REPOSICION-PS-00536-2014

1/9 Procedimiento PS/00536/2014 Resolución de Recurso de Reposición Nº RR/00350/2015 Examinado el recurso de reposición interpuesto por la entidad XFERA MÓVILES SA contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00536/2014, y en base a los siguientes, HECHOS PRIMERO: Con fecha 17 de marzo de 2015, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00536/2014, por la que se acuerda IMPONER a la entidad XFERA MÓVILES SA , por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de dicha norma, una multa de 10.000 € (diez mil euros) de conformidad con lo establecido en el artículo 45.2, 5 y 4 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 20/03/15, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00536/2014, quedó constancia de los siguientes: procedimiento sancionador, <<< HECHOS PROBADOS: 1. Yoigo por escrito fechado el 02/09/13 comunica a la persona denunciante ( A.A.A., DNI C.C.C.) que, debido a que su banco ha devuelto impagado un recibo de 160,39 €, se le requiere para que efectúe el pago de dicha cantidad en el plazo de 15 días, en caso contrario puede ser incluido en los ficheros Asnef y Badexcug. El expediente de referencia es C.C.C.. 2. El día 14/09/13 el denunciante, desde su cuenta corriente en NCG Banco SA ordena el pago de 160,39 € al beneficiario Xfera Móviles (Yoigo) en concepto C.C.C. A.A.A.. 3. Asnef-Equifax por escrito fechado el 12/09/13 le comunica que sus datos personales asociados a un impago de 160,39 € han sido incluidos por XFERA MÓVILES SA (Yoigo) el 09/09/13 en el fichero Asnef. 4. Experian por escrito fechado el 17/09/13 le comunica que sus datos personales asociados a un impago de 160,39 € han sido incluidos por Xfera Móviles SA el 15/09/13 en el fichero Badexcug. 5. El 25/08/14 Equifax informa que los datos personales del denunciante asociados a un impago de 160,39 € fueron dados de alta en el fichero Asnef por XFERA MÓVILES SA el 09/09/13 y de baja el 21/09/13. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 6. El 28/08/14 Experian informa que los datos personales del denunciante asociados a un impago de 160,39 € fueron dados de alta en el fichero Badexcug por Yoigo el 15/09/13 y de baja el 21/09/13. 7. Por escrito fechado el 11/09/14 Yoigo informa a la Inspección de Datos que: "Los datos del sr. A.A.A. fueron remitidos a ASNEF en fecha 9 de septiembre de 2013 en el marco del servicio Notifica contratado con ASNEF, acuerdo que se adjunta a este escrito. Este servicio pospone la publicación de los datos en el fichero de solvencia hasta la fecha que se indica en un requerimiento de pago nuevo y adicional a los ya enviados que remite ASNEF. Por tanto los datos no constan en el fichero de solvencia patrimonial y crédito hasta la fecha que se indica en tal requerimiento, en el caso que nos ocupa el 4 de octubre de 2013 Los datos fueron excluidos en fecha 23 de septiembre de 2013 una vez se tuvo conocimiento del pago". >>> TERCERO: XFERA MÓVILES SA ha presentado en el Servicio de Correos e 20 de abril de 2015, con entrada el 23/04/15 en esta Agencia Española de Protección de Datos, recurso de reposición. Solicita "se archiven las actuaciones, o en su defecto se minore el importe de las sanciones". Alega que: <<< PRIMERA.- Los datos del sr. A.A.A. fueron remitidos a ASNEF en fecha 9 de septiembre de 2013 en el marco del servicio Notifica contratado con Equifax y que fue aportado en el marco de la solicitud de información E/6392/2013. Este servicio pospone la publicación de los datos en el fichero de solvencia ASNEF hasta la fecha que se indica en un requerimiento de pago- nuevo y adicional a los ya enviados por Yoigo y/o las empresas con las que ésta tiene contratada la gestión del recobro-, que remite ASNEF Equifax. Por tanto los datos no constan en el fichero de solvencia patrimonial y crédito hasta la fecha que se indica en tal requerimiento que se remite posteriormente. Por tanto ningún dato se hace público hasta ese momento, con lo que la inclusión en el fichero queda pospuesta hasta ese momento, actuando ASNEF como mero gestor de cobro, enviando un mero requerimiento de pago avisando a su vez en qué fecha los datos se harán públicos El servicio NOTIFICA es un procedimiento estandarizado y automático para el envío de requerimientos previos de pago. SEGUNDA.