E-06707-2012

1/14 Expediente Nº: E/06707/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO CETELEM S.A. en virtud de varias denuncias presentada ante la misma y en base a los siguientes HECHOS PRIMERO: Ha tenido entrada en la Agencia Española de Protección de Datos (AEPD), en el periodo comprendido entre el 4 de septiembre de 2012 y el 28 de mayo de 2013, diversos escritos en los que denuncian a la entidad BANCO CETELEM, S.A. al haber revelado datos de sus clientes, relativos a la situación de impago de productos contratados con dicha entidad, a terceras personas en el ámbito de la gestión del recobro de la deuda Con objeto de realizar actuaciones de inspección se han seleccionado un total de doce denuncias en las que manifiestan los denunciantes que tienen una deuda con BANCO CETELEM y que están realizando llamadas a su entorno familiar, laboral, de amistad o de vecindad facilitando sus datos personales del impago. Las denuncias contra BANCO CETELEM se relacionan a continuación:

1. Denunciante 1: escrito de fecha de entrada en la AEPD el día 4 de septiembre de 2012, en el que manifiesta que se personaron en su domicilio y comunicaron al portero y vecinos su nombre y apellidos, donde vivía, que era una entidad financiera que quería reclamar el pago de dos cuotas de una tarjeta de crédito, dejándoles recado de que llamaran a un número de teléfono indicando que era muy urgente. No aporta evidencias.
2. Denunciante 2: escrito de fecha de entrada en la AEPD el día 14 de septiembre de 2012, en el que manifiesta el acoso telefónico al que está siendo sometido, no sólo a su persona, sino también a familiares y vecinos, le consta a dos propietarios 4ºA y 4ºB, que han recibido llamadas preguntando si le conocen, vivienda en la que reside, etc. y que están revelando información personal. No aporta evidencias. Los números de teléfono de contacto que dejan aviso son Y.Y.Y. y A.A.2..
3. Denunciante 3: escrito de fecha de entrada en la AEPD el día 25 de septiembre de 2012, en el que manifiesta que han llamado a casa de un vecino para indicarles que llamara urgente al teléfono S.S.S., según la Ley de Protección de Datos no tienen que llamar a nadie, ya que no dispone de teléfono a su nombre, la entidad financiera conoce su domicilio postal y correo electrónico, si bien no se han puesto en contacto por estos medios con la denunciante. No aporta evidencias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14
4. Denunciante 4: escrito de fecha de entrada en la AEPD el día 28 de septiembre de 2012, en el que manifiesta que a partir de dejar de realizar los pagos del préstamo comienzan los acosos telefónicos a él y a su mujer con mensajes SMS incluso en su trabajo. No aporta evidencias.
5. Denunciante 5: escrito de fecha de entrada en la AEPD el día 8 de noviembre de 2012, en el que manifiesta que desde el número de teléfono X.X.X. están llamando a números de teléfono que pertenecen a otras personas y que no tienen en sus ficheros. También recibe llamadas en los números facilitados donde está disponible y les atiende cada vez que se ponen en contacto con él desde la entidad financiera. No aporta evidencias.
6. Denunciante 6: sendos escritos de fecha de entrada en la AEPD el día 27 de noviembre de 2012 y el 1 de febrero de 2013, en los que manifiesta que llamaron numerosas veces a su lugar de trabajo, teléfono que no ha facilitado, aporta Declaración del Acuartelamiento en la que consta que han recibido numerosas llamadas en el teléfono U.U.U. y dejan “aviso” de que llame al número T.T.T., persona de contacto J.J.J.. En dicho teléfono se identifican trabajadores de BANCO CETELEM. Que solamente facilitó el teléfono de su anterior vivienda y que, con fecha de 18 de septiembre de 2012, solicita la rectificación de sus datos indicando que la única forma de contacto sea la dirección postal. Le contestan indicando “que no se puede acceder al borrado de todos sus datos telefónicos (…) al menos un número de contacto telefónico válido”. También, solicita a la entidad financiera que solamente se pongan en contacto con él en el teléfono móvil, dando respuesta conforme a lo solicitado. Por otra parte, aporta fotografías de un teléfono en el que constan mensajes como el siguiente: INFO: A pesar de las facilidades otorgadas, seguimos teniendo incidencias. Contacte con nosotros urgentemente en el A.A.0..
7. Denunciante 7: escrito de fecha de entrada en la AEPD el día 20 de noviembre de 2012, en el que manifiesta que por motivo de un impago está recibiendo un acoso continuo de llamadas a teléfonos, que no ha facilitado, de vecinos preguntando por la denunciante y dejando notas. El titular de la línea de teléfono donde reside, ya que comparte piso, ha comunicado a BANCO CETELEM en varias ocasiones su deseo de no recibir más llamadas. No aporta evidencias.
