E-00758-2014

1/7 Expediente Nº: E/00758/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad NGC BANCO –cuya marca comercial es NOVAGALICIA BANCO- en virtud de la denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 25/11/2013 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que NOVAGALACIA BANCO (en lo sucesivo la denunciada o NGC), entidad de la que es cliente y con la que tiene concertado un préstamo hipotecario, “ha utilizado mis datos de ficheros internos, para regularizar impagos procedentes de un préstamo de consumo del que no soy titular, avalista ni figuro en Escritura Notarial”. Conducta que a su juicio constituye una “cesión y uso fraudulento de mis datos personales para operaciones formalizadas por terceros”. La denunciante ha aportado documentos referentes al préstamo hipotecario que suscribió con la denunciada -identificado con un número cuyos últimos dígitos son 4622- y a la cuenta bancaria de su titularidad en la que se pasan al cobro los cargos del citado préstamo –cuenta cuyos últimos dígitos son 403-, así como un extracto de los movimientos de dicha cuenta entre los que figura un cargo que la denunciada hizo el 07/09/2013 y que correspondía al cobro de intereses moratorios vinculados a un préstamo personal al que la denunciante es ajena, pues según la documentación que nos ha facilitado no tiene en él la condición de prestataria ni de fiadora. Este préstamo se identifica con los dígitos finales 4200 y fue contratado con NCG por B.B.B. y C.C.C. el 06/03/2008 fijando como cuenta bancaria para el pago de las cuotas de capital e intereses la terminada en los dígitos 655, de la que son titulares los prestatarios, y sin que en el contrato intervinieran terceras personas como fiadores. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), con fecha de 18 de noviembre de 2013, escrito presentado por Dª A.A.A. (en adelante denunciante), con NIF.: ***NIF.1, en el que manifiesta que es titular de un préstamo hipotecario con la entidad NCG BANCO, S.A. pero han utilizado sus datos para el cargo en su cuenta corriente de un préstamo personal del que no es titular ni avalista. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Del análisis de la documentación aportada por la denunciante se desprende lo siguiente: - El préstamo ***CCC.1, fue otorgado el 6 de marzo de 2008, por Caixanova a D.D.D. y C.C.C. y la cuenta de cargo y de abono que consta en la documentación del mismo es ***CCC.2. - El préstamo hipotecario cuya titular es la denunciante es el nº ***PRÉSTAMO.1, fue formalizado el 28 de marzo de 2008, cuenta de cargo ***CCC.3, por la entidad Caixanova (Caja de Ahorros de Vigo, Ourense y Pontevedra), por importe de 175.500€. - La entidad NCG BANCO emite recibo de préstamo, el día 7 de septiembre de 2013, en la cuenta de cargo ***CCC.3, del préstamo ***CCC.1, los destinatarios del citado recibo son D.D.D. y C.C.C.. Con fecha de 3 de marzo 2014 se procede a la asignación de las presentes actuaciones E/0758/2014 al inspector que suscribe el presente informe. ACTUACIONES PREVIAS DE INSPECCIÓN 1. La Inspección de Datos ha solicitado a la denunciante diversa información y documentación habiéndose recibido respuesta ,con fecha de 17 de junio de 2014, en los siguientes términos: La titularidad de la cuenta ***CCC.3 (anteriormente ***CCC.4) es la denunciante. Préstamo hipotecario ***PRÉSTAMO.1 (***********) fue otorgado a la denunciante, por importe de 170.500€, formalizado el 28 de marzo de 2008, por la entidad Préstamo personal a nombre de D.D.D. y C.C.C. nº ***CCC.1, formalizado el 6 de marzo de 2008, por la entidad Caixanova y cuenta de cargo ***CCC.2. 