REPOSICION-PS-00603-2015

1/11 Procedimiento nº.: PS/00603/2015 ASUNTO: Recurso de Reposición Nº RR/00278/2016 Examinado el recurso de reposición interpuesto por la entidad BUILDING CENTER, S.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00603/2015, y en base a los siguientes, HECHOS PRIMERO: Con fecha 14 de marzo de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00603/2015 , en virtud de la cual se imponía a la entidad BUILDING CENTER, S.A., una sanción de 20.000€, por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 17 de marzo de 2016, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00603/2015, quedó constancia de los siguientes: procedimiento sancionador, << PRIMERO: En fecha 18 de noviembre de 2014, Don A.A.A. denunció ante la Agencia que una de las siguientes entidades: “La Caixa”, “Servihabitat” y/o “Diagonal” le identifican como sujeto de embargo de su vivienda por el impago de su hipoteca, relativa al inmueble ubicado en la (C/....1) (Cádiz), sin tener recibos pendientes respecto de la citada hipoteca en la entidad La Caixa (folios 1-16) SEGUNDO: El denunciante ha aportado copia de varios avisos que Diagonalgest/Servihabitat/La Caixa dejó en su domicilio solicitándole que contactara con la entidad para un asunto relacionado con su vivienda. Con fecha 29/09/2014, Diagonalgest/Servihabitat le remitió un correo electrónico de disculpa por las visitas realizadas en el que reconoce que “…debido a un error informático el inmueble figuraba como ejecutado, sin ser esta la realidad. Nuestra labor consiste en determinar el estado ocupacional de los inmuebles (…).” Y en respuesta al escrito del denunciante de 26/09/2014 Servihabitat le remitió escrito en el que reconocía que “…hechas las comprobaciones oportunas, hemos podido constatar que, esta incidencia podría tener su origen en un error por parte de nuestro colaborador externo en la identificación de una de las fincas gestionadas por Servihabitat…” (folios 6-9,16 y 21-27). TERCERO: La cartera de inmuebles de Banca Cívica fue incorporada a la cartera de BuildingCenter (folio 111, entre otros) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 CUARTO: Servihabitat suscribió un contrato de prestación de servicios con BuildingCenter para la gestión y comercialización de inmuebles, por lo que los datos que trata Servihabitat son titularidad de los propietarios de los inmuebles, en este caso BuildingCenter (folios 114-116, entre otros). QUINTO: Servihabitat tiene, asimismo, suscrito un contrato de prestación de servicios con Diagonalgest para las tareas relacionadas con las ejecuciones hipotecarias (folios 117-150) SEXTO: Por su parte, Diagonal subcontrata – mediante un contrato de prestación de servicios - a la empresa Ybolmar Asistencia y Reformas, S.L. para dar cobertura operativa en la Comunidad Autónoma de Andalucía y Extremadura. Los datos facilitados a Ybolmar por parte de Diagonal fueron una copia de la tasación y de la nota simple publicada por Servihabitat, cuyo titular era el denunciante (folios 154, 209-233) SÉPTIMO: BuildingCenter ha reconocido en sus alegaciones al Acuerdo de inicio que, únicamente dispone de los datos de registro relativos a la UR ***** (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era C/ (C/....1) (Cádiz) (folios 396397). OCTAVO: BuildingCenter cedió a Servihabitat los datos de registro relativos a la UR ***** (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era C/ (C/....1) (Cádiz) (folios 111 y 396-397) NOVENO: A su vez, Servihabitat cedió estos datos a Diagonalgest. En concreto Diagonalgest ha manifestado que recibió de Servihabitat el encargo de la elaboración de un informe relativo a la vivienda perteneciente a C/ (C/....1) (Cádiz) y que, aunque en el identificador UR no aparecía el nombre del denunciante, Servihabitat le remitió una tasación y una nota simple cuyo titular registral era Don A.A.A. (folio 151). DÉCIMO: Diagonalgest ha manifestado que una vez que se contactó con el ocupante (denunciante), coincidente éste con el titular registral, les indica que se trataba de un error, por lo que Diagonal trasladó la información y el posible error a Servihabitat que procedió a la modificación y correcta codificación de la dirección relativa a la UR. Detectado el error, trasladan la información y el posible error existente con la dirección a los responsables de Servihabitat, posteriormente, el 15 de julio de 2015, se solicita por parte de Servihabitat nuevo informe ocupacional con la dirección modificada y bien codificada que correspondía con una vivienda ubicada en Huelva (folio 152).>> TERCERO: BUILDING CENTER, S.A. ha presentado en fecha 18 de abril de 2016, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en lo alegado en el transcurso del procedimiento e insiste en que no ha incumplido la normativa de protección de datos puesto que la información de la que disponía, y que fue trasladada a Servihabitat , fue únicamente una dirección de un inmueble, que no permite, per se, la identificación ni directa ni indirectamente, de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 persona física determinada. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En relación con las manifestaciones efectuadas por BUILDING CENTER, S.A., reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al VIII ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: << II El artículo 4.3 de la LOPD, referente a la “calidad de los datos”, establece: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. La Audiencia Nacional, en diversas sentencias (entre otras, SAN de 24 de marzo de 2004 y 7 de julio de 2006), ha señalado que los principios generales contenidos en el Título II de la LOPD definen las pautas a las que debe atenerse la recogida, tratamiento y uso de los datos de carácter personal. En este sentido, la STAN de 25 de julio de 2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. Entre tales principios se recoge –artículo 4.3- el de exactitud o veracidad, a través del cual se trata de garantizar y proteger la calidad de la información sometida a tratamiento -exacta y puesta al día- por la que debe velar quien recoge y trata datos de carácter personal. La Directiva 95/46 CE, del Parlamento Europeo y del Consejo, que traspone la LOPD, establece en su artículo 6. I.

