E-02971-2016

1/7 Expediente Nº: E/02971/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Fecha de entrada de la denuncia: 20 de abril de 2016 Denunciante: A.A.A. Denuncia a: BANCO SANTANDER, S.A. Por los siguientes hechos según manifestaciones del denunciante: Los datos del denunciante consta en el Informe de Riesgo del Banco de España (en adelante CIRBE) por el Banco de Santander S.A. sin tener ninguna relación con la entidad bancaria. El informe del CIRBE tiene fecha de 20 de abril de 2016. Y, entre otra, anexa la siguiente documentación:  Informe del CIRBE del proceso 2016-02 emitido a nombre del denunciante en fecha 20-04-2016 a las 10:45 donde figura asociado al Banco de Santander. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 14 de octubre 2016 se solicita información al BANCO DE SANTANDER S.A. y de la respuesta recibida en fecha 7 de noviembre de 2016 se desprende: 1. BANCO DE SANTANDER S.A. ha aportado la siguiente documentación: a. Copia de escrituras emitidas por un Notario, en fecha 24 de septiembre de 2004, respecto de un Préstamo Hipotecario de Vivienda en el que interviene el denunciante junto B.B.B., que figura como pareja de hecho, y el BANCO ESPAÑOL DE CRÉDITO S.A. (BANESTO, actualmente propiedad de BANCO DE SANTANDER S.A.), por el que la entidad bancaria otorga un préstamo a ambos intervinientes con la garantía de una vivienda. b. Copia de escrituras de Novación de Préstamo Hipotecario de fecha 20 de julio de 2009, en el que figuran los mismos intervinientes. En esta escritura consta que la entidad bancaria otorga una ampliación de capital a favor del denunciante y de B.B.B. y se indica que el plazo de duración del préstamo finalizará el día 1 de octubre de 2039. c. C/ Jorge Juan, 6 28001 – Madrid Información remitida la CIRBE. www.agpd.es sedeagpd.gob.es 2/7 2. Respecto de las reclamaciones interpuestas por el denunciante, BANCO DE SANTANDER S.A. ha aportado escrito remitido por el BANCO DE ESPAÑA respecto de una reclamación por desacuerdo con la información declara a la CIRBE para el proceso 2016/02 donde se solicita la baja del riesgo. Asimismo, ha aportado escrito de contestación de BANCO DE SANTANDER S.A. donde se le informa que el denunciante tiene firmado un contrato procedente de un préstamo hipotecario de reestructuración, formalizado el 20 de julio de 2009 junto con B.B.B. y a fecha de la declaración de febrero de 2016 tiene dispuesto 50.826,87 €. En el escrito también se indica que en la escritura de novación se acordaron con ambos titulares un calendario de pagos con una amortización mensual de 150 € por lo que se continua informando a la central de Riesgos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En primer lugar, se ha de tener en cuenta que las resoluciones dictadas por el BANCO DE ESPAÑA, no son vinculantes ni de obligado cumplimiento, por lo que el hecho de haber presentado reclamación ante dicho Organismo, y estar pendiente de su resolución, no impedirá que siga recibiendo requerimientos de pago o que se solicite la inclusión de sus datos personales en ficheros de solvencia patrimonial, o en el fichero CENTRAL DE INFORMACIÓN DE RIESGOS DEL BANCO DE ESPAÑA (CIRBE). Tampoco impide la inclusión en CIRBE la presentación de una demanda ante los órganos judiciales o administrativos, ya que el fichero CIRBE, no es un fichero de solvencia patrimonial y de crédito, como se detalla seguidamente. En lo relativo a la inclusión de sus datos en el fichero CENTRAL DE INFORMACIÓN DE RIESGOS DEL BANCO DE ESPAÑA (en adelante CIRBE) señalar que es un fichero que se encuentra regulado por su propia normativa especial, dado que cuenta con una singularidad y unas funciones específicas. Su regulación y funcionamiento viene establecida en el Capítulo VI de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero (en adelante Ley 44/2002), artículos 59 a 69 de la misma. Asimismo, la Disposición Transitoria de dicha ley, establece que continuarán en vigor las disposiciones dictadas en desarrollo del artículo 16 del Decreto-Ley 18/1962, de 7 de junio, siempre que no se opongan a la regulación dispuesta en la misma. Así pues, continua en vigor la Circular del Banco de España dirigida a las entidades de crédito, número 3/1995, de 25 de septiembre, (en adelante Circular 3/1995) El artículo 59 de la Ley 44/2002, sobre “Naturaleza y objetivos de la Central de Información de Riesgos”, establece que: “Primero. La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad, permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección, contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Segundo. La administración y gestión de la CIR corresponden al Banco de España. El Banco de España estará facultado para desarrollar sus normas de funcionamiento de acuerdo con lo previsto en la presente Ley. Tercero. No habrá lugar al derecho de oposición de los afectados al tratamiento, realizado conforme a lo previsto en la presente Ley, de sus datos de carácter personal.” El artículo 60 de la citada norma establece en su apartado primero sobre “Entidades declarantes y contenido de las declaraciones” que: “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos Esta obligación se extenderá a los riesgos mantenidos a través de entidades instrumentales integradas en los grupos consolidables de las entidades declarantes, y a aquellos que hayan sido cedidos a terceros conservando la entidad su administración. Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Añade en el último párrafo del apartado segundo que “los datos declarados a la CIR por las entidades obligadas, serán exactos y puestos al día, de forma que respondan con veracidad a la situación actual de los riesgos y de sus titulares en la fecha de la declaración. Y en el apartado quinto de este mismo artículo se determina que “la declaración de los datos sobre riesgos referidos a personas físicas que las entidades declarantes realicen a la CIR conforme a lo previsto en la presente Ley no precisa de su consentimiento”. El artículo 61 de la citada norma establece en su apartado segundo sobre “Datos declarados” que: “Las entidades declarantes tendrán derecho a obtener informes sobre los riesgos de las personas físicas o jurídicas, incluidas las Administraciones públicas, registrados en la CIR, siempre que dichas personas cumplan alguna de las circunstancias siguientes:
2. a)Mantener con la entidad algún tipo de riesgo.
3. b)Haber solicitado a la entidad un préstamo o cualquier otra operación de riesgo.
4. c)Figurar como obligadas al pago o garantes en documentos cambiarios o de crédito cuya adquisición o negociación haya sido solicitada a la entidad” El artículo 65 regula los derechos de acceso, rectificación y cancelación disponiendo que: “Primero. Cualquier persona, física o jurídica, que figure como titular de un riesgo declarable a la CIR, podrá acceder a toda la información que le afecte. Las personas físicas podrán igualmente solicitar el nombre y dirección de los cesionarios a los que la CIR haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 comunicado sus datos durante los últimos seis meses así como las cesiones de los mismos que vayan a realizarse. La información sobre los cesionarios se acompañará de una copia de los datos cedidos en cada caso. La solicitud de acceso podrá realizarse por cualquier medio que asegure la identificación y, en su caso, título del peticionario, correspondiendo al Banco de España fijar los procedimientos que los aseguren y el sistema de consulta, sin menoscabo, en lo que se refiere a las personas físicas, del régimen de tutela del derecho de acceso, y de las limitaciones a su ejercicio, previstos en el artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos interesados deberán facilitarse al peticionario en el plazo máximo de diez días hábiles desde la recepción de la solicitud en el Banco de España. Segundo. Sin perjuicio de los derechos que asistan a las personas físicas, de acuerdo con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en sus normas de desarrollo, respecto a los datos de carácter personal incluidos en los ficheros de las entidades declarantes, todo titular de datos declarados a la CIR que considere que éstos son inexactos o incompletos podrá solicitar al Banco de España que tramite la rectificación o cancelación de los mismos ante las entidades declarantes, mediante escrito en el que se indiquen las razones y alcance de su petición. El Banco de España dará traslado inmediato de la solicitud recibida a la entidad o entidades declarantes de los datos supuestamente inexactos o incompletos. Las solicitudes remitidas por el Banco de España deberán ser contestadas y comunicadas por las entidades declarantes al afectado y a la CIR, en el plazo máximo de quince días hábiles a contar desde su recepción en cualquiera de sus oficinas. La decisión será motivada en el supuesto de que considere que no procede acceder a lo