1/11 Procedimiento nº: PS/00629/2016 ASUNTO: Recurso de Reposición Nº RR/00544/2017 Examinado el recurso de reposición interpuesto por la entidad BANCO POPULAR E.COM (en la actualidad WIZINK BANK, S.A.), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00629/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 15 de junio de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00629/2016 , en virtud de la cual se imponía a la entidad BANCO POPULAR E.COM (en la actualidad WIZINK BANK, S.A.), una sanción de 24.000 € (veinticuatro mil euros), por la vulneración de lo dispuesto en el artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.5 de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 16/06/2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00629/2016, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. El 22/03/2016, el denunciante presentó escrito en esta Agencia manifestando que sus datos de carácter personal habían sido informados al fichero de solvencia ASNEF por la entidad Bancopoular-e (actualmente WIZINK), sin haber sido requerido previamente de pago. Aporta documentos de Experian (03/06/2015) y Equifax (25/05/2015), con ocasión del ejercicio de acceso de la denunciante: en el fichero ASNEF, figuran los dos datos de la denunciante informados por Bancopopular-e, por operación tarjeta de crédito, en la condición de titular, constando como fecha de alta 20/10/2011, por un importe impagado de 4.197,98 euros y, en el fichero BADEXCUG, figura informado por Bancopopular-e, por operación tarjeta de crédito, en la condición de titular, constando como fecha de alta 10/03/2013, por un importe impagado de 7.648,46 (folios 1 a 14). SEGUNDO. Consta aportado el DNI de la denunciante con nº ***DNI.1, con domicilio en (C/...1) (Murcia), coincidente con el que figura en el escrito de denuncia (folio 6). TERCERO. En fecha 09/06/2016, Equifax Ibérica, S.L. como encargado del fichero ASNEF, ha informado que en el citado fichero consta una incidencia asociada al identificador ***DNI.1 correspondiente a la denunciante, informada por CITIBANK (posteriormente Bancopopular-e y actualmente WIZINK), por operación tarjeta de crédito, en la condición de titular, constando como fecha de alta 20/10/2011, por un importe impagado de 8.568,39 euros. La citada incidencia fue notificada a (C/...1) (Murcia) (folios 20 y ss). CUARTO. En fecha 06/07/2016, Experian como responsable del fichero BADEXCUG, ha informado que en el citado fichero consta tres incidencias asociadas al identificador C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 ***DNI.1 correspondiente a la denunciante, aportadas por CITIBANK (posteriormente Bancopopular-e y actualmente WIZINK), por operación tarjeta de crédito, en la condición de titular, constando como fechas de alta 23/10/2011, por un importe impagado de 8.568,39 euros, 27/05/2012 por un importe de 8.791,4 euros y 10/03/2013 por un importe de 7.648,46 euros. Las citadas incidencias fueron notificadas a (C/...1) (Murcia) (folios 28 y ss). Como fecha de baja figura 25/05/2015. QUINTO. Bancopopular-e (actualmente WIZINK), en escrito de 27/05/2016 manifiesta que “si bien el requerimiento de pago fue efectuado por Citibank, el 22 de septiembre de 2014 se formalizo notarialmente la escritura de Cesión parcial de activos y pasivos de Citibank, S.A. España a favor de Bancopopular-e, quien en virtud de la misma se subrogó en todos los derechos y obligaciones de Citibank España” (folio 122), y en escrito de 31/01/2017 que “Wizink Bank, S.A. no ha cometido infracción alguna en materia de protección de datos en relación con la deuda de la denunciante que fue requerida de pago por tiempo y forma por el Citibank España, S.A., anterior acreedor y que ha cedido la misma a Bancopopular-e (hoy Wizink Bank, S.A.)” (folio 342 y ss). SEXTO. Bancopoular-e (actualmente WIZINK), no ha acreditado la documentación que acredita que llevara a cabo el preceptivo requerimiento de pago de la deuda al denunciante con carácter previo a la inclusión de los datos de carácter personal en los ficheros de morosidad, con la advertencia de que podría producirse la misma en caso de su impago, acreditando su entrega en la dirección que consta en sus sistemas, por una deuda en calidad de deudor. TERCERO: BANCO POPULAR E.COM, en la actualidad WIZINK BANK, S.A. (en lo sucesivo el recurrente), ha presentado en fecha 27/06/2017, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en alegaciones formuladas a lo largo del procedimiento. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del HUECO ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: II La representación de la denunciada ha alegado que la posible infracción estaría prescrita; señala que el artículo 47.1 de la LOPD establece un plazo de dos años para la prescripción de las infracciones graves y que de acuerdo con el apartado 2 del artículo 47 LOPD el cómputo del plazo de prescripción comienza a contarse desde el día en el que la infracción se hubiera cometido, lo que le lleva a fijar como “dies a quo” la fecha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 en la que informó los datos personales de la denunciante a los ficheros de solvencia ASNEF (30/12/2011) y BADEXCUG (10/01/2012) Sin embargo, la Audiencia Nacional se ha pronunciado sobre esta cuestión en un sentido distinto. Así, la sentencia de 03/11/2011 (Rec. 611/2010) examina en su Fundamento jurídico tercero la prescripción que fue invocada por la parte demandante, que había sido sancionada por la AEPD. La sentencia referida considera que la infracción tipificada en el artículo 44.3.
- c)LOPD participa de la naturaleza propia de las denominadas infracciones permanentes, en las que la consumación se proyecta en el tiempo más allá del hecho inicial consistente en el acceso del dato personal erróneo al fichero de solvencia patrimonial y se extiende durante todo el periodo de tiempo en el que el dato permanece en el fichero. La SAN razona que aquel que incluye los datos personales de una persona en un fichero de solvencia patrimonial sin haber efectuado un previo requerimiento de pago al deudor del que exista constancia, comete una infracción de la LOPD relacionada con el principio de calidad del dato y añade que “no solo se produce en el momento de la inscripción sino que persiste mientras no se repara la irregularidad cometida”. Y continúa diciendo: “…dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, ésta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción”. Extrapolando este pronunciamiento de la Audiencia Nacional al asunto que nos ocupa, lo relevante a fin de determinar cuál es el término inicial del plazo de dos años que la ley fija para la prescripción de la infracción de la LOPD que se atribuye a la operadora es precisar en qué momento el tercero, cuyos datos se informan a un fichero de solvencia, ha tenido conocimiento de que la deuda ha sido inscrita en él. La documentación que obra en el expediente aporta indicios de que la denunciante no conoció hasta mayo del año 2015 que sus datos personales estaban incluidos en un fichero de solvencia patrimonial. A pesar de que sus datos figuran en ASNEF desde el 20/10/2011 y en BADEXCUG desde el 10/03/2013, la denunciante no se dirigió a los ficheros hasta el 22/05/2015 (ASNEF) y 03/06/2015 (BADEXCUG), ejercitando en ambos casos el derecho de acceso. Partiendo de que incumbe a la operadora denunciada la carga de la prueba de haber practicado el preceptivo requerimiento de pago, circunstancia que no ha sido acreditada, y habida cuenta de que existen evidencias de que hasta mayo de 2015 la afectada no supo que estaba incluida en un fichero de morosidad, tomando en consideración el criterio fijado por la SAN de 03/11/2011 (Rec. 611/2010) hemos de situar el término inicial (“dies a quo”) del plazo de prescripción que el artículo 47.1 fija para las infracciones graves en la fecha de 22/05/2015, fecha en la que consulta por primera vez si sus datos estaban incorporados al fichero ASNEF. Puesto que la denuncia que nos ocupa tuvo entrada en esta Agencia el 22/03/2016, meses después de conocer los hechos imputados, en el presente procedimiento ha quedado acreditado que la misma no había prescrito a 22/10/2016 (“dies ad quem” o término final), cuando se acordó la apertura del presente procedimiento sancionador, con conocimiento de la entidad denunciada por lo que la alegación de la prescripción debe ser rechazada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Por último, hay que señalar que si bien el afectado en su escrito de denuncia declaraba que sus datos de carácter personal habían sido informados a ficheros de solvencia, sin haber sido requerido previamente de pago y sin que se le hubiera notificado la inclusión en los mismos por los responsables de los ficheros, tanto ASNEFEQUIFAX como EXPERIAN han acreditado que la inclusión de los datos del denunciante en los citados ficheros fue notificada de conformidad con la normativa en materia de protección de datos. III Se imputa a WIZINK en el presente procedimiento sancionador la comisión de una infracción del artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: ”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 38 del Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
