1/7 Expediente Nº: E/05045/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de julio de 2016, tuvo entrada en esta Agencia escrito de A.A.A. en el que denuncia a la entidad SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) por los siguientes hechos manifestados por el denunciante: La entidad denunciada ha incluido sus datos en los ficheros de solvencia patrimonial y de crédito ASNEF y BADEXCUG sin requerimiento previo de pago. El denunciante aporta, entre otra, copia de la siguiente documentación: Copia de la denuncia interpuesta ante el Juzgado de instrucción de Lugo, en la que el denunciante manifiesta que fue incluido en los ficheros de morosidad sin requerimiento previo. No se aprecia en la copia emitida por el denunciante la fecha de entrada de la misma. Consulta del fichero ASNEF fechada el 25/07/2016 en la que figura inscrita una deuda asociada al denunciante, informada por la entidad denunciada. La fecha de alta (primer acreedor) de dicha deuda es 03/06/2016 y la fecha de visualización 17/06/2016. El importe asociado a la deuda es 213,97 euros, el domicilio asignado al denunciante (C/...1)LUGO. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: - La empresa SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) tiene los siguientes datos del denunciante a fecha 12/07/2013: Móvil ***TEL.1 Email: ***EMAIL.1 Dirección: (C/...1) LUGO - SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) afirma que realiza los requerimientos de pago a través de MAILCERTIFICADO pero no existe contrato firmado, sino aceptación del servicio a través de internet. - Aporta certificado de la empresa “Servicios de Mailcertificado SL” firmado electrónicamente con fecha 19/12/2016 que incluye: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Certificación de que la comunicación objeto de este certificado ha sido enviada, entregada y accedida atendiendo a los siguientes pormenores: DATOS DE EMISOR Y RECEPTOR 1. Datos del emisor Nombre y apellidos/Razón social: Sistemas Financieros Móviles NIF/CIF: ***NIF.1 2. Datos del receptor. Correo electrónico: ***EMAIL.1 DATOS DE LA COMUNICACIÓN: Tipo de comunicación: Mailcertificado Código de referencia asociado a la comunicación: ***REF.1 Fecha y hora del envió: 25/11/2014, 15:00:17 horas Resultado de la comunicación: Leído Fecha y hora de la lectura: 27/11/2014 21:07:38 horas IP de Lectura: ***IP.1 - Adjunta Certificación del contenido de la comunicación de fecha 25/11/2014 individualizada a nombre del denunciante a la dirección electrónica del denunciante (email), en la que consta detalle de la deuda (importe 281,10 euros) y advertencia de que su impago ocasionará la inclusión en ASNEF transcurridos 30 días desde el vencimiento del préstamo. - Acompañando además a su escrito de alegaciones Declaración de depósito notarial en el que expone que Servicios de Mailcertificado SL ha depositado un servidor de comunicaciones certificadas en la oficina de un fedatario público en el que guarda copia de las comunicaciones certificadas, acuses de recibo y certificaciones de contenido de todas las comunicaciones enviadas a través de ***WEB.1. Expone que los emisarios y destinatarios de las mismas pueden solicitar acta notarial de las comunicaciones durante los 5 años siguientes a su realización. - Copia del Documento Nacional de Identidad del denunciante en los cuales no coincide el Núm. y la filiación: o Fotocopia del Documento Nacional de Identidad a nombre de A.A.A. de dirección (C/...1) (LUGO), hijo de ***.1/ ***.2, con Núm. ***DNI.1 y fecha de validez 12/09/2023. o Fotocopia del Documento Nacional de Identidad a nombre de A.A.A. de dirección (C/...1) (LUGO), hijo de ***.1/ ***.3, con Núm. ***DNI.2 y fecha de validez 12/09/2013. o La entidad manifiesta que inicialmente el denunciante adjuntó el DNI con núm. ***DNI.1 y que posteriormente volvió a intentar registrarse en la empresa con el DNI núm. ***DNI.2 “por lo que uno de ellos debe de ser falso”. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II En el presente caso A.A.A., denuncia a la entidad SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) por haber solicitado la inclusión de sus datos en ficheros de solvencia patrimonial, sin el previo requerimiento de pago. Los hechos expuestos podrían suponer la comisión por parte de dicha entidad, de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (en lo sucesivo, LOPD) en relación con el artículo 29.4 de la misma norma, preceptos que disponen: Artículo 4.3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Artículo 29.4: “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. A su vez, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD) en su artículo 38.1 establece: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación” El RLOPD añade en sus artículos 39 y 43.1, respectivamente: “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del aparatado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”; “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 La entidad SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) acredita