REPOSICION-PS-00482-2022

1/11  Expediente nº.: EXP202209339 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 30 de enero de 2023, y en base a los siguientes: HECHOS PRIMERO: Con fecha 30 de enero de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202209339, en virtud de la cual se imponía a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., con NIF A08980153, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 70.000 euros (setenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 30 de enero de 2023 fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00482/2022, quedó constancia de los siguientes: procedimiento sancionador, 1. La parte reclamante manifiesta que Caixabank Payments & Consumer EFC, EP, S.A.U., a través de empresas de recobro, le está reclamando, el pago de una deuda que quedó anulada por Sentencia 66/2019 del Juzgado de Primera Instancia nº 1 de Inca, juicio ordinario 262/20218, de fecha 13 de mayo de 2019. 2. Consta en la carta del Grupo CaixaBank, de fecha 24 de diciembre de 2020, que verificaban la nulidad del contrato, por lo que han dado órdenes para el cese de las reclamaciones de impago que recibía. 3. La parte reclamante, proporciona una captura de pantalla del SMS recibido de la empresa de recobro en nombre de la reclamada, de fecha 23 de julio de 2021, reclamando el pago de la deuda. 4. Consta que la entidad demandada en el procedimiento por que se declara la nulidad radical del contrato de tarjeta “Visa Classic Club Ahora” es la entidad CaixaBank Payments, E.F.C. E.P., S.A., con NIF A08980153 5. Consta en el Fundamento de Derecho Quinto (fondo de la cuestión) de la Sentencia 66/2019 del Juzgado de Primera Instancia nº 1 de Inca, juicio ordinario 262/20218, de fecha 13 de mayo de 2019 que <<por lo tanto, lo procedente es declarar la nulidad del contrato de tarjeta suscrito en fecha 6 de marzo de 2015 entre las partes (contrato Visa Classic Club Ahora con nº ***CUENTA.1) por razón del carácter usurario del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 interés remuneratorio, con el efecto de que la actora venga obligada únicamente a devolver la prestamista la cantidad percibida por capital que quede por amortizar. La consecuencia de dicha declaración de nulidad es que el actor únicamente vendrá obligado a devolver a la parte demandada el capital efectivamente dispuesto, descontando toda cantidad que exceda de dicho capital>>. 6. Se constata que el reclamante abonó en cumplimiento de la mencionada Sentencia, el 30 de septiembre de 2020, la cantidad total de XXX,XX€, y que el referido Juzgado, con fecha 6 de noviembre de 2020, le entregó a la representación procesal de CaixaBank Payments & Consumer el correspondiente mandamiento de pago por dicho importe (XXX,XX €). 7. Los datos de carácter personal referentes al contrato de tarjeta suscrito, en fecha 6 de marzo de 2015, por el interesado, fueron objeto de cancelación/supresión por parte de la parte reclamada. TERCERO: La parte recurrente ha presentado en fecha 28 de febrero de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición. Como fundamento del recurso la recurrente reitera los argumentos expuestos a lo largo del procedimiento y considera que la conducta susceptible de infracción no es imputable a la recurrente, sin que, por tanto, pueda ser condenada o sancionada sino por hechos que le puedan ser imputados, y que estimando el recurso, en su día se dicte otra en su lugar por la que se revoque la resolución recurrida, anulándola y dejando sin efecto la sanción impuesta. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II al IV, de la Resolución recurrida, tal como se transcribe a continuación: <<II Obligación incumplida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Se imputa a CaixaBank Payments, E.F.C. E.P., S.A. la comisión de una infracción por vulneración del artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Tipificación y calificación de la infracción La infracción a la se responsabiliza a la parte reclamada se encuentra tipificada en el artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
8. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, <<
