1/7 Expediente N.º: EXP202400523 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 24 de noviembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00079939402 ante la Agencia Española de Protección de Datos contra SD DEBT PORTFOLIOS - SERVDEBT ESPAÑA, S.L., con N.I.F. B86329752SD DEBT PORTFOLIOS, S.A. (en adelante, la parte reclamada o SD Debt). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha ***FECHA.1, tuvo conocimiento de la inclusión en el fichero de solvencia patrimonial Asnef de una supuesta deuda con la entidad DEBT PORTFOLIOS por importe de (...)€. Por otra parte, señala que desconoce quién es la entidad DEBT PORTFOLIOS, indicando que nunca ha realizado ningún trámite o gestión con una empresa llamada de ese modo. Asimismo, expone que sus datos están registrados en el fichero de solvencia patrimonial Asnef, cuando la parte reclamada nunca se ha puesto en contacto con él ni se le ha comunicado la citada deuda. Junto a la reclamación se aporta, la siguiente documentación: - Escrito de solicitud de documentación enviado a la parte reclamada junto con el justificante de envío de fecha 08/05/2023. - Escrito de reclamación de mediación arbitral ante la OMIC de ***LOCALIDAD.1, junto con el justificante de envío de fecha 08/05/2023. - Informe de Equifax de inclusión de los datos de la parte reclamante en el fichero de solvencia patrimonial Asnef de fecha ***FECHA.1 en el que consta que los datos de la parte reclamante se dieron de alta en dicho fichero en fecha ***FECHA.2 a petición de la entidad SD DEBT PORTFOLIOS, constando como fecha de visualización de los mismos el ***FECHA.1, figurando como saldo actual impagado el importe de (…) €. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 16 de enero de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 12 de febrero de 2024 se recibe en esta Agencia escrito de respuesta de SERVDEBET ESPAÑA, S.L. indicando lo siguiente: “A. Servdebt España, S.L. se encuentra mandatada por SD IBERIAN PORTFOLIOS, S.A. (“SD Iberian”) para hacer las gestiones de las deudas; B. Por ese motivo, Servdebt no es la acreedora de las mencionadas deudas; C. Por lo expuesto, se informa que Servdebt España, S.L. y SD Iberian son entidades distintas; D. SD Iberian es una sociedad domiciliada en 17, Boulevard Raiffeisen F.W., L2411 (Luxemburgo) y no tiene cualquier establecimiento en España; E. Por lo que cualquier notificación siempre deberá ser enviada para su domicilio y no para el domicilio de Servdebt España, S.L. Que sin perjuicio de lo referido, y teniendo en cuenta lo referido de que Servdebt España, S.L. se encuentra mandatada por SD Iberian para hacer las gestiones de las deudas, tras analizar toda la documentación presentada no fue posible encontrar ninguna información en nombre del denunciante con referencia a SD Iberian. Que en la documentación remitida se indica otra entidad distinta a la aquí firmante - SD DEBT PORTFOLIOS”. TERCERO: Con fecha 24 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De las actuaciones de investigación realizadas como consecuencia de la reclamación presentada por la parte reclamante pueden extraerse las siguientes afirmaciones: 1.- Que Servdebt España está apoderada para actuar en nombre y representación de la parte reclamada realizar las gestiones del cobro de deudas de la titularidad de aquella. Y ello a pesar de que Servdebt España manifiesta no tener relación con la parte reclamada, sino con otra sociedad llamada SD IBERIAN PORTFOLIOS, S.A. 2.- Si bien la documentación aportada por SD DEBT acredita que Servdebt España actúa como encargado de tratamiento de los datos cuando realiza las gestiones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 cobro de deudas exigiendo el pago de una deuda contraída con Carrefour y que SD DEBT adquirió en virtud de contrato de compraventa de cartera de créditos de fecha 29/06/2021, así figura en la apostilla de apoderamiento, en los correos electrónicos de requerimiento de pago de la deuda donde figura el Departamento de Recobros de Servdebt España. 3.- La deuda se derivaría de la contratación de una deuda de la Tarjeta Pass por la parte reclamante con Carrefour y la posterior compraventa de una cartera de créditos en fecha 29/06/2021, que supondría la adquisición de la deuda de la parte reclamante incluida en dicha cartera de créditos. 4.- Consta que existe una comunicación de la cesión del crédito a la parte reclamante y que en esta comunicación se indicaba la posibilidad de inclusión en ficheros de solvencia patrimonial en el caso de no pagar la deuda dentro del plazo de 30 días desde la comunicación de la cesión de la deuda. 5.- SD DEBT manifiesta que la deuda de la parte reclamante ya no figura en el fichero de solvencia patrimonial de Asnef, aunque no aporta documentación justificativa de esta afirmación y en el expediente no existe ninguna documentación que corrobore esta información. Que la exclusión del fichero se ha realizado a pesar de que la parte reclamante entiende que su actuación es ajustada a la normativa de protección de datos. 6- En el contrato de la Tarjeta Pass figura que en caso de impago se le podrá incluir sus datos en ficheros de solvencia patrimonial. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Sistemas de información crediticia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 El artículo 20 de la LOPDGDD, que regula los sistemas de información crediticia, dispone en su apartado primero lo siguiente: "1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta." Sobre la forma de llevar a cabo esta notificación, el artículo 40 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo, RLOPD), dispone lo siguiente: “Artículo 40. Notificación de inclusión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 1.El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. 2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos. 4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío. 5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato.” (el subrayado es nuestro) El Tribunal Supremo se ha pronunciado sobre la vigencia del artículo 40 del RLOPD, entre otras, en su STS n.º 945/2022 de 20 de diciembre de 2022, en los siguientes términos: “3.- A falta de un reglamento que desarrolle la nueva ley orgánica, el Real Decreto 1720/2007 sirve de desarrollo reglamentario de la Ley Orgánica 3/2018, necesario para la plena eficacia de esta, sin perjuicio de que hayan quedado derogadas aquellas normas del citado reglamento que "contradigan, se opongan, o resulten incompatibles con lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica", según prevé expresamente el apartado 3.º de la disposición derogatoria única de la Ley Orgánica 3/2018 en relación con las disposiciones de igual o inferior rango. (…) 16.- Como conclusión, podemos afirmar que en el nuevo régimen legal existen tres obligaciones diferenciables:
- i)El acreedor debe informar al afectado, en el contrato o en el momento de requerir el pago, acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe (art. 20.1.c], párrafo primero, de la Ley Orgánica 3/2018, que deroga el art. 39 del reglamento aprobado por el Real Decreto1720/2007, en tanto que este exigía que la información se hiciera cumulativamente en ambos momentos)
- ii)El acreedor, o quien actúe por su cuenta o interés, debe requerir de pago al deudor con carácter previo a la comunicación de sus datos al fichero de morosos ( art. 38.1.c del reglamento aprobado por el Real Decreto1720/2007) y estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de tal requisito y de los demás exigidos por la normativa aplicable, conforme al art 38.3 de dicho reglamento. iii) La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento(UE) 2016/679 dentro de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo (art. 20.1.c], párrafo segundo, de la Ley Orgánica 3/2018). La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos (art. 40.3 de dicho reglamento).” (el subrayado es nuestro) Por tanto, la entidad que mantiene el sistema ha de probar que la notificación fue enviada y que la misma fue notificada, o al menos intentada la notificación, en cuyo caso deberá acreditarse que se siguieron las condiciones previstas en el artículo 40, apartados 4 y 5, del RLOPD, es decir que la notificación se realizó a través de un medio fiable, auditable e independiente de la entidad notificante y que dispone de un procedimiento que le permite conocer si la notificación ha sido objeto de devolución. Según consolidada doctrina de la Audiencia Nacional, recogida, entre otras, en la sentencia de 8/03/2006 (Rec. 319/2004) y sentencia de 16/01/2008 (Rec. 239/2006), cuando se niega la recepción de la comunicación, corresponde la carga de su prueba a quien tiene la obligación de realizarla, sin que sea suficiente acreditación las meras afirmaciones, aunque lo sean mediante certificación, de parte interesada A la vista de evidencias obtenidas en las actuaciones previas de investigación, la parte reclamante era titular de una deuda cierta, vencida y exigible con Servicios Financieros Carrefour, E.F.C., S.A., que cedió el día 29 de junio de 2021 la deuda a SD Debt. Consta igualmente que SD Debt informó a la parte reclamante de que su impago se incluiría en el fichero de impagados de ASNEF en el plazo de 30 días, si no satisfacía la deuda. La prueba de la entrega de esta carta es una manifestación de SERVINFORM, S.A. de que esa carta fue impresa, ensobrada y puesta a disposición dentro de un lote de los servicios postales y una nota de entrega de envíos de HISPAPOST del 3 de agosto de 2021, junto con su albarán de entrega en correos. Además, dicha carta, como decimos, contenía advertencia expresa sobre la posible inclusión en el fichero ASNEF en caso de impago, así como los datos de contacto de la entidad encargada de la gestión de la deuda. Finalmente, SD Debt ha acreditado también que se informó al reclamante sobre el origen de la deuda y la base legitimadora del tratamiento a través del correo postal remitido por SD Debt el día 28 de julio de 2021. Esta carta no resultó devuelta, de acuerdo con el certificado de envío. SERVDEBT ESPAÑA, S.L, en su posición de encargado del tratamiento ha enviado varios mensajes de texto y correos electrónicos al reclamante. Asimismo, en el contrato celebrado entre la parte reclamante y Servicios Financieros Carrefour, E.F.C., S.A, contrato de Tarjeta Pass, consta “El cliente queda informado que, en caso de impago, sus datos podrán ser incluidos en el Servicio de Crédito de Asnef-Equifax” Por tanto, no habiéndose acreditado la vulneración de la normativa de protección de datos imputable a la parte reclamada, procede el archivo de la presente reclamación, de conformidad con lo dispuesto en el artículo 65.5 de la LOPDGDD. III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SD DEBT PORTFOLIOS, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es