1/5 Procedimiento Nº: E/01457/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, la reclamante) tiene entrada con fecha 11 de octubre de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra COFIDIS S.A., SUCURSAL EN ESPAÑA, con NIF W0017686G (en adelante, la reclamada). Los motivos en que basa la reclamación son que la entidad reclamada llamó a su expareja y reveló datos de una solicitud de préstamo que había realizado. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/08610/2018, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La reclamada, ante requerimiento de la inspección, con fecha 22 de octubre de 2019 se recibe en esta Agencia, con número de registro 050310/2019, escrito de alegaciones remitido por la reclamada manifestando que:
- a)Se ha enviado carta certificada a la reclamante, con fecha 5 de diciembre de 2018, en la que le comunican que los datos aportados por la reclamante coincidían en número de teléfono y dirección con las de IMG. Se añade que en cuanto se tuvo noticia de que no existía vínculo alguno con IMG, el mismo agente eliminó el número de teléfono de la reclamante de la ficha de este.
- b)Nunca realizaron llamada alguna a IMG para informarle del crédito solicitado, desconociendo la fuente por la que IMG había tenido conocimiento de la solicitud iniciada por la reclamante con COFIDIS S.A.
- c)En el momento que recibieron el traslado de la reclamación, solicitaron al departamento de informática las llamadas telefónicas mantenidas con la reclamante y con IMG obteniéndose como resultado que no se había producido ninguna llamada telefónica en el periodo comprendido entre la solicitud del crédito y la reclamación (29 de agosto de 2018 y 2 de octubre de 2018). Especifican que los contactos mantenidos con la reclamante e IMG desde el 28 de agosto de 2018 han sido: - 28 de agosto de 2018: conversación telefónica de solicitud de préstamo por parte de la reclamante. - 2 de octubre de 2018: conversación telefónica de la reclamante para interponer una reclamación. Al no tratarse de una venta, no se grabó la conversación, tal como se explicó a la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 - 5 de octubre de 2018: dos conversaciones a través del chat de la página web de COFIDIS con IMG. - 6 de octubre de 2018: conversación telefónica con IMG en la que solicita financiación. La reclamada adjunta los siguientes documentos: - Copia de carta remitida a la reclamante con fecha 22 de octubre de 2018 - Conversación telefónica de la solicitud de préstamo mantenida con la reclamante el 28 de agosto de 2018 (en soporte físico). - Copia de dos conversaciones a través del chat de la página web de COFIDIS con IMG. - Conversación telefónica con IMG en la que solicita financiación el 6 de octubre de 2018 (en soporte físico) Aunque la reclamante manifiesta en su reclamación que hubo contacto entre la reclamada e IMG con objeto de esta solicitud, según manifestaciones de la reclamada, no se produjo contacto alguno con IMG en el periodo de tiempo que comprende la solicitud de préstamo y la queja ante la reclamada, por lo que no se ha podido determinar con certeza que la fuente por la que IMG tuvo conocimiento de la solicitud de préstamo fuera la reclamada. TERCERO: Con fecha 16 de enero de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada porque el reclamado ha cedido sus datos personales, nombre y apellidos y número de teléfono móvil, a otras empresas, las cuales le llaman ofreciéndole sus servicios, pese a que no ha dado su consentimiento para ello. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. Por su parte, el artículo 5 del RGPD establece que los datos personales serán: “
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»);
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);
- d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
- e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” IV De conformidad con las evidencias de las que se dispone en el presente momento, (copia de carta remitida a la reclamante con fecha 22 de octubre de 2018, conversación telefónica de la solicitud de préstamo mantenida con la reclamante el 28 de agosto de 2018 -en soporte físico-, copia de dos conversaciones a través del chat de la página web de la reclamada con IMG, y conversación telefónica con IMG en la que solicita financiación el 6 de octubre de 2018 -en soporte físico-) s e constata que mediante el chat y la conversación telefónica entre la reclamada y la expareja de la reclamante, hay indicios de que la expareja sabía algo del microcrédito solicitado por la reclamante, pero no hay evidencias de que se hubiera enterado por la reclamada. Esto es así ya que aunque la reclamante manifiesta en su reclamación que hubo contacto entre la reclamada e IMG con objeto de esta solicitud, no puede acreditarse contacto alguno con IMG en el periodo de tiempo que comprende la solicitud de préstamo y la queja presentada ante la reclamada, por lo que no se ha podido determinar con certeza que la fuente por la que IMG tuvo conocimiento de la solicitud de préstamo fuera la reclamada. Así las cosas, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, por la falta de evidencias de vulneración de la normativa de protección de datos personales como consecuencia de los hechos denunciados. Todo ello sin perjuicio de las posibles actuaciones que esta Agencia pudiera llevar a cabo ante el responsable del tratamiento en caso de que se produzca una reiteración en la conducta puesta de manifiesto en la presente reclamación o no se implanten de manera efectiva las medidas anunciadas por dicha entidad para evitar situaciones futuras similares. Si así ocurriera, esta Agencia acordará la realización de la oportuna investigación sobre los tratamientos de datos personales y los procesos de gestión que aplica en materia de protección de datos de carácter personal, así como las posibles actuaciones correctivas que procedieran. Por lo tanto, de acuerdo con lo señalado por la Directora de la Agencia de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 2. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es