1/9 Expediente Nº: E/01160/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ASOCIACION DE EMPRESAS CONTRA EL FRAUDE, EQUIFAX PLUS S.L., en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de diciembre de 2016, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que pone de manifiesto que al cumplimentar un impreso de solicitud de financiación de VOLKSWAGEN FINACE SA EFC, el vendedor de SEAT MOTOR ESPAÑA SA le informó que si marcaba las casillas segunda y tercera del impreso la financiera denegaría la financiación. Anexa el documento de propuesta financiera, de fecha 29 de noviembre de 2016, donde figura una cláusula informativa con tres casillas. En la segunda y tercera casilla figura la siguiente información seguida de las referidas casillas: “Por medio de la presente le solicitamos su consentimiento para poder consultar y ceder sus datos personales de esta solicitud a ficheros de información cuyos destinatarios podrán ver si está al corriente de pago, si tiene impagos, y si los tuvo en el pasado cuánto tardó en pagarlos. Los citados destinatarios pertenecen a los sectores financiero, telecomunicaciones, renting, aseguradoras de crédito y caución, compra de deuda, suministro de energía y agua, facturación periódica, y pago aplazado. La finalidad del fichero será, por tanto, que las entidades destinatarias puedan conocer si es/son Vd/es. Un/os buen/os pagador/es, si se encuentra/n sobrendeudado/s o si tiene/n o ha/n tenido impagos. Los datos que se incluirán en el fichero serán los identificativos, profesionales, patrimoniales, del bien solicitado, económicos de la operación, garantías, así como los de operaciones que aún mantenga/n con nosotros. En estos ficheros también se incorporan datos suyos recogidos de fuentes accesibles al público.Igualmente este fichero realiza evaluaciones automatizadas con sus datos, emitiendo una puntuación de crédito (scoring) y ofrece información sobre las consultas que ha tenido durante los doce últimos meses para prevenir operaciones irregulares. Sus datos permanecerán 6 años desde la finalización de la operación. En todo momento Vd/es, podrá/n tener acceso a sus datos, rectificar o cancelar los mismos y, en cualquier momento, revocar el consentimiento que está/n otorgando. Estos derechos los puede ejercer ante Equifax Plus, SL, compañía Responsable del Fichero, con domicilio en: C/ Albasanz,16, 28037 MADRID y Experian Bureau de Crédito SA con domicilio en C/ Ombú nº 3, 1ª, 28045, MADRID. Pueden obtener más información: www.equifax.es y wwwexperian.es/cirex. Salvo que el/los firmante/s manifieste/n su negativa marcando con una “X” esta casilla dan su consentimiento informado: __” (…) El/los firmante/s ha/n sido informado/s por la entidad de crédito Volkswagen Finance SA EFC que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 verificación de la información facilitada el/los firmante/s presta/n su consentimiento expreso a Volkswagen Finance SA EFC para que en su nombre pueda soliocitar ante la Tesorería General de la Seguridad Social dicha información. Los obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de la entidad de crédito y/o del personal que en ella presta sus servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal y normativa que la desarrolla. Salvo que el/los firmante/s manifieste/n su negativa marcando con una “X” esta casilla, da/n su consentimiento informado __”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Respecto del fichero de EQUIFAX PLUS Con fechas 28 de febrero y 29 de septiembre de 2017 se requiere información a EQUIFAX IBERICA SL y de las respuestas recibidas en fechas 17 de marzo y 7 de noviembre de 2017 se desprende lo siguiente: 1. EQUIFAX IBERICA, S.L. es responsable del fichero EQUIFAX PLUS, inscrito en el Registro General de Protección de Datos con el código ***CODIGO.1 con la finalidad de “facilitar a las entidades participantes en el fichero común los datos existentes en los mismos relativos al comportamiento crediticio de las personas, con el propósito de apoyar la toma de decisiones en las relaciones negociales de ámbito financiero y crediticio, así como para la evaluación, seguimiento y en su caso recuperación de riesgos” siendo el encargado del tratamiento la propia entidad responsable. EQUIFAX IBERICA, S.L. manifiesta que dicho fichero fue inscrito en el año 2010 cuando no estaba constituida la empresa EQUIFAX PLUS, S.L., cuya escritura de constitución es del 18 de febrero de 2011. 2. El fichero EQUIFAX PLUS ha entrado en funcionamiento en abril-mayo 2017 y los destinatarios son entidades del sector financiero, telecomunicaciones, renting, aseguradoras de crédito y caución, compra de deuda, suministro de energía y agua, facturación periódica y pago aplazado. 