Iustel
La discrepancia de las partes tiene lugar respecto a la fijación del momento en que dicha infracción se considera cometida. Señala la Sala que es doctrina consolidada que la infracción del principio de calidad de datos es una infracción permanente en la que su consumación se proyecta más allá del hecho inicial consistente en el acceso del dato personal erróneo al fichero de solvencia patrimonial, extendiéndose durante todo el periodo en el que dato inexacto permanece en el fichero. A los efectos del cómputo del plazo de prescripción de la infracción, se distingue entre el momento en que se inscribe el dato en el fichero, y la inclusión de datos exactos sin haber previamente requerido de pago al deudor. En el pleito se discute la falta de requerimiento previo a la deudora, conducta infractora que cesa en el momento en el que consta que el afectado tiene conocimiento de que la deuda ha sido inscrita en tal fichero. Así, el plazo de dos años de prescripción ha de computarse, en este supuesto, desde que la afectada solicitó la cancelación de sus datos, pues ya entonces conocía la existencia de la deuda y su inclusión en el fichero; plazo que fue sobrepasado, por lo que la infracción estaría prescrita.
Órgano: Audiencia Nacional. Sala de lo Contencioso
Sede: Madrid
Sección: 1
Fecha: 12/09/2018
Nº de Recurso: 63/2017
Nº de Resolución:
Procedimiento: Procedimiento ordinario
Ponente: MARIA NIEVES BUISAN GARCIA
Tipo de Resolución: Sentencia
AUDIENCIA NACIONAL
Sala de lo Contencioso-Administrativo
SENTENCIA
Madrid, a doce de septiembre de dos mil dieciocho.
Vistos por la Sala, constituida por los Sres. Magistrados reseñados al margen, los autos del recurso contencioso-administrativo número 63/2017, interpuesto por el Procurador de los Tribunales don Jorge Deleito García, en nombre y representación de CAIXABANK CONSUMER FINANCE EFC (ANTES FINCONSUM EFC), contra la Resolución de 18 de noviembre de 2016 de la Agencia Española de Protección de Datos que desestima el recurso de reposición frente a la anterior Resolución de 27 de julio de 2016 que acuerda imponer a dicha recurrente una multa de 50.000 €. Ha sido parte demandada LA ADMINISTRACIÓN DEL ESTADO, representada por el Abogado del Estado. La cuantía del recurso se fijó en 50.000 €.
ANTECEDENTES DE HECHO
PRIMERO. - Por la entidad recurrente se interpuso recurso contencioso administrativo mediante escrito presentado el 24 de enero de 2017, acordándose su tramitación de conformidad con las normas establecidas en la Ley 29/1998, y la reclamación del expediente administrativo.
SEGUNDO.- En el momento procesal oportuno tal entidad actora formalizó la demanda mediante escrito presentado el 10 de mayo de 2017 en el que, tras alegar los hechos y fundamentos de derecho que estimó procedentes, terminó suplicando se dictara sentencia declarando no ser conforme a derecho la resolución impugnada de 18 de noviembre de 2016 que desestima el recurso de reposición contra la resolución de 27 de julio de 2016 y en consecuencia se anulen las citadas resoluciones, quedando sin efecto alguno su contenido y declarando el derecho de Finconsum a la devolución del importe de la multa abonado más sus intereses legales a computar desde la fecha del pago hasta la fecha de devolución y, subsidiariamente, se aplique lo establecido en el artículo 45.5 de la LOPD, disminuyendo en un grado la sanción aplicable y en el supuesto de que no se aplica tal artículo, se proceda a disminuir la multa a 40.0012 euros.
TERCERO. - El Sr. Abogado del Estado contestó la demanda mediante escrito presentado el 7 de julio de 2017 en el que, tras alegar los hechos y los fundamentos jurídicos que estimó aplicables, terminó suplicando se dictara sentencia en la que se desestimara el recurso, confirmando el acto administrativo impugnado, con expresa condena en costas a la parte actora.
CUARTO. - Habiéndose solicitado el recibimiento del pleito a prueba, se acordó el mismo mediante Auto de 3 de octubre de 2017, practicándose las pruebas propuestas y admitidas, con el resultado que figura en las actuaciones.
