1/5 Expediente Nº: E/01696/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A., en virtud de la denuncia presentada por D. C.C.C. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 16/02/2016 tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. C.C.C. (en lo sucesivo el denunciante) en el que manifiesta que BANCO SANTANDER, S.A., (en lo sucesivo, BANCO SANTANDER o la denunciada) ha incluido sus datos personales en el fichero de solvencia patrimonial BADEXCUG sin requerirle con carácter previo el pago de la deuda. Aporta copia de su DNI y del escrito de 09/09/2014 recibido de Experian Bureau de Crédito, S.A. (en adelante, EXPERIAN), responsable del fichero BADEXCUG, respondiendo al acceso solicitado en el que le comunica que sus datos figuran incluidos en el fichero, informados por BANCO SANTANDER, con fecha de alta 02/03/2014, por un saldo impagado a fecha de alta de 508,22 euros, por un descubierto en cuenta corriente. SEGUNDO: Tras la recepción de la denuncia, por la Subdirección General de Inspección de Datos se procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: La empresa BANCO SANTANDER en sus dos escritos de fecha 27/05/2016 ha remitido la siguiente información: Impresión de pantalla con los datos relativos al denunciante: nombre, apellidos y tres direcciones de contacto, entre ellas la de calle A.A.A., que coincide con la facilitada a esta Agencia, y la de calle B.B.B.. Este último domicilio consta a raíz de la actualización efectuada por el denunciante en fecha 18/02/2015. Impresión de pantalla de los productos y servicios contratados con fechas de alta y baja de cada uno de ellos. Aporta copia del contrato de tarjeta de débito de fecha 16/05/2007, firmado, en el que figura como domicilio facilitado y de envío de correspondencia calle B.B.B.. Copia de apuntes de la deuda que dio origen a la inclusión de sus datos en ficheros negativos, donde consta con fecha 05/11/2012 un saldo deudor de 508,22€ y un saldo final a fecha 09/12/2013 de 0€. Copia de las comunicaciones y contactos que han existido con el denunciante: o C/ Jorge Juan, 6 28001 – Madrid Ejercicio del derecho de acceso con entrada en la entidad con fecha www.agpd.es sedeagpd.gob.es 2/5 16/10/2015 y respuesta de la entidad de 19/10/2015. o Copia de los contratos suscritos por el denunciante y copia del DNI. Carta de fecha 24/01/2014 referenciada (número de referencia ***REF.1) e individualizada a nombre del denunciante, con información de una deuda pendiente por importe de 508,22€ y advertencia de que de no atender el pago en el plazo de 30 días siguientes sus datos podrán ser incluidos en ficheros de morosidad. Certificado de la empresa Nexea Gestión Documental, S.A., encargada de la generación, impresión y puesta en correos por BANCO SANTANDER, respecto a la comunicación referenciada con el número ***REF.1, en el que manifiesta que con fecha 27/01/2014 se generó la citada comunicación a nombre del denunciante, a la dirección de (C/...1) Alicante, sin que se tenga constancia de que dicha comunicación haya sido devuelta. Asimismo, certifica que la comunicación indicada se puso en el Servicio de Correos en fecha 29/01/2014. Documento del gestor postal CORREOS (copia del albarán de entrega) en el que figura la remisión de 14366 documentos con fecha 29/01/2010 , figurando como cliente “BANCO SANTANDER_ASNEF 24-1-14”, sin individualizar una referencia a la carta al denunciante, y validado por el gestor postal con mecanización acreditativa. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4.3 de la LOPD dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29.4 de la Ley Orgánica 15/1999 indica que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial respecto a las obligaciones dinerarias a las que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Así el citado precepto indica: Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Por otra parte los artículos 40.3 y 43.1 del RLOPD disponen, respectivamente: “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
- c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio seguido, de manera uniforme, por la Audiencia Nacional, Sala de lo Contencioso Administrativo, respecto al alcance de la obligación que impone al responsable del fichero el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- es que éste debe estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor, utilizando para ello un medio que deje constancia efectiva de haberlo efectuado, y que tal requerimiento ha sido recibido por el destinatario. La Audiencia Nacional, en Sentencia de 24/01/2003 precisó que “ Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) IV La denuncia que examinamos versa sobre el presunto incumplimiento por BANCO SANTANDER de la obligación que le impone el artículo 38.1.c, del RLOPD. Ha quedado acreditado en el expediente que la denunciada informó al fichero de solvencia los datos del denunciante con fecha de alta 02/03/2014 por una deuda pendiente de 508, 22 euros y que a fecha 09/09/205 sus datos continuaban incluidos en BADEXCUG. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Pues bien, la documentación que BANCO SANTANDER ha aportado a la AEPD en respuesta al requerimiento informativo de la Inspección de Datos, acredita plenamente que practicó el preceptivo requerimiento de pago previo a la inclusión de los datos de en el fichero de solvencia patrimonial con las formalidades que de acuerdo con la doctrina de la Audiencia Nacional esta Agencia viene exigiendo. Así, la denunciada ha remitido copia de la carta personalizada, dirigida al denunciante, al último domicilio que comunicó a la entidad, con fecha 24/01/2014. La carta lleva un código de barras con la referencia ***REF.1. En ella le informa de la existencia de una deuda por importe de 508,22 euros derivada de la operación D.D.D., le insta a que satisfaga el importe debido en el plazo máximo de 30 días y hace constar que , en cumplimiento de lo dispuesto en el artículo 38 del RLOPD, se le informa de que en caso de no atender el pago los datos relativos al impago podrán ser comunicados a ficheros automatizados relativos al control de morosidad donde permanecerán accesibles durante un máximo de seis años. BANCO SANTANDER ha facilitado a la AEPD una copia del contrato suscrito con Nexea Gestión Documental, S.A., y un certificado expedido por NEXEA, en su condición de prestador del servicio de envío de comunicaciones del proceso de cartas Asnef de BANCO SANTANDER en virtud de contrato marco, en el que manifiesta que en enero de 2014 se realizó el proceso de generación e impresión respecto de la operación con referencia ***REF.1. Certifica que la comunicación referenciada se puso a disposición del Servicio de Correos para su ulterior distribución el 29/01/2014. Añade que no se tiene constancia de que esta comunicación se haya devuelto siendo NEXEA quien gestiona el tratamiento de devoluciones documentales. Finalmente, la denunciada remite también copia del documento expedido por Correos y Telégrafos, S.A., - albarán de entrega-, debidamente validado por el gestor postal. En el documento se indica que en fecha 29/01/204 se remitieron un total de 14366 envíos por el cliente “BANCO SANTANDER_ASNEF 24-1-14” A la vista de la documentación que obra en el expediente aportada por la denunciada y de conformidad con las reflexiones precedentes no se infiere de la actuación de BANCO SANTANDER que se somete a la consideración de esta Agencia indicios de infracción de la normativa de protección de datos personales. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BANCO SANTANDER, S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es