1/10 Expediente Nº: E/06434/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades EXPERIAN BUREAU DE CRÉDITO SA y ORADO INVESTMENTS SARL en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 24/06/2014 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de denuncia remitido por D. A.A.A., en el que se exponía que ORADO había incluido sus datos personales en el fichero de información de solvencia patrimonial y crédito BADEXCUG sin que previamente le hubiera requerido el pago de la deuda informándole de la posibilidad de inclusión. Manifiesta que desconoce la existencia de esta empresa o la relación que pueda tener con ella. En posteriores escritos (registrados de entrada en la AEPD el 26/06/2014, el 17/07/2014 y el 11/08/2014), reitera lo manifestado en su denuncia original. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 03/12/2014 se solicitó a EXPERIAN información relativa a D. A.A.A., NIF ***NIF.1, en relación a la inclusión de sus datos personales en BADEXCUG por parte de ORADO. De la respuesta recibida (fechada a 26/12/2014) se desprende lo siguiente: - Los datos del afectado estuvieron incluidos en BADEXCUG a instancia de ORADO entre el 07/05/2014 y el 14/09/2014 (EXPERIAN manifiesta que la baja se produjo “por proceso automático semanal de actualización de datos”), como consecuencia de una deuda por valor de 3.784,71 €. La inclusión fue notificada mediante el envío de una carta de 08/05/2014 a (C/..........1). Se aportan impresiones de pantalla al respecto. - EXPERIAN expone que en su Servicio de Protección al Consumidor constan cuatro expedientes asociados al denunciante: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 - o Expediente nº ***EXPTE.1, relativo al ejercicio del derecho de acceso el 28/08/2013. o Expediente nº ***EXPTE.2, relativo al ejercicio del derecho de acceso el 03/06/2014. Se aporta copia del expediente, incluyendo la carta de respuesta, que coincide con la aportada por el denunciante y descrita en los antecedentes. o Expediente nº ***EXPTE.3, relativo al ejercicio del derecho de cancelación el 23/06/2014. La solicitud fue denegada, al haber confirmado ORADO la inclusión. En concreto, en la pantalla destinada a que la entidad informante confirme o dé de baja la inclusión aparece reflejado en el campo “observaciones” que “el titular no aporta datos de que la deuda no proceda, además, se ha contactado en varias ocasiones con él por teléfono, reconociendo la deuda”. Se aporta copia del expediente. o Expediente nº ***EXPTE.4, relativo al ejercicio del derecho de cancelación, con fecha de entrada en EXPERIAN el 14/10/2014. La solicitud fue contestada mediante el envío de una carta de 14/10/2014 en la que se informa de que no consta en BADEXCUG ninguna información de su identificador. Se aporta copia del expediente. EXPERIAN informa de que GESIF S.A. es una empresa perteneciente al mismo grupo de empresas que ORADO, y que actúa como su representante en España, aportando datos al fichero BADEXCUG en su nombre y representación. Al respecto aporta copia del boletín de adhesión a BADEXCUG de GESIF, fechado a 13/01/2014. Manifiesta EXPERIAN que como información de contacto en España facilitada a EXPERIAN por ORADO constan el teléfono ***TEL.1, el fax ***FAX.1 y la dirección de correo electrónico experian@........... Con fecha 04/12/2014 se solicitó a EQUIFAX información relativa a D. A.A.A., NIF ***NIF.1, en relación a la inclusión de sus datos personales en ASNEF por parte de ORADO. De la respuesta recibida (fechada a 29/12/2014) se desprende la siguiente información de relevancia: - Los datos del afectado no han estado incluidos en ASNEF a instancia de ORADO. Se aportan impresiones de pantalla que reflejan este hecho. Con fecha 27/02/2015 se solicitó a GESIF información relativa a D. A.A.A., NIF ***NIF.1, en relación a la práctica del requerimiento de pago efectuado como paso previo a la inclusión de sus datos personales en ficheros de información de solvencia patrimonial y crédito, así como respecto al procedimiento que tenga implementado la entidad para practicar tal requerimiento previo de pago. De la respuesta recibida, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 registrada de entrada en la AEPD el 13/03/2015, se desprende la siguiente información de relevancia: - GESIF manifiesta que “en relación con el tratamiento de los datos de Don A.A.A., Gesif ha actuado únicamente como encargado del tratamiento de ORADO INVESTMENTS S.a.r.1. (en adelante, “Orado”), para la prestación de servicios de gestión de deuda y recobro. En este sentido, Gesif ha seguido las