AI-00008-2023

1/12  Expediente N.º: EXP202206974 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29/05/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra COFIDIS S.A., SUCURSAL EN ESPAÑA con NIF W0017686G (en adelante, COFIDIS), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “En fecha 10/05/22 comuniqué con mi móvil (***TELÉFONO.1) a las 18:57hrs con el ***TELÉFONO.2 (teléfono de atención al cliente de COFIDIS) la conversación duró poco más de 5 min y la tengo registrada. Me informaron que la conversación estaba grabada con lo que se podrá comprobar. Me indicaron que con mi número de DNI existía un contrato pero que no estaba firmado y que solicitase la desvinculación en ***EMAIL.

1. Llamé porque la mañana de ese día ING me denegó un préstamo porque decía que aparecía como titular de uno pendiente con COFIDIS en la CIRBE. lo cual era y es imposible como acredité e informé a COFIDIS. En la llamada COFIDIS no me informó de nada sobre la LOPD sólo que enviase un email a la dirección citada para que me desvinculasen. Es lo que hice el día 12/05 (Documento 1 en que les adjunto los emails intercambiados). Desde un email denominado ***EMAIL.2 me contestaron que aparecía como titular en un contrato de préstamo y me lo enviaron (les envío copia). Les contesté enviándoles copia de mi DNI (se lo envío también) y señalándoles que yo no contraté nada, ni autoricé nada, ni firmé nada para que lo comprobasen. Como no me contestaron el día 19 volví a escribir a COFIDIS y nada (adjunto como documento 2 copia del email del 19/05). COFIDIS nunca comprobó si para darme de alta como titular de un préstamo yo lo solicité o no y si di mi consentimiento o autorización. No comprobó ni mi firma, como hacen las entidades financieras (TODAS). No recabó mi consentimiento y no me ha informado de nada. […]” Junto a la reclamación aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 - Copia del Documento Nacional de Identidad de la parte reclamante (en adelante, D.N.I.). - Copia de la “Solicitud de Crédito”, de fecha 12/01/
2. En el apartado “Datos del Segundo Titular” figuran el DNI, nombre y apellidos de la parte reclamante, entre otros. - Copia de los correos electrónicos intercambiados entre la parte reclamante (***EMAIL.3) y COFIDIS (***EMAIL.2 y ***EMAIL.4). o La parte reclamante, en fecha 12/05/2022 a las 08:54 horas, envía un correo a la dirección electrónica ***EMAIL.4, con el asunto “DNI ***NIF.
3. Desvinculación urgente préstamo ***PRÉSTAMO.
4. NO FIRMA, NI ACEPTACIÓN”. Su contenido es el siguiente: “Buenos días, Mi nombre es A.A.A. y mi DNI es ***NIF.1 (ADJUNTO COPIA DE MI DNI por ambas caras donde se ve mi firma). AYER hable con ustedes por teléfono y me dijeron que les enviase un email. En mi banco me han denegado un crédito ayer por una supuesta deuda con ustedes y les llamé. YO NUNCA he firmado, y por tanto nunca he aceptado ni pedido ningún crédito con ustedes. Comprueben MI FIRMA a ver si coincide en algún documento de algún crédito con ustedes. YO NO he solicitado, NI firmado ningún crédito con ustedes. No sé porque tienen mis datos sin mi consentimiento ni firma. Deben DESVINCULARME (del préstamo ***PRÉSTAMO.1 que me dijeron ayer por teléfono) inmediatamente y darme de baja de cualquier fichero (Cirbe o el que sea) porque yo no tengo nada firmado con COFIDIS, ni debo aparecer en ningún crédito, ni con ninguna deuda con ustedes. ME están causando unos perjuicios muy importantes. Deben comprobar que mi firma no está en ningún documento de crédito con ustedes. NO TENGO NINGÚN CRÉDITO, NI DEUDA CON USTEDES. (…)” o COFIDIS, en fecha 12/05/2022 a las 12:36 horas, contesta desde la dirección electrónica ***EMAIL.2 lo siguiente: “Estimada Sra. A.A.A., Le informamos que nos consta usted como segunda titular de un crédito con Cofidis. Le adjuntamos el contrato para