1/13
Procedimiento Nº: PS/00406/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 30 de julio de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra EQUIFAX IBERICA, S.L. con NIF B80855398 (en lo
sucesivo, el reclamado o EQUIFAX). Los motivos en que basa la reclamación son que
se han incluido sus datos en el fichero de solvencia patrimonial y de crédito Asnef-
Equifax sin existir tal deuda y sin notificarla de que iba a ser incluida. Que una vez
incluida en dicho fichero tampoco se la ha notificado.
Y, entre otra, aporta la siguiente documentación:
Copia de carta dirigida a la reclamante y remitida por Testa Residencial Socimi, S.A.
fechada a 20 de junio de 2019 donde consta:
o “Fecha de finalización del contrato”: 02/08/2019
o “Relativo a”: ***DIRECCION.1
o Consta, entre otro, el texto siguiente: “…Aprovechamos la presente para recordarle
que, según nuestros asientos contables, a día de hoy adeuda la suma de XXXX,XX €
en concepto del impago de las rentas….”
Copia de carta dirigida a la reclamante y remitida por Testa Residencial Socimi, S.A.
fechada a 10 de junio de 2019 donde:
o Consta, entre otro, el texto siguiente: “Que en relación al contrato de arrendamiento
número, ***REFERENCIA.1 que tenemos con usted sobre el inmueble sito en
***DIRECCION.1, se ha detectado en nuestros asientos contables de "Testa
Residencial Socimi, S.A." una deuda pendiente de XXXX,XX €. – euros,
correspondientes al impago de los recibos de mayo del 2018 (deuda cedida por
Building Center) julio de 2018 así como febrero, marzo, abril, mayo y junio de 2019 y
consumos.”
Copia de carta dirigida a Testa Residencial Socimi, S.A. y remitida por la reclamante
donde consta:
o Que la presente carta es contestación de la recibida en fecha 13 de junio de 2019.
o Que la deuda del mes de mayo y julio 2018 no existe, pues la de mayo les fue
realizada transferencia de los YYY€ que reclamaban, por el ayuntamiento de Gijón.
Que se le envió a Testa el día 23 de marzo del 2019 copia del justificante de pago.
o Que respecto de la deuda del mes de julio 2018, no se les pasó recibo.
o Que respecto de los pagos de los meses de febrero, marzo, abril, mayo, junio, julio de
2019 se les pidió que usaran al Depósito de Garantía y la fianza para el pago.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
o Que su familia está considerada como vulnerable severo en riesgo de
exclusión social.
Copia de carta dirigida a la reclamante y remitida por Financiera El Corte
Inglés. fechada a 12 de julio de 2019 donde consta el texto:
“Revisada su solicitud de Financiación hemos consultado sus datos en los
Ficheros de Solvencia Patrimonial. Informamos, de acuerdo con la legislación
vigente, que a fecha de hoy, usted figura con anotaciones en el siguiente
fichero:
ASNEF-Equifax
Por este motivo su solicitud de financiación no ha sido aceptada.”
Copia de “contrato de arrendamiento de vivienda” fechado a 3 de agosto de
2016 y firmado por la denunciante y Buildingcenter, S.A.U. como parte
arrendadora respecto a la vivienda “***DIRECCION.1” donde consta:
o En el apartado de “GARANTIA ADICIONAL”:
“…ambas partes acuerdan garantizar el pago de la renta y de
cualesquiera otras obligaciones económicas dimanantes del contrato,
así como posibles responsabilidades de cualquier otro género,
derivadas de la ocupación o del incumplimiento del arrendamiento de
forma adicional a la fianza, mediante la entrega a Buildingcenter S.A.U
de un depósito por un importe máximo de dos mil quinientos cincuenta
con cero céntimos equivalente a seis mensualidades de renta (2.550,00
€. La ejecución total o parcial de dicho depósito es potestativa de
Buildingcenter S.A.U, que podrá agotar otras vías para obtener el cobro
y/o la resolución del contrato independiente de la garantía que el
depósito supone.”
o “3.- DEVOLUCIÓN DE LA POSESION.- A la finalización del
arrendamiento, sea cual sea la causa que produzca la misma, la
ARRENDATARIA deberá dejar la VIVIENDA libre, vacua, y expedita, a
disposición de la ARRENDADORA, así como libres de cargas,
obligaciones y deudas de cualquier tipo, sin necesidad de previo aviso
ni de requerimiento, dentro de las veinticuatro(24) horas siguientes a la
citada finalización, entregando dentro de dicho plazo la vivienda a la
ARRENDADORA en la forma que resulte de lo establecido en la
cláusula quinta de este documento.”
o No consta el aviso de una posible comunicación de los datos de la
denunciante a ficheros de morosidad en caso de impago.