- Habida cuenta de lo expuesto, que los datos no eran públicos en el fichero, y teniendo en cuenta a su vez que Yoigo regularizó esta situación en cuanto tuvo conocimiento del pago por parte del afectado, y que esta regularización tuvo lugar un año antes de la denuncia ante esta Agencia, nada obsta a que se reconsidere la comisión de una infracción y por tanto que la sanción sea anulada o cuando menos una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 cualificada disminución de la culpabilidad, y la aplicación en su caso del artículo 45.5 de la LOPD. En este sentido, la sentencia de la Sala de lo Contencioso-Administrativo sección primera de la Audiencia Nacional de fecha tres de junio de 2014 recaída en el procedimiento ordinario 1431/2013. “Pues bien, en el caso que nos atañe ha de repararse en que la mera apreciación de diligencia en la entidad infractora en la regularización de la situación irregular, prevista en el apartado
2. b)del artículo 45.5, concurrente en este caso, al tener lugar tal regularización incluso antes de que se presentara la denuncia ante la Agencia Española de Protección de Datos, posibilita la aplicación de la escala de sanciones relativa a las infracciones leves". >>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II A los hechos declarados probados son de aplicación los Fundamentos de Derecho de la resolución recurrida que a continuación se reproducen: <<<II La inclusión en un fichero de solvencia con anterioridad al cumplimiento del plazo establecido por el acreedor supone una vulneración de la normativa de protección de datos en consideración a los artículos que se analizan a continuación: El Artículo 38 1
3. c)del RLOPD establece que “solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.” En consecuencia el requerimiento tiene que ser anterior a la inclusión, no puede ser simultáneo o posterior. Junto a ello el artículo 39 del Reglamento dispone lo siguiente: “Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se debe la letra
5. c)del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 aparado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.” En definitiva, el acreedor informa y queda comprometido a no realizar la comunicación antes de cumplirse el término que establece en el documento de información al deudor. Circunstancia que debe conectarse con el literal del artículo 4.1 de la LOPD: “Calidad de los datos 1.- Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” En definitiva, la interpretación conjunta de los artículo 38.1c) y 39 del Reglamento de Protección de Datos con el artículo 4.1 LOPD deriva en que el tratamiento mediante la inclusión en un fichero de solvencia por parte del acreedor con anterioridad al plazo de pago otorgado al deudor vulnera el principio de calidad de datos al tratarse los datos vulnerando el ámbito y finalidades determinadas y explicitas para los que han sido obtenidos. No porque la normativa vigente establezca un plazo determinado para realizar el pago tras el requerimiento sino porque impone el acreedor la necesidad de establecerlo – en caso contrario el requerimiento no sería previo y se incumpliría el artículo 38 y 39 RLOPD – cuyo transcurso convierte el tratamiento del dato en adecuado. El tratamiento anterior a la finalización del mismo por el acreedor supondría un tratamiento inadecuado, no pertinente y excesivo vulnerando lo previsto en el artículo 4.1 LOPD e incumpliendo las finalidades para las que se obtuvieron. En el presente caso, además, el pago de la deuda reclamada, dentro del plazo establecido en el requerimiento previo a la inclusión, pone de manifiesto una conducta contraria a lo que establece el artículo 4.3 de la LOPD: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado". III La conducta de XFERA MÓVILES SA (Yoigo) contraria al principio de calidad de datos de las normas citadas arriba constituyen la infracción grave tipificada en el artículo 44.3.
