← España

AI-00130-2024

1/9  Expediente N.º: EXP202404330 Actuaciones Investigación Nº AI/00130/2024. RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de abril de 2023 A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra diversas entidades presuntamente responsables de su inclusión en un fichero de información crediticia, entre la que se encuentra TOYOTA KREDITBANK GMBH SUCURSAL EN ESPAÑA con NIF W0043045D (en adelante, la parte reclamada/ TOYOTA KREDITBANK). La parte reclamante manifiesta que 3 entidades financieras, entre las que se encuentra la entidad reclamada, han incluido sus datos personales en un sistema común de información crediticia conocido como “Fichero BADEXCUG” gestionado por la entidad EXPERIAN BUREAU DE CRÉDITO, S.A (en adelante, Experian) sin que este le haya cedido sus datos y sin que se le haya informado previamente de la posibilidad de inclusión de las deudas que aparecen en el mismo por parte de la entidad gestora del fichero ni por parte de las entidades informantes (de forma fehaciente con acuse de recibo), por lo que .no ha podido ejercitar su derecho de supresión ante la entidad gestora del fichero Experian hasta el 12 de abril de 2023, la cual le ha sido denegada. Por otra parte, alega asimismo que la deuda que consta en los mismos es inexacta (sin mayor concreción acerca de la inexactitud ni de la deuda concreta a la que se refiere); Junto a su reclamación aporta la siguiente documentación: - Solicitud de supresión de sus datos en el referido fichero dirigida a Experian, que está fechada el 10 de marzo de 2023, en la que se solicita la supresión de todos los datos incluidos a su nombre en los archivos de la misma, por no haber sido informado previamente de su inclusión, así como por ser inexactas, contradictorias, incluir cláusulas e intereses usureros, ser inciertas, estar prescritas o caducadas. No se hace ninguna referencia a las deudas y datos concretos cuya supresión se solicita. - El escrito de respuesta de 25 de abril de 2023 de Experian, en el que se acusa recibo de la solicitud de cancelación de datos recibida el 19 de abril de 2023, comunicando que no puede proceder a la cancelación de datos solicitados, toda vez que las entidades que han informado de la deuda han confirmado su existencia en los términos que se informan en el escrito. Por tanto, se mantienen los datos incluidos en el fichero hasta entonces, y se le informa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 que, adicionalmente, se ha incluido una nueva deuda por parte de la reclamada, TOYOTA KREDITBANK, con fecha de 23/04/23, que asciende a (…) euros, siendo la primera fecha de impago el 19/02/23. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a TOYOTA KREDITBANK para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 03/07/23, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 28 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante, notificándoselo a ésta el 24 de agosto de 2023. CUARTO: Con fecha de 3 de agosto de 2023, TOYOTA KREDITBANK presenta escrito de alegaciones, en el que manifiesta, en síntesis, lo siguiente: - Que el reclamante fue incluido en el mencionado fichero porque ostentaba una deuda de (…) euros, correspondiente al impago de dos cuotas con vencimientos de 19/02/2023 por un importe de (...) euros y del vencimiento de 19/03/2023, por un importe de (...) euros. - Estas cuotas formaban parte del Contrato de Préstamo Nº ***CONTRATO.1 para la financiación para la adquisición por el reclamante de un vehículo Toyota, suscrito en fecha 19 de agosto de 2019. No se aporta dicho contrato. - Reconoce haber solicitado a Experian la inclusión del reclamante en este fichero en varias ocasiones por la falta de pago de diferentes cuotas del mismo préstamo, siempre previo requerimiento de pago al mismo, dado que el mismo tiene un largo historial de impagos. - Que en la actualidad consta de baja en el citado fichero, dado que con fecha de 12/07/23 el reclamante abonó las cuotas que tenía pendientes hasta entonces. El reclamante dice aportar 4 anexos, si bien solo aporta 3: - Anexo 1. Justificante de las cuotas devueltas. Se aprecia que se adjunta únicamente una cuota devuelta de 20/03/23 por (…) euros. Anexo 2. Cartas certificadas recibidas por el cliente. No se adjunta. Anexo 3. Un total de 3 correos electrónicos en los que se informa al reclamante del impago de las dos cuotas referidas, y de su remisión para reclamación a un bufete de abogados, en los que no aparece fecha del requerimiento ni un aviso de inclusión del mismo en el citado fichero en caso de persistir el impago tras el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 - plazo concedido. En los requerimientos se informa de las siguientes deudas: (…) euros por impago de la cuota de 19/02/23 con intereses de demora a fecha de 04-4-23; y (…) euros por impago de la cuota 19/02/23 con intereses de demora a fecha de 10-4-23. Y como Anexo 4 se aporta un certificado de Experian haciendo constar que a 2 de agosto de 2023 no consta ninguna deuda en el fichero a nombre del reclamante. QUINTO: Con fecha de 4 de agosto, TOYOTA KREDITBANK subsana su reclamación motu proprio, para adjuntar lo que había denominado como Anexo 2, aportando diversa documentación acreditativa del requerimiento de pago y notificación de la posible inclusión en el referido fichero de todas las cuotas que fueron impagadas por el reclamante. Entre esta documentación, encontramos un requerimiento fechado el 8 de junio de 2023, en el que se advierte al reclamante de la inclusión en el fichero de las cuotas de 19/02/23 y 19/03/23 a las que se refiere el presente expediente, que constan como impagadas a fecha de 04/04/23, y dadas de alta en el fichero el 23/04/23. Respecto a la justificación de la notificación al reclamante, no se acompaña acuse de recibo sino certificado de la empresa subcontratada para realizar el procedimiento de impresión y