← España

AI-00097-2022

1/6  Expediente Nº: AI/00097/2022 (EXP202104881) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, CAIXA BANK, SA, con CIF.: A08663619 (en adelante, “la parte reclamada”), en virtud de la reclamación presentada por D. A.A.A., (en adelante, “la parte reclamante”), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD), y vulneración de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 07/10/21, tuvo entrada en esta Agencia, escrito presentado por el reclamante, en el que indicaba lo siguiente: “He recibido por correo estándar, una notificación del suministrador de servicios domésticos Aigües de Barcelona, en la que me manifiesta que ha habido un impago en uno de los recibos. Hasta aquí ningún problema, a no ser porque en la comunicación emitida por Aigües de Barcelona, se hace referencia a unas “observaciones” en las que se indica que el motivo del retorno ha sido por “saldo insuficiente”. Esta información, que el suministrador no tiene manera de saber, obviamente, ha sido desvelada por la entidad financiera, por CaixaBank. En mi opinión este hecho constituye una clara violación de la protección de datos del cliente”. Aporta copia de la notificación hecha por el suministrador “Aigües de Barcelona”, de fecha 19/09/21, informando al reclamante de la devolución del recibo e indicando en el apartado Observaciones = “Saldo Insuficiente”. SEGUNDO: Con fecha 25/11/21, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 30/12/21, la entidad reclama envía a esta agencia copia del documento titulado, “Órdenes en formato ISO 20022 para emisión de Adeudos Directos SEPA Esquema básico”, que contiene la guía de implantación de mensajes en formato ISO 20022 que ha sido definida por las entidades de crédito españolas a través de sus respectivas asociaciones, Asociación Española de Banca (AEB), Confederación Española de Cajas de Ahorros (CECA) y Unión de Cooperativas de Crédito (UNACC). CUARTO: Con fecha 07/01/22, de conformidad con el artículo 65 de la Ley LPDGDD, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada, al haber apreciado posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: “La SEPA (Single Euro Payments Area) es la zona en la que ciudadanos, empresas y otros agentes económicos pueden hacer y recibir pagos en euros, con las mismas condiciones básicas, derechos y obligaciones, y ello con independencia de su ubicación y de que esos pagos impliquen o no procesos transfronterizos. La SEPA supone un nuevo escenario caracterizado por una armonización en la forma de hacer pagos en euros principalmente mediante el empleo de tres grandes tipos de instrumentos: las transferencias, los adeudos domiciliados y las tarjetas de pago. El territorio que abarca la zona SEPA, para la creación de un mercado único de pagos en euros, comprende 36 países: los 27 Estados miembros de la Unión Europea (UE), así como 3 países del Espacio Económico Europeo (EEE) Islandia, Liechtenstein y Noruega y 6 países no pertenecientes al EEE, a los que se ha ampliado el alcance geográfico (Andorra, Mónaco, San Marino, Suiza, UK y Ciudad del Vaticano Estado). El Reglamento (UE) 260/2012 del Parlamento Europeo y del Consejo, de 14 de marzo de 2012, establece el 1 de febrero de 2014 como fecha límite para que las transferencias y adeudos nacionales sean reemplazados por los nuevos instrumentos SEPA. El considerando 14 del Reglamento (UE) 260/2012 indica que “La normalización técnica es piedra angular de la integración de redes, tales como el mercado de pagos de la Unión. El recurso a normas elaboradas por organismos de normalización internacionales o europeos debe ser obligatorio, a partir de una determinada fecha, en todas las operaciones pertinentes. En los servicios de pago, tales normas obligatorias son el número IBAN, el código BIC y la norma de envío de mensajes en el ámbito de los servicios financieros «ISO 20022 XML». El empleo de estas normas por todos los proveedores de servicios de pago es, por tanto, imprescindible para que exista plena interoperabilidad en toda la Unión. En particular, el uso obligatorio del número IBAN y del código BIC, cuando resulte necesario, ha de promoverse en los Estados miembros mediante una amplia comunicación y medidas que faciliten la transición fácil y fluida hacia regímenes de transferencias y adeudos domiciliados comunes a toda la Unión, especialmente por lo que atañe a los consumidores. Los proveedores de servicios de pago deben poder celebrar acuerdos bilaterales o multilaterales sobre la ampliación del conjunto básico de caracteres latinos con objeto de respaldar las variantes regionales de los mensajes estándar de la SEPA”. El artículo 2 del Reglamento (UE) 260/2012 define la norma ISO 20022 XML como “norma para la elaboración de mensajes financieros electrónicos, según lo definido por la ISO, relativa a la representación física de las operaciones de pago en sintaxis XML, de acuerdo con las disposiciones mercantiles y las directrices de aplicación de los reC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 gímenes de operaciones de pago comunes a toda la Unión comprendidas en el ámbito del presente Reglamento;”. Asimismo, el artículo 5 del Reglamento (UE) 260/2012, sobre requisitos técnicos, en su apartado b, establece que “la norma para los formatos de mensaje a que se refiere el artículo 5, apartado 1, letras