2. La entidad financiera NCG BANCO, S.A. ha informado a la Inspección de Datos, con fecha de 8 de julio de 2014, en relación con el cargo del préstamo personal en la cuenta de la denunciante lo siguiente: - En primer lugar a efectos aclaratorios NCG BANCO, S.A. es la entidad resultante de la escisión por segregación de los activos, pasivos y relaciones jurídicas que integraban el patrimonio afecto a la actividad financiera de Novacaixagalicia, entidad resultante, a su vez, de la fusión de Caixa Galicia y Caixanova. - El número actual de la cuenta de la denunciante es IBAN: ***CCC.3, el número que tenía la cuenta antes de que NCG BANCO, S.A. sucediese a Caixanova fue 2***CCC.4, titular única la denunciante y con fecha de apertura el día 18 de Enero de 2008. - Con fecha 6 de Marzo de 2008 los padres de la denunciante, D. B.B.B. y Dña. C.C.C., formalizaron con la entidad Caixanova un préstamo personal nº ***CCC.1 por importe de 24.000€, estableciéndose como cuenta asociada a dicho préstamo para el cargo de las cuotas de amortización del capital y de los correspondientes intereses la cuenta ***CCC.2, de la que son titulares ambos titulares del préstamo. El capital principal del indicado préstamo personal fue abonado el propio día 6 de Marzo de 2008 en la cuenta asociada al mismo ***CCC.2. - A partir de la fecha de la formalización del préstamo personal de referencia y hasta el mes de septiembre de 2013, todos los cargos relativos a las cuotas de capital e intereses correspondientes a dicho préstamo han venido siendo realizados, con la anuencia de la denunciante, en su propia cuenta número ***CCC.3, toda vez que dicha denunciante, teniendo en todo momento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 - - conocimiento y constancia de que se estaban realizando tales cargos en su cuenta, no manifestó oposición alguna a los mismos durante todo el tiempo en que éstos se llevaron a cabo. Concluyendo que la denunciante consintió indubitadamente el cargo en su cuenta de los importes relativos a la amortización del capital y a los intereses del préstamo personal a nombre de sus padres. Según consta en los extractos de la cuenta de la denunciante en los que se reflejan hasta un total de 38 apuntes relativos a los cargos correspondientes a la amortización del capital y a los intereses del préstamo personal en cuestión, siendo el primero de los cargos (el relativo a la primera cuota del préstamo) de fecha 7 de abril de 2008 y, el último, de fecha 7 de septiembre de 2013, total 5 años y 5 meses. La primera vez que la denunciante manifiesta su voluntad de que se desvincule su cuenta del préstamo personal es el 3 de marzo de 2014, mediante reclamación dirigida al Servicio de Atención al Cliente de NCG BANCO, S.A., la denunciante aduce como motivo de su reclamación el cargo de intereses moratorios realizado en el mes de septiembre de 2013. En cuanto a la resolución de la citada reclamación, el Servicio de Atención al Cliente de NCG BANCO, S.A., tras realizar las averiguaciones y trámites pertinentes, contesta a la reclamante en fecha 22 de Abril de 2014 remitiéndola a su oficina, donde se estaban realizando las gestiones oportunas para resolver la reclamación, gestiones que derivaron en la desvinculación de la cuenta de la reclamante del préstamo personal en cuestión, con motivo de la manifestación expresa de la denunciante de su voluntad en tal sentido. En cualquier caso, el último cargo relativo al préstamo personal que se realizó en la cuenta de la denunciante el 7 de septiembre de 2013, fecha anterior a la reclamación 3 de marzo de 2014.>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La LOPD regula en su artículo 6 el principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
2. h)de la Ley Orgánica 15/1999: “cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones citadas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular constituyendo la vulneración del citado principio una infracción grave tipificada en el artículo 44.3.
