1/7 Expediente N.º: EXP202413586 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de septiembre de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que sus datos personales figuran inscritos en Asnef en relación con una deuda que no se le ha requerido previamente, ni se le ha notificado su inclusión. Junto a la notificación se aporta escrito de contestación de EQUIFAX-ASNEF de fecha 20/09/2024 en el que se indica que: la deuda por la que se le incluyó en dicho fichero se dio de alta a petición del BBVA en fecha 16/03/2023 y los datos de esa deuda fueron visibles para su consulta a partir del 15/04/2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 04/10/2024 como consta en el acuse de recibo que obra en el expediente. Tras la recepción, la parte reclamada solicitó una ampliación de plazo que fue concedida el 8/10/2024 de conformidad con el artículo 32 LPACAP, sin que conste posterior contestación de la parte reclamada. TERCERO: Con fecha 5 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 18/08/2025 se realizó requerimiento de información a la parte reclamada, respondiendo esta el 17/09/2025. En el mismo asegura haber remitido respuesta a esta AEPD en contestación a las actuaciones de traslado a las que se ha hecho referencia en el antecedente de hecho segundo, sin que tal contestación conste en los sistemas de esta Agencia. En cualquier caso, en lo que se refiere a la reclamación, señala lo siguiente: 1. Que ha procedido a la baja cautelar de los datos de la parte reclamante y así se lo ha comunicado mediante escrito de 29 de octubre de 2024. 2. Que la inscripción en el sistema de información crediticia se produjo previa comunicación a la parte reclamante. En este sentido, asegura que realizó un requerimiento de pago el 14 de febrero de 2023: “La referida comunicación con número de referencia (…) se envió por correo electrónico a la dirección facilitada por A.A.A. a través de la reclamación presentada ante esta Agencia, esto es, ***EMAIL.1. En consecuencia, mi do respuesta a la solicitud efectuada por A.A.A.”. 3. Señala, asimismo, que, en el contrato suscrito entre las partes, se incluía en la página 11: “23. Información y consulta a los sistemas de información crediticia. Para analizar la viabilidad económica de la solicitud de la Tarjeta, BBVA podrá consultar los datos que figuren a nombre del Titular en los sistemas de información crediticia gestionados por Asnef-Equifax Servicios de Información sobre Solvencia y Crédito S.L (ASNEF) y Experian Bureau de Crédito, S.A. (EXPERIAN), así como los que dan empresas de valoración crediticia como Equifax Ibérica, S.L. Asimismo, en caso que el Titular incumpla con sus obligaciones de pago, BBVA podrá comunicar los datos de su deuda a las entidades que gestionan los sistemas de información crediticia siempre que:
- i)Se trate de una deuda cierta, vencida y exigible, cuya existencia o cuantía BBVA no haya reclamado por vía administrativa, judicial u otra vía alternativa para la resolución de conflictos.
- ii)No hayan transcurrido 5 años desde la fecha de vencimiento de la obligación de pago. La base de legitimación es el interés legítimo de BBVA en cumplir con los criterios de crédito responsable”. 4. Asimismo, señala que en la “Política de Protección de Datos Personales” (pág. 7/19), firmado por la reclamante el mismo día, se recoge lo siguiente: “3. Informar y Consultar a los sistemas de información crediticia. Para analizar la viabilidad económica de tus solicitudes y operaciones, BBVA necesita consultar los datos que figuren a tu nombre en los sistemas de información crediticia gestionados por las siguientes entidades: Asnef-Equifax Servicios de Información sobre Solvencia y Crédito S.L (ASNEF), Experian Bureau de Crédito, S.A. (EXPERIAN). Te informamos que podemos comunicar los datos de tus deudas a las entidades que gestionan los sistemas de información crediticia cuando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 • Se trate de una deuda cierta, vencida y exigible que haya resultado impagada, cuya existencia o cuantía no hubieses reclamado por vía administrativa, judicial o arbitral. • No hayan transcurrido 5 años desde la fecha en que tenía que haberse saldado la deuda, del vencimiento de la obligación o del plazo concreto, si esta fuera de vencimiento periódico. La base de legitimación de cualquier comunicación a los sistemas de información crediticia, así como la consulta para solicitudes referidas a créditos al consumo es el interés legítimo de BBVA en cumplir con los criterios de crédito responsable. La base de legitimación para la consulta referida a solicitudes sobre créditos inmobiliarios por razón de la Ley 5/2019, de 15 de marzo, reguladora de los contratos de crédito inmobiliario, es el cumplimiento de una obligación legal. La base de legitimación es el cumplimiento de una obligación legal (Ley 10/ 2010, de 28 de abril, de Prevención del Blanqueo de Capitales y Financiación del Terrorismo y la Ley 5/2015 de fomento de la financiación empresarial y su normativa de desarrollo).”” Junto a su escrito, remite diversa documentación que acredita los extremos anteriores, así como relacionada con la deuda en cuestión. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6.1 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Sistemas de información crediticia El artículo 20 de la LOPDGDD, que regula los sistemas de información crediticia, dispone en su apartado primero lo siguiente: "1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta." IV Conclusión En el presente caso, la parte reclamante presentó escrito de reclamación por la inclusión de sus datos en el sistema de solvencia financiera ASNEF por el impago de una deuda de BBVA, sin que le hubiera sido notificada la inclusión de sus datos en este fichero. El alta de los datos de la parte reclamante se produce en fecha 16/03/2023. No obstante, durante las actuaciones previas de investigación, la parte reclamada habría acreditado que, con carácter previo a la mencionada inclusión se había informado a la parte reclamante sobre la posibilidad de su inclusión en caso de deuda, tanto a través de un requerimiento de pago de 14/02/2023 que no consta devuelto, como a través del propio contrato suscrito entre las partes que dio origen a la deuda, entre otros. En consecuencia, no existen indicios racionales suficientes de infracción en el ámbito competencial de la AEPD. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: “
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997 que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En el presente caso, como se ha expuesto, no se han encontrado indicios racionales suficientes que permitirían imputar a la parte reclamada la comisión de infracciones de la normativa de protección de datos personales, por lo que no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. Por tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La resolución se hará pública una vez sea firme en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la LPACAP, y de conformidad con lo establecido en los arts. 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es