1/10 Expediente Nº: E/05933/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades BANCO CETELEM, S.A., EQUIFAX IBERICA, S.L. y EXPERIAN BUREAU DE CRÉDITO S.A. en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 29 de julio y 21 de octubre de 2015 tienen entrada en esta Agencia escritos de D. A.A.A. ( en adelante el denunciante) en el que declara que la entidad bancaria CETELEM, S.A. ha utilizado sus datos sin autorización, incluyéndolos en ficheros de morosidad ASNEF-EQUIFAX y BADEXCUG-EXPERIAN, por una supuesta deuda de 12.489,42 €, sin haber suscrito con dicha entidad ningún producto financiero, ni tampoco un producto denominado "Financiación Consumo" por el importe de referencia. ASNEF y BADEXCUG no le han notificado la inclusión en sus ficheros, de la cual ha sido conocedor el denunciante al solicitar un crédito. El denunciante aporta escrito de Experian de 4/2/2014 donde consta una deuda comunicada por BANCO CETELEM con fecha de alta 7/7/2013 e importe 12.489,42 €, y respuesta de Equifax de 20/6/2014 denegando solicitud de cancelación de datos por haber sido confirmados por la entidad informante. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 16 de noviembre de 2015 se solicita información a EQUIFAX respecto del NIF ***NIF.1 teniendo entrada en esta Agencia con fecha 27 de noviembre escrito en el que manifiesta: 1. Impresión de consulta del fichero Asnef, donde consta la siguiente información: a. Nombre, apellidos y NIF del denunciante, con deuda de 12.266,45 € con fecha de alta 21/5/2013 informada por BANCO CETELEM en situación Prejudicial. 2. Notificaciones realizadas al titular solicitado por su inclusión en el fichero a instancias de BANCO CETELEM a la dirección de C/Cervantes 59 de Alcanar: a. Carta de 6/12/2012 por alta de 4/12/2012 por importe de 523,94€ sin fecha de devolución C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 b. Carta de 19/01/2013 por alta de 4/12/2012 por importe de 746,91€ sin fecha de devolución c. Carta de 23/05/2013 por alta de 21/05/2013 por importe de 499,94€ sin fecha de devolución d. Carta de 6/07/2013 por alta de 21/05/2013 por importe de 722,91€ sin fecha de devolución 3. Relación de las consultas efectuadas en los últimos seis meses. 4. Incidencia incluida en su momento por BANCO CETELEM, ya cancelada y bloqueada: a. Alta de 4/12/2012 por importe de 69,88€ y baja de 7/2/2013. 5. Adjuntamos los expedientes 2014/******1, 2015/******2 y 2014/******3 localizados en el Servicio de Atención al Cliente de Equifax. a. 2014/******1 de 4/2/2014 con la baja cautelar con la entidad BBVA, el resto de incidencias son confirmadas por la entidad informante, entre ellas, BANCO CETELEM. b. 2015/******2 de 17/06/2015 con la confirmación de deuda por BANCO CETELEM c. 2014/******3 de 20/6/2014 con la confirmación de deuda por BANCO CETELEM Con fecha 16 de noviembre de 2015 se solicita información a EXPERIAN respecto del NIF ***NIF.1 teniendo entrada en esta Agencia con fecha 4 de diciembre escrito en el que manifiesta: 1. Figura una operación impagada asociada al NIF indicado informada por BANCO CETELEM con fecha de alta 7/7/2013 e importe 12.266,45€. 2. Resumen de las notificaciones enviadas al afectado como consecuencia de la inclusión en el fichero BADEXCUG de varias operaciones impagadas, entre ellas, una aportada por la entidad BANCO CETELEM, incluida en dos ocasiones, con fechas de emisión de 15/01/2013 por 746,91 € y 09/07/2013 por 722,91€ a la dirección (C/....1). 3. Información contenida en el Histórico de Actualizaciones del fichero BADEXCUG relativa a las dos operaciones aportadas por BANCO CETELEM: a. Operación n° ***NÚMERO.1***NIF.1, incluida en dos ocasiones: i.Fecha de alta 13/01/2013 y fecha de baja 06/02/2013 por proceso automático semanal de actualización de datos. ii.Fecha de alta 07/07/2013 y que actualmente se encuentra en vigor en el Fichero. 4. Figuran cuatro expedientes asociados al afectado en la aplicación de gestión de las solicitudes de derechos. De estos cuatro expedientes, tres de ellos son de la misma fecha (12/06/2014), de los cuales se aporta el expediente en el que se da traslado de la petición de cancelación a la entidad BANCO CETELEM. a. Expediente n° ***EXPTE.1: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 i.Solicitud de cancelación del afectado, recibida por correo ordinario el día 28/01/2014. ii.Impresión de pantalla del expediente relativo a este derecho. iii.BANCO CETELEM denegó la cancelación de la operación impagada. Carta de contestación al afectado enviada por correo ordinario el día 04/02/2014. b. Expediente n° ***EXPTE.2 i.Solicitud de cancelación del afectado, recibida por correo certificado el día 12/02/2014 ii.Impresión de pantalla del expediente relativo a este derecho. iii.BANCO CETELEM denegó la cancelación de la operación impagada. Carta de contestación al afectado enviada por correo certificado el día 13/06/2014. iv.Copia del justificante de envíos certificados remitidos por el Servicio de Protección al Consumidor, donde se encuentra el enviado al afectado. Con fecha 16 de noviembre de 2015 se solicita información a BANCO CETELEM respecto del NIF ***NIF.1 teniendo entrada en esta Agencia con fecha 4 de diciembre escrito en el que manifiesta y aporta: 1. Copia de contrato suscrito por el afectado con Banco Cetelem, S.A. de fecha 10 de abril de 2012, así como la documentación aportada al efecto: copia de DNI, nómina, y cuenta bancaria. Que no consta en la entidad comunicación de que haya un supuesto fraude relacionado con el contrato de préstamo suscrito por el afectado y Banco Cetelem. 