1/5 Expediente Nº: E/05127/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A., en virtud de la denuncia presentada por D. B.B.B. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 20/07/2016 tuvo entrada en el registro de la Agencia Española de Protección de Datos (AEPD) un escrito presentado el 18/07/2016, a través de correo administrativo, por D. B.B.B. (en lo sucesivo, el denunciante) en el que expone que BANCO BILBAO VIZCAYA ARGENTARIA, S.A., (en adelante BBVA o la denunciada) ha incluido sus datos personales en los ficheros de solvencia patrimonial ASNEF y BADEXCUG sin requerirle previamente el pago de la deuda. Acompaña a la denuncia una copia de los documentos siguientes - Carta de EQUIFAX de fecha 15/04/2016 en la que responde al acceso solicitado el 14/04/2016 y facilita la información que a fecha 15/04/2016 obra en el fichero ASNEF asociada a su NIF. Consta una incidencia informada por BBVA por un saldo impagado de 2.273,08 euros, por un producto de financiación al consumo, con fecha de alta 13/03/2014. Los datos personales asociados al NIF del son su nombre y dos apellidos y un domicilio en calle C.C.C., A.A.A.. - Carta de EXPERIAN de fecha 12/04/2016 en la que responde al acceso solicitado el 12/04/2016 y le comunica que se encuentran registrado en el fichero BADEXCUG asociados a su NIF una incidencia informada por BBVA, número de operación finalizado en los dígitos 34637 por un importe de 2.273,08 euros siendo la fecha de alta el 03/08/2014. Vinculado al NIF del denunciante consta su nombre y dos apellidos y una dirección postal idéntica a la comunicada al fichero ASNEF que además coincide con la facilitada por el denunciante a la AEPD. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados teniendo conocimiento de los siguientes extremos: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa BANCO BILBAO VIZCAYA ARGENTARIA, S.A. en su escrito de fecha de registro 18/10/2016 (número de registro 342036/2016) ha remitido la siguiente información pertinente a los efectos de la investigación: Copia impresa de los datos que figuran en sus sistemas relativos al denunciante. Entre los mismos consta como dirección del denunciante C/ A.A.A.. Esta dirección coincide con la que figura en el DNI del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Copia de la carta, de número de referencia ***REF.1 y fechada a 18/02/2014, que remite la entidad denunciada al denunciante a la dirección C/ A.A.A. en la que se reclama el pago de la deuda contraída por importe de 94,61 euros por un lado, y 90,89 euros por otro, y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago en el plazo de 10 días (documento nº2). En su escrito de respuesta a la solicitud de información expone que BANCO BILBAO VIZCAYA ARGENTARIA, S.A. ha contratado a NEXEA GESTIÓN DOCUMENTAL S.A. para la realización de los requerimientos de pago efectuados a sus clientes. Copia del contrato, suscrito a fecha 25/07/2011 entre BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y NEXEA GESTIÓN DOCUMENTAL S.A, que regula la prestación del servicio de envío de los requerimientos de pago emitidos por BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (documento nº3). Copia del certificado expedido por NEXEA GESTIÓN DOCUMENTAL S.A el 11/10/2016 del envío con fecha 18/02/2014 de la carta de requerimiento de pago con número de referencia ***REF.1 dirigida al denunciante a la dirección C/ A.A.A. . Hace constar que dicha carta formaba parte de un paquete total de 1697 envíos que se pusieron a disposición del servicio de envíos postales con fecha 05/03/2014. En este mismo documento se deja constancia de que la comunicación con número de referencia ***REF.1 no ha sido devuelta por el Servicio de Correos (documento nº4). Copia de dos documentos acreditativos del gestor postal CORREOS en el que figura, en uno, la remisión de 1601 cartas con fecha 05/03/2014 en nombre de “BBVA CONTROL PRESUPUESTARIO” sin individualizar una referencia a la carta al denunciante, y validado por el gestor postal; y en otro, la remisión de 96 cartas, también con fecha 05/03/2014 en nombre de “Uno-e Requerimiento de pago” sin individualizar una referencia a la carta al denunciante, igualmente validado por el gestor postal (documento nº5). En su escrito de respuesta a la solicitud de información expone que BANCO BILBAO VIZCAYA ARGENTARIA, S.A. también tiene contratado con NEXEA GESTIÓN DOCUMENTAL S.A. el servicio de gestión de devoluciones de los requerimientos de pago que emite. Copia del informe elaborado por NEXEA GESTIÓN DOCUMENTAL S.A. que describe, en su página 19, el proceso de notificación de devoluciones de requerimientos de pago (documento nº6).