E-05141-2016

1/7 Expediente Nº: E/05141/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COFIDIS S.A., SUCURSAL EN ESPAÑA en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de julio de 2016, tuvo entrada en esta Agencia escrito de A.A.A. denunciando a COFIDIS S.A., SUCURSAL EN ESPAÑA en el que denuncia lo siguiente: Al realizar una operación en su banco le informan de que sus datos se encuentran incluidos en el fichero de solvencia patrimonial y de crédito BADEXCUG. Averigua posteriormente que su identidad ha sido suplantada en una compra realizada a la entidad VORWERK ESPAÑA MANAGEMENT, S.L. S.COM (expone que mediante fotocopia del DNI “sin verificar ni siquiera la foto”), financiada a través de la entidad COFIDIS S.A. Fue esta última entidad la que le reclama una deuda por la cual le ha incluido en el fichero BADEXCUG. El denunciante aporta, entre otra, copia de la siguiente documentación:  Contrato de préstamo mercantil con “número de aprobación” ****1 firmado a fecha 25/8/2015 por COFIDIS S.A. SUCURSAL EN ESPAÑA y por el “titular” del mismo que según figura en éste sería el denunciante (constan nombre, apellidos y DNI del denunciante). Como “empresa vendedora” figura VORWERK ESPAÑA M.S.L. S.COM.  Con fecha 18/5/2016, contestación de EXPERIAN BUREAU DE CRÉDITO S.A. en respuesta al ejercicio del derecho de acceso del denunciante indicando que a fecha 18/5/2016 figura inscrita en el fichero BADEXCUG una deuda por importe de 248,85 euros informada por la entidad denuncia COFIDIS S.A. La fecha de alta de dicha deuda es 10/4/

1.  Denuncia interpuesta ante la policía en las dependencias de “MADRID – SALAMANCA – OF. DENUNCIAS” con fecha 10/6/2016 y número de atestado ****/16 en la que el denunciante manifiesta que su identidad ha sido suplantada en la contratación de un préstamo con COFIDIS (entidad a la que manifiesta no haber solicitado nunca ningún crédito). Añade que además, derivado de dicho préstamo se ha acumulado una deuda por la que COFIDIS le ha incluido en el fichero de solvencia patrimonial y de crédito BADEXCUG. Expone además que tras solicitárselo, COFIDIS le envía el contrato supuestamente suscrito por él, en el que indica que se le asocian numerosos datos que no le corresponden. A saber: “dirección, código postal, población, provincia, teléfono fijo, teléfono móvil, estado civil, su vivienda, situación laboral, profesión, ingresos netos mensuales y número de cuenta”. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, alegando COFIDIS S.A., SUCURSAL EN ESPAÑA lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Respecto de los DATOS PERSONALES del denunciante constan en sus sistemas los siguientes datos asociados al denunciante: o Nombre y apellidos: A.A.A. o DNI: ***DNI.1 o Dirección postal: (C/...1) o Código postal: ***CP.1 o Población: ***LOCALIDAD.1 (Las Palmas) o Teléfono: ***TEL.1 Respecto a los PRODUCTOS CONTRATADOS a nombre del denunciante constan en los sistemas de la entidad: o Contrato de préstamo número ***CONTRATO.
