E-02899-2013

1/6 Expediente Nº: E/02899/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BANCO MARE NOSTRUM, S.A., (CAJAMURCIA) y BARCLAYS BANK, S.A. (BARCLAYCARD) en virtud de denuncia presentada por A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 7 de marzo de 2013 tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que expone que una entidad desconocida, BARCLAYCARD, le ha enviado una tarjeta VISA que él no ha solicitado y para lo cual CAJAMURCIA ha facilitado a esta entidad sus datos personales. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos que recoge el Informe de Actuaciones de Investigación Previa que se reproduce: <<ANTECEDENTES Con fecha de 7 de marzo de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: Que BARCLAYCARD le ha remitido una tarjeta de crédito a su nombre y a su domicilio para su activación cuando no ha solicitado la emisión de dicha tarjeta. Añade que en la oficina de CAJA MURCIA le informaron que el envío de la tarjeta BARCLAYCARD fue como consecuencia de un convenio suscrito entre dicha entidad y CAJA MURCIA. Aporta  Copia del envío postal realizado por BARCLAYCARD a su nombre y a su dirección junto con la tarjeta de crédito con instrucciones para su activación. El escrito carece de fecha pero la tarjeta lleva de fecha de emisión de diciembre de 2012. En la documentación adjunta a la tarjeta se incluye la siguiente información: “ En cumplimiento de los dispuesto en la Ley Orgánica de Protección de Datos, BARCLAYS BANK, PLC Sucursal en España le informa de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 que sus datos personales están incorporados en ficheros de titularidad de esta Empresa que han sido obtenidos de la contratación. Si lo considera, puede acceder a sus datos para rectificarlos o cancelarlos o ejercer su derecho de oposición dirigiéndose al servicio de Atención al Cliente 902****** o en general el medio de comunicación que habitualmente utilice. En cualquier caso, el titular siempre podrá dirigirse por escrito al Departamento de Atención al Cliente, ubicado en Zaragoza (C.P. ***CP.1), Apartado nº ***”.  Copia del escrito de reclamación que remitió al Director General de CAJA MURCIA. ACTUACIONES PREVIAS En fecha de 8 de enero de 2014 se solicitó información BARCLAYS BANK, S.A. no habiéndose recibido respuesta a dicho escrito. En fecha de 8 de enero de 2014 se solicitó información BANCO MARE NOSTRUM, S.A. (CAJAMURCIA) habiéndose recibido respuesta en fecha de 31/1/2014 de la que se desprende lo siguiente: 1. CAJAMURCIA presenta un contrato de fecha 5/11/2008 denominado SOLICITUD CRÉDITO CONTINUO VISA SELECCIÓN en el que figuran tanto CAJAMURCIA como BARCLAYCARD, a nombre de A.A.A. y firmado por éste. 1.1. En la primera de las condiciones generales anexas al contrato se recoge que las partes contratantes son BARCLAYS BANK PLC a través de su división comercial de tarjetas de crédito en España, BARCLAYCARD y el titular principal, en este caso A.A.A.. 1.2. En la condición general sexta se recoge que “BARCLAYS BANK, S.A., como responsable del fichero automatizado, garantiza el pleno cumplimiento de la normativa de Protección de Datos de Carácter Personal. A tal fin, de acuerdo con la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal, el titular queda informado y presta su consentimiento (

1. a)Para la incorporación de sus datos personales que el Titular Principal facilite por razón de este contrato o de los contratos o solicitudes que tengan lugar con motivo de su relación con el Banco a los ficheros existentes en el Banco (
2. b)Para su tratamiento por el Banco”. 2. Aporta también CAJAMURCIA copia del contrato de Cooperación entre BARCLAYCARD y CAJAMURCIA de fecha de 10/1/2011 para el desarrollo de una tarjeta de crédito aplazado que se comercializa a los clientes de CAJAMURCIA. 3. Se aporta también un acuerdo de fecha 24/10/2012 para la Resolución del contrato anterior de Cooperación entre BARCLAYCARD y CAJAMURCIA en el que se prevé la migración ordenada de clientes de CAJAMURCIA a BARCLAYS, siempre que éstos deseen continuar su relación con BARCLAYS no sólo en cuanto a la concesión del crédito sino como entidad emisora de tarjetas, pudiendo BARCLAYS contactar con los clientes de la cartera al objeto de ofrecerles la sustitución del medio de pago que les permite disponer de la línea de crédito que BARCLAYS les tiene concedida.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.
3. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La denuncia que nos ocupa versa sobre la supuesta cesión efectuada por CAJAMURCIA a BARCLAYCARD de los datos personales del denunciante sin su consentimiento que dio lugar a la emisión a su nombre de una tarjeta de crédito VISA que esta última le ha envidado a su domicilio. Entre la documentación que CAJAMURCIA aportó a la Agencia en respuesta al requerimiento informativo de la Inspección de Datos obra la copia del contrato “Solicitud Crédito Continuo Visa Selección” que el denunciante firmó el 5 de noviembre de 2008 con BARCLAYCARD, sin perjuicio de que la comercialización del producto financiero se hubiera hecho a través de la entidad CAJAMURCIA. En el encabezamiento del contrato constan los nombres de estas dos entidades, CAJAMURCIA y BARCLAYCARD. En la copia del contrato de “Solicitud Crédito Continuo Visa Selección” aportado por CAJAMURCIA, documento que está firmado por el denunciante, figuran todos sus datos personales: nombre, apellidos, DNI, fecha de nacimiento y domicilio. También los veinte dígitos de una cuenta abierta en CAJAMURCIA en la que el contratante desea que se domicilien los recibos correspondientes a la tarjeta Visa. Las Condiciones Legales del contrato “Crédito Continuo Visa Selección”, en su apartado I, Condiciones Generales, incluye las siguientes estipulaciones que trascribimos: “1.El presente contrato se establece entre Barclays Bank, P.L.C., a través de su división comercial de tarjetas de crédito en España, BARCLAYCARD, (y en adelante también BARCLAYCARD), y el titular principal y en su caso titulares adicionales del crédito (en adelante “crédito continuo”) que a los efectos del presente contrato y, en adelante también, se denominarán de forma unitaria “el titular”. A su vez, el punto 6 señala en uno de sus párrafos que “Se entenderá por titular la persona física firmante del presente contrato” “6. Barclays Bank, S.A., como responsable del fichero automatizado de datos, garantiza el pleno cumplimiento de la normativa de protección de datos de carácter personal. A tal fin, de acuerdo con la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, el titular queda informado y presta su consentimiento (
4. a)para la incorporación de sus datos personales que el Titular principal facilite por razón de este contrato o de los contratos o solicitudes que tengan lugar con motivo de su relación con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 el Banco a los ficheros existentes en el Banco (
5. b)para su tratamiento por el Banco. El apartado II, “Condiciones particulares del crédito continuo” incluye las siguientes cláusulas: “1.Barclaycard por la firma del presente contrato concede al titular una línea de crédito tal y como se define en el apartado 7 de las presentes condiciones particulares” “2. La línea de crédito concedida en virtud del presente contrato solo podrá ser dispuesta por el titular, bien mediante la utilización de cualquiera de las modalidades permitidas de la tarjeta de crédito emitida al efecto por CAJAMURCIA o bien mediante orden de transferencia realizada al call center de Barclaycard” (el subrayado es de la Agencia) II La LOPD consagra el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone en su artículo 6, bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Precepto que debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
6. h)de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Según las disposiciones anteriores el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular; exigencia de la que se dispensa al responsable del fichero - entre otros supuestos previstos en la Ley Orgánica 15/1999- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Esto, porque el consentimiento al tratamiento de los datos está implícito en el consentimiento otorgado a la contratación misma, en la medida en que el referido tratamiento sea preciso para el cumplimiento del contrato y siempre que quien facilita los datos personales con ocasión de la contratación sea su titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 La documentación que obra en el expediente, en particular el contrato “ Solicitud Crédito Continuo Visa Selección” que el denunciante suscribió en noviembre de 2008 con BARCLAYCARD y que se comercializó a través de CAJAMURCIA, acredita cumplidamente que el denunciante otorgó su consentimiento inequívoco a BARCLAYCARD para que tratara sus datos personales. En definitiva, el denunciante prestó su consentimiento a la contratación con BARCLAYCARD de una línea de crédito, que es el objeto de la tarjeta VISA, y también autorizó expresamente la incorporación de sus datos a los ficheros de BARCLAYCARD y el tratamiento de sus datos por esta entidad. Se concluye por tanto que el tratamiento de los datos personales del afectado que ha hecho BARCLAYCARD –materializado, por lo que ahora nos atañe, en el envío de una tarjeta Visa- no es fruto, como sostiene el denunciante, de la cesión de sus datos por parte de CAJAMURCIA, sino que encuentra su legitimación en el consentimiento que él otorgó expresamente a BARCLAYCARD. A este respecto debemos precisar dos cuestiones más. En primer término que no tenemos noticia de que el denunciante hubiera resuelto el contrato que celebró con BARCLAYCARD en noviembre de 2008, por lo que la entidad continúa estando legitimada para tratar sus datos con la finalidad que se especifica en el condicionado del contrato “Solicitud Crédito Continuo Visa Selección”. En segundo lugar, respecto al hecho de que la tarjeta Visa que el denunciante ha recibido no haya sido emitida por CAJAMURCIA – tal y como estipuló el punto 2 de las condiciones particulares del contrato de crédito continuo- sino por BARCLAYCARD, hay que advertir que ese extremo es absolutamente irrelevante desde el punto de vista de la normativa de protección de datos y la adecuación a sus disposiciones de la conducta que se denuncia. Esto, porque sea quien fuere la entidad que “emite” la tarjeta, lo cierto es que BARCLAYCARD cuenta con el consentimiento expreso del denunciante para tratar sus datos asociados al contrato de crédito que subyace a la emisión de la indicada tarjeta. De tal modo que esta entidad se encuentra legitimada para aquel tratamiento de datos que fuera necesario para la ejecución y cumplimiento del contrato. Y no hay duda de que en ese tratamiento se incluye la “emisión” de la tarjeta en cuestión. Legitimación que asimismo tiene CAJAMURCIA de acuerdo con las estipulaciones del contrato que el denunciante firmó en noviembre de 2008. Se concluye de lo expuesto que la conducta que se somete a nuestra consideración no vulnera la normativa de protección de datos de carácter personal. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BANCO MARE NOSTRUM, S.A. (CAJAMURCIA), BARCLAYS BANK, S.A, y a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es