- b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. WIZINK incorporó a su sistema de información los datos de la denunciante en relación con producto tarjeta de crédito en calidad de titular. Posteriormente, informó de una deuda imputada por tal producto a los ficheros de morosidad sin requerimiento previo de pago al denunciante con advertencia efectiva de la posibilidad de inclusión en caso de impago. En este sentido, la denunciante manifestó a esta Agencia que WIZINK había procedido a la inclusión de sus datos de carácter personal en ficheros de morosidad “sin que por parte de la entidad bancaria o del propio fichero se haya procedido a notificación o comunicación alguna con esta parte suponiendo ello un gran perjuicio…” (folio 1). Tal y como consta acreditado en el expediente, en el fichero ASNEF fueron registrados los datos de carácter personal de la denunciante a instancias de CITIBANK, posteriormente Bancopopular-e y actualmente WIZINK, con fecha de alta 20/10/2011, por un importe impagado de 8.568,39 euros y, en el caso del fichero BADEXCUG, con fechas de alta 23/10/2011, por un importe impagado de 8.568,39 euros, 27/05/2012 por un importe de 8.791,4 euros y 10/03/2013 por un importe de 7.648,46 euros. Hay que indicar que la denunciante ejercito ante EQUIFAX y EXPERIAN, como responsable de los respectivos ficheros el derecho de acceso en fechas 22/05/2015 y 03/06/2015, quienes le respondían aportando los datos incluidos en los ficheros: en ASNEF, informados por Bancopopular-e, por operación tarjeta de crédito, en la condición de titular, constando como fecha de alta 20/10/2011, por un importe impagado de 4.197,98 euros y, en BADEXCUG, informados por Bancopopular-e, por operación tarjeta de crédito, en la condición de titular, constando como fecha de alta 10/03/2013, por un importe impagado de 7.648,46 euros. Por otra parte, la entidad denunciada no ha aportado a esta Agencia documentación suficiente que acredite que llevara a cabo el requerimiento de pago a la denunciante y con carácter previo a la inclusión de sus datos de carácter personal en los ficheros de solvencia patrimonial y crédito, según se ha detallado anteriormente. Los hechos anteriormente relatados son contrarios al principio de calidad del dato consagrado en el artículo 4.3, en relación con el 29.4, de la LOPD, y en relación también con los artículos 38 y 39 del RLOPD, toda vez que WIZINK, mantuvo indebidamente los datos de la denunciante en sus propios ficheros en el sentido descrito de ausencia de requerimiento previo de pago a su comunicación a los ficheros de solvencia, sin que dicha inscripción hubiese respondido entonces a su situación de entonces (“actual”), al no cumplir con los requisitos establecidos en la normativa precitada sobre protección de datos de carácter personal. IV Consta acreditado en esta Agencia que las entidades asociadas a ficheros de morosidad suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes para que tales actualizaciones queden registradas en el citado fichero, siendo las entidades informantes las que deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Los datos personales de la persona denunciante son datos que figuran en sus propios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 ficheros automatizados. Adicionalmente son comunicados al responsable del fichero de solvencia a través de procedimientos que implican un tratamiento automatizado de los datos tratados, cedidos, e incorporados al fichero común de información sobre solvencia patrimonial. Conforme a lo expuesto, dicha la entidad no se ha limitado a transmitir la información al responsable del fichero común sobre solvencia patrimonial, sino que ha tratado automatizadamente los datos de solvencia en sus propios ficheros, los ha comunicado a través de tratamientos automatizados al fichero común, y, particularmente, ha decidido sobre la finalidad del tratamiento (la calificación en sus ficheros como deudor), el contenido de la información (una supuesta deuda), y el uso del tratamiento (la incorporación a un fichero común de información sobre solvencia patrimonial y crédito, al que pueden acceder terceras entidades para realizar una evaluación o perfil económico de las personas incorporadas al mismo). Todo ello, sin