E-05834-2017

1/7 Expediente Nº: E/05834/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades EQUIFAX IBERICA, S.L. y EXPERIAN BUREAU DE CRÉDITO, S.A. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de septiembre de 2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) de denuncia contra EQUIFAX IBERICA, S.L. y EXPERIAN BUREAU DE CRÉDITO, S.A. (en lo sucesivo las entidades denunciadas, en el que manifiesta que ha habido una falta de notificación de la inclusión en los ficheros de solvencia patrimonial de ASNEF y EXPERIAN, a instancias de Banco Cetelem; existiendo una discrepancia entre los datos que aparecen en los ficheros de ASNEF y de EXPERIAN, desde mayo de 2017. Y, entre otra, anexa la siguiente documentación:  Carta de EXPERIAN de 12/05/2017 en la que se observa que hay una anotación informada por BANCO CETELEM SA el 08/06/2014 con un importe impagado de 6.913,07 euros.  Carta de EQUIFAX de 09/05/2017 en la que se observa que hay una anotación en el fichero ASNEF informada por BANCO CETELEM SA EL 22/04/2014 por un saldo actual impagado de 6.913,07 euros. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: La empresa EQUIFAX IBERICA, S.L. en su escrito de fecha de registro 27/10/2017 (número de registro ***REG.1) manifiesta haber enviado dos notificaciones debidas a dos inclusiones en el fichero ASNEF realizadas al denunciante a instancia de BANCO CETELEM SA. Anexa al escrito impresión de pantalla de su fichero auxiliar de notificaciones de inclusión, en la que se observa que, para el NIF del denunciante, existen apuntes de dos notificaciones de la entidad BANCO CETELEM SA en las fechas 24/04/2014 (con número de referencia ***REF.1) y 07/06/2014 (con número de referencia ***REF.2) En referencia a estas notificaciones ha remitido la siguiente información pertinente a los efectos de la investigación:  Respecto a la notificación con número de referencia ***REF.1: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 1 Existe una carta identificativa con referencia “***REF.3” dirigida al denunciante en que se incluye una deuda con BANCO CETELEM SA dada de alta a fecha de 22/04/2014 por importe de 528,47 €. 2 Testimonio notarial en el que se indica que el notario tiene en depósito un portátil que contiene archivos “pdf” con la relación de comunicaciones y notificaciones realizadas por la empresa BB DATA PAPER, S.L. por encargo de EQUIFAX IBERICA, S.L. (entre otras empresas). En dicho portátil, respecto a la notificación de 24/04/2014 se indica lo siguiente: <<En el archivo “***FICHERO.2”, página ***, consta una notificación con referencia ***REF.1 a A.A.A., incluida en el fichero ***FICHERO.1, con fecha de proceso 24 de Abril de 2014. Que, según consta en el archivo “***ARCHIVO.1”, las notificaciones incluidas en el fichero ***FICHERO.1 fueron puestas en el Servicio Postal de Correos en fecha 29 de Abril de 2014>>. 3 Albarán de entrega de CORREOS con fecha 29/04/2014, con código de barras, de 9119 envíos para el cliente EQUIFAX IBERICA, S.L. 4 Certificación de la empresa ILUNION BPO, S.A.U. en la que indica que tiene un contrato con EQUIFAX IBERICA, S.L. para la prestación del servicio de recogida y custodia de las devoluciones de sus clientes desde el 01/09/2004. Y certifica que no consta devolución de la carta con código “***REF.3” a fecha de 25/10/2017.  Respecto a la notificación con número de referencia ***REF.2: 1. Existe una carta identificativa con referencia “***REF.1” dirigida al denunciante en que se incluye una deuda con BANCO CETELEM SA dada de alta a fecha de 22/04/2014, y se informa de que esos datos ya son accesible. 2. Testimonio notarial en el que se indica que el notario tiene en depósito un portátil que contiene archivos “pdf” con la relación de comunicaciones y notificaciones realizadas por la empresa BB DATA PAPER, S.L. por encargo de EQUIFAX IBERICA, S.L. (entre otras empresas). En dicho portátil, respecto a la notificación de 07/06/2014 se indica lo siguiente: <<En el archivo “***FICHERO.2”, página ***, consta una notificación con referencia ***REF.1 a A.A.A., incluida en el fichero ***FICHERO.1, con fecha de proceso 9 de Junio de 2014. Que, según consta en el archivo “***ARCHIVO.1”, las notificaciones incluidas en el fichero ***FICHERO.1 fueron puestas en el Servicio Postal de Correos en fecha 10 de Junio de 2014>>. 