E-06331-2017

1/8 Expediente Nº: E/06331/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la ASOCIACION DE EMPRESAS CONTRA EL FRAUDE en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de diciembre de 2016, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que pone de manifiesto que al cumplimentar un impreso de solicitud de financiación de VOLKSWAGEN FINACE SA EFC, el vendedor de SEAT MOTOR ESPAÑA SA le informó que si marcaba las casillas segunda y tercera del impreso la financiera denegaría la financiación. Anexa el documento de propuesta financiera, de fecha 29 de noviembre de 2016, donde figura una cláusula informativa con tres casillas. En la segunda y tercera casilla figura la siguiente información seguida de las referidas casillas: “Por medio de la presente le solicitamos su consentimiento para poder consultar y ceder sus datos personales de esta solicitud a ficheros de información cuyos destinatarios podrán ver si está al corriente de pago, si tiene impagos, y si los tuvo en el pasado cuánto tardó en pagarlos. Los citados destinatarios pertenecen a los sectores financiero, telecomunicaciones, renting, aseguradoras de crédito y caución, compra de deuda, suministro de energía y agua, facturación periódica, y pago aplazado. La finalidad del fichero será, por tanto, que las entidades destinatarias puedan conocer si es/son Vd/es. Un/os buen/os pagador/es, si se encuentra/n sobrendeudado/s o si tiene/n o ha/n tenido impagos. Los datos que se incluirán en el fichero serán los identificativos, profesionales, patrimoniales, del bien solicitado, económicos de la operación, garantías, así como los de operaciones que aún mantenga/n con nosotros. En estos ficheros también se incorporan datos suyos recogidos de fuentes accesibles al público. Igualmente este fichero realiza evaluaciones automatizadas con sus datos, emitiendo una puntuación de crédito (scoring) y ofrece información sobre las consultas que ha tenido durante los doce últimos meses para prevenir operaciones irregulares. Sus datos permanecerán 6 años desde la finalización de la operación. En todo momento Vd/es, podrá/n tener acceso a sus datos, rectificar o cancelar los mismos y, en cualquier momento, revocar el consentimiento que está/n otorgando. Estos derechos los puede ejercer ante Equifax Plus, SL, compañía Responsable del Fichero, con domicilio en: ***DIRECCIÓN.1 y Experian Bureau de Crédito SA con domicilio en ***DIRECCIÓN.2 . Pueden obtener más información: ***URL.1 y ***URL.2. Salvo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 el/los firmante/s manifieste/n su negativa marcando con una “X” esta casilla dan su consentimiento informado: __” (…) El/los firmante/s ha/n sido informado/s por la entidad de crédito Volkswagen Finance SA EFC que la legislación vigente sobre prevención de blanqueo de capitales obliga a las entidades bancarias a obtener de sus clientes la información de su actividad económica y a realizar una comprobación de la misma. Con este exclusivo fin de verificación de la información facilitada el/los firmante/s presta/n su consentimiento expreso a Volkswagen Finance SA EFC para que en su nombre pueda soliocitar ante la Tesorería General de la Seguridad Social dicha información. Los obtenidos de la Tesorería General de la Seguridad Social serán utilizados exclusivamente para la gestión señalada anteriormente. En el caso de incumplimiento de esta obligación por parte de la entidad de crédito y/o del personal que en ella presta sus servicios, se ejecutarán todas las actuaciones previstas en la Ley Orgánica 15/99, de 13 de diciembre, de Protección de Datos de Carácter Personal y normativa que la desarrolla. Salvo que el/los firmante/s manifieste/n su negativa marcando con una “X” esta casilla, da/n su consentimiento informado __”. Así mismo se constata que precede a este último párrafo la siguiente información: “La entidad VOLKSWAGEN FINANCE SA EFC le informa que los datos incluidos en la presente solicitud serán incorporados al fichero SISTEMA HUNTER, cuyo responsable es la ASOCIACIÓN ESPAÑOLA DE EMPRESAS CONTRA EL FRAUDE. Los datos de su solicitud serán incorporados con otros datos de solicitudes de concesión de financiación para la adquisición de vehículos automóviles o entrega de los mismos con derecho a usarlos, de créditos al consumo o de emisión de tarjetas, que figuren en el SISTEMA JUNTER para la prevención del fraude en solicitudes, exclusivamente con objeto de detectar la existencia de información potencialmente fraudulenta dentro del proceso de aprobación del servicio. Si se diera el caso de que se detectaran datos inexactos, irregulares o incompletos, su solicitud será objeto de un estudio más pormenorizado, y dichos datos serán incluidos como tales en el fichero y podrán