8. Denunciante 8: escrito de fecha de entrada en la AEPD el día 3 de diciembre de 2012, en el que manifiesta que una empleada de la entidad financiera ejerce una persecución insoportable desde los números de teléfono Y.Y.Y. y A.A.1., en el mes de junio se permitieron la libertad de contactar con un vecino, el cual le dejo una nota manuscrita para que contactara con dicha persona. En dicha nota consta C.C.C. teléfono de Q.Q.Q. V.V.V.. Que le han localizado en su nuevo centro de trabajo: Ministerio.
9. Denunciante 9: escrito de fecha de entrada en la AEPD el día 10 de enero de 2013, en el que manifiesta que Dª P.P.P. trabajadora de BANCO CETELEM realiza llamadas telefónicas proporcionando todo tipo de datos personales del cliente a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 terceros, información de las deudas sin ningún tipo de consentimiento, tanto a su empresa, Ministerio de Defensa como a su actual pareja, realizando amenazas verbales indicando que van a embargar el vehículo.
10. Denunciante 10: escrito de fecha de entrada en la AEPD el día 8 de mayo de 2013, en el que manifiesta que una empleada de la entidad financiera O.O.O., teléfono Z.Z.Z., ha contactado con su pareja que no tiene ninguna vinculación con la deuda. Adjunta declaración jurada de su pareja. Que solicitó la rectificación de sus datos personales ante BANCO CETELEM, el día 21 de diciembre de 2012, pero no aporta el escrito al respecto ni respuesta al mismo, si bien adjunta original de un acuse de recibo entregado en la entidad financiera el día 21 de diciembre de
12. Denunciante 11: escrito de fecha de entrada en la AEPD el día 21 de mayo de 2013, en el que manifiesta que recibe llamadas de BANCO CETELEM en el domicilio de sus padres que consta en el contrato si bien posteriormente indicó que no llamaran a dicho número sino al suyo. Añade, que puede hacer para que no vuelvan a llamar a sus padres. No aporta evidencias.
13. Denunciante 12: escrito de fecha de entrada en la AEPD el día 28 de mayo de 2013, en el que manifiesta que se han producido llamadas telefónicas a teléfonos fijos y móviles, así como mensajes SMS a familiares indicándoles el motivo de la llamada y el importe de la deuda. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
14. De las actuaciones realizadas por la Inspección de Datos en los locales de la entidad BANCO CETELEM, con fecha de 12 y 20 de junio y de 18 y 19 de julio de 2013, en relación con los procedimientos utilizados por la entidad para el recobro de las deudas de sus clientes, con carácter general, se desprende lo siguiente: 1.
15. La entidad es un banco especializado en la concesión de créditos al consumo por lo que el cliente debe suscribir un contrato y, en su caso, el cónyuge o cotitular o fiador (en adelante otros intervinientes). Los datos personales obligatorios para suscribir un producto son: nombre, apellidos, NIF, a efectos de notificaciones domicilio postal, teléfono fijo y/o móvil y otra información opcional como dirección de correo electrónico. El cliente debe aportar documentación como: Documento Nacional de Identidad, justificante de nómina y/o vida laboral emitida por la Tesorería General de la Seguridad Social y, en su caso, Declaración del Impuesto sobre la Renta de las Personas Físicas (IRPF). Así mismo, si figura en el contrato otros intervinientes deberán aportar la citada documentación. 1.
16. La entidad tiene establecidas distintas actuaciones con objeto de la gestión de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 los recibos devueltos y el recobro de la deuda que a continuación se detallan: - Emisión de cartas de reclamación de cantidad que son remitidas siempre al titular y excepcionalmente a otros intervinientes. - Desde hace más de un año no se emiten “avisos” dirigidos al titular, a través de fax, cuyo número ha sido facilitado por el propio titular o bien obtenido de fuentes accesibles al público. - BANCO CETELEM no realiza en la actualidad actuaciones personándose en el domicilio del cliente deudor, con objeto del recobro de la deuda, ni en domicilios de vecinos ni de conserjes ni de porteros de la finca, con objeto de dejar aviso para que contacten los clientes con la entidad o para recabar información sobre el domicilio o teléfono del cliente. Entre abril y septiembre de 2010 se realizaron visitas al domicilio de los clientes deudores de productos de importe de deuda alto. Dichas actividades fueron efectuadas por la compañía Confirmación de Solicitudes de Crédito Verifica, S.A. con la que BANCO CETELEM tenía suscrito el correspondiente contrato de prestación de servicios. Por otra parte, de mayo de 2009 a abril del 2011, BANCO CETELEM realizaba visitas presenciales a los domicilios de los clientes deudores de importe elevado de deuda, como Préstamo Mercantil para la adquisición de vehículo, con objeto de la recuperación del mismo o de la refinanciación de la deuda. - - Comunicaciones mediante envío de mensajes SMS exclusivamente al titular u otros intervinientes y cuyo contenido depende de la fase en la que se encuentre la