E-00352-2017

1/6 Expediente Nº: E/00352/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA Y SORIA, S.A., en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 07/12/2016, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA Y SORIA, S.A. (en lo sucesivo CAJA ESPAÑA), por los siguientes hechos:  Que la entidad denunciada ha incluido sus datos en el fichero de solvencia patrimonial y de crédito ASNEF sin requerimiento previo de pago.  Que, tras sentencia judicial de 31/07/2013 que desestimaba la demanda de la deuda por parte de la entidad denunciada, ésta no procedió a cancelar los datos personales del denunciante comunicados al fichero ASNEF. Estos siguieron constando en dicho fichero hasta 27/11/2014, cuando el denunciante ejerció su derecho de cancelación ante la empresa que gestiona dicho fichero, EQUIFAX. El denunciante estima que dichos datos personales deberían haber sido cancelados cautelarmente en el momento en que se cuestionó la exactitud de los mismos con la presentación de la demanda judicial.  Que 2 años después de la desestimación de la deuda y estando ya la cuenta bancaria cerrada por litigio, recibió 3 cartas procedentes de INTRUM JUSTITIA IBÉRICA, S.A.U. (en lo sucesivo INTRUM), con fechas 02/07/2015, 21/08/2015 y 24/09/2015, en las que se le volvía a reclamar la deuda. El denunciante estima que su relación contractual con el banco había terminado y, por consiguiente, éste carece de autorización para ceder sus datos de solvencia patrimonial y crédito a la empresa de recobro.  Que la empresa denunciada ha reabierto la mencionada cuenta bancaria, con fecha 09/01/2016, sin su autorización ni la de su hermano, ambos únicos titulares de la cuenta.  Que la empresa denunciada ha realizado consultas a los ficheros de solvencia y patrimonial y crédito después de haber terminado su relación contractual con el denunciante al menos en tres ocasiones con el objetivo de recabar evidencias para fundamentar sus alegaciones en el proceso judicial abierto en base a la demanda interpuesta por el denunciante en enero de 2016 por vulneración de su honor. Aporta el denunciante abundante documentación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - INTRUM en su escrito de fecha de registro 10/02/2017 ha remitido la siguiente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 información pertinente a los efectos de la investigación:  Contrato de prestación de servicios con fecha 15/05/2013, firmado con BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA y SORIA, S.A.U. actuando como encargado del tratamiento de datos para la reclamación de deudas y gestión de cobro de los clientes deudores. Tiene una duración inicial de 6 meses, prorrogable automáticamente por períodos mensuales. En el contrato se especifica que “el servicio a prestar consiste en la gestión de cobro continuada de los expedientes que BANCO CEISS remita a INTRUM para la prestación del servicio.” (cláusula tercera) y “En los supuestos en los que BANCO CEISS, como Responsable de los Ficheros, facilite el acceso de INTRUM a datos de carácter personal procedentes de ficheros de los que BANCO CEISS sea responsable, siempre que ello resulte necesario para que INTRUM pueda llevar a cabo, directa o indirectamente, la prestación de todos o parte de los servicios que constituyen el objeto del presente contrato, INTRUM asumirá la condición de Encargado del Tratamiento, en los términos de la LOPD” (cláusula séptima)  Impresión de pantalla de los datos que facilitó BANCO CAJA ESPAÑA para la prestación de los servicios de reclamación de deuda, relativos a la deuda del denunciante con dicha entidad. En ella figura, entre otras, la deuda de importe 1.122,46 euros objeto de la denuncia, enviada a la empresa de recobro el día 01/07/2015.  Carta informativa enviada en fecha 02/07/2015, carta recordatoria enviada en fecha 21/08/2015 y carta “abogado” enviada en fecha 24/09/2015, todas con destinatario el denunciante y coincidentes con las que aportó el mismo en la denuncia.  Declaración de que en relación al resto de documentación solicitada, la empresa terminó la prestación del servicio en Diciembre de 2015 y carece de la misma. - CAJA ESPAÑA en su escrito de fecha de registro 21/02/2017 ha remitido la siguiente información pertinente a los efectos de la investigación:  Impresión de una lista con las direcciones asociadas al DNI, nombre y apellidos solicitados: o (CL/....1) (PALENCIA) o (CL/....2) VALLADOLID  Captura de pantalla a fecha 14/02/2017 donde se muestran los productos y servicios asociados al denunciante.  Diligencia de ordenación en el que se pospone al día 14/11/2016 el señalamiento de la diligencia final del proceso judicial llevado en el Juzgado de Primera Instancia e Instrucción nº1 de ***LOC.1, instado por el denunciante. - EXPERIAN en su escrito de fecha de registro 21/02/2017 ha remitido la siguiente información pertinente a los efectos de la investigación:  A fecha 07/02/2017 no figuran deudas informadas por la entidad denunciada asociadas al denunciante inscritas en el fichero BADEXCUG.  Constan dos entradas asociadas a deudas informadas por la entidad denunciada, con fechas 16/08/2011 y 20/12/2011, relativas a un “Descubierto en cuenta corriente”, con importes 436,59 euros y 384,13 euros.  En el histórico de actualizaciones de BADEXCUG relativas a las deudas asociadas al denunciante inscritas por la entidad denunciada, figuran las siguientes deudas informadas por la entidad denunciada asociadas al denunciante, ya canceladas en BADEXCUG: o C/ Jorge Juan, 6 28001 – Madrid Producto: Descubierto en Cuenta Corriente. www.agpd.es sedeagpd.gob.es 3/6  Fecha de alta y baja: 14/08/2011-21/082011 por un saldo impagado de 436,59 euros o Producto: Descubierto en Cuenta Corriente.  