E-00616-2017

1/7 Expediente Nº: E/00616/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A. en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 12/12/2016 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo, la denunciante) en el que expone que el 31/10/2016, con ocasión de un estudio de viabilidad para la concesión de un préstamo hipotecario, tuvo conocimiento de que sus datos figuraban incluidos en el fichero de solvencia patrimonial ASNEF desde julio de 2013 por un saldo deudor de aproximadamente 3.500 euros, informados por la entidad SERVICIOS FINANCIEROS CARREFOUR, E.F.C.,S.A., (en lo sucesivo, CARREFOUR EFC o la denunciada). Añade que no reconoce como propia la deuda que le atribuyen y que no se ha beneficiado de ningún crédito de CARREFOUR EFC desde el año 2013 Aporta copia de su NIF y de una carta recibida de EQUIFAX, de fecha 16/11/2016, en la que le comunican que, de acuerdo con su solicitud, registrada en la entidad el 04/11/2016, realizadas las comprobaciones pertinentes, se ha procedido a “subsanar” el error en el identificador ***NIF.1., del que es titular. Le remiten también el resultado de la consulta efectuada por razón de su NIF al fichero ASNEF sin que consten operaciones vinculadas a sus datos. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A. en su escrito de fecha de registro 02/03/2017 (número de registro 071026/2017) ha remitido la siguiente información pertinente a los efectos de la investigación:  Que el suplantador se personó en sus establecimientos el 04/11/2014 (error tipográfico, ya que el contrato que aportan está firmado con fecha 04/11/2012) para contratar la tarjeta PASS, aportando copia de su DNI, documento que “tenía una clara apariencia de autenticidad, corroborada por el hecho de que los datos identificativos en él contenidos coincidían con las nóminas aportadas por el propio cliente.” (se refieren a la primera hoja de la libreta bancaria). Además, el suplantador declaró en el propio contrato que “son ciertos los datos aportados en este documento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7  Aportan la documentación que presentó el suplantador: o La copia del DNI, que está asociada a una persona llamada B.B.B., tiene un número de identificador incorrecto ( ***NIF.2, cuya letra de control debería ser “J” y no “R”, por el algoritmo por el que se calcula dicha letra). Además, la tipografía del número de identificador y nombre tanto en el anverso como en el reverso, así como el domicilio ( C/....1 (TOLEDO), es distinta del resto de campos. Adicionalmente, las letras del anverso (“LGD”) no cuadran con las iniciales del nombre y apellidos supuestos (“LGB”). Por todos estos motivos es claro que se trata de una falsificación, que no fue detectada por la empresa denunciada porque “a primera vista parece veraz y auténtico.” o La copia de la primera hoja de la libreta bancaria, emitida en 31/07/2012, en la que también se observa un cambio en la tipografía del titular de la libreta ( B.B.B.).  Copia del contrato de tramitación de una tarjeta Pass de Carrefour, que firmó el suplantador con la empresa denunciada el día 04/11/2012, proporcionando el nombre B.B.B. y siendo registrado con DNI ***NIF.1.. La tarjeta se contrata con una línea de crédito de 1.800 euros y una mensualidad de crédito de 54 euros. La cuenta bancaria que se proporciona no se corresponde siquiera con la libreta bancaria que se ofrece como prueba de identidad. El contrato se encuentra firmado por el suplantador en sus cuatro páginas.  Impresión de pantalla de sus sistemas de información con fecha 20/02/2017, donde constan los datos de cliente asociados al contratante de la tarjeta Pass. Se verifica que los datos son los que constan en el DNI falsificado y en el contrato.  En el escrito de alegaciones exponen que en Julio 2013, tras haber sido requerida la deuda por importe de 3.332,64 euros que el cliente había contraído con ellos y sin haber obtenido respuesta, dicha deuda fue comunicada a ASNEF para su inclusión en el registro de morosidad.  Copia del certificado expedido por EQUIFAX IBERICA S.L. a fecha 23/02/2017, (en calidad de prestador de servicio de gestión de cartas devueltas de notificación de requerimiento previo de pago, de CARREFOUR en virtud del Contrato Marco celebrado el 01/04/2010), el cual certifica que no consta que el requerimiento previo de pago de referencia ***REF.1, generado en EQUIFAX en fecha 14/05/2013, procesado en el prestador de servicio BB DATA PAPER S.L. con fecha 15/05/2013 y puesto a disposición del servicio de envíos postales con fecha 17/05/2013, dirigido a B.B.B., a la dirección C/....1 (TOLEDO) haya sido devuelto por motivo alguno al apartado de Correos designado a tal efecto.  Copia del testimonio notarial suscrito a fecha 23/02/2017 que hace constar que la notificación de número de referencia ***REF.1 dirigida a B.B.B., pertenece a un conjunto de notificaciones que fueron procesadas en 15/05/2013 y puestas en el Servicio Postal de correos en fecha 17/05/2013.