ser consultados para las finalidades anteriormente mencionadas, por las entidades adheridas al SISTEMA HUNTER y pertenecientes a los siguientes sectores: financiero, emisores de tarjetas, medios de pago, telecomunicaciones, renting, aseguradoras, compra de deuda, inmobiliario, suministro de energía y agua, facturación periódica y pago aplazado. La lista de entidades adheridas al SISTEMA HUNTER estará accesible en la página web de la ASOCIACIÓN ESPAÑOLA DE EMPRESAS CONTRA EL FRAUDE ***URL.3. Vd. podrá ejercitar sus derechos de acceso, rectificación, cancelación u oposición de sus datos ante la ASOCIACIÓN ESPAÑOLA DE EMPRESAS CONTRA EL FRAUDE, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 dirigiéndose a la siguiente dirección: ***DIRECCIÓN.3 , a través del envío de una solicitud firmada por Vd. Acompañada de fotocopia de su documento identificativo.” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, iniciándose el expediente de investigación E/01160/2017, para el análisis de la información relativa a las casillas segunda y tercera del documento de propuesta financiera, de fecha 29 de noviembre de 2016, y el presente expediente de investigación E/06331/2017, para la investigación del denominado SISTEMA HUNTER, teniendo conocimiento de los siguientes extremos: Con fechas 28 de febrero y 29 de septiembre de 2017 se requiere información a la ASOCIACION ESPAÑOLA DE EMPRESAS CONTRA EL FRAUDE y de la respuesta recibida en fecha 31 de octubre de 2017 se desprende. 1. La ASOCIACION DE EMPRESAS CONTRA EL FRAUDE (en adelante la ASOCIACION) es responsable del fichero HUNTER, inscrito en el Registro General de Protección de Datos, con la finalidad de Fichero común para la prevención del fraude en solicitudes de productos y servicios, siendo encargado del tratamiento la empresa EXPERIAN ESPAÑA, S.L.U. En el Sistema HUNTER se incluyen datos de solicitantes de financiación de productos y servicios tanto de personas físicas como jurídicas. El Sistema no permite la búsqueda directa de una persona. Los datos no se utilizaran para ninguna otra finalidad y serán cancelados automáticamente –sin perjuicio de la obligación de bloqueo- en cuanto transcurra el tiempo estimado como útil y pertinente que será de doce meses. La Asociación manifiesta que estos tratamientos se encuentran amparados en el interés legítimo, conforme al artículo 7

1. f)de la Directiva 95/46/CE. 2. El Sistema de Información HUNTER se encuentra dividido en varios sistemas sectoriales: a. HUNTER AUTO, se puso en funcionamiento en 2015 y está destinado a empresas de financiación de automóviles. Actualmente lo integran las siguientes empresas: i. HONDA BANK GMBH, Sucursal en España. ii. BANQUE PSA FINANCE, Sucursal en España iii. TOYOTA KREDITBANK GMBH iv. RCI BANQUE SA, Sucursal en España v. VOLKSWAGEN FINANCE, SA E.F.C. vi. FGA CAITAL SPAIN EFC SA b. HUNTER TELCO, se va a poner en funcionamiento previsiblemente a finales del año 2017 y está destinado a operadores de telecomunicaciones. Son miembros promotores: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 i. VODAFONE ESPAÑA, S.A.U. ii. ORANGE ESPAGNE, S.A.U. iii. YOIGO ESPAÑA, S.A.U. c. HUNTER CONSUMO se va a poner en funcionamiento previsiblemente a lo largo del año 2018 y está destinado a empresas de financiación de crédito al consumo. 3. La ASOCIACION ha aportado el manual de Normas de Funcionamiento del Sistema Hunter Auto de obligado cumplimiento para todas las entidades que participen en el Sistema y cualquier modificación y/o aprobación del documento será revisado por la Asamblea General de la Asociación Española de Empresas contra el Fraude, como la autoridad máxima. A través de este documento se regula los datos que deben aportarse, el uso de la información y el marco general de actuación entre los usuarios del sistema. Asimismo, se regulan los principios que deben de seguir tanto el responsable del fichero como el encargado del tratamiento. 4. El Manual contiene un capitulo denominado PREVISIONES ESPECIFICAS DE CUMPLIMIENTO DE LA NORMATIVA DE PROTECCIÓN DE DATOS en el que se incluye los principios de calidad de datos, proporcionalidad, impugnación de valores, legitimación, deber de secreto y medidas de seguridad. Respecto del principio de información figura que el responsable deberá informar al afectado de lo establecido en el artículo 5.1 de la LOPD y de la posibilidad de ejercitar sus derechos ARCO, todo ello con anterioridad a la cesión de los datos al encargado del tratamiento y utilizando un medio que permita acreditar su cumplimiento. Asimismo contiene un capitulo respecto de los DERECHOS DE LOS AFECTADOS donde constan las condiciones generales y la gestión de los derechos ARCO tanto para el responsable como para el encargado del tratamiento. 