3. EQUIFAX IBERICA, S.L ha aportado modelo de CONTRATO DE ACCESO AL SERVICIO DE INFORMACION DE CREDITO EQUIFAX PLUS que suscriben las entidades adheridas al sistema. En el contrato y en el ANEXO II (condiciones del servicio) figura que una entidad podrá contratar con EQUIFAX PLUS si mantienen un contrato de prestación de servicios de solvencia patrimonial y crédito con ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CREDITO, S.L. relativo al fichero ASNEF 4. Según consta en el contrato mencionado, el fichero EQUIFAX PLUS es un fichero común basado en el principio de reciprocidad cuya finalidad es la de facilitar a las entidades participantes información sobre las personas físicas o jurídicas, incluidas en el fichero, si se encuentran al corriente de pago, si tiene impagados o si los tuvieron en el pasado y el tiempo que tardaron en abonarlos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 El fichero realiza evaluaciones automatizadas con la información registrada, emitiendo una puntuación de crédito (scoring) y ofrece información sobre las consultas que han tenido durante los doce últimos meses para prevenir operaciones irregulares. El fichero contiene datos identificativos, profesionales, patrimoniales, bien adquirido, económicos de la operación, garantías y se incorporan datos de los firmantes recogidos de fuentes accesibles al público. Esto últimos datos se conservarán en el fichero por un plazo de 6 años desde la finalización de la operación. 5. En el ANEXO I del contrato figura que el servicio se basa en el consentimiento de los consumidores y se especifica la cláusula de consentimento a utilizar, aprobada por la Agencia Española de Protección de Datos y las entidades se comprometen a incluir dicha cláusula de consentimiento expreso en sus contratos. En dicha cláusula se incluye lo especificado en el artículo 5 de la LOPD y el procedimiento para ejercitar los derechos ARCO así como una casilla para manifestar la negativa al consentimiento. 6. En el ANEXO III figura que “con el fin de cumplir con la normativa de protección de datos y mantener la coherencia entre la información del fichero EQUIFAX PLUS y ASNEF, las empresas comunicarán la información semanalmente y de forma paralela a la actualización de información en el fichero ASNEF”. 7. Respecto de la reciprocidad de las consultas al fichero, consta en el contrato que solo pueden acceder a la información las empresas que aporten información al fichero. El acceso al fichero podrá realizarse ON-LINE y el volumen de consultas efectuadas estará directamente relacionada con el volumen de la información aportada controlándose que no supere el nivel marcado de tolerancia. Las entidades podrán consultar a sus clientes incluidos en el fichero sin límites. También se podrá acceder a los datos del fichero en modo OFF-LINE de tal manera que el Sistema validará la cartera viva aportada por la entidad devolviendo solo información en las coincidencias. La información que devuelve consiste en un score para evaluar de manera rápida y objetiva el comportamiento de crédito de un cliente. 8. En el ANEXO V del Contrato constan las condiciones y la gestión a realizar respecto de los derechos ARCO. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III En primer lugar procede señalar que esta Agencia ha analizado el funcionamiento del fichero Equifax Plus y que en lo relativo a este extremo no se han obtenido evidencias de un mal funcionamiento del mismo. Sobre este fichero, la Agencia ha emitido el informe 0144/2012 relativo a la cláusula de recogida del consentimiento de los afectados para la inclusión de sus datos en ficheros de solvencia patrimonial y crédito en que se recojan datos que exceden de los señalados en el artículo 29.2 de la Ley Orgánica 15/1999; es decir, los denominados comúnmente “ficheros positivos”. El referido informe, siguiendo el criterio sustentado por el Tribunal Supremo en su Sentencia de 10 de julio de 2010 que señala que “lo que no resulta admisible son los ficheros positivos prescindiendo del consentimiento del afectado”, considera que es preciso obtener el consentimiento el interesado para la inclusión de sus datos en uno de estos ficheros denominados ficheros positivos de solvencia patrimonial y crédito, que dicho consentimiento deberá resultar conforme a lo dispuesto en el artículo 3
- h)de la LOPD, y que se deberá facilitar al interesado la información requerida en el artículo 5 de la LOPD a fin de obtener un consentimiento informado. El artículo 3.