Fecha de alta y baja: 18/12/2011-27/11/2014 por un saldo impagado de 1.122,46 euros (a partir de 11/11/2012) FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. III El artículo 6.1 de la LOPD, dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV En el presente caso, el denunciante en su escrito de denuncia plantea determinadas cuestiones: la inclusión en ficheros de morosidad sin haberle requerido la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 deuda y habiendo sido anulada por sentencia judicial; la cesión de deuda inexistente a empresas de recobros; el acceso a ficheros consultando sus datos, etc. - En primer lugar, la inclusión de sus datos en el fichero ASNEF a consecuencia de una deuda que fue declarada inexistente sin el preceptivo requerimiento de pago previo. De la documentación aportada se desprende que la entidad financiera CAJA ESPAÑA, de la que era cliente el denunciante como titular de una cuenta corriente junto con su hermano, había interpuesto demanda en petición de procedimiento monitorio ante el Juzgado de 1ª Instancia e Instrucción nº 1 de Palencia en la que solicitaba se requiriera al denunciante el importe que tenía pendiente de pago: 1.122,46 euros, si bien en sentencia de 31/07/2013 se desestimaba íntegramente la misma al ponerse de manifiesto que la cláusula en la que fundamentaba su reclamación se entendía como abusiva. Es cierto, que los datos personales del denunciante fueron incluidos en los ficheros ASNEF y BADEXCUG el 19/02/2013 y el 20/02/2013 respectivamente, por la deuda demandada, permaneciendo incluidos durante la tramitación de la demanda ante el Juzgado y que, sólo ante el ejercicio del derecho de cancelación ante el responsable del fichero ASNEF, estos fueran dados de baja según consta en la comunicación remitida en respuesta al citado derecho el 27/11/2014. No obstante, la citada infracción se encontraría prescrita a la luz de lo señalado en el artículo 47 de la LOPD que establece: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. En este caso, la supuesta vulneración de la LOPD cometida como consecuencia de la inclusión de los datos de carácter personal del denunciante en el fichero ASNEF por una deuda declarada incierta, la infracción que se podría alegar sería la contemplada en el artículo 44.3 de la LOPD, relativo a las infracciones graves y en concreto el apartado
2. c)es decir “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en el 27/11/2014, que fue cuando se produjo la baja a instancias del denunciante de los datos de carácter personal en el fichero, siendo el termino final la fecha de entrada de la denuncia en la AEPD el 07/12/2016. - En segundo lugar, la sentencia citada declara la nulidad de la cláusula de intereses moratorios por abusiva pero de la misma no se infiere la inexistencia de deuda o la nulidad de la misma por lo que habría que señalar que dirimir si la deuda existe o no, si era correcta o si su cuantía era exacta con carácter definitivo e irrevocable, etc. deben determinarlo los órganos competentes; a la Agencia le compete determinar si se han cumplido los requisitos legal y reglamentariamente establecidos para la inclusión de los datos personales del afectado en los ficheros de morosidad, en el presente caso ASNEF y BADEXCUG. O como dice la sentencia de 3 de julio de 2007 de la Audiencia Nacional: “Otra cosa es que para ejercer su competencia (refiriéndose al Director de la Agencia) haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros”. Pero esas valoraciones sí deben servir a la Agencia para saber que la información trasmitida al fichero contaba con la suficiente veracidad, tal como demanda la Ley. - En cuanto a la cesión de la misma deuda a empresas de recobro con posterioridad a la cancelación de los datos en los ficheros, en el expediente consta que la entidad denunciada, CAJA ESPAÑA, y la empresa de gestión de impagados, INTRUM, mantienen una relación contractual, cuyo objeto es la gestión del cobro de deudas, de conformidad con lo establecido en el artículo 12 de la LOPD, por lo que la cesión o comunicación de datos a la citada empresa para el desenvolvimiento de dicha relación no se considera vulneración de la LOPD, toda vez que es conforme con la normativa de protección de datos. El citado artículo 12.1 de la LOPD permite que el responsable del fichero, habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. - Por último, el acceso o consulta a los datos incluidos en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulada en el artículo 42 del citado Reglamento en el que se establece lo siguiente: “1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
3. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida. (…) Los datos del denunciante incluidos en el fichero BADEXCUG fueron consultados por CAJA ESPAÑA en virtud de la relación que les une. La entidad aporta impresión de pantalla de sus sistemas informáticos en la que consta la cuenta nº ***CC.1 con fecha de apertura 23/05/2001 y de la que no consta cancelación y, además, mantiene una deuda derivada de la relación contractual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 En consecuencia, la consulta de los datos personales registrados en un fichero común con el fin de evaluar la solvencia económica del se encuentra amparada por el artículo 42 del RLOPD, no siendo preciso recabar el consentimiento del afectado para llevarla a cabo. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a BANCO DE CAJA ESPAÑA DE INVERSIONES, SALAMANCA Y SORIA, S.A., y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es