que pueda revisarlo. Le recordamos que estamos a su disposición en el teléfono ***TELÉFONO.2 de lunes a viernes de 9.00 h a 19.00 h y los sábados de 9.00 h a 14.00 h. Un saludo, Su asesor personal.” o La parte reclamante, en fecha 12/05/2022 a las 22:05 horas, responde lo siguiente: “Buenas noches. Como pueden VER en mi DNI y se ve claramente esa FIRMA que aparece NO es la mía. NO SE PARECE EN NADA. Ni es mi letra. NADA. No di mi consentimiento, ni autoricé nada de nada de nada de eso. NO firmé nada y por tanto no puedo ser titular de nada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Ustedes como banco tienen la obligación de comprobar esas cosas antes de vincular a nadie. Deben desvincularme mañana mismo si no estarán actuando con conocimiento de lo que les he dicho. Confirmen mi desvinculación mañana de cualquier fichero donde me hayan metido (ni se desde cuando) o le denunciaré a la Agencia de Protección de Datos con toda esta información que tengo y buscaré un abogado para pedirles daños y perjuicios. Actúen como deben. Además creo según me han dicho que eran préstamos revolving a saber. ESA NO ES NI MI FIRMA, NI MI LETRA y ustedes no debieron comprobar nada imagino o a saber. Seguramente obligarían a poner otros datos para dar ese crédito pero yo no lo autoricé ni firmé. DEBEN DESVINCULARME DE ËL y CANCELAR/SUPRIMIR TODOS MIS DATOS personales que tengo porque no he contratado nada con ustedes (…)” o La parte reclamante, en fecha 19/05/2022 a las 20:03 horas, envía un nuevo correo electrónico a COFIDIS ante la falta de respuesta. Su contenido es el siguiente: “Buenas tardes: No he recibido contestación a mi correo del día
5. El día 10 por teléfono (conversación que estará grabada como me dijeron) me indicaron que no constaba ninguna firma mía en ese contrato y que solicitase que me desvinculasen (pueden comprobarlo) Les envié copia de mi DNI donde se ve mi firma y que no se parece en nada a la del contrato. SE LO HE PROBADO. NO ES MI FIRMA. NO PUEDO ESTAR OBLIGADO. ES EVIDENTE. No autoricé nada y me he enterado por la negativa de ING a darme un préstamo por esto. Esto es increíble. Desvincúlenme de ese préstamo y cancelen todos mis datos han pasado ya 9 días desde el 10 y NO lo han hecho. Están actuando mal y con conocimiento de todo. No tienen mi consentimiento para tener mis datos ni yo se lo otorgué porque NO es mi firma. Deberían haber comprobado las firmas desde el principio y recabar consentimientos. Es su obligación y no lo hicieron. Confirmen mañana ya la cancelación de todos mis datos y la desvinculación de ese préstamo. Si no lo hacen mi abogado presentará una denuncia con todo esto primero ante la Agencia de Protección de Datos para que les sancionen y se les pedirá lo que corresponda. Saludos y actúen como deben. Mañana se cumplen ya 10 días y esto no está solucionado.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 22/06/2022 se dio traslado de dicha reclamación a COFIDIS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/06/2022 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 01/07/2022, la parte reclamante presentó nuevo escrito en esta Agencia en el que solicitaba a este organismo que “requiera al Banco de España y, en concreto, a la CIRBE para que se suspenda el tratamiento de mis datos personales declarados con la ref. ***REFERENCIA.1 durante el tiempo de tramitación del presente procedimiento iniciado con la denuncia que he presentada frente a COFIDIS.” CUARTO: Con fecha 29/08/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. QUINTO: Con fecha 24/02/2023, tuvo entrada en esta Agencia escrito de la parte reclamante en el que solicitaba la comunicación al Banco de España de la admisión a trámite de la reclamación en cuestión. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Con fecha 12/03/2023, esta Agencia recibe respuesta elaborada por la parte reclamante al escrito de ampliación de información, de fecha 01/03/2023, en el que se le solicita copia de la grabación de la llamada efectuada a las 18:57 horas del 10/05/2022 al teléfono de atención al cliente de COFIDIS. La parte reclamante manifiesta que no grabó la llamada, pero que sí que figura en su registro de llamadas y que COFIDIS le informó de que iba a ser grabada. 2) Con fecha 16/03/2023, esta Agencia recibe respuesta elaborada por COFIDIS al requerimiento de información de fecha 01/03/2023:  En relación con la contratación de la línea de crédito:
6. COFIDIS manifiesta que el 22/02/2008 aprueba la línea de crédito solicitada por la parte reclamante y su pareja, habiéndose formalizado el correspondiente contrato y realizado un ingreso de 12.000€ en la cuenta bancaria de titularidad de ambos. Aporta la siguiente documentación: a. Copia de la “Solicitud de crédito”, de 03/01/2008, en la que figura como titular (solicitante del crédito) la persona que COFIDIS denomina “pareja de la parte reclamante”, y como segundo titular la parte reclamante. Los datos que constan de la parte reclamante son los siguientes: i. Datos identificativos: nombre, apellidos, teléfono móvil, fecha de nacimiento y nacionalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 ii. Datos profesionales y económicos: profesión, empresa, dirección de la empresa, antigüedad en la empresa, salario neto mensual, entre otros. Consta la firma del titular que “es imprescindible”, así como la del segundo titular que “facilita la concesión del crédito”. b. Justificante de “Abono por Transferencia”, de fecha 15/2/2007, a favor de B.B.B. por importe de X.XXX,XX€ en una cuenta bancaria en la que también figuran los datos de la parte reclamante. c. Capturas de pantalla de lo que sería la base de datos de COFIDIS en la que figuran datos identificativos y profesionales de la parte reclamante. En el apartado “Bloqueo de la persona” consta “Sí”.  En relación con la reclamación presentada por la parte reclamante:
7. COFIDIS manifiesta que “El crédito consta como susceptible de reclamación judicial (fallido) desde agosto de
8. Hasta dicha fecha, Cofidis ha realizado acciones de recobro consistentes en llamadas telefónicas a los números de teléfono aportados en el contrato. Sin embargo, hasta el momento en que se interpuso un procedimiento monitorio contra los supuestos contratantes, Cofidis no se puso en contacto específicamente con la Reclamante ni tuvo información indicando que no procediese el recobro por ser una contratación fraudulenta”.
9. COFIDIS señala haber adoptado las siguientes medidas: a. Solicitó la baja de los datos de la parte reclamante en la Central de Información de Riesgos de Banco de España. b. Se separó a la parte reclamante del contrato de crédito, dejando a un único titular y se suprimieron sus datos, manteniéndolos debidamente bloqueados en cumplimiento del artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Así, en la actualidad, no consta deuda la parte reclamante ni en su base de datos ni en ficheros de solvencia de titularidad pública o privada.  En relación con las comunicaciones mantenidas con la parte reclamante:
10. COFIDIS informa que “las grabaciones en las que no se realiza ninguna contratación se conservan únicamente unas semanas a efectos de estudio de la calidad de nuestros servicios, procediéndose a su borrado en un corto periodo de tiempo. Por lo tanto, no podemos aportar dicha grabación al no tenerla almacenada”.  En relación con el procedimiento monitorio: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12
11. COFIDIS aporta copia de la primera hoja del escrito de petición inicial del procedimiento monitorio contra la parte reclamante y su pareja y del registro de entrada de dicho escrito en los Juzgados de ***LOCALIDAD.
