E-03342-2014

1/5 Expediente Nº: E/03342/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades CAIXABANK, S.A., FRONTERA CAPITAL SARL, MULTIGESTIÓN IBERIA S.A.U. y TDX INDIGO IBERIA, S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de febrero de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia que, con fecha 03/02/2014, ha recibido en su domicilio cartas sin certificar, remitidas por la empresa MULTIGESTIÓN IBERIA, S.A.U, reclamándole una deuda que tenía con la entidad FRONTERA CAPITAL, S.A.R.L. Desconoce la existencia de ambas empresas ni ha mantenido relación con ninguna de ellas. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. “Con fecha 18 de noviembre de 2014, se recibe escrito de MULTIGESTION IBERIA, S.A.U,, poniéndose de manifiesto, entre otros, que: 1.1. La gestión del expediente correspondiente al denunciante, fue llevado a cabo por MULTIGESTION en el marco del contrato de prestación de servicios de fecha 13/03/2012 con TDX INDIGO IBERIA, S.L, que tiene por objeto la subcontratación con MULTIGESTION de los servicios de recobro de los créditos impagados de TDX. 1.2. En el marco de esta denuncia MULTIGESTION ha solicitado varias veces, por correo electrónico cuyas copias se adjuntan, la acreditación del origen de la deuda, no obstante a la fecha de envío de este escrito no han recibido respuesta. 2. Con fecha 26 de noviembre de 2014, se solicita información a CAIXABANK con relación a los hechos denunciados, con el fin de acreditar la deuda así como la cesión de la misma a FRONTERA CAPITAL Hasta la fecha no se ha recibido contestación a dicha solitud, a pesar de haber contactado varias veces telefónicamente con dicha entidad, manifestando que se encontraban en trámite las gestiones de recuperación de información. 3. Con fecha 22 de enero de 2015, se realiza inspección en los locales de la empresa TDX INDIGO, S.L.U., poniéndose de manifiesto que: 3.1. TDX tiene suscrito un contrato de prestación de servicios con la entidad FRONTERA CAPITAL S.A.R.L., ubicada en Luxemburgo, con la finalidad de prestar servicio de estrategia de recobro de su cartera de clientes. 3.2. A su vez, TDX tiene suscrito un contrato de prestación de servicios con la entidad Multigestion Iberia, S.L, con la finalidad de ejecución de acciones de recobro de los deudores, actuando como encargado del tratamiento de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 ficheros de FRONTERA CAPITAL, S.A.R.L. 3.3. Con fecha 20 de diciembre de 2011 se eleva a público, la Escritura de compraventa de los derechos de créditos no garantizados de CAIXABANK, S.A. a FRONTERA CAPITAL, S.A.R.L., entre las que se encontraban la correspondiente a D. A.A.A. con DNI ***DNI.1, por un importe de 349,05, según se acredita en el Acta Notarial que se acompaña al Acta. 3.4. Con fecha de diciembre de 2011, TDX comienza la gestión del recobro de dicha deuda, siendo encargado su recobro a diferentes entidades, siendo la última de ellas Multigestión Iberia, S.L., con fecha 04/01/2014, a la que le comunicaron los siguientes datos: Nombre y apellidos: A.A.A., NIF, ***DNI.1, domicilio: (C/.............1) (baleares), tfno.: ***TEL.1, importe de la deuda: 349,05€, datos de contrato que dio origen a la deuda. 3.5. Con fecha de enero de 2012, se envía carta conjunta de CAIXABANK y FRONTERA CAPITAL, al domicilio del deudor comunicándole la compra de la deuda por parte de esta última. Dicho envío fue certificado por UNIPOST, S.A. encargada del envío. 3.6. La ficha que se muestra en la inspección remitida por Multigestion a esta Agencia, corresponde a los sistemas de información de dicha entidad, por lo que el domicilio de la localidad de Alicante que figura en la misma, debe haber sido averiguado por Multigestion entre las acciones llevadas a cabo para el recobro de la deuda. 3.7. En el mes de noviembre tuvieron conocimiento de estos hechos a través de Multigestión, por lo que se pusieron en contacto con CAIXABANK, para solicitar copia del contrato con el cliente origen de la deuda, recibiendo con fecha 13/11/2014, correo electrónico desde dicha entidad en el que comunican que el contrato se refiere a una libreta de ahorro (cuyo titular es el Sr. A.A.A.), en el que se produjo un descubierto, y que se formalizó en la Oficina 0345 situada en la Avda. de Jaume III de Palma.” FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En relación con el tratamiento y cesión de los datos del denunciante debemos señalar que, el artículo 11 de la LOPD, establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
2. i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Ahora bien, añade el artículo 11, en su apartado 2.