2. La fecha de alta del contrato es de 28/09/2015, el importe de crédito concedido 1.100 euros y el tipo de contrato “compra a plazos Vorwerk”. Según manifiesta en su escrito de respuesta, a través de dicho contrato el denunciante financió la compra de un producto adquirido a la mercantil “VORWERK” por un importe de 1.100 euros. Se adjunta el contrato como anexo IV. Respecto al PROCEDIMIENTO DE CONTRATACIÓN EJECUTADO, en su escrito de respuesta expone que el contrato se realizó a través del distribuidor VORWERK (Las Palmas de Gran Canaria), cuyo domicilio social es (C/...2) Madrid. Se adjuntan (anexo IX) copia de los protocolos de colaboración firmados entre el distribuidor y COFIDIS. Con respecto al MÉTODO DE VALIDACIÓN DE LA IDENTIDAD DEL CONTRATANTE por parte del distribuidor manifiesta que éste tiene “las siguientes obligaciones en cuanto a la identificación de los potenciales clientes: o Identificar a los clientes que compren los productos del distribuidor y que sean financiados a través de COFIDIS, por lo que previamente a la suscripción del contrato de crédito entre COFIDIS y el cliente, el distribuidor deberá solicitar al cliente la exhibición de su DNI original, procediendo a su verificación y comprobación. o Validar los datos del cliente y gestión de la correcta cumplimentación de los contratos y obtención de los documentos que se requieran.” Respecto a la DOCUMENTACIÓN ACREDITATIVA DE LOS CONTROLES REALIZADOS AL DISTRIBUIDOR al objeto de comprobar que cumple las instrucciones que le dirige la entidad, ésta manifiesta que el distribuidor “proviene de la captación que nuestro agente financiero MICROCREDIT, S.A., ha realizado para con COFIDIS, es decir, la actividad de MICROCREDIT S.A. (como agente financiero de COFIDIS) consiste en realizar labores de captación de nuevos distribuidores para la red de partners o distribuidores de COFIDIS, con lo cual los controles que se realizan sobre dicho tipo de distribuidores se encuentran regulados en el documento denominado -Metodología Controles MicroCredit- que se adjunta como ANEXO X al presente escrito.” Adjunta (anexo X) documento titulado Metodología de Controles MicroCredit redactado el 28/3/2014 (según consta en el mismo). Dicho documento contiene en el punto “3.2 Controles gestores de aceptación” la definición del control que ha de efectuar el supervisor Microcredit C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 para evaluar la calidad en fase de aceptación. Entre los controles realizados a una muestra de los contratos se encuentra la existencia de un contrato firmado y de DNI legible y no caducado. No se aportan registros de controles realizados. Respecto a las MENSUALIDADES A NOMBRE DEL DENUNCIANTE DERIVADAS DEL CONTRATO señalado anteriormente, adjunta (anexo III) certificado expedido a 29/11/2016 que hace constar el extracto de mensualidades emitidas desde su inicio hasta mayo de 2016 (según señala en junio de 2016 reciben la denuncia de la policía e inician los trámites de “desfinanciación”). En dicho certificado consta un saldo pendiente de pago, a 28/5/2016, de 1.231,69 euros. Respecto de las RECLAMACIONES INTERPUESTAS POR EL DENUNCIANTE frente a la entidad denunciada adjunta (anexo V) copia de la reclamación remitida por el denunciante y que manifiesta fue recibida en la entidad denunciada en fecha 23/06/
3. A dicha reclamación, en la que el denunciante manifiesta la suplantación de identidad que ha sufrido y ejerce el derecho de cancelación de sus datos personales, adjunta copia de su DNI y de la denuncia interpuesta ante la policía. Según manifiesta en su escrito de respuesta, COFIDIS responde por carta a fecha 01/07/2016 al denunciante (adjunta como anexo VI) informándole de la cancelación (bloqueo) de sus datos personales. Además, en fecha 08/07/2016 remite una nueva carta al denunciante (adjunta como anexo VII) informándole de que sus datos no se encuentran inscritos en ningún fichero de morosidad por parte de COFIDIS y de que dan traslado de la denuncia policial al departamento correspondiente de COFIDIS para su gestión interna. En esta carta se indica que adjunta el contrato supuestamente firmado por el denunciante y la fotocopia del DNI aportada “para el estudio de la financiación”. Respecto de las CAUSAS QUE HAN MOTIVADO LA INCLUSIÓN de los datos personales del afectado en los ficheros ASNEF y BADEXCUG y del requerimiento de pago de la deuda como paso previo a su inclusión en los ficheros citados, la entidad manifiesta que su inclusión se produjo a 8/4/2016 tras el impago de las mensualidades correspondientes al periodo eneromayo de
4. Añade que de forma previa a la inclusión de la deuda del denunciante en los citados ficheros se había requerido el pago de la misma en varias ocasiones a través de comunicaciones dirigidas al domicilio contractual. Respecto de los MOTIVOS POR LOS QUE, SE HA SOLICITADO LA EXCLUSIÓN de los datos del afectado de los ficheros de solvencia patrimonial y de crédito expone que “una vez que COFIDIS tuvo conocimiento, a tenor de la reclamación recibida en fecha 23/06/2016, de la correspondiente denuncia policial […] esta parte procedió a dar de baja, de forma cautelar, y sin demora alguna, de los ficheros de morosidad correspondientes, los datos personales del Sr. A.A.A.”. Aporta (anexo VIII) impresión de pantalla de los sistemas de la entidad en la que figura el 28/6/2016 como fecha de baja en los ficheros de solvencia patrimonial y de crédito. Respecto a la SITUACIÓN ACTUAL DEL CONTRATO, en su escrito de respuesta señala que el contrato se bloquea a tenor del recibo de la denuncia policial que remite el denunciante en fecha 23/06/2016, en la cual se pone en conocimiento de la entidad un presunto fraude y usurpación de identidad realizado con sus datos de carácter personal. Expone que “durante ese mes de junio de 2016 se empezaron a realizar los trámites correspondientes para proceder a la desfinanciación de la operación presuntamente fraudulenta hasta que tal proceso de desfinanciación culminó en fecha 21/10/2016”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el presente caso, el denunciante - A.A.A. - denuncia a COFIDIS S.A., SUCURSAL EN ESPAÑA porque su identidad ha sido suplantada en la contratación de servicios y productos por un distribuidor de la citada entidad situado en Las Palmas de Gran Canaria, desempeñando la actividad de MICROCREDIT S.A. (como agente financiero de COFIDIS), por lo que el denunciante decide presentar denuncia ante la Policía el 10/06/2016 y reclamación ante COFIDIS el 23/06/2016, provocando con ello que COFIDIS al conocer los hechos proceda a la inmediata regularización de la situación denunciada así como a la cancelación de sus datos y solicitar la baja en los ficheros de solvencia patrimonial. COFIDIS alega que a través de su distribuidor en Las Palmas de Gran Canaria, el denunciante formalizó el 28/09/2015, un contrato de préstamo, por un importe de crédito concedido de 1.100 euros. Dicha entidad afirma además que el procedimiento que se sigue para la contratación de sus productos, requiere copia de DNI legible y no caducado para poder formalizarse. Además, la entidad denunciada manifiesta que tras recibir reclamación por parte del denunciante el 23/06/2016, en la que manifiesta la suplantación de identidad y ejerce el derecho de cancelación de sus datos personales, adjuntando copia de su DNI y de la denuncia interpuesta ante la policía, se pone en contacto con el denunciante remitiéndole dos cartas, una de fecha 01/07/2016, en la que se le informa de la cancelación (bloqueo) de sus datos personales, y otra de fecha 08/07/2016, informándole de que sus datos no se encuentran inscritos en ningún fichero de morosidad a solicitud de COFIDIS. Por lo tanto, en el supuesto que nos ocupa, se considera que el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable en la contratación, al solicitar el DNI del denunciante como documento identificativo en el momento de la contratación, actuando además diligentemente cuando tras presentar la reclamación el denunciante el 23/06/2016, procede a la inmediata regularización de la situación irregular denunciada y proceder a la cancelación de sus datos así como a solicitar la baja en los ficheros de solvencia patrimonial. Así las cosas, hemos de proceder a analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que COFIDIS S.A. empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. Junto a ello debe resaltarse que desde el momento en que la entidad denunciada tuvo conocimiento de la reclamación interpuesta por el denunciante, procedió inmediatamente a reembolsar los importes indebidamente cargados por su entidad bancaria y dar de baja la línea. Habría que añadir que la posible falsificación de la contratación on-line o la suplantación deben sustanciarse en los ámbitos jurisdiccionales pertinentes de la vía penal. Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a COFIDIS S.A. una vulneración de la normativa en materia de protección de datos. IV Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a COFIDIS S.A., SUCURSAL EN ESPAÑA y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es