envío de comunicaciones de forma masiva, y albarán de entrega por ésta a la Sociedad estatal de Correos y Telégrafos de España de un grupo de notificaciones entre las que parece encontrarse el requerimiento de 8 de junio al reclamante, fechadas en Correos con fecha de 9 de junio de 2023. Por otra parte, manifiesta la reclamada que el reclamante impagó 26 cuotas de las 47 en las que consistía el préstamo, acreditando la relación de cuotas impagadas, y aporta justificante de haber remitido requerimientos de pago previo sobre dichas cuotas y de aviso de inclusión en el fichero de 3 cuotas impagadas correspondientes al año 2022, la última de octubre de 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Sistemas de información crediticia Para poder tratar datos personales -en este caso, comunicar a un tercero los datos personales del reclamante con el fin de compartirlos con todas las entidades asociados al sistema de información crediticia común, previo el cumplimiento de ciertos requisitos- es necesario determinar, primero que nada, si concurre lo que se denomina como “base de licitud” prevista en el RGPD que legitime al responsable para realizar las operaciones de tratamiento que sean necesarias para el cumplimiento de los fines de que se trate. Como dice con claridad el Considerando 40 del RGPD: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” Respecto a esta cuestión, la norma principal es el artículo 6 del RGPD, que bajo la rúbrica “Licitud del tratamiento” hace referencia en su apartado 1 a los supuestos en los que un tratamiento de datos personales puede ser considerado lícito con carácter general: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 20 de la LOPDGDD, que regula los sistemas de información crediticia, dispone en su apartado primero lo siguiente: "1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  10. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  11. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  12. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  13. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  14. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  15. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  16. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta." Los ficheros de estos sistemas de información crediticia como el fichero BADEXCUG al que se refiere la reclamación (en adelante, el fichero) contienen, pues, un número extenso de datos de carácter personal de los presuntos deudores que son incluidos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 el mismo, previa notificación de la acreedora y la entidad gestora. Datos que se comparten entre las entidades asociadas al fichero. La inclusión es solicitada por las diversas entidades asociadas que informan de la deuda que cada uno de sus deudores ha contraído con las mismas. Esta solicitud supone una operación de tratamiento que puede calificarse de “transmisión o cesión” de estos datos personales, puesto que estos fueron proporcionados por los interesados solo a la entidad informante, puesto que el sistema común permite que estos datos puedan ser consultados a su vez por terceros ajenos que formen parte de este sistema común de información crediticia, previo el cumplimiento de ciertos requisitos. Concurriendo operaciones de tratamiento de datos personales, la normativa de protección de datos prevista en el RGPD será de plena aplicación al responsable de transmitir estos datos personales al responsable del fichero, con independencia de que éste deba sujetarse asimismo al cumplimiento de otras posibles normas de aplicación específica que regulen los requisitos y condiciones de inclusión en este fichero. En el presente caso, la parte reclamante denuncia la comunicación indebida de sus datos personales al fichero BADEXCUG sin indicar a que cuotas se refiere, indicando que no se ha atendido su solicitud de supresión formulada el 12-4-23, y que se le ha incluido en el fichero BADEXCUG sin remitirle la reclamada un previo aviso de inclusión en el fichero. Una vez examinada la documentación aportada por el mismo, se deduce que tal solicitud de supresión se refería a deudas anteriores que no han sido concretadas, pero que, en cualquier caso, no se corresponden con aquellas sobre las que se reclama por falta de aviso previo de inclusión en el fichero, y que se refieren al presunto impago de las dos cuotas de 19-2-23 y 19-3-23 del préstamo concertado entre las partes reclamante y reclamada, que fueron incluidas en el fichero con fecha de 23-4-24, según indica la respuesta de Experian aportada por el reclamante, es decir, en fecha posterior al ejercicio del derecho de supresión que, por tanto, no afecta la anotación instada por la parte reclamada. Cabe, por tanto, determinar si la parte reclamada incumplió los requisitos previstos en el artículo 20 de la LOPDGDD, al haber solicitado el 23-4-23 la inclusión en el fichero BADEXCUG -que reviste el carácter de “sistema de información crediticia”- de las cuotas del préstamo de financiación suscrito con el reclamante, que vencían el 19/02/23 y 19/03/23. Al respecto de esta cuestión, del análisis de la documentación aportada por ambas partes se deduce que la reclamada no ha incumplido los requisitos a los que se refiere el reclamante, por lo siguiente: - En primer lugar, el reclamante indica que la deuda es inexacta, pero no concreta o específica el motivo o en qué medida, realizando una mera afirmación genérica en su reclamación. Afirmación que no se encuentra acompañada de base probatoria alguna, habiendo por contrario acreditado la reclamada que dicha deuda era exigible y estaba vigente en el momento en que fue dada de alta el 23/04/23, aportando las devoluciones de recibo y dos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 requerimientos de pago, por lo que en principio se cumpliría con el requisito previsto en el artículo 20.1.