3. b)de la LOPD. III De la documentación aportada por la denunciante y del resultado de la investigación llevada a cabo por la Inspección de Datos se han acreditado los siguientes extremos: La denunciante es titular único de la siguiente cuenta corriente abierta en la entidad NCG: ***CCC.3. La cuenta se abrió el 18/01/2008 y el número que la identificaba en la fecha de apertura, estos es, antes de que NCG sucediese a CAIXANOVA, era el 2***CCC.4. El 06/03/2008, B.B.B. y C.C.C. formalizaron con la citada entidad un contrato de préstamo identificado con el número ***CCC.1 estableciendo como cuenta asociada para el cargo de las cuotas de amortización del capital e intereses la ***CCC.2, de la que ambos eran titulares. Pues bien, la conducta supuestamente infractora de la normativa de protección de datos sobre la que versa la presente denuncia se concreta en el tratamiento realizado por NCG de los datos bancarios de la denunciante sin su consentimiento “para regularizar impagos procedentes de un préstamo de consumo del que no soy titular, avalista ni figuro en Escritura Notarial”. A tenor de la documentación que la denunciante ha aportado tal conducta se materializó en el cargo en su cuenta bancaria (***CCC.3), en fecha 07/09/2013, de un importe de -45,18 € correspondientes al préstamo número ***CCC.1, al que es ajena y que formalizaron el 06/03/2008 B.B.B. y C.C.C.. Ahora bien, NCG ha remitido a la AEPD documentación que acredita que entre el 06/04/2008 y el 07/09/2013 todos los cargos correspondientes al pago de las cuotas de capital e intereses del préstamo ***CCC.1, en el que la denunciante no tiene la condición de deudora, se han venido pasando al cobro en su cuenta bancaria, ***CCC.3. Esto es, un total de 37 cargos sin computar el que ha motivado la presente denuncia. Se añade a lo anterior que, según expone la entidad denunciada, la denunciante nunca manifestó su oposición al citado tratamiento ni presentó queja o reclamación en relación con estos hechos. La única reclamación de la que se tiene noticia se dirigió al Servicio de Atención al Cliente de la entidad el 03/03/2014 y fue contestada mediante escrito de 22/04/2014. Así lo acredita la documentación que han aportado ambas partes. NCG alega en su defensa que su cliente y actual denunciante ha tenido “ en todo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 momento conocimiento y constancia de que se estaban realizando tales cargos en su cuenta, no obstante no manifestó oposición alguna a los mismos durante todo el tiempo en que éstos se llevaron a cabo.” Llegados a este punto debe advertirse que el artículo 6.1 de la LOPD únicamente exige que el consentimiento otorgado por el titular de los datos para su tratamiento sea “inequívoco”, pero no que deba manifestarse de forma expresa ni por escrito; requisitos que sí prevé la Ley Orgánica 15/1999 para el caso de datos especialmente protegidos regulados en su artículo 7, en los que es necesario que el consentimiento del titular conste de forma expresa y escrita –si los datos tratados revelan “ideología, afiliación sindical, religión y creencias”- o solo expresa –si hacen referencia al “origen racial, a la salud y a la vida sexual”-. Rige por tanto el principio de libertad de forma, de modo que el consentimiento al tratamiento se puede producir de forma expresa (oral o escrita), o por actos reiterados del titular que revelen que efectivamente ha dado ese consentimiento, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito o impropiamente llamado silencio positivo. Trasladando las consideraciones anteriores al supuesto que nos ocupa se concluye que el hecho de que NCG hubiera cargado en la cuenta bancaria de la denunciante importes cuya deuda procede de un préstamo personal en el que ella no es parte y en el que no tiene la condición de deudora no constituye un tratamiento “fraudulento” de sus datos personales. La afectada había consentido el tratamiento de los datos que ahora denuncia toda vez que desde el 06/04/2008 se han estado pasando al cobro en su cuenta bancaria todos los cargos derivados del citado préstamo y sin que durante ese largo periodo se haya opuesto al tratamiento efectuado por la denunciada o haya presentado reclamación por este hecho. Estaríamos por tanto, parafraseando a la Audiencia Nacional en su SAN de 15/10/2012, ante “un consentimiento presunto, en cuanto el mismo se deduce de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación”. En definitiva, la conducta que se denuncia versa, exclusivamente, sobre el cargo efectuado en la cuenta de la denunciante por NCG en fecha 07/09/2013 pese a que estos mismos datos fueron tratados por la denunciada para idéntica finalidad en otros 37 casos anteriores con el beneplácito de la denunciante, razón por la cual se estima otorgado el consentimiento al tratamiento de los datos por actos presuntos de su titular. Muy significativa