, S.A.R.L. Atendiendo a lo estipulado en los artículos 2 de la LOPD y 3 del RLOPD. Pues bien, del tenor literal de lo preceptuado por los artículos citados, dos son los requisitos establecidos para que la ley española sea de aplicación, a saber: a), que el tratamiento de los datos se realice en territorio español, y

1. b)que dicho tratamiento se efectúe en el marco de las actividades de un establecimiento del responsable del tratamiento. Sentado lo anterior, ninguno de los anteriores requisitos concurre en el caso que nos ocupa, según pasamos a exponer a continuación. TTI es una sociedad luxemburguesa sujeta a su ley nacional, que ha contratado con la sociedad de nacionalidad inglesa GROVE CAPITAL MANAGEMENT LIMITED (en adelante GROVE) la prestación de los servicios de recobro, quien a su vez ha subcontratado a una Entidad española para la prestación de dichos servicios en relación con los créditos adquiridos en España. Es evidente por tanto, que existe un error en la interpretación que la Agencia realiza del concepto “establecimiento del responsable del tratamiento en territorio español. Como señala la propia AEPD, con cita de la sentencia del Tribunal de Justicia de la Unión Europea de 13 de mayo de 2014, “el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable”, “sin que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante”. Pues bien, lo determinante, por tanto, para considerar la existencia de un establecimiento permanente es la existencia de una instalación estable, con independencia de su forma jurídica, pero perteneciente al responsable del tratamiento de los datos. En el caso que nos ocupa es evidente que TTI no tiene establecimiento permanente en territorio español, ya que la realidad es otra. Y es que, como hemos mencionado anteriormente, TTI contrató la prestación de los servicios de recobro de las carteras de deuda que adquiere de terceros a nivel mundial a GROVE, quien a su vez y con la debida autorización de TTI, subcontrató dichos servicios para las carteras de deuda adquiridas en España. Es evidente que la Agencia, confunde la existencia de un establecimiento permanente del responsable del tratamiento, en este caso TTI, con las instalaciones y oficinas de TDX, que no es más que un tercero con quien se ha subcontratado la prestación de servicios. Es decir, el espacio, instalaciones y medios materiales de TDX, como tercero con personalidad jurídica e independiente de TTI, no pueden ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 considerados como un establecimiento permanente de TTI. Y es que TDX únicamente presta los servicios que le han sido contratados y siguiendo las instrucciones de TTI, y no sólo presta servicios a TTI, sino a otras muchas también. Considerar, por tanto como establecimiento permanente las instalaciones de un prestador de servicios, por el mero hecho de prestar los servicios contratados es una argumentación del todo punto ilógica, irrazonada y carente a todas luces de fundamento. Estamos ante una interpretación expansiva de la Ley en beneficio propio de la Administración y en evidente perjuicio de los administrados. Todo lo anterior no quita para que el tratamiento de los datos, por el mero hecho de tratarse en España, quede sometido expresamente a las reglas contenidas en el Título VIII del RLOPD, pero ello desde luego no conlleva la aplicación de la ley española ni mucho menos competencia de la AEPD para la sanción de las presuntas infracciones que se pudieran cometer. En este sentido, careciendo la Agencia de competencia para la incoación, tramitación y resolución de cualquier procedimiento frente a TTI, por ser ésta de nacionalidad luxemburguesa, la misma debe inhibirse a favor de la Agencia de Protección de Datos luxemburguesa quien es la competente para ello, y quien deberá velar del cumplimiento de las reglas contenidas en el Título VIII del RLOPD. Procede, por tanto, y en virtud de todo lo expuesto, el sobreseimiento y archivo de las presentes actuaciones. TTI es una sociedad luxemburguesa sujeta su ley nacional, esto es, la Ley de Protección de Datos de 2002 de Luxemburgo. Es por ello que la LOPD y su reglamento no son aplicables a TTI, por lo que la Agencia a la que me dirijo carece de competencia con respecto a TTI. Y es que TTI tiene firmado un contrato de consultoría con la entidad GROVE PERFORMANCE MANAGEMENT LIMITED, sociedad de nacionalidad británica domiciliada en Londres, la cual realiza el tratamiento de los datos obtenidos con ocasión de la adquisición de carteras. Así las cosas, el Responsable del tratamiento de los datos de los deudores se encuentra ubicado en un país de la Unión Europea, lo cual garantiza el cumplimiento de la legislación europea en materia de protección de datos y excluye la aplicación de la legislación española. Véase en este sentido los Informes Jurídicos de la AEPD a la que me dirijo, números 0369/2010, el cual se remite al Informe de 2 de julio de 2008, e Informe Jurídico 0568/2008. Sobre dicha cuestión se han pronunciado los Tribunales, estimando la incompetencia de la AEPD para el conocimiento, tramitación y resolución de supuestas infracciones cometidas por TTI, sirviendo como botón de muestra la Sentencia de fecha 25 de octubre de 2017, dictada por la Sección 2a de la Audiencia Nacional en el Recurso Contencioso Administrativo 99/2016. Siendo evidente, por tanto, la incompetencia de la Agencia para el conocimiento, tramitación y resolución del presente procedimiento sancionador por ser C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 TTI nacional de Luxemburgo, debe declararse nulo el presente procedimiento, por ser nulos de pleno derecho los actos los dictados por órgano manifiestamente incompetente por razón de la materia o del territorio, de conformidad con lo establecido en la letra
