E-04273-2013

1/6 Expediente Nº: E/04273/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad AMERICAN EXPRESS CARD ESPAÑA, S.A.U., en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 11/04/2013 tiene entrada en esta Agencia un escrito del BANCO DE ESPAÑA en el que se remite una reclamación presentada por A.A.A. (en adelante la denunciante), contra AMERICAN EXPRESS CARD ESPAÑA, S.A.U., (en adelante AMERICAN EXPRESS), en el que se manifiesta lo siguiente: 1. El 02/01/2013 tuvo conocimiento a través de su banco de que sus datos se encontraban inscritos en los ficheros de solvencia patrimonial y crédito ASNEF y BADEXCUG. 2. Tras solicitar a los responsables de dichos ficheros información sobre los datos incluidos, le indican que están asociados a una deuda de 3.015 euros de una tarjeta American Express. 3. Nunca ha poseído una tarjeta American Express. 4. El 09/01/2013 presenta reclamación en relación con los hechos descritos ante la Oficina Municipal de Información al Consumidor pero al no llegar a un acuerdo entre las partes, se remite la reclamación al Servicio de Reclamaciones del Banco de España. La denunciante aporta copia de la siguiente documentación:

1. a)Reclamación presentada ante la OMIC.
2. b)Denuncia presentada ante la policía nacional el 8 de enero de 2013 en la que denuncia que AMERICAN EXPRESS le está reclamando una deuda por el uso de una tarjeta que no ha contratado.
3. c)Notificación de inclusión en el fichero BADEXCUG de fecha 3 de enero de 2013.
4. d)Copia de las alegaciones remitidas por AMERICAN EXPRESS a la OMIC en las que se indica que la tarjeta de crédito en cuestión fue solicitada por Internet y que junto con la solicitud se acompañó copia del DNI de la denunciante y de un recibo de salario de la empresa ENRIQUE Y KELVIN CONSTRUCCIONES SL, de los que aportan copias.
5. e)Copia de las alegaciones de la denunciante, en respuesta a las de AMERICAN EXPRESS, en las que además de indicar que parte de los datos (dirección postal, electrónica, CCC, etc….) proporcionados para la solicitud de la tarjeta son falsos, nunca ha trabajado en la empresa ENRIQUE Y KELVIN CONSTRUCCIONES SL y su DNI supone que ha debido ser sustraído o falsificado. Con fecha de 05/08/2013 tiene entrada en esta Agencia un escrito la denunciante en el que relata idénticos hechos a los descritos previamente y aporta, además de toda la documentación citada, copia de la siguiente:
6. f)Declaración realizada el 01/07/2013 ante el Juzgado de Instrucción nº 1 de Santa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 Cruz de Tenerife, en la que se reafirma en lo declarado previamente ante la policía.
7. g)Certificado de empadronamiento emitido el 21/02/2013 por el Ayuntamiento de Santa Cruz de Tenerife a nombre de la denunciante.
8. h)Vida laboral de la denunciante en la que se observa que en ningún momento ha sido empleada por la sociedad ENRIQUE Y KELVIN CONSTRUCCIONES SL. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - Con fecha 08/10/2013 se solicita a EQUIFAX IBERICA, SL información relativa al denunciante y de la respuesta recibida se desprende lo siguiente: Respecto del fichero ASNEF: No consta información. Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre del denunciante, con fecha de emisión 19/07/2012, por un producto de TAREJTAS DE CREDITO, por un importe de 3.015 euros y siendo la entidad informante AMERICAN EXPRESS. La notificación, que fue remitida a la dirección que figura en el contrato, consta como devuelta el 25/09/2012. Respecto del fichero de BAJAS: Consta una baja asociada a la notificación citada en el apartado anterior para una operación con fecha de alta y baja en ASNEF de 17/07/2012 – 15/01/2013. El motivo consta como “CLIENTE”, el importe es de 3.015 euros y por vencimientos impagados primero y último de fechas 8 de mayo de 2012. - Con fecha 08/10/2013 se solicita a AMERICAN EXPRESS información relativa a los hechos denunciados y de su respuesta se desprende lo siguiente: 1. En los sistemas de la entidad consta la solicitud de una tarjeta de crédito a nombre de la denunciante realizada por internet el 21/12/2011. Se aporta copia de los datos aportados en la solicitud y de la documentación aportada con ésta: copia del DNI de la solicitante y de un recibo de nómina de la empresa ENRIQUE Y KELVIN CONSTRUCCIONES SL 2. La dirección IP desde la que se realizó la solicitud es ***IP.1. 3. Se remitieron dos requerimientos de pago a nombre de la denunciante, dirigidos al domicilio proporcionado en la contratación, los días 21/04/2012 y 08/05/2012. 4. Los datos de la denunciante fueron comunicados al fichero BADEXCUF e incluidos en éste el 10/06/2012. 5. La entidad manifiesta que, conforme a las políticas de fraude de la entidad, solicitó la exclusión de los datos de la denunciante tras recibir copia de la denuncia interpuesta por ésta. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
9. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6.1 y 2 de la LOD dispone que: ”1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. III El artículo 4.3 de la LOPD, dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. IV En el artículo 38.1 del Reglamento de la LOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial, en relación con las obligaciones dinerarias a que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 obligaciones dinerarias deberá efectuarse solamente cuando concurra, por lo que ahora importa, los siguientes requisitos: “