  17. b)de la LOPDGDD. - En segundo lugar, alega el reclamante que no ha sido informado por la reclamada de la posibilidad de inclusión en el fichero en caso de impago de estas dos cuotas de febrero y marzo de 2023, de forma fehaciente y con acuse de recibo. Al respecto de las cuotas de 19/02/23 y 19/03/23 a las que se refiere el presente expediente, consta acreditado que fueron impagadas a fecha de 04/04/23, fueron requeridas de pago con fechas de 04/04/23 y 10/04/23, y, finalmente, comunicadas a Experian y dadas de alta en el fichero BADEXCUG el 23/04/23. Y así mismo, consta que la reclamada no informó al reclamante de su inclusión en el fichero en relación a ambas cuotas hasta el 9/6/23, posteriormente a la inclusión. Ello se desprende de la siguiente documentación aportada por la reclamada: Constan aportados 2 requerimientos de pago remitidos por el gerente del departamento de impagos de la reclamada al reclamante: uno de fecha 4-4-23, en los que se insta al pago de una deuda de (…) euros, y de fecha 10-4-23, en los que se insta al pago de una deuda de (…) euros. Ninguno de estos requerimientos de pago contiene una mención a la posible inclusión en el fichero. Ambos escritos hacen referencia a que las cantidades se calculan considerando los intereses de demora a la fecha del requerimiento. Ello es compatible con la cantidad que finalmente se incluyó en el fichero, según informa Experian, de (…) euros a fecha de 234-23. Se acompaña, así mismo, un requerimiento de inclusión en el fichero por ambas cuotas -junto con los justificantes de remisión por una tercera empresa en los términos que han sido indicados en los antecedentes de hecho- que está datado de 9-6-23. Pero, por otra parte, la reclamada acredita, asimismo, que el reclamante dejó de pagar 26 de 47 cuotas correspondientes al mismo préstamo de financiación de vehículo, y manifiesta que requirió el incumplimiento del pago de las 24 cuotas impagadas con anterioridad, y advirtió previamente al reclamante de la inclusión en el fichero de las mismas. Y en concreto, aporta 3 requerimientos en los que si informa al reclamante sobre la anotación de sus datos en estos ficheros. Los tres son de 2022, anteriores a los hechos. El último de ellos es de octubre de 2022. Se ha de señalar que lo que exige al acreedor de la deuda el artículo 20.1.
  18. c)de la LOPDGDD es lo siguiente: “
  19. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe”: Ahora bien, no se especifica en la normativa la forma y número de ocasiones en la que debe realizarse tal requerimiento de “posibilidad de inclusión en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 fichero”. Y en concreto, no se señala expresamente que en los casos en los que, como el presente, se incumplan varias cuotas correspondientes a una misma relación contractual, sea obligatorio que el acreedor remita un requerimiento de inclusión en el fichero independiente para cada cuota que se ha impagado. No habiendo previsión específica, debemos interpretar la obligación prevista en el citado precepto de acuerdo con su tenor literal (interpretación literal), y de acuerdo con el espíritu y finalidad de la ley (interpretación “teleológica” o funcional de las normas), en el sentido previsto en el artículo 3.1 del CC, que establece que “1. Las normas se interpretarán según el sentido propio de sus palabras, en relación con el contexto, los antecedentes históricos y legislativos, y la realidad social del tiempo en que han de ser aplicadas, atendiendo fundamentalmente al espíritu y finalidad de aquellas.”. Así pues, del tenor literal de la obligación, que determina que el acreedor debe ser informado sobre la “posibilidad” de ser incluido en el fichero en el momento de requerir el pago; y la interpretación funcional del precepto, cuya finalidad clara es que el deudor conozca que al incumplir cualquier cuota de este préstamo a plazos será incluido en el fichero, se deduce que habiéndose recibido ya varios requerimientos de inclusión en el fichero tras el impago de otras cuotas anteriores del mismo préstamo, la parte reclamante fue correctamente informada de esta posibilidad, cumpliendo la entidad acreedora con lo previsto en el artículo 20.1.
  20. c)de la LOPDGDD. En base a ello, podemos concluir en que no se ha incumplido este requisito, dado que se ha acreditado que el reclamante ya había impagado con anterioridad otras cuotas y había sido informado por la reclamada de que iba a ser incluido en el fichero, por lo que conocía que en caso de que se produjera un nuevo impago, iba a ser incluido de nuevo en dicho fichero En consecuencia, de todo lo expuesto se deduce que no concurre infracción alguna de la normativa aplicable por parte de la entidad reclamada que justifique el inicio de un procedimiento sancionador contra la misma. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir responsabilidad alguna por el tratamiento realizado por la reclamada, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TOYOTA KREDITBANK GMBH SUCURSAL EN ESPAÑA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  21. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.