1/9 Expediente N.º: EXP202408551 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de mayo de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00035287651 ante la Agencia Española de Protección de Datos contra BANTOR ATLANTIC, S.A. con NIF A67284851 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, pese a la existencia de un acuerdo con la entidad bancaria reclamada, por el que se declara la nulidad del contrato y el abono de una cantidad a favor de la parte reclamante, la parte reclamada incluye sus datos personales en el fichero de morosos BADEXCUG en relación con esta deuda anulada. Se aporta como documentación relevante: - Copia de la carta remitida por la letrada de la entidad reclamada al representante del reclamante en la que se acuerda la nulidad del contrato en el que presuntamente se basa la deuda en la que se fundamenta la reclamación, y que figura con el número: ***REFERENCIA.1. En esta carta no aparece la fecha. - Copia de la carta remitida por EXPERIAN al reclamante en contestación al escrito presentado por este el día 09/05/2024 en el que solicitaba el acceso a sus datos, en el que figura como fecha de alta en el “fichero de morosos” el 14/04/2024. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 12/06/2024 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 TERCERO: Con fecha 14 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El reclamante manifestó que sus datos fueron incluidos en un tratamiento de solvencia patrimonial y crédito ("ficheros de morosidad"), a pesar de que existía, con anterioridad a dicha inclusión, un acuerdo con la entidad acreedora por el que se acordaba la nulidad del contrato en virtud del cual se había generado la deuda con la parte reclamada. Para acreditar dicho acuerdo de nulidad del contrato, el reclamante aportó junto a su reclamación del 14/05/2024, copia de una carta de la letrada de la parte reclamada BANTOR ATLANTIC.S.A., dirigida a su letrado, en la que reconocía que: “mi cliente se muestra conforme con aceptar la nulidad del contrato (…)” y se le informaba que BANTOR iba a ingresar la cantidad de 8,85 euros a favor del cliente. Sin embargo, en esta carta no constaba la fecha, por lo que se desconocía si el acuerdo de nulidad del contrato era anterior o posterior a la inclusión de los datos del reclamante en el “fichero de morosos”. Entre la documentación aportada por el reclamante junto a su reclamación consta una carta que le envió EXPERIAN respondiendo a su solicitud de acceso a sus datos del 9/05/2024, (en el que hay que destacar que el alta del reclamante en dicho fichero fue el 14/04/2024) y que dice lo siguiente: “Los datos registrados en nuestro fichero BADEXCUG son: • Nombre: A.A.A. • Dirección: ***DIRECCIÓN.1 • Entidad informante: BANTOR ATLANTIC SL • Nº de operación: ***REFERENCIA.1 • Importe impagado: 571,20 • Producto financiado: Póliza de Crédito • Tipo interviniente: Titular • Situación de pago: Entre 90 y 120 días • Cuotas impagadas: 6 • Importe financiado: 0,00 • Máximo Importe impagado: 571,20 • Impagado en alta: 571,20 • Fecha de alta: 14/04/2024 • Fecha máximo importe impagado: 05/05/2024 • Fecha primer impago: 29/01/2024 • Fecha última actualización: 05/05/2024” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 Con fecha de 19/09/2024 se hizo un requerimiento por parte de la AEPD al reclamante solicitando que aportara alguna prueba que acreditara la fecha de anulación del referido contrato. Se recibió contestación el mismo día 19/09/2024 a este escrito, aportando el reclamante un recibo de ingreso por transferencia de la cantidad de 8,85 euros, en fecha de 22/05/24, siendo el ordenante BANTOR ATLANTIC S.A. y una carta remitida por la letrada de la parte reclamada el 17/05/2024 en la que indica lo siguiente: “Buenas tardes, lo he remitido a mi cliente y les he pedido que procedan de manera inmediata a la baja, normalmente dan de baja al recibir la reclamación por lo que debe tratarse en su caso de un error. Le ruego espere unos días porque son muchos asuntos y aunque procurador atender todo lo antes posible, puede demorarse el abono un poco más.” Con fecha de 07/11/2024 se hizo otro requerimiento a la parte reclamada en el que se solicitaba, entre otra información, que acreditara documentalmente la fecha de anulación del contrato del que derivaba la deuda por la que fue incluido el reclamante en un fichero de solvencia patrimonial. Este requerimiento fue contestado por la parte reclamada el 22/11/2024 indicando, entre otras alegaciones, lo siguiente: “Que tras acuerdo extrajudicial firmado entre las partes en fecha 16 de mayo “ACUERDO TRANSACCIONAL” y como consecuencia de la NULIDAD de dicho contrato, se procedió a la baja y comunicación a EXPERIAN BUREAU DE CRÉDITO, S.A de sus datos personales en los sistemas de comunes de información crediticia, en fecha 19 de mayo tal como marca la legislación en materia (…)”. Junto a la contestación al anterior requerimiento, la parte reclamada aportó copia del mencionado acuerdo transaccional firmado por la parte reclamante y la parte reclamada, el 16/05/2024, y cuyo contenido es el siguiente: “(…) I.