1/6 Expediente Nº: E/03277/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXABANK CONSUMER FINANCE, S.A., en virtud de la denuncia presentada por D. D.D.D. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 13/05/2016, tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. D.D.D. (en lo sucesivo, el denunciante) en el que expone que CAIXABANK CONSUMER FINANCE, S.A., (en lo sucesivo, CAIXABAK o la denunciada) ha incluido sus datos personales en los ficheros de solvencia patrimonial ASNEF y BADEXCUG sin requerirle previamente el pago de la deuda que ha motivado tal inclusión. Acompaña a la denuncia copia de los siguientes documentos: -Carta de Asnef Equifax, Servicios de Información sobre Solvencia Patrimonial y Crédito, S.L., de fecha 16/12/2015, mediante la que le notifica la inclusión de sus datos en ASNEF, informados por CAIXABANK, con fecha de alta 15/12/2015, por un saldo deudor de 363 euros. -Carta de EXPERIAN, de 15/12/2015, mediante la que le notifica la inclusión en el fichero BADEXCUG, siendo la entidad informante CAIXABANK, con fecha de alta 12/12/2015, por un saldo deudor de 363 euros. - Carta certificada de fecha 09/07/2015, remitida por Gestión 2, Gestión Jurídica, en la que en nombre de Securitas Direct España, S.A., le comunica la cancelación del contrato suscrito entre ambas partes. - Correos electrónicos mantenidos entre el denunciante y CAIXABANK durante el periodo de tiempo comprendido entre el 11/11/2015 y el 11/03/2016. En uno de los mensajes (de 21/10/2015) se explica al denunciante que “debido a la baja del servicio, se ha cancelado la prestación de 12,10 euros mensuales y debe pagar a día de hoy 363 euros del equipo”. - Impreso de formalización de un contrato entre el denunciante y Securitas Direct España, S.A., en el que consta como “fecha de Oferta” el 05/11/2014. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa CAIXABANK CONSUMER FINANCE, S.A. en su escrito de fecha de registro 26/07/2016 (número de registro 265071/2016) ha remitido la siguiente información pertinente a los efectos de la investigación: Copia impresa de los datos que figuran en sus sistemas relativos al denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Entre los mismos consta como dirección del denunciante C.C.C. (documento nº3). La dirección que figura en el DNI del denunciante es A.A.A.. En su escrito de respuesta a la solicitud de información expone que CAIXABANK CONSUMER FINANCE, S.A. ha contratado a Indra BMB Servicios Digitales, S.L, y que DELION COMMUNICATIONS, S.L.U se subrogó en la posición ocupada por la primera para la realización de los requerimientos de pago efectuados a sus clientes. Copia del contrato, suscrito a fecha 01/09/2010 entre CAIXABANK CONSUMER FINANCE, S.A. y INFORSISTEM, S.A., que regula la prestación del servicio para la generación, impresión, puesta en el servicio de envíos postales y gestión de los requerimientos de pago emitidos por CAIXABANK CONSUMER FINANCE, S.A. (documento nº1). Junto a este contrato se adjunta documento, con fecha 14/10/2013 por el que la entidad DELION COMMUNICATION, S.L se subroga en todos los derechos y obligaciones de los que INFORSISTEM, S.A. era titular (documento nº2). Copia de la carta fechada a 6/06/2015 enviada por CAIXABANK CONSUMER FINANCE, S.A. al cliente requiriéndole el importe pendiente de pago e informando de que la gestión del cobro se encomienda a la compañía “RECLAMACIONES JUDICIALES” (documento nº4). Copia de la carta de requerimiento de pago, con número de referencia “ E.E.E.” y fechada a 02/12/2015, que remite la entidad denunciada al denunciante a la dirección B.B.B. en la que se reclama el pago de la deuda contraída por importe de 363,00 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito sin indicación de plazo concreto previo a la inclusión (documento nº5). Copia del certificado expedido por DELION COMMUNICATIONS, S.L.U acreditativo del envío con fecha 15/06/2016 de la carta de requerimiento de pago. Hace constar que dicha carta formaba parte de un paquete total de 1043 envíos que se pusieron a disposición del servicio de envíos postales con fecha 04/12/2015. La fecha de la carta es de 2/12/2015 con número de referencia “***REF.1”. En la misma copia DELION COMMUNICATIONS, S.L.U certifica que no consta que se hayan producido incidencias ni devoluciones de las cartas de requerimientos de pago entre las que se encontraba la del denunciante (documento nº6). Copia del documento acreditativo por parte de DELION COMMUNICATIONS, S.L.U en el que figura la remisión de 1043 “SOBRES DM” con fecha 04/12/2015 sin individualizar y validado por el gestor postal UNIPOST (documento nº7). La entidad investigada también proporciona una relación de los 1043 sobres que conformaban el envío del fichero (fichero “***FICHERO.1”) en el que se encontraba el requerimiento de pago del denunciante (sobre nº ***) (documento nº8).>> FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) establece: "Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso." II La LOPD dedica el artículo 4 a la "Calidad de los datos" y se refiere en su apartado 3 al principio de exactitud o veracidad, corolario del principio de calidad de los datos, en el que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en el apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial al amparo del artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" Por otra parte, los artículos 40.3 y 43.1 del RLOPD disponen, respectivamente: “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que le permita acreditar la efectiva realización de los envíos”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
