E-02055-2013

1/6 Expediente Nº: E/02055/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BARCLAYS BANK, S.A en virtud de denuncia presentada ante la misma por Dª. A.A.A. y en base a los siguientes HECHOS PRIMERO: Con fecha de 7 y 8 de febrero de 2013 tienen entrada en esta Agencia dos escritos de Dª. A.A.A. (en adelante la denunciante) en los que declara ISGF RECUPERACIONES y CORPORACION LEGAL le están reclamando una deuda en nombre de BARCLAYS BANK SA. Consta la referencia ***REFERENCIA.1. Indica que tiene la certeza de no haber tenido ninguna relación comercial con BARCLAYS BANK, ni haber formalizado con ellos ningún tipo de contrato. Aporta copia de la siguiente documentación: - carta de reclamación de la deuda remitida por ISGF RECUPERACIONES, de fecha 12 de septiembre de 2012, - carta de reclamación de la deuda remitida por CORPORACION LEGAL 2001 SL, de fecha 16 de noviembre de 2012, - ejercicio de derecho de acceso a datos personales y de la contestación al mismo, en la que la entidad bancaria le informa de los datos que obran con relación a su persona. - DNI Indica que sospecha que BARCLAYS BANK SA no ha encomendado a CORPORACION LEGAL ni a ISGF RECUPERACIONES la gestión de cobro de ninguna cantidad, solicitando que las entidades acrediten que cuentan con su consentimiento para el tratamiento de sus datos personales. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha solicitado a BARCLAYS BANK SA (en adelante BARCLAYS) documentación acreditativa de la contratación efectuada por la denunciante en cuyo marco se ha producido la reclamación de la deuda, así como copia de la documentación acreditativa de la identidad de la persona, que fuera recabada en el momento de la contratación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Los representantes de BARCLAYS han manifestado lo siguiente: “Según nuestros archivos, se trata de un cliente que viene del Banco Zaragozano, cuyas posiciones a excepción del fallido, nunca pasaron a Barclays, pues fueron canceladas antes de la compra del Banco Zaragozano por parte de Barclays. Por tanto: - Contratos en Barclays: Préstamo C.C.C. migrado de Banco Zaragozano ya como fallido con el número de asunto ****-********. En el SAC no hay ninguna reclamación de esta persona, la oficina no ha dicho nada. Se respondió a un derecho de acceso en Enero 2013 (“Derecho acceso.pdf”). - Adjuntamos pantallazo (“Situacion XXXXXXXXXX.pdf’). - Adjunto pantallazo (“Domicilio.pdf”). Además, esta en la respuesta que se le dio cuando ejerció su derecho de acceso (y que es el Doc.4 que ha enviado la AEPD) - Adjuntamos el pantallazo del departamento de Barclays de Recobros (Doc. “Situación XXXXXXXXXX.bmp”) y el pantallazo de MCDP donde se ve que está en recobro y la petición que se hizo en verano (“Consulta deuda julio. pdf”) - Barclays no envía documentación física a TDX. Sólo enviamos un fichero de 25000 cuentas, una vez al mes, a TDX con la información extraída de nuestros sistemas. Posteriormente TDX distribuye dichas cuentas a las agencias que, en ese momento, tenga en el panel, sin que Barclays participe, ni tenga control, sobre esa actuación. - El contrato es con TDX, quien subcontrata. Adjunto el contrato con ellos (“XXXXXXXXXXXX.pdf”) y la notificación de la subcontratación con ambas entidades” En los documentos adjuntos a la contestación aportan impresiones de pantalla de fecha 04/07/2013 donde consta la operación de ref. ***REFERENCIA.2 y “ASUNTO EN FALLIDO”, figurando los vencimientos impagados, de fechas 03-11-93, 03-12-93 y 0301-94, y de cantidades que suman en total 358,30 euros, que con los intereses de demora arrojan un total de 1886,01 euros. En los datos generales de la contratación consta como fecha de formalización (alta) el 18/12/1989. En cuanto a los servicios de gestión de recobro BARCLAYS aporta copia del contrato suscrito con TDX INDIGO IBERIA SLU (TDX) de fecha 11/03/2011, de prestación de dichos servicios, con mención del art. 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Se estipula la posibilidad de la subcontratación de los servicios siempre y cuando se cuente con autorización previa y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 por escrito de BARCLAYS. Acompañan copia de notificaciones de TDX a BARCLAYS informando de las subcontrataciones con CORPORACION LEGAL 2001 SL y ISGF INFORMES COMERCIALES SL, ambas de fecha 19/06/2012. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y 2 de la LOD dispone que: ”1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El artículo 6 de la LOPD consagra el principio del consentimiento o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III En el caso que nos ocupa, la denunciante pone de manifiesto que ISGF y CORPORACIÓN LEGAL 2011 S.L le reclaman el pago de una deuda en nombre de Barclays Bank S.A. sin ser cliente de este banco. De las actuaciones de inspección practicadas por esta Agencia se ha podido comprobar que no existe tratamiento de los datos de la denunciante sin su consentimiento por la entidad denunciada en la medida en que los datos de la denunciante proceden de un contrato de cuenta corriente firmado con el Banco Zaragozano, entidad que fue comprada por Barclays, de fecha 18 de diciembre de 1989. La deuda procede de vencimientos impagados de fechas 3 de noviembre de 1993, 3 de diciembre de 1993 y 3 de enero de 1994, sumando un total de 358,30 euros, que con los intereses de demora la deuda asciende a 1886,01 euros. IV En cuanto al requerimiento del pago de la deuda por las entidades ISGF RECUPERACIONES y CORPORACION LEGAL., en nombre de Barclays, se debe señalar lo siguiente: El artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 El artículo 3.
2. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD habilita, en su artículo 12, el acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, al señalar en su apartado 1: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión o comunicación de datos. Por ello, dada la ausencia de elementos de cargo que permitan imputar a la entidad denunciada una posible vulneración de la normativa en materia de protección de datos procede acordar el archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a BARCLAYS BANK, S.A. y a Dª. A.A.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es