instrucciones de Orado para la prestación de los servicios encomendados, de forma que cualquier comunicación mantenida con el Sr. A.A.A. ha sido en nombre y por cuenta de Orado”. Con fecha 27/02/2015 se solicitó a ORADO información relativa a D. A.A.A., NIF ***NIF.1, en relación a la práctica del requerimiento de pago efectuado como paso previo a la inclusión de sus datos personales en ficheros de información de solvencia patrimonial y crédito, así como respecto al procedimiento que tenga implementado la entidad para practicar tal requerimiento previo de pago. De la respuesta recibida, registrada de entrada en la AEPD el 20/03/2015, se desprende la siguiente información de relevancia: - Con carácter previo, ORADO expone que “en fecha 1 de marzo de 2013 Orado suscribió con Santander Consumer Finance, E.F.C., S.A. (en adelante, “Santander Consumer”) un contrato de cesión de créditos, formalizado en póliza intervenida por la Notaria de Madrid, D B.B.B. el mismo día, con el número 11 de protocolo. Mediante dicho contrato, Santander Consumer cedió a Orado, todos los derechos y obligaciones de ciertas operaciones y créditos, entre las que se encuentra el correspondiente al contrato suscrito por Don A.A.A.”. Al respecto aporta certificado notarial que atestigua la suscripción del citado contrato de cesión de créditos, así como los datos relativos al afectado facilitados por SANTANDER CONSUMER en el marco del citado contrato. En concreto, como domicilio consta (C/...............1), Cádiz. - De lo expuesto por ORADO se desprende que tiene externalizado el servicio para el envío de los requerimientos previos de pago con la empresa EXPERIAN BUREAU DE CRÉDITO S.A. (en adelante EXPERIAN). Al respecto señala que aporta copia del contrato mediante el que se encarga a EXPERIAN el servicio de impresión y envío de requerimientos previos de pago. El documento aportado es un “Acuerdo relativo a la participación en los servicios de información sobre solvencia patrimonial y crédito regulados por el contrato entre Experian Bureau de Crédito S.A. y el Centro de Cooperación Interbancaria de 25 de febrero de 2002”. La entidad que suscribe el acuerdo es GESIF, no ORADO. Entre los servicios objeto del acuerdo se encuentra el envío de los requerimientos de pago relativos a ciertas carteras de deuda, así como la consulta y aportación de información a BADEXCUG, así como la gestión de derechos ARCO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 - ORADO aporta certificado de fecha 05/03/2015 emitido por EXPERIAN, conforme al cual se establece que entre las fechas 21/02/2014 y 24/02/2014 se envió a nombre del denunciante a la dirección señalada en el primer apartado una comunicación en las que se le informaba de la existencia de una deuda pendiente así como de la posibilidad de inclusión en el fichero BADEXCUG. Se aporta copia de esta comunicación: o Requerimiento de 13/02/2015 identificado con el código P0***********, relativo a una deuda por valor de 3.784,71 €. El código puede desglosarse de la siguiente manera: El número inicial, -P-, es común a todas las claves. Los cinco dígitos siguientes -*****-, son la clave de la entidad, utilizada por EXPERIAN. En este caso se trata de ORADO. Los seis dígitos siguientes -******- son un número secuencial de cada una de las notificaciones de cada carga periódica, para cada entidad y fecha, asignado consecutivamente por el proveedor de impresión. Finalmente, los ocho últimos dígitos -********-, aparece la fecha de emisión de la notificación en el fichero según el siguiente formato: AAAAMMDD. EXPERIAN manifiesta que tiene subcontratada la impresión y envío de las notificaciones de requerimientos previos de pago con terceras empresas, en este caso concreto a través de IMPRE-LASER SL y RUTA OESTE MENSAJEROS, siendo enviadas a través del operador UNIPOST. A los efectos de acreditar el envío de la comunicación descrita ut supra, el certificado expedido por EXPERIAN incluye (además de una copia del propio requerimiento) la siguiente documentación: Copia de certificado expedido por IMPRELASER SL, acreditativo de la impresión de 115.590 cartas de requerimiento previo de pago de la carga correspondiente al 16/02/2014. Entre estos se incluyen un total de 89.088 requerimientos remitidos por ORADO (en concreto desde el P*****000001******** al P*******************, lo que incluiría el P0***********. Copia de certificado expedido por IMPRELASER SL, referido al envío a través del operador postal UNIPOST de 58.632 de los requerimientos previos de pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 correspondientes