- Que A.A.A., suscribió con la entidad BANTOR ATLANTIC SA un contrato de crédito con número ***REFERENCIA.1 en virtud del cual dispuso un total de 449€. II.- Que las partes están conformes en la declaración de NULIDAD del contrato referido al considerar su carácter USURARIO. III.- Que como consecuencia de la NULIDAD de dicho contrato, siguiendo lo establecido en el artículo 3 de la Ley de 23 de julio de 1908 sobre nulidad de los contratos de préstamos usurarios, BANTOR ATLANTIC SA debe restituir la cantidad de 8,85 € a A.A.A., toda vez que se abonó un total de 457,85€ por su parte. V- El pago de la cantidad de 8,85€ se va a verificar en un plazo máximo de quince días mediante transferencia en la cuenta bancaria que a tal efecto se designa: (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 Con fecha de 09/01/2025 se realizó un requerimiento a EXPERIAN BUREAU DE CRÉDITO, S.A., solicitando la siguiente información: “Evidencia documental de la situación de la deuda que motivó la inclusión del reclamante en el fichero BADEXCUG, en especial fechas de alta, información sobre la deuda, y fecha de baja en el fichero”. El 20/01/2025 EXPERIAN BUREAU DE CRÉDITO, S.A. contestó al anterior requerimiento indicando lo siguiente: Se ha investigado en el Fichero de Actualizaciones BADEXCUG (operaciones dadas de baja en los últimos 5 años) respecto del NIF Nº ***NIF.1 de A.A.A. y en relación con la entidad BANTOR ATLANTIC SL, hemos encontrado la siguiente información. ➢ Operación n.º ***REFERENCIA.1, aportada por BANTOR ATLANTIC SL en concepto de Póliza de Crédito incluida en el fichero con fecha de alta el día 14/04/2024 y fecha de baja el día 19/05/2024. En relación con la notificación de inclusión referente a la operación impagada en el fichero BADEXCUG, procedemos a acreditar el envío de esta, en cumplimiento de art. 20.1.
- c)párrafo 2º de la LOPDGDD, respecto a la deuda aportada por la entidad “BANTOR ATLANTIC SL” Notificación Nº1: Información enviada por la Entidad 07524 para el documento NIF: Entidad: BANTOR ATLANTIC SL Tipo Documento: ***NIF.1 País Documento: España Documento: NIF Nombre: A.A.A. Tipo Interviniente: Titular Fecha Inclusión: 14/04/2024 Importe Impagado: 571,2 Tipo Producto Financiero: Póliza de Crédito Dirección: ***DIRECCIÓN.1 Localidad: ***LOCALIDAD.1 Provincia: ***LOCALIDAD.1 Código Postal: 41011 Código de Barras: ***REFERENCIA.2 Fecha de Impresión: 16/04/2024 En cumplimiento del artículo 20.1c) párrafo 2º de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y siguiendo las directrices del Reglamento de desarrollo de la Ley Orgánica 15/1999 de Protección de Datos en su art. 40.3, por analogía, EXPERIAN tiene contratada la impresión y envío de las notificaciones de inclusión con terceros, en el momento de la generación de esta notificación, la impresión con IMPRELASER, S.L. y el envío con CORREOS Y TELEGRAFOS, SAU. (CORREOS). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 Esta notificación de inclusión relativa a una operación impagada en el fichero BADEXCUG fue enviada a la siguiente dirección “***DIRECCIÓN.1. La carta fue emitida con fecha 16/04/2024 y depositada en los servicios postales en los días inmediatamente posteriores. Cada notificación impresa por IMPRELASER y enviada por CORREOS en nombre de EXPERIAN tiene un número secuencial único que permite identificarla. La notificación se identifica con código de barras ***REFERENCIA.2: - El número inicial, “3”, es común a todas las claves. - Los cinco dígitos siguientes –“07425”-, son la clave de la entidad, utilizada por EXPERIAN. En este caso se trata de BANTOR ATLANTIC SL. - Lo seis dígitos siguientes –“000023”- son un número secuencial de cada una de las notificaciones de cada carga periódica, para cada entidad y fecha, asignado consecutivamente por IMPRELASER. - Finalmente, los ocho últimos dígitos –“20240416”-, aparece la fecha de impresión de la notificación de inclusión en el fichero BADEXCUG según el siguiente formato: AAAAMMDD. Una vez impresas las cartas de notificación de inclusión por IMPRELASER, las notificaciones fueron enviadas por CORREOS. (…) En este documento figura que las notificaciones correspondientes a BANTOR ATLANTIC SL, comprenden un total de 144 notificaciones, desde el número “***REFERENCIA.3” al “***REFERENCIA.4”. La carta con Clave Nº ***REFERENCIA.2 ((...)) está comprendida entre aquellas a las que se refieren estos certificados. El total de notificaciones impresas en dicha carga asciende a 26.345 cartas. (…) Experian hace un control de notificaciones devueltas a través del mismo proveedor que imprime las notificaciones de