9. b)El tratamiento de datos personales sin que concurra alguna de las condiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679>> En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: A juicio de la reclamada el acuerdo de apertura se encuentra viciado de nulidad por la indefensión que le ha generado el hecho de que la AEPD haya fijado en él el importe de la sanción, en lugar de expresar solo los límites de la posible sanción; porque no se han motivado las agravantes y porque a través del acuerdo de inicio se hace una valoración de la culpabilidad de la reclamada sin que haya tenido ocasión de pronunciase al respecto. Añade también que el acuerdo de inicio excede del contenido previsto en el artículo 68 de la LOPDGDD y que, al haber fijado el órgano decisor el importe de la sanción en el acuerdo de apertura del procedimiento, se ha visto comprometida la imparcialidad del órgano instructor, que conoce así, antes de iniciar el procedimiento, el criterio del órgano al que deberá elevar el expediente, lo que determina en su opinión una “clara ruptura del principio de separación de la fase instructora y de sanción”. Entiende la reclamada que las reglas del artículo 85 de la LPACAP no son aplicables al presente caso sino a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, según el cual la cuantía de la sanción pecuniaria podrá determinarse “iniciado el procedimiento sancionador”, por lo que, sostiene la entidad, “se estaría asimilando” “el acto mismo de iniciación con el hecho de que el procedimiento se encuentre iniciado”. Los argumentos que esgrime la parte reclamada no pueden admitirse. El acuerdo de apertura se ajusta a lo previsto en el artículo 68 de la LOPDGDD, conforme al cual bastará con que concrete los hechos que motivan la apertura, se identifique la persona o entidad contra la que se dirige el procedimiento, la infracción que hubiera podido cometer y su posible sanción. En idéntico sentido se expresa el artículo 64.2 de la LPACAP que refiere cuál es el contenido mínimo del acuerdo de iniciación. Según este precepto, entre otros detalles, deberá contener “los hechos que motivan la incoación del procedimiento, su posible calificación jurídica y las sanciones que pudieran corresponder, sin perjuicio de lo que resulte de la instrucción”. Por ello, en este caso, no solo se cumplen las exigencias mencionadas en los preceptos citados, sino que se va más allá, ofreciendo razonamientos que justifican la posible calificación jurídica de los hechos y se mencionan las circunstancias que pueden influir en la determinación de la sanción. No puede obviarse que el artículo 85 de la LPACAP - que contempla la posibilidad de aplicar reducciones sobre el importe de la sanción para el caso de que el infractor reconozca su responsabilidad y en caso de pago voluntario de la sanción- obliga a determinar esas reducciones en la notificación del acuerdo de iniciación del procedimiento, lo que implica, necesariamente, que deba fijarse en dicho acuerdo el importe de la sanción correspondiente a los hechos imputados. Extremo que justifica sobradamente que se refieran en él las circunstancias modificativas de la responsabilidad, pues éstas inciden directamente en la determinación de la cuantía de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 En contra de la tesis que defiende la reclamada, el artículo 85 de la LPACAP no prevé tampoco que la cuantía de la sanción se determine una vez iniciado el procedimiento. Más al contrario, es el reconocimiento de la responsabilidad y el pago voluntario de la sanción lo que ha de producirse con posterioridad a ese momento, pero no la fijación de su cuantía. Respecto a la opinión de la reclamada según la cual el artículo 85 LPACAP únicamente podría aplicarse a los supuestos en los que la norma sancionadora impone una multa de carácter fijo y objetivo y que la aplicación que se ha hecho de este precepto en el acuerdo de inicio no respeta su tenor literal, se ha de indicar que la AEPD viene aplicando el artículo 85 LPACAP de igual forma desde la entrada en vigor de la citada ley sin que la Sala de lo Contencioso Administrativo de la Audiencia