1/7 Expediente Nº: E/03855/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DISCUSAL HOGAR S.L. en virtud de denuncia presentada por la JUNTA DE ANDALUCIA y D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26/07/2016 la Directora de esta Agencia dictó Resolución de Archivo del procedimiento E/07075/2015. En sus Fundamentos de Derecho II y III se manifestaba: <<…II El Servicio de Consumo de la Delegación del Gobierno en Málaga pone en conocimiento de esta Agencia que la empresa DISCUSAL recoge en el contrato modelo de compraventa la cláusula número 9 que, a su juicio, puede contravenir la LOPD al recoger que el comprador presta su consentimiento para que “dentro de los estudios crediticios y de solvencia patrimonial, DISCUSAL HOGAR SL, o terceros actuando en su nombre, pueden realizar las investigaciones necesarias acerca de la solvencia y capacidad de pago incluso ante la central de información de riesgos del Banco de España o ficheros de morosidad y puedan ser utilizados los procedimientos de scoring utilizando sus datos a estos efectos aunque estuvieran cancelados.” La LOPD en su artículo 40 reconoce a la AEPD la “potestad inspectora” y en su apartado 1, recoge: “Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora, aprobado por el R. D. 1398/1993, de 4/08 en su artículo 12 dispone lo siguiente: “Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación...” Las LOPD en el artículo 5 de la LOPD que establece: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” En relación con lo dispuesto, el artículo 15 del Reglamento de Desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, en el que se establece lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” Dicha infracción aparece tipificada como leve en el artículo 44.2.
- c)de la LOPD, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”, pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de la citada Ley Orgánica. III En el presente caso, en relación a la cláusula nueve del contrato modelo aportado por la denunciante de fecha 11/03/2014, se significa que, en su caso, la conformidad a derecho de la cláusula estaría “prescrita” al haber trascurrido en exceso el plazo de UN año previsto para las infracciones leves, por lo que, el presente procedimiento se centra en el análisis de las cláusulas que los representantes de DISCUSAL alegan en la inspección son utilizadas en el contrato de compraventa. En primer lugar indicar, que la inspección in situ en la empresa DISCUSAL concluye que en dicha empresa no se ha comprobado la realización de scoring para la perfección de los contratos con los clientes siendo las entidades financieras con las que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 trabaja las que valoran la posibilidad de financiación y dan la conformidad para la celebración del contrato. En este sentido, los representantes de DISCUSAL aportaron a los inspectores actuantes:
- a)una copia de una cláusula “nueva” de protección de datos prevista para la inclusión en los futuros contratos,
- b)y la cláusula actual que consta en el contrato de DISCUSAL que afirman no hace mención a que se realice scoring ni accede a ficheros de solvencia ni a la CIRBE la mercantil y que la contratación de la financiación conlleva en todos los casos la suscripción de un contrato por parte del cliente con la financiera elegida y en el marco de esta nueva relación contractual mantenida entre el cliente y la financiera ésta última no facilita a DISCUSAL ningún tipo de dato de posibles impagos de los clientes. También, informan que en cuanto a la cancelación de sus datos se lleva a cabo a través del bloqueo, lo que implica que son borrados de las bases de datos de clientes quedando referencias únicamente a efectos de contabilidad, por lo que en ningún caso se podrían realizar estudios de solvencia con datos cancelados. Del análisis del precontrato y del contrato que utiliza DISCUSAL a la fecha de la inspección, la cláusula 8 “Protección de Datos” que figura en el reverso del precontrato y del contrato, recoge: “…los datos personales facilitados en este documento serán incorporados en los Ficheros automatizados de clientes de los que son responsables, por una parte la Vendedora […] y por otra, las entidades financieras con las que trabaja la vendedora, en adelante “las Financieras”, (ver lista de las Financieras al final del documento) y serán tratados con la máxima confidencialidad con la finalidad de informarle de las distintas promociones de productos y servicios distribuidos por las Financieras, así como para la ejecución de los tratamientos encaminados a la calificación, scoring y gestión de la financiación. Asimismo el cliente autoriza a las Financieras, y estas se reservan el derecho, a consultar los ficheros de solvencia patrimonial existentes, así como la Central de Información de Riesgos del Banco de España, con la finalidad de hacer una correcta valoración de riesgos, dotar de una mayor seguridad en la actividad y mejorar la comercialización de los productos y servicios ofrecidos…” Paralelamente, la mercantil DISCUSAL aportó a los inspectores la nueva cláusula informativa que va incorporar a los contratos en calidad de vendedora del siguiente tenor: […] la Vendedora le informa que podrá ceder sus datos a la entidades financieras con las que trabaja la Vendedora (ver lista de las Financieras al final de este documento) para poder llevar a cabo la financiación de los productos o servicios que lo requieran, así como enviarle información de las distintas promociones de productos y servicios distribuidos por las esas entidades, y la ejecución de los tratamientos encaminados a la calificación, scoring y gestión de la financiación. En caso de que no sea necesario efectuar una financiación y que usted marque la presente CASILLA O no se cederán dichos datos a estas entidades. Por lo que, prevista la posibilidad de que cliente pueda oponerse en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 correspondiente casilla a la remisión información de las distintas promociones y servicios distribuidos por las entidades financieras y a la ejecución de los tratamientos encaminados a la