inclusión, IMPRE-LASER, S.L. Este proveedor recoge las notificaciones devueltas por el operador postal, graba el número de referencia de la carta y envía semanalmente a EXPERIAN un fichero de las notificaciones devueltas durante la semana anterior. Realizada la búsqueda pertinente, no consta devolución relativa a esta notificación, por lo que no ha habido ninguna incidencia en su envío y entrega al destinatario de esta notificación. A continuación, como evidencia facilitamos “pantallazo” de la aplicación donde hacemos el control de las notificaciones devueltas, en el cual se puede comprobar que no se ha registrado ninguna devolución en relación con la notificación acreditada (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 Junto al anterior escrito EXPERIAN BUREAU DE CRÉDITO, S.A. acompañaba la siguiente documentación: DOCUMENTO Nº1: Notificación de inclusión relativa a una operación impagada en el fichero BADEXCUG enviada a la dirección “***DIRECCIÓN.1. La carta fue emitida con fecha 16/04/2024. DOCUMENTO Nº2: Certificado expedido por IMPRELASER, acreditativo de la impresión de 26.345 cartas de “Notificaciones Badexcug” de la “Carga: 14/04/2024”. DOCUMENTO Nº3: Copia del certificado expedido por IMPRELASER, acreditativo de la entrega al operador postal CORREOS, de 26.345 Notificaciones BADEXCUG correspondientes a la carga del día 14/04/2024, y que coinciden con los impresos por IMPRE-LASER. DOCUMENTO Nº4: Copia de los albaranes de CORREOS, acreditativos de que, en concepto de Notificaciones BADEXCUG de la carga de 14/04/2024, se enviaron un total de 26.345 notificaciones el día 16/04/2024. DOCUMENTO Nº5: certificado emitido por IMPRELASER, S.L., proveedor de impresión y gestión de notificaciones devueltas, en el que confirma que la notificación de inclusión anteriormente descrita no ha sido devuelta por los servicios postales. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " IV Conclusión En el presente caso, la parte reclamante manifiesta que sus datos personales fueron incluidos por error en un fichero de tratamiento de solvencia patrimonial y crédito ("fichero de morosos"), en relación con una deuda que procedía de un contrato de préstamo que consideraba que había sido declarado nulo con anterioridad. El reclamante aporta al expediente copia de una carta, en la que no consta la fecha, remitida por la letrada de la parte reclamada al reclamante, mostrando su conformidad a declarar nulo el contrato de préstamo nº ***REFERENCIA.1 y al abono al reclamante de cierta cantidad que se le habría cobrado indebidamente, por lo que considera el reclamante que la deuda por la que supuestamente fue incluido en el “fichero de morosos” no existiría a fecha de alta en dicho fichero. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” De manera que en el presente caso se considera que el reclamante interpuso reclamación ante la AEPD el 14/05/2024 por la inclusión de sus datos en un “fichero de morosidad” pese a haber acordado, según decía, anteriormente con la parte reclamada la nulidad del contrato de préstamo que servía de base a la supuesta deuda. Para probarlo aportaba una carta remitida por la letrada de la parte reclamada reconociendo la nulidad del contrato de préstamo en la que se fundamentaba dicha deuda, pero esta carta carece de fecha y firma por lo que se desconoce si fue anterior o posterior a la inclusión de los datos del reclamante en dicho “fichero de morosidad”. Sin embargo, consta en el expediente la carta que remitió EXPERIAN al reclamante, en contestación al ejercicio del derecho de acceso de éste, en la que se indicaba que la fecha en la que le dieron de alta en el fichero de morosidad fue el 14/04/2024, y la parte reclamada ha aportado copia del acuerdo de nulidad del contrato que fue firmado por la parte reclamante y la reclamada, con posterioridad a dicha alta, el 16/05/2024. Según EXPERIAN BUREAU DE CRÉDITO, S.A. el 19/05/2024 se dio de baja al reclamante de los ficheros de EXPERIAN: “Operación n.º ***REFERENCIA.1, aportada por BANTOR ATLANTIC SL en concepto de Póliza de Crédito incluida en el fichero con fecha de alta el día 14/04/2024 y fecha de baja el día 19/05/2024”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 En atención a lo expuesto, y de acuerdo con la prueba documental obrante en el expediente, no consta que en este caso se haya producido un tratamiento ilícito. A la fecha de la inclusión en el fichero de solvencia patrimonial, la deuda estaba formalmente vigente y no existía resolución o acuerdo previo que acreditara su inexistencia, procediéndose posteriormente a la baja en un plazo breve tras la formalización de la nulidad del contrato. Ello impide considerar que la comunicación inicial de los datos constituyera una vulneración del RGPD. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANTOR ATLANTIC, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es