QUINTO. - No considerándose necesaria la celebración de vista pública, ni el trámite de conclusiones a las partes, quedaron las actuaciones pendientes de señalamiento para votación y fallo, señalándose al efecto el día 11 de septiembre de 2018, fecha en la que tuvo lugar la deliberación y votación, habiendo sido ponente la Ilma. Magistrada doña NIEVES BUISAN GARCÍA, quien expresa el parecer de la Sala.
FUNDAMENTOS DE DERECHO
PRIMERO.- Se impugna en el presente recurso contencioso-administrativo, por la entidad Caixabank Consumer Finance EFC (antes Finconsum EFC) la resolución por la Directora de la Agencia Española de Protección de Datos de 18 de noviembre de 2016 que desestima el recurso de reposición frente a la anterior Resolución de 27 de julio de 2016, dictada en el PS/00064/2016, por la que se acuerda imponer a dicha recurrente, por la comisión de una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.c) de dicha norma, una multa de 50.000 € (cincuenta mil y un euros) de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica.
Resolución que se basa en los siguientes hechos probados más trascendentes:
1. En la base de datos de clientes de Fincosum figura como cliente, con NUM000, la denunciante Estela.
Junto con otros datos personales figura como dirección CALLE000 NUM001, así como las direcciones de CALLE001 NUM002 y CALLE002 NUM003, todas ellas de Tavernes de la Valldigna.
2. 25/08/08, fecha de alta en Asnef de los datos personales de la denunciante Estela NUM000, CALLE001 NUM002 Tavernes de la Valldigna, asociados a una deuda de 354,86 €, por los vencimientos impagados de 25/06/08 y 25/07/08, ordenados por Finconsum. No consta notificación de requerimiento previo.
3. 10 /05/11, escrito de Experian dirigido a Estela NUM000, CALLE002, NUM003 Tavernes de la Valldigna comunicándole la inclusión de sus datos personales por Finconsum en Badexcug el 08/05/11 asociados a una deuda de 447,13 €. No consta acreditada recepción por la destinataria.
4. 14/06/11, fecha del escrito remitido por Finconsum a la denunciante ( CALLE002, NUM003 Tavernes de la Valldigna) reclamándole el pago inmediato de 396,66 € por dos vencimientos impagados: 25/04/11 y 25/05/11.
5. 05/07/11, escrito remitido por Finconsum a la denunciante ( CALLE002 NUM003 Tavernes de la Valldigna) reclamándole el pago inmediato de 592,71 € por los vencimientos impagados: 25/04/11, 25/05/11 y 25/06/11.
6. 28/02/12 la denunciante ordena transferencia de 165 € (letra atrasada coche) para ingresar en la ccc cuyo beneficiario Fincosum. Con idéntica cuenta como destinatario y el mismo beneficiario, efectuó trasferencias por importe de 165€ cada una de ellas, en los siguientes días: 26/04/12, 25/01, 25/02, 25/04, 25/06 y 25/08 de 2013.
7. 29/08/13, fecha de baja en Asnef de los datos personales de la denunciante anotados por Fincosum el 25/08/08, asociados a una deuda de 6.516,22€ como respuesta a su solicitud de cancelación de 21/08/13.
8. 11/09/13, fecha de alta en Asnef de los datos personales de Estela, CALLE002 NUM003, Tavernes de la Valldigna, asociados a una deuda de 6351,22 € por el vencimiento impagado de 31/05/12 ordenado por Finconsum. No consta notificación de requerimiento previo.
9. 12/09/13, fecha de escrito de Asnef-Equifax a la denunciante y a la dirección postal antes indicada, comunicándole su inclusión en Asnef de 11/09/13.
10. 25/10/13 la denunciante ordena transferencia de 165 € para ingresar en la cuenta ccc beneficiario Finconsum.
11. 24/11/14, Equifax deniega la cancelación solicitada por la denunciante (de la inclusión ordenada por Finconsum el 11/09/13).
12. 25/11/13, la denunciante ordena transferencia de 165 € para ingresar en la cuenta ccc beneficiario Finconsum. Con el mismo importe y beneficiario ordena 12 transferencias en los meses siguientes.