10. a)Existencia previa de una deuda cierta, vencida y exigible que haya resultado impagada” y “
11. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. En cualquier caso, se hace preciso señalar que la Agencia Española de Protección de Datos no es el órgano competente para dirimir si la deuda reclamada por AMERICAN EXPRES al denunciante era correcta o no, ni su cuantía exacta con carácter definitivo e irrevocable, para eso están los tribunales de justicia en última instancia, aquí de orden civil; a la Agencia le compete determinar si se han cumplido los requisitos legal y reglamentariamente establecidos para la inclusión de los datos personales del afectado en los ficheros ASNEF y BADEXCUG. O como dice la sentencia de 3 de julio de 2007 de la Audiencia Nacional: “Otra cosa es que para ejercer su competencia (refiriéndose al Director de la Agencia) haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros”. Pero esas valoraciones sí deben servir a la Agencia para saber que la información trasmitida a ASNEF y BADEXCUG contaba con la suficiente veracidad, tal como demanda la Ley. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de VODAFONE para ejercer la potestad sancionadora. V La denunciante ha manifestado que ha tenido conocimiento a través de su entidad bancaria que había sido incluida en ficheros de morosidad, asociados a una deuda de una tarjeta de crédito de AMERICAN EXPRES, sin que haya mantenido relación contractual alguna con la citada entidad. En el presente caso, se trata de una contratación a través de internet de tarjeta de crédito, en la que AMERICAN EXPRES aporta contrato e solicitud online de tarjeta de crédito en la que constan los datos personales de la denunciante, condiciones generales de la contratación, copia de su DNI y nómina de la empresa en la que estaba trabajando; también consta la dirección IP desde donde se realizó la solicitud de contratación, que a de acuerdo con lo señalado por el inspector actuante es una de la que utiliza TELEFONICA DE ESPAÑA, SAU para prestar servicios a sus clientes, si bien, debido a que las operadoras de telecomunicaciones únicamente están obligadas por ley a mantener los datos de las asignaciones de sus direcciones IP durante un periodo de un año, no es posible conocer el cliente que tuvo dicha dirección IP asignada en el momento de los hechos. Todas estas circunstancias dotan a dicha contratación, por parte de la entidad denunciada, de una apariencia de veracidad que elimina el elemento subjetivo de culpabilidad necesario para ejercer la potestad sancionadora. Por tanto, no cabe apreciar culpabilidad alguna en la actuación de esta entidad, que actuaba en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. También a través de la documentación aportada, se ha constatado la existencia de la deuda que ha resultado impagada derivada del contrato de tarjeta suscrito entre la supuesta contratante y AMERICAN EXPRES, quien además ha aportado requerimientos de pago previos a la inclusión de los datos de la denunciante en los ficheros de solvencia patrimonial y de crédito ASNEF y BADEXCUG. Por consiguiente, debe considerarse no infringido el artículo 4.3 de la LOPD, ya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 que los datos correspondían a la situación real en el marco de la relación contractual con la entidad crediticia. Respecto de la ausencia de culpabilidad, puede traerse a colación la SAN 29/10/2009, Rec. 797/2008 que, en un supuesto análogo al que nos ocupa, afirma que: “OCTAVO En cuanto al fondo, se alega que el 31 de octubre de 2003 quien dijo ser D.yyy y exhibió documentación que le acreditaba como tal adquirió bienes en el establecimiento Lamas Bolaño Subastas SA, pactando un pago fraccionado, haciendo efectivo el primer pago en el momento de la compra y generando un derecho de crédito a favor de la citada empresa por los restantes; que Lamas Bolaño cedió el derecho de crédito a la recurrente en el marco del contrato de afiliación que tenían suscrito, cesión a la que mostró su conformidad el citado Sr, autorizando la inclusión de sus datos personales en los ficheros de la entidad demandante. Ante el impago por parte de quien dijo ser D. yyy del resto de los pagos -prosigue la actora- y tras haberle requerido por escrito la deuda en el domicilio que constaba en el documento de compra, se incluyeron sus datos en los ficheros Asnef y Badexcug, sin que ni en el momento de la contratación ni en el de la inclusión de sus datos en los ficheros existiera circunstancia alguna que pudiera hacer pensar que se tratara de una operación irregular” Por tanto, AMERCAN EXPRES ha actuado con una razonable diligencia adoptando las medidas adecuadas tendentes a verificar la identidad de la persona con la que contrataba y, además, conforme a las políticas de fraude de la entidad, solicitó la exclusión de los datos de la denunciante tras recibir copia de la denuncia interpuesta por la afectada. En este mismo sentido hay que hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 catálogo de infracciones previstas y sancionadas en el Título VII de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
12. i)PROCEDER AL ARCHIVO de las presentes actuaciones.
13. j)NOTIFICAR la presente Resolución a AMERICAN EXPRESS CARD ESPAÑA, S.A.U., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es