1/6 Expediente Nº: E/03768/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades AXESOR BUSINESS PROCESS OUTSOURCING S.L., y BANKIA, S.A. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de mayo de 2016, tuvo entrada en esta Agencia escrito de A.A.A. donde manifiesta que BANKIA cedió sin su consentimiento los datos de su cuenta bancaria a AXESOR BUSINESS PROCESS OUTSOURCING y ésta los utilizó sin su consentimiento para realizar cargos en su cuenta el 15/03/2016, el 5/04/2016 y el 18/04/2016. Junto a su escrito de denuncia aporta reclamación presentada ante el Servicio de Atención al Cliente de BANKIA el 05/05/2016, en relación a los recibos de los cargos efectuados e impresión de pantalla con los movimientos en la cuenta bancaria. El 29/08/2016 tiene entrada en esta Agencia un segundo escrito de la denunciante en el que aporta copia de la respuesta de BANKIA a su reclamación, donde se le indica que “respecto a la cesión de sus datos personales, le comunicamos que BANKIA no facilita datos de sus clientes a persona alguna que no esté autorizada por ley o por el propio interesado. (…) en las cancelaciones registrales la entidad puede ocuparse de gestionar las mismas íntegramente, coordinando las diferentes tareas de la gestoría, notaría y Registro de la Propiedad, tomando del cliente la correspondiente provisión de fondos mediante retención en cuenta hasta su finalización.” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: BANKIA, S.A. aportando contrato de fecha 16/2014, acredita que tiene contratados los servicios de gestión de cobros con la entidad AXESOR, destacando que en dicho contrato, en el punto 2 de su segundo párrafo, se establece que “Cuando el encargo del servicio solicitado por Bankia tenga su origen en un cliente, el Proveedor de Servicio sobrará directamente al mismo la comisión correspondiente por el servicio recibido. El cobro se producirá en la cuenta del cliente, previa autorización del cliente. El Proveedor de Servicios se compromete a gestionar el cobro de la comisión por parte del cliente….” El punto 10 del contrato (“Deber de confidencialidad”) establece no sólo la obligación de AXESOR de guardar confidencialidad con respecto a los datos de los clientes de BANKIA, sino la de tratar éstos conforme a las instrucciones de la entidad financiera, a no comunicar los datos, a cumplir con un conjunto de medidas de seguridad definidas en el anexo IV y, en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 general, al cumplimiento de lo dispuesto en la normativa vigente de protección de datos. Por otro lado, BANKIA manifiesta que el 08/01/2016 la denunciante le solicitó la cancelación registral de su préstamo hipotecario, para lo cual la entidad financiera cargó en su cuenta 792 euros en concepto de previsión de fondos. A este respecto, BANKIA aporta copia de la grabación de la llamada telefónica a través de la cual se cancela el préstamo hipotecario y se solicita la cancelación registral de dicho préstamo hipotecario. En la grabación del 08/01/2016 quien se identifica como la denunciante pregunta cómo funciona el proceso tras el cargo de 792 euros y su interlocutora le dice que “ Realmente es una transferencia que se hace a la gestoría que se encarga de realizar la cancelación registral, vale? Y luego con la gestoría haga todos los trámites, ya tenga todos los papeles del registro de que ha quedado todo cancelado, vale? Pues te lleva… te mandan al domicilio toda la documentación, vale? Y entre ellas, si hay algún sobrante, que siempre suele haber, va un documento en el que se te hace una transferencia a tu favor […]”. En el resto de la conversación también se deja claro que el servicio se presta a través de una gestoría intermediaria sin especificar cuál. En dicha grabación del día 08/01/2016 (00:57-2:07) la denunciante solicita copia del informe de cancelación de la hipoteca que la gestoría llevará al registro para efectuar la cancelación registral. En las grabaciones no consta la autorización de la denunciante para la realización de cargos en su cuenta bancaria por parte de otras entidades. Por su parte, AXESOR aporta copia de un correo electrónico recibido el 01/03/2016 con una petición de servicio remitida por BANKIA relativa a la denunciante. El servicio viene descrito como “Solicitud de información registral”. En el campo observaciones se indica “La cliente quiere que le remitamos la cancelación registral total pero no ha salido el informe de cancelación registral por lo que para que nos lo hagan desde el departamento nos solicitan que a través de esta ps nos facilitéis la nota simple, Un saludo.” La petición contiene una sección “Cargo en la cuenta del cliente” donde figuran los datos de la denunciante y de su cuenta bancaria. En relación al cargo en la cuenta de la denunciante por encargo de BANKIA, la entidad AXESOR manifiesta que FRANPER SL solicitó una nota simple