2. Impresión de pantalla con el producto contratado y el domicilio de contacto. Se financió una compra en el establecimiento Motos Canto. (C/....2). a. Que el domicilio que figura es (C/....1) y la cuenta bancaria ***CUENTA.1, que coincide con la aportada en la documentación del contrato. b. Se acompaña extracto de movimientos contables en el que figuran los vencimientos, fecha de impago, importe de la deuda y situación actual de la misma a fecha 20/11/2015. 3. Copia de cartas de fecha 19 de noviembre de 2012 y 6 de mayo de 2013, con las comunicaciones remitidas al afectado en las que se le informa de que en el caso de no formalizar el pago de la cantidad adeudada a esa fecha será incluido en los ficheros de información de incumplimiento de obligaciones dinerarias. a. certificados de emisión de las comunicaciones remitidas por la entidad prestadora del servicio de envío de requerimientos de pago, BB Data Paper S.L., al afectado previa a su inclusión de datos en ficheros de solvencia patrimonial y crédito. b. Se acompañan los albaranes de entrega en correos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 c. Certificados de no devolución de las comunicaciones enviadas al afectado. 4. Informar que Banco Cetelem, S.A. tiene suscrito un Contrato de Prestación de Servicios con la entidad Equifax Ibérica, S.L. Se acompaña copia del referido Contrato de Prestación de Servicios. a. Constituye el objeto del referido contrato la prestación de servicios de EQUIFAX a Banco Cetelem, SA. consistente en el envío de la carta de requerimiento de pago previo a la inclusión de datos en ficheros de solvencia patrimonial y crédito, todo ello de acuerdo con el procedimiento establecido por la propia Equifax para la notificación de inclusión en su fichero de solvencia patrimonial y crédito y cuyo sistema ha sido debidamente admitido por la propia Agencia Española de Protección de Datos. b. En cuanto al desarrollo del procedimiento Banco Cetelem diseña el formato de la comunicación que se va a remitir, emitiendo a Equifax los datos de las personas a quien esta Entidad desea remitir la comunicación de aviso de posible incorporación de sus datos al fichero de solvencia patrimonial y crédito en caso de que no abone las cantidades adeudadas. Un prestador de servicio determinado por Equifax y del que ha sido debidamente informado esta Entidad y aceptada su intervención en el referido contrato de prestación de servicios, realiza la impresión, manipulado y puesta en correos de las comunicaciones. c. El contrato que regula este proceso descrito contempla a su vez el tratamiento del correo devuelto y su información a Banco Cetelem a los efectos de su decisión sobre la inclusión o no inclusión en el fichero de solvencia patrimonial y crédito en el supuesto de que la carta remitida no haya llegado a su destinatario. Actualmente Banco Cetelem no incorpora al fichero de solvencia aquellos clientes deudores en los que la comunicación de requerimiento previo de pago ha sido devuelta por correos, salvo en los supuestos en los que en la referida devolución se hiciera constar por el funcionario correspondiente que la misma ha sido rechazada por el destinatario. d. El procedimiento descrito, cumple los requisitos de acreditación de los envíos señalado en todo momento por la Agencia Española de Protección de Datos y como se ha señalado con anterioridad, siendo el mismo admitido por este organismo para las comunicaciones de los ficheros de solvencia patrimonial y crédito cuando se produce la inclusión de una persona en éstos, hace que esta Entidad cumpla en todo momento los requisitos legales por cuanto estamos ante un procedimiento auditable y fiable realizado por un tercero que previamente ha sido validado por la administración a la que me dirijo. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 datos personales y a saber de los mismos. III El denunciante pone de manifiesto que Banco Cetelem ha realizado un tratamiento de sus datos sin su consentimiento puesto que los ha incluido en ficheros de morosidad por una supuesta deuda generada por el impago de un producto denominado “financiación consumo” que nunca ha contratado. En el presente caso, el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que Banco Cetelem aporta copia del contrato “financiación módulo con tarjeta de crédito flexipago” de fecha 10 de abril de 2012, en el que se incluye el nombre del denunciante, apellidos, DNI, domicilio, situación laboral, así como copia de su DNI, nómina y número de cuenta corriente. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de veintinueve de abril de 2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación” o como se recoge en la sentencia de la Audiencia Nacional de diez de marzo de 2015 al señalar que: “por tanto, ningún reproche cabe hacer a la actuación de Telefónica Móviles España S.A. en este ámbito sancionador, pues como ya se ha expuesto actuó con la diligencia exigible, tratando los datos del denunciante a partir de la apariencia de legitimidad de la contratación de la línea en cuestión que le otorgaba la grabación telefónica (…) En definitiva, no cabe apreciar culpabilidad en la actuación de la entidad recurrente, por lo que no puede imputársele o ser sancionada ex artículo 130 LRJPAC por vulneración del principio de consentimiento ni tampoco, y en correlación, del principio de calidad de datos pues el requerimiento previo de pago se realizó en el domicilio que según la citada grabación telefónica correspondía al titular de la línea”. De acuerdo a estos criterios, se puede entender que Banco Ctelem empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 que realizaba la contratación. IV Se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a Banco Cetelem una vulneración de la normativa en materia de protección de datos, en la medida en que actuó con una razonable diligencia a la hora de la recogida de datos que justifican la contratación, y que tenían una apariencia de legitimidad. En el caso de que pudieran derivar de una posible usurpación de personalidad llevada a cabo por un tercero, habrá de pronunciarse el correspondiente organismo jurisdiccional competente en razón de la materia, al no corresponder a la Agencia Española de Protección de Datos enjuiciar las actuaciones delictivas que se puedan derivar del presente caso V Por otro lado, en relación con la inclusión de sus datos personales en ficheros comunes de solvencia patrimonial y crédito hay que tener en cuenta lo que establece el artículo 29 de la LOPD, en relación al tratamiento de los datos por parte de los responsables de este tipo de ficheros: “1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley. 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 4. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. El apartado 2 de este precepto habilita al acreedor o a quien actué por su cuenta o interés para que, sin consentimiento del deudor, facilite los datos de carácter personal de sus deudores a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando concurran los requisitos establecidos en el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo apartado
- a)requiere para la inclusión de datos personales en este tipo de ficheros la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. La exigencia de que la deuda sea "cierta" responde al principio de calidad de datos recogido en el artículo 4.3 de la LOPD, al expresar que "los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete el principio de veracidad y exactitud del mencionado artículo 4.3 de la LOPD. VI Respecto a los requisitos de inclusión de los datos personales en ficheros de solvencia patrimonial, el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007—RLOPD—en su redacción actualmente vigente tras la STS --Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo--dispone que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: a. Existencia previa de una deuda cierta, vencida, exigible, que haya resultado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 impagada (…). b. Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico. c. Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.” VII La cuestión que se suscita consiste en dilucidar si consta acreditada o no, la realización del requerimiento en cuestión, en los términos exigidos por el citado artículo 39 RLOPD, habiendo reiterado la Sala ( SSAN, Sec 1ª, de 9 mayo 2003, Rec. 1067/1999 ; 8 de marzo de 2006, Rec. 319/2004 ; 18 de julio de 2007, Rec. 17/2006; 28 de mayo de 2008, Rec. 107/2007; 17 de febrero 2011, Rec. 177/2010 ; 20 de septiembre de 2012, Rec. 127/2011 etc.) que cuando el destinatario niega la recepción del requerimiento, recae sobre el responsable del fichero o tratamiento, la carga de acreditar el cumplimiento de dicha obligación, siendo insuficiente los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación. En este sentido cabe señalar que existen cartas remitidas al denunciante, de fecha 19 de noviembre de 2012 y 6 de mayo de 2013, en las que se le comunica que en caso de no formalizar el pago de la cantidad adeudada será incluido en ficheros de morosidad, existiendo un certificado de no devolución de las comunicaciones al afectado, certificados de emisión de las comunicaciones remitidas por la entidad prestadora del servicio de envío de requerimientos de pago, BB Data Paper S.L. al afectado previa a su inclusión de datos en ficheros de solvencia patrimonial y crédito, así como albaranes de entrega en Correos. Por tanto, la inclusión en ficheros de morosidad, tal y como se expone en los párrafos anteriores, es correcta y ajustada a la normativa de protección de datos, sin que Banco Cetelem tuviera que contar con el consentimiento del denunciante para la inclusión de sus datos en los ficheros Badexcug y Asnef. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BANCO CETELEM, S.A., EQUIFAX IBERICA, S.L., EXPERIAN BUREAU DE CRÉDITO S.A. y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es