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los
documentos aportados por el reclamante, la Subdirección General de Inspección de
Datos procedió a la realización de actuaciones previas de investigación para el
esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación
otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
Las actuaciones efectuadas desde que se recibió la reclamación son las
siguientes:
Con fecha 27 de agosto de 2019 se acuerda inadmitir la reclamación.
Con fecha 27 de septiembre de 2019, la reclamante interpone recurso de
reposición aportando la siguiente documentación, entre otra:
1. Carta dirigida a la reclamante remitida por EQUIFAX y fechada a 5 de
septiembre de 2019 donde consta que han procedido a la baja cautelar con las
entidades Testa Residencial Socimi, S.A. en el fichero ASNEF de los datos
asociados a la reclamante.
2. Informe de EQUIFAX fechado a 27/08/2019 relativo a la reclamante y a las
operaciones en el fichero ASNEF donde consta:
a. En el campo “Nombre”: el nombre y apellidos de la reclamante
b. En el campo “Dirección”: “***DIRECCION.1”
c. “En el campo “Ent. Informante”: “TESTA RESD. SOCIMI SA”
d. En el campo “Fecha de alta”: 20/05/2019
e. En el campo “Saldo Act. Impagado”: XXXX,XX
3. Informe de EQUIFAX fechado a 05/09/2019 relativo a la reclamante y a las
operaciones en el fichero ASNEF donde no constan datos.
4. Copia de carta dirigida a Testa Residencial Socimi, S.A. y remitida por la
reclamante donde se manifiesta:
a. Que la presente carta es contestación de la recibida en fecha 13 de
junio de 2019.
b. Que con fecha 21 de mayo de 2019 se le comunica por parte de Asnef-
Equifax que con fecha 20 de mayo de 2019 la entidad Testa Residencial
Socimi, S.A. ha solicitado el alta en dicho fichero relativo a sus datos
personales.
c. Que Testa en ningún momento le ha comunicado mediante carta
certificada para poder ser incluida en ficheros de morosidad.
5. Copia de correo electrónico dirigido al correo electrónico de la reclamante y
remitido por la dirección de correo electrónico [email protected] en
fecha 11 de junio de 2019 donde se manifiesta, entre otros aspectos:
a. “Indicarle que debe abonar la deuda que tiene a día de hoy, si no, se le
incluirá en el fichero de morosidad Asnef.”
Con fecha 23 de octubre de 2019 se dicta resolución estimatoria.
El 15 de julio de 2020, Equifax Ibérica, S.L. remite a esta Agencia la siguiente
información y manifestaciones:
1. Que se aporta consulta al fichero auxiliar de notificaciones en el fichero
Asnef con el desglose de la notificación correspondiente a la entidad Testa
Residencial Socimi, S.A. con referencia 740/2019051302778.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
Aporta captura de pantalla de fecha 13/07/2020 de consulta de cartas enviadas
a la reclamante con fecha de emisión 21/05/2019 donde consta la referencia de
carta 2019-05-1302778 y la entidad TESTA RESIDENCIAL SO y el saldo imp.
de RRRR,RR€.
Que se aporta copia de la Notificación de Inclusión de referencia
740/2019051302778 emitida, así como Certificación emitida por el prestador
del Servicio de Generación, Impresión, y Puesta a Disposición del Servicio de
Envíos Postales -Correos y/o Unipost-, SERVINFORM, S.A., certificando la
realización de la notificación de inclusión de referencia, junto al resto de
comunicaciones emitidas en el proceso generado con fecha 21 de mayo de
2019, sin que se produjese incidencia alguna en el proceso, que hubiera
impedido su ejecución, y que fue puesta a disposición del servicio de envíos
postales el día 22 de mayo de 2019.
Aporta copia de carta enviada a la denunciante fechada a 21 de mayo de 2019
con referencia 740/2019051302778 donde consta “Le comunicamos que con
fecha 20/05/2019 la entidad TESTA RESIDENCIAL SOCIMI, S.A. ha solicitado
el alta en el fichero ASNEF los siguientes datos personales relativos al impago
del contrato que mantiene con dicha entidad:”.