1. d)que “Los Estados miembros dispondrán que los datos personales sean….
2. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 La obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999 implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados, correspondiendo al acreedor la responsabilidad de comprobar que los datos que se comunican se ajustan a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. III Se imputa a BuildingCenter en el expediente sancionador que nos ocupa una infracción del artículo 4.3 de la LOPD. El tratamiento de datos del denunciante de forma inexacta se materializó cuando el BuildingCenter informó a la entidad Servihabitat, con el fin de realizar una ejecución hipotecaria, los datos de registro relativos a la UR ***** (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era C/ (C/....1) (Cádiz) (folios 111 y 396-397). En fase de alegaciones al acuerdo de inicio BuildingCenter manifestó que únicamente dispone de los datos de registro relativos a la UR ***** (número de unidad registral UR), perteneciente a un inmueble determinado y la dirección del inmueble interesado, que en este caso era C/ (C/....1) (Cádiz) (folios 396-397). En el presente procedimiento, consta acreditado que la cartera de inmuebles de Banca Cívica fue incorporada a la cartera de BuildingCenter (folio 111, entre otros). BuildingCenter cedió a Servihabitat, con el fin de realizar una ejecución hipotecaria, los datos de registro relativos a la citada UR ***** (folios 111 y 396-397). A su vez, Servihabitat cedió estos datos a Diagonalgest. A este respecto, Diagonalgest ha manifestado que recibió de Servihabitat el encargo de la elaboración de un informe relativo a la vivienda perteneciente a C/ (C/....1) (Cádiz) y que, aunque en el identificador UR no aparecía el nombre del denunciante, Servihabitat le remitió una tasación y una nota simple cuyo titular registral era Don A.A.A. (folio 151). Sin embargo, tal y como Diagonalgest ha manifestado, una vez que se contactó con el ocupante (denunciante), coincidente éste con el titular registral, les indica que se trataba de un error, por lo que Diagonal trasladó la información y el posible error a Servihabitat que procedió a la modificación y correcta codificación de la dirección relativa a la UR. Detectado el error, trasladan la información y el posible error existente con la dirección a los responsables de Servihabitat, posteriormente, el 15 de julio de 2015, se solicita por parte de Servihabitat nuevo informe ocupacional con la dirección modificada y bien codificada que correspondía con una vivienda ubicada en Huelva (folio 152). Sin embargo no se deduce de la conducta de la denunciada la existencia de un error invencible. La normativa de protección de datos impone expresamente a la entidad que informa los datos a un fichero la obligación de asegurarse, antes de comunicar los datos adversos, que se han observado los requisitos exigidos legalmente. Además la Audiencia Nacional ha declarado en diversas sentencias C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 (por todas STAN de 25 de octubre de 2002), “… que dada la importancia del bien jurídico protegido, la privacidad de las personas, quienes se dediquen a actividades que impliquen el tratamiento de datos personales deben ser especialmente diligentes y cuidadosos a la hora de tratarlos…”. También ha declarado reiteradamente la Audiencia Nacional, que cuando el error es muestra de una falta de diligencia la conducta es sancionable. En el caso que nos ocupa se aprecia una falta de diligencia de una entidad que por el volumen de datos tratados y su especialización debería actuar con un especial cuidado a la hora de identificar y tratar datos de sus clientes. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
3. c)de la citada norma, que dispone: “Son infracciones graves, (..)
4. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” IV Hay que señalar que la LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
5. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
6. c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. También dispone el artículo 3
7. g)de la LOPD, que “Encargado del tratamiento es la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento”. La Audiencia Nacional en su Sentencia de 16/10/2003 ha declarado que “se define al “responsable del tratamiento” como “la persona física o jurídica, autoridad pública, servicio, o cualquier otro organismo que sólo, o conjuntamente con otros, determine los fines y los medios del tratamiento de datos personales", por lo que tal figura del responsable se conecta en la Ley con el poder de decisión sobre la finalidad, contenido y uso del tratamiento. Se desprende asimismo de los repetidos apartados del art. 3, como ya se ha manifestado, la diferenciación de dos responsables en función de que el poder de decisión vaya dirigido al fichero o al propio tratamiento de datos. Así, el responsable del fichero es quien decide la creación del fichero y su aplicación, y también su finalidad, contenido y uso, es decir, quien tiene capacidad de decisión sobre la totalidad de los datos registrados en dicho fichero. El C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 responsable del tratamiento, sin embargo, es el sujeto al que cabe imputar las decisiones sobre las concretas actividades de un determinado tratamiento de datos, esto es, sobre una aplicación específico. Se trataría de todos aquellos supuestos en los que el poder de decisión debe diferenciarse de la realización material de la actividad que integra el tratamiento” El propio reglamento de desarrollo de la LOPD, aprobado por RD 1720/2007, de 21 de diciembre, en el apartado
8. q)del artículo 5, señala lo siguiente: “
9. q)Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que solo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente. Podrán ser también responsables del fichero o del tratamiento los entes sin personalidad jurídica que actúen en el tráfico como sujetos diferenciados”. En el presente caso, aunque BuildingCenter no realice materialmente el tratamiento, es responsable de la infracción que se deriva de la actuación realizada en atención a que como responsable del fichero es quien decide sobre la finalidad, contenido y uso del tratamiento, es decir, quien tiene capacidad de decisión sobre los datos registrados en su fichero. BuildingCenter ha tratado los datos del denunciante sin su consentimiento. La responsabilidad en la que haya podido incurrir, en su caso, el encargado del tratamiento (en este caso Servihabitat, entre otros), no le exime del cumplimiento de la normativa en materia de protección de datos personales, pues es la citada empresa la que ordenó y emitió la orden con el fin de realizar una ejecución hipotecaria, con los datos de registro relativos a la citada UR ***** que se correspondía con la titularidad del denunciante; quien decide si los datos son incorporados a su fichero y quien los trata de forma automatizada, y quien los incluye en todas las tareas relacionadas con las ejecuciones hipotecarias, la que correlativamente, debe asegurarse que aquel a quien se solicitan los datos para ser tratados por ella, los presta con consentimiento inequívoco y que dicha persona que están dando el consentimiento, efectivamente es el titular de los datos personales en cuestión. V En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD que establece: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento”. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El artículo 12.1 de la LOPD permite que el responsable del fichero habilite el acceso material a datos de carácter personal por parte de la entidad que va a prestarle un servicio – Servihabitat, en primer lugar, aunque esta entidad también tiene suscritos otros contratos de prestación de servicios - sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La Ley exige que el contrato figure por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé un contenido mínimo del contrato entre las partes en el que deben constar una serie de requisitos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución, al responsable del tratamiento. Interpreta el artículo 12.4 de la LOPD la sentencia de 14/03/2007, Rec. 280/2005, que haciéndose eco de la anterior Sentencia de 13/04/2005 Rec. 241/2003, establece que lo que determina la LOPD en el mismo, es que si el encargado del tratamiento destina los datos a una finalidad distinta a la indicada, los comunica o los utiliza incumplido las estipulaciones del contrato <<(…) será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente>>. En el presente caso consta que Servihabitat tiene suscrito con BuildingCenter un contrato de prestación de servicios para la gestión de su cartera inmobiliaria, realizando tratamientos de datos de los clientes de BuildingCenter, entre los cuales se encuentra la gestión y comercialización de inmuebles. Servihabitat tiene, asimismo, suscrito un contrato de prestación de servicios con Diagonalgest para las tareas relacionadas con las ejecuciones hipotecarias, conteniendo en el mismo una cláusula de protección de datos de conformidad con lo señalado en el artículo 12 de la LOPD. Del contrato suscrito por Servihabitat con BuildingCenter se desprende que en el ejercicio de las gestiones de administración, gestión y explotación de dichos bienes inmuebles en ningún caso puede permitirse que se realicen operaciones ni se faciliten datos a quienes no son clientes de la entidad, lo que no implica que en algunos casos como el examinado se produzca. En el procedimiento establecido para la ejecución hipotecaria del inmueble situado en la C/ (C/....1) (Cádiz), fue gestionado contra la titularidad del denunciante debido a que BuildingCenter proporcionó una UR ***** errónea que no correspondía a al titular que debía ser objeto de la ejecución hipotecaria, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 pues ningún tipo de relación contractual les unía, sino a un tercero que, con la dirección modificada y