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” II Hemos de indicar, en primer término, cuál es el marco normativo en el que han de valorarse los hechos expuestos en la denuncia. Entre los principios de protección de datos a los que la LOPD dedica el Título II figura el del consentimiento, recogido en el artículo 6 bajo la rúbrica “Consentimiento del afectado”, precepto que dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 4.3 de la LOPD se refiere al principio de exactitud o veracidad, manifestación del principio de calidad de los datos, a tenor del cual “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la citada Ley Orgánica 15/1999 establece en sus apartados 2 y 4, respectivamente: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Paralelamente el Reglamento de Desarrollo de la LOPD, aprobado por el R.D. 1720/2007, de 21 de diciembre, (en lo sucesivo RLOPD), en su artículo 38 y bajo la rúbrica “Requisitos para la inclusión de los datos” dispone: “1. Solo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).” III La denuncia que nos ocupa versa sobre el tratamiento de un dato personal de la denunciante, su NIF ***NIF.1., efectuado por CARREFOUR EFC sin su consentimiento, toda vez que ese dato se incorporó a sus ficheros a raíz del contrato que suscribió en el año 2013 con un tercero que se identificó como B.B.B.. El impago por el tercero de la deuda derivada del contrato suscrito con CARREFOUR, EFC, motivó que se incluyera a la denunciante en un fichero de morosidad por una deuda que no le pertenecía. Así pues, la inclusión en ASNEF del NIF de la denunciante no respetó la exigencia del artículo 38.1.a, del RLOPD ya que respecto a la afectada la deuda informada al citado fichero no era cierta CARREFOUR EFC, en su respuesta al requerimiento informativo de la Inspección de la AEPD, de fecha 02/02/2017,ha explicado que el 02/11/2012 B.B.B. (el cliente) se personó en su establecimiento para la contratación de la tarjeta “Pass”. La entidad nos ha facilitado una copia del contrato suscrito, que se encuentra firmado si bien no tiene fecha, y una copia de los siguientes documentos que recabó del cliente con ocasión de la contratación con objeto de acreditar su identidad: La copia de un NIF en el que figura como titular B.B.B. y el número “ ***NIF.2”. La primera hoja de una “Libreta de Ahorro” de la entidad BANKIA a nombre del contratante, emitida el 31/07/2012. La denunciada ha aportado también una impresión de pantalla con los datos del contratante que obran en sus sistemas informáticos, lo que permite constatar que en sus ficheros el NIF asignado a B.B.B. no es “ ***NIF.2” -que es el dato que figura en la copia del DNI que éste entregó a la entidad y que CARREFOUR EFC ha remitido a la AEPD-, sino el “ ***NIF.1.” – esto es, el NIF del que la denunciante es titular-. Sobre esta cuestión cabe indicar que la letra que corresponde a un determinado número de NIF ( por lo que aquí interesa, la letra “J” para el número ***NIF.1.) se calcula por un algoritmo matemático. De ahí que la disparidad existente entre el dato del NIF que aparece en la copia del documento de identidad que el tercero contratante facilitó a la denunciada y el dato que obra en los ficheros de CARREFOUR, EFC, y que posteriormente comunicó al fichero ASNEF –que coincide con el NIF de la afectadapodría explicarse por el hecho de que se detectara el error en la letra por el sistema y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 éste hubiera hecho la correspondiente corrección. Hemos de subrayar que no obstante las anteriores precisiones, el documento de identidad que CARREFOUR EFC recabó del cliente, cuya copia ha aportado, reviste a simple vista apariencia de veracidad y autenticidad, sin perjuicio de que un análisis más riguroso revele varias irregularidades que alertan sobre su veracidad. IV Sentado lo anterior, es necesario recordar que la responsabilidad sancionadora presupone la concurrencia del elemento subjetivo de la infracción, requisito esencial en tanto rige en nuestro Derecho sancionador el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición para que nazca la responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE es imprescindible su existencia para imponerlas. La Ley 40/2015 de Régimen Jurídico del Sector Público dispone en su artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” Como ha declarado reiteradamente la Audiencia Nacional, Sala de lo Contencioso Administrativo, la responsabilidad sancionadora puede exigirse tanto a título de dolo como de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. La Sentencia de 17/10/2007 (Rec. 63/2006) –dictada durante la vigencia de la Ley 30/1992 de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, si bien es plenamente extrapolable al asunto que nos ocupa habida cuenta de los términos en los que está redactado el artículo 28.1 de la Ley 40/2015- afirma que “....el ilícito administrativo previsto en el artículo 44.3.
