1/4 Expediente Nº: E/05361/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades Finconsum EFC, S.A., e IKEA IBERICA, S.A., en virtud de denuncia presentada por Don A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 29 de julio de 2013, tuvo entrada en esta Agencia un escrito remitido por Don A.A.A., en el que denuncia que, con fecha 8 de julio de 2013 solicitó una tarjeta de crédito en la tienda de IKEA situada en el Centro Comercial La Gavia de Vallecas, para lo cual presentó su DNI, última nómina y un recibo bancario, firmando el correspondiente contrato y procediendo por parte de la tienda a hacer fotocopia de la documentación. El día 26 de julio, al no tener noticias de la tarjeta, se puso en contacto con Finconsum, que le indicaron que no habían recibido ni el contrato firmado ni la documentación, puesto en contacto con la tienda IKEA, éstos le comunican que vuelva a presentar nuevamente toda la documentación en la tienda. Estos hechos suponen que la documentación y el contrato firmado han sido extraviados. Aporta copia del contrato firmado para su solicitud. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Con fecha 31 de marzo de 2013, se realizó inspección en los locales de IKEA, poniéndose de manifiesto los siguientes hechos durante la inspección: 1.
- Desde el stand de IKEA VISA, se realiza una consulta, desde un terminal de FINCONSUM, conectado directamente con el sistema de FINCONSUM, al DNI B.B.B.; comprobándose que existen datos asociados al denunciante, y a un contrato con FINCONSUM. No obstante, figura que no existe ninguna tarjeta activa ni ha realizado ningún tipo de operación con dicha tarjeta. 1.
- Las inspectoras de la Agencia solicitaron información sobre el procedimiento seguido para la solicitud de tarjeta, ante lo que manifiestan que: 1.2.1.Cuando un cliente solicita la Tarjeta IKEA, graban los datos de la solicitud a través del terminal de FINCONSUM, siendo FINCONSUM el responsable del fichero donde se registran los datos, tal como se informa al interesado en la copia de la solicitud que se le entrega. 1.2.2.En ese momento, la documentación requerida se remite a FINCONSUM vía escáner, propiedad de FINCONSUM, y se le devuelve al cliente. Si C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 existe algún problema en la transmisión, bien por el escáner o bien porque existe incidencia en el sistema de FINCONSUM, se procede a realizar fotocopia de dicha documentación, cuyos originales son devueltos al cliente, la cual se grapa a la solicitud y es remitida por valija a FINCONSUM. En cualquier caso, se hace entrega al cliente de una tarjeta provisional que tiene una validez de dos meses, quedando anulada después de esa fecha. 1.2.3.Asimismo, manifiestan que no tienen constancia de que el cliente haya realizado ninguna reclamación en el stand de IKEA VISA de esta tienda. 1.2.4.Las inspectoras de la Agencia, solicitan información sobre las reclamaciones existentes en IKEA con relación a estos hechos, ante lo que la representante de IKEA realiza una llamada al Departamento de atención al cliente, haciendo búsquedas, tanto por DNI como por nombre y apellidos y número de teléfono del denunciante, manifestando que no disponen de información sobre este cliente.
- Con fecha 23 de abril de 2014, se realizó inspección en los locales de la entidad FINCONSUM EFC, S.A.U, poniéndose de manifiesto los siguientes hechos durante la inspección: 2.
- Se accede al sistema informático de la entidad mediante su aplicación, a la opción GESTIÓN DE SOLICITUDES, realizando una búsqueda por el DNI B.B.B. comprobándose que se corresponde con el número de solicitud que aparece en el contrato presentado por el denunciante en esta Agencia. 2.
- Dicha solicitud contiene dos anotaciones de fecha 16 de agosto de 2013: 2.2.1.Documentación enviada a COB. 2.2.2.Tarjeta Bloqueada 2.
- Accediendo a la opción de Tarjeta Bloqueada, aparece el literal: FIRMA TITULAR, donde se comprueba accediendo a dicha incidencia, que consta que FALTA LA FIRMA DEL TITULAR EN EL CONTRATO, y figura la emisión de un correo electrónico a IKEA a la dirección: .........@ikea.com, con dicha información, que según manifiesta el representante de FINCONSUM, es el procedimiento establecido cuando existe alguna incidencia en la gestión de la solicitud, con el fin de que IKEA se ponga en contacto con el cliente para resolver la incidencia. 2.
- Asimismo, se comprueba que dicha solicitud se encuentra asociada a los datos del denunciante, y que en uno de los campos figura el literal “ESTANDAR”, que según manifiesta el representante de la entidad, se trata de documentación que ha sido remitida por valija interna desde el establecimiento por algún problema de conexión con la Financiera para remitirla escaneada en el momento de la grabación de la solicitud. 2.
- Se accede al Gestor Documental de la entidad donde se encuentra escaneada toda la documentación recibida con las solicitudes, comprobándose que existe la siguiente documentación correspondiente al denunciante: Copia del DNI, Copia de una nómina de fecha de junio de 2013, Copia de un recibo bancario para la domiciliación de los pagos y copia del Contrato-solicitud, comprobándose que no está firmado por el titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Se accede al sistema donde se conservan los contactos asociados a clientes y solicitantes, verificándose que constan dos contactos asociados al denunciante, uno de fecha 26/07/2013 y otro de fecha 31/03/2014; el sistema guarda asociados todos los contactos que se realizan con relación a su solicitud o tarjeta, tanto por parte del interesado, como del establecimiento o personal de FINCONSUM, dichos contactos son grabados. Se accede a las citadas grabaciones comprobándose, que: 2.5.1.La grabación del 26/07/2013 corresponde a una llamada realizada por el denunciante solicitando información sobre los motivos por los que no había recibido la tarjeta, siendo informado de que el motivo era porque no se había recibido el contrato, y que se pusiera en contacto con el establecimiento. 2.5.2.La grabación del día 31/03/2014, corresponde a una llamada realizada por la persona de FINCONSUM que se encontraba presente en la inspección realizada a IKEA en dicha fecha, en dicha llamada se le informa sobre el motivo de la incidencia, es decir, que faltaba la firma en el contrato remitido desde el establecimiento FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Por lo que respecta a las medidas de seguridad por parte de Finconsum e Ikea, la LOPD en su artículo 9 dispone lo siguiente: “
- El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
- No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas.
- Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley.” El transcrito artículo 9 de la LOPD establece el principio de seguridad de los datos, imponiendo al responsable del fichero la obligación de adoptar las medidas de índole técnica y organizativa que garanticen tal seguridad, así como para impedir la pérdida de documentos que contengan datos de carácter personal. En lo que respecta al extravío de los documentos que presentó el denunciante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 para obtener la tarjeta de Ikea, ha quedado acreditado que la entidad titular del fichero, Finconsum, tenía los documentos aportados por el denunciante al solicitar la tarjeta Ikea, así como una copia del contrato sin firmar. En consecuencia, Finconsum tiene incorporadas las medidas de seguridad adecuadas en sus ficheros que impiden el extravío de la documentación aportada por sus clientes. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a Finconsum EFC, S.A., a IKEA IBERICA S.A., y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es