que los datos mantenidos en el fichero de WIZINK respondiera a la situación actual de la denunciante (en aquel momento), pues esta entidad incluyó sus datos personales en los ficheros sin el preceptivo requerimiento previo de pago ni advertencia efectiva al momento de realizarse de que podía producirse dicha inclusión como moroso en el supuesto de persistir en la situación de impago. Esto supone una vulneración del principio de calidad del dato del que debe responder WIZINK por ser responsable de la veracidad y calidad de los datos existentes en sus ficheros y de los que suministra para que se incluyan y mantengan en el fichero de solvencia patrimonial y crédito. La conclusión, que se desprende de los hechos y fundamentos de derecho expuestos, es que WIZINK es responsable de la infracción del principio de calidad del dato, recogido en el artículo 4.3 de la LOPD, en relación con el 29.4 de la misma norma y en relación también con los artículos 38 y 39 del RLOPD, y en los términos del artículo 43, en relación con el artículo 3, apartados
- c)y d), también de la citada Ley Orgánica. V Hay que señalar que la Agencia Española de Protección de Datos ha resuelto numerosos procedimientos sancionadores por incumplimiento de calidad de datos en relación con ficheros de morosidad, tanto por alta improcedente por ser una deuda incierta o por mantener los mismos una vez abonada la deuda (requisito material: exactitud del dato) o por una deuda no requerida previamente de pago por el acreedor al deudor (requisito formal: requerimiento previo), como se trata en el presente caso. Es criterio compartido que aquél que utiliza un medio extraordinario de cobro, como es el de inclusión en registros de morosos, debe garantizar el cumplimiento de todos los requisitos materiales y formales, y así permitir el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar estas exigencias supondría, por lo contrario, utilizar este medio de presión al ciudadano sin las suficientes garantías mínimas para los titulares de los datos personales objeto de anotación en los ficheros de solvencia patrimonial y crédito. Tanto es así que el Tribunal Supremo considera “intromisión ilegítima en el derecho al honor” acudir a este medio de presión, pues “la inclusión en los registros de morosos no puede ser utilizada por las grandes empresas para buscar el cobro de las cantidades que estimen pertinentes, amparándose en el temor al descrédito personal y menoscabo de su prestigio profesional y denegación a acceso al sistema crediticio” (SSTS. 176/2013 de 6 de marzo y 12/2014 de 22 de enero). El principio de calidad del dato, por lo tanto, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas sentencias de la Audiencia Nacional. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 En cuanto al rigor de la inclusión, la sentencia de la A.N. de 23/05/2007 ha manifestado que “es esta falta de diligencia lo que configura el elemento culpabilístico de la infracción administrativa y resulta imputable a la recurrente. Debemos insistir que comprobar la exactitud del dato, es decir, de la insolvencia que se pretende registrar coincide con una cantidad debida es una circunstancia que ha de hacerse previamente y de modo riguroso antes de enviar los datos de una persona a un fichero de responsabilidad patrimonial”. La inclusión como moroso de la denunciante en los ficheros de morosidad debería de haberse realizado con todo rigor por la entidad imputada para salvaguardar la veracidad de la información a transmitir a los ficheros de solvencia económica que la Ley Orgánica y su Reglamento exigen. Es importante en este caso la determinación en consecuencia de si se realizó o no el preceptivo requerimiento previo de pago antes de la inclusión en el fichero de morosidad con los requisitos formales que exige la normativa sobre protección de datos de carácter personal. Recordemos lo que dice a este respecto la Audiencia Nacional: “la carga de acreditar la comunicación corre a cuenta del que comunica los datos al fichero (…) La solución contraria, presumiendo cumplida la exigencia del requerimiento previo con la mera alegación de que el mismo se envió, supondría vaciar de contenido dicha intimación legal y reglamentariamente impuesta, pues bastaría con la simple afirmación de su existencia para que hubiera de entenderse realizada. Con tal proceder se privaría a los interesados del conocimiento y, en su caso, de la posibilidad de formular reparos a la exactitud, o no, del dato personal que va a acceder