1/5 Expediente Nº: E/02987/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO POPULAR ESPAÑOL, S.A., en virtud de la denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 05/05/2016, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. B.B.B. (en lo sucesivo, el denunciante) en el que manifiesta que sus datos personales han sido incluidos en el fichero BADEXCUG por el BANCO POPULAR ESPAÑOL, S.A., (en lo sucesivo, BANCO POPULAR o la denunciada) sin requerirle con carácter previo el pago de la deuda. El denunciante –que, en virtud de un contrato suscrito con el BANCO POPULAR, elevado a escritura pública el 26/07/2012, es fiador solidario, conjuntamente con otras dos personas más, de los deudores hipotecarios (sus padres)- declara que fue incluido en BADEXCUG con fecha de alta 21/06/2015 y que esa incidencia se dio de baja en diciembre de 2015 como resultado del ejercicio del derecho de cancelación ante Experian Bureau de Crédito, S.A., (en adelante EXPERIAN), responsable del fichero de solvencia. Los datos del denunciante se incluyeron de nuevo en BADEXCUG, informados por BANCO POPULAR, con fecha de alta 24/01/2016, por un saldo deudor de 1.358,67 euros. Aporta copia del escrito de notificación de la inclusión recibido de EXPERIAN de 26/01/2016. El denunciante ha aportado documentos que acreditan que ejercitó ante el BANCO POPULAR y ante EXPERIAN BUREAU DE CRÉDITO, S.A., el derecho de cancelación. Ante esta última mediante escrito enviado por burofax el 14/12/2015. Se aporta copia de la respuesta de la responsable del fichero de solvencia, de 23/12/2015, en la que le comunica que se ha procedido a la cancelación de la operación “*****1”, informada por el BANCO POPULAR. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos. Con fecha 08/07/2016, se recibe escrito del BANCO POPULAR respondiendo al requerimiento informativo de la Inspección de Datos, en el que pone de manifiesto lo siguiente: 1.1. La dirección que figura en sus sistemas asociada al denunciante, desde el inicio de su relación contractual, es calle A.A.A.). Aporta copia de la escritura pública de préstamo hipotecario de 26/07/2012 en la que el denunciante aparece como fiador de los prestatarios y asociado a él el domicilio indicado. 1.2. El motivo de la inclusión de los datos del denunciante en el fichero BADEXCUG C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 fue el incumplimiento de pago de los recibos por los titulares del préstamo, del cual era fiador solidario. 1.3. El alta en BADEXCUG fue el 25/01/2015, una vez que se había requerido el pago al denunciante. 1.4. Los requerimientos de pago previos fueron remitidos hasta mayo de 2015 por el BANCO POPULAR a través de una tercera empresa, EOS-CARI Recoveries, S.L.U., con la que BANCO POPULAR había contratado la prestación de esos servicios el 19/01/2013. 1.5. En las cartas dirigidas al denunciante se le informaba de la cuantía de la deuda reclamada y de la posibilidad de que sus datos fueran comunicados a ficheros de incumplimiento de obligaciones dinerarias. 1.6. BANCO POPULAR aporta copia de cinco cartas personalizadas, dirigidas al denunciante, a la dirección que figura en sus ficheros, antes transcrita, de fechas 23/06/2014, 22/09/2014, 21/10/2014, 21/11/2014. Aporta también copia de una carta de requerimiento de 21/05/2015, posterior a la primera inclusión. 1.7. Se adjunta copia del contrato suscrito por el BANCO POPULAR con EOS-CARI Recoveries, S.L.U., 1.8. Se aporta un certificado expedido por EOS –CARI Recoveries, S.L.U., en el que declara que en las fechas antes indicadas (23/06/2014, 22/09/2014, 21/10/2014, 21/11/2014, y 21/05/2015) se enviaron requerimientos de pago al denunciante. Aporta copia de los albaranes de entrega en Correos de las cartas certificadas. Las cartas se identifican por el número de código de certificado y por el nombre del destinatario. Los albaranes son de fechas 01/07/2014, 06/10/2014, 28/10/2014, 28/11/2014, y 28/05/2015, y en todos ellos figura el nombre del destinatario, actual denunciante. 1.9. Se aporta impresión de pantalla del resultado de la búsqueda efectuada utilizando como criterio el NIF y el nombre y apellidos del denunciante, en el fichero “Devolución de correspondencia de un cliente”. No consta que existan cartas devueltas asociadas a sus datos. Añade que, en relación a las cartas certificadas a través de las que se requirió el pago, designa los libros y registros de la Sociedad Estatal Correos y Telégrafos. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) establece: "Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 II El artículo 4.3 de la LOPD dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29.4 de la LOPD indica que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial en relación a las obligaciones dinerarias a las que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. Así, el precepto dice que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Por otra parte, los artículos 40.3 y 43.1 del RLOPD disponen, respectivamente: “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