6. c)de la LOPD. Ello en relación con el artículo 29 de la LOPD y con la norma primera de la Instrucción 1/1995, de 1 de marzo, de la AEPD, relativa a prestación de servicios de información sobre solvencia patrimonial y crédito, y en la actualidad, con el artículo 38 del RD 1720/2007, por el que se aprueba el Reglamento de desarrollo de la LOPD, que estipula que solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. b)Que no hayan transcurrido seis años desde la fecha en que hubo de precederse al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquella fuera de vencimiento periódico. En el presente supuesto ha quedado probado en las actuaciones, y no desvirtuado mediante prueba alguna en contrario, que los datos personales de la persona denunciante figuraron en el fichero Asnef informados por Yoigo desde 09/09/2013 a 21/09/2013 por un impago de 160,39 € y la misma cantidad en el fichero Badexcug, informados por Yoigo, desde 15/09/2013 a 22/09/2013, y ello a pesar de que dicha deuda informada no era cierta, vencida y exigible, pues había sido saldada.. Consta acreditado que el importe de la deuda había sido ingresado por transferencia, según el comprobante justificativo del pago emitido por NCG Banco, de fecha 14/09/13 y dentro del plazo de 15 días concedido para su abono en el requerimiento de pago de 02/09/13. Este criterio es el que se mantiene en reiteradas sentencias de la Audiencia Nacional, entre ellas la de 11/03/13 (recurso 688/2011) de la sección 1º de la Sala de lo Contencioso-Administrativo: <<< En este sentido, y como esta Sala ha reiterado en numerosísimas ocasiones, resulta que aquél que utiliza un medio extraordinario de cobro, como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud del dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. Y ello dado que el no aplicar esta exigencia supondría utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en tales registros de solvencia patrimonial y crédito. Se trata, en definitiva, de que los datos personales de la afectada incluidos en el fichero Badexcug por la compañía telefónica no respondían a la situación actual de la misma, pues aquella incluyó sus datos de carácter personal en tal fichero con anterioridad a que venciera el plazo concedido para el pago de las facturas, según la carta de aviso remitida a tal afectada por la propia operadora de telefonía. Consideramos, por ello, que los hechos relatados son contrarios al principio de calidad de dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD y también con el 38 del RDLOPD. Infracción del principio de calidad del dato que, por otra parte, y contrariamente a lo invocado en la demanda, es conforme con el principio de culpabilidad, por cuanto una actuación diligente de Telefonía Móviles habría exigido el tomar en consideración el abono de las facturas llevado a cabo por la denunciante, con anterioridad a incluir sus datos personales en tal fichero Badexcug. Comprobación no exhaustiva que supone una actuación incompatible con el mínimo de prudencia que se debe exigir a estas empresas antes de anotar en los registros de morosidad incidencias que, finalmente, resulta que no responden a la realidad de lo adeudado. >>> IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 El artículo 45. LOPD, en su redacción vigente en el momento en que tuvieron lugar los hechos, dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
7. a)El carácter continuado de la infracción.
8. b)El volumen de los tratamientos efectuados.
9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
10. d)El volumen de negocio o actividad del infractor.
11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
12. f)El grado de intencionalidad.
13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 comisión de la infracción.
20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Por otra parte, Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que Yoigo es una empresa que tiene como actividad la prestación de servicios de telecomunicaciones y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. En lo que se refiere al volumen de negocio de Orange hay que hacer constar que si bien es un hecho notorio que excluiría la necesidad de aportar elemento probatorio alguno, es conveniente indicar que su concurrencia se pone de manifiesto a través de determinados datos de conocimiento público sobre la empresa infractora y su grupo, una de las trasnacionales más importantes. Se deduce el importante volumen de negocio de la entidad infractora, circunstancia a tener en cuenta para la graduación de la sanción. El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que quien ordenó la inclusión de los datos del denunciante en Asnef y Badexcug sin haberse agotado el plazo de pago y sin comprobar el pago antes de agotarse dicho plazo, no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados por su empresa fue incumplido. Igual incumplimiento puede imputarse a su supervisor. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. A la vista del escaso tiempo que permanecieron los datos de la persona denunciante en los ficheros Asnef y Badexcug, 09/09/13 - 21/09/13 y 15/09/13 - 21/09/13 respectivamente, siendo datos de baja a instancia de Yoigo. Regularizó la situación irregular de dichas inclusiones de forma diligente, con anterioridad (un año antes) a la interposición de la denuncia ante la AEPD. Por ello procede la apreciación de la citada circunstancia prevista en el 45.5.
22. b)de la LOPD y fijar la sanción en 10.000 €. >>> III La entidad recurrente recibió la notificación del acuerdo de inicio, a su solicitud se le remitió copia del expediente, recibió notificación del acuerdo de práctica de pruebas y la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 notificación de la propuesta de resolución sancionadora. En ningún momento presentó alegaciones. Afirma en su recurso que los datos de la persona denunciante no estuvieron incluidos en el fichero Asnef. Pero en la comunicación a dicha persona y en el informe a la Inspección de Datos emitidos por Equifax se hace constar que los datos personales asociados a una deuda causaron alta en el fichero Asnef el 09/09/13. Igualmente Experian hace constar en sus escritos a denunciante y AEPD que los datos personales causaron alta en el fichero Badexcug el 15/09/13. En ambos casos la baja se produjo el 22/09/13. Esta diligencia en la regularización de la situación irregular –consecuencia de la infracción-, junto el escaso tiempo de permanencia en los ficheros de solvencia, fue tenida en cuenta para la graduación de la sanción, que quedó fijada en 10.000 euros. Por lo tanto, en el presente recurso de reposición, XFERA MÓVILES SA no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por XFERA MÓVILES SA contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 17 de marzo de 2015, en el procedimiento sancionador PS/00536/2014. SEGUNDO: NOTIFICAR la presente resolución a la entidad XFERA MÓVILES SA . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es