1/6 Expediente N.º: EXP202300434 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 25 de noviembre de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra ZANK FINANCIAL, S.L. con NIF B66090473 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que formalizó un contrato de préstamo con la parte reclamada en julio de 2014, surgiendo controversias en relación con la cuantía de la deuda, considerando ilícito la inclusión de sus datos personales en sistemas comunes de información crediticia mientras se estaba dirimiendo judicialmente. Junto a su reclamación aporta: - Condiciones particulares contrato de préstamo personal, anexo a un contrato de préstamo vinculante, en el que se detallan las características del préstamo entre la reclamante y ZANK (Alfil Internet Ventures S.L.), de fecha 9 de julio de 2014 - Oposición a la petición inicial de proceso monitorio presentada a instancias de ZANK FINANCIAL PFP S.L., remitido por la procuradora de la reclamante al Juzgado de Primera Instancia (…) de Castellón, de fecha 18 de octubre de 2018. - Requerimiento de pago y notificación, remitido por el Juzgado de Primera Instancia (...) de Castellón a la reclamante, de fecha 24 de octubre de 2018. - Decreto nºXX/2019 del Juzgado de Primera Instancia (...) de Castellón declarando terminado el proceso monitorio, de fecha 17 de enero de 2019. - Decreto del Juzgado de Primera Instancia (...) de Castellón convocando a las partes a la vista del juicio verbal para el día 9 de julio de 2019. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 27 de enero de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue devuelto por desconocido. TERCERO: Con fecha 7 de febrero de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 13 de abril de 2023, se realiza requerimiento de información a ASNEF-EQUIFAX para que acredite las solicitudes de alta y baja de la reclamante (deudora) por parte de la reclamada (acreedora). Con fecha 17 de abril de 2023, ASNEF EQUIFAX da respuesta al requerimiento, indicando que “[…] tras la consulta de nuestros ficheros Auxiliares de Notificaciones y Operaciones Canceladas en el fichero ASNEF, indicamos que los datos de A.A.A., con DNI ***NIF.1, han sido cedidos por parte de ZANK FINANCIAL PFP SL (ahora ALFIL INTERNET VENTURES SL) desde el 27/05/2019 al 04/08/2019, por un préstamo personal en calidad de titular […]”: Aporta copias de las consultas a su base de datos: - En el DOCUMENTO UNO aparecen las consultas actualizaciones para el NIF de la parte reclamada (deudora), resultando que hay registro de alta a nombre de la reclamante (acreedora) y “Entidad (…) ZANK FINANCIAL PFP S” el 27 de mayo de 2019. - En el DOCUMENTO DOS aparece la baja de la parte reclamante (deudora) a solicitud de la parte reclamada (acreedora) por “Entidad (…) ALFIL INTERNET VENT” con fecha 4 de agosto de 2019. Con fecha 24 de abril de 2023, al no coincidir la denominación social de la reclamada (acreedora) proporcionada por ASNEF-EQUIFAX con la información extraída del Registro Mercantil, se consulta la información en www.axesor.es, resultando que ALFIL INTERNET VENTURES, SL, cambió su denominación social a ZANK FINANCIAL PFP, SL, el día 28 de noviembre de 2017, y a ZANK FINANCIAL, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 SL, el 9 de junio de 2021, este último cambio inscrito en el BORME del día 16 de junio de2021. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación incumplida Se reclama contra la parte reclamada por la posible comisión de una infracción por vulneración del Artículo 6.1 del RGPD, por falta de legitimación en el tratamiento, al incluir los datos d la reclamada en un fichero de solvencia patrimonial cuando la deuda era objeto de litigio judicial. El artículo 6 del RGPD, bajo la rúbrica “Licitud del tratamiento”, detalla en su apartado 1 los supuestos en los que el tratamiento de datos es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Por otro lado, la LOPDGDD, en su artículo 20, bajo la rúbrica de “Sistemas de información crediticia” dispone: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia.” III Tipificación y calificación de la posible infracción La infracción en la que habría podido incurrir la parte reclamada, concretada en el tratamiento de los datos personales de la parte reclamante al incluirlos en un fichero de solvencia patrimonial mientras la deuda estaba siendo objeto de reclamación judicial, se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD, a efectos de la prescripción de la infracción, califica en su artículo 72.1. de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” La documentación que obra en el expediente pone de manifiesto que la parte reclamada vulneró el artículo 6.1 del RGPD. La conducta de la parte reclamada contraria al principio de licitud ha consistido en comunicar a un sistema de información crediticia (el fichero ASNEF) una deuda que, respecto al supuesto deudor, la reclamante, no era cierta, ni vencida ni exigible, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 como requiere el artículo 20.1 de la LOPDGDD para que sea de aplicación la presunción «iuris tantum» de prevalencia del interés legítimo del responsable, sin acreditar la existencia de tal interés legítimo ni la ponderación legalmente exigible. El tratamiento ilícito de los datos del reclamante, concretado en la inclusión en un fichero de solvencia sin base de legitimación, se inició el 27 de mayo de 2019, fecha de alta de la deuda en el fichero mencionado, finalizando el día 4 de agosto de 2019. La posible actuación infractora de la parte reclamada se encontraría prescrita por el transcurso de los tres años de prescripción de las infracciones muy graves, tal y como señala el artículo 72 de la LOPDGDD, a contar desde el momento en que finalizó la comunicación de la deuda controvertida a Asnef, el 4 de agosto de 2019. IV Conclusión De los datos anteriores se desprende que si bien el tratamiento de los datos personales de la parte reclamante, al incluirlos en un fichero de solvencia patrimonial, se habría producido mientras la deuda estaba siendo objeto de reclamación judicial, la infracción está prescrita por el transcurso de 3 años desde que se sacaron los datos de Asnef. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ZANK FINANCIAL, S.L., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es