a la carga del día 16/02/2014. El certificado aparece sellado `por RUTA OESTE MENSAJEROS. Copia de nota de entrega de RUTA OESTE MENSAJEROS a UNIPOST relativa al envío con fecha 21/02/2014 de 54.000 comunicaciones. Copia de nota de entrega de RUTA OESTE MENSAJEROS a UNIPOST relativa al envío con fecha 24/02/2014 de 4.632 comunicaciones. En el mismo certificado de EXPERIAN de fecha 05/03/2015 se señala que esta entidad presta a ORADO el servicio de gestión de devoluciones de requerimientos previos de pago, señalándose que no se tiene constancia de que el requerimiento previo de pago mencionado ut supra hubiera sido devuelto. - ORADO manifiesta que “el 1 de septiembre de 2014, Gesif, S.A., en nombre de Orado, recibió una comunicación del Sr.A.A.A., reclamando cierta información en relación con su deuda y en la que facilitaba un nuevo domicilio, sito en C/ del (C/...............2), Murcia”. Como consecuencia “en fecha 14 de septiembre de 2014, Orado solicitó la baja cautelar de los datos del Sr. A.A.A. del fichero Badexcug, titularidad de Experian, comunicándole tal circunstancia al Sr. A.A.A. mediante comunicación de fecha 17 de octubre de 2014”, de la que se aporta copia. Tal comunicación fue remitida por GESIF. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En primer lugar, hay que poner de manifiesto que el artículo 11 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), establece como regla general el previo consentimiento del interesado para la comunicación de datos personales a un tercero. Así dispone en su apartado 1 lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 siguiente: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.” El artículo 3.
- i)de la citada norma define la “cesión o comunicación de datos” como “toda revelación de datos realizada a una persona distinta del interesado”. Ahora bien, añade el artículo 11, en su apartado 2.
- a)que el consentimiento para la cesión de datos no será preciso “cuando la cesión está autorizada en una ley” El Código de Comercio habilita la cesión de datos sin consentimiento del afectado en los supuestos de cesión de créditos al disponer en su artículo 347 que “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. Añade el artículo 348 del citado Código de Comercio que ”el cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare” En el presente caso, de la información aportada por la entidad ORADO en la fase de actuaciones previas de investigación, se desprende que se ha producido una cesión de crédito entre SANTANDER CONSUMER FINANCE, E.F.C, S.A. y ORADO, para lo cual no resulta necesario el consentimiento del afectado como se recoge en el aludido artículo 347 del Código de Comercio. La suscripción del contrato de cesión de crédito se atestigua mediante certificado notarial, así como que los datos relativos al denunciante han sido facilitados por la entidad cedente en el marco del citado contrato. III En relación con la inclusión de sus datos personales en ficheros comunes de solvencia patrimonial y crédito hay que tener en cuenta lo que establece el artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación al tratamiento de los datos por parte de los responsables de este tipo de ficheros: “1. Quienes se dediquen a la prestación de servicios de información sobre la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley.” 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos. 4. Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquéllos”. El apartado 2 de este precepto habilita al acreedor o a quien actué por su cuenta o interés para que, sin consentimiento del deudor, facilite los datos de carácter personal de sus deudores a ficheros comunes de solvencia patrimonial y crédito, siempre y cuando concurran los requisitos establecidos en el artículo 38.1 del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, cuyo apartado
- a)requiere para la inclusión de datos personales en este tipo de ficheros la existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada. La exigencia de que la deuda sea "cierta" responde al principio de calidad de datos recogido en el artículo 4.3 de la LOPD, al expresar que "los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete el principio de veracidad y exactitud del mencionado artículo 4.3 de la LOPD. IV El artículo 38.1 Real Decreto 1720/2007—RLOPD—en su redacción actualmente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 vigente tras la STS --Sentencia de 15 de julio de 2010, de la Sala Tercera del Tribunal Supremo--dispone que: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (…).