13. 18/02/15, fecha de baja en Asnef de los datos de la denunciante anotados por Fincosum el 11/09/13 como respuesta a la solicitud de cancelación de la misma de 10/02/15.
14. 25/02/15, la denunciante ordena transferencia de 300 € para ingresar en la cuenta de Finconsum.
15. 03/03/15, alta en Asnef de los datos personales de la denunciante asociados a una deuda de 4.566,22 € ordenada por Finconsum. No consta notificación de requerimiento previo.
16. 04 /03/15, fecha de escrito de Asnef-Equifax a la denunciante y a la dirección postal antes indicada, comunicándole su inclusión en Asnef el 03/03/15.
17. 18/03/15, fecha de baja en Asnef de los datos personales de la denunciante por la deuda de 4.566,22 €. El 20/03/15 Equifax deniega la solicitud de cancelación porque los datos han sido confirmados por Finconsum.
18. 22/03/15, solicitud de cancelación presentado a Equifax por la denunciante, acompañado de justificantes de transferencia a la actora del importe de cuotas mensuales de varios años. A los dos días Equifax le responde que no existen datos anotados asociados al identificador NUM000 (folios 97-130) SEGUNDO: Da das las alegaciones de la demanda ha de ser resuelta, con carácter previo al enjuiciamiento del fondo de la controversia, la posible prescripción de la infracción que se opone en primer término por Caixabank Consumer Finance EFC (antes Finconsum EFC).
A tal efecto y con carácter general establece el artículo 47 de la LOPD que:
" 1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.
2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.
3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor".
En el presente supuesto y dado que se sanciona a la entidad recurrente a tenor del art. 44.3.d) de la LOPD, por infracción del principio de calidad del dato, nos encontramos ante una infracción grave que tiene previsto un plazo de prescripción de dos años ( art. 47 de la LOPD).
Están conformes las partes en cuanto al cómputo del dies ad quem del tal plazo de prescripción, que a tenor del apartado 3 de tal artículo 47 LOPD, y según esta Sala ha declarado con reiteración, lo constituye la fecha de notificación del acuerdo de inicio del procedimiento sancionador. Y en el presente supuesto se desprende de las actuaciones que el referido Acuerdo de inicio, se dicta por la Directora de la Agencia Española de Protección de Datos con fecha de 11 de febrero de 2016 y se notifica a Fincosum no el 5 de agosto de 2016, como expone la resolución combatida (folio 10) sino el 16 de febrero de 2016, tal y como resulta del folio 203 del expediente (donde con fecha de 26 de febrero de 2016 figura presentado el escrito de alegaciones frente a dicha acuerdo de inicio).
La verdadera discrepancia entre las partes, no obstante, tiene lugar respecto al cómputo del dies a quo, es decir, en cuanto a la fijación del momento en que dicha infracción del artículo 4.3 LOPD se considera cometida.
Argumenta en tal sentido la resolución desestimatoria del recurso de reposición, tras hacer referencia al carácter continuo de la infracción, que: los hechos constitutivos de la infracción tuvieron lugar a partir del momento que se producen los impagos de las cuotas mensuales, y la entidad Finconsum decide incluir a la denunciante en ficheros de morosos ( Asnef y Badexcug) sin notificarle previamente el requerimiento de pago que exigen las normas de protección de datos aplicables (...) Las notificaciones a la persona denunciante de requerimiento de pago previo a las inclusiones no han sido acreditadas debido (quizá) a la utilización de domicilios inexactos. Equifax nos aporta las fechas en que la denunciante tenía conocimiento de las inclusiones y solicitaba la cancelación (21/08/13, 24/11/14 y 13/03/15) a los efectos de la prescripción. Así pues, en la fecha de notificación del Acuerdo de inicio (05/08/16) los dos años para la prescripción de las infracciones graves no había concluido.
Haciendo referencia el Abogado del Estado, en la contestación a la demanda, al carácter permanente o continuo de la infracción cometida.
