1/6 Expediente Nº: E/01216/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAJASUR BANCO SAU en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Fecha de entrada de la denuncia: 20 de enero de 2016 Denunciante: A.A.A. con NIF ***NIF.1 con domicilio en (C/...1) (CÓRDOBA) Denuncia a: CAJASUR BANCO SAU con NIF A******* con domicilio en (C/...2) (CÓRDOBA) Por los siguientes hechos manifestados por la denunciante: Contratación fraudulenta y cesión de datos personales sin consentimiento. La denunciante aporta copia de la siguiente documentación: Documento titulado “contrato libreta ahorro” con membrete y sello de la entidad denunciada que incluye fecha 26/3/2012 en el que figura la denunciante como titular si bien no se encuentra firmado ésta. Documento titulado “contrato de tarjetas” del tipo de tarjeta “MASTER CREUSA” con membrete y sello de la entidad denunciada que incluye fecha 26/3/2012 en el que figura D. B.B.B., quien la denunciante manifiesta era su cónyuge (fallecido según informa la denunciante el 12/5/2005) referenciado en el apartado “tarjeta titular” (número de tarjeta ***TARJETA.1), si bien no se encuentra firmado en los cajetines correspondientes a tarjeta titular y tarjeta beneficiaria. Documento titulado “contrato de tarjetas” del tipo de tarjeta “MASTER CREUSA; VISA CLASSIC” con membrete y sello de la entidad denunciada que incluye fecha 26/10/2012 en el que figura la denunciante referenciada en el apartado “tarjeta beneficiaria” (número de tarjeta ***TARJETA.2), y quien la denunciante manifiesta era su cónyuge (fallecido el 12/5/2005) referenciado en el apartado “tarjeta titular” (número de tarjeta ***TARJETA.1), si bien no se encuentra firmado en los cajetines correspondientes a tarjeta titular y tarjeta beneficiaria. Escrito dirigido por la entidad denunciada a la denunciante fechado el 13/8/2014 en la que le comunican en respuesta a su escrito de fecha 21/07/2014 “mediante el que nos muestra su disconformidad por comisiones de mantenimiento, contratación de tarjeta incorrecta, y solicita cancelación de datos de carácter personal de su esposo, Don B.B.B., fallecido con anterioridad” que: C/ Jorge Juan, 6 28001 – Madrid o En la liquidación por extinción de la sociedad COMERCIANTES REUNIDOS DEL SUR S.A., los créditos fueron vendidos a CajaSur con fecha 30/12/
- o Se le planteó la opción de cancelar el crédito pendiente o domiciliar sus pagos en una cuenta con Cajasur. o Con fecha 26/03/2012 contrató una libreta de ahorro con la finalidad de www.agpd.es sedeagpd.gob.es 2/6 continuar pagando el crédito correspondiente a la tarjeta ***TARJETA.1, generándose de forma automática el contrato que actualizaba al inicial, firmándolo usted como beneficiaria y en nombre del cotitular (del que no constaba su fallecimiento). Solicitud de ejercicio del derecho de acceso de la denunciante ante la denunciada fechada el 28/9/2015 Respuesta al ejercicio del derecho de acceso referenciada en el punto anterior fechada el 27/10/
- En el escrito de respuesta se informa de: o Que los datos fueron facilitados por la denunciante en la tramitación y formalización de los contratos suscritos con la entidad o Que la denunciante prestó consentimiento para que sus datos fueran “tratados por Cajasur” y “pudieran ser cedidos a las empresas del grupo Kutxabank”. Lista además el conjunto de datos que la entidad manifiesta tener de la denunciante: o Nombre, apellidos, NIF, sexo, fecha de nacimiento, nación, idioma, domicilio, teléfono fijo, población, provincia, país, “C.N.O.”. o Contratos formalizados con la entidad: Titular de “libreta de ahorro” numerada ***LIBRETA.1 con fecha de apertura 26/3/2012 en situación “activo” a 27/10/
- Titular de “visa clásica” numerada ***TARJETA.2 con fecha de apertura 26/10/2012 en situación “trabada” a “5/5/2014” Informe del 2/12/2015 del Departamento de Conducta y Mercado y Reclamaciones del Banco de España en relación a reclamación presentada en representación de la denunciante contra la entidad denunciada en fecha 3/7/
- La referencia del expediente es “R-***EXPTE.1”, y con respecto a la suscripción del contrato de tarjeta MASTER CREUSA de fecha 26/03/12 expone que “se ha comprobado que en el propio contrato no consta beneficiario alguno […] tampoco ha sido aportada por la entidad documentación que acredite que la reclamante firmó dicho contrato en representación del titular del crédito, D. B.B.B.. En consecuencia, este Departamento estima que la información y documentación aportada por la entidad en sus alegaciones resulta insuficiente, por lo que no podemos afirmar que, a este respecto, haya actuado de conformidad con los criterios de buenos usos y prácticas bancarias”. Justificante con membrete de CAJASUR de entrega de una tarjeta