← España

REPOSICION-PS-00525-2017

1/9 Procedimiento nº.: PS/00525/2017 ASUNTO: Recurso de Reposición Nº RR/00255/2018 Examinado el recurso de reposición interpuesto por la entidad BANKIA S.A. (ANTES BANCO MARE NOSTRUM, SA) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00525/2017, y en base a los siguientes: HECHOS PRIMERO: Con fecha 14 de marzo de 2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00525/2017, en virtud de la cual se imponía a BANKIA S.A. (ANTES BANCO MARE NOSTRUM, SA), una sanción de 28.000 €, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3

  1. c)de la LOPD, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. Dicha resolución, que fue notificada al recurrente en fecha 19 de marzo de 2018, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00525/2017, quedó constancia de los siguientes: procedimiento sancionador, 1. Con fechas 10, 17, 26 de abril y 27, D. C.C.C. manifiesta a esta Agencia Española de Protección de Datos, que la entidad denunciada ha incluido sus datos en BADEXCUG sin requerimiento previo de pago, por dos operaciones distintas:
  2. a)Por un producto de tarjeta de crédito desde el 6 de noviembre de 2014 al 30 de junio de 2016, hasta la venta de la deuda a AXACTOR y
  3. b)Por el contrato correspondiente a financiación al consumo, fecha de inclusión el 12 de febrero de 2017 hasta el 18 de abril de 2017. 2. Consta copia de dos comunicaciones personalizadas de fechas 4 de enero y 11 de julio de 2017 remitidas al denunciante como requerimientos previos de pago, en relación con la segunda y tercera inclusión. A mayor abundamiento, presenta certificados emitidos por EXPERIAN de fechas 5 de mayo y 6 de septiembre de 2017, en las que se certifica que las comunicaciones personalizadas interesadas, fueron enviadas a la dirección que consta en sus sistemas, sin que las mismas hayan sido devueltas. Asimismo los correspondientes albaranes de entrega en Unipost y las certificaciones por parte de Experian de no tener constancia de que los requerimientos de pago hayan sido devueltos por los servicios postales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 3. En relación con la primera inclusión de fecha 6 de noviembre de 2014 y que estuvieron declarando todas las semanas hasta el 23 de junio de 2016, ya que se dio de baja el 30 de junio de 2016, por cancelación del contrato por venta de crédito a AXACTOR. Es de significar que Banco Mare Nostrum, S.A. no acredita que hubiera efectuado el preceptivo requerimiento de pago al deudor. TERCERO: BANKIA S.A. (ANTES BANCO MARE NOSTRUM, SA) (en lo sucesivo el recurrente) ha presentado en fecha 18 de abril de 2018, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en las mismas alegaciones que ya fueron contestadas en la Resolución de fecha 14 de marzo de 2018, en concreto solicita el archivo del expediente sancionador abierto frente a BMN, ahora Bankia por inexistencia de la infracción, que BMN es un banco surgido del proceso de reestructuración bancaria que no tiene ni nunca ha tenido, una cuota de mercado significativa, y en su caso se acuerde aplicar la escala relativa a las infracciones leves, en su grado mínimo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho, de la Resolución recurrida, tal como se transcribe a continuación: En el presente caso, se procede a examinar el escrito presentado por D. C.C.C. (en lo sucesivo el denunciante), en el que viene a manifestar que la entidad denunciada ha incluido sus datos en BADEXCUG sin requerimiento previo de pago, por dos operaciones distintas por un producto de tarjeta de crédito desde el 6/11/2014 al 30/06/2016, hasta la venta de la deuda AXACTOR y por el contrato correspondiente a financiación al consumo, hecha de inclusión el 12/02/2017 hasta el 18/04/2017. Y por el mismo producto fue nuevamente incluido el 13/08/2017. El art. 4.3. LOPD establece que "Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Por su parte el art. 44.3.