3. a)que el consentimiento para la cesión de datos no será preciso “cuando la cesión está autorizada en una ley” El Código de Comercio habilita la cesión de datos sin consentimiento del afectado en los supuestos de cesión de créditos al disponer en su artículo 347 que “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. Añade el artículo 348 del citado Código de Comercio que ”el cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare” En el presente caso, esta Agencia ha constatado que se produjo una cesión de crédito por parte de CAIXABANK a favor de FRONTERA CAPITAL, S.A.R.L, a través de escritura pública de fecha 20 de diciembre de 2011, para lo cual no resulta necesario el consentimiento del afectado como se recoge en el aludido artículo 347 del Código de Comercio. Asimismo indicar que, en enero de 2012 ambas entidades envían (a través de correo certificado) una carta conjunta dirigida al denunciante y a un domicilio en Baleares, comunicándole la compra de la deuda. Aclarar que, TDX INDIGO IBERIA S.L ha manifestado que la deuda procede de un descubierto en una cuenta de CAIXABANK abierta en una oficina de Baleares, por lo que cabe concluir que en este caso existen circunstancias de las que se desprende que fue CAIXABANK quien comunicó a FRONTERA CAPITAL S.A.R.L el domicilio en Baleares del denunciante, debiendo considerarse que FRONTERA CAPITAL S.A.R.L realizó en forma la comunicación de la cesión de deuda al denunciante. Por otra parte, destacar que, el artículo 44.3.k de la LOPD establece que son infracciones graves “la comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. Asimismo, el artículo 47.1 de la LOPD, en relación con la prescripción establece que las infracciones graves prescribirán a los dos años. Por lo tanto, debemos resaltar que, tal y como se desprende de la documentación obrante en el expediente, en el caso en que la cesión no fuese conforme con lo establecido en el ordenamiento en el ordenamiento jurídico, por no existir deuda, la posible infracción denunciada habría prescrito, de conformidad con lo establecido en los artículos 44.3.k y 47.1 de la LOPD, al haber transcurrido más de 2 años desde que se produjo el hecho denunciado. III En relación con la entidad que lleva a cabo la reclamación del pago de la deuda (MULTIGESTIÓN IBERIA S.A.U) debemos señalar que, en las actuaciones de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 inspección realizadas por esta Agencia se ha constatado que, la entidad TDX INDIGO S.L.U tiene suscrito una contrato de prestación de servicio de estrategia de recobro con FRONTERA CAPITAL, S.A.R.L, habiendo subcontratado a su vez TDX a la entidad MULTIGESTIÓN IBERIA S.A.U con objeto de llevar a cabo las acciones de recobro de los deudores de FRONTERA CAPITAL, S.A.R.L por lo que, en el caso que nos ocupa debemos concluir que, la entidad que reclama el pago al denunciante, MULTIGESTIÓN IBERIA S.A.U, presta un servicio de gestión de cobro a FRONTERA CAPITAL, S.A.R.L en su calidad de responsable del fichero, en virtud de lo establecido en el artículo 12.1 de la LOPD: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” IV Por último, en cuanto al domicilio actual del denunciante (Alicante), domicilio que coincide con el que figura en su DNI, al que MULTIGESTIÓN IBERIA S.A.U remitió los requerimientos de pago debemos indicar que, la Audiencia Nacional en su Sentencia de 14 de mayo de 2009 recoge lo siguiente: “al haber prestado el denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos.” Añade la referida Sentencia que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. Concluye que “dicho contrato exige para su cumplimiento el tratamiento de los datos personales del domicilio del denunciante para poder comunicar con él cuando deja de cumplir sus obligaciones, siendo indiferente a estos efectos que el concreto dato del domicilio haya cambiado pues su tratamiento está amparado en el consentimiento inicial o, en todo caso, en la excepción contenida en el artículo 6.2 LOPD.” La doctrina sentada por la citada Sentencia ha sido, asimismo, recogida por la Audiencia Nacional en las Sentencias de 21 de enero y 22 de julio de 2010. En las citadas Sentencias se hace referencia a la obtención, por parte de un encargado del tratamiento contratado por una determinada entidad, de datos adicionales que permiten conocer el domicilio o número de teléfono de un cliente determinado en supuestos en los que se ha producido un cambio en los mencionados datos, habiéndose obtenido la información de fuentes tales como ficheros con el carácter de fuente accesible al público, detectives privados o incluso la solicitud de información a familiares del cliente. A la vista de lo expuesto, debemos concluir que las partes en el contrato tienen que mantener actualizados sus datos, pudiendo, en caso contrario, actualizar los mismos la otra parte sin consentimiento, basándose en el artículo 6.2 de la LOPD que establece que, no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 cumplimiento. La razón de esta excepción radica en la existencia de un consentimiento previo que se otorgó en el momento de la formalización del contrato, siendo razonable que no se exija dicho consentimiento cuando sea necesario el tratamiento de dichos datos de carácter personal. Dicho lo anterior, resta por decir que esta Agencia carece de competencia para declarar la inexistencia de una deuda basada en la interpretación de cláusulas contractuales. V Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CAIXABANK, S.A., FRONTERA CAPITAL SARL, MULTIGESTIÓN IBERIA S.A.U, TDX INDIGO IBERIA, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es