1/7 Expediente Nº: E/02046/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COFIDIS S.A, SUCURSAL EN ESPAÑA en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de febrero de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta que, el 27 de febrero de 2014 ha recibido tanto un correo electrónico como un sms remitidos ambos por la empresa Cofidis en los que le comunican la concesión de un crédito que él no ha solicitado, ya que no ha contactado en ningún momento con la citada empresa. Adjunto al correo electrónico figuraba un contrato de solicitud de crédito cumplimentado por la empresa en el que figuran una mezcla de datos falsos y reales (nombre, dirección del domicilio, número de teléfono, etc) junto con la solicitud de más datos complementarios. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- “En la copia del contrato aportado por el denunciante se comprueba que consta como nombre A.A.A., fecha de nacimiento DD/MM/AA, NIF: ***NIF.1, como datos de contacto consta calle (C/...........1) de Madrid, teléfono ***TEL.1 y ***TEL.2, email: ...@...., profesión: XXXXX, antigüedad ***AÑO.1, salario neto mensual, ***EUROS.1 euros, tipo de contratación fijo, estado civil XXX.
- Dado que el denunciante no aporta copia del documento nacional de identidad, únicamente puede verificarse contrastando los datos aportados por el denunciante en su denuncia con los aportados en el contrato los siguientes como supuestamente verdaderos: nombre, dirección, NIF teléfono móvil y email.
- Con fecha 24 de noviembre de 2014 se solicita información a Cofidis, SA, sucursal en España (en adelante Cofidis). Tras solicitar ampliación de plazo el 23/12/2014 y facilitarle uno nuevo, aportan respuesta con fecha 8/1/
- En la respuesta facilitada no aportan ningún tipo de documento, manifiestan lo siguiente: - El documento recibido por el denunciante no es un contrato ni forma parte de ningún documento contractual que obligue ni que comprometa a ningún cliente ni potencial cliente para con COFIDIS. - Se trata de la primera hoja que se acompaña habitualmente y como norma general a cualquier solicitud de crédito que cualquier persona puede solicitar a COFIDIS a través de los medios o canales habituales de contacto con la entidad. - Es una hoja informativa al cliente sobre los pasos que debe realizar para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 formalizar su solicitud de crédito que ha sido pre-aceptada y que previamente a solicitado a través de los medios y canales que COFIDIS pone a disposición de los interesados. - Esta hoja informativa forma parte de un pack de bienvenida de cualquier solicitud de crédito que se remite al potencial cliente interesado en contratar un crédito. - No les consta en sus ficheros datos asociados a A.A.A. con DNI: ***DNI.
- - Manifiestan que en la hoja informativa consta A.A.A. y que efectivamente tienen datos personales de esta persona con otro DNI. Esta información no la acreditan documentalmente ya que se trata de una persona diferente a la persona sobre la que se solicita información. Con fecha 6 de febrero de 2015, los inspectores de la Agencia realizan una visita de inspección en la sede de COFIDIS S.A., SUCURSAL EN ESPAÑA. Los inspectores muestran el contrato aportado por el Sr. A.A.A. junto a su denuncia y solicitan información. Los representantes de COFIDIS S.A., SUCURSAL EN ESPAÑA realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores:
- Cuando una persona desea solicitar un crédito puede dirigirse a la empresa vía web o a través de contacto telefónico.
- Debe facilitar datos personales para que la empresa pueda realizar un pre-estudio y comprobar si realmente el crédito puede ser concedido.
- Si se acepta la solicitud, se envía al cliente un contrato como el que se le ha enviado al Sr. A.A.A. informando que su petición ha sido aceptada y que debe devolver el contrato firmado junto con la copia de su DNI y la documentación solicitada para poder gestionar el crédito.
- Si la solicitud es aceptada, los datos personales se incluyen en el fichero de clientes a la espera de que se reciba la documentación solicitada, el contrato firmado y la copia del DNI. Esta información permanece en el fichero durante 60 días, si en este período no se recibe nada, los datos son eliminados del fichero quedando una copia de seguridad en el servicio de informática.