3. Albarán de entrega de CORREOS con fecha 10/06/2014, con código de barras, de 14403 envíos para el cliente EQUIFAX IBERICA, S.L. 4. Certificación de la empresa ILUNION BPO, S.A.U. en la que indica que tiene un contrato con EQUIFAX IBERICA, S.L. para la prestación del servicio de recogida y custodia de las devoluciones de sus clientes desde el 01/09/2004. Y certifica que no consta devolución de la carta con código “***REF.1” a fecha de 25/10/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 La empresa EXPERIAN BUREAU DE CRÉDITO, S.A. en su escrito de fecha de registro 28/11/2017 (número de registro ***REG.2) ha remitido la siguiente información pertinente a los efectos de la investigación: 1. Existe una carta dirigida al denunciante en que se incluye el importe de la deuda con BANCO CETELEM SA dada de alta a fecha de 08/06/2014 por un importe de 990,02 €. La carta se acompaña de fotocopia del sobre identificativo con referencia “***REF.4”. 2. Fichero de IMPRE-LASER, S.L. correspondiente a la carga 08/06/2014 para el cliente EXPERIAN BUREAU DE CRÉDITO, S.A. en el que se indica que, respecto a la entidad BANCO CETELEM, S.A., se han enviado un total de 1.086 notificaciones BADEXCUG: 1.081 notificaciones físicas (727 con UNIPOST y 354 con correos) y 5 notificaciones jurídicas (las 5 con UNIPOST). En el fichero se observa que hay una línea para BANCO CETELEM, S.A. con una columna “DESDE” con valor “***VALOR.1” y una columna “HASTA” con valor “***VALOR.2”. En su escrito, EXPERIAN BUREAU DE CRÉDITO, S.A. explica la composición de estos valores y manifiesta que entre ellos se encuentra la notificación con código ***REF.4. El fichero de carga contiene un total de 141.246 notificaciones BADEXCUG apuntadas. 3. En su escrito, EXPERIAN BUREAU DE CRÉDITO, S.A. manifiesta que tiene contratado el envío de notificaciones con ***COD.1 MENSAJEROS, S.L. a través del operador postal UNIPOST. Se anexan notas de entrega de intercambio de UNIPOST por un total de 141.246 ítems:  12.000 ítems ordinarios y 23.000 ítems de franqueo y envíos internacionales con COD CLIENTE “***COD.1” y nombre de cliente “Badexcug carga 08-06-14 PARCIAL” de fecha 11/06/2014.  55.295 ítems ordinarios y 19722 ítems de franqueo y envíos internacionales con COD CLIENTE “***COD.1” y nombre de cliente “Badexcug carga 08-06-14 PARCIAL” de fecha 12/06/2014.  31.229 ítems con COD CLIENTE “***COD.1” y nombre de cliente “Badexcug carga 08-06-14 FINAL” de fecha 13/06/2014. 4. Certificación de la empresa IMPRE-LASER, S.L. en la que indica que presta a EXPERIAN BUREAU DE CRÉDITO, S.A. el servicio de impresión de cartas de notificación de inclusión en el fichero BADEXCUG y su entrega a otras empresas y operadores postales para su distribución, y el servicio de recogida y custodia de las devoluciones de sus clientes desde el año 2011. Y certifica que no consta devolución de la notificación con código “***REF.4” a fecha de 16/11/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En relación con la inclusión de datos personales en ficheros comunes de solvencia patrimonial y crédito hay que tener en cuenta lo que establece el artículo 29 de la LOPD, en relación al tratamiento de los datos por parte de los responsables de este tipo de ficheros: “1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley. 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos, 4. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. A la vista de este precepto, en especial su apartado 2, la LOPD habilita a que, sin consentimiento del deudor, el acreedor pueda facilitar los datos a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando reúna los requisitos establecidos en el artículo 38 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante RLOPD), que establece: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
2. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7
3. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. (…) 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. A lo que hay que añadir lo que determina el artículo 43 del RLOPD, en relación con la responsabilidad en la inclusión en ficheros de morosidad: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Por otra parte, el artículo 40, “Notificación de inclusión”, de este RLOPD establece que: “1. El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. 2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos. 4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío. 5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. Y tanto EQUIFAX como EXPEIAN han aportado a esta Agencia en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 actuaciones previas de investigación llevadas a cabo documentación suficiente que sirve para acreditar tal notificación, adoptando con diligencia las medidas necesarias para para informar sobre la inclusión en ficheros de morosidad, una documentación que ha quedado descrita con detalle más arriba. Es decir, se cumplen una serie de requisitos, o fases de la trazabilidad, en la notificación, realizada a través de un medio fiable, auditable e independiente de la entidad notificante. Requisitos que se podrían resumir en: