1/4 Expediente Nº: E/00234/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ING BANK NV Sucursal en España (ING BANK), en virtud de denuncia presentada por D.D.D., y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 22/11/16 tiene entrada en esta Agencia, escrito de D.D.D., donde se denuncia que: “ING BANK ha incluido sus datos en el fichero de solvencia patrimonial y de crédito ASNEF sin ser cliente de ellos”. Adicionalmente, ha solicitado cancelación de sus datos en los sistemas de la entidad denunciada así como los existentes en los ficheros de solvencia patrimonial y crédito. El denunciante aporta, entre otra, copia de la siguiente documentación: Consulta del fichero ASNEF el 20/10/16, en la que figura inscrita una deuda asociada al denunciante, informada por la entidad denunciada con fecha de alta el 03/09/12 por un importe de 4.125,27 euros. El domicilio asignado al denunciante es: A.A.A., (distinto del que aporta en la denuncia y del que figura en el DNI). Carta de ING BANK el 10/11/16, en la que acusan recibo con fecha 02/11/16 de la solicitud de cancelación de los datos personales existentes en sus ficheros, realizada por el denunciante. Comunican que están revisando el caso de robo de identidad denunciado, pero al mismo tiempo avisan de que mientras las cuentas no sean liquidadas y canceladas previamente, no se pueden cancelar los datos. Mantienen abierta la solicitud de cancelación. Denuncia ante los Mossos d’Esquadra de Lleida, con fecha 21/08/11, en la que el denunciante declara que le fue robada la cartera el 19/08/
- Denuncia ante los Mossos d’Esquadra de Manresa, con fecha 23/04/14, en la que el denunciante declara que el día anterior, 22/04/14, recibió una carta de AGESCO Asesoría de Cobro y Gestión SLC, por la que se le reclama una deuda pendiente de importe 4.641,82 euros derivada de una compra realizada con una tarjeta de ING DIRECT. El denunciante manifiesta que no tiene cuenta bancaria con dicho banco ni tiene ninguna relación con ellos. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa ING BANK, remite la siguiente información: En cumplimiento de la solicitud de cancelación ordenada por el denunciante y tras verificar la documentación aportada por él en la misma, han procedido a: C/ Jorge Juan, 6 28001 – Madrid o Verificar la identidad del denunciante, a través de la identificación efectuada por servicio de mensajería el 24/11/16 o Regularizar con fecha 02/12/16 la posición deudora de una de las cuentas abiertas fraudulentamente a su nombre, asumiendo el importe del saldo deudor sin perjuicio para él y no quedando ninguna factura pendiente de pago. o Cancelar sus datos en los ficheros de solvencia patrimonial y de crédito www.agpd.es sedeagpd.gob.es 2/4 ASNEF y BADEXCUG. o Cancelar las cuentas bancarias con fecha 07/12/
- o Bloquear en sus sistemas los datos personales del denunciante desde 09/12/
- no pudiendo reconocer ningún dato personal inscrito. Aportan un cuadro con los datos personales del denunciante que obraban en sus sistemas, especificando la fuente de la información. Según se observa, el suplantador abrió con fecha 28/11/11 dos cuentas bancarias a través de la Web: una Cuenta Nómina y una Cuenta Naranja. A través de la web cumplimentó la dirección: F.F.F., mientras que en el DNI aportado en la apertura de cuenta figuraba otra dirección, E.E.E.. Asociada a la Cuenta Nómina se encontraban dos tarjetas financieras, una de débito y otra de crédito, junto con un talonario de cheques solicitado desde Internet. En el apartado de comunicaciones con el supuesto denunciante, la empresa denunciada asegura que: o con fecha 28/11/11, tras la apertura de la cuenta a través de Internet, remitió a la dirección aportada por el contratante ( F.F.F.) el correspondiente formulario de apertura de la Cuenta Nómina. o con fecha 14/12/11 remitió el paquete de bienvenida por servicio de mensajería MRW. o con fecha 16/12/11 remitió la tarjeta de crédito. o con fecha 06/06/12 remitió una comunicación informando de la existencia del impago del saldo