- En este caso, dado que el cliente no devolvió el contrato, los datos personales no estarán en el fichero. Los inspectores de la Agencia solicitan al representante de COFIDIS S.A., SUCURSAL EN ESPAÑA que les permita el acceso al fichero de clientes para realizar las siguientes búsquedas: a. Se realiza una búsqueda por apellidos “***APELLIDOS-A.A.A.” comprobándose que consta un cliente A.A.A. con DNI “***DNI.2” titular del contrato “***CONTRATO.1” y con domicilio en la (C/...........2) en Madrid. b. Se realiza una búsqueda por DNI “***NIF.1”, DNI que figura en el contrato que ha recibido el denunciante. Se comprueba que no consta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 ningún cliente con ese DNI. c. Se realiza una búsqueda por DNI “***DNI.1”, DNI que aporta el denunciante como propio en su denuncia. Se comprueba que no consta ningún cliente con ese DNI. d. Se realiza una búsqueda por el número de contrato que aparece en el precontrato aportado por el denunciante junto a su denunciante, “***CONTRATO.3”. Se comprueba que no consta ningún cliente con ese número de contrato. Los inspectores solicitan a los representantes de la entidad información y documentación sobre el procedimiento por el cual han obtenido los datos personales que constan impresos en el precontrato remitido al Sr. A.A.A.. Manifiestan que los datos deben ser solicitados al servicio de informática que es el que custodia las copias de seguridad. Realizan una solicitud para verificar los datos personales que constan en las copias de seguridad. Aportan una impresión de los datos que fueron facilitados vía web y se verifica que son los mismos datos personales que han traslado al contrato enviado al Sr. A.A.A.. Los inspectores solicitan información sobre la dirección IP desde la cual el Sr. A.A.A. se conectó para facilitar los datos personales a Cofidis. Realizan una consulta por el DNI “***NIF.1” que es el que consta en el contrato y se obtiene la información que se adjunta como DOC.
- Se verifica que aparecen los datos que constan en el contrato y que la dirección IP remota desde la que se conecto es ***IP.
- Finalmente los representantes de la entidad manifiestan que cuando recibieron la solicitud de la Agencia de Protección de Datos solicitando información, ante las dificultades que encontraron para contestar adecuadamente, buscaron en internet información sobre el cliente actual de la empresa y comprueban que consta su nombre y DNI en un BOE, se trata de A.A.A.. Asimismo, buscan información del denunciante y verifican que consta su nombre y DNI también en el BOE. Se trata de A.A.A.. Al realizar una búsqueda por los datos que aparecen en el precontrato verificaron que no consta ninguna persona asociada a su DNI.” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el caso que nos ocupa, en relación con el consentimiento del afectado, el artículo 6 de la LOPD establece lo siguiente: “
- El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7
- No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El precepto citado consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues solo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)”. III La cuestión objeto de denuncia versa sobre el tratamiento de los datos personales del denunciante, sin su consentimiento, efectuado por la entidad COFIDIS, que ha gestionado a su nombre una solicitud de alta de un crédito, solicitud de la que el denunciante declara ser ajeno. El denunciante conoció que sus datos personales obraban en los ficheros de COFIDIS por el correo electrónico que recibió de dicha entidad respondiéndole a la supuesta petición de un crédito e informándole que éste ya estaba en marcha. Adjunto al citado correo electrónico, la entidad denunciada le remitió los documentos del contrato de préstamo para que los devolviera firmados. En estos documentos aparecen impresos los datos personales del denunciante, tales como: nombre y apellidos, dirección postal, teléfono móvil y dirección de correo electrónico. En el transcurso de las actuaciones de inspección llevadas a cabo por esta Agencia, COFIDIS informó que, a través del formulario de su página web y desde la dirección IP ***IP.1, recibió una solicitud de crédito a nombre del denunciante en la que constaban sus datos personales (adjuntando impresión de los mismos y comprobándose C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 que coinciden con los que figuran en el documento remitido al denunciante). Esto generó una pre-aceptación de la solicitud y el envío posterior a la dirección de correo electrónico facilitada a través del formulario web (...