Nacional, ante la que cabe recurso contencioso administrativo frente a sus resoluciones, se haya pronunciado nunca en línea con el criterio que esa entidad defiende. No puede tampoco admitirse que haber indicado en el acuerdo de inicio la sanción que pudiese corresponder a la reclamada por la infracción imputada sea determinante de indefensión o suponga una ruptura del principio de separación de las fases de instrucción y resolución, pues esta Agencia se limita a dar cumplimiento con ello a una de las exigencias previstas en las normas reseñadas. A mayor abundamiento, también los artículos 68 de la LOPDGDD y 64.2 de la LPACAP exigen como contenido del acuerdo de apertura que se fije la sanción que pudiera corresponder. Así pues, la pretendida ruptura “del principio de separación de la fase instructora y de sanción” que aduce la reclamada -extremo que esta Agencia niega- sería, de existir, la consecuencia de la correcta aplicación que esta Agencia viene haciendo de un precepto legal, el artículo 85 de la LPACAP. Sobre lo manifestado por la reclamada de que, habiendo fijado el acuerdo de apertura el importe de la sanción y las circunstancias modificativas de la responsabilidad que podrían apreciarse, ella no ha tenido ocasión de pronunciarse, nos limitamos a señalar que el procedimiento administrativo se inicia precisamente con el acuerdo de apertura y es a partir de entonces -no antes- cuando el artículo 53 de la LPACAP reconoce al interesado una serie de derechos, entre ellos el previsto en el artículo 53.1.e). Por último, por lo que concierne al vicio de nulidad del que, a juicio de la reclamada, adolece el procedimiento como consecuencia de la indefensión que dice haber sufrido cabe indicar lo siguiente: En primer término, la reclamada no especifica en qué apartado del artículo 47.1 de la LPACAP funda la nulidad que invoca. En segundo término, la invocada nulidad del procedimiento en ningún caso podría fundarse en el apartado
10. a)del artículo 47.1. de la LPACAP, en conexión con la supuesta ruptura de la separación entre la fase instructora y la resolutoria a tenor del artículo 24.2 de la C.E. Esto, porque de acuerdo con las SSTC 74/2004 y 175/2005, el principio consagrado en el artículo 24.2 de la C.E. a tenor del cual quien instruye no resuelve, no es aplicable al procedimiento administrativo, de forma que en este ámbito no estamos ante un derecho con rango constitucional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 Y finalmente, en tercer lugar, para el caso de que se pretenda fundar la nulidad del procedimiento en el motivo recogido en el apartado
11. e)del artículo 47.1 de la LPACAP parece conveniente traer a colación la STC 78/1999, de 26 de abril, que en su Fundamento Jurídico 2, dice: “Así pues, según reiterada doctrina constitucional que se sintetiza en el fundamento jurídico 3º de la STC 62/1998, "la estimación de un recurso de amparo por la existencia de infracciones de las normas procesales 'no resulta simplemente de la apreciación de la eventual vulneración del derecho por la existencia de un defecto procesal más o menos grave, sino que es necesario acreditar la efectiva concurrencia de un estado de indefensión material o real' (STC 126/1991, fundamento jurídico 5º; STC 290/1993, fundamento jurídico 4º). Para que pueda estimarse una indefensión con relevancia constitucional, que sitúa al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, siendo necesario que de esa infracción formal se derive un efecto material de indefensión, un efectivo y real menoscabo del derecho de defensa (STC 149/1998, fundamento jurídico 3º), con el consiguiente perjuicio real y efectivo para los interesados afectados (SSTC 155/1988, fundamento jurídico 4º, y 112/1989, fundamento jurídico 2º)". En atención a lo expuesto, la petición de la reclamada de que se declare la nulidad del procedimiento administrativo sancionador que nos ocupa debe ser rechazada. La parte reclamada cita en su descargo la resolución dictada por la AEPD, manifestando que el presente supuesto resulta análogo al recogido en el procedimiento EXP2022208490 también por nulidad del contrato de tarjeta, el cual