1/8 Expediente Nº: E/00375/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INVERSIONES COLECTIVAS EN LA RED, S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 12 de enero de 2016, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que la Unión de Consumidores de Andalucía -UCA/UCE- y D. F.F.F., en calidad de Letrado, han facilitado sus datos personales a la empresa INVERSIONES COLECTIVAS EN RED SL (ICIRED) para el requerimiento de pago de una supuesta deuda. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Respecto del fichero de morosidad de ICIRED: Tal y como consta en el Acta de Inspección E/375/2016-I/1 realizada en la empresa INVERSIONES COLECTIVAS EN LA RED, S.L. (ICIRED SL) en fecha 4 de abril de 2016: 1. ICIRED SL es una empresa cuyo objeto social es la prestación de servicios de información crediticia a particulares y empresas a través de Internet. En el momento de la inspección la empresa constaba de seis trabajadores. 2. ICIRED SL consta en el Registro General de Protección de Datos como responsable del fichero “Expedientes información comercial” inscrito con el código ***CÓD.1 y con la finalidad de “datos proporcionados por usuarios referentes a expedientes judiciales y expedientes de impagos comerciales, contratos, requerimientos, sentencias, efectos bancarios, implicados en la relación comercial. Publicaciones de incidencias comerciales por impagos entre empresas/empresarios. Solicitudes de altas y bajas de publicación, gestión del expediente”. 3. ICIRED SL ha desarrollado una Plataforma para la prestación de los servicios de morosidad accesible en la dirección www.iciredimpagados.com que tiene por objeto el mantenimiento de un fichero multisectorial con información aportada por los acreedores o por quienes actúen por su cuenta o interés, relativo a la morosidad tanto de personas físicas (particulares y autónomos) como de personas jurídica y que permite publicar las deudas derivadas del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 incumplimiento a aquellos que ostenten un interés legítimo en obtener la información. 4. La Plataforma de ICIRED SL se encuentra en funcionamiento respecto de la información que proporciona sobre empresas y en unos meses se encontrará totalmente implementada la información sobre particulares o autónomos ya que para estos colectivos se han establecido unos requisitos más estrictos para la publicación de sus datos de morosidad no estando a fecha de la Inspección operativa. 5. El acreedor tiene que ser cliente de ICIRED SL para poder comunicar datos de sus deudores y debe registrarse en la Plataforma cumplimentando una serie de datos personales, eligiendo una identificación de usuario (dirección de correo electrónico) y una contraseña junto con la aceptación de las Condiciones generales de Contratación que se encuentra publicadas en la web. Los acreedores, ya sea una empresa o una persona física, que quieran utilizar la Plataforma de ICIRED para la publicación de datos de morosidad deben de aceptar las “Condiciones generales de Contratación de productos y servicios de ICIRED SL” que se encuentra publicadas en la web. En estas condiciones consta un apartado respecto del cumplimiento del artículo 12 de la LOPD y una referencia al compromiso de adoptar las medidas de seguridad previstas en el Reglamento de Desarrollo de la LOPD. Respecto de las obligaciones del cliente figura, entre otras cláusulas, que el cliente será el responsable del contenido del tratamiento debiendo asegurarse que “la información facilitada al fichero es veraz, exacta, completa y puesta al día de forma que refleje la situación actual de sus deudores” “… incluirán en el fichero de impagados aquellas deudas, que de acuerdo con la LOPD y normativa de desarrollo cumplan con los requisitos”, entre estos requisitos, ICIRED SL ha establecido que deben aportar una prueba documental de la obligación incumplida así como un requerimiento previo de pago al deudor en el que se le informe que en caso de impago sus datos serán incorporados al fichero de ICIRED. También figura que si el cliente no hubiese realizado el requerimiento previo al que obliga la Ley, mediante la aceptación de las condiciones generales, éste autoriza expresamente a ICIRED SL la realización de dicho requerimiento en su nombre y para ello será imprescindible disponer de los datos identificativos y de domicilio del deudor. Asimismo figura un apartado denominado cumplimiento del artículo 12 de la LOPD. 6. En el caso de que el acreedor no sea quién va a introducir en la Plataforma los datos del deudor, sino que lo realice una tercero en su nombre, deben de firmar el documento “Autorización para publicar incidencias en el fichero ICIRED” con el objetivo de tener constancia de que el tercero que comparece en nombre del acreedor tiene su consentimiento para representarlo. 