E-00319-2014

1/8 Expediente Nº: E/00319/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SALUS INVERSIONES Y RECUPERACIONES, S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16/12/2013 tuvo entrada en la Agencia Española de Protección de Datos escrito de denuncia interpuesto por D. A.A.A., de la que se desprende que la entidad SALUS INVERSIONES Y RECUPERACIONES, S.L. (en lo sucesivo SALUS) procedió a incluir sus datos personales en el fichero ASNEF sin que previamente le hubiera requerido el pago de la deuda ni le hubiera informado de la posibilidad de inclusión en ficheros de información de solvencia patrimonial y crédito. Junto con la denuncia se aportaba la siguiente documentación de relevancia: - Copia de informe de EQUIFAX de 16/12/2013 que refleja que sus datos personales se encuentran incluidos en ASNEF a instancia de, entre otras entidades, SALUS, con fecha de alta 26/09/2013 como consecuencia de una deuda por valor de 115,78 €. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de inspección E/00319/2014, que se transcribe: “ACTUACIONES REALIZADAS: Con fecha 27/01/2014 se solicitó a SALUS información relativa D. A.A.A., NIF C.C.C., en relación a la práctica del requerimiento de pago efectuado como paso previo a su inclusión en ficheros de información de solvencia patrimonial, así como respecto al procedimiento que, en su caso, tenga implementado la entidad para practicar tal requerimiento de pago. De la respuesta recibida se desprende lo siguiente: - En relación a la dirección de contacto del denunciante que consta en los sistemas de SALUS, la entidad manifiesta que aquélla es C/ B.B.B., Valencia. Se aporta impresión de pantalla al respecto. - SALUS manifiesta que tiene suscrito un contrato con la empresa EQUIFAX IBÉRICA S.L. (en adelante EQUIFAX) a los efectos de realizar la gestión del envío de los requerimientos previos de pago relativos a los crédito adquiridos a FRANCE TELECOM ESPAÑA S.A.U. Se aporta copia de contrato de 14/08/2013. SALUS aporta copia de comunicación personalizada de fecha 22/08/2013 dirigida a nombre del denunciante a C/ B.B.B., 46026 Valencia. En la misma se le informa de la existencia de una deuda pendiente por valor de 115,78 €, - C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 fruto de un crédito adquirido por SALUS a FRANCE TELECOM ESPAÑA SAU. El escrito de comunicación de la cesión se acompaña de otro en el que SALUS define su posición como nuevo acreedor, informa de las vías para efectuar el pago y señala que se procederá a la inclusión de sus datos personales en ficheros de solvencia patrimonial y crédito en caso de impago. La comunicación aparece identificada con un código de barras. - Para certificar el envío de la comunicación mencionada en el apartado anterior SALUS aporta certificado emitido por BB DATA PAPER, como prestador del servicio de generación de notificaciones de inclusión de Asnef Equifax, Servicios de Información sobre Solvencia y Crédito SL y de Equifax Ibérica SL, en virtud de contrato marco de 11/03/2013. En el certificado se establece que: “con fecha 20/08/2013 se realizó el proceso de generación e impresión de 185894 notificaciones de inclusión, cuyas referencias son NTI **********, la primera y **********1, la última. Que en dicho proceso se generó la notificación de referencia **********2 A.A.A.. Referencia que consta cifrada en el código de barras superior derecho, de la comunicación que se acompaña. Dicha notificación, se generó e imprimió, sin que generase incidencia alguna que alterase el resultado final del procedimiento. Con fecha 23 de agosto de 2013, se puso a disposición del Servicio de Correos para su posterior distribución por parte de dicho Servicio, un total de 185894 notificaciones de referencias ************ la primera y **********1, la última. Dentro de las cuales, se encontraba la notificación de inclusión de referencia **********2 A.A.A. Todo el procedimiento de generación de notificaciones de inclusión, se desarrolló de acuerdo a las instrucciones y pautas recogidas en el Contrato Marco anteriormente mencionado, sin que se produjesen a lo largo de sus distintas fases, hechos que impidiesen el normal desarrollo del mismo”. - SALUS aporta certificado de 06/02/2014 emitido por EQUIFAX en el que se señala que no consta que la carta de notificación con referencia **********2 hubiera sido devuelta.” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 El artículo 11 de la LOPD “Comunicación de datos”, dispone: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
2. a)Cuando la cesión está autorizada en una Ley.
3. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
4. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte el artículo 347 del Código de Comercio establece: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 a éste”. Y el artículo 348 de la misma norma establece que: “El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. El artículo 347 y 348 del Código de Comercio vendría en principio a habilitar la cesión de los datos asociados a la deuda en cuestión sin contar con el consentimiento del denunciante, en atención a la excepción al principio del consentimiento explicitada en el artículo 11.2.
5. a)de la LOPD. Por otra parte el artículo 4.3 de la LOPD dispone: que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La Directiva 95/46 CE del Parlamento Europeo y del Consejo, que traspone la LOPD, por su parte, establece en su artículo 6. I.