  1. b)y d), será la norma ISO20022 XML”. La norma ISO20022 XML cubre todos los posibles mensajes desde el origen de una operación de cobro hasta que llega a su destinatario. En concreto, uno de los mensajes es el Customer Payment Status Report que contiene información del estado de las operaciones. El objetivo del Consejo Europeo de Pagos (European Payments Council), como representante del sector de los proveedores de servicios de pago europeos, es apoyar y promover la integración y el desarrollo de los pagos europeos, en particular, SEPA. El Consejo Europeo de Pagos (European Payments Council, EPC) es el órgano de coordinación y decisión de la industria bancaria en materia de pagos. El EPC ha definido los instrumentos de pago SEPA y los marcos necesarios para construir el mercado único de pagos en euros. Uno de esos instrumentos de pago uniformes es el adeudo directo SEPA, conocido en el ámbito internacional como SEPA Direct Debit (SDD). Este instrumento de pago está regulado por el Consejo Europeo de Pagos a través del SDD Scheme Rulebook, en adelante Rulebook, que establece las reglas para implementar la ISO 20022 XML. Asimismo, el Consejo Europeo de Pagos ha definido la “Guía de utilización de los motivos de las transacciones-R en adeudos directos SEPA” (EPC173-14 v5.0 Guidance on reason codes for SDD R-transactions European Payments Council), vigente desde 17 de noviembre de 2019 hasta la fecha de los hechos, en adelante Guía, que se aplica a las especificaciones de los adeudos directos SEPA (en adelante, Rulebook). En algunas ocasiones las transacciones de adeudo directo requieren un tratamiento excepcional, debido a que una de las partes implicadas no puede procesar el cobro con normalidad. Este tratamiento excepcional implica el envío de transacciones conocidas como transacciones-R (R-transactions, por la primera letra que las identifica en inglés: rechazo, retrocesión, revocación, etc. e incluye también las devoluciones). La definición de las distintas transacciones-R están incluidas en la sección 4.4 del Rulebook de adeudos directos SEPA (SEPA Direct Debit Core Scheme Rulebook 2019 Version 1.2), de aplicación desde el 1 de diciembre de 2020 hasta la fecha de los hechos. En concreto y en relación con la reclamación, el código AM04 tiene, como razón especificada en la Guía, la de “Saldo insuficiente” y se define como “Saldo insuficiente en la cuenta del deudor para hacer frente a la transacción de adeudo” (There are not enough funds on the Debtor account to debit the full amount of the collection)”. En el caso que nos ocupa, la parte reclamante presentó una reclamación en la que adjunta un aviso de devolución bancaria, la cual fue remitida por la entidad emisora del adeudo domiciliario a la parte reclamante, conteniendo la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 - Datos del deudor: Número de contrato suscrito con la entidad emisora del adeudo; Nombre del titular del contrato suscrito con la entidad emisora del adeudo; Dirección postal del titular del contrato suscrito con la entidad emisora del adeudo; - Detalle de la factura cuyo cobro está domiciliado: Número de factura; Fecha de emisión de la factura; Fecha de vencimiento de la factura; Periodo de facturación y Observaciones: “Saldo es insuficiente”; Importe. FUNDAMENTOS DE DERECHO I.- Competencia: En virtud de los poderes que el art 58.2 del Reglamento RGPD reconoce a cada Autoridad de Control y, según lo establecido en los arts. 47, 64.2 y 68.1 de la Ley LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II.- Síntesis de los hechos: La parte reclamante hace referencia a que, cuando el suministrador de servicios domésticos (Aigües de Barcelona) le comunica que ha habido un impago en uno de los recibos, en el apartado de “observaciones” se indica que ha sido por “saldo insuficiente”. Denuncia que esa información solo ha podido ser obtenida de la entidad financiera donde tiene domiciliado los recibos, (CaixaBank) y que, a su entender, esa revelación de información vulnera de la protección de datos. III.- Sobre la posible infracción al RGPD, con respecto al posible tratamiento ilícito de los datos personales En relación con la licitud del tratamiento de datos personales, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando sea un niño. En el caso que nos ocupa, se ha constatado que la información remitida por la entidad bancaria se refiere al motivo de la devolución del recibo, consignando que es, “saldo insuficiente”, y que, en ningún caso, se hace referencia al saldo en cuenta corriente del deudor (reclamante), o a cualquier otra información de carácter patrimonial o financiera. Asimismo, ha quedado constancia de que la parte reclamada, en los mensajes que envía con información del estado de la operación (Customer Payment Status Report), usa el código AM04, que tiene como razón especificada “Saldo insuficiente” (Insufficient Funds), para indicar a su cliente, el motivo de la devolución del recibo de cobro al deudor (reclamante), siguiendo el esquema de pagos SEPA que establece un tratamiento excepcional de determinadas operaciones debido a que una de las partes implicadas no puede procesar el cobro con normalidad, todo ello en el marco de la norma ISO20022 XML que establece todos los posibles mensajes desde el origen de una operación de cobro hasta que llega a su destinatario. Por tanto, en el presente caso, con arreglo a las evidencias que se disponen en este momento, se considera que el tratamiento de los datos personales del reclamante, por parte de la entidad bancaria, CAIXA BANK, no se contradice con lo estipulado en el artículo 6.1 del RGPD, al existir un tratamiento lícito de éstos, en base a lo estipulado en el apartado
  8. c)de dicho artículo, (c.-el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento); pues la normativa habilita, en este caso, a CAIXA BANK a comunicar a la entidad que ha emitido el recibo (Aigües de Barcelona), la información del motivo por el cual no ha podido ser cobrado, estos es, por el “saldo insuficiente”, ligado al deudor. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXA BANK, SA, y a D. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.