12. 3) Con fecha 23/03/2023, la parte reclamante aporta copia de la contestación emitida por el Banco de España a su “Solicitud de rectificación/cancelación de datos declarados a la Central de Información de Riesgos” (en adelante, la CIR). Su contenido señala, en síntesis, lo siguiente: “[…] En cuanto a la reclamación planteada contra COFIDIS, S.A., SUCURSAL EN ESPAÑA mediante la que solicita la cancelación de los datos debido a que ha presentado una reclamación ante la AEPD, le recordamos que esta petición ya ha sido tramitada anteriormente con el expediente número ***EXPEDIENTE.
13. En nuestro escrito de 01 de julio de 2022 le informamos que la reclamación que ha interpuesto ante la AEPD contra COFIDIS, S.A., SUCURSAL EN ESPAÑA, no tiene efectos en los datos declarados por esta entidad a la Central de Información de Riesgos del Banco de España. Así, será la AEPD el organismo competente de resolver su reclamación y de requerir a esta Central de Información de Riesgos, en su caso, la efectiva suspensión de sus datos personales. Analizado el nuevo escrito, le indicamos que no aporta ningún documento que acredite un cambio o elemento novedoso respecto a lo ya alegado en su solicitud anterior y que justifique sus pretensiones. En consecuencia, en tanto no recibamos la citada comunicación de la AEPD, no nos es posible suspender la cesión a terceros de los datos cuestionados. […]” 4) Con fecha 19/04/2023, esta Agencia recibe respuesta elaborada por COFIDIS al requerimiento de información de fecha 31/03/2023:  En relación con la contratación de la línea de crédito:
14. COFIDIS aporta copia de los DNI de las personas que constan como titulares del contrato de crédito. En concreto, de B.B.B. y de la parte reclamante (A.A.A.), cuya fecha de expedición es de abril de 2004 y su validez hasta abril de
16. COFIDIS manifiesta haber realizado 12 transferencias en virtud de la línea de crédito contratada a la cuenta bancaria de cotitularidad de B.B.B. y de la parte reclamante; siendo la última de julio de
17. Añade que, no puede aportar los justificantes de las referidas transferencias ya que, al tener una antigüedad superior a 10 años, su entidad bancaria no se los puede facilitar. Aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 a. Certificado de un extracto de cuenta que se corresponde con la solicitud de crédito “Créd. Directo XXXXXXXXX suscrita entre COFIDIS y la entonces pareja de la parte reclamante en febrero de
18. En ese certificado no figura como parte solicitante/deudora del crédito la parte reclamante. b. Copia de los correos electrónicos intercambiados entre COFIDIS y su entidad bancaria en relación con los justificantes de las transferencias en cuestión.  En relación con la reclamación presentada por la parte reclamante:
19. COFIDIS manifiesta que “Los datos que tenemos en nuestra base con respecto a la parte reclamante, son los siguientes: - Nombre y apellidos - Número y copia del Documento Nacional de Identidad (caducado en abril 2014) - Fecha de nacimiento: ***FECHA.1 - Dirección postal: Calle ***DIRECCIÓN.