la realización del requerimiento de pago objeto del presente caso, aportando Certificación del contenido de la comunicación de fecha 25/11/2014 individualizada a nombre del denunciante a la dirección electrónica del denunciante (email), en la que consta detalle de la deuda (importe 281,10 euros) y advertencia de que su impago ocasionará la inclusión en ASNEF transcurridos 30 días desde el vencimiento del préstamo. En este sentido la entidad SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) manifiesta que tiene contratados los servicios de la empresa MAILCERTIFICADO SL un servidor de comunicaciones certificadas en la oficina de un fedatario público en el que guarda copia de las comunicaciones certificadas, acuses de recibo y certificaciones de contenido de todas las comunicaciones enviadas a través de ***WEB.1 A través de las actuaciones de investigación llevadas a cabo por esta Agencia, en la sede de la empresa Servicios de MAILCERTIFICADO, S.L. se tiene conocimiento en profundidad del protocolo de actuación que esa entidad sigue para efectuar los requerimientos de pago a través de email y SMS; los mecanismos que le permiten saber si el destinatario de la comunicación la ha recibido en su dirección electrónica e incluso si el mensaje ha sido leído y, por lo que atañe a las comunicaciones a través de SMS, permite conocer si el mensaje de requerimiento se ha recibido, con detalle de la hora, en el terminal móvil del destinatario. Se transcribe la siguiente información publicada en el sitio web de Servicios de MAILCERTIFICADO, S.L. (SERMAILCERTIFICADO): “MailCertificado” es “un servicio de correo electrónico con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de apertura, dirección IP de la máquina desde la que se abrió, número de intentos de entrega y certificación de contenido.” “SmsCertificado” es “un servicio de SMS con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de entrega en el terminal, número de teléfono del terminal en el que se entregó, número de intentos de entrega y certificación de contenido.” Cuando una empresa contrata los servicios de SERMAILCERTIFICADO -por lo que aquí interesa, SISTEMAS FINANCIEROS- accede a un programa que reside en el servidor de aquélla y redacta, en forma de correo electrónico, un requerimiento de pago en el que incluye la dirección del destinatario y un cuerpo o texto relativo al requerimiento que se efectúa. Al dar la orden de enviar el mensaje, el servidor de SERMAILCERTIFICADO guarda el requerimiento de pago y crea y envía un correo electrónico de notificación al requerido que contiene un enlace al documento de requerimiento que ha sido guardado. El email que el deudor requerido recibe tiene este formato: “Mailcertificado.com xxx le envía una comunicación certificada”, siendo xxx el nombre de la entidad requirente que ha contratado los servicios de SERMAILCERTIFICADO. Estas actuaciones de investigación por tanto, permiten constatar que a través de este sistema que SERMAILCERTIFICADO describe, se “garantiza la integridad del contenido del requerimiento de pago efectuado a través de esta empresa”. Los envíos efectuados por SERMAILCERTIFICADO a través de correo electrónico pueden hallarse en alguno de los siguientes estados: 1.) En proceso, cuando el documento de requerimiento de pago se ha almacenado en el servidor de la entidad y aún no se ha enviado al destinatario la notificación. 2.) Enviado, cuando ya se ha dado la orden de envío y el email sale del servidor de la empresa con destino al servidor de correo electrónico que presta servicio a la cuenta de destino, esto es, a la cuenta del cliente deudor al que se le requiere el pago. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 3.) Leído, cuando además de haber recibido en la cuenta de correo electrónico del destinatario el correo electrónico enviado por SERMAILCERTIFICADO aquél accede al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (pulsa “aquí). Si el envío no fuera leído SERMAILCERTIFICADO efectúa varios intentos de notificación posterior. 4.) Fallido, cuando ha fallado la comunicación entre el servidor de SERMAILCERTIFICADO y el servidor que presta el servicio a la cuenta de destino (esto es, la dirección electrónica del deudor) SmsCertificado es un servicio equivalente a MAILCERTIFICADO pero mediante el envío de mensajes cortos (SMS) y su funcionamiento es similar. Los clientes de SERMAILCERTIFICADO pueden acceder a una aplicación web de la entidad a través de la cual redactan el SMS que desean enviar y especifican el número de línea destinataria. El contenido del mensaje se firma digitalmente como en el caso anterior. El correo electrónico se envía al servidor de correo electrónico de SERMAILCERTIFICADO que almacenará una copia en su gestor de contenidos. El servidor de SERMAILCERTIFICADO se conecta con el “servidor del operador de telecomunicaciones que SERMAILCERTIFICADO tiene contratado” y efectúa los envíos. El servidor de mensajes SMS del operador de SERMAILCERTIFICADO contacta con el operador de la línea de destino, le transmite el