7. El registro de impagados de una persona física obliga al acreedor a cumplimentar los datos del deudor: nombre, apellidos, DNI/NIE, país, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 provincia, localidad, código postal y dirección, y opcionalmente teléfono de contacto y email. Posteriormente se incluyen los datos sobre la deuda: origen, tipo de reclamación y, al menos un documento acreditativo de la deuda. Respecto de los datos del denunciante en el fichero de morosidad de ICIRED: 8. En el fichero ICIDED constan los datos de D. A.A.A. con NIF J.J.J. como deudor por un importe de 526,00€ Figura como estado INVÁLIDA. Constan cinco anotaciones respecto de esta deuda con las siguientes referencias: Requerimiento previo pago. Hoja encargo G.G.G.. Ejercicio derecho ARCO Autorización para publicar incidencias. Segunda notificación al afectado que ha sido incluido en el fichero. A este respecto, ICIRED SL manifiesta: Los datos de esta incidencia, tanto de acreedor como deudor, constan fuera del fichero, puesto que se ha ejercitado el derecho de cancelación y ha sido confirmado por el acreedor la cancelación de la deuda, por tanto no figuran en el fichero ICIRED. Los datos que se mantienen son lo exclusivos a efectos de una posible reclamación, y únicamente son accesibles a través del usuario administrador. La documentación que fundamentaba la deuda era una la hoja de encargo profesional que fue comprobada por el equipo jurídico de ICIRED, verificando que estaba debidamente suscrita por ambas partes, con fecha de inclusión del presupuesto de los honorarios y de los servicios que se van a realizar. Por ello, se le envió al denunciante el requerimiento de pago. Como el requerimiento de pago fue debidamente entregado, pasado el plazo conferido al efecto, se procedió a incluir la incidencia en el fichero. Posteriormente, el denunciante ejercitó su derecho de cancelación y se procedió a cancelar la deuda, comunicándolo al deudor. En ningún momento se ha realizado ninguna consulta sobre estos datos ya que el módulo de consultas de personas físicas no se encuentra todavía operativo. 9. Respecto del motivo por el cual la incidencia consta como INVALIDA, ICIRED C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 S.L. manifiesta que anteriormente las operaciones en el fichero ICIRED tenían únicamente dos estados VALIDA o INVALIDA y las incidencias adolecían de algún defecto no subsanable o, en este caso, en el que se ejercía un derecho de cancelación ratificado por el acreedor, se procedía a sacar la deuda inmediatamente del fichero a todos los efectos y se catalogaban como INVALIDAS. 10. Se verifica que constan en el expediente en papel que figura en ICIRED SL respecto de esta incidencia, la siguiente documentación: Copia de autorización para publicar incidencia en fichero ICIRED cumplimentado a nombre de D. B.B.B.. Requerimiento previo de pago remitido al denunciante informado de la deuda por importe de I.I.I. que mantiene con D. B.B.B.. Notificación de inclusión en el fichero ICIRED remitida al denunciante. Hoja de encargo profesional suscrito entre el denunciante y D. documento acreditativo de la deuda. B.B.B. Solicitud de cancelación de datos remitido por el denunciante a ICIRED SL de fecha 4 de enero de 2016. Confirmación del acreedor de la existencia de la deuda. Correo electrónico, de fecha 24 de enero de 2016, en el que D. B.B.B. no se opone a la cancelación. Correo electrónico, de fecha 26 de enero de 2016, en el que se informa al denunciante de la cancelación. Correo electrónico, de fecha 26 de enero de 2016, en el que se informa al acreedor de la cancelación. Copia del escrito remitido al denunciante por envío postal certificado informando de la cancelación de sus datos del fichero ICIRED. Respecto del denunciado 11. Los datos de dirección postal de D. B.B.B. no figuran en ningún documento aportado en la denuncia ni en la documentación adjunta al Acta de Inspección E/375/2016-I/1. En los correos electrónicos intercambiados entre D. B.B.B. e ICIRED SL, consta la dirección de correo D.D.D. como dirección de contacto. Con fecha 25 de abril de 2016 se remite requerimiento de información a D. B.B.B. a la dirección de correo E.E.E. sin obtener respuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 12. Desde la Inspección de Datos se realizan búsquedas en Internet: En la web de la Abogacía Española (www.abogacia.