Aduce en cambio Caixabank en la demanda que, contrariamente a lo manifestado por la Administración, la irregularidad consistente en no haber puesto en conocimiento de la denunciante la deuda que iba a inscribir en el fichero de solvencia patrimonial, cesa desde el momento en que consta que tal deudora tiene conocimiento de que dicha deuda ha sido inscrita en tal fichero de morosos. A partir de entonces tiene la posibilidad de hacer frente a la misma y evitar el mantenimiento de tal inscripción, y desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción. Se cita la doctrina de esta Sala de la Audiencia Nacional de la SAN de 3 de noviembre de 2011, seguida por las SSAN de 23 de febrero de 2012 y 22 de octubre de 2015. Se añade que se desprende de las actuaciones que las entidades responsables de los ficheros de morosidad notificaron a la denunciante, con fechas de agosto de 2008, de mayo de 2011 y de septiembre de 2013, una referencia a sus datos de carácter personal incluidos por Fincosum informándola, asimismo, de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición. Constituye cualquiera de tales fechas el momento en que la presunta infracción del articulo 4.3 LOPD dejó de cometerse, resultando, por tanto, el día inicial o dies a quo del cómputo del plazo de prescripción. Demanda que añade que también resulta del expediente que el 21 de agosto de 2013 tal afectada ya tenía conocimiento de la inclusión de sus datos en el fichero de morosidad, dado que figura que solicitó en tal fecha la cancelación de los mismos.
TERCERO. Ta l y como constituye doctrina consolidada y reiterada de esta Sala, a partir de la SAN de 3 de noviembre de 2011 (Rec.611/2010), la infracción del principio de calidad del dato del articulo 4.3 LOPD " participa de la naturaleza propia de las denominadas infracciones permanentes en las que su consumación se proyecta en el tiempo más allá del hecho inicial consistente en el acceso del dato personal erróneo al fichero de solvencia patrimonial, extendiéndose durante todo el periodo en el que el dato inexacto permanece en el citado fichero, es decir, hasta que deja de producirse dicha lesión a los derechos del afectado, por corregirse la irregularidad que permitió que dicho dato accediese y permaneciese inscrito en dicho fichero. En efecto, en el ámbito administrativo sancionador, se contemplan las denominadas "infracciones permanentes"- STS de 7 de abril de 1989 y 23 de enero de 1990 -, que se caracterizan porque la conducta constitutiva de un único ilícito se mantiene durante un espacio prolongado de tiempo; lo que implica que el plazo de prescripción no se inicia "al no haber cesado la situación de infracción perseguida"- STS de 18 de febrero de 1985 -.
Ahora bien, a los efectos del cómputo del plazo de prescripción de la infracción, debe distinguirse entre los supuestos en los que el principio de calidad del dato se vulnera por la inclusión y el mantenimiento en el fichero de solvencia patrimonial de datos inexactos o no actualizados; y aquellos otros en los que la infracción del citado principio tiene su origen en la falta de requerimiento previo de pago al deudor, aunque el dato de la deuda inscrito sea exacto.
En el primer supuesto, la infracción se produce en el momento en el que se inscribe el dato en el fichero de solvencia patrimonial y sigue produciendo mientras el dato inexacto permanece inscrito en el mismo, pues al quebrar la correspondencia que debe mediar entre los datos incluidos en el fichero y la situación real del afectado, la infracción persiste durante el tiempo en el que los datos inexactos permanecen en el fichero infringiendo tal principio de calidad.
En el segundo -inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor-, la infracción del principio de calidad del dato encuentra su razón de ser en la falta de requerimiento previo de pago al deudor, en cuanto priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. Como ya dijimos en nuestra sentencia de 20 de abril de 2006 "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos".
De modo que aquel que incluye los datos personales de una persona en un fichero de solvencia patrimonial sin haber efectuado un previo requerimiento de pago al deudor del que exista constancia, comete una infracción de la LOPD relacionada con el principio de calidad del dato, que no solo se produce en el momento de la inscripción sino que persiste mientras no se repara la irregularidad cometida. Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de esta situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por lo tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción de la infracción”“.
Doctrina que ha sido seguida las SSAN 23 de febrero de 2012 ( Rec. 835/2009, de 25 de febrero de 2013 ( Rec.