- c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III El criterio seguido por la Sala de lo Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor, utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) IV La denuncia que nos ocupa versa sobre el presunto incumplimiento de CAIXABANK de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente antes de incluir sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) De la documentación aportada por el denunciante resulta que sus datos personales fueron informados por CAIXABANK, asociados a una deuda de 363 euros, a los ficheros ASNEF y BADEXCUG con fechas de alta, respectivamente, 15/12/2015 y 13/12/2015. La entidad denunciada, en repuesta al requerimiento informativo de la Inspección de Datos, ha remitido a la AEPD los documentos que acreditan que exigió al denunciante el pago de la deuda pendiente con anterioridad a la fecha de alta en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 ficheros de solvencia (13/12/2015) y le informó de que, en caso de no atender el pago, sus datos podrían ser incluidos en un fichero de morosidad. La documentación aportada por la denunciada demuestra que los requerimientos de pago se llevaron a cabo de acuerdo con las exigencias y formalidades del RLOPD y la LOPD, según la doctrina que sobre esta materia ha fijado la Sala de lo Contencioso administrativo de la Audiencia Nacional. CAIXABANK contrató en 2010 con INFORSISTEM, S.A., la gestión del procedimiento referente al requerimiento previo de pago. Esta entidad se fusionaría en junio de 2013 con INDRA BMB SERVICIOS DIGITALES, S.L., entidad absorbente, que quedó subrogada en la posición jurídica de la primera. Se ha aportado la copia del contrato celebrado en 2010 y del documento acreditativo de la subrogación de la segunda entidad. El anexo I del contrato celebrado en 2010 describe el procedimiento de envío y recepción de ficheros telemáticos, impresión y ensobrado de documentos y gestión de devoluciones, entre otras. La entidad denunciada (antes, FINCONSUM, E.F.C., S.A.) explica que la deuda reclamada fue cedida a FINCONSUM por SECURITAS DIRECT ESPAÑA, S.A., de acuerdo con lo estipulado en el contrato de servicios que celebró con el denunciante el 10/11/2014. A tal fin aporta copia de una carta de fecha 06/06/2015, dirigida al denunciante, en la que le comunica la cesión de la deuda y le requiere el pago de ésta. Continuando con el requerimiento de pago de la deuda previo a la inclusión en los ficheros de morosidad –conducta que constituye el objeto de la presente denunciaCAIXABANK ha aportado la copia de una carta dirigida al denunciante, que lleva fecha de 02/12/2015, en la que le informa de que, en caso de no realizar el pago de la deuda pendiente, sus datos serán incluidos en ficheros de solvencia. La carta lleva la referencia E.E.E.. Se aporta también un certificado firmado por DELION COMMUNICATIONS, S.L. (que en fecha 14/10/2013 compró la empresa INDRA BMB SERVICIOS DIGITALES, SL), en adelante DELION, en el que indica que la carta de fecha 02/12/2015 con referencia E.E.E., dirigida a la dirección postal de calle F.F.F., fue generada con la información facilitada por CAIXABANK para su impresión y puesta a disposición del distribuidor postal que se encarga de su envío. Que la carta se elabora con la información que procede del “Fichero: ***FICHERO.1. Página ***. Sobres enviados 1043”. Añade que se puso a disposición del gestor postal UNIPOST el 04/12/2015 y que una vez efectuado el proceso no ha habido incidencia alguna ni consta devolución de alguna de dichas cartas. Se aporta el listado de los 1043 sobres enviado por DELIÓN, siendo el sobre número *** el dirigido a D.D.D., el denunciante. Además, se ha facilitado una copia del albarán número ***ALB.1 de 04/12/2015 en el que consta como hora de envío las 12:13.07, relativo al cliente CAIXABANK. En la relación de sobres de envío figuran 1043 sobres DM, haciendo el destinado al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 denunciante el número *** de esa relación. A tenor de la exposición precedente y de la documentación que obra en el expediente, consta acreditado que CAIXABANK sí requirió al denunciante el pago de la deuda pendiente con carácter previo a la comunicación de sus datos a los ficheros ASNEF y BADEXCUG, habida cuenta de que la carta de requerimiento se entregó en el gestor postal UNIPOST el 04/12/2015, sin que conste devuelta, y la primera inclusión del denunciante en un fichero de solvencia (BADEXCUG) es de fecha 13/12/2015, razón por la que se procede el archivo de las actuaciones de investigación previa realizadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a CAIXABANK CONSUMER FINANCE, S.A. y a D. D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es