1/8 Expediente N.º: EXP202412688 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de julio de 2024, se presentó ante la Agencia Española de Protección de Datos una reclamación dirigida contra RCI BANQUE, S.A. SUCURSAL EN ESPAÑA, con NIF W0014596A (en adelante, RCI) e IBICE DT OPERACIONES, S.L., con NIF B85764678, (en adelante, IBICE), en la que la parte reclamante ponía de manifiesto que con fecha 3 de julio de 2024 recibió en su cuenta bancaria una domiciliación correspondiente a un recibo emitido por IBICE, relativo a un seguro de asesoría jurídica que afirmaba no haber contratado y que tenía relación con la operación de financiación de su vehículo, realizada con RCI. Junto a la reclamación aportó copia de un mensaje de correo electrónico de fecha 9 de julio de 2024, remitido por RCI en respuesta a un mensaje previo de la parte reclamante. RCI le informa de que el alta se realizó a través de un enlace que se le envió y a través del cual introdujo sus datos personales y “también debía marcar el check del consentimiento de la cesión de datos con descarga de condiciones y el de la política de privacidad, así como la aceptación de darse de alta en el servicio. Con lo cual, en ese momento usted aceptó de manera expresa el servicio y dio su conformidad para tenerlo. Por ese motivo tampoco tenemos ningún documento para poderle enviar". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a RCI, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 26 de septiembre de 2024, como consta en el acuse de recibo que obra en el expediente. Con fecha 25 de octubre de 2024 se recibió en esta Agencia escrito de respuesta, en el que RCI puso de manifiesto: “RCI y la Parte Reclamante mantienen una relación comercial fruto de la formalización del contrato de préstamo número ***CONTRATO.1 de fecha 17 de junio de 2021 (en adelante, el “Contrato de Préstamo”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 1. En el momento de formalizar el Contrato de Préstamo, la Parte Reclamante otorgó su consentimiento expreso a que la Entidad pudiera ofrecerle, por cualquier medio, incluso electrónico, productos y servicios comercializados por RCI (propios o de terceros). 2. En base a ese consentimiento, la Entidad pudo dirigir a la Parte Reclamante la comunicación sobre el servicio de Asesoría jurídica prestado por IBICE DT OPERACIONES, S.L. (en adelante, “Protector Lex” o “la mercantil”). En concreto, la Entidad remitió un SMS a la Parte Reclamante el 22 de junio de 2021 a las 12:48 horas acerca del servicio prestado por Protector Lex. En ese mismo SMS se facultaba a la Parte Reclamante a oponerse al tratamiento de sus datos con esa finalidad, proporcionándole un enlace de “NO+Publi”. 3. A la fecha de recepción del requerimiento de información de la AEPD, la Parte Reclamante no había revocado el consentimiento que prestó libremente a RCI el 17 de junio de 2021, por ninguno de los canales habilitados por la Entidad. 4. Como se ha introducido más arriba, RCI remitió a la Parte Reclamante una comunicación, vía SMS, sobre el servicio de Asesoría jurídica prestado por Protector Lex. Dicho SMS contenía un enlace al que la Parte Reclamante, si estaba interesada en el servicio, tenía que acceder, clicar sobre “Alta particular”, y continuar el proceso de contratación en la web de Protector Lex. En esa pantalla el cliente también podía darse de baja, simplemente clicando en “Darse de baja” al final de la comunicación. A continuación, se reproduce la comunicación a la que accedió la Parte Reclamante. Se incluyen capturas de pantalla de la comunicación. Posteriormente, en la web de la mercantil, la Parte Reclamante debía rellenar un formulario con determinada información (nombre, apellidos, teléfono y correo electrónico) y tres checkbox independientes para: .a aceptar las condiciones del servicio y la remisión de sus datos de contacto y bancarios (IBAN) por parte de RCI a Protector Lex, para dar cumplimiento a los fines relacionados con el contrato (previa descarga); .b aceptar la política de privacidad de Protector Lex (previa descarga) y, en su caso; .c consentir la recepción de comunicaciones comerciales por parte de la mercantil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 5. Dicho lo anterior, es relevante resaltar que la Parte Reclamante, al recibir el SMS de RCI, tuvo que realizar hasta cuatro acciones que demuestran, primero, que estaba interesada en los servicios, ya que accedió al enlace proporcionado en el SMS y clicó sobre “Alta particular” y, segundo, que estaba informada sobre el tratamiento que se iba a efectuar de sus datos por parte de RCI y prosiguió, de forma totalmente voluntaria, con el proceso de contratación del servicio; a saber, rellenó el formulario en la web de Protector Lex y consintió expresamente la remisión de sus datos de contacto y bancarios a Protector Lex, para dar cumplimiento a los fines relacionados con el contrato, haciendo click en el checkbox correspondiente, el 22 de julio de 2021. 