E-06279-2016

1/7 Expediente Nº: E/06279/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad VIVUS FINANCE, S.A. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 13 de julio de 2016, tuvo entrada en esta Agencia escrito de D./Dña. A.A.A. en el que manifiesta que su identidad ha sido suplantada en la contratación de varios préstamos financieros con distintas entidades (entre ellas VIVUS FINANCE, S.A., en lo sucesivo VIVUS). Derivadas de dichos préstamos se han producido deudas que han motivado su inclusión en ficheros de solvencia patrimonial y de crédito. El denunciante ha denunciado los hechos ante la Policía y ha remitido reclamación (con denuncia adjunta) a las entidades acreedoras de dichas deudas (entre ellas VIVUS). El denunciante aporta, entre otra, copia de la siguiente documentación:  Carta con fecha 15/04/2016, enviada por el departamento de cobros de VIVUS FINANCE, S.A., sin referenciar e individualizada a nombre del denunciante a la dirección (C...1) (MADRID), reclamándole la cantidad impagada de 457,00 euros y advirtiendo de que de no producirse el pago procederán a la interposición de la correspondiente denuncia de reclamación de cantidad ante los Tribunales.  Denuncia interpuesta ante la Policía Nacional en las dependencias de ****1 con fecha 19/04/2016 y número de diligencia ***** en la que el denunciante manifiesta que ha recibido varios requerimientos de pago por parte de, entre otras entidades, VIVUS, negando haber realizado operación alguna con las entidades que le reclaman el pago de deudas. Igualmente manifiesta que no ha extraviado su documentación pero que sí ha enviado su currículum a varias empresas. También hace constar que recibió una llamada del “Grupo 2 de Policía Nacional de ****2” en la que se le informaba que se había realizado en esta localidad un alquiler de material de jardinería a su nombre, sin conocer el denunciante si esto pudiera tener relación con la contratación de los créditos.  Copia de la carta certificada que envía el denunciante a VIVUS con fecha 25/04/2016 con referencia ***** en la que solicita que se remita toda la información que tengan sobre el préstamo a la policía nacional de ****1 y a TAECO ABOGADOS. A su vez manifiesta que adjunta copia de la denuncia y del escrito en que ejerce el derecho de cancelación de datos.  Impresión del fichero ASNEF a fecha 5/05/2016 en el que consta que sus datos no están incluidos en el mismo, así como el histórico de consultas.  Fotocopia del Documento Nacional de Identidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos, conforme al informe de actuaciones previas de investigación que se trascribe: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa VIVUS FINANCE, S.A. en su escrito de fecha de registro 27/12/2016 (número de registro 428192/2016) ha remitido la siguiente información pertinente a los efectos de la investigación:  Como documento nº1, impresión de pantalla del registro de datos efectuado con el DNI del denunciante (***DNI.1) en la web de VIVUS FINANCE, S.A., el cual, según manifiesta la entidad denunciada se encuentra bloqueado desde el 28/04/2016. Entre estos datos figuran, entre otros: o Nombre del denunciante: A.A.A. o E-mail *****@gmail.com o Teléfono: ***TEL.1 o Dirección: (C...1) (MADRID) o Número de cuenta: ES.............  Como documento nº2, impresión de pantalla del préstamo nº ***PRÉSTAMO.1, relativo al DNI del denunciante con fecha de alta 19/02/2016 y fecha de vencimiento 01/03/2016 por un importe de 300,00 euros.  En su escrito de contestación, la entidad denunciada manifiesta que el denunciante realizó el registro de sus datos a través de su página web, a raíz del cual se aceptan los términos de la contratación. A modo de explicación, adjunta impresión de pantalla donde el solicitante de un préstamo con esta entidad acepta dichos términos (documento nº11).  Igualmente, la entidad denunciada hace constar que tras la aceptación de los términos y condiciones se procede a la identificación del solicitante a través de una llamada telefónica, aportando como documento nº10 la grabación de la misma. La grabación del proceso de identificación del cliente de VIVUS FINANCE, S.A., entre la entidad denunciada (agente comercial) y el denunciante, se realizó con fecha 19/02/2016, según se indica en la contestación a la solicitud de información. En ella el agente comercial realiza una serie de preguntas y el denunciante verbaliza lo siguiente: C/ Jorge Juan, 6 28001 – Madrid o NIF: ***DNI.1 o Nombre: A.A.A. o E-mail: *****@gmail.com o Fecha de nacimiento: DD/MM/AA y que tiene ** años o Empleo: oficial de administración en una asesoría con un sueldo de 0000 euros www.agpd.es sedeagpd.gob.es 3/7 o Posee carnet de conducir, cuya última fecha de renovación no se escucha con nitidez o Le solicitan que diga el nombre de una persona empadronada en su mismo domicilio a lo que el denunciante contesta que vive solo, añadiendo la dirección (C...1) (MADRID) o Le solicitan que indique la dirección del domicilio de sus padres, contestando el denunciante: (C/...2) (MADRID). o Por último, el agente comercial verifica la documentación ya enviada por el denunciante para la concesión del préstamo y le informa de que recibirá un SMS con la resolución de la confirmación del crédito.  