gestión de la deuda y son textos fijos. Remisión de escritos-mensajes mediante Correo electrónico en el supuesto de que el cliente lo hubiera autorizado expresamente Gestión telefónica es el procedimiento habitual de ponerse en contacto con el cliente en el teléfono fijo y, en su caso, en el teléfono móvil que ha facilitado en el contrato o posteriormente. Sin embargo, si no ha sido posible contactar con el cliente se obtienen posibles teléfonos de otros intervinientes de la documentación aportada en la contratación o de fuentes accesibles al público. Por otra parte, se puede localizar teléfonos de otros contratos anteriores suscritos por el cliente o personas intervinientes en los mismos. También, cuando no ha sido posible contactar con las personas anteriores se realizan búsquedas de otros posibles teléfonos del entorno del deudor como: de la empresa donde presta servicio el cliente, de los padres (obtenido del DNI), por otros criterios como apellidos (familiares), domicilios próximos (vecinos) o cualquier otra información que conste en el contrato. Si bien, si se contacta con personas distintas al titular u otros intervinientes, una vez conocida la relación del interlocutor con el cliente, exclusivamente se les solicita que traslade al cliente el “aviso” y no se comunica a terceros información sobre el objeto de la llamada ni de la entidad ni de la deuda ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 del importe. Dichas circunstancias constan en el argumentario “aviso” utilizado al respecto por los trabajadores de BANCO CETELEM y que textualmente indica: Respetar LOPD y no decir de donde llamamos. Buenos días / Buenas tardes pregunto por “el/la Sr. Sra. NOMBRE COMPLETO DE CONTACTO CON 2 APELLIDOS VALIDOS”, si indican no está: Preguntar teléfono contacto por tema personal a tratar. Confirmar horario de contacto. Indicar se volverá a llamar pero también dejar teléfono, persona de contacto y horario para que contacte lo antes posible. Desde hace un año se realizan grabaciones de todas las conversaciones mantenidas con objeto del recobro de la deuda, que son conservadas durante 90 días en gestión de impagados y 75 días en gestión de contencioso, si bien en la actualidad la entidad ha decidido que todas las grabaciones se conserven 90 días, con la finalidad de control de calidad del servicio. Las grabaciones se realizan de todas las conversaciones efectivas (entrantes y salientes), cuando el receptor de la llamada descuelga, en todas las fases del recobro de la deuda, incluido el proceso contencioso, ya sean realizadas por la propia entidad financiera o por empresas externas contratadas. 1.
17. Para la gestión y control de los expedientes de recobro de deuda BANCO CETELEM utiliza un Sistema de Información que incluye, entre otros, una agenda o bloc de notas, denominado “TBLO”, en el cual se anotan las actividades realizadas indicando la siguiente información: fecha, hora, tipo de actuación (llamada, carta, SMS, etc.), persona que la realiza, resumen de la llamada, a veces número de teléfono, etc. En el Sistema de Información se refleja los datos de contacto del cliente como teléfonos que pueden ser actualizados durante la tramitación del expediente como: fijo titular-cotitular, fijo empresa titular, móvil titular y móvil empresa titular. La agenda o bloc de notas “TBLO” es utilizado solamente por BANCO CETELEM, una vez que el expediente de la deuda pasa a la fase de contencioso se borran o eliminan todas las actuaciones de las fases anteriores, que corresponden a llamadas y otras actuaciones como SMS y cartas, y solo permanecen apuntes automáticos del sistema, no conservándose copia. Así mismo, si el cliente ha ejercido los derechos de acceso, rectificación, cancelación y/o oposición se indica un mensaje en el Sistema de Información “TBLO” con la palabra clave LOPD y se detalla el derecho solicitado
18. De las comprobaciones realizadas por la Inspección de Datos en el Sistema de Información de Clientes y en la agenda denominada “TBLO” de la entidad con respecto a los hechos manifestados por los denunciantes se ha constatado, con carácter general, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 2.
19. Los denunciantes han suscrito, al menos, un contrato con la entidad habiendo aportado diversa documentación adicional, en la que constan sus datos personales: identificativos (DNI), domicilio postal, teléfonos, empresa donde presta servicios y, en su caso otros, como IRPF, nómina, titularidad cuenta bancaria, recibos servicios (agua, seguro, etc), presupuestos, etc. Los productos contratados por los clientes, en algunos casos, también han sido suscritos por otros intervinientes como en el caso de los denunciantes 3, 4, 6, 8 y
20. - El denunciante 4 manifiesta que se han puesto en contacto con su mujer, si bien al encontrarse en situación de contencioso no se ha podido verificar dicha circunstancia, pero el contrato se encuentra suscrito por un cotitular Dª R.R.R.. - El denunciante 6 manifiesta que se han puesto en contacto con su lugar de trabajo, que nunca ha facilitado, