1/11 Expediente Nº: E/01471/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BMN, CAJA GRANADA, en virtud de la denuncia presentada por D.ª A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 03/12/2013 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D.ª A.A.A. (en lo sucesivo la denunciante) en el que manifiesta que BMN, CAJA GRANADA (en lo sucesivo la denunciada o BMN) ha cedido sus datos personales, asociados a una deuda de cuya existencia no tenía noticia, a VIENTO 1, S.á.R.L., (en lo sucesivo, VIENTO) sin que se le haya notificado dicha cesión. De sus manifestaciones resulta que conoció la existencia de la deuda y su cesión a VIENTO en el escrito que recibió de BMN en respuesta a la reclamación que había formulado en el Servicio de Atención al Cliente de esa compañía a raíz de los requerimientos de pago que recibió de la empresa MISTRAL, que efectuó llamadas telefónicas el 4 y 11 de noviembre de 20013, y de ISGF por un sms enviado el 12/11/
(30)Días Hábiles siguientes a la Fecha de Cierre. 3.5. La entidad elegida para la entrega de las Comunicaciones deberá conservar y proporcionar a BMN y al Cesionario copias de las Comunicaciones realizadas y disponer de registros adecuados para demostrar la realización de los envíos y, en su caso, cualquier posible incidente acaecido durante el proceso y, en particular, cualquier devolución y/o rechazo de las Comunicaciones con el objetivo de verificar la dirección de los receptores y, en su caso, reenviar la Comunicación. Asimismo, deberá proporcionar a BMN y al Cesionario un certificado que demuestre que las Comunicaciones han sido enviadas a los Clientes. 3.6, Las Partes acuerdan firmar de nuevo las Comunicaciones a los Clientes correspondientes, en el caso de que alguna de las Partes as le solicite a fin de enviar nuevamente las Comunicaciones a una dirección diferente o reenviadas en el caso de pérdida. 3,7. Todo coste derivado de la entrega de las Comunicaciones será asumido por el Cesionario.” Se ha solicitado a BMN copia del contrato suscrito con la afectada donde conste su dirección postal como “PLAZA PRADOLLANO S/N S/N”, en ***LOCALIDAD.1. Ante ello, la entidad ha aportado copia de un contrato de préstamo personal suscrito por la afectada en el que consta la referida dirección como “DOMICILIO PARA NOTIFICACIONES”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 Se verifica que el contrato aportado proviene de CAJA GRANADA, sucursal de ***LOCALIDAD.1. Realizadas búsquedas por Internet se encuentra que existió una sucursal de CAJA GRANADA (oficina ***) en ***LOCALIDAD.1, en la Plaza Pradollano S/n, por lo que parece desprenderse que en el contrato de préstamo se plasmó la dirección de la sucursal bancaria, por lo que no pudo llegar a la afectada la comunicación. Se ha solicitado a EXPERIAN BUREAU DE CREDITO, SA copia del contrato suscrito con VIENTO para la prestación del servicio de impresión y envío de las notificaciones, así como la descripción del procedimiento de comunicación de incidencias, incluidas las devoluciones. También se ha solicitado copia de toda la documentación que pueda acreditar la comunicación efectuada por EXPERIAN BUREAU DE CREDITO, SA a VIENTO y/o BMN con ocasión de la devolución de la notificación realizada a la afectada. Esta ha entidad ha respondido que en el proceso del Servicio de envío de Notificaciones se incluyen las siguientes funciones: - Envío de la Notificación, en nombre de VIENTO. - Tras el proceso de envío se realiza la recepción de las posibles devoluciones en el apartado postal habilitado para este fin. - Tratamiento y Codificación de las devoluciones por motivos de devolución, escaneado en los casos de devolución por motivo rehusado. - Tratamiento de las cartas devueltas, escaneado y envío a VIENTO. Indican que el lunes 23 de septiembre de 2013 se remitió a VIENTO, a través de correo electrónico, documentación técnica “PROCESO NOTIFICACIONES REQUERIMIENTO PREVIO DE PAGO CLIENTES. ANEXO: VIENTO”. Adjuntan copia de la citada documentación técnica. El documento recoge el formato de los ficheros utilizados para el intercambio de información con el cliente. En su Apartado 5 se recoge información acerca del Fichero de Notificaciones Devueltas intercambiado con el cliente, apreciándose que en el nombre del fichero consta la fecha de proceso. En el cuerpo del fichero se incluye los códigos de las cartas devueltas, el motivo y la fecha de devolución, entre otros campos. No aportan copia o extracto del fichero pero indican que: “El registro en cuestión se comunicó por EXPERIAN a VIENTO a través de dos vías: 1ª. A través de fichero 5008.NRPO6O.*******.*******, transmitido por canal SFTP el día 04/11/2013, donde se encuentran los datos relativos a la devolución de la carta enviada a la afectada. 2ª. Además, a través de un Fichero Excel recapitulativo de todas las cartas Hello-Goodbye devueltas desde el comienzo del servicio hasta esa fecha, enviado el 12/05/2014 a través de correo electrónico desde EXPERIAN a la entidad TDX GROUP (entidad encargada de la transmisión y recepción de los ficheros de información entre VIENTO y EXPERIAN). Las devoluciones se recogen diariamente en el apartado de correos previsto para ello y se entregan para su grabación al mismo proveedor que realiza la impresión y envío de las cartas. Este proveedor está obligado contractualmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 a realizar la grabación de las notificaciones devueltas en el plazo máximo de una semana desde que las cartas devueltas sean entregadas por EXPERIAN.” Aportan copia de contrato suscrito entre EXPERIAN y VIENTO, para la remisión de las cartas de Hello / goodby (cartas a los clientes, de notificación de la cesión de deuda de BMN a VIENTO ) En él se cita ( en la propuesta suscrita, apartado 2.4 ) que en el proceso existirán varios pasos: Envío de notificaciones (VIENTO a Experian). Tratamiento y envío de Notificaciones por el Operador Postal. Recepción y tratamiento de Notificaciones Devueltas. Envío de notificaciones Devueltas (Experian a VIENTO) La propuesta específica el siguiente detalle del proceso: VIENTO indicará a Experian el texto a utilizar en la notificación de Requerimiento Previo de Pago, con la posibilidad de incluir una personalización de texto fijo o dinámico, así como el logo de VIENTO y BMN que será en blanco y negro. Envío por parte de VIENTO del fichero con los datos de las notificaciones a enviar. Recepción en EXPERIAN del fichero y proceso previo de tratamiento y validación. Informe de errores detectados tras el proceso de validación. Generación de las cartas e impresión, la carta se imprimirá en formato completo RIN. Manipulado, franqueo y depositado en el operador postal (Correos, Unipost, etc.). Envío de la Notificación, en nombre de VIENTO. Tras el proceso de envío se realiza la recepción de las posibles devoluciones en el apartado postal habilitado para este fin. Tratamiento y Codificación de las devoluciones por motivos de devolución, escaneado en los casos de devolución por motivo rehusado. Tratamiento de las cartas devueltas, escaneado y envío a VIENTO>> FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 II El artículo 11 de la LOPD exige, como regla general, el consentimiento previo del interesado para que sus datos personales puedan ser comunicados a un tercero y dispone en su apartado 1: “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” No obstante, el apartado 2.
- a)del artículo 11 señala que el consentimiento para la cesión de datos no será preciso “cuando la cesión está autorizada en una ley”. En este sentido el Código de Comercio habilita la cesión de datos sin consentimiento del afectado en los supuestos de cesión de créditos, al establecer en su artículo 347: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. (El subrayado es de la AEPD) El artículo 348 del Código de Comercio añade que “ el cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare” III El objeto de la presente denuncia es la conducta de BMN que cedió a VIENTO los datos personales de la denunciante, asociados a una deuda que ella afirma desconocer, sin recabar su consentimiento y sin su conocimiento lo que considera contrario al artículo 11 de la LOPD. Con carácter general la LOPD exige el consentimiento inequívoco y previo del titular de los datos para que el responsable del fichero pueda cederlos a un tercero. Sin embargo, el apartado 2 del artículo 11 recoge varias excepciones y establece en la letra
- a)que “El consentimiento exigido en el apartado anterior no será preciso” “cuando la cesión esté autorizada en una Ley”. En consecuencia, la cesión por BMN a VIENTO del crédito que ostentaba frente a la denunciante no requería en ningún caso contar con su consentimiento pero sí que se pusiera en su conocimiento la cesión. Cumplida esta condición, la cesión de los datos personales que va pareja a la cesión del crédito encuentra su legitimación en el artículo 11.2.
- a)de la LOPD en relación con el artículo 347 del Código de Comercio. Por tanto, BMN, en su condición de responsable del fichero que incorporaba los datos personales de la denunciante asociados a una deuda con esta mercantil podía cederlos a un tercero sin recabar el consentimiento de su titular amparando la comunicación en el artículo 11.2.
- a)de la LOPD, en relación con el artículo 347 del Código de Comercio, precepto que, por otra parte, no determina quién debe efectuar la comunicación al deudor cedido, si el cedente o el cesionario. Es por ello correcto que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 cedente del crédito y cesionaria acordaran que fuera esta última entidad, VIENTO, la encargada de gestionar la comunicación de la cesión, lo que verificó de forma diligente toda vez que la carta comunicando la transferencia del crédito se remitió al domicilio que la cedente le proporcionó. Domicilio que, como se expondrá más adelante, es el mismo que consta en el contrato de préstamo que la denunciante celebró con CAJA GRANADA y del que deriva la deuda sobre la que versa la denuncia. El contrato de cesión de cartera celebrado entre BMN y VIENTO el 28/06/2013 dedica la cláusula “3” a la “Notificación de la cesión” y detalla los criterios a los que deberá ajustarse. A tenor de esas estipulaciones es el cesionario (VIENTO) quien deberá gestionar y coordinar la entrega de las comunicaciones a través de una entidad especializada “de su elección”, “a la cual el Cesionario dará las oportunas instrucciones para que las Comunicaciones se remitan de acuerdo con la presente Cláusula.” Sobre el protocolo a seguir en esta materia la cláusula 3.5 del contrato de cesión entre BMN y VIENTO dice literalmente: “La entidad elegida para la entrega de las Comunicaciones deberá conservar y proporcionar a BMN y al Cesionario copias de las Comunicaciones realizadas y disponer de registros adecuados para demostrar la realización de los envíos y, en su caso, cualquier incidente acaecido durante el proceso y, en particular, cualquier devolución y/o rechazo de las Comunicaciones con el objetivo de verificar la dirección de los receptores y, en su caso, reenviar la Comunicación. Asimismo, deberá proporcionar a BMN y al Cesionario un certificado que demuestre que las Comunicaciones han sido enviadas a los Clientes”. En definitiva, las partes acordaron en el contrato de cesión de créditos que fuera VIENTO quien se encargara de gestionar la comunicación al deudor cedido; que la entidad designada para practicar las notificaciones debería facilitarle un certificado que acreditara que se habían enviado a los clientes; y que esa entidad debía tener registros que permitieran demostrar cualquier incidente acaecido en los envíos, como la devolución o el rechazo de una comunicación. VIENTO, en cumplimiento de lo acordado con BMN, suscribió con EXPERIAN BUREAU DE CRÉDITO, S.A. (EXPERIAN) el 02/09/2013, un contrato de prestación de servicios que incluía el relativo a la impresión y envío de notificaciones de cesión del crédito y la comunicación de las incidencias acaecidas durante el envío de las notificaciones, incluidas las devoluciones. EXPERIAN ha informado a la AEPD que entre los días 1,2 y 9 de octubre de 2013 envió la carta mediante la cual se notificaba a la denunciante la cesión de la deuda y se le requería el pago. Además, la documentación aportada acredita que la notificación se envió a la dirección (C/.............1) y fue devuelta el 04/11/2011 con la indicación “DIRECCIÓN ERROR”. Puesto que el domicilio en el que se intentó notificar a la denunciante ((C/.............1)) no coincide con el que ella había facilitado a la AEPD ni tampoco con el que consta en su DNI, pues está ubicado en otra localidad de Granada, se requirió a BMN para que aportara la copia del contrato de préstamo celebrado en el que figuraba la dirección postal. Se comprobó así que la dirección facilitada por VIENTO a EXPERIAN es la misma que aparece como “DOMICILIO PARA NOTIFICACIONES” en el contrato de préstamo suscrito por la denunciante del que deriva la deuda objeto de cesión. La Inspección ha comprobado que el contrato de préstamo proviene de la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 financiera CAJA GRANADA, de la sucursal sita en la localidad de ***LOCALIDAD.1, comprobando asimismo a través de internet que existió allí una sucursal (oficina ***) ubicada en la (C/.............1), por lo que todo indica que en el contrato de préstamo se incorporó como domicilio a efectos de notificaciones la oficina de la sucursal. Ahora bien, es importante subrayar que BMN ha manifestado que no tiene noticia de que la denunciante hubiera ejercitado el derecho de rectificación del dato relativo al domicilio. En este sentido hay que indicar que el artículo 8.5 del Reglamento de Desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, y añade que “Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste”. Se añade a lo anterior que el contrato de préstamo del que trae causa la deuda cedida, en el que figura como domicilio a efectos de notificaciones el mismo al que EXPERIAN notificó la carta en la cual se informaba a la denunciante de la cesión de la deuda, se celebró en el año 2004 y que durante todo el tiempo transcurrido, casi diez años, la denunciante ha dado por buena esa dirección a efectos de notificaciones. Así las cosas, cabe concluir que BMN y VIENTO obraron con diligencia en el cumplimiento de la obligación de comunicación de la cesión impuesta por el artículo 11.2.
- a)de la LPOD en relación con el artículo 347 del Código de Comercio por lo que no se aprecia en los hechos denunciados infracción de la normativa de protección de datos. Por último, habida cuenta de que la denunciante alude en su escrito a los “registros de impagados” y a la infracción de los artículos 38.1.
- c)y 39 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), cabe señalar que los preceptos que cita no tienen relación con los hechos que expone y que no ha aportado prueba o indicio alguno del que se infiera que sus datos se incluyeron en un fichero de morosidad informados por la empresa cesionaria del crédito. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BANCO MARE NOSTRUM, S.A., y a D.ª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es