Factura, con fecha 29/02/2016, del nº de préstamo ***PRÉSTAMO.1, por un importe de 300,00 euros, enviada a nombre del denunciante por la entidad denunciada. Ésta manifiesta que actualmente este crédito se encuentra pendiente de pago (documento nº3).  Como documento nº4, copia del historial de comunicaciones emitidas por VIVUS FINANCE, S.A. al denunciante vía SMS y e-mail entre las fechas 19/02/2016 y 27/04/2017 en el que la entidad informa al denunciante sobre el retraso en el pago de la deuda. Entre ellos también constan varios e-mail y SMS, el primero de ellos con fecha 15/04/2016, en el que se le informa de que el “Gabinete Jurídico” de VIVUS FINANCE, S.A. ha recibido instrucciones para la presentación de la correspondiente demanda por el impago de la cantidad prestada. El importe que figura en la última reclamación enviada con fecha 25/04/2016 es de 505,00 euros.  Copia de las Condiciones Generales de Contratación del Préstamo de VIVUS FINANCE, S.A. (documento nº5).  Copia de las Condiciones Especiales del Contrato de Préstamo a Corto Plazo relativos al préstamo número ***PRÉSTAMO.1, de fecha 19/02/2016, en el que constan como prestamista, la entidad denunciada; y como prestatario, el denunciante. Los datos suministrados relativos al prestatario coinciden con los del denunciante (documento nº6).  Fotocopia del Documento Nacional de Identidad y acreditación del número de cuenta a la que se solicita realizar la transferencia del préstamo. Se trata de un recibo con membrete “BANKIA” con fecha 09/02/2016, relativo al número de cuenta ES........ de un importe de 146,19 euros y a nombre del denunciante en el que aparece como acreedor “CENTRO DE SEGUROS Y SERVICIOS, S.A” y como deudor el denunciante (documento nº7).  Como documento nº8, la entidad denunciada aporta copia del documento, con fecha 24/04/2016, que acredita el ejercicio del derecho de cancelación de los datos del denunciante del fichero BADEXCUG ejercido por VIVUS FINANCE, S.A. a consecuencia de haber recibido por parte del denunciante copia de la denuncia por suplantación de identidad presentada ante la policía.  Como documento nº9, carta certificada de fecha 29/04/2016 y entregada el 04/05/2016, a nombre del denunciante, enviada a la dirección por éste indicada (TAECO ABOGADOS, (C/...3), MADRID) informándole del bloqueo de sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 en los ficheros. Igualmente se adjunta acuse de recibo que corrobora que dicha carta fue correctamente recibida.  La entidad denunciada manifiesta es su contestación que nunca se ha ordenado por parte de VIVUS FINANCE, S.A. la inclusión del denunciante en ficheros de solvencia patrimonial y crédito pero que, no obstante, han bloqueado su expediente. Se adjunta como documento nº 12, impresión de pantalla donde figura el 28/04/2016 como fecha en la cual se bloqueó el expediente del denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. III En el supuesto que nos ocupa, el tratamiento de datos realizado por VIVUS fue llevado a cabo empleando una diligencia razonable. En este sentido, ha de tenerse en cuenta que la contratación se llevó a cabo vía Internet la solicitud de un microcrédito a nombre del denunciante asociadas y con su DNI por un importe de 300€. VIVUS aporta copia de grabación de voz realizada para comprobar la identidad del contratacante en las que el operador confirma con el contratante el nombre y apellidos, DNI, fecha de nacimiento y domicilio, datos que coinciden con los del denunciante. Asimismo aporta copias del DNI y comprobante de cuenta corriente del denunciante. Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación”. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, se puede entender que VIVUS empleó una razonable diligencia, ya que adoptó las medidas necesarias para identificar a la persona que realizaba la contratación. Habría que añadir que la posible falsificación de la grabación o la suplantación deben sustanciarse en los ámbitos jurisdiccionales pertinentes de la vía penal. IV Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia no se han acreditado elementos probatorios que permitan atribuir a VIVUS una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a VIVUS FINANCE, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es