  4. c)de la misma Ley tipifica como infracción grave : "Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave". El artículo 38.1 Real Decreto 1720/2007—RLOPD—en su redacción actualmente vigente tras la STS --Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo--dispone que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a b c Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…). Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.”. Asimismo, el acreedor deberá informar al deudor " en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  5. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término prevenido para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" ( art. 39 Reglamento LOPD ). Sobre esta materia, viene reiterando la Audiencia Nacional (vgr. SSAN, Sec 1ª, de 9 mayo 2003, Rec. 1067/1999; 8 de marzo de 2006, Rec. 319/2004 ; 18 de julio de 2007, Rec. 17/2006; 28 de mayo de 2008, Rec. 107/2007;17 de febrero 2011, Rec. 177/2010;20 de septiembre de 2012, Rec. 127/2011 etc) que cuando el destinatario niega la recepción del requerimiento, recae sobre el responsable del fichero, la carga de acreditar el cumplimiento de dicha obligación, siendo insuficiente los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación. La normativa no exige ciertamente, que el requerimiento se lleve a cabo de una determinada forma o que se efectué por correo certificado con acuse de recibo, pero lo que si exige es que quien informa los datos a un fichero de morosidad deberá asegurarse que concurren todos los requisitos exigidos legal y reglamentariamente a tal fin, lo que implica que deberá estar en condiciones, caso de ser necesario, de poder acreditar la concurrencia de dichos requisitos ( SAN de 35 de marzo 2010, Rec. 407/2009, por todas). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 La entidad denunciada en su escrito de alegaciones de fecha 01/12/2017 (con entrada en esta Agencia el mismo día) manifiesta lo siguiente: “Se acompañan adjuntos los requerimientos previos de pago cuestionados (ver documento 1), respecto a la segunda y tercera inclusión en Badexcug, cumpliendo éstos con todos los requerimientos de la normativa”. Hay que señalar que efectivamente aportan copia de las dos comunicaciones personalizadas de fechas 4/01/2017 y 11/07/2017 remitidas al denunciante como requerimientos previos de pago, en relación con la segunda y tercera inclusión. Y presentan certificados emitidos por EXPERIAN de fechas 5/05/2017 y 6/09/2017, en los que se certifica que la comunicaciones personalizadas interesadas, fueron enviadas a la dirección que consta en sus sistemas, sin que las mismas hayan sido devueltas. Asimismo los correspondientes albaranes de entrega en Unipost y las certificaciones por parte de EXPERIAN de no tener constancia de que los requerimientos de pagos hayan sido devueltos por los servicios postales. De acuerdo con lo argumentado, una vez analizadas las pruebas documentales aportadas, cabe concluir que la entidad denunciada BANKIA S.A. (ANTES BANCO MARE NOSTRUM, SA) ha acreditado en derecho el cumplimiento fehaciente de los requerimientos previos de pago, en relación con la segunda y tercera inclusión, no así respecto a la primera inclusión. III Respecto a la primera inclusión de fecha 6/11/2014 y que se estuvieron declarando todas las semanas hasta el 23/06/2016, ya que se dio de baja el 30/06/2016, por cancelación del contrato por venta del crédito a AXACTOR. Es de significar que BANCO MARE NOSTRUM, S.A. en su escrito de alegaciones de fecha 01/12/2017, señala que adjunta los requerimientos previos de pago cuestionados respecto a la segunda y tercera, por lo tanto no acredita que hubiera efectuado el preceptivo requerimiento de pago al deudor, previo a su inclusión en un fichero de solvencia patrimonial, en relación con la primera inclusión. Sobre el alcance de la obligación que el RLOPD (artículo 38.1.
  6. c)impone al acreedor que informa a un fichero común datos de un tercero, hemos de traer a colación las SSAN de 23/07/2012 (RCA 851/2010) y 28/06/2016 (RCA 1703/2015) La SAN de 23/07/2012 (RCA 851/2010), en su fundamento jurídico tercero, dice: “No consta acreditado, sin embargo, que las cartas que la entidad manifiesta haber emitido fueran recibidas por el destinatario, (…)Este Tribunal en su sentencia de SAN, Sección 1 del 15 de septiembre de 2011 (Recurso : 341/2010) siguiendo una línea jurisprudencial consolidada ha sostenido que, a los efectos de entender cumplido el requisito del requerimiento de pago antes de incluir los datos personales en un fichero de solvencia patrimonial, no resulta una prueba válida una copia de una carta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 que le requiriese de pago sin que conste su envío ni mucho menos la recepción por los denunciantes”. (El subrayado es de la AEPD) En su Sentencia de 28/06/2016 (RCA 1703/2015), fundamento jurídico segundo, in fine, la Sala de lo Contencioso Administrativo de la Audiencia Nacional dice que “(…) el hecho de que las cartas que contenían el citado requerimiento fueran entregadas por la demandante a la empresa que le presta el servicio de comunicación a los deudores de requerimientos de pago como el que nos ocupa, Delion Comunications, S.L.U., y que se justificara suficientemente su entrega a UNIPOST, S.A., para su envío al destinatario, no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas, por lo que aquellas circunstancias no constituyen prueba de este extremo” (El subrayado es de la AEPD). La AEPD, a efectos de entender cumplido el requisito del artículo 38.1.