@....) de la solicitud de crédito y de las condiciones generales correspondientes. Es importante subrayar que COFIDIS ha manifestado que la entidad no acepta o rechaza la operación financiera hasta que, tras haberse cumplimentado el formulario web, recibe del interesado la documentación que se le remitió, firmada y acompañada de la copia del DNI. Al hilo de lo anterior, en el marco de las actuaciones de inspección llevadas a cabo por esta Agencia ante la entidad COFIDIS, se ha constatado que, en los ficheros de la citada entidad no consta ningún cliente con el mismo DNI que el denunciante, así como tampoco con el mismo DNI que figuraba en la documentación de solicitud de crédito remitida por Cofidis. Asimismo se ha constatado que no figura ningún cliente con el número de precontrato que le fue remitido al cliente, por lo que se concluye que no llegó a formalizarse ningún contrato a nombre del cliente, en consonancia con lo manifestado por COFIDIS a esta Agencia “si la solicitud es aceptada, los datos personales se incluyen en el fichero de clientes a la espera de que se reciba la documentación solicitada, el contrato firmado y la copia del DNI. Esta información permanece en el fichero durante 60 días, si en este período no se recibe nada, los datos son eliminados del fichero”. Sobre la base de lo expuesto se concluye que, en el presente caso procede el archivo de las actuaciones seguidas contra COFIDIS ante la ausencia, en los hechos analizados, del elemento subjetivo de la culpabilidad. Si bien, la conducta examinada pudiera constituir, a priori, una vulneración del artículo 6.1 de la LOPD, no es merecedora de reproche o sanción administrativa conforme a la normativa de protección de datos, pues la presencia del elemento subjetivo de la infracción es esencial para exigir responsabilidad en el marco del derecho administrativo sancionador. La razón es que la entidad COFIDIS ha observado en el desarrollo de su actividad empresarial el grado de diligencia que es exigible a fin de garantizar el derecho fundamental a la protección de datos personales. Dicha diligencia se constata en que, pese a haber recibido a través del formulario web los datos del interesado y una solicitud para contratar un préstamo, antes de aceptar o rechazar la operación financiera solicitada, la entidad espera a tener en su poder, debidamente firmado, el documento escrito del contrato que se remite al correo electrónico del interesado junto con la copia de su DNI, lo que constituye una cautela adicional a fin de garantizar que coincidan la identidad del solicitante del contrato y del titular de los datos personales que han sido objeto de tratamiento. Las cautelas que COFIDIS ha adoptado para verificar la identidad de quien facilitó como suyos unos datos personales (en este caso los datos del denunciante) evidencia un comportamiento diligente y priva a su conducta del elemento subjetivo de la culpabilidad. De hecho, conforme al principio de culpabilidad, que rige sin excepciones en el ámbito del derecho administrativo sancionador, no cabe exigir responsabilidad por conductas “antijurídicas”, como podría ser en el caso que nos ocupa el tratamiento de los datos del denunciante por COFIDIS, sin que esté presente también el elemento de la culpa, sea a título de dolo, negligencia o mera inobservancia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Por su parte, la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (LRJPAC) en su artículo 130.1 dispone: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia”. A este respecto debemos señalar la Sentencia de la Audiencia Nacional de 29/04/2010, en la que se dispone que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. Sobre la base de lo expuesto y, a la vista de la documentación obrante en el expediente, procede el archivo de las presentes actuaciones de investigación por ausencia del elemento subjetivo de la culpabilidad en la actuación de COFIDIS, elemento esencial para poder exigir responsabilidad en el marco del derecho administrativo sancionador, además de haber procedido dicha entidad en su actuación, con la diligencia debida a la hora de acreditar la identidad del denunciante. IV Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a COFIDIS S.A, SUCURSAL EN ESPAÑA y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es