E-03119-2013

1/6 Expediente Nº: E/03119/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COFIDIS SA SUCURSAL EN ESPAÑA en virtud de denuncia presentada ante la misma por D. A.A.A. y en base a los siguientes HECHOS PRIMERO: Con fecha de 2 de abril de 2013 tiene entrada en esta Agencia un escrito de D. A.A.A. ( en adelante el denuciante)en el que declara que el 18/03/2013 ha recibido una carta remitida por COFIDIS SA SUCURSAL EN ESPAÑA ( en adelante COFIDIS ) que contenía un formulario de solicitud de crédito rellenado con sus datos personales incluyendo datos correctos como el NIF, nacionalidad, teléfono fijo y móvil, dirección de correo electrónico y salario y otros incorrectos como la fecha de nacimiento, la profesión y el salario. Manifiesta que nunca ha solicitado ningún crédito a dicha entidad, ni ha contratado, facilitado sus datos o dado permiso para su utilización. Aporta copia de la solicitud de crédito. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Solicitada información a COFIDIS de la respuesta recibida se desprende que la solicitud de contratación se realizó a través del sitio web de COFIDIS http://cofidis.es a las 12:22 horas del 12/03/2013, cumplimentando el formulario que se incluye en dicho sitio web, y en el que se incluyeron los datos personales del afectado que aparecen impresos en la solicitud de crédito que se generó y remitió a su domicilio. COFIDIS aporta copia de la evidencia técnica registrada en sus sistemas informáticos consistente en una traza que recoge los datos facilitados en el formulario. Los representantes de la entidad manifiestan que dicha traza refleja : «- Datos personales y de contacto del Sr. A.A.A. (nombre, apellidos, domicilio postal, DNI, fecha de nacimiento, e-mail, teléfono fijo, teléfono móvil). - La hora, los minutos y los segundos en los que se accedió a la cumplimentación del formulario web con los datos del Sr. A.A.A. (12:22:47 horas). - Día, mes y año en el que se accedió a la cumplimentación del formulario web con los datos del Sr. A.A.A. (12 de marzo de 2013). En este sentido, es importante destacar que dicha fecha es la misma que la que aparece impresa en la solicitud de crédito preaceptada que fue remitida por correo al Sr. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 - Los datos del importe solicitado (500 euros), el importe de las cuotas mensuales (15,90 euros) así como el plazo o duración de la solicitud del crédito (48 mensualidades).» Los representantes de COFIDIS han manifestado que La actividad principal de la entidad consiste en la concesión de préstamos o créditos al consumo a los particulares, realizando su actividad a distancia, y que en ese marco se generó la cumplimentación del formulario web de que es objeto el presente expediente. Manifiestan además que : «El proceso de solicitud online de un crédito, a través de la cumplimentación del formulario web del sitio web de COFIDIS se compone de los siguientes pasos, los cuales tuvieron que ser realizados por el Sr. A.A.A. a los efectos de generar la solicitud de crédito preaceptada que fue remitida por correo:

1. "Simulación de crédito": En este apartado, el usuario debe indicar el importe solicitado, lo que genera automáticamente el cálculo del importe mensual que debería abonar el usuario así como el plazo o duración de la solicitud del crédito. En este sentido, el importe solicitado fue de 500 Euros derivándose unas cuotas mensuales de 15,90 Euros en un plazo de 48 meses.
2. 'Estudio sin compromiso": En este apartado se solicita al usuario que cumplimente sus datos personales así como el resto de datos de contacto y datos de su situación actual (debiendo aceptar en este momento la cláusula de protección de datos para poder continuar con el proceso de solicitud e informándole además expresamente de que su solicitud se va a registrar).