es, a estos efectos, la Sentencia de la Audiencia Nacional de 15/10/2012 (Rec.765/2010) que estimó el recurso contencioso administrativo interpuesto contra la resolución de la AEPD que había sancionado a la recurrente por una presunta infracción del principio del consentimiento, por haber tratado los datos personales de ésta sin su consentimiento asociados a un servicio que ella afirmaba no haber contratado, pese a que estuvo pagando las facturas generadas por dicho servicio durante 16 meses -desde el mes de febrero de 2007 hasta el mes de junio de 2008, ambos inclusive-. En el Fundamento Tercero de la Sentencia la Audiencia Nacional se pronuncia en los siguientes términos: << Constituye doctrina reiterada y consolidada de esta Sala que la LOPD no exige que dicho consentimiento inequívoco se manifieste de forma expresa ni por escrito ( SSAN de 1-2-2006 (Rec.250/2004 ) y de 20-9-2006 (Rec. 626/2004 ), e igualmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 que tal consentimiento se puede producir de forma expresa, oral o escrita, o por actos reiterados del afectado que revelen que, efectivamente, ha dado ese consentimiento con los requisitos expuestos, es decir, por actos presuntos, o por el silencio del afectado, consentimiento tácito (o impropiamente llamado silencio positivo), como se dice, entre otras muchas, en las SSAN 27- 2-2008 (Rec. 290/2006), 21-1-2009 ( Rec. 109/2008) y 17 de noviembre de 2010 ( Rec. 729/09 ). (…) Esta Sala, a pesar de lo expuesto, y una vez valoradas las pruebas practicadas en las actuaciones, entiende que en el presente caso concurren una serie de circunstancias que conllevan que no pueda considerarse lesionado el principio del art. 6.1 LOPD. Y ello por considerar que sí ha existido en el presente supuesto un consentimiento tácito de la afectada, o más exactamente, un consentimiento presunto, en cuanto el mismo se deduce de un comportamiento o conducta que implica aceptación de un determinado compromiso u obligación, teniendo en cuenta que la parte actora tenía el nombre y apellidos de la denunciante, sí como el número de la cuenta bancaria, pero especialmente diversas facturas todas las cuales fueron cargadas y abonadas en la cuenta bancaria titularidad de la denunciante, a excepción de las correspondientes a julio y agosto de 2008, que fueron devueltas. En concreto, fueron abonadas desde el mes de febrero de 2007 hasta el mes de junio de 2008, ambos inclusive, por importes que varían entre 7,11 euros y 23,20 euros. Es cierto que constituye doctrina reiterada y consolidada de esta Sala que, por regla general, corresponde a quien realiza el tratamiento estar en condiciones de acreditar que ha obtenido el consentimiento del afectado pues, salvo las excepciones establecidas en la Ley, sólo el consentimiento justifica o legitima el tratamiento, y a tal fin deberá arbitrar los medios necesarios para que no quepa ninguna duda de que efectivamente tal consentimiento ha sido prestado. En el presente caso, sin embargo concurren una serie de circunstancias específicas, esencialmente la existencia de consumo telefónico y la recepción y pago puntual de las facturas durante 16 meses, que llevan a esta Sala al convencimiento de que tal denunciante sí había prestado su consentimiento para la contratación de la línea en cuestión con dicha entidad telefónica recurrente, y en consecuencia, que la imputación de la infracción del art. 6.1 LOPD no puede ser apreciada.>> (El subrayado es de la AEPD) Reflexiones que son extrapolables al asunto que nos ocupa en el que, concurren también diversas circunstancias particulares que evidencian con claridad que la denunciante, con sus actos reiterados, consintió que NCG tratara sus datos bancarios para el cargo de las deudas vinculadas a un préstamo suscrito por terceras personas. Así, cabe subrayar que durante más de cuatro años la entidad financiera denunciada pasó al cobro en la cuenta bancaria de la denunciante todos los cargos derivados del préstamo personal al que es ajena. En otros términos durante cuatro años consintió el tratamiento de sus datos que ahora denuncia, aunque la conducta denunciada se circunscribe al cargo realizado el 07/09/2013 correspondiente a intereses moratorios. Se añade también la circunstancia relevante de que los terceros titulares del préstamo personal al que la denunciante es ajena son sus padres. A tenor de lo expuesto debemos concluir que la conducta que se somete a nuestra consideración no vulnera la LOPD, en particular el principio del consentimiento, pues NCG contaba con el consentimiento “presunto” e “inequívoco” de la titular de los datos bancarios tratados, por lo que corresponde acordar el archivo de la presente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 denuncia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a NCG BANCO, S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es