>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 aprobado por el Real Decreto 1720/2007 (RLOPD) establece: "Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso." II El artículo 4.3 de la LOPD dispone que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En relación con la prestación de servicios de información sobre solvencia patrimonial y crédito el artículo 29.4 de la LOPD indica que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. III El artículo 38.1 del Reglamento de la LOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial en relación con las obligaciones dinerarias a las que alude el artículo 29 de la LOPD, señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurra, por lo que ahora interesa, el siguiente requisito: “
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Por otra parte, el artículo 39 del RLOPD indica que “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias.” El Reglamento de desarrollo de la LOPD impone al “acreedor o quien actúe por su cuenta o interés” la obligación de “conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. El artículo 43.1 del RLOPD añade que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 común”. El criterio seguido, de manera uniforme, por la Audiencia Nacional, Sala de lo Contencioso Administrativo, respecto al alcance de la obligación que impone al responsable del fichero el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- es que éste debe estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y que tal requerimiento ha sido recibido por el destinatario. La Audiencia Nacional, en Sentencia de 24/01/2003 precisó que “ Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) IV El denunciante manifiesta que BBVA incluyó sus datos personales en los ficheros de solvencia patrimonial ASNEF y BADEXCUG omitiendo la obligación impuesta por la normativa de protección de datos de requerirle el pago con carácter previo a tal inclusión. La documentación que obra en el expediente acredita que BBVA informó a los ficheros ASNEF y BADEXCUG los datos personales del afectado con fecha de alta, respectivamente, 13/03/2014 y 03/08/2014 y que el importe impagado en la fecha en la que se ejercitó el derecho de acceso (el 15/04/2016) ascendía a 2.273,08 euros. Asimismo, consta en el expediente que la dirección postal que el denunciante ha facilitado a la AEPD coincide con la que figura en los sistemas de BBVA. La entidad denunciada ha remitido a la Inspección de la AEPD una copia de la carta personalizada, a nombre del denunciante, y referenciada (***REF.1) que tiene fecha de 18/02/2014 en la que le requiere el pago de dos deudas por sendos importes de 94,61euros y 90,89 euros y le advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y crédito si se mantiene la situación de impago transcurrido el plazo de diez días. BBVA ha facilitado los documentos que permiten seguir la trazabilidad de la carta de requerimiento. En particular, un certificado expedido por NEXEA GESTIÓN DOCUMENTAL, S.A., -empresa con la que contrató el servicio de Envío de Comunicaciones del proceso de Cartas Asnef de BBVA- que deja constancia de la generación, impresión y puesta en el Servicio de Correos de la carta de requerimiento. El Certificado informa de que la comunicación de referencia ***REF.1, a nombre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 del denunciante, se generó el 18/02/2014 y que se imprimió y ensobró sin que se produjera ninguna incidencia. Indica que el 05/03/2014 se pusieron a disposición del Servicio de Correos para su ulterior distribución por parte de ese Servicio un total de 1697 comunicaciones entre las que se encontraba la de referencia ***REF.1. Además, aporta copia del albarán de entrega en Correos que está validado mecánicamente en fecha 05/03/2014. Finalmente, NEXEA hace constar en el certificado que expide que gestiona la devolución de los documentos de requerimiento previo de pago de BBVA y que no tiene noticia de que la notificación dirigida al denunciante se hubiera devuelto. De la exposición precedente se evidencia que BBVA sí requirió al denunciante el pago de la deuda antes de comunicar sus datos a los ficheros ASNEF y BADEXCUG. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no apreciarse en la conducta objeto de la denuncia incumplimiento de la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución ARGENTARIA, S.A. y a D. B.B.B.. a BANCO BILBAO VIZCAYA De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es