fue objeto de archivo por la AEPD. Pues bien, en el EXP2022208490, no consta que empresas de recobro estuvieran reclamando la deuda pendiente después de su pago. En el presente procedimiento, a pesar de que Caixabank Payments & Consumer realizó los ajustes correspondientes para reflejar el importe de la deuda que subsiste y dicho importe abonarlo el reclamante, siguió a través de empresas de recobro reclamando el importe de la deuda. Pues bien, en el Fundamento de Derecho Quinto de la sentencia dictada por el Juzgado 1ª Instancia N.1 Inca Procedimiento Ordinario 0000262/2018 se dispone la nulidad radical del contrato tarjeta “Visa Classic Club Ahora” y la consecuencia es que el actor únicamente vendrá obligado a devolver a la parte demandada el capital efectivamente dispuesto descontando toda cantidad que exceda de dicho capital. A estos efectos, el SMS reproducido anuncia la interposición de acciones para recuperar “la deuda pendiente más intereses pactados y costas”, lo que acredita que se exigía el pago más allá de los intereses reconocidos por la sentencia. A pesar de la resolución favorable del citado Juzgado del 13 de mayo de 2019, y de la contestación del Grupo CaixaBank de fecha 24 de diciembre de 2020 en respuesta a la reclamación de la parte reclamante de fecha 10 de diciembre de 2020, en la que se manifiesta que <<hemos verificado la nulidad del contrato dictaminada, por lo que se han dado órdenes para el cese de las reclamaciones de impago que recibe>>. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 Sin embargo, recibió la parte reclamante un SMS de Lexer empresa de recobro, en el cual se manifestaba: <<Lexer le comunica de forma fehaciente a través de este SMS, que recomendaremos a nuestro cliente CaixaBank la puesta en marcha de las acciones judiciales necesarias para la recuperación de la deuda pendiente más intereses pactados y costas>>, de fecha 23 de julio de 2021. Se ha comprobado en la documentación aportada por la parte reclamada que con fecha 30 de septiembre de 2020, por un lado, el reclamante ingresó a su favor en la cuenta de depósitos y consignaciones judiciales del Juzgado de Primera Instancia Nº 1 de Inca, la cantidad total de XXX,XX € (YYY,YY € en concepto de abono del capital prestado dispuesto y RR,RR € por intereses legales desde la fecha de la Sentencia), y por otro lado, el referido Juzgado, con fecha 6 de noviembre de 2020, le entregó a la representación procesal de CaixaBank Payments & Consumer el correspondiente mandamiento de pago por dicho importe (XXX,XX €). Por otra parte, la parte reclamada manifiesta que los datos de carácter personal referentes al contrato de tarjeta suscrito, en fecha 6 de marzo de 2015, por el interesado, fueron objeto de cancelación/supresión y se conservan bloqueados a disposición únicamente de esa Agencia u otros Órganos administrativos o judiciales, en cumplimiento de lo previsto en la normativa aplicable en materia de protección de datos de carácter personal. Hay que tener en cuenta, que la parte reclamada vulneró el artículo 6.1 del RGPD, toda vez que trató los datos personales del reclamante sin legitimación. Dado que el citado Juzgado entregó la representación procesal de CaixaBank Payments & Consumer el correspondiente mandamiento de pago por dicho importe (XXX,XX €), el 6 de noviembre de 2020. Sin embargo, la parte reclamada siguió reclamando dicha deuda a través de una empresa de recobro el 23 de julio de 2021. La falta de diligencia desplegada por la entidad en el cumplimiento de las obligaciones impuestas por la normativa de protección de datos de carácter personal es, pues, evidente. Un cumplimiento diligente del principio de licitud en el tratamiento de datos de terceros requiere que la responsable del tratamiento esté en condiciones de probarlo (principio de responsabilidad proactiva). De conformidad con las evidencias de las que se dispone, se estima que la conducta de la parte reclamada podría vulnerar el artículo 6.1 del RGPD pudiendo ser constitutiva de la infracción tipificada en el artículo 83.5.
12. a)del citado Reglamento 2016/679. En ese sentido el Considerando 40 del RGPD señala: “