Aporta certificado de SERVINFORM, S.A. como prestador del servicio de
Generación de Notificaciones de Inclusión de ASNEF EQUIFAX, manifestando
que certifica la generación, impresión, y puesta en el servicio de envíos
postales, el día 22 de mayo de 2019 la comunicación con el número de
referencia 2019051302778 dirigida a A.A.A. con domicilio en ***DIRECCION.1.
Aporta copia del albarán de entrega de Correos con referencia 27537-CREDI,
con oficina 2812096 y fechada 22/05/2019.
Aporta copia de certificado de ILUNION IT SERVICES; S.A.U., como prestador
del servicio a EQUIFAX de grabación y custodia de las devoluciones de las
notificaciones, manifestando que actualmente no consta en depósito y custodia
en las oficinas de ILUNION IT SERVICES; S.A.U. la notificación de referencia
740/2019051302778 ni ha sido objeto de tratamiento por algún motivo de
devolución.
Con fecha 22 de julio de 2020, Testa Residencial Socimi, S.A. remite a esta
Agencia la siguiente información y manifestaciones:
1. Que “La comunicación personalizada e individualizada enviada a la reclamante
con carácter previo a la inclusión de sus datos personales en ficheros de
información de solvencia patrimonial y crédito, se lleva a cabo directamente por
Equifax Iberica S.L.”
Se aporta copia de contrato de “Prestación de Servicios para la Notificación del
Requerimiento Previo de Pago” firmado en fecha 1 de octubre de 2018 entre
Equifax Iberica S.L. y Testa Residencial Socimi, S.A. (el CLIENTE) donde
consta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
“CLÁUSULAS:
PRIMERA.- OBJETO: Constituye el objeto del presente contrato la prestación
de servicios de EQUIFAX al CLIENTE consistente en el envío de la carta de
requerimiento de pago previo a la inclusión de datos en ficheros de solvencia
patrimonial y crédito, conforme a la operativa que se describe en el Anexo II al
presente contrato.”
1. Que “Los envíos de requerimiento no son realizados por TESTA RESIDENCIAL
SOCIMI, S.A. directamente sino por una tercera entidad EQUIFAX IBERICA
S.L.”
2. En respuesta a la petición del certificado de la tercera empresa del envío de la
comunicación a la reclamante, previa a la inclusión de sus datos personales en
ficheros de información de solvencia patrimonial y crédito, se manifiesta que
“Teniendo en cuenta lo previsto en el punto 2 anterior según el cual la
comunicación personalizada e individualizada enviada a la reclamante se lleva
a cabo por EQUIFAX IBERICA S.L., corresponde a dicha entidad presentar
copia del certificado solicitado.”
TERCERO: Con fecha 27 de noviembre de 2020, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con
arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), por la presunta infracción del Artículo 6.1.f) del RGPD, tipificada en el
Artículo 83.5 del RGPD.
CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que, en síntesis, manifestaba que: “el propio Órgano Sancionador
hace en el Acuerdo de Inicio una valoración (anticipada y carente de motivación
alguna), de la responsabilidad de Equifax.
El Acuerdo de Inicio especifica el importe de la reducción que procedería en caso de
reconocimiento por Equifax de su supuesta responsabilidad y de pago voluntario de la
sanción, a juicio de esta parte, las reglas establecidas en el artículo 85 no resultan
aplicables en el presente caso.
Que Equifax no realizó inclusión de los datos de la reclamante en el fichero ASNEF
por no ser ella la entidad que gestiona el mismo, sino TESTA como entidad acreedora,
inexistiendo por tanto el tratamiento supuestamente llevado a cabo por parte de
EQUIFAX y que da inicio al expediente sancionador incoado ante la misma.
Efectivamente EQUIFAX adquirió una serie de obligaciones contractuales en la
prestación de servicios de envío de notificaciones (en este caso, de requerimientos
previos de pago) pero ello, en ningún caso, podrá suponer desplazamiento de la
responsabilidad en una obligación legalmente establecida para el acreedor al
encargado de tratamiento por la mera asunción de unas obligaciones contractuales
por un pacto privado entre las partes.
Equifax Ibérica S.L. cumplió con el encargo de prestación relativo al envío de
requerimientos previos de pago a la reclamante tal y como se demuestra en los
documentos adjunto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
Asnef-Equifax canceló de manera cautelar los datos ante la solicitud del ejercicio de
cancelación de la afectada ante la falta de contestación del responsable en garantizar
la exactitud de los datos (TESTA).