6. La participación de RCI en el proceso concluyó el mismo 22 de julio de 2021. La contratación del servicio se produjo entre la Parte Reclamante y Protector Lex y, por tanto, la Entidad es ajena a la misma y a cualquier gestión que se haya producido con ocasión de ese contrato, y en concreto, el cargo en cuenta que alega haber recibido la Parte Reclamante la de la mercantil en 2024 (véase párrafo segundo de los “hechos que motivan la reclamación”). 7. Como medida inmediata y pese a que la Parte Reclamante no ha interesado la revocación de su consentimiento de conformidad con el artículo 7.3. del Reglamento (UE) 2016/2019 dirigiéndose a la Entidad, RCI ha procedido a revocar el consentimiento que ésta le había otorgado, ya que, de su reclamación, parece inferirse que es esa su voluntad. Lo anterior, sin perjuicio de que la Parte Reclamante pueda volver a otorgarlo en cualquier momento, si quisiera. TERCERO: Con fecha 11 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las citadas actuaciones previas de investigación se requirió información a RCI e IBICE. 1º En relación con la información facilitada por RCI se pone de manifiesto lo siguiente: - Se reitera la formalización por la parte reclamante de un contrato de préstamo, fechado a 17 de junio de 2021, que incluyó el otorgamiento “de forma libre y voluntaria su consentimiento expreso a que la entidad pudiera ofrecerle, por cualquier medio, incluso electrónico, productos y servicios comercializados por RCI, propios o de terceros”. Para ello la parte reclamante clicó en la casilla habilitada a tal efecto y firmó electrónicamente la documentación contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 En el expediente obra una copia del citado contrato, que incluye marcada la casilla para el otorgamiento del citado consentimiento. - Sobre la base de lo expuesto, con fecha 22 de junio de 2021 se remitió a la parte reclamante (al número de teléfono ***TELÉFONO.1) un SMS informando acerca del servicio de Asesoría jurídica prestado por IBICE. El contenido del mensaje era el siguiente: “Por ser cliente especial Dacia te regalamos 6 meses GRATIS de Asesoría Jurídica PROTECTOR LEX. Más info Particulares ***URL.1 Info Empresas ***URL.2 NO+Publi ***URL.3” En el expediente obra una captura de pantalla de los sistemas de RCI que refleja el envío del citado SMS a la parte reclamante. - RCI afirma que, tras recibir el SMS, la parte reclamante tuvo que acceder al enlace proporcionado para “Particulares”, prosiguiendo el proceso de contratación del servicio ‘Protector Lex’ en el sitio web de IBICE, dónde tuvo que rellenar un formulario con información personal (nombre, apellidos, teléfono y correo electrónico) y tres checkbox independientes para:
- a)aceptar las condiciones del servicio y la remisión de sus datos de contacto y bancarios (IBAN) por parte de RCI a IBICE, para dar cumplimiento a los fines relacionados con el contrato (previa descarga);
- b)aceptar la política de privacidad del servicio ‘Protector Lex’ (previa descarga) y, en su caso;
- c)consentir la recepción de comunicaciones comerciales por parte de la mercantil. RCI señala que el proceso de contratación consta concluido el 22 de julio de 2025 a las 12:48:49 horas, es decir, el mismo día en el que consta acreditada la remisión del SMS. - RCI subraya que no intermedió en la contratación del servicio, que la comunicación de datos a IBICE debía ser expresamente autorizada por el cliente y que se proporcionaron mecanismos para oponerse al tratamiento de sus datos personales, a través del enlace “No+Publi” proporcionado en el SMS o clicando sobre “Darse de baja” en el sitio de ‘Protector Lex’ al que se redirigía desde el SMS. - Finalmente, RCI insiste en que la parte reclamante pudo haber manifestado su oposición al tratamiento de sus datos personales poniéndose en contacto a través de los distintos canales habilitados por RCI y que, sin embargo, no consta que lo hiciera. 