- h)de la LOPD define el consentimiento como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen” En este caso debe resaltarse que pese a las manifestaciones del denunciante no se han obtenido indicios de los que pueda inferirse que VOLKSWAGEN FINACE SA EFC condiciona la contratación a que el afectado consienta los tratamientos descritos en la cláusula informativa inserta en los contratos, por lo que no se aprecia que los consentimientos obtenidos no consistan en una manifestación de voluntad libre, conforme a lo dispuesto en el referido artículo 3.h). En lo relativo a la necesidad de que el consentimiento sea informado, el informe realiza una valoración de la cláusula informativa aportada por el consultante, que coincide con la inserta en el documento aportado por el denunciante, concluyendo lo siguiente: “La mencionada cláusula se refiere expresamente a la finalidad de las cesiones de datos que la misma plantea, al establecer que las mismas se realizarán “a ficheros de información cuyos destinatarios podrán ver si está al corriente de pago, si tiene C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 impagos, y si los tuvo en el pasado cuanto tardó en pagarlos”, reiterando que dicha finalidad será “que las entidades destinatarias puedan conocer si es Vd. un buen pagador, si se encuentra sobrendeudado o si tiene o ha tenido impagos”. Además, se aclara que “este fichero realiza evaluaciones automatizadas con sus datos, emitiendo una puntuación de crédito (scoring) y ofrece información sobre las consultas que ha tenido durante los doce últimos meses para prevenir operaciones irregulares”. Por tanto puede considerarse adecuadamente establecida la finalidad del fichero común. En cuanto a los destinatarios, además de indicarse la finalidad señalada, se prevé que los mismos “pertenecen a los sectores financiero, telecomunicaciones, renting, aseguradoras de crédito y caución, compra de deuda, suministro de energía y agua, facturación periódica, y pago aplazado”, quedando así clarificado el tipo de actividad de los mismos, con lo que se da cumplimiento a lo establecido en los artículos 11.3 de la Ley Orgánica 15/1999 y 12.2 del Reglamento que la desarrolla. Además, la cláusula delimita el alcance del tratamiento, al detallar los tiops de datos que serán objeto de comunicación, tal y como prevé el artículo 5 de la Ley Orgánica 15/1999, indicando que los mismos “serán los identificativos, profesionales, patrimoniales, del bien adquirido, económicos de la operación, garantías, así como los de operaciones que aún mantenga con nosotros”, y añadiendo que “en estos ficheros también se incorporan datos suyos recogidos de fuentes accesibles al público”. La cláusula igualmente establece un período de conservación de los datos de 6 años, que podría asimilarse al establecido por la Ley para los ficheros regulados por el artículo 29.2 de la Ley Orgánica 15/1999. Se reconocen expresamente al interesado los derechos de acceso, rectificación y cancelación, no incluyéndose referencia al derecho de oposición al tratarse de datos obtenidos con el consentimiento del interesado (artículo 6.4 de la Ley Orgánica 15/1999), pero recordándose igualmente la posibilidad del interesado de revocar en cualquier momento el consentimiento obtenido. Por último, se establece un procedimiento para que el interesado pueda manifestar expresamente su negativa al tratamiento mediante la inclusión de una casilla, en términos similares a los previstos en el artículo 15, párrafo segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999. A la vista de todo ello, esta Agencia debe concluir que la cláusula sometida a su parecer resulta respetuosa con lo establecido en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, informando la misma favorablemente.” V Sentado lo anterior y en lo relativo al consentimiento que se recoge con la última casilla, relacionado con las obligaciones de prevención del blanqueo de capitales que incumben a las entidades financieras, procede señalar lo siguiente: La Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo regula los aspectos preventivos tanto del blanqueo de capitales como de la financiación del terrorismo y recoge, entre otras normas, una serie C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 de medidas de diligencia debida respecto al cliente que deben cumplir los sujetos obligados, con la finalidad de prevenir que se utilice el sistema financiero para el blanqueo de capitales y para la financiación del terrorismo. El artículo 3 de la citada norma establece, en cuanto a la identificación formal de los clientes, lo siguiente: “1. Los sujetos obligados identificarán a cuantas personas físicas o jurídicas pretendan establecer relaciones de negocio o intervenir en cualesquiera operaciones. En ningún caso los sujetos obligados mantendrán relaciones de negocio o realizarán operaciones con personas físicas o jurídicas que no hayan sido debidamente identificadas. Queda prohibida, en particular, la apertura, contratación o mantenimiento de cuentas, libretas, activos o instrumentos numerados, cifrados, anónimos o con nombres ficticios. 2. Con carácter previo al establecimiento de la relación de negocios o a la ejecución de cualesquiera operaciones, los sujetos obligados comprobarán la identidad de los intervinientes mediante documentos fehacientes. En el supuesto de no poder comprobar la identidad de los intervinientes mediante documentos fehacientes en un primer momento, se podrá contemplar lo establecido en el artículo 12, salvo que existan elementos de riesgo en la operación. Reglamentariamente se establecerán los documentos que deban reputarse fehacientes a efectos de identificación.” El artículo 4 de la mencionada Ley 10/2010, de 28 de abril, bajo el epígrafe “Identificación del titular real”, añade lo siguiente: “1. Los sujetos obligados identificarán al titular real y adoptarán medidas adecuadas a fin de comprobar su identidad con carácter previo al establecimiento de relaciones de negocio o a la ejecución de cualesquiera operaciones. 2. A los efectos de la presente Ley, se entenderá por titular real:
- a)La persona o personas físicas por cuya cuenta se pretenda establecer una relación de negocios o intervenir en cualesquiera operaciones.