numerada ***TARJETA.3 MASTERCARD CREUSA a la denunciante que incluye fecha manuscrita 12/6/06 Escrito con “consideraciones jurídicas” relativas a la cesión de datos personales Fotocopia del Documento Nacional de Identidad SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La empresa CAJASUR BANCO SAU ha remitido la siguiente información pertinente al efecto de la investigación: En su escrito de respuesta a la solicitud de información CAJASUR BANCO SAU C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 facilita copia del DNI de la denunciante y firma escaneada de ésta (fecha de firma referenciada 7/10/2014; fecha de escaneo 19/11/2014). Documento titulado “contrato libreta ahorro” con membrete y sello de la entidad denunciada que incluye fecha 26/3/2012 en el que figura la denunciante como titular y se encuentra firmado en el cajetín correspondiente al titular. Documento titulado “contrato de tarjetas” del tipo de tarjeta “MASTER CREUSA” con membrete y sello de la entidad denunciada que incluye fecha 26/3/2012 en el que figura D. B.B.B., quien la denunciante manifiesta era su cónyuge (fallecido según informa la denunciante el 12/5/2005) referenciado en el apartado “tarjeta titular” (número de tarjeta ***TARJETA.1), y se encuentra firmado en los cajetines correspondientes a tarjeta titular y tarjeta beneficiaria. (firmas que parecen asemejar la “escaneada” atribuida a la denunciante). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se manifiesta en primer lugar su disconformidad por las comisiones aplicadas por CAJASUR BANCO SAU, en este sentido ha de señalarse que esta Agencia no es un órgano competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la exactitud de la deuda, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para su tratamiento. La determinación de la legitimidad de una deuda basada en la interpretación del contrato suscrito o de su cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. III En relación al tratamiento de los datos de su marido fallecido, señalar que la normativa de protección de datos circunscribe su ámbito de aplicación a los tratamientos que afecten a personas físicas vivas. Así, el art. 1 de la Ley 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), dispone que “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. Y el art. 2.4 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, establece que “este Reglamento no será de aplicación a los datos referidos a personas fallecidas. No obstante, las personas vinculadas al fallecido, por razones familiares o análogas, podrán dirigirse a los responsables de los ficheros o tratamientos que contengan datos de éste con la finalidad de notificar el óbito, aportando acreditación suficiente del mismo, y solicitar, cuando hubiere lugar a ello, la cancelación de los datos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 IV Respecto al tratamiento de sus datos en la contratación de la tarjeta de crédito, señalar que el artículo 6.1 de la LOPD dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV En el supuesto que nos ocupa, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable por las siguientes razones: CAJASUR aporta un contrato de libreta de ahorro firmado por la denunciante y copia DNI de la denunciante y extractos de pagos del 2015, así como un contrato de tarjetas del 2012 cuyo titular es el marido fallecido (en el 2005) pero que está firmado por la denunciante como titular y beneficiaria, entendiéndose por tanto que consiente en el tratamiento de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 V Esta Agencia no es competente para dirimir cuestiones relativas a las prácticas y usos bancarios, así como tampoco los incumplimientos de la Ley 16/2009 de 13 de noviembre de Servicios de Pago, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera financiera en relación con la praxis bancaria. Por tanto, debemos concluir que, el hecho jurídico denunciado no se encuentra dentro del ámbito de aplicación de la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), careciendo esta Agencia, por lo tanto, de competencia para conocer sobre el asunto denunciado, debiendo, en su caso, ser planteado ante otras instancias administrativas o jurisdiccionales. Así las cosas, se procede a analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificarla identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que CAJASUR empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación, al constar tanto en el contrato de la libreta de ahorro como de las tarjetas, la firma de la denunciante, y haber obtenido CAJASUR copia de su DNI, y firma escaneada. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a CAJASUR BANCO SAU y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es