  7. c)RLOPD, visto el contenido que otorga a dicha obligación la Sala de lo Contencioso de la Audiencia Nacional en sus resoluciones, considera que quien informa a un fichero de solvencia patrimonial los datos personales de un tercero y declara haber efectuado el requerimiento previo a través de correo postal ha de estar en condiciones de acreditar la trazabilidad de la carta; esto es, ha de haber adoptado las medidas, acciones y/o procedimientos que le permitan registrar e identificar el “iter” de la carta desde su origen hasta su destino final. Partiendo de tal premisa y, toda vez que BANCO MARE NOSTRUM, S.A. informó los datos personales del denunciante al fichero BADEXCUG en tres ocasiones, hay que señalar lo siguiente: Así las cosas, en relación con el primer alta de fecha 6 de noviembre de 2014 y con fecha de baja 30 de junio de 2016, por tipo de operación tarjeta de crédito e importe de 1.928,09 €., BANCO MARE NOSTRUM, S.A. remitió al denunciante carta de requerimiento con fecha 3 de octubre de 2014 (primer alta en el fichero BADEXCUG). Posteriormente el 5 de julio de 2016 le remitió carta conjuntamente con AXACTOR de la venta de dicha deuda a esta última. Cartas que están personalizadas a nombre del denunciante y referenciadas con sendos códigos Sobre este extremo, BANCO MARE NOSTRUM se ha limitado a manifestar que respecto al requerimiento previo de pago enviado a D. C.C.C., realizado el 3 de octubre de 2014, en aquella fecha BANCO MARE NOSTRUM tenía contratado el servicio de envío de los requerimientos previos de pago con la empresa “UNIPOST”, quien se encargaba de realizar los envíos a los clientes. Unipost se encargaba de que se efectuase a las direcciones que indicase BANCO MARE NOSTRUM, la entrega de todas las devoluciones que se generaban como consecuencia de la distribución realizada por la red UNIPOST. Añade que BANCO MARE NOSTRUM no tiene constancia que dicha notificación haya sido devuelta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Aporta únicamente un documento firmado por Unipost el 9 de marzo de 2016 que no es más que una descripción de la actividad que desempeña. A saber, que a diario Unipost, recoge de los centros de impresión y ensobrado indicados por BANCO MARE NOSTRUM toda la correspondencia preparada para su distribución. Por otra parte, destacar que BMN no ha aportado ningún documento emitido por un tercero independiente que acredite que las cartas de requerimiento de pago dirigidas al denunciante, respecto a las que ha demostrado que fueron depositadas en el servicio postal, no fueron devueltas, lo que permitiría presumir que habían sido recibidas por el destinatario. A ese respecto hemos de señalar que la Audiencia Nacional ha declarado que la puesta en el servicio de Correos de las cartas de requerimiento para su envío al destinatario “no significa necesariamente que fueran entregadas al destinatario, al no constar en modo alguno la recepción por el deudor de las indicadas cartas”. IV El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  8. a)El carácter continuado de la infracción.
  9. b)El volumen de los tratamientos efectuados.
  10. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  11. d)El volumen de negocio o actividad del infractor.
  12. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  13. f)El grado de intencionalidad.
  14. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  15. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  16. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  17. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  18. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9
  19. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  20. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  21. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  22. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente, o bien de alguna otra de las circunstancias que el mismo precepto cita. . La citada circunstancia, cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente, se dan en el presente caso. Por lo tanto. Se estima que de conformidad con el art 45.5 LOPD, procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, al operar la atenuante privilegiada del supuesto previsto en el artículo 45.5.
  23. e)”Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”, al haber BANKIA S.A. adquirido BANCO MARE NOSTRUM, SA, no siendo imputable a la misma la infracción cometida dado que la infracción fue anterior a dicho proceso de absorción. Por dicho motivo procede imponer las multas por un importe que se encuentre entre 900 € y 40.000 € en aplicación de lo previsto en el apartado 5 del citado artículo 45, al tener la infracción imputada la consideración de grave, pero sancionarse con arreglo a los importes de las sanciones leves (art. 45.1 LOPD) Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber: El carácter continuado de la infracción queda fuera de duda, pues los datos personales del denunciante han sido tratados sin tener en cuenta el principio de calidad de datos apartado
  24. a)por un producto de tarjeta de crédito desde el 6/11/2014 al 30/06/2016, hasta la venta de la deuda a AXACTOR En total más de un año. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c). La actividad empresarial de la denunciada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 exige, por su misma naturaleza, un continuo tratamiento de los datos de carácter personal de sus clientes. “El volumen de negocio o actividad del infractor” (apartado d), toda vez que estamos ante uno de las grandes bancos del país, con más de 4.800 empleados y con más de 1.900.000 número de cuentas de depósito “La reincidencia por comisión de infracciones de la misma naturaleza” (apartado g). Son numerosos los procedimientos sancionadores tramitados a la entidad por infracciones similares. En relación a los hechos que examinamos BANKIA S.A. (ANTES BANCO MARE NOSTRUM, SA) ha actuado con una grave falta de diligencia ya que no ha podido aportar documento alguno que demuestre que, con carácter previo a la inclusión de los datos del denunciante en el fichero BADEXCUG, le hubiera requerido el pago de la deuda, pese a que el artículo 43.1 del RLOPD “refuerza” la diligencia exigible al señalar que el acreedor “deberá asegurarse” que se cumplen esos requisitos cuando informa los datos personales a un fichero de morosidad. Con este proceder ignora deliberadamente la disposición del artículo 40.3 del RLOPD que exige que la notificación se efectúe a través de un “medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos”. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BANKIA S.A. (antes BANCO MARE NOSTRUM, SA) contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de marzo de 2018, en el procedimiento sancionador PS/00525/2017. SEGUNDO: NOTIFICAR la presente resolución a la entidad BANKIA S.A. (ANTES BANCO MARE NOSTRUM, SA). TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  25. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.