← España

AI-00056-2022

1/6  Expediente Nº: AI/00056/2022 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXA BANK, S.A., con CIF.: A08663619 (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y vulneración de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 01/11/21, tuvo entrada en esta Agencia, escrito presentado por el reclamante, en el que indicaba lo siguiente: “Soy socio de un club cultural y social y al pasar el cargo en la entidad le responde que no se puede producir dicho cargo por “SALDO INSUFICIENTE. Esta respuesta vulnera mi honor y las normas LOPD, ya que le indica el saldo que tengo en dicha cuenta”. Aporta copia del correo electrónico del citado club, de fecha 19/10/21, informando al reclamante de la devolución del recibo por parte de la entidad reclamada y del motivo de dicha devolución, así como imagen adjunta relativa al recibo devuelto en el que se indica en el apartado correspondiente a "detalle del adeudo", el motivo de la devolución: "saldo insuficiente". SEGUNDO: Con fecha 17/12/21, por parte de esta Agencia se dirigió escrito a la parte reclamada solicitando información sobre la reclamación recibida, de conformidad con lo estipulado en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales, (“LOPDGDD”). TERCERO: Con fecha 19/01/22, la entidad reclama envía a esta agencia copia del documento titulado, “Órdenes en formato ISO 20022 para emisión de Adeudos Directos SEPA Esquema básico”, que contiene la guía de implantación de mensajes en formato ISO 20022 que ha sido definida por las entidades de crédito españolas a través de sus respectivas asociaciones, Asociación Española de Banca (AEB), Confederación Española de Cajas de Ahorros (CECA) y Unión de Cooperativas de Crédito (UNACC). No se aporta ningún tipo de escrito informando de los aspectos solicitados por esta Agencia. CUARTO: Con fecha 31/01/22, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de las reclamaciones presentadas, de conformidad con el artículo 65 de la Ley LPDGDD, al haber apreciado posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La SEPA (Single Euro Payments Area) es la zona en la que ciudadanos, empresas y otros agentes económicos pueden hacer y recibir pagos en euros, con las mismas condiciones básicas, derechos y obligaciones, y ello con independencia de su ubicación y de que esos pagos impliquen o no procesos transfronterizos. La SEPA supone un nuevo escenario caracterizado por una armonización en la forma de hacer pagos en euros principalmente mediante el empleo de tres grandes tipos de instrumentos: las transferencias, los adeudos domiciliados y las tarjetas de pago. El territorio que abarca la zona SEPA, para la creación de un mercado único de pagos en euros, comprende 36 países: los 27 Estados miembros de la Unión Europea (UE), así como 3 países del Espacio Económico Europeo (EEE) Islandia, Liechtenstein y Noruega y 6 países no pertenecientes al EEE, a los que se ha ampliado el alcance geográfico (Andorra, Mónaco, San Marino, Suiza, UK y Ciudad del Vaticano Estado). El Reglamento (UE) 260/2012 del Parlamento Europeo y del Consejo, de 14 de marzo de 2012, establece el 1 de febrero de 2014 como fecha límite para que las transferencias y adeudos nacionales sean reemplazados por los nuevos instrumentos SEPA. El considerando 14 del Reglamento (UE) 260/2012 indica que “La normalización técnica es piedra angular de la integración de redes, tales como el mercado de pagos de la Unión. El recurso a normas elaboradas por organismos de normalización internacionales o europeos debe ser obligatorio, a partir de una determinada fecha, en todas las operaciones pertinentes. En los servicios de pago, tales normas obligatorias son el número IBAN, el código BIC y la norma de envío de mensajes en el ámbito de los servicios financieros «ISO 20022 XML». El empleo de estas normas por todos los proveedores de servicios de pago es, por tanto, imprescindible para que exista plena interoperabilidad en toda la Unión. En particular, el uso obligatorio del número IBAN y del código BIC, cuando resulte necesario, ha de promoverse en los Estados miembros mediante una amplia comunicación y medidas que faciliten la transición fácil y fluida hacia regímenes de transferencias y adeudos domiciliados comunes a toda la Unión, especialmente por lo que atañe a los consumidores. Los proveedores de servicios de pago deben poder celebrar acuerdos bilaterales o multilaterales sobre la ampliación del conjunto básico de caracteres latinos con objeto de respaldar las variantes regionales de los mensajes estándar de la SEPA”. El artículo 2 del Reglamento (UE) 260/2012 define la norma ISO 20022 XML como “norma para la elaboración de mensajes financieros electrónicos, según lo definido por la ISO, relativa a la representación física de las operaciones de pago en sintaxis XML, de acuerdo con las disposiciones mercantiles y las directrices de aplicación de los regímenes de operaciones de pago comunes a toda la Unión comprendidas en el ámbito del presente Reglamento;”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Asimismo, el artículo 5 del Reglamento (UE) 260/2012, sobre requisitos técnicos, en su apartado b, establece que “la norma para los formatos de mensaje a que se refiere el artículo 5, apartado 1, letras

