1/8 Expediente N.º: EXP202401942 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 23 de enero de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00005245878 ante la Agencia Española de Protección de Datos contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada o BBVA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada, ha incluido sus datos personales en sistemas comunes de información crediticia, sin requerirle previamente el pago de forma fehaciente. Tras solicitar la supresión ante ***EMPRESA.1, ésta confirma la existencia de deuda y su permanencia en el fichero. Junto a la reclamación se aporta, entre otra documentación: -Escrito del parte reclamante dirigido a ***EMPRESA.1 de fecha 27/12/2023 en el que se manifiesta lo siguiente: “… Que ejercitando mi derecho de acceso, rectificación , cancelación y oposición, adjuntándole , para ello , copia de mi DNI, solicito de esa entidad que cancele todos mis datos, tanto personales como económicos, de sus archivos, al menos de forma cautelar o temporal , puesto que ni la entidad ***EMPRESA.1 ni ninguna de las entidades que me han incluido en sus archivos me ha notificado , de forma fehaciente, en ningún momento, dicha inclusión , además no he autorizado a ninguna de las entidades supuestamente acreedoras que cedan mis datos a terceros, ni en el contrato ni posteriormente , además de que no me han informado acerca de la posibilidad ni en el contrato ni posteriormente, de mi inclusión en dichos sistemas… Las deudas por las que me han incluido en sus archivos son contradictorias, no son exactas, incluyen cláusulas y penalizaciones abusivas y, al mismo tiempo, intereses usurarios y, por lo tanto, no son ciertas, otras están prescritas o ha caducado su inclusión o están pagadas…” -Escrito de ***EMPRESA.1 dirigido a la parte reclamada de fecha 8/1/2024 en el que se indica, entre otras cosas lo siguiente: “…Lamentamos no poder proceder a la cancelación de los datos que se adjuntan a continuación por haber sido confirmados por la entidad informante del mismo al fichero ***FICHERO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Nombre: A.A.A. …. Entidad informante: BBVA Nº de operación: ***REFERENCIA.1 Importe impagado:1.679,70 Producto financiado: Póliza de crédito … Fecha primer impago: 23/08/2023 Fecha última actualización: 7/01/2024 Nombre: A.A.A. …. Entidad informante: BBVA Nº de operación: ***REFERENCIA.2 Importe impagado:2.381,04 Producto financiado: Póliza de crédito … Fecha primer impago: 17/08/2023 Fecha última actualización: 7/01/2024 En relación con este asunto, le manifestamos que nos limitamos a ejecutar en el fichero ***FICHERO.1 las instrucciones que nos transmite nuestra entidad informante en orden a incluir o canelar los datos. Por consiguiente, para cualquier aclaración adicional o para realizar el pago de la deuda señalada debería Vd. Ponerse en contacto con dicha entidad.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7/02/2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 21/03/2024 se recibe en esta Agencia escrito de respuesta de la parte reclamada dirigido a la parte reclamante, en el que manifiesta que han recibido el escrito enviado y que se está gestionando la solicitud con el número de referencia ***REFERENCIA.3. TERCERO: Con fecha 10 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: Con fecha 6/05/2024 se recibe en esta Agencia escrito de respuesta de B.B.B., abogada, en nombre y representación de la parte reclamada en el que manifiesta, entre otras cosas lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 ….el Servicio de Atención al Cliente (en adelante, el “SAC”) comunicó por escrito a A.A.A. la decisión acordada por mi representada con respecto a la reclamación presentada ante esta Agencia, tal y como se acredita en el Documento nº1 que se aporta. La referida comunicación se envió por vía postal a la dirección facilitada por A.A.A. a través de la reclamación presentada ante esta Agencia, esto es, ***DIRECCION.1 …esta parte quiere manifestar en primer lugar que, tal y como le ha comunicado el SAC a A.A.A., a día de hoy BBVA no está cediendo sus datos personales a los ficheros de solvencia económica y patrimonial. ….esta parte quiere poner de manifiesto que A.A.A. fue debidamente informado de la existencia de una deuda con mi representada, así como de las consecuencias de su impago mediante el oportuno envío de los preceptivos requerimientos previos enviados al domicilio otorgado al efecto por A.A.A. (domicilio que consta en la Base de Datos de la Entidad) así como a través de la aplicación web de BBVA a la que, como se verá, A.A.A. accedió el mismo día en que le fue enviado el requerimiento previo de pago. Respecto a la deuda derivada de la operación n.º ***REFERENCIA.4, la misma le fue requerida al pago a A.A.A. en fecha 9 de septiembre de 2021 sin que dicho requerimiento haya sido devuelto por ningún motivo por lo que se confirma que el mismo fue debidamente recepcionado por A.A.A..” Se acompaña la carta dirigida a la parte reclamada de fecha 9/09/2021 en la que se le informa de la cantidad pendiente de pago, entre las cuales se encuentra una de las deudas objeto de este expediente (n.º ***REFERENCIA.4), con los siguientes importes: Principal: 580,23 euros Intereses de demora: 4 euros Gastos: 30 euros Total producto: 614,23 Continua en su escrito manifestando lo siguiente: “Que a fecha de la presente no consta que la carta de Notificación de Requerimiento Previo de Pago con ref. ***REFERENCIA.5, generada en ***EMPRESA.1, en fecha 9/9/2021 procesada en el prestador de servicio ***EMPRESA.2 (como entidad sucesora de ***EMPRESA.3) con fecha 9/9/21 y puesta a disposición del servicio de envíos postales con fecha 10/09/21; dirigida a A.A.A., con dirección en ***DIRECCION.1, haya sido devuelta por motivo alguno al apartado de Correos designado a tal efecto. Se adjunta el citado requerimiento como documento nº 2. Respecto a la deuda derivada de la operación n.