20. - Dirección de correo electrónico: ***EMAIL.5 - Número de teléfono: ***TELÉFONO.1” Añade que, “Los datos arriba mencionados, a excepción del correo electrónico, fueron los aportados en la solicitud de financiación. El correo electrónico lo obtuvimos a raíz de la comunicación que la propia parte reclamante mantuvo con Cofidis”.  En relación con las comunicaciones mantenidas con la parte reclamante:
21. COFIDIS manifiesta que la parte reclamante solicitó en el año 2017 la supresión de sus datos personales y que se le informó de la existencia de una deuda impagada a su nombre. Matiza que, en ningún momento, la parte reclamante puso de manifiesto un supuesto de suplantación de identidad. Aporta copia de los correos intercambiados entre la entidad y la parte reclamante. a. La parte reclamante, en fecha 15/03/2017 a las 17:27 horas, envía un correo a la dirección electrónica ***EMAIL.6, con el asunto “CANCELACIÓN DE DATOS contrato (…)”. Su contenido es el siguiente: “Buenas tardes: Mi nombre es A.A.A. y mi DNI ***NIF.1 (adjunto copia). Por indicación de mi abogado les dirijo esta comunicación. A finales de enero de 2016 envié al Banco de España una comunicación junto con mi DNI en la que le pedía mi CIRBE. Yo sólo tengo un préstamo con ING y otro hipotecario que me ejecutó Barclays de la vivienda habitual que tenía con mi entonces marido. No tenemos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 nada más. Les informé que no debía figurar en el CIRBE por ningún otro préstamo. Ustedes contestaron al Banco de España que tengo un préstamo firmado con ustedes ***PRÉSTAMO.
22. ESTO ES FALSO. Lo que ponen es falso e injurioso y se lo demuestro. Ante esto les digo que la firma que aparece en ese préstamo no es la mía (pueden comprobarlo con mi DNI) y ustedes debían haber comprobado que esa no es mi firma previamente. YO no he contratado nada con ustedes, ni les firmé nada, ni autoricé nada, ni disfruté de nada de ese préstamo. Deben cancelar mi apunte del CIRBE y de cualquier otro fichero en el que me hayan incluido porque les he demostrado que no he contratado nada con ustedes (NO HE FIRMADO NADA). Es fácil comprobarlo con la firma y en el momento de la contratación no debieron comprobar nada. Confirmen contestando a este correo que dan de baja todos mis datos de sus ficheros y de cualquier otro al que se los hayan comunicado o presentaré la correspondiente denuncia ante la Agencia de Protección de Datos y ante el Banco de España de la que se encargará mi abogado. (…)” b. COFIDIS, en fecha 28/03/2017 a las 14:55 horas, contesta lo siguiente: “Estimada Sra. A.A.A., Nos dirigimos a Usted para comunicarle que lamentamos no poder tramitar su petición de cancelación de datos de nuestro fichero al tener una relación contractual con COFIDIS S.A Sucursal en España. La mencionada relación dimana de la línea de crédito que mantiene con nosotros con fecha de apertura 22 de febrero de 2008 y que actualmente se encuentra en vigor. Si su deseo es que no le remitamos ofertas comerciales, ni que sus datos sean cedidos a terceras empresas para envío de publicidad, le informamos de que en cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, “LOPD”) procedemos de inmediato al cumplimiento efectivo de dicho derecho de oposición. Aprovechamos esta comunicación para recordarle que en dicha relación contractual el importe de cancelación asciende a XX.XXX,XXEuros. Para regularizar dicha situación de demora debe realizar una transferencia bancaria por esa cantidad a nuestro número de cuenta de BANKIA: IBAN ES00 0000 0000 0000 0000 0000, no olvide facilitar su D.N.I y número de referencia ***REFERENCIA.1 para imputar rápidamente su pago. Sin más, nos despedimos de Usted enviándole un cordial saludo, no sin antes recordarle que estamos a su disposición para cualquier duda o consulta.” c. La parte reclamante, en fecha 16/04/2023 a las 22:11 horas, contesta lo siguiente: “Insisto en que no tengo, ni tuve nunca ninguna relación contractual con ustedes y se lo he acreditado con la documentación que lo demuestra. Se lo he enviado. No firmé nada de nada de lo que me dicen por lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 tanto no contraté nunca nada. NO acepté nunca ese crédito que dicen. Lo desconocía completamente. Como vea cualquier dato mío en la CIRBE que volveré a consultar en cuanto pueda o en otro fichero iré directamente a poner una denuncia ante la Agencia de Protección de Datos. CANCELEN MIS DATOS.” d. COFIDIS, en fecha 11/05/2017 a las 17:39 horas, envió a la parte reclamante una respuesta muy similar a la señalada anteriormente.  En relación con la comunicación de los datos de la parte reclamante a la CIR del Banco de España:
