E-01267-2015

1/7 Expediente Nº: E/01267/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante CAIXABANK, S.A., y MONER CONSULTING, S.L.P., en virtud de la denuncia presentada por D. A.A.A. y en consideración los siguientes HECHOS PRIMERO: Con fecha 27 de octubre de 2014, ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que se ha recibido en la dirección electrónica de la empresa para la que trabaja (“email genérico de la empresa”, info@........,) un requerimiento de pago a su nombre relativo a una deuda con CAIXABANK, S.A., (en lo sucesivo, CAIXABANK o la denunciada) que fue enviado desde una dirección electrónica desconocida; conducta que a su juicio vulnera los artículos 10 y 11 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) Acompaña a la denuncia copia de un correo electrónico enviado desde ........@monerconsulting.com a info@........1 y a ........@hotmail.com en el que se les requiere el pago de una deuda por importe de 16.106,49 derivada de un producto de renting financiero. Al pie del documento consta “***NOMBRE.

1. Collection Services” “Bufete ***NOMBRE.3”. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ANTECEDENTES Con fecha de 27 de octubre de 2014 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara: <<Se ha recibido a través del email genérico de la empresa para la que trabajo, una reclamación de deuda que tengo con la entidad La Caixa. En dicho email, no sólo se indica con detalle la deuda que me imputan y de la que he comunicado a la entidad financiera que no estoy conforme, además, se le comunica esta información a una dirección de correo electrónico que desconozco a quién pertenece. Esta situación vulnera el deber de secreto indicados en los artículos 10 y 11 por difundir mis datos a terceros… Esta situación me puede generar unos graves problemas personales al difundir a terceros información sobre problemas financieros que tengo con una entidad, así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 como divulgar con qué empresa trabajo o estoy vinculado.>> Aporta el denunciante copia de un correo electrónico de fecha 24 de octubre de 2014 (14:38) remitido desde la cuenta de ***NOMBRE.2 (........@monerconsulting.com) con destino a las cuentas ........@hotmail.com y info@........ con el asunto “IMPAGO EXPEDIENTE ***EXPTE.1”. En el cuerpo del mensaje se requiere al denunciante al pago de una deuda que mantiene con la CAIXA por importe de 16.106,49 € Al pie del mensaje se identifica al remitente como miembro del bufete ***NOMBRE.
2. ACTUACIONES PREVIAS
3. De la información y documentación aportada por CAIXABANK se desprende: a. La deuda objeto de denuncia se deriva de un contrato de renting de vehículos formalizado en fecha 3 de marzo de 2010 por la sociedad SINERKIA INFRAESTRUCTURAS, S.A. (en adelante, el “Contrato de Renting”). Dicho Contrato de Renting se encuentra impagado desde el año
4. b. El riesgo derivado del Contrato de Renting fue garantizado con la constitución de una fianza solidaria. Entre los fiadores del contrato figura el denunciante y la segunda persona a la que se remitió el correo electrónico origen de la denuncia. Aporta la entidad copia de dicho contrato, intervenida notarialmente en fecha 3/5/
5. c. Aporta igualmente copia de dos cartas dirigidas en fecha 27/7/2011 y 29/9/2014 al denunciante, como fiador solidario de la operación, comunicándole el impago del Contrato de Renting e informándole del importe de la deuda. d. La reclamación de la deuda derivada del Contrato de Renting, realizada a través de los correos electrónicos de origen de la denuncia, se dirigió indistintamente a la sociedad titular del renting (SINERKIA INFRAESTRUCTURAS, S.A.), así como a ambos fiadores solidarios, entre los que se encuentra el denunciante. e. Asimismo, la reclamación se realizó a los correos electrónicos informados por ambos fiadores como datos de contacto. Aporta la entidad copia de las fichas cliente de ambos fiadores, donde se detallan los datos de contado de cada uno de ellos, apareciendo direcciones de correo electrónico coincidentes con las utilizadas para la reclamación de la deuda.
6. De la información y documentación aportada por MONER se desprende: a. La entidad tiene suscrito un contrato de prestación de servicios con fecha 2 de enero de 2014 con la sociedad GDS Cusa, S.A., gestora de CAIXABANK por el cual MONER CONSULTING gestiona con los deudores de CAIXABANK o empresas participadas el importe de deudas vencidas e impagadas. El correo electrónico emitido al denunciante lo fue en cumplimiento de dicho contrato. b. Aporta copia en texto plano del fichero que CAIXABANK le envió el pasado 24 octubre de 2014 para el cobro de la deuda reclamada al denunciante. Examinada dicha información, se encuentra que incluye los datos de contacto de los fiadores de la deuda, entre los que se encuentra el denunciante, así como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 las direcciones de correo electrónico a las que fue remitida la reclamación de la deuda. c. Manifiesta la entidad que la información que obra en sus sistemas sobre el afectado es únicamente la que llega a través de dicho fichero, sin que exista información complementaria de fuentes externas. Aporta impresiones de pantalla en las que no aparece información diferente de la recogida en el registro físico recibido
7. Mediante diligencia de fecha 13 de julio de 2015 se realiza una llamada telefónica a D. A.A.A. en el que se le pregunta si en alguna ocasión informó a CAIXABANK como cuenta de contacto info@........ o utilizó dicha cuenta para relacionarse con la entidad, el denunciante informa haber utilizado dicha cuenta en alguna ocasión para enviar correos electrónicos a la entidad.