mensaje y ésta lo entrega al terminal de la línea destinataria, esto es, la línea del deudor requerido. Se añade a lo anterior que los operadores de telecomunicaciones intercambian mensajes con información sobre la entrega exitosa o fallida del SMS. Así pues, en relación a la notificación a través de SMS únicamente se puede confirmar la recepción del mensaje en el terminal del destinatario o el fallo en la entrega del SMS. Se articula un procedimiento que permite guardar los mensajes entre operadoras tanto en el gestor de contenidos de la entidad como en el servidor de la Notaría. En el curso de las actuaciones previas el inspector actuante verificó el correcto funcionamiento de los mecanismos articulados por la entidad en relación con SmsCertificado. Además, el operador telefónico que presta el servicio a SmsCertificado confirmó al inspector actuante los datos de la recepción de los SMS, datos que coincidían con los facilitados por SERMAILCERTIFICADO. *** elaboró un informe jurídico relativo a los servicios de MailCertificado y SmsCertificado prestados por SERMAILCERTIFICADO del que se transcriben los siguientes fragmentos: a. El informe precisa que si bien los servicios prestados “se basan en la figura del tercero de confianza establecida en el artículo 25 LSSICE […] en el contexto en el que se desarrollan los servicios de MailCertificado®, BMailCertificado®, AcuerdoCertificado®, FaxCertificado® y SmsCertificado® no siempre podremos considerar, en puridad, que estemos ante un tercero de confianza dado que, en algunos casos, será únicamente una de las partes la que acuda a este tercero para realizar la comunicación sin que el receptor del mensaje haya elegido previamente ese canal como válido entre las partes para desarrollar sus comunicaciones.” b. En relación con MailCertificado, el informe concluye que “…la Compañía prestadora del servicio tiene un control completo a nivel tecnológico tanto del origen como de la llegada del mensaje (entendiendo por llegada el acceso que se realiza desde la cuenta de correo que recibe la notificación), dado que estos eventos ocurren y son registrados en su propia plataforma. Es por ello que en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 ambos servicios MailCertificado está en disposición de asegurar frente a su propio cliente y frente a terceros el acuse de envío, la hora y fecha de apertura, la dirección IP de la máquina desde la que se abrió y el número de intentos de entrega.” El informe indica que el servicio dispone de un control completo teniendo en cuenta únicamente un caso, el de las comunicaciones que son efectivamente accedidas por los destinatarios, e ignorando el resto de los casos, como el presente en el que no se produce el acceso a la notificación desde el correo del destinatario. c. En relación con SmsCertificado, el informe concluye que “…la constancia de la emisión y el contenido se obtienen también a través de la plataforma pero la constancia de la entrega depende necesariamente del operador telefónico que es quién suministra técnicamente esta información a MailCertificado para que, a su vez, ésta última pueda registrarla en sus sistemas. […] habrá de tenerse en cuenta, a efectos probatorios, que una parte de las garantías de que la comunicación se ha producido dependerá del operador telefónico, sin que la prueba, de acuerdo con nuestra jurisprudencia, se pueda desechar por ese solo hecho.” Concluir indicando que de la documentación aportada por el denunciante junto a su escrito de denuncia no se desprende que sus datos personales fueran dados de alta con carácter previo al requerimiento de pago efectuado por la entidad denunciada el 25/11/2014, ya que sólo se aporta copia de comunicación de su inclusión en el fichero ASNEF con fecha de alta 03/06/2016. En este sentido señalar que, tal y como se ha comprobado a través de las actuaciones de investigación llevadas a cabo por esta Agencia, SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) ha efectuado el debido requerimiento de pago a A.A.A. el 25/11/2014 a su dirección electrónica indicándose la deuda (importe 281,10 euros) y advertencia de que su impago ocasionará la inclusión en ASNEF transcurridos 30 días y éste ha sido válidamente efectuado, ya que se ha realizado utilizando un procedimiento que permite conocer la fecha de emisión del correo electrónico, si el documento remitido por correo electrónico ha sido o no recibido por el destinatario, así como si éste lo ha leído o no, y además permite garantizar la integridad del contenido del texto del requerimiento de pago efectuado. Así las cosas esta Agencia considera que SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) ha actuado conforme a lo establecido en la normativa de protección de datos en lo relativo al tratamiento de datos personales en la inclusión en ficheros de solvencia patrimonial, indicados anteriormente (fundamento II). Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a SISTEMAS FINANCIEROS MOVILES S.L. (CREDITOMAS) y a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es