calificación, scoring y gestión de la financiación, se estima se han adoptado las medidas pertinentes, para dar fiel cumplimiento al contenido de los artículos 5º y 15° de la normativa sobre protección de datos. No obstante se abren las actuaciones, E/03955/2016 a fin de que en el plazo de Un mes siguiente a la recepción de la presente acredite la incorporación de la cláusula a los contratos celebrados por DISCUSAL, a la vez que se recomienda se delimiten los tratamientos que realiza DISCUSAL y las entidades…>> Dicha resolución fue remitida por correo certificado a la entidad Discusal Hogar, S.L. (en lo sucesivo el denunciado) a su domicilio social el 27/07/2016. Siendo devuelta por el Servicio de Correos tras no haber sido retirada el 19/08/2016 y tras realizar dos intentos de entrega en fechas 10 y 11 de agosto de 2016. Dicha resolución fue notificada mediante su publicación en el BOE de 1/09/2016. SEGUNDO: Con fecha 27/02/2017 se remitió nuevo escrito de requerimiento que fue entregado al denunciado el 6/03/2017. Con fecha 22/03/2017 tiene entrada en esta Agencia escrito del denunciado comunicando: <<…en virtud del requerimiento efectuado pasamos a acompañar al presente escrito, como documento n° 1, precontrato indicativo de las condiciones generales que han de regir la posterior compraventa -préstese especial atención a la cláusula número 8 “PROTECCIÓN DE DATOS”- así como, documento n° 2 contrato definitivo de compraventa, de nuevo indicativo de las referidas cláusulas…>> En la cláusula 8 de los citados contratos se informa: <<…PROTECCIÓN DE DATOS. En cumplimiento con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos y Carácter Personal, le comunicamos que los datos que usted nos facilite quedarán incorporados y serán tratados en los ficheros titularidad de Discusal Hogar, S.L. (en adelante la Vendedora) con el fin de poderle prestar nuestros servicios, así como para mantenerle informado sobre cuestiones relativas a la actividad de la empresa y sus productos. Asimismo la Vendedora le informa que podrá ceder sus datos a la entidades financieras con las que trabaja la Vendedora (ver lista de las Financieras al final de este documento) para poder llevar a cabo la financiación de los productos o servicios que lo requieran, así como enviarle información de las distintas promociones de productos y servicios distribuidos por las entidades, y la ejecución. en caso de que no sea necesario efectuar una financiación y que usted marque la presente casilla [ ] no se cederán dichos datos a estas entidades. La recogida y tratamiento de los Datos de Carácter Personal por la Vendedora tiene como finalidad el mantenimiento de la relación contractual que en su caso se establezca entre el cliente/ precliente y Discusal Hogar, S.L. Además la Vendedora podrá utilizar los datos facilitados por usted, para mantenerle informado de sus novedades comerciales y sus distintas ofertas promocionales, publicidad y prospección comercial de los servicios ofrecidos, así como el desempeño de las tareas de información, formación, comercialización (siempre identificada como tal) y otras actividades propias vía: correo electrónico, correo postal, sms, fax, telefónicamente y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 por cualquier otro medio presente o futuro, lo que se comunica en virtud de lo establecido en la LOPD y en la Ley 34/2002, de 1.1 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, dando cumplimiento al deber de información establecido. si se opone al tratamiento de sus datos con estas finalidades puede marcar la siguiente casilla [ ]. Salvo indicación en contrario el cliente da su consentimiento expreso para que Discusal Hogar, S.L. pueda utilizar sus datos con los fines arriba indicados. Asimismo, le informamos de la posibilidad que tiene de ejercer los derechos de acceso, rectificación, cancelación y oposición de sus datos de carácter personal de forma presencial en las oficinas de la Vendedora (en la filial correspondiente cuya dirección figura al anverso del presente contrato) o de la financiera correspondiente, acompañando copia del DNI, o bien mediante correo postal dirigido a la oficina central de la Vendedora sita en: C/ B.B.B., San Martin de la Vega, 28330, Madrid…>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: “…Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso…” II El artículo 5 de la LOPD, establece: “Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” Así mismo los artículos 15 y 45.1.
- b)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, “Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma” y “Datos susceptibles de tratamiento e información al interesado” regulan: <<…Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento…>> <<…1. Quienes se dediquen a la recopilación de direcciones, reparto de documentos, publicidad, venta a distancia, prospección comercial y otras actividades análogas, así como quienes realicen estas actividades con el fin de comercializar sus propios productos o servicios o los de terceros, sólo podrán utilizar nombres y direcciones u otros datos de carácter personal cuando los mismos se encuentren en uno de los siguientes casos: (…)
- b)Hayan sido facilitados por los propios interesados u obtenidos con su consentimiento para finalidades determinadas, explícitas y legítimas relacionadas con la actividad de publicidad o prospección comercial, habiéndose informado a los interesados sobre los sectores específicos y concretos de actividad respecto de los que podrá recibir información o publicidad…>> Igualmente el art. 11.3 de la LOPD establece: “Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 En el presente caso, ha quedado acreditado que el denunciado ha adoptado las medidas correctoras requeridas, al haber aportado acreditación documental de las cláusulas informativas que se incluyen en los contratos celebrados por Discusal Hogar S.L. las cuales contienen los requisitos de información que exige la normativa de Protección de Datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a DISCUSAL HOGAR S.L., a la JUNTA DE ANDALUCIA y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es