E-05524-2019

1/5 Procedimiento Nº: PS/00026/2019 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante BANCO BILBAO VIZCAYA ARGENTARIA, S.A. en virtud de reclamación presentada por Dña. A.A.A. y en base a los siguientes: HECHOS PRIMERO: El 26/07/2018 tiene entrada en esta Agencia Española de Protección de Datos escrito de Dña. A.A.A. (en adelante la reclamante), en el que reclama a la entidad BANCO BILBAO VIZCAYA ARGENTARIA, S.A. , con NIF A48265169 (en lo sucesivo BBVA), por los siguientes hechos: La inclusión de sus datos de carácter personal en el fichero ASNEF por dos deudas a instancias de la entidad BBVA; deuda que no es cierta no habiendo sido notificada de la inclusión en el fichero ni requerida para su pago por la entidad acreedora, habiendo solicitado los contratos suscritos con la entidad; que solicitada la cancelación de los datos a EQUIFAX IBERICA, S.L. le ha respondido comunicándole que no procedía la baja de los datos al haber sido confirmados por la entidad. SEGUNDO: A la vista de los hechos denunciados en la reclamación, de los documentos aportados por la reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones para el esclarecimiento de los hechos en cuestión. El 26/09/2018 fue trasladada a BBVA la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. BBVA, en escrito de 31/10/2018, manifiesta en respuesta al requerimiento de información de la AEPD lo siguiente: ha aportado la comunicación de 26/10/2018 enviada a la reclamante informando de la incidencia producida; que la reclamante suscribió con UNOE BANK el 18/11/2002 contrato de Tarjeta Visa Affinity y el 02/12/2002 suscribió contrato tarjeta MANGO; que como consecuencia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 incumplimiento de sus obligaciones de pago se le enviaron sendos requerimientos en los que se le informaba de la posibilidad de la inclusión en ficheros de morosos; las citadas notificaciones fueron realizadas por la empresa Nexea con todas las formalidades requeridas; que estos hechos ya fueron puestos de manifiesto a la reclamante en respuesta al escrito enviado por la misma el 29/09/2015 y en la que se le señalaba que el 18/08/2014 ya le fue requerido el pago de las deudas; que el 11/07/2018 la reclamante remitió un nuevo escrito al Servicio de Atención al cliente solicitando la documentación relativa a los contratos de sus tarjetas, al tiempo que solicitaba la nulidad de las mismas por entender que los citados contratos contenían cláusulas abusivas; BBVA le dio respuesta el 23/08/2018 indicándole que las citadas cláusulas de adhesión no habían sido declaradas nulas y que no le constaba que las mismas estuvieran siendo discutidas judicialmente; que a día de hoy la reclamante sigue manteniendo las deudas con la entidad; deudas ciertas, vencidas y exigibles que ascienden a la cantidad de 2.904,91 euros asociada al contrato de tarjeta Visa Affinity y 2.845,16 euros asociada al contrato de tarjeta Mango. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos denunciados se concretan en la inclusión desde el 21/10/2016 de los datos de carácter personal de la reclamante en el fichero de solvencia crediticia y patrimonial Asnef, a instancias de BBVA, como consecuencia de dos incidencias por importes de 2.702,79 euros y 2.645,77 euros, provenientes de sendos contratos de tarjetas de crédito: Visa Mango y Visa Affinity Card, manifestando la reclamante que la citada deuda no es cierta y sin que fuera requerida fehacientemente antes de la inclusión en el citado fichero por los importes expresados anteriormente. BBVA ha manifestado en relación con las deudas incluidas en el fichero ASNEF por los importes citados que son ciertas, vencidas y exigibles y que las mismas fueron requeridas de pago con anterioridad a su inclusión. BBVA ha aportado recibos relativos a cuotas impagadas por deudas de 55,53 y 57,49 euros correspondiente a la tarjeta Visa Mango y 55,66 y 57,64 euros correspondiente a la tarjeta Visa Affinity Card y en los que se indica lo siguiente: El presente recibo a todos los efectos es un requerimiento de pago. (…) Le informamos que los datos de deudas ciertas, vencidas exigibles e impagadas con el Banco y respecto a de las cuales no se haya entablado reclamación judicial, arbitral, administrativa o en los términos previstos en el reglamento de los Comisionados para la defensa del Cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero, podrán ser comunicados por el Banco a ficheros de terceros relativos al cumplimiento o incumplimiento de obligaciones dinerarias, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 siempre que no hayan transcurrido seis años desde la fecha de vencimiento de la deuda u obligación impagada. Aporta igualmente certificado de la empresa NEXEA empresa contratada por BBVA para la realización de los requerimientos de pago señalando que las anteriores comunicaciones se generaron, imprimieron y ensobraron sin que se generase incidencia alguna, siendo puestas a disposiciones del Servicios de Correos el 20/08/2014, adjuntando el albarán correspondiente. De la documentación aportada por la entidad, la reclamante entró en mora el 06/09/2014 en relación con ambas tarjetas, siendo el saldo de entrada en mora: 1.248,39 (Visa Affinity Card) y 1.222,13 (Visa Mango). En este punto se hace preciso indicar que las cuestiones relativas a los contratos, duración, nulidad, etc., así como las relativas al importe de la deuda, excede de las competencias atribuidas a esta Agencia que no es otra que determinar si se han cumplido los requisitos establecidos en la normativa reguladora sobre protección de datos de carácter personal, por lo que la citada cuestión y sus causas, deberá ser sustanciada ante la jurisdicción correspondiente como no podría ser de otra forma. Por otra parte, hay que señalar que la Disposición transitoria tercera Régimen transitorio de los procedimientos, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “

1. Los procedimientos ya iniciados a la entrada en vigor de esta ley orgánica se regirán por la normativa anterior, salvo que esta ley orgánica contenga disposiciones más favorables para el interesado.
2. Lo dispuesto en el apartado anterior será asimismo de aplicación a los procedimientos respecto de los cuales ya se hubieren iniciado las actuaciones previas a las que se refiere la Sección 2.ª del Capítulo III del Título IX del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre”. En el artículo 20, Sistemas de información crediticia, de la LOPDGDD se señala en su punto primero que: “
3. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos: a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés. b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes. c) Que el acreedor haya informado al afectado en el contrato o en el momento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo. d) Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito. e) Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.a) del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado. f) Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta” (El subrayado corresponde a la AEPD). En el presente caso y a tenor de la normativa actualmente en vigor la obligación que incumbe al responsable del tratamiento que comunica a un fichero de solvencia patrimonial datos de un tercero es la de informarle de ese tratamiento antes de que se haya realizado. De tal modo, que será suficiente que el acreedor informante hubiera puesto en conocimiento del tercero la posibilidad de que sus datos pudieran ser comunicados a un fichero de esa naturaleza en caso de impago de la deuda, en la celebración del contrato o al tiempo de requerirla, que en el supuesto analizado sucede si acudimos a los recibos de cuotas impagadas notificadas al reclamante. Además, tampoco se tiene constancia de que la existencia o cuantía de las deudas hubieran sido objeto de reclamación administrativa o judicial ó mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5
4. PROCEDER AL ARCHIVO de las presentes actuaciones.
5. NOTIFICAR la presente Resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. en virtud de reclamación presentada por Dña. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es