al fichero de responsabilidad patrimonial, que es precisamente la finalidad del principio que se pretende salvaguardar” (sentencia de 19 de septiembre de 2007). Por ello, siguiendo con la misma sentencia, es necesario exigir que el requerimiento se haga “de manera que se tenga constancia de su recepción por los destinatarios, pues la exhibición de una carta, en relación con las cuales no consta ya su recepción sino, ni siquiera, su envío, no permite tener por cumplida la citada exigencia” (En el caso concreto examinado ver folio 277, carta de requerimiento de pago de fecha 18/10/2011 referenciada e individualizada a nombre del denunciante, con la dirección del mismo y detalle de la deuda por importe de 1.083.14 € y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad). O esta otra: “Se ha acreditado que existe un procedimiento estandarizado y automático de envío de cartas y requerimientos de pago a los deudores para reclamar el cumplimiento de las obligaciones de pago tan pronto se produce el incumplimiento. Sin embargo, la existencia del procedimiento no constituye prueba de que en este caso concreto se haya producido la efectiva remisión y recepción por el destinatario” (sentencia de fecha 20 de octubre de 2009, Recurso 225/2009)(Esto en referencia a contrato celebrado entre Citibank y Serviform encargada de la generación, impresión y puesta en correos de las cartas de requerimiento, folios 279 y ss). Sin embargo, no consta en el expediente el albarán de Correos que acreditaría la entrega y puesta a disposición del servidor postal de la carta para su remisión al interesado, por lo que no se acredita ni siquiera el envío efectivo de dicho aviso o requerimiento de pago de fecha 18/10/2011 y que permanecía incluida a fechas 25/05/2015 (Asnef) y 03/06/2015 (Badex). En resumen, no existe la documentación suficiente que acredite la realización del requerimiento previo de pago a la denunciante por parte de la entidad imputada con anterioridad a la inclusión en ficheros de morosidad, pues de la carta citada no consta acreditado su recepción o siquiera su envío efectivo; ello en sintonía con la doctrina C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 fijada por la propia Audiencia Nacional. VI La representación de la denunciada ha alegado que a la fecha de la infracción no era exigible al acreedor presentar albarán de Correo a efectos de la prueba del requerimiento de pago. No obstante, tal alegato no puede ser admitido; no se trata de un nuevo criterio establecido por la Agencia sino una forma de hacer cumplir la doctrina emanada de la Audiencia Nacional a través de sus sentencias cuando señala que se debe acreditar la efectiva recepción por el afectado del requerimiento previo de pago con anterioridad a la inclusión de sus datos en el fichero a fin de que exista una acreditación del cumplimiento de las exigencias impuestas por la Ley. Como se decía anteriormente la Audiencia Nacional ha analizado el efecto probatorio de la notificación a los interesados señalando que la mera contratación de un medio independiente para la notificación no acredita más que la existencia del contrato, pero no que se ha hecho el envío, del mismo modo que la prueba del envío de una notificación no acredita por si mimos su recepción por el afectado. De la misma forma, si el destinatario niega su recepción, la carga de la prueba del envío recae sobre el responsable del tratamiento. Entre los medios que pueden considerarse válidos para que el responsable pueda acreditar el envío y la recepción puede ser el fax, correo certificado, e-mail o cualquier otro medio de los considerados validos en derecho siempre y cuando permita acreditar la recepción por el interesado. También se ha venido admitiendo la posibilidad de que se acuda a la contratación de un tercero independiente de la entidad, que garantice que los envíos se han realizado efectivamente, con indicación de los destinatarios de los mismos y la fecha de envío. Constituirá también una prueba de que la carta ha llegado a su destino, el acceso al servicio de devoluciones de correos por parte de quien ha efectuado la notificación, de modo que si el envío consta como devuelto no se tratarían los datos y por el contrario si no consta como devueltos se procedería a su tratamiento. Por tanto, el requerimiento de pago implica la utilización de un medio que permita acreditar el envío y la recepción del mismo. En este sentido se pronuncia la Audiencia Nacional en sus sentencias. VII El artículo 44.3.