2º En relación con la información facilitada por IBICE se pone de manifiesto lo siguiente: - IBICE y RCI suscribieron un contrato fechado a 15 de abril de 2011, cuyo objeto es la colaboración entre las partes para la comercialización de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 servicios de ‘Protector Lex’ a los clientes de RCI. En este sentido, RCI se compromete a facilitar a sus clientes un enlace a través del cual pueden activar el servicio. Este enlace es https://protectorlex.es/portal/formulario-49.html, señalándose que es exclusivo para clientes de RCI. Al acceder, los clientes se encuentran con un formulario de recogida de datos y enlaces a las condiciones de servicio y la política de privacidad. Se incluyen tres casillas desmarcadas referidas a: 1º Aceptar las condiciones del servicio (disponibles en enlace de descarga) y la comunicación de sus datos identificativos y bancarios por parte de RCI a IBICE. 2º Aceptar la política de privacidad (disponible en enlace de descarga). 3º Aceptar la recepción de comunicaciones comerciales. - IBICE manifiesta que tiene constancia de que la parte reclamante activó el servicio el día 22/07/2021 a las 12:48:59, después de haber accedido al enlace https://protectorlex.es/portal/formulario-49.html, cumplimentado el formulario de recogida de datos y marcado las dos casillas con los dos consentimientos necesarios para activar el servicio (aceptación de las condiciones del servicio y consentimiento para que RCI comunique sus datos identificativos y bancarios a IBICE; y aceptación de la política de privacidad, tras haber descargado ambos textos). - Tras la activación del servicio se remitió de manera automática un mensaje de correo electrónico a ***EMAIL.1 (coincidente con el de la parte reclamante), confirmando la activación del servicio. IBICE, dado el período de tiempo transcurrido, no conserva una copia del mensaje original remitido, pero sí facilitas capturas del aplicativo que reflejan la fecha en que se rellenaron los datos del formulario, la fecha de aceptación de los términos, la fecha y hora de envío del mensaje de confirmación, la dirección del destinatario y la dirección IP asociada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Presunción de inocencia El artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta que el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario” En relación con lo anterior, conviene señalar que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o existan dudas racionales sobre la concurrencia de todos los elementos objetivos y subjetivos que integran la infracción, aplicando el principio “in dubio pro reo” en caso de duda. IV Conclusión En el presente caso, la parte reclamante denunciaba la facturación por parte de IBICE, a fecha 3 de julio de 2024, de un servicio relativo a un seguro de asesoría jurídica que afirmaba no haber contratado. Las actuaciones previas de investigación desarrolladas han acreditado que la parte reclamante suscribió con RCI el 17 de junio de 2021 un contrato de préstamo, en el contexto de la operación de financiación de un vehículo. Entre las cláusulas recogidas en el citado contrato figuraba la posibilidad de que RCI, previo consentimiento de la parte reclamante pudiera ofrecerle productos y servicios comercializados por RCI o por terceros. En la documentación obrante en el expediente figura una copia del citado contrato suscrito por la parte reclamante, que incluye una casilla específica para otorgar el citado consentimiento que aparece marcada. Asimismo, ha quedado acreditado que RCI remitió el 22 de junio de 2021 al número de teléfono ***TELÉFONO.1 (el mismo facilitado por la parte reclamante en su reclamación) un SMS con un enlace al sitio web https://protectorlex.es/portal/formulario-49.html. Además, IBICE registró la activación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 del servicio el 22 de junio de 2021 a las 12:48:59, remitiendo confirmación de la contratación al correo electrónico ***EMAIL.1 (la misma que la facilitada por la parte reclamante en su reclamación). Por lo tanto, en base a lo indicado en los párrafos anteriores, y con los elementos que obran en el expediente, no se cuenta con indicios racionales suficientes respecto a la existencia de una infracción en el ámbito competencial de esta Agencia que pueda ser sea imputada a ninguna de las dos entidades reclamadas. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a RCI BANQUE, S.A. SUCURSAL EN ESPAÑA e IBICE DT OPERACIONES, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es