solicitado. Las personas físicas podrán formular contra las entidades declarantes la reclamación ante la Agencia de Protección de Datos a que se refiere el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, cuando las decisiones adoptadas conforme a lo previsto en el párrafo anterior no accedan a la rectificación o cancelación solicitada por el afectado, o no haya sido contestada su solicitud dentro del plazo previsto al efecto. Tercero. Las entidades declarantes estarán obligadas a facilitar a las personas jurídicas titulares de riesgo el acceso efectivo a los datos remitidos a la CIR en el plazo máximo de un mes desde la fecha en que sea solicitado; también deberán atender las solicitudes de rectificación o cancelación de datos inexactos o incompletos que aquéllas les formulen; el plazo para contestar dichas solicitudes será de veinte días hábiles.(…)” Así pues el fichero CIRBE es de carácter público y las entidades bancarias están obligadas a suministrar los datos necesarios para identificar a las personas con quienes se mantengan riesgos de crédito en los términos que se han señalado. El fichero CIRBE no es un fichero de solvencia patrimonial y crédito, regulados por el artículo 29 de la LOPD y el Reglamento de desarrollo de la LOPD. El fichero CIRBE es un fichero de evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad declarante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes, los cuales comunica en cumplimiento de una obligación legal y para cuya inclusión no se exige el consentimiento del afectado, ni que la entidad haya requerido el pago al deudor, si bien ha de cumplir con la exigencia de exactitud de los datos recogidos en el artículo 60, anteriormente indicado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III Por otro lado, señalar que el artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV En el supuesto que nos ocupa, se denuncia que pese a no haber mantenido relación contractual con el BANCO SANTANDER, dicha entidad ha solicitado la inclusión de sus datos en la Central de Información de Riesgos del Banco de España (CIRBE). De las actuaciones inspectoras llevadas a cabo por esta Agencia, se desprende que el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable por las siguientes razones: La entidad BANCO SANTANDER ha acreditado que el BANCO ESPAÑOL DE CRÉDITO S.A., formalizó la contratación de un Préstamo Hipotecario de Vivienda el 24/09/2004 con el denunciante junto B.B.B., que figura como su pareja de hecho. El BANCO ESPAÑOL DE CRÉDITO S.A., ha pasado a ser propiedad del BANCO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 SANTANDER, y con ello su contrato de Préstamo Hipotecario. Esto queda acreditado mediante copia de escrituras de Novación de Préstamo Hipotecario de fecha 20 de julio de 2009, en el que figuran los mismos intervinientes. En esta escritura consta que la entidad bancaria otorga una ampliación de capital a favor del denunciante y de B.B.B. y se indica que el plazo de duración del préstamo finalizará el día 1 de octubre de 2039. Asimismo, respecto a las reclamaciones interpuestas por el denunciante, se comprueba que el BANCO DE SANTANDER S.A. informa al denunciante que tiene firmado un contrato procedente de un préstamo hipotecario de reestructuración, formalizado el 20 de julio de 2009 junto con B.B.B. y a fecha de la declaración de febrero de 2016 tiene dispuesto 50.826,87 €. En el escrito también se indica que en la escritura de novación se acordaron con ambos titulares un calendario de pagos con una amortización mensual de 150 € por lo que se continua informando a la central de Riesgos. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificarla identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que BANCO SANTANDER S.A. empleó una razonable diligencia, ya que ha acreditado mediante copia de escrituras emitidas por un Notario, la existencia de un Préstamo Hipotecario de Vivienda de fecha 24/09/2004, firmado entre el denunciante y el BANCO ESPAÑOL DE CRÉDITO S.A., entidad que actualmente es propiedad del BANCO DE SANTANDER, según se desprende de la documentación aportada por BANCO SANTANDER, consistente en copia de escrituras de Novación de Préstamo Hipotecario de fecha 20 de julio de 2009, hechos que han sido comunicados al denunciante en respuesta a su solicitud de baja en CIRBE. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a BANCO SANTANDER, S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es