- c)de la LOPD establece como infracción grave: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. WIZINK ha incurrido en la infracción descrita, ya que el principio de la calidad del dato es básico del derecho fundamental a la protección de datos. La entidad mencionada ha tratado los datos de la denunciante infringiendo tal principio, al no acreditar que requiriera de pago con carácter previo a la inclusión de los datos en el fichero de morosidad, lo que supone una vulneración del artículo 4.3, en relación con el 29.4, ambos de la LOPD, y en relación también con su desarrollo reglamentario, conducta que encuentra su tipificación en el artículo 44.3.
- c)de la citada Ley Orgánica. VI El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» La representación de la entidad denunciada ha solicitado el sobreseimiento y archivo del procedimiento al considerar que no ha cometido infracción alguna en materia de protección de datos al ser requerida la deuda con carácter previo a la inclusión en el fichero. Sin embargo tal manifestación no puede prosperar a la luz de los documentos aportados al expediente. Hay que señalar que el nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 WIZINK ha incurrido en la vulneración del artículo 4.3 de la LOPD al incluir los datos del denunciante en los ficheros de morosidad ASNEF y BADEXCUG sin haber acreditado la realización del requerimiento previo de pago; es cierto que aporta carta de requerimiento de pago de fecha 18/10/2011 referenciada e individualizada a nombre del denunciante, con la dirección del mismo y detalle de la deuda por importe de 1.083.14 € y advertencia de que su impago puede ocasionar la inclusión en ficheros de morosidad; sin embargo, no acredita su recepción ni siquiera su envío al no aportar el albarán de entrega ante el servidor postal para su remisión al interesado, por lo que ha de ser objeto de sanción. No obstante, en el presente caso concurren circunstancias que permiten apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, al concurrir el apartado
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente, proceso que culminaría el 22/09/2014, con la escritura de cesión parcial de activos y pasivos de Citibank a Bancopopular-e (actualmente WIZINK), por la que aquella cedía determinados activos y pasivos y demás elementos que integraban el negocio de banca minorista y de pequeña y mediana empresa y el negocio de tarjetas de crédito en España que fueron transmitidas en bloque a Bancopopular-e, no siendo imputable a éste último la infracción cometida al ser anterior a dicho proceso, no apreciándose obstáculo alguno ni indefensión o perjuicio para ninguna de las partes por dicha aplicación, por lo que se establece una sanción de “la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate”. Por otra parte, en relación con los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, se aprecia la concurrencia de circunstancias agravantes: el carácter continuado de la infracción (apartado
- a)del artículo 45.4 de la LOPD), porque como ha declarado en numerosas resoluciones la Audiencia Nacional, la infracción del artículo 4.3 de la LOPD que se imputa a WIZINK, tiene naturaleza de infracción continuada o permanente; el importante volumen de negocio de WIZINK (apartado
- d)del artículo 45.4 de la LOPD), toda vez que se trata de una gran entidad financiera y la vinculación de su actividad con la realización de tratamientos de datos de carácter personal (apartado
- c)del artículo 45.4 de la LOPD), pues es evidente que en el desarrollo de la actividad empresarial que desempeña se ve obligada a un continuo tratamiento de datos personales tanto de sus clientes como de terceros. En el presente caso, valorados los criterios de graduación de las sanciones establecidos en el artículo 45.4 se impone una sanción de 24.000 €, por vulneración del artículo 4.3 de la LOPD, de la que WIZINK debe responder. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por BANCO POPULAR E.COM, (en la actualidad WIZINK BANK, S.A.) contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 15 de junio de 2017, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 procedimiento sancionador PS/00629/2016. SEGUNDO: NOTIFICAR la presente resolución a la entidad BANCO POPULAR E.COM (en la actualidad WIZINK BANK, S.A.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es