3. "Solicitud de crédito o reserva": En este apartado se le informa del resultado de la operación o solicitud. […] Dicha solicitud de crédito preaceptada no llegó finalmente a aceptarse por la falta de entrega a COFIDIS de la documentación requerida en la carta que a tales efectos se acompañó a dicha solicitud de crédito, lo que provocó que fuera considerada como una "solicitud anulada" y dejada sin efecto con fecha 13 de mayo de 2013, todo ello cumpliendo con los motivos y los requisitos regulados en la normativa y el procedimiento interno de COFIDIS para considerar una solicitud de crédito preaceptada como anulada. […] No se ha recibido reclamación alguna por escrito por parte de este cliente ni por terceros en su nombre. Si se hubiera recibido alguna reclamación, COFIDIS hubiera actuado de inmediato. […] En cuanto al procedimiento implantado por COFIDIS para validar la identidad del contratante, cabe indicar que la identidad de los clientes se valida con la aportación por parte de los mismos de la fotocopia del correspondiente documento acreditativo de su identidad (DNI o NIE), tal y como precisamente así se les indica a los clientes en las cartas que se acompañan a las solicitudes preaceptadas que reciben tras la cumplimentación del formulario web. Prueba de ello es el contenido de la carta que precisamente se dirigió al Sr. A.A.A., y que se acompañaba a la solicitud de crédito preaceptada, en la que se le requería al reclamante que enviara a COFIDIS, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 otros, la siguiente documentación: "la fotocopia de su DNI/NIE vigente por las 2 caras". De esta forma, COFIDIS valida la identidad del solicitante el cual posteriormente podrá devenir en contratante. En consecuencia, no será hasta que el solicitante no nos haga llegar tal documento acreditativo de su identidad, entre otros documentos que igualmente se le requieren, que tal solicitud preaceptada podrá, en su caso, estudiarse, aceptarse y devenir en un contrato a todos los efectos, pasando el solicitante a ser contratante de una línea de crédito. En este sentido, así se le informa al solicitante en la carta que recibe junto a su solicitud: "P.D.: [...] insistimos en el hecho de que si falta algún documento no podremos estudiar su solicitud". Respecto a la documentación que permite acreditar el consentimiento prestado en la contratación, COFIDIS requiere que la solicitud de crédito preaceptada recibida por el interesado, sea devuelta por el interesado debidamente firmada y cumplimentada. En caso contrario, no se acepta solicitud alguna. Prueba de ello es el contenido de la carta que precisamente se dirigió al Sr. A.A.A., y que se acompañaba la solicitud de crédito preaceptada, en la que se le requería que enviara a COFIDIS, entre otros, el siguiente documento: "la solicitud adjunta cumplimentada y firmada". Del mismo modo en dicha carta se le informa en varias ocasiones y de forma clara de lo que debe realizar el solicitante para obtener la aceptación: "[...] rellenar y firmar la solicitud que le adjuntamos, incluir la documentación Indicada y enviarlo todo a Cofidis [...] una vez recibida y aprobada su solicitud firmada [...]". En relación con la documentación que acredite la validación realizada sobre la identidad del contratante, les indicamos que en el proceso de contratación por internet, nuestra cláusula de protección de datos personales incluida en el formulario web advierte al usuario que cumplimenta datos en dicho formulario de que el mismo "[...] responde de la veracidad de los datos facilitados, reservándose COFIDIS el derecho a excluirlos, caso de constatar la falsedad de los mismo" (extremo que justa y precisamente en este caso parece ser que no se ha dado así por cuanto no hemos recibido reclamación por escrito alguna al respecto del Sr. A.A.A.). De todos modos, volviendo a hacer referencia al texto de la carta adjunta a la solicitud, en la misma ya se le informa al solicitante que "[...] en breve, un gestor comercial se pondrá en contacto con usted para darle el resultado de su estudio", momento en el que se validará la identidad y los datos del solicitante mediante la política y procedimientos internos de COFIDIS relativos a la identificación y actualización de datos. Por último entendemos que es necesario indicar y reiterar, a tenor de todo lo expuesto hasta el momento, que el "contratante" (en los términos indicados en la solicitud de información) no lo es en tanto en cuanto no devuelve firmada, cumplimentada y con toda la documentación adicional necesaria, la solicitud de crédito preaceptada. Por lo tanto no podemos estar hablando en términos de "contratante" ni de "contratación" puesto que la solicitud de crédito que recibe el reclamante es eso, una mera solicitud de crédito "preaceptada", que no produce sus efectos plenos en tanto en cuanto no se valida su identidad, se recibe debidamente firmada dicha solicitud y además se reciben los documentos adicionales requeridos.» FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y 2 de la LOD dispone que: ”
4. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
5. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III En el supuesto que nos ocupa, el denunciante pone de manifiesto que Cofidis ha realizado un tratamiento de sus datos sin consentimiento puesto que le envía a su domicilio una carta que contenía un formulario de solicitud de crédito en el que se incluían sus datos personales. No obstante, de las actuaciones de inspección practicadas por la Agencia se comprueba que el envío del formulario en el que se incluían los datos del denunciante responde a una solicitud de un crédito que efectuó el propio denunciante mediante el formulario web en fecha 12 de marzo de 2013 a las 12:22:47 horas. Cofidis, al recibir la solicitud de crédito del denunciante, envió el formulario para que lo devolviera firmado y le remitiera la documentación identificativa, en concreto, copia del documento acreditativo de su identidad (DNI o NIE), tal y como se les indica a los clientes en las cartas que se acompañan a las solicitudes preaceptadas que reciben tras la cumplimentación del formularios web. Finalmente, no se llegó a tramitar el crédito en la medida en que el denunciante no aportó dicha documentación, considerándose como “solicitud anulada”. No se aprecia, por tanto, en la actuación de Cofidis vulneración de la normativa de protección de datos, ya que obtuvo el previo consentimiento del denunciante otorgado para la tramitación del correspondiente crédito. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente Resolución a COFIDIS SA SUCURSAL EN ESPAÑA y a D A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es