2. d)de la LOPD se consuma, como suele ser la norma general en las infracciones administrativas, por la concurrencia de culpa leve. En efecto, el principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992 dispone que solo pueden ser sancionadas por hechos constitutivos de infracciones administrativas los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en Derecho administrativo sancionador de la responsabilidad objetiva ……..” (El subrayado es de la AEPD) Ha quedado acreditado en este expediente que CARREFOUR EFC, con ocasión de la contratación de la tarjeta “Pass” por el tercero que facilitó como propio el número de NIF de la denunciante, adoptó las medidas que exige la diligencia que está obligada a desplegar por razón de su actividad empresarial a fin de acreditar la identidad de la persona que ofrece como propios unos datos personales. La diligencia desplegada en este caso por CARREFOUR EFC priva a su conducta del elemento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 culpabilidad, necesaria como hemos advertido para poder exigir responsabilidad administrativa por conductas que en principio son antijurídicas. En relación con esta cuestión son muy esclarecedoras las Sentencias de la Audiencia Nacional a las que hacemos referencia a continuación: La SAN de 26/04/2002 (Rec. 895/2009) en la que el Tribunal señala: “En efecto, no cabe afirmar la existencia de culpabilidad desde el resultado y esto es lo que hace la Agencia al sostener que al no haber impedido las medidas de seguridad el resultado existe culpa. Lejos de ello lo que debe hacerse y se echa de menos en la Resolución es analizar la suficiencia de las medidas desde los parámetros de diligencia media exigible en el mercado de tráfico de datos. Pues si se obra con plena diligencia, cumpliendo escrupulosamente los deberes derivados de una actuar diligente, no cabe afirmar ni presumir la existencia de culpa alguna.” (El subrayado es de la AEPD) También la SAN de 29/04/2010 que en su Fundamento Jurídico sexto, y a propósito de una contratación fraudulenta, subraya que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) Así las cosas, trasladando la exposición precedente a los hechos que se denuncian, hemos de concluir que aun cuando la actuación de CARREFOUR EFC pudiera suponer, a priori, una vulneración de los artículos de la LOPD 6.1, principio del consentimiento, y 4.3, principio de calidad de los datos, no es merecedora de reproche o sanción administrativa al haber observado en su actuación una diligencia razonable. Destacamos por otra parte que CARREFOUR EFC, al tener conocimiento de los hechos que se denuncian a raíz del requerimiento informativa de la Inspección recibido el 16/02/2017, efectuó una comprobación para verificar si los datos de la denunciante continuaban incluidos en el fichero de solvencia ASNEF, siendo negativo el resultado de tal consulta pues como ha quedado acreditado en la documentación adjunta a la denuncia el 16/11/2016 EQUIFAX respondió a una reclamación que le dirigió la denunciante indicando que había procedido a “subsanar el error en el identificador”. Constatado que CARREFOUR EFC actuó con una diligencia razonable y adoptó las medidas que la contratación exigía para garantizar la identidad del cliente que proporcionó como suyo el número de NIF de la denunciante, falta el elemento subjetivo de la infracción, de manera que ninguna responsabilidad sancionadora deriva de los hechos que se someten a la valoración de este organismo debiendo, en consecuencia, acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución CARREFOUR, EFC., S.A. y a D.ª A.A.A.. a SERVICIOS FINANCIEROS De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es