de sus cuentas. o con fecha 16/10/12, envió un mail informativo relacionado con unos cargos efectuados con la tarjeta financiera. Respecto al procedimiento implantado en la empresa para validar la identidad del contratante, exponen que se puede hacer de forma electrónica o física. En este último caso se puede hacer presentando un documento de identidad en vigor, bien a través de las oficinas de la entidad, bien a través de un servicio de mensajería que acude al domicilio del contratante y comprueba la identidad del mismo, o mediante la apertura de la cuenta en centros comerciales. En este caso se ha realizado mediante el servicio de mensajería. El consentimiento prestado en la contratación lo acreditan con la copia del formulario de apertura de cuenta nómina (no lleva fecha oficial), que lleva la firma del contratante, la copia del DNI que remitió a la entidad y también aportan, y el correspondiente albarán de MRW firmado, Como evidencia de deuda, aportan: o un certificado de deuda pendiente con el saldo deudor del cliente, a fecha 01/10/13, de 3.218,15 euros, el 05/05/
- o copia de los extractos de la Tarjeta Visa Oro, y los movimientos de la cuenta donde puede comprobarse el saldo deudor de la misma. Copia de la carta, con referencia 1 – 04950 – 00007 y fechada a 05/06/12, que remite la entidad denunciada al denunciante a la dirección: C.C.C. en la que se reclama el pago de la deuda de 2.715,26 euros y se advierte de que sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 podrían incluirse en ficheros de solvencia patrimonial de mantenerse la situación en el plazo de 15 días. Certificado emitido por TELEMAIL S. L., empresa externa encargada de remitir las notificaciones, en la que se puede leer que la carta del “kitid 4950 subkitid 0007” fue puesta a disposición del servicio de envíos postales UNIPOST el 07/06/12 dirigida al denunciante a la dirección B.B.B.). No se incluye albarán de la empresa de envíos postales, ni certificado de no devolución. La solicitud de inclusión en los ficheros de solvencia patrimonial se realizó el 31/08/
- Por otra parte, la empresa EQUIFAX IBERICA, S.L. ha remitido la siguiente información pertinente a los efectos de la investigación: A día 16/06/17 no existen operaciones impagadas en ASNEF asociadas al identificador del denunciante siendo dada de baja el 10/12/
- FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II Los hechos expuestos podrían suponer la comisión, por parte de la entidad ING BANK, de una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD). III En el presente caso, D.D.D., tras comprobar, el 20/10/16, que sus datos personales están incluidos en el fichero de solvencia ASNEF por una deuda informada por ING BANK, del cual nunca ha sido cliente, realiza la reclamación el 02/11/16 ante la entidad bancaria y ésta, tras verificar la identidad del denunciante mediante mensajería, procede, el 09/12/16, a dar de baja los datos del denunciante en ASNEF y BADEXCUG, a cancelar las cuentas, desapareciendo el saldo deudor y las facturas pendientes de pago. Todo ello es realizado con anterioridad al requerimiento de información remitido por la AEPD el 19/01/27 a ING BANK, demostrando una actuación diligente en la regularización de la situación fraudulenta, tras la reclamación del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Se desprende además que, los hechos relatados no son contrarios al principio fundamental del consentimiento en el tratamiento de los datos personales, consagrado en el artículo 6 de la LOPD, pues La contratación online por ING BANK, fue diligente ya que la entidad denunciada aporta el DNI del denunciante y la comprobación de la identidad se realiza mediante el envío de un “paquete de bienvenida”, a través de la empresa MRW, quien en la entrega comprueba la identidad y suscribe copia del contrato. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER: AL ARCHIVO de las presentes actuaciones. NOTIFICAR: la presente resolución a ING BANK, y a D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es