- es)donde constan los datos del denunciado pero ningún dato de contacto. En Internet, encontrando información sobre el denunciado en una web de Mediadores (www.bitarbask.org) en la que figura la dirección de correo electrónico H.H.H.. 13. Con fecha 1 y 17 de junio de 2016 se solicita colaboración a la entidad responsable de la web www.bitarbask.org requiriendo datos de contacto de D. B.B.B., siendo contestado por la entidad en fechas de registro de entrada 10 y 17 de junio y 7 de julio de 2016 donde nos informan que los únicos datos que disponen son la dirección de correo electrónico H.H.H. proporcionada por el denunciado. 14. Con fecha 23 de junio de 2016 se remite requerimiento de información a D. B.B.B. a la dirección de correo H.H.H. sin obtener respuesta. 15. Con fecha 23 de junio de 2016 se remite requerimiento de información a UCA/UCE y en la respuesta recibida en fecha 7 de julio de 2016, UCA/UCE manifiesta que la entidad no dispone de datos de contacto del denunciado. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que el denunciante ha sido cliente de la Unión de Consumidores de Andalucía por los servicios contratados de defensa jurídica en “Demanda Judicial Cláusula Suelo/Abusiva contra entidad bancaria”, constando en la hoja de encargo profesional los honorarios, y como letrado D. F.F.F.. A mayor abundamiento es de significar que la documentación que fundamentaba la deuda era la hoja de encargo profesional de fecha 10 de febrero de 2014, estando debidamente suscrita por ambas partes, con fecha de inclusión del presupuesto de los honorarios y de los servicios que se iban a realizar. Por ello se envió al denunciante el requerimiento de pago, y con fecha 12 de enero de 2016 se le notifica su inclusión en el fichero de morosidad ICIRED, por importe de I.I.I. €, derivado del incumplimiento del contrato de prestación de servicios celebrado en fecha 10 de febrero de 2014 que origina esta deuda, siendo la fecha de inclusión del dato en el fichero el 12 de enero de 2016. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de veintinueve de abril de 2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación” o como se recoge en la sentencia de la Audiencia Nacional de diez de marzo de 2015 al señalar que: “por tanto, ningún reproche cabe hacer a la actuación de Telefónica Móviles España S.A. en este ámbito sancionador, pues como ya se ha expuesto actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica (…) En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex artículo 130 LRJPAC por vulneración del principio de consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea” De acuerdo a estos criterios, se puede entender que INVERSIONES COLECTIVAS EN LA RED: empleó una razonable diligencia, ya que existe una deuda, el denunciante ha presentado una provisión de fondos, por lo que hay una relación contractual. Por último ante la solicitud de cancelación de los datos por el denunciante a INVERSIONES COLECTIVAS EN LA RED el 4 de enero de 2016, y no oposición por parte del acreedor D. C.C.C., la entidad denunciada procedió a la cancelación de sus datos del fichero ICIRED. IV Finalmente señalar, que esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la exactitud de la deuda, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para su tratamiento. La determinación de la legitimidad de una deuda basada en la interpretación del contrato suscrito o de su cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. V Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a INVERSIONES COLECTIVAS EN LA RED, S.L. una vulneración de la normativa en materia de protección de datos Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a INVERSIONES COLECTIVAS EN LA RED, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es