E-03179-2020

1/5  Procedimiento Nº: E/03179/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A. (en adelante, la reclamante) tiene entrada con fecha 12 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A., con NIF A48265169 (en adelante, el reclamado). La reclamante manifiesta que el reclamado ha consultado en numerosas ocasiones el fichero de información crediticia Asnef en relación con su persona, sin haber dado su consentimiento. Ha solicitado información en numerosas ocasiones al reclamado sobre el motivo de estos accesos, no habiendo obtenido respuesta. Dichas consultas tuvieron lugar entre noviembre de 2018 y febrero de 2019. Y, entre otra, aporta la siguiente documentación: Respuesta de Equifax al derecho de acceso en el que consta que el reclamado ha consultado el identificador de la denunciante catorce veces en fechas comprendidas entre el 21 de septiembre de 2018 y el 10 de febrero de 2019. Reclamación presentada por la reclamante ante el reclamado el 19 de junio de 2019, solicitando los motivos de las consultas sobre sus datos al fichero ASNEF. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: 1. De la documentación aportada por la reclamante junto al escrito de reclamación se desprende que el reclamado ha consultado su identificador en el fichero Asnef catorce veces en las fechas comprendidas entre el 21 de septiembre de 2018 y el 10 de febrero de 2019. La reclamante manifiesta, en el escrito de reclamación presentado ante el reclamado, que solamente la consulta realizada al fichero de solvencia en el mes de febrero de 2019 está justificada ya que solicitó un crédito hipotecario a dicha entidad financiera. 2. Con fecha de 11 de mayo de 2020 se solicitó por la Inspección de Datos información y documentación en relación con los hechos denunciados. Con fecha 2 de julio de 2020 tuvo entrada escrito de respuesta en el que el representante de BBVA pone de manifiesto lo siguiente: 2.1. “La reclamante tiene los siguientes contratos suscritos con mi representada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Contrato de cuenta corriente nº ***CUENTA.1 suscrito el 12/12/2011 y vigente en la actualidad. Adscrito a la Oficina no 6857 La Alberca de las Torres. Contrato de tarjeta después oro empleados Banco de España nº ***CUENTA.2 suscrito el 28/04/2015 y vigente en la actualidad. Adscrito a la Oficina 7911 Madrid Plaza de las Cortes”. Aportan copia del documento contractual. Aportan pantallazos que prueban la existencia de sendos contratos, así como de su utilización por parte de la reclamante. 2.2. En relación con las consultas realizadas por el reclamado sobre la reclamante al fichero ASNEF, el representante de BBVA manifiesta lo siguiente: “las consultas de ficheros de solvencia patrimonial y crédito realizadas por el reclamado entre noviembre de 2018 y febrero de 2019 se encuentran amparadas por el apartado

1. e)del artículo 20 de La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante "LOPDGDD"). En concreto: Las consultas realizadas en noviembre y diciembre de 2018 son consecuencia de la relación contractual que la reclamante mantiene con el reclamado y se efectúan principalmente con el fin de efectuar estudios de riesgo de las operaciones en relación con el contrato de tarjeta de crédito con un límite de 4.000 euros y una cuenta corriente con saldo a su favor. Contratos ambos que implican el abono de una cuantía pecuniaria las consultas realizadas por el reclamado en enero y febrero de 2019 se producen al amparo de la solicitud de celebración de un contrato que supone financiación, ya que tienen lugar cuando la reclamante solicita información sobre la contratación de una hipoteca de 220.000 euros. 2.3. La consulta de los datos personales de la reclamante en Asnef se realizó por parte de una empresa, sin que sea operativamente posible identificar a los usuarios que han realizado cada una de las consultas. Esta empresa denominada OP PLUS, Operaciones y Servicios, S.A. mantiene un contrato de tratamiento de datos con el reclamado en virtud del cual tiene encomendadas las actividades de "backoffice" o de apoyo al negocio del Banco. Aportan el Acuerdo Marco para la prestación de servicios entre ambas mercantiles fechado el 29 de noviembre de 2007 y acuerdo de novación del mismo fechado el 27 de noviembre de 2019”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 El RGPD en su artículo 5, “Principios relativos al tratamiento” precisa que “Los datos personales serán:
2. a)tratados de manera lícita, leal y transparente en relación con el interesado (<<licitud, lealtad y transparencia>>)” El artículo 6 del RGPD, “Licitud del tratamiento”, concreta en el apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.(…)” El artículo 20 de la LOPDGDD, “Sistemas de Información Crediticia” dispone: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos: (…)
10. e)Que los datos referidos a un deudor determinado solamente podrán ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria (…)” III La actuación del reclamado ha sido plenamente respetuosa con la normativa de protección de datos. El tratamiento de datos efectuado por el reclamado cuya licitud se pone en duda por la reclamante consistió en consultar la información que existía en el fichero de solvencia patrimonial Asnef vinculada a ella. En las fechas en que tuvieron lugar las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 consultas, la reclamante tenía suscritos con el reclamado dos contratos que estaban vigentes celebrados en 2011 y 2015 y las consultas realizadas por el reclamado en enero y febrero de 2019 se producen al amparo de la solicitud de celebración de un contrato que supone financiación, ya que tienen lugar cuando la reclamante solicita información sobre la contratación de una hipoteca. En la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los derecho digitales (LOPDGDD), se considera en su artículo 20.1.
11. e)lícito el tratamiento de datos, concretado en la consulta a un fichero de solvencia (sistema de información crediticia en la terminología de la Ley Orgánica) efectuado por quien tiene la condición de acreedor de una determinada cuantía en virtud de un contrato suscrito con el titular de los datos. Cabe añadir a lo expuesto que la consulta al fichero se efectuó por la encargada de tratamiento del reclamado, la empresa OPPLUS, Operaciones y Servicios, S.A. (con NIF A 95043071). La empresa OPPLUS, en su condición de encargada de tratamiento del reclamado podía tratar datos por cuenta de aquella (artículo 28 del RGPD). En atención a la exposición precedente y a la documentación a la que la AEPD ha tenido acceso, no se aprecia en la actuación de la entidad reclamada indicio alguno de infracción del RGPD, por lo que procede el archivo de las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es