23. COFIDIS informa de que “se encuentran debidamente bloqueados como medida técnica adoptada para impedir su tratamiento”, y que “la primera declaración de la parte reclamante con el sistema de intercambio de ficheros con Banco de España es de 2016”. Añade que, “la baja se gestionó con Banco de España en cuanto recibimos la reclamación por parte de la Agencia. Según consta en el pantallazo la baja con carácter retroactivo fue aceptada por parte de la CIR”. Aporta captura de pantalla de las actuaciones realizadas con la CIR. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a), f) y h) del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán: a) Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD:
24. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 En la reclamación se pone de manifiesto el tratamiento de datos personales de la parte reclamante (nombre y apellidos, número de móvil y DNI, entre otros) por COFIDIS, sin su consentimiento, como consecuencia de la contratación de una línea de crédito. La documentación aportada en el expediente deja constancia de la existencia de la contratación de una línea de crédito por importe de 12.000€ formalizada en el año 2008 entre COFIDIS y B.B.B., figurando la parte reclamante como segundo titular. En la copia del documento reseñado aparecen datos identificativos (nombre, apellidos, número de móvil, fecha de nacimiento y DNI), profesionales y económicos de los dos titulares. Además, COFIDIS tiene en su poder copia del DNI de ambos titulares, que tenían validez a la fecha de la solicitud del crédito (expiraba en abril de 2014). COFIDIS reconoce haber recibido en el año 2017 correos electrónicos de la parte reclamante en los que, por un lado, niega haber contratado la línea de crédito en cuestión, alegando la falsedad de la firma que figura en el documento; y, por otro lado, solicitando la cancelación de sus datos. Aporta copia de los mencionados correos electrónicos que prueban la existencia de la petición de cancelación de la parte reclamante y, a su vez, la denegación de la solicitud por COFIDIS al existir una deuda. No obstante, COFIDIS ha informado que tan pronto tuvo conocimiento de la reclamación presentada por la parte reclamante, procedió a adoptar una serie de medidas. Por un lado, los datos personales de la parte reclamante referentes al crédito fueron suprimidos manteniéndose bloqueados. Aporta captura de pantalla de su base de datos donde se aprecia que en el apartado “Bloqueo de la persona” en relación con la parte reclamante figura “Sí”, así como un extracto de cuenta correspondiente a la solicitud de la línea de crédito en la que ya no consta la parte reclamante. Por otro lado, solicitó la baja de los datos de la parte reclamante a la Central de Información de Riesgos de Banco de España, que resultó aceptada, como figura en la captura de pantalla aportada. Asimismo, cabe mencionar que COFIDIS, actualmente, dispone de una “Normativa de Preaceptación y aceptación revolving directo” en la que establece diferentes acciones de detección del fraude. Adjunta copia del documento, de fecha 09/01/
25. El RGPD exige que el tratamiento de datos personales sea lícito para lo cual deberá estar fundado en alguna de las bases jurídicas que relaciona en su artículo 6.
26. A la luz de la documentación que obra en el expediente, parece evidente que el tratamiento de datos personales realizado por COFIDIS se ampara en el supuesto que detalla la letra b) del citado precepto, sin perjuicio que dicha relación pueda ser cuestionada ante el orden jurisdiccional correspondiente habida cuenta que la parte reclamante manifiesta que alguien utilizó sus datos personales para contratar la línea de crédito y falsificó su firma. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, al no haberse acreditado el tratamiento de datos personales sin causa legitimadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 De acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a COFIDIS S.A., SUCURSAL EN ESPAÑA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el artículo 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es