bien codificada se correspondía con el titular de una vivienda ubicada en Huelva. Por tanto, en relación a Servihabitat ,de conformidad con el contrato suscrito, ha actuado de conformidad con las instrucciones del responsable del tratamiento, toda vez que los datos que trata Servihabitat son titularidad de los propietarios de los inmuebles, en este caso BuildingCenter no habiendo destinado los datos a una finalidad distinta a la indicada, ni incumplido las estipulaciones del contrato por lo que no existen elementos de juicio necesarios para atribuirle la vulneración de la LOPD, por lo que se le exonera de responsabilidad en relación con la infracción del artículo 4.3 de la LOPD. VI Tras la notificación del acuerdo de inicio, BuildingCenter manifestó que únicamente dispone de los datos de registro relativos a la UR ***** perteneciente a un inmueble determinado C/ (C/....1) (Cádiz), pero que no dispone de los datos personales del denunciante por lo que no dispone de fichero alguno que disponga de dichos datos personales, lo que significa que no los ha cedido ni tratado indebidamente. Al respecto procede recordar la definición de “persona identificable” recogida en el artículo 5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal: “
10. o)Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En el presente procedimiento consta acreditado que BuildingCenter facilitó a Servihabitat unos datos de la vivienda erróneos y encargó unas gestiones para una ejecución hipotecaria con dichos datos erróneos. Sin embargo, los datos de la vivienda se pueden considerar datos personales ya que el titular resulta fácilmente identificable con la información que consta en el registro de la propiedad, circunstancia que se pudo comprobar, y así consta acreditado cuando, en base a la UR errónea, Servihabitat remitió a Diagonalgest una tasación y una nota simple cuyo titular registral era Don A.A.A.. Por lo tanto, dichas alegaciones deben ser desestimadas. VII De acuerdo con las previsiones de la LOPD, la conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3, infracción tipificada en el artículo 44.3.
11. c)de la citada norma, que dispone: “Son infracciones graves, (..)
12. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 Infracción grave que será sancionada con multa de 40.001 a 300.000 euros, tras la nueva redacción dada al artículo 45.2 de la LOPD. VIII El artículo 45.2, 4 y 5 de la LOPD establece que: “2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
13. a)El carácter continuado de la infracción.
14. b)El volumen de los tratamientos efectuados.
15. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
16. d)El volumen de negocio o actividad del infractor.
17. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
18. f)El grado de intencionalidad.
19. g)La reincidencia por comisión de infracciones de la misma naturaleza.
20. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
21. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
22. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
23. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
24. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
25. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11
26. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
27. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. Hay que indicar que el artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer " la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso, ha quedado acreditado que BuildingCenter vulneró el artículo 4.3 de la LOPD, al tratar los datos del denunciante sin su consentimiento y sin que concurra ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD que permitirían a la citada entidad el citado tratamiento, por lo que la actuación de BuildingCenter ha de ser objeto de sanción. Consta que BuildingCenter facilitó a Servihabitat unos datos de la vivienda erróneos y encargó unas gestiones para una ejecución hipotecaria con datos erróneos, que afectaban a la situación del afectado, ya que dichos datos no eran exactos, ni puestos al día no respondían con veracidad a la situación del denunciante, sin que éste mantuviera ningún tipo de relación contractual con la citada entidad, toda vez que los datos pertenecían a un tercero que figura en los datos de la UR del registro de una vivienda ubicada en Huelva y que fue atribuida a la UR del denunciante. No obstante, teniendo en cuenta las circunstancias que concurren en el presente caso, permiten apreciar la existencia de motivos para la aplicación de las facultad contemplada en el artículo 45.5, debido a la concurrencia de la circunstancia prevista en el apartado
28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente, pues la entidad cuando tuvo conocimiento de los hechos ocurridos a través de la reclamación planteada por el denunciante, procedió con inmediatez a rectificar el error, lo que posibilita la aplicación de una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. No obstante, es necesario tener en cuenta circunstancias que operan como agravantes de la conducta que ahora se enjuicia. Entre ellas cabe citar el apartado “
29. c)la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”, pues es evidente que en el desarrollo de la actividad empresarial que desempeña la entidad denunciada se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros; el apartado “
30. d)Volumen de negocio o actividad del infractor”, toda vez que se trata de una gran empresa tanto por la actividad desarrollada como por cuota de mercado. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4, tanto favorables como adversos, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 acuerda una sanción de 20.000€, por vulneración del artículo 6.1 de la LOPD, de la que BUILDINGCENTER debe responder.>> III Por lo tanto, en el presente recurso de reposición, BUILDING CENTER, S.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BUILDING CENTER, S.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14 de marzo de 2016, en el procedimiento sancionador PS/00603/2015. SEGUNDO: NOTIFICAR la presente resolución a la entidad BUILDING CENTER, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es