- b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.” V La cuestión que se suscita consiste en dilucidar si consta acreditada o no, la realización del requerimiento de pago efectuado como paso previo a la inclusión de los datos en ficheros de solvencia patrimonial, habiendo reiterado la Sala ( SSAN, Sec 1ª, de 9 mayo 2003, Rec. 1067/1999 ; 8 de marzo de 2006, Rec. 319/2004 ; 18 de julio de 2007, Rec. 17/2006; 28 de mayo de 2008, Rec. 107/2007; 17 de febrero 2011, Rec. 177/2010 ; 20 de septiembre de 2012, Rec. 127/2011 etc.) que cuando el destinatario niega la recepción del requerimiento, recae sobre el responsable del fichero o tratamiento, la carga de acreditar el cumplimiento de dicha obligación, siendo insuficiente los registros informáticos de la propia entidad que nada acreditan sobre la efectiva realización o cumplimiento de la citada obligación. En el presente caso y con respecto a este requisito, se debe poner de manifiesto lo siguiente: C/ Jorge Juan, 6 28001 – Madrid • En primer lugar, la entidad ORADO manifiesta y documenta que tiene externalizado el servicio para el envío de los requerimientos previos de pago con la empresa EXPERIAN. Así, obra en el expediente Certificado de EXPERIAN conforme al cual se establece que entre las fechas 21/02/2014 y 24/02/2014 se envió a nombre del denunciante y a la dirección (C/...............1), Cádiz, una comunicación en la que se le informaba de la existencia de una deuda pendiente así como de la posibilidad de inclusión en el fichero BADEXCUG. Asimismo obra en el expediente, requerimiento de 13/02/2015 identificado con el código P0***********, relativo a una deuda por valor de 3.784,71 €. • En segundo lugar, la entidad IMPRE-LASER SL, que presta un servicio de envío de requerimientos a EXPERIAN, certifica la impresión del www.agpd.es sedeagpd.gob.es 9/10 requerimiento de pago con su correspondiente código referido en el apartado anterior y su posterior puesta a disposición del servicio de correos de UNIPOST. • En tercer lugar consta en el expediente, copia de nota de entrega sellada por UNIPOST y por parte de de RUTA OESTE MENSAJEROS, que presta un servicio de envío de requerimientos de pago a EXPERIAN, del requerimiento de pago del supuesto en cuestión. • Y en cuarto y último lugar, EXPERIAIN, que presta a ORADO el servicio de gestión de devoluciones de requerimientos previos de pago, certifica que no se tiene constancia de que el requerimiento previo de pago mencionado ut supra hubiera sido devuelto. Cabe por tanto concluir, que la inclusión de sus datos en el fichero BADEXCUG por parte de ORADO se ajusta a lo preceptuado en la LOPD por cuanto, estando exceptuada del requisito del consentimiento al amparo de lo dispuesto en el artículo 11.2.
- a)de la LOPD, habida cuenta la existencia de norma legal habilitante de la cesión (artículos 347 y 348 del Código de Comercio), y considerándose suficientemente acreditada la realización del requerimiento previo de pago a dicha inclusión con cumplimiento de todos los requisitos exigidos en la normativa de protección de datos. VI Por todo lo señalado en la presente Resolución, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a las entidades, EXPERIAN BUREAU DE CRÉDITO SA y ORADO INVESTMENTS SARL una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a EXPERIAN BUREAU DE CRÉDITO SA y ORADO INVESTMENTS SARL y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es