Que se dicte resolución declarando la nulidad de pleno derecho del procedimiento o,
en su defecto, la imposición de una advertencia o apercibimiento o una reducción
significativa de la cuantía establecida en el Acuerdo de Inicio, en atención a las
numerosas circunstancias concurrentes en el supuesto de hecho enjuiciado”.
QUINTO: Con fecha 29 de diciembre de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, E/10196/2019, así como los documentos
aportados por el reclamado.
SEXTO: Con fecha 19 de enero de 2021 se formuló propuesta de resolución,
proponiendo que se sancione en la cuantía de 50.000 euros a EQUIFAX IBERICA,
S.L. con NIF B80855398, por la presunta infracción del artículo 6.1. f) del RGPD, en
relación con el artículo 20.1 c) de la LOPDGDD, tipificada en el artículo 83.5.a) del
citado RGPD
Que mediante escrito de fecha 28 de enero de 2021, el reclamado solicitó ampliación
de plazo, el cual fue concedido.
SÉPTIMO: Con fecha 9 de febrero de 2021, el reclamado formula alegaciones a la
propuesta de resolución, ratificándose en las anteriores alegaciones y en síntesis
manifiesta que: “ambas comunicaciones demuestran el envío por parte de Equifax de
los dos requerimientos previos de pago realizados por Testa Residencial, S.A. (como
acreedora de la deuda) a la reclamante de manera previa a la inclusión de sus datos
en el fichero de solvencia “Asnef”.
Equifax envió las dos comunicaciones que Testa Residencial Socimi, S.A. le indicó
mediante la carga del contenido de la carta en los sistemas de Equifax conforme a la
operativa indicada en el Contrato de prestación de servicios en su cláusula QUINTA
obligaciones y responsabilidades que “En ningún momento Equifax será responsable
del contenido de la carta, siendo ésta plena responsabilidad del Cliente”
evidenciándose así que Equifax es un mero proveedor de servicios de envío pero es el
responsable ni tampoco tiene porque conocer el contenido de la comunicación
independientemente de que se trate de “Requerimiento previo de pago” .
Dado que Equifax no es el responsable del contenido de la comunicación, ni el
obligado por el principio de información recogido en el artículo 20.1.c), le resulta por
ende, del todo imposible ser responsable de si dicho requerimiento incluye o no la
obligación de informar al afectado sobre la posibilidad de inclusión de sus datos en los
sistemas de información crediticia”.
Solicita el reclamado la nulidad o, en su defecto, el archivo del procedimiento o, en su
defecto, la imposición de una advertencia de apercibimiento o una reducción
significativa de la cuantía establecida en el Acuerdo de Inicio.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
HECHOS PROBADOS
PRIMERO: Consta, en el contrato de “Prestación de Servicios para la Notificación del
Requerimiento Previo de Pago” firmado en fecha 1 de octubre de 2018 entre Equifax
Iberica S.L. y Testa Residencial Socimi, S.A. que la comunicación personalizada e
individualizada enviada a la reclamante con carácter previo a la inclusión de sus datos
personales en ficheros de información de solvencia patrimonial y crédito, se lleva a
cabo directamente por Equifax Iberica S.L. donde consta:
“CLÁUSULAS:
PRIMERA.- OBJETO: Constituye el objeto del presente contrato la prestación de
servicios de EQUIFAX al CLIENTE consistente en el envío de la carta de
requerimiento de pago previo a la inclusión de datos en ficheros de solvencia
patrimonial y crédito, conforme a la operativa que se describe en el Anexo II al
presente contrato.”
Que “Los envíos de requerimiento no son realizados por TESTA RESIDENCIAL
SOCIMI, S.A. directamente sino por una tercera entidad EQUIFAX IBERICA
S.L.”
En respuesta a la petición del certificado de la tercera empresa del envío de la
comunicación a la reclamante, previa a la inclusión de sus datos personales en
ficheros de información de solvencia patrimonial y crédito, se manifiesta que “Teniendo
en cuenta lo previsto en el punto 2 anterior según el cual la comunicación
personalizada e individualizada enviada a la reclamante se lleva a cabo por EQUIFAX
IBERICA S.L., corresponde a dicha entidad presentar copia del certificado solicitado.”
SEGUNDO: La reclamante fue incluida en el fichero de solvencia patrimonial y de
crédito el 20 de mayo de 2019, en relación con una deuda, en concepto de alquiler,
con la entidad acreedora Testa Residencial.