8. Solicitada a CAIXABANK la acreditación de que el denunciante aportase el correo electrónico info@........ como dirección electrónica de contacto, manifiesta la entidad que dicha cuenta fue la señalada por el denunciante en la apertura de sus relaciones con la entidad y es la que él mismo utiliza en su interlocución con CAIXABANK. Aporta documentación acreditativa del envío a la entidad de correos electrónicos emitidos desde la cuenta info@........, con fechas de emisión 19/7/2013, 7/11/2013, 2/7/2014 y 8/8/2014 en los que el denunciante solicita unos trámites por parte de CAIXABANK.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante considera que los hechos expuestos en su escrito vulneran los artículos 10 y 11 de la LOPD. La conducta en la que, a su juicio, se concretan tales infracciones es, por una parte, la revelación de información sobre su situación financiera dado que del texto del mensaje enviado al “mail genérico de su empresa” info@........ en el que se le requería el pago de una deuda pendiente con CAIXABANK (antes LA CAIXA) se desprende su condición de deudor moroso de esa entidad. Por otra, la comunicación de esa información al titular de la dirección electrónica remitente del correo en el que se le requería el pago, que ignora a quien pertenece. El artículo 10 de la LOPD bajo la rúbrica “Deber de secreto” dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El artículo
9. i) de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. El artículo 44.3.d, de la LOPD tipifica como infracción grave “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. El artículo 10 de la LOPD tiene como finalidad evitar que quienes están en contacto con los datos personales almacenados en ficheros realicen filtraciones no consentidas por sus titulares. Como ha declarado el Tribunal Constitucional el citado precepto contiene un “instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Derecho fundamental a la protección de los datos que “persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino”, (STC 292/2000), que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida”. La Audiencia Nacional, de manera reiterada, ha considerado que la infracción del artículo 10 de la LOPD es una infracción de resultado, por lo que su comisión exige que los datos revelados hayan sido efectivamente conocidos por un tercero, “sin que pueda presumirse tal revelación” (SAN de 11/06/2009). Pueden citarse a título de ejemplo las SAN de 12/06/2013, Rec. 403/2011, y 29/05/2013, Rec. 356/2012, que confirman las sanciones impuestas por la AEPD por vulneración del artículo 10 de la LOPD y que ponen el acento en que existió una efectiva revelación de datos a un tercero no legitimado para acceder a tales datos. Por lo que concierne a la dirección electrónica info@........ a través de la cual se envió el requerimiento de pago al denunciante, hay que añadir que las actuaciones practicadas por la Inspección de Datos de la AEPD ante CAIXABANK demuestran que esa dirección electrónica fue la que el denunciante facilitó a la entidad para contactar con él a través de mail. En la ficha del denunciante que obra en los registros de la entidad financiera, en el apartado “Datos de contacto”, se incluyen los siguientes datos: “Tel. móvil principal:”, “Tel. fijo particular:” y “E-mail de empresa: info@........”. No consta ningún “E-mail particular”, concepto que sí aparece, por el contrario, en la ficha de otro de los deudores solidarios, ***NOMBRE.1, de la que se nos ha facilitado copia. Se añade a lo anterior que la dirección electrónica info@........ es la que de manera habitual el denunciante utiliza para comunicarse con CAIXABANK. Así lo ha declarado esta entidad que, a título de ejemplo, ha remitido a la AEPD copia de diversos correos electrónicos recibidos del denunciante en fechas 19/07/2013, 07/11/2013, 02/07/2014 y 08/08/2014 desde esa misma dirección electrónica. Por tanto, cabe concluir que el denunciante había prestado su consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 para que el dato de la dirección electrónica en la que recibió el requerimiento de pago se utilizara por CAIXABANK como dato de contacto. No solo porque aparece recogida como tal en la ficha con sus datos personales que obra en los registros de la entidad financiera, sino también porque es la dirección empleada de modo habitual por el denunciante para comunicarse a través de mail con esa entidad. Resulta por ello que, incluso en la hipótesis de que un tercero hubiera llegado a tener conocimiento del requerimiento de pago dirigido a la dirección info@........, ninguna responsabilidad sería exigible a LA CAIXA pues el denunciante había prestado su consentimiento al tratamiento de esa dirección como medio de comunicación con la entidad financiera, de modo que el conocimiento que terceras personas eventualmente llegaran a tener de sus datos personales como consecuencia de utilizar esa dirección electrónica cabría atribuirlo, más bien, a su falta de diligencia en la custodia de sus propios datos, por haber empleado como medio de contacto con el banco con el que tiene relación una dirección electrónica que, a su propio juicio, no reunía las garantías necesarias. III La denuncia versa también sobre la supuesta revelación al titular de “una dirección de correo electrónico”, sobre la que el denunciante declara desconocer a quien pertenece, de su condición de deudor de LA CAIXA. Esto es, a la dirección electrónica remitente del correo electrónico a través del cual se le requirió el pago de la deuda: ........@monerconsulting.com. Al pie de ese correo electrónico figura “***NOMBRE.2 Collection Services”, “Bufete ***NOMBRE.3”. En respuesta a las actuaciones practicadas por la Inspección de la AEPD MONER CONSULTING, S.L.P., informó que Bufete ***NOMBRE.3 es una marca comercial de dicha sociedad. Añadió que tiene suscrito desde 02/01/2014 un contrato de prestación de servicios con la sociedad DGS Cusa, S.A., gestora de CAIXABANK (LA CAIXA) en virtud del cual gestiona el requerimiento de las deudas vencidas e impagadas de CAIXABANK. La entidad ha aportado copia del fichero que CAIXABANK le remitió el 24/10/2014 para el cobro de la deuda relacionada con este expediente – expediente en el que son deudores solidarios el denunciante, ***NOMBRE.
