E-02874-2019

1/3 Expediente Nº: E/02874/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas de oficio por la Agencia Española de Protección de Datos ante la entidad PRA IBERIA, S.L., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 19 de enero de 2019 se recibe una declaración de brecha de seguridad por la entidad PRA IBERIA S.L., relativa a la comunicación a un deudor de datos de unos 18.000 deudores procedentes de una cesión de cartera de crédito realizada por Banco Santander SEGUNDO: Tras la recepción de esta declaración de una brecha de seguridad, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Banco Santander comunicó a PARA IBERIA S.L. que había recibido varios mensajes en Twitter de Don, uno de los clientes cuya deuda ha sido comprada por PRA Iberia, indicando que PARA IBERIA le había proporcionado datos personales de otros 18.000 deudores a través de un CD.
2. Del resultado de las investigaciones efectuadas por PRA IBERIA, se comprobó que, el 12 de julio de 2016, el Juzgado nº1 de Primera Instancia de Béjar, en el curso de los autos ETNJ 9/2014 facilitó al demandado una copia del CD. En concreto, el 30 de noviembre de 2016, el abogado de Don A.A.A. solicitó una copia de la escritura directamente a este Juzgado y el 2 de diciembre de 2016, se aceptó su solicitud del abogado, proporcionando una copia del CD remitido por esta parte.
3. El 20 de octubre de 2016, PRA IBERIA presentó una copia íntegra de la citada escritura para su valoración por este juzgado, junto con otras escrituras societarias para acreditar el tracto sucesivo. Dicha escritura contiene un anexo con los datos personales del deudor en cuestión, así como datos personales de otros deudores cuyos créditos fueron objeto de cesión. Las categorías de datos personales incluidos son: nombre, apellidos, DNI y el importe principal de la deuda. La copia del CD presentada por PRA IBERIA, se efectuó de forma encriptada mediante contraseña El Anexo que contiene datos personales forma parte de la póliza de cesión de créditos y consta de 17.982 líneas, las cuales 14.188 corresponden a personas físicas y 3.794 a personas jurídicas. De las 17.982 líneas que corresponden a datos de personas físicas, 15.467 se refieren a únicos clientes, pues alguno de los clientes tiene varias deudas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 listadas individualmente. De los 15.467 únicos clientes, 12.460 se refieren a personas físicas y 3.007 a personas jurídicas. Los datos de carácter personal afectados, eliminando el del cliente afectado son 12.
5. Dada la gravedad de los hechos arriba descritos y la repercusión que podría ocasionar a los derechos de los deudores contenidos en el listado que acompaña la escritura de cesión de créditos PRA IBERIA ha comunicado este incidente de seguridad a la Agencia Española de Protección de Datos y al Delegado de Protección de Datos del Consejo General del Poder Judicial.
6. Descripción de las medidas adoptadas.  Dada la competencia del Delegado de Protección de Datos del Consejo General del Poder Judicial se decide informar de los hechos que han dado lugar a esta brecha de confidencialidad efectuada por el cliente y parte demandada en el proceso.  A fin de evitar cualquier posible riesgo a las personas incluidas en el CD y proteger cualquier riesgo o daño reputacional o incomodidad que se les pudiera ocasionar, se decide comunicar la situación al Juzgado que puso a disposición del cliente la información en el curso del procedimiento judicial a fin de que le requiera la devolución del CD y destrucción de cualesquiera copias que pudiera detentar. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (LOPJ), dispone en el artículo 236 nonies, apartado 1 que las competencias que la normativa de protección de datos atribuye a la Agencia Española de Protección de Datos, serán ejercidas, respecto de los tratamientos efectuados con fines jurisdiccionales y los ficheros de esta naturaleza, por el Consejo General del Poder Judicial. Del análisis de la documentación aportada no se desprende que, en el presente caso, el conocimiento de la cuestión planteada corresponda a la Agencia Española de Protección de Datos, sin perjuicio de la valoración que pueda realizar la mencionada Autoridad de control. Por todo ello y de acuerdo con lo previsto en el Convenio suscrito, en fecha 6 de julio de 2017, sobre colaboración en el ejercicio de las funciones propias de las Autoridades de control en materia de protección de datos, se procede a remitir su escrito al Consejo General del Poder Judicial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  TRASLADAR las presentes actuaciones al CONSEJO GENERAL DEL PODER JUDICIAL.  NOTIFICAR la presente Resolución a PRA IBERIA, S.L. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es