Aporta, la reclamante, tanto el contrato de alquiler (en cuya cláusula de protección de
datos no se alude a la posibilidad de inclusión en sistemas de información crediticia),
como las comunicaciones recibidas de la entidad acreedora, requiriendo el pago, pero
sin advertir de su inclusión en el fichero de solvencia patrimonial y de crédito.
TERCERO: EQUIFAX aporta copia de la carta de notificación a la reclamante de fecha
24 de abril de 2019, requiriendo el pago de la deuda, pero no consta información
acerca de la posibilidad de inclusión en dicho fichero si no se procede al pago.
-220920
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de
la Agencia Española de Protección de Datos es competente para resolver este
procedimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
II
El artículo 58 del RGPD, “Poderes”, dice:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;
(...)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado.
(…)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias del caso
particular
(…)”
III
El RGPD se ocupa en su artículo 5 de los principios que han de regir el
tratamiento de los datos personales y menciona entre ellos el de “licitud, lealtad y
transparencia”. El precepto dispone:
“1. Los datos personales serán:
a) Tratados de manera lícita, leal y transparente en relación con el
interesado (<<licitud, lealtad y transparencia>>);”
El artículo 6 del RGPD, “Licitud del tratamiento”, detalla en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre
dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo
primero no será de aplicación al tratamiento realizado por las autoridades públicas en
el ejercicio de sus funciones.”
La infracción de la que se responsabiliza a la entidad reclamada se encuentra
tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para
la imposición de multas administrativas”, señala:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquél y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE)2016/679.”
IV
La documentación que obra en el expediente ofrece evidencias de que el
reclamado, vulneró el artículo 6.1 f) del RGPD, por tratamiento de datos sin
legitimación, obligación establecida en el artículo 20.1 c) de la LOPDGDD, es decir
incluyo los datos de la reclamante en el fichero Asnef sin requerirle previamente al
pago.
El artículo 20.1 c) de la LOPDGDD establece:
“Que el acreedor haya informado al afectado en el contrato o en el momento de
requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con
indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos relativos al
incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al
afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro
de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo
bloqueados los datos durante ese plazo.”
Por lo tanto, los datos fueron incluidos en el fichero Asnef sin requerirle
previamente al pago contraviniendo los requisitos recogidos en la LOPDGDD.
EQUIFAX aporta copia de la carta de notificación a la reclamante de fecha 24 de
abril de 2019, requiriendo el pago de la deuda, pero sin constar la advertencia de que
en caso de impago se efectuaría su inclusión en el fichero de solvencia patrimonial y
de crédito.
Ahora bien, en el contrato de arrendamiento celebrado el 3 de agosto de 2016
con Testa al no existir información ni en el contrato ni en el requerimiento previo de
pago no se cumplen los elementos para que ese tratamiento se pueda presumir
amparado en el interés legítimo y por tanto se ha realizado sin base legitimadora. De
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
acuerdo con el contrato de prestación de servicios aportado entre Testa y Equifax
Ibérica, esta última entidad será la que se encargue de efectuar el requerimiento
previo de pago anterior a la inclusión en el fichero de solvencia patrimonial y crédito,
sin que se haya acreditado su envío y recepción par parte de la reclamante.
Está claro, y esto es lo esencial, lo anterior hace que el tratamiento de los datos
del reclamante no sea legítimo, dado que no se dieron los presupuestos establecidos
en el artículo 20.1 c) de la LOPDGDD.
V
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la
sanción de multa a imponer en el presente caso se considera al reclamado como
responsable de una infracción tipificada en el artículo 83.5.a) del RGPD, se estiman
concurrentes los siguientes factores.
Como agravantes los siguientes:
- En el presente caso estamos ante una acción negligente no intencional, pero
significativos identificados (artículo 83.2 b).
- La duración del tratamiento ilegítimo de los datos del afectado efectuado por el
reclamado (artículo 83.2 d).
Es por lo que se considera procedente graduar la sanción a imponer al reclamado
y fijarla en la cuantía de 50.000 € por la infracción del artículo 6.1 f) del RGPD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a EQUIFAX IBERICA, S.L. con NIF B80855398 por una
infracción del Artículo 6.1.f) del RGPD, tipificada en el Artículo 83.5 del RGPD, una
multa de cincuenta mil euros (50.000 euros).
SEGUNDO: NOTIFICAR la presente resolución a EQUIFAX IBERICA, S.L. con NIF
B80855398.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/YYY5, de 29 de julio, en relación con el art. 62 de la Ley
58/YYY3, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y
el número de procedimiento que figura en el encabezamiento de este documento, en
la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A..
En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es