2. b)del punto 1 del artículo 47 de la Ley 39/2015, de 1 de octubre. De Procedimiento Administrativo Común de las Administraciones Públicas. B).- Nulidad del procedimiento sancionador En el Antecedente de Hecho Cuarto de la Resolución recurrida, textualmente se indica lo siguiente: “CUARTO: Notificado el acuerdo de inicio del procedimiento sancionador, el 03/10/17, la entidad TTI, NO presenta ningún tipo de alegaciones al mismo, en el plazo concedido para ello, y que finalizó el 17/10/17”. Pues bien, dicho extremo no es cierto, ya que la resolución que se dice, esto es, el Acuerdo de inicio del procedimiento sancionador dictada por la Directora de la AEPD con fecha 21 de septiembre de 2017, nunca fue notificada a TTI, lo que conlleva a todas luces la nulidad del mismo y, consecuentemente, del presente procedimiento sancionador, de conformidad con lo establecido en la letra
3. e)del punto 1 del artículo 47 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Conforme tiene señalada nuestra jurisprudencia, los actos de comunicación entre el órgano y las partes no tienen otra finalidad o razón de ser que la de asegurar que, en la realidad, se ha producido aquella participación de conocimiento, o que, en la ficción jurídica, se ha producido en determinadas circunstancias o no se ha producido (Sentencia TS de 25 de febrero de 1998). Así mismo, el objeto de toda notificación administrativa y de las formalidades de que ha de estar revestida, para tener validez, es el de garantizar que el contenido del acto llegue a conocimiento del obligado. El Tribunal Supremo ha señalado que lo relevante no es solo que se cumplan las previsiones legales sobre cómo se llevan a efecto las notificaciones, sino el hecho de que los administrados lleguen a tener conocimiento de ellas, esto es, que efectivamente el sujeto pasivo tenga conocimiento efectivo del acto notificado (Sentencia de 7 de mayo de 2009). Así las cosa, no teniendo conocimiento TTI del Acuerdo de inicio del procedimiento sancionador dictado por la Directora de la AEPD con fecha 21 de septiembre de 2017, por no habérsele notificado dicho Acuerdo, dicho acto administrativo es nulo, y por consiguiente, el procedimiento sancionador derivado del mismo. C).- Inexistencia de infracción imputada. Fundamenta la Resolución recurrida la imposición de la sanción, por los siguientes motivos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 No obstante, se sanciona a TTI por haber realizado el requerimiento previo de pago sin atender a lo estipulado en la LOPD, al no presentar certificado de ‘NO devolución’ de dicho requerimiento al haber incluido los datos personales del denunciante en el fichero ASNEF en una fecha anterior a la fecha límite concedida para el pago de la deuda, Esto es, la inclusión de los datos personales en el fichero de solvencia fue realizado el 07/12/16, mientras que el requerimiento preo de pago fue puesto en el servicio de envíos postales el 10/10/16, donde le indicaban que tenía un plazo de 30 días para regularizar su situación. Plazo que finalizaría, como muy pronto el 10/12/16, tres días después de haber sido incluido en el fichero ASNEF. Pues bien, en relación con la argumentación relativa a que no se ha presentado el certificado de “NO devolución”, hemos de manifestar que dicho certificado sí fue adjuntado debidamente como documento núm. 8 al escrito presentado por TTI en las Actuaciones de Investigación núm. E/01787/2017, y en el que NO COSTA que la comunicación remitida fuera devuelta por cualquier motivo al apartado de correos designado al efectos. No obstante lo anterior se adjunta nuevamente al presente recurso como documento núm. 1. Y con respecto a la inclusión de los datos personales en el fichero ASNEF el día 07/12/16, hemos de manifestar que el plazo de 30 días concedido al efecto para regularizar la situación de morosidad se han de considerar desde la fecha de la carta, por lo que la inclusión de los datos personales al referido fichero respetó el plazo de 30 días concedido. No obstante lo anterior, hemos de manifestar que con anterioridad a dicho requerimiento, TTI envió otro requerimiento, que en todo caso justificaría la inclusión de los datos personales del deudor en el fichero de crédito y solvencia patrimonial, llevado a cabo en el mes de enero de 2015, y cuya documentación acreditativa se relaciona a continuación: a).