10. y la sociedad Sinerkia Infraestructuras, S.L.- en la que figura entre los datos de contacto del denunciante la dirección electrónica destinataria del requerimiento de pago, info@........ . El artículo 11 de la LOPD exige, como regla general, el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así, dispone en su apartado 1: “Los datos de carácter personal objeto del tratamiento solo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” La LOPD, en su artículo 12, habilita el acceso de terceros a los datos personales cuando éste se efectúe para prestar un servicio al responsable del fichero o del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 tratamiento y establece: “1.No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El artículo 12.1 de la LOPD habilita a la persona o entidad que presta un servicio al responsable del fichero a acceder a sus datos de carácter personal. Este acceso, por imperativo legal, no constituye una cesión o comunicación de datos, de forma que no es preciso el consentimiento del titular de los datos que, como regla general, exige el artículo 11.1 de la LOPD. Tampoco, obviamente, estamos ante una revelación de datos a terceros, infracción del artículo 10 de la LOPD, por cuanto quien accedió a la información del denunciante estaba legitimado para ello en virtud del encargo de tratamiento. En el presente caso, el titular de la dirección electrónica a través de la cual se remitió al denunciante, a su dirección info@........, un requerimiento de la deuda que tenía con CAIXABANK, es la sociedad MONER CONSULTING, S.L.P., que presta un servicio de gestión de cobro de deudas impagadas a CAIXABANK. La entidad financiera acreedora, CAIXABANK, facilitó a MONER CONSULTING, S.L.P., además de la dirección electrónica de contacto del denunciante (info@........) información sobre la condición de deudor moroso del denunciante; información imprescindible para que llevara a cabo su encargo de gestionar el cobro de la deuda. Este acceso a los datos del denunciante tiene lugar en el marco del encargo de tratamiento que vincula a CAIXABANK con la remitente del correo electrónico, por lo que tal conducta no vulnera los artículos 10 u 11 de la LOPD. En definitiva, la comunicación que el denunciante recibió en la dirección electrónica “genérica” de su empresa, remitida por Bufete ***NOMBRE.3 (marca comercial de MONER CONSULTING, S.L.P.), requiriéndole el pago de una deuda con CAIXABANK, se hizo por MONER CONSULTING siguiendo las instrucciones de su cliente, CAIXABANK, y no vulnera la LOPD, pues ambas empresas actuaron amparadas en la habilitación que les otorga el artículo 12 de la LOPD. Se concluye de lo expuesto que fue el denunciante quien consintió el tratamiento de la dirección electrónica info@........1 como dato de contacto entre él y CAIXABANK y que el acceso a los datos personales del denunciante por parte de Bufete ***NOMBRE.3 ( Moner Consulting, S.L.P.) con el fin de requerirle el pago de la deuda que tenía con CAIXABANK no exigía recabar su consentimiento (artículo 11 de la LOPD) ni constituye una infracción del deber de secreto, (artículo 10 de la LOPD) A la luz de las reflexiones precedentes no se aprecia en la conducta de MONER CONSULTING, S.L. y de CAIXABANK, que se somete a la valoración de este organismo, infracción de la normativa de protección de datos, por lo que se acuerda el archivo de las presentes actuaciones de investigación previa. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7
11. PROCEDER AL ARCHIVO de las presentes actuaciones.
12. NOTIFICAR la presente Resolución CONSULTING, S.L.P. y a D. A.A.A.. a CAIXABANK, S.A., MONER De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción introducida por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es