º ***REFERENCIA.6 mi representada le informó y requirió al pago de la misma a través de la aplicación web de BBVA. Comprobamos como dicho requerimiento de pago fue enviado por mi representada a A.A.A. en fecha 16 de agosto de 2023:” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 A tales efectos, se adjuntan dos capturas de pantalla de la aplicación citada donde figura el envío del “Requerimiento primer pago inversión” enviado a las 3:56:55 del día 16/08/2023 con documento adjunto: Requerimiento pago deuda en el que detalla la deuda por un préstamo contrato número ***REFERENCIA.7, con un principal de 441,83, intereses de demora 9,10 y un total importe impagado 450,93. Alude a la posibilidad de comunicarlo a los ficheros de morosidad. Continúa indicando la parte reclamada lo siguiente: “Del mismo modo tal y como ha determinado el departamento de (…) de BBVA, tras llevar a cabo un análisis de los accesos a Banca a Distancia A.A.A., se comprueba que: Se ha identificado en ***REFERENCIA.8 un acceso a la Banca a distancia llevada a cabo por el usuario de Banca a Distancia con identificador ***REFERENCIA.9, vinculado al cliente A.A.A. con ***NIF.1 el día 16/08/2023. El histórico de comunicaciones refleja que el día 16/08/2023 a las 03:56:55 se producía el envío al buzón digital del cliente A.A.A. con ***NIF.1, la comunicación requerimiento primer pago inversión irregular. Por lo expuesto queda acreditado que mi representada requirió al pago a A.A.A. respecto de la deuda derivada del contrato n.º ***REFERENCIA.6 en fecha 16/08/2023 y que, ese mismo día, el cliente accedió a la banca online por lo que tuvo pleno acceso a dicho requerimiento de pago.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales al incluir los datos personales de la parte reclamante en el fichero de solvencia patrimonial. Asimismo, la parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: “responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, sólo junto con otros, determine los fines y medios del tratamiento. III Obligación incumplida. Licitud del tratamiento En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el mismo sentido, el artículo 20 de la LOPDGDD indica lo siguiente: Artículo 20. Sistemas de información crediticia 1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 (…)
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. En el presente caso, y con respecto a la deuda con nº ***REFERENCIA.7, los datos personales de la parte reclamante habrían sido incluidos en el fichero de solvencia patrimonial a instancia de la parte reclamada sin que se haya podido acreditar la notificación previa reclamando la deuda existente y avisando de su posible inclusión en dicho fichero, por lo que el tratamiento carecería de la licitud requerida en el artículo transcrito. En fecha 04/01/2024 la parte reclamante envió escrito a ***EMPRESA.1 solicitando la cancelación de sus datos y manifestando que las deudas no eran correctas. Por su parte, en fecha 08/01/2024 ***EMPRESA.1 envió carta dirigida a la parte reclamante, indicando que en respuesta a su escrito recibido en sus oficinas el día 4/1/2024 lamentaban no poder proceder a la cancelación de los datos por haber sido confirmados por la entidad informante del mismo al fichero ***FICHERO.1. Sin embargo, en fecha 02/05/2024 la parte reclamada comunicó a la parte reclamante que se procedía a la baja cautelar de sus datos personales en dichos ficheros, constatándole que a esa fecha BBVA no estaba cediendo sus datos personales a los ficheros de solvencia económica y patrimonial. De igual forma, en fecha 06/05/2024 la parte reclamada envió escrito a esta Agencia indicando todo lo detallado en los antecedentes y dando por válidas las notificaciones de ambos requerimientos de pago asociadas a las dos deudas incluidas en los ficheros de solvencia patrimonial. Sin embargo, no constaría acreditada la notificación enviada por la aplicación web reclamando la deuda, a pesar de que BBVA manifiesta en su escrito de respuesta al traslado de la reclamación que hubo un acceso por parte de la parte reclamante. Por lo que no se puede entender efectuado el preceptivo requerimiento de pago, previo a la inclusión en el fichero de morosos. La parte reclamada envió por la aplicación web la reclamación de la deuda, confirmando en su escrito de respuesta al traslado de la reclamación que hubo un acceso por parte de la parte reclamante pero no habría acreditado la notificación. En un principio, los hechos descritos podrían suponer una infracción del artículo 6.1 del RGPD, por supuesta ilicitud del tratamiento, ya que la notificación de la inclusión de los datos personales en ficheros de solvencia ha de poder ser acreditada por la entidad reclamada pudiendo aportar los siguientes documentos: -copia de la carta comunicando la inclusión; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 -certificado de empresa- externa a la que se haya encargado la generación, ensobrado y puesta a disposición de la carta en correos o empresa de mensajería (trazabilidad), así como el justificante de correos o mensajería de haber recibido la carta; -y certificado de empresa externa de no devolución de la carta. En el presente caso, la parte reclamada, en su respuesta a la solicitud de información requerida por la AEPD, en el caso del requerimiento de pago enviado por la web, no acredita la recepción de éste, por lo que no se puede entender efectuado el preceptivo requerimiento de pago, previo a la inclusión en el fichero de morosos. No obstante, en el presente caso cabría aplicar lo dispuesto en el art. 65.6 de la LOPDGDD, que establece lo siguiente: “Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica.” En base al citado artículo, en este caso, si bien la parte reclamada no acredita la notificación del requerimiento del pago y su posible inclusión en los ficheros de solvencia, habría procedido a dar de baja los datos personales de la parte reclamante de los ficheros de solvencia económica y patrimonial por lo que ya no está cediendo sus datos personales a partir del 02/05/2024, extremo que ya comunicó a la parte reclamante. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, se considera que se han adoptado medidas para el cumplimiento de la normativa que justifican el archivo de la reclamación. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible acreditar la infracción de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es