- c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio seguido de manera uniforme por la Audiencia Nacional en relación al alcance de la obligación impuesta al responsable del fichero por el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- es que aquél debe estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor, utilizando para ello un medio que deje constancia efectiva de haberlo efectuado, y que tal requerimiento ha sido recibido por el destinatario. Así, en su SAN de 24/01/2003, la Sala de lo Contencioso administrativo de la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) IV La denuncia que nos ocupa versa sobre el presunto incumplimiento por el BANCO POPULAR de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante, fiador solidario de los prestatarios- el pago de la deuda pendiente antes de comunicar sus datos a un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) El BANCO POPULAR afirma que la inclusión del denunciante en BADEXCUG tuvo lugar el 25/01/2015. Consta también una segunda inclusión en BADEXCUG – acreditada documentalmente- con fecha de alta 24/01/2016. Pues bien, la entidad financiera ha facilitado a la Inspección de Datos los documentos que hacen prueba de que sí hizo el preceptivo requerimiento de pago al denunciante con carácter previo a su inclusión en BADEXCUG, en los términos impuestos por el RLOPD y con las formalidades que la Agencia viene exigiendo en consonancia con la doctrina de la Audiencia Nacional, Sala de lo contencioso administrativo. Obran en el expediente las cartas personalizas a nombre del denunciante y dirigidas a su domicilio que la empresa EOS –CARI Recoveries, S.L.U., le envió en nombre del BANCO POPULAR, en fechas 23/06/2014, 22/09/2014, 21/10/2014, y 21/11/2014, requiriéndole el pago de la deuda pendiente. Se aporta también una carta de fecha 28/05/2015 personalizada y dirigida al domicilio del denunciante. Cada una de las cartas lleva una referencia: la primera y la última el código D******9. Todas las demás el código C******9. En todas ellas se informa al destinatario de la cuantía de la deuda reclamada y de la posibilidad de incluir sus datos personales en los ficheros de solvencia patrimonial en caso de continuar el impago. El BANCO POPULAR ha facilitado copia del contrato suscrito en 2013 con EOS – CARI Recoveries, S.L.U., y un certificado expedido por esa entidad el 08/07/2016 en el que hace constar que, en nombre de la denunciada, envió a D. B.B.B., con NIF C.C.C., cinco cartas con el contenido y en las fechas detalladas. En el certificado que EOS – CARI expide se detalla, respecto a cada una de las cartas, su fecha, la referencia interna, el código de envío certificado que Correos le asignó y la fecha de entrada de cada una en el Servicio de Correos. Además, se aporta copia de los albaranes que acreditan haber entregado en Correos las cartas de requerimiento. En los albaranes, las cartas aparecen identificadas por el código de envío certificado y el nombre del destinatario. Las cinco cartas –cuya copia se ha aportado- a través de las cuales la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 denunciada requirió el pago de la deuda al denunciante se enviaron mediante correo certificado. El BANCO POPULAR ha designado a fin de acreditar que ninguna de ellas fue devuelta los libros y registros de la Sociedad Estatal Correos y Telégrafos, S.A. Además, el BANCO POPULAR ha remitido una impresión de pantalla de sus ficheros con el resultado negativo de la búsqueda efectuada en el fichero de “Devolución de Correspondencia de clientes” utilizando como criterios el NIF del denunciante y su nombre y apellidos. A tenor de las reflexiones precedentes y de la documentación que obra en el expediente, al haber quedado acreditado que el BANCO POPULAR sí requirió al denunciante el pago de la deuda antes de comunicar sus datos a BADEXCUG, procede el archivo de las actuaciones de investigación previa efectuadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al BANCO POPULAR ESPAÑOL, S.A. y D. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es