  1. b)y d), será la norma ISO20022 XML”. La norma ISO20022 XML cubre todos los posibles mensajes desde el origen de una operación de cobro hasta que llega a su destinatario. En concreto, uno de los mensajes es el Customer Payment Status Report que contiene información del estado de las operaciones. El objetivo del Consejo Europeo de Pagos (European Payments Council), como representante del sector de los proveedores de servicios de pago europeos, es apoyar y promover la integración y el desarrollo de los pagos europeos, en particular, SEPA. El Consejo Europeo de Pagos (European Payments Council, EPC) es el órgano de coordinación y decisión de la industria bancaria en materia de pagos. El EPC ha definido los instrumentos de pago SEPA y los marcos necesarios para construir el mercado único de pagos en euros. Uno de esos instrumentos de pago uniformes es el adeudo directo SEPA, conocido en el ámbito internacional como SEPA Direct Debit (SDD). Este instrumento de pago está regulado por el Consejo Europeo de Pagos a través del SDD Scheme Rulebook, en adelante Rulebook, que establece las reglas para implementar la ISO 20022 XML. Asimismo, el Consejo Europeo de Pagos ha definido la “Guía de utilización de los motivos de las transacciones-R en adeudos directos SEPA” (EPC173-14 v5.0 Guidance on reason codes for SDD R-transactions European Payments Council), vigente desde 17 de noviembre de 2019 hasta la fecha de los hechos, en adelante Guía, que se aplica a las especificaciones de los adeudos directos SEPA (en adelante, Rulebook). En algunas ocasiones las transacciones de adeudo directo requieren un tratamiento excepcional, debido a que una de las partes implicadas no puede procesar el cobro con normalidad. Este tratamiento excepcional implica el envío de transacciones conocidas como transacciones-R (R-transactions, por la primera letra que las identifica en inglés: rechazo, retrocesión, revocación, etc. e incluye también las devoluciones). La definición de las distintas transacciones-R están incluidas en la sección 4.4 del Rulebook de adeudos directos SEPA (SEPA Direct Debit Core Scheme Rulebook 2019 Version 1.2), de aplicación desde el 1 de diciembre de 2020 hasta la fecha de los hechos. En concreto y en relación con la reclamación, el código AM04 tiene, como razón especificada en la Guía, la de “Saldo insuficiente” y se define como “Saldo insuficiente en la cuenta del deudor para hacer frente a la transacción de adeudo” (There are not enough funds on the Debtor account to debit the full amount of the collection). La parte reclamante presentó una reclamación en la que hace referencia a que “al pasar el cargo en la entidad le responde que no se puede producir dicho cargo por SALDO INSUFICIENTE”. Asimismo, indica que, “Esta respuesta vulnera mi honor y las normas LOPD, ya que le indica el saldo que tengo en dicha cuenta”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 En el email que la parte reclamante adjuntó a la reclamación, se hace referencia a los siguientes datos: • o o o • o o o o o o o Datos del deudor: Nombre del deudor. Código del deudor. Número de cuenta (aparece parcialmente oculto). Detalle del adeudo: Motivo de devolución. Secuencia del adeudo. Referencia del adeudo. Referencia única del mandato (aparece totalmente oculta). Fecha firma del mandato. Concepto. Importe. FUNDAMENTOS DE DERECHO I.- Competencia: En virtud de los poderes que el art 58.2 del Reglamento RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II.- Síntesis de los hechos: La parte reclamante hace referencia a que al pasar el cargo el recibo del club social donde está inscrito, CAIXA BANK responde al club que no se puede producir dicho cargo por “saldo insuficiente”, por lo que, el reclamante denuncia que, dicha respuesta vulnera su honor y las normas de protección de datos. III.- Sobre la posible infracción al RGPD, con respecto al posible tratamiento ilícito de los datos personales En relación con la licitud del tratamiento de datos personales, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando sea un niño. En el caso que nos ocupa, se ha constatado que la información remitida por la entidad bancaria se refiere al motivo de la devolución del recibo, consignando que es, “saldo insuficiente”, y que, en ningún caso, se hace referencia al saldo en cuenta corriente del deudor (reclamante), o a cualquier otra información de carácter patrimonial o financiera de aquél. Asimismo, ha quedado constancia de que la parte reclamada, en los mensajes que envía con información del estado de la operación (Customer Payment Status Report), usa el código AM04, que tiene como razón especificada “Saldo insuficiente” (Insufficient Funds), para indicar a su cliente, el club social y cultural, el motivo de la devolución del recibo de cobro al deudor (reclamante), siguiendo el esquema de pagos SEPA que establece un tratamiento excepcional de determinadas operaciones debido a que una de las partes implicadas no puede procesar el cobro con normalidad, todo ello en el marco de la norma ISO20022 XML que establece todos los posibles mensajes desde el origen de una operación de cobro hasta que llega a su destinatario. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que el tratamiento de los datos personales del reclamante, por parte de la entidad bancaria, CAIXA BANK, no se contradice con lo estipulado en el artículo 6.1 del RGPD, al existir un tratamiento lícito de los datos personales en base a lo estipulado en el apartado
  8. c)de dicho artículo, (c.-el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento); pues la normativa habilita, en este caso, a CAIXA BANK a comunicar a la entidad que ha emitido el recibo, “saldo insuficiente”, ligado al deudor. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXA BANK, S.A., y a D. A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.