- b)La persona o personas físicas que en último término posean o controlen, directa o indirectamente, un porcentaje superior al 25 por ciento del capital o de los derechos de voto de una persona jurídica, o que por otros medios ejerzan el control, directo o indirecto, de la gestión de una persona jurídica. Se exceptúan las sociedades que coticen en un mercado regulado de la Unión Europea o de países terceros equivalentes.
- c)La persona o personas físicas que sean titulares o ejerzan el control del 25 por ciento o más de los bienes de un instrumento o persona jurídicos que administre o distribuya fondos, o, cuando los beneficiarios estén aún por designar, la categoría de personas en beneficio de la cual se ha creado o actúa principalmente la persona o instrumento jurídicos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 3. Los sujetos obligados recabarán información de los clientes para determinar si éstos actúan por cuenta propia o de terceros. Cuando existan indicios o certeza de que los clientes no actúan por cuenta propia, los sujetos obligados recabarán la información precisa a fin de conocer la identidad de las personas por cuenta de las cuales actúan aquéllos. 4. Los sujetos obligados adoptarán medidas adecuadas al efecto de determinar la estructura de propiedad o de control de las personas jurídicas. Los sujetos obligados no establecerán o mantendrán relaciones de negocio con personas jurídicas cuya estructura de propiedad o de control no haya podido determinarse. Si se trata de sociedades cuyas acciones estén representadas mediante títulos al portador, se aplicará la prohibición anterior salvo que el sujeto obligado determine por otros medios la estructura de propiedad o de control. Esta prohibición no será aplicable a la conversión de los títulos al portador en títulos nominativos o en anotaciones en cuenta.” Por su parte el artículo 5 sobre “Propósito e índole de la relación de negocios” señala que “Los sujetos obligados obtendrán información sobre el propósito e índole prevista de la relación de negocios. En particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente.” Finalmente el artículo 7, en sus apartados 2 y 3, dispone, en relación con la “aplicación de las medidas de diligencia debida”, lo siguiente: “2. Sin perjuicio de lo dispuesto en el párrafo segundo del artículo 3.1, los sujetos obligados no sólo aplicarán las medidas de diligencia debida previstas en este Capítulo a todos los nuevos clientes sino, asimismo, a los clientes existentes, en función de un análisis del riesgo. En todo caso, los sujetos obligados aplicarán a los clientes existentes las medidas de diligencia debida cuando se proceda a la contratación de nuevos productos o cuando se produzca una operación significativa por su volumen o complejidad. Lo dispuesto en este apartado se entenderá sin perjuicio de la responsabilidad exigible por el incumplimiento de obligaciones vigentes con anterioridad a la entrada en vigor de esta Ley.” “3. Los sujetos obligados no establecerán relaciones de negocio ni ejecutarán operaciones cuando no puedan aplicar las medidas de diligencia debida previstas en esta Ley. Cuando se aprecie la imposibilidad en el curso de la relación de negocios, los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 sujetos obligados pondrán fin a la misma, procediendo a realizar el examen especial a que se refiere el artículo 17. La negativa a establecer relaciones de negocio o a ejecutar operaciones o la terminación de la relación de negocios por imposibilidad de aplicar las medidas de diligencia debida previstas en esta Ley no conllevará, salvo que medie enriquecimiento injusto, ningún tipo de responsabilidad para los sujetos obligados.” La Ley 10/2010, de 28 de abril, recoge, asimismo, una serie de medidas reforzadas de diligencia debida, para cuando las relaciones de negocio se realizan a través de medios telefónicos, electrónicos o telemáticos, disponiendo en su artículo 12.1 “(...) En todo caso, en el plazo de un mes desde el establecimiento de la relación de negocio, los sujetos obligados deberán obtener de estos clientes una copia de los documentos necesarios para practicar la diligencia debida (...) Los sujetos obligados adoptarán medidas adicionales de diligencia debida cuando en el curso de la relación de negocio aprecien riesgos superiores al riesgo promedio.” El apartado 2 del citado artículo preceptúa: “Los sujetos obligados establecerán políticas y procedimientos para afrontar los riesgos específicos asociados con las relaciones de negocio y operaciones no presenciales”. En definitiva la citada normativa impone una obligación de diligencia debida para la prevención del blanqueo de capitales y para la financiación del terrorismo, que deberá ser cumplida por los sujetos obligados obteniendo la información y documentación adicional que resulte precisa para practicar la diligencia debida. Por ello, no se aprecia en este caso vulneración de la LOPD ya que la denunciada recaba información adicional en cumplimiento de una obligación legal, sin que se considere vulnerado el principio de pertinencia. Tampoco puede ser considerada excesiva la información que se recoge, en este caso, en relación con la finalidad para la que se recaba. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a EQUIFAX PLUS S.L. y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es