5. La ASOCIACION ha aportado CONTRATO MARCO PARA LA PRESTACIÓN DE SERVICIOS DE PREVENCION DEL FRAUDE suscrito entre el EXPERIAN ESPAÑA S.L.U. y ASOCIACION ESPAÑOLA DE EMPRESAS CONTRA EL FRAUDE de fecha 2 de abril de 2014. Las empresas usuarias del Sistema HUNTER se adhieren formalmente al contrato de prestación de servicios suscrito entre ambas compañías y se obligan al cumplimiento íntegro de las Normas de Funcionamiento del Sistema HUNTER, y al cumplimiento de las obligaciones derivadas de la legislación vigente en materia de protección de datos. En el contrato de adhesión figuran las clausulas informativa para los solicitantes que se deben incluir en los impresos de solicitud de financiación así como la locución en las solicitudes telefónicas. 6. La ASOCIACION ha aportado informes emitidos por la Agencia Española de Protección de Datos sobre el sistema HUNTER y su adecuación a la normativa de protección de datos de fechas 30 de septiembre de 2013, 19 de mayo y 7 de agosto de 2014, 22 de julio de 2016. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III En primer lugar procede señalar que esta Agencia ha analizado el funcionamiento del SISTEMA HUNTER sin que se hayan obtenido evidencias de un mal funcionamiento del mismo. Sobre este fichero, la Agencia emitió informe, el 30 de septiembre de 2013, en el que se considera que el tratamiento que se efectúa se encuentra amparado en la regla de ponderación de intereses que recoge el artículo 7.
3. f)de la Directiva 95/46/CE. En relación con la causa de legitimación alegada, la Sentencia del Tribunal de Justicia de la Unión Europea de 24 de noviembre de 2011 ha declarado expresamente el efecto directo del artículo 7
4. f)de la Directiva 95/46/CE, según el cual “Los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si (...) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”. Tal y como recuerda la citada Sentencia, en su apartado 38, el artículo 7
5. f)de la Directiva “establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado” y, en relación con la citada ponderación, el apartado 40 recuerda que la misma “dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado”. Por este motivo, la sentencia señala en su apartado 46 que los Estados miembros, a la hora de adaptar su ordenamiento jurídico a la Directiva 95/46, deberán “procurar basarse en una interpretación de ésta que les permita garantizar un justo equilibrio entre los distintos derechos y libertades fundamentales protegidos por el ordenamiento jurídico de la Unión, por lo, conforme a su apartado 47 que “nada se opone a que, en ejercicio del margen de apreciación que les confiere el artículo 5 de la Directiva 95/46, los Estados miembros establezcan los principios que deben regir dicha ponderación”. Por tanto, como se recoge en el informe de la Agencia de 12 de marzo de 2012 “para determinar si procedería la aplicación del citado precepto habrá de aplicarse la regla de ponderación prevista en el mismo; es decir, será necesario valorar si en el supuesto concreto objeto de análisis existirá un interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos que prevalezca sobre el interés o los derechos y libertades fundamentales del interesado que requieran protección conforme a lo dispuesto en el artículo 1 de la Ley Orgánica 15/1999, según el cual “la presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar” o si, por el contrario, dichos derechos fundamentales o intereses de los interesados a los que se refiera el tratamiento de los datos han de prevalecer sobre el interés legítimo en que el responsable pretende fundamentar el tratamiento de los datos de carácter personal.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Así las cosas la Agencia concluye, en su informe de 30 de septiembre de 2013, que el interés legítimo de la Asociación, consistente en la evitación de operaciones en que pudiera producirse un fraude en la financiación otorgada por las entidades que la forman ha de prevalecer sobre el derecho fundamental de los interesados a la protección de datos de carácter personales, sobre todo teniendo en cuenta las garantías reforzadas del cumplimiento de los principios contenidos en la legislación de protección de datos que se han implementado y que minimizan el impacto que el tratamiento de datos puede suponer para los derechos fundamentales de los interesados. Asimismo el citado informe analiza la cláusula informativa aportada por la consultante, similar a la inserta en el documento aportado por el denunciante, y concluye que la misma se considera suficiente, a fin de dar cumplimiento al artículo 5 de la LOPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a ASOCIACION DE EMPRESAS CONTRA EL FRAUDE, y A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es