- Copia de la comunicación personalizada e individualizada (no el modelo) remitida al Titular mediante la cual se informó al mismo de su posible inclusión en ficheros relativos al cumplimiento e incumplimiento de obligaciones dinerarias, así como del importe de la deuda (documento núm. 2). b).- Certificado emitido por la entidad SERVINFORM, S.A., Entidad encargada de la prestación del servicio de envío de requerimientos de pago y notificación de la cesión, acreditativo del envío de la comunicación al Titular, y que en el proceso de generación, impresión y puesta en servicios de envíos postales se desarrolló correctamente sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen el normal desarrollo del mismo (documento núm. 3). c).- Albarán de entrega en el servicio de correos postales, debidamente sellado (documentos núms. 4 y 4bis). d).- Certificado emitido por EQUIFAX IBERICA, S.L. acreditativo del resultado del envío del requerimiento de pago y notificación de la compra de su deuda al Titular, y en el que puede comprobarse que NO CONSTA que la comunicación enviada haya sido devuelta por motivo alguno al Aparado de Correos que ha sido designado para tal efecto (documento núm. 5). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 D).- Falta de proporcionalidad de la sanción impuesta Para el caso de que se estime la concurrencia de la infracción cometida por TTI, indicar que la misma está tipificada como grave de conformidad con lo establecido en el artículo 45.2 de la LOPD, pudiendo ser sancionada con multa de 40.001 a 300.000 euros. No obstante lo anterior, el apartado 5 del citado artículo 45 de la LOPD, preceptúa que el órgano sancionador debe establecer la cuantía de la sanción, aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada, entre otros casos, “cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”, así como “cuando la entidad infractora haya regularizado la situación irregular de forma diligente”, como ocurre en el caso que nos ocupa al haber dado de baja al Denunciante del fichero en el momento en que tuvo conocimiento de la denuncia interpuesta ante la AEPD. Pues bien, teniendo en cuenta el devenir de los hechos acontecidos, y la concurrencia de varios de los anteriores requisitos, esta Entidad entiende que, aún de modo subsidiario, sería de aplicación la letra
4. a)del apartado 5 del artículo 45 de la LOPD, ya que este precepto no es sino una manifestación del llamado principio de proporcionalidad. No se ha producido por TTI una desatención burda al contenido de las normas sobre protección de datos y que son circunstancias que justifican que se considere concurrente una reducción en la culpabilidad de la recurrente y que se lleve a cabo la reducción prevista en el artículo 45.5 de la LOPD. Se solicita por último: A).- Se declare nulo y se deje sin efecto el Procedimiento núm. PS/00406/2017, decrete el sobreseimiento libre y archivo del expediente contra TTI FINANCE, con todo lo demás que en Derecho proceda B).- Subsidiariamente, se declare no ajustada a derecho y, por lo tanto, nula y sin valor ni efecto alguno, el Acuerdo de inicio del procedimiento sancionador dictada por la Directora de la AEPD con fecha 21 de septiembre de 2017, y la Resolución núm. R/00976/2017, firmada electrónicamente por la Directora de la Agencia Española de Protección de Datos con fecha 15 de diciembre de 2017, en el Procedimiento núm. PS/00406/2017, anulando y dejando sin efecto todos los actos originadores, derivados y consecuentes de dichos Acuerdos llevados a cabo o dictados por la Administración, decretando el sobreseimiento libre y archivo del expediente contra TTI FINANCE SarI., con todo lo demás que en Derecho proceda. C).- Subsidiariamente, para el caso de que no se estime lo anterior, se acuerde imponer a TTI FINANCE por una infracción del artículo 4.3 de la LOPD, en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 con el artículo 29.4 de la misma norma y en relación también con los artículos 38 y 39 del RLOPD, tipificada como grave en el artículo 44.3.
5. c)de la citada Ley Orgánica, una multa de novecientos (900,00) euros de conformidad con lo establecido en el artículo 45 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por la entidad TTI, en su escrito de recurso de reposición, debe señalarse que: A).- Respecto de la “Incompetencia de la AEPD para la incoación, tramitación y resolución del procedimiento sancionador frente a TTI” indicar que, los argumentos que esgrime TTI para que la AEPD no pueda imponer a una sociedad comunitaria no establecida en España la normativa sobre protección de datos de carácter personal, se fundamentan en que la competencia va ligada a que la entidad disponga de un establecimiento en el sentido de que desarrolle en él una actividad real y efectiva a través de una instalación estable, en el marco de cuyas actividades se efectúe la operación en cuestión, correspondiendo al órgano jurisdiccional nacional llevar a cabo tal apreciación. Directiva 95/46/CE. Pues bien, de la documentación aportada por TTI “durante las actuaciones previas de investigación, consta que dicha entidad dispone de representantes en España, en concreto en número de once