6. d)que “Los Estados miembros dispondrán que los datos personales sean….
7. d)exactos, y cuando sea necesario, actualizados. Deberán tomarse todas las medidas razonables para que los datos inexactos o incompatibles, con respeto a los fines para los que fueron recogidos o para los que fueron tratados posteriormente, sean suprimidos o rectificados”, indicando el apartado 6.2 que: “Corresponderá a los responsables del tratamiento garantizar el cumplimiento de los dispuesto en el apartado I”. La obligación establecida en el artículo 4 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos. En los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias los datos son facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2 el citado artículo: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Y el punto 4 de este mismo artículo 29 de la LOPD dispone también que: ”Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. Por su parte, el artículo 37.1 y 3 del RLOPD establece que: “1. El tratamiento de datos de carácter personal sobre solvencia patrimonial y crédito, previsto en el apartado 1 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, se someterá a lo establecido, con carácter general, en dicha ley orgánica y en el presente reglamento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 (…) 3. De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. De este modo, el artículo 38 del mismo Reglamento de Desarrollo de la LOPD determina que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
8. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
9. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
10. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 2. (…). 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Y el artículo 39 del RLOPD, sobre “Información previa a la inclusión”: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
11. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. Cabe recordar que ha quedado acreditado en el expediente que, en fecha 22/07/2013 FRANCE TELECOM ESPAÑA, S.A.U. (en la actualidad ORANGE ESPAGNE, S.A.U., en lo sucesivo ORANGE) y SALUS suscribieron un contrato para la cesión de crédito en virtud del cual ORANGE cedió a SALUS la plena titularidad de los créditos cedidos. Como parte de la cartera cedida a ORANGE, se encontraba una deuda asociada al denunciante por valor de 115,78 €. Si bien el denunciante manifiesta no habérsele requerido el pago con carácter previo a la inclusión de sus datos en el fichero asnef, debe tomarse en consideración que entre la documentación aportada por SALUS consta carta de fecha 22/08/2013 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 emitida por ORANGE y SALUS a nombre de la denunciante en la que se informaba que ORANGE había cedido a SALUS la deuda que mantenía por importe de 115,78 €. Consta asimismo carta de la misma fecha emitida por SALUS, instando el pago de dicha deuda e informando que, en caso contrario, sus datos podrían ser incluidos en ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Ambas comunicaciones fueron objeto de envío a la siguiente dirección asociada al denunciante: dirección C/ B.B.B., Valencia. A mayor abundamiento, SALUS contrató el servicio de envío de cartas de requerimiento de pago con la sociedad EQUIFAX IBERICA, S.L., quien a su vez contrató con BB DATA PAPER, S.L., la cual con fecha 23/08/2013 con Referencia **********2 procedió a enviar la preceptiva carta a la antes citada dirección que consta en los sistemas de información de la misma, no constando como devuelta, por lo que cabe inferir que tal notificación se realizó, si bien cabría instar a que, en adelante, debería acreditarse la efectiva entrega en el servicio de correos de las comunicaciones de cesión de deuda mediante certificación de correos identificando la referencia de las cartas puestas a disposición de correos para su remisión a los deudores. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). Por tanto a tenor de lo argumentado, cabe concluir que el denunciante mantuvo relación contractual con la entidad –ORANGE—originado una deuda que no fue liquidada; que la misma fue objeto de compraventa (art. 347 Código Comercio) por la Entidad--SALUS—la cual, junto con ORANGE POPULAR procedió a comunicar la cesión del crédito y asimismo a requerir de pago, que al no ser atendido motivó la inclusión de los datos del denunciante en el fichero de solvencia patrimonial y crédito— Asnef (Equifax)—. Cabe por tanto concluir que, tanto la cesión de datos del denunciante por parte de ORANGE a SALUS, como la inclusión de sus datos en el fichero asnef por parte de SALUS se ajusta a lo preceptuado en la LOPD por cuanto, estando exceptuada del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 requisito del consentimiento al amparo de lo dispuesto en el artículo 11.2.
12. a)de la LOPD, habida cuenta la existencia de norma legal habilitante de la cesión (artículos 347 y 348 del Código de Comercio), y considerándose suficientemente acreditada la comunicación a la denunciante de la cesión del crédito cuyo impago originó la inclusión de sus datos en el fichero asnef, así como requerimiento previo de pago a dicha inclusión. No obstante se requiere para que en el futuro se acredite la efectiva entrega en el servicio de correos de la comunicación de cesión de deuda y requerimiento de pago mediante certificación de correos identificando la referencia de las cartas puestas a disposición de correos para su remisión a los deudores que incluya la afectada. II Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. REQUERIR para que en el futuro se acredite la efectiva entrega en el servicio de correos de la comunicación de cesión de deuda mediante certificación de correos identificando la referencia de las cartas puestas a disposición de correos para su remisión a los deudores que incluya la afectada. NOTIFICAR la presente Resolución RECUPERACIONES, S.L. y a D. A.A.A.. a SALUS INVERSIONES Y De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es