1/6 Expediente N.º: EXP202414196 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 18 de agosto de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra ING BANK N.V., SUCURSAL EN ESPAÑA con NIF W0037986G (en adelante, la parte reclamada o ING). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que en fecha 27 de marzo de 2024, se personó en la entidad ING para solicitar la subrogación de su préstamo hipotecario preexistente con ***ENTIDAD.1. ING le solicita documentación concerniente al mismo, para su aprobación por el departamento de riesgos y más tarde, con fecha 3 de mayo de 2024, le confirma la parte reclamada la viabilidad económica de la operación y a su vez le solicitan los datos de su gestor en ***ENTIDAD.1. Además, expone la parte reclamante que el día 7 de mayo de 2024 solicita a ING que le confirmen las condiciones del préstamo antes de proceder a indicarles el nombre de su gestor en ***ENTIDAD.1. Así las cosas, le informan que ya habían contactado con su gestor de ***ENTIDAD.1, y la parte reclamante les advierte que no está conforme porque no les había autorizado, a lo que le responden que es el procedimiento que ellos tienen establecido, acceder al gestor aunque no les haya autorizado. Posteriormente, con fecha 8 de mayo de 2024, ING le da a conocer su procedimiento donde enseñan que acceden al gestor de la entidad subrogada es una de las fases de este. La parte reclamante aporta copia de las conversaciones mantenidas con la parte reclamada a través del servicio de chat relativas a la subrogación del préstamo hipotecario, durante el período comprendido entre el 27 de marzo de 2024 y el 15 de mayo de 2024, así como capturas de pantalla de algunos mensajes intercambiados a través de WhatsApp, fechados los días 6, 7, 8, 13 y 15 de mayo de 2024. SEGUNDO: En fecha 15 de octubre de 2024 la Agencia Española de Protección de Datos acuerda inadmitir a trámite la reclamación presentada por la parte reclamante. TERCERO: En fecha 30 de octubre de 2024 la parte reclamante presenta recurso de reposición contra la Resolución dictada por esta Agencia y en fecha 12 de diciembre de 2024, la AEPD acuerda estimar el mismo y admitir a trámite la reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 formulada por la parte reclamante de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - El 26 de marzo de 2024 la parte reclamante solicita por el canal telefónico, el estudio de subrogación de su préstamo hipotecario y desde ese momento el proceso es asistido por un agente hipotecario de ING a disposición de la parte reclamante. - La subrogación y la modificación de los préstamos hipotecarios forma parte del procedimiento establecido en el artículo 2 de la Ley 2/1994, que regula la subrogación y la modificación de los Préstamos Hipotecarios. En el artículo 2 de la Ley 2/1994, de 30 de marzo, sobre subrogación y modificación de préstamos hipotecarios (modificado por la Ley 5/2019, de 15 de marzo, reguladora de los contratos de crédito inmobiliario) se indica que, “Artículo 2. Requisitos de la subrogación. El deudor podrá subrogar a otra entidad financiera de las mencionadas en el artículo anterior sin el consentimiento de la entidad acreedora, cuando para pagar la deuda haya tomado prestado el dinero de aquélla por escritura pública, haciendo constar su propósito en ella, conforme a lo dispuesto en el artículo 1.211 del Código Civil. La entidad que esté dispuesta a subrogarse presentará al deudor una oferta vinculante en la que constarán las condiciones financieras del nuevo préstamo hipotecario. La aceptación de la oferta por el deudor implicará su autorización para que la oferente se la notifique a la entidad acreedora y la requiera para que le entregue, en el plazo máximo de siete días naturales, certificación del importe del débito del deudor por el préstamo hipotecario en que se ha de subrogar”. - La solicitud de subrogación de la hipoteca de la parte reclamante se formaliza mediante la firma, por su parte, del formulario de apertura, Solicitud de Hipoteca, con fecha 18 de abril de 2024, y de la Oferta Vinculante de Subrogación, firmada y entregada a ING con fecha 20 de abril de 2024. Constan ambos documentos firmados por la parte reclamante. - Se constata que, en el documento Oferta Vinculante de Subrogación figuran el nombre, apellidos y DNI de la parte reclamante, así como las condiciones financieras de la oferta, incluyendo, además de las condiciones económicas ofertadas por ING, la obligación de que ING contacte con la entidad bancaria del deudor (***ENTIDAD.1), obligación que deriva del artículo 2 de la Ley 2/1994, de 30 de marzo, según el cual la aceptación de la oferta por el deudor C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 implica su autorización para que la entidad oferente notifique a la entidad acreedora actual y le requiera la certificación del importe del débito pendiente. - ING señala que con fecha 3 de mayo de 2024, ING solicita a la parte reclamante los datos de contacto de su banco o gestor y, con fecha 6 de mayo de 2024, traslada al gestor de su oficina de ***ENTIDAD.1 la Oferta Vinculante de Subrogación firmada por la parte reclamante. Asimismo, indica la parte reclamada que el proceso descrito no vincula a la parte reclamante con ING, y la anterior dispone de un plazo de quince días naturales desde el 6 de mayo de 2024, para comunicar a ING si desea continuar o no con el proceso de subrogación del préstamo hipotecario. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6.1 del RGPD señala: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Conclusión En el presente caso, la parte reclamante solicitó a ING la subrogación de su préstamo hipotecario preexistente con ***ENTIDAD.1. Asegura la parte reclamante que, sin su autorización, ING se dirigió a ***ENTIDAD.1, por lo que, asegura, habría realizado un tratamiento ilícito de sus datos. No obstante, durante las actuaciones previas de investigación se ha obtenido copia de una Oferta Vinculante de Subrogación firmada por la parte reclamante el 20 de abril de 2024 y entregada a ING en esa misma fecha. En este sentido, el artículo 2 de la Ley 2/1994, de 30 de marzo, la aceptación de la oferta por el deudor (la parte reclamante en este caso) implica su autorización para que la entidad oferente (la parte reclamada) notifique a la entidad acreedora actual (***ENTIDAD.1) y le requiera la certificación del importe del débito pendiente. En consecuencia, la actuación de ING se realizó conforme a la normativa vigente, sin que pueda apreciarse tratamiento ilícito de los datos de la parte reclamante en esa comunicación. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 “
- b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997 que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
- a)La prueba indiciaria ha de partir de hechos plenamente probados.
- b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En el presente caso, como se ha expuesto, no se han encontrado indicios racionales suficientes que permitiesen imputar a ING la comisión de infracciones de la normativa de protección de datos personales, por lo que no cabe estimar enervado el derecho a la presunción de inocencia que le ampara. Así pues, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ING BANK N.V., SUCURSAL EN ESPAÑA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es