617/2011), de 22 de octubre de 2015 ( Rec. 240/2014) y de 19 de diciembre de 2017 ( Rec. 1404/2015) CUARTO.- Conforme a dicha doctrina, ha de indicarse, de un lado, que la infracción del articulo 4.3 LOPD por la que se sanciona a Caixabank, tal y como considera tanto la resolución combatida como el Abogado del Estado en la contestación, tiene la naturaleza de infracción continuada o permanente, es decir, que la lesión al bien jurídico protegido (la exactitud y actualidad del dato personal) se extiende, de manera continuada, durante todo el periodo en el que el dato inexacto permanece en el citado fichero. A tal efecto ha de tomarse en consideración que tratándose, en el presente supuesto, del impago de cuotas por la compra de un vehículo, derivadas de un único contrato, el primer alta en Asnef se produjo el 25 de agosto de 2008.
Por otra parte, y ello resulta de gran trascendencia a efectos del cómputo del plazo de prescripción (de dos años del articulo 47.1 LOPD), no se cuestiona ahora la exactitud de la deuda inscrita sino la falta de requerimiento previo a la deudora, antes de que sus datos accedieran al fichero de solvencia patrimonial. Conducta infractora que cesa desde el momento en el que consta que el afectado/a tiene conocimiento de que la deuda ha sido inscrita en tal fichero de solvencia patrimonial, pues a partir de entonces tiene la posibilidad de hacer frente a tal deuda para evitar el mantenimiento de la inscripción en él, y la infracción deja de producirse, comenzando el cómputo del plazo de prescripción de la misma.
Se desprende de la declaración de hechos probados que antecede, que la Sra. Estela solicitó la cancelación de sus datos personales en el fichero Asnef con fecha de 21/08/13 (folios 43-59 del expediente), por lo que resulta indudable que ya entonces conocía la existencia de la deuda y, asimismo, su inclusión en el fichero de morosidad. Conocimiento de que la deuda había sido anotada el referido fichero, en el fichero de solvencia patrimonial que sin lugar a dudas se evidencia mediante el correo electrónico que dicha Sra. Estela dirige a Equifax el 2 de septiembre de 2013 (folio 63 del expediente), en el que solicita la baja definitiva en tales ficheros de Equifax.
Computando desde entonces, conforme a la doctrina expuesta en el fundamento jurídico que antecede, el dies a quo del plazo de prescripción de dos años que resulta de aplicación, la conclusión es que tal infracción del principio de calidad del dato, por falta de previo requerimiento de pago ( artículo 4.3 LOPD), estaría prescrita en la fecha de notificación del acuerdo de inicio del expediente sancionador, que tuvo lugar el 16 de febrero de 2016, por lo que procede, sin necesidad de mayores consideraciones, dictar un pronunciamiento estimatorio de la demanda, por prescripción de la infracción, con revocación de la resolución de la AEPD impugnada.
QUINTO.- Por aplicación de lo establecido en el artículo 139 de la Ley de la Jurisdicción Contencioso Administrativa procede imponer las costas procesales a la Administración demandada.
Vistos los preceptos citados por las partes y los demás de general y pertinente aplicación al caso de autos.
FALLAMOS
ESTIMAR el recurso contencioso-administrativo interpuesto por la representación de la entidad Caixabank Consumer Finance EFC (antes Finconsum EFC) frente a la Resolución de la Agencia Española de Protección de Datos de 18 de noviembre de 2016 que confirma en reposición la anterior Resolución de 27 de julio de 2016 (PS/64/2016) por la que se impone a tal entidad actora una multa de 50.000 euros, resolución y sanción que se anulan por no ser ajustadas a Derecho, con imposición de costas a la parte demandada.
La presente sentencia es susceptible de recurso de casación, que deberá prepararse ante esta Sala en el plazo de 30 días contados desde el siguiente al de su notificación; en el escrito de preparación del recurso deberá acreditarse el cumplimiento de los requisitos establecidos en el art. 89.2 de la Ley de la Jurisdicción justificando el interés casacional objetivo que presenta.
Así por esta nuestra sentencia, lo pronunciamos, mandamos y firmamos.
PUBLICACIÓN.- Dada, leída y publicada fue la anterior Sentencia en Audiencia Pública. Doy fe.
Madrid a LA LETRADA DE LA ADMINISTRACIÓN DE JUSTICIA