informativa de una finca de la que es titular la denunciante. La fecha en la que se elabora la nota simple es el 02/03/2016. Tal y como consta en el anexo 3 del contrato entre AXESOR y BANKIA, la entidad FRANPER SL es una de las sociedades a las que AXESOR puede subcontratar los servicios contratados. De los recibos aportados por la denunciante en su escrito de denuncia se desprende que AXESOR cargo en la cuenta de la denunciante un recibo por importe de 25,41 euros, concepto “Efecto *****-C/1 OTROS CONCEPTOS: 221” los día 15/03/2016, 05/04/2016 y 18/04/2016. De los recibos y la lista de movimientos bancarios aportados por la denunciante en su escrito de denuncia se desprende que ésta anuló el cargo del recibo en las tres ocasiones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II En primer lugar indicar que el artículo 6.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), dispone que: ”1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. En este sentido, podemos decir que BANKIA S.A. obtuvo el consentimiento de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 denunciante para el tratamiento de sus datos desde el momento en que ambas partes formalizaron el préstamo hipotecario. En segundo lugar, debemos tener en cuenta que el artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
- i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. No obstante lo anterior, la propia LOPD habilita, en su artículo 12, el acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, al señalar en su apartado 1: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión o comunicación de datos. Así las cosas, de las actuaciones de investigación realizadas por este Organismo y de la documentación aportada, se desprende que la entidad AXESOR presta un servicio de gestión de cobro a BANKIA, en su calidad de responsable del fichero. III De conformidad con lo establecido en el artículo 6 de la LOPD, antes indicado, BANKIA S.A. obtuvo el consentimiento de la denunciante para el tratamiento de sus datos desde el momento en que se formalizó el préstamo hipotecario celebrado con dicha entidad. Pese a ello, la denunciante considera que dicha entidad ha facilitado sus datos a las entidades AXESOR BUSINESS PROCESS OUTSOURCING S.L., y a FRANPER S.L., sin su consentimiento. De las actuaciones inspectoras realizadas por esta Agencia, se desprende que AXESOR el 01/03/2016, recibe un correo electrónico de BANKIA con una petición de servicio consistente en llevar a cabo una información registral, requerida por la denunciante a BANKIA. En el campo observaciones de dicho email se indica “La cliente quiere que le remitamos la cancelación registral total pero no ha salido el informe de cancelación registral por lo que para que nos lo hagan desde el departamento nos solicitan que a través de esta ps nos facilitéis la nota simple. Un saludo.” La petición contiene una sección “Cargo en la cuenta del cliente” donde figuran los datos de la denunciante y de su cuenta bancaria. En lo que respecta a la entidad FRANPER S.L., señalar que se ha constatado que la entidad AXESOR, entidad gestora de BANKIA, tiene autorización de BANKIA, para subcontratar algunos de sus servicios con otras entidades, entre otras con la entidad FRANPER, -aspecto señalado en el contrato de servicios firmado el 16/02/2016, entre BANKIA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 y AXESOR- siendo dicha entidad, a quien AXESOR, en este caso, encomienda que lleve a cabo la solicitud de cancelación registral de la denunciante, en nombre de BANKIA. Así las cosas, se constata que de conformidad con el artículo 12 de la LOPD, la entidad AXESOR presta un servicio de gestión de cobro a BANKIA, en su calidad de responsable del fichero, por lo que no estaríamos ante una cesión de datos sin consentimiento del titular de los datos, ya que el acceso a dichos datos se debe a la prestación de un servicio que BANKIA tiene contratado con AXESOR. Junto a ello indicar que esta Agencia no es competente para dirimir cuestiones civiles, tales como la duplicidad de pagos denunciada en este caso, o las relativas a la validez civil o mercantil del contrato, la exactitud de la cuantía de la deuda, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil. La determinación de la legitimidad de una deuda basada en una interpretación del contrato suscrito entre las partes y de su correcta cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. Respecto de lo anterior, podrá ejercitar su derecho de cancelación o rectificación ante el acreedor, así como su derecho de acceso si desea conocer algún aspecto de la citada deuda, pudiendo utilizar los modelos que figuran en el siguiente enlace: https://www.agpd.es. III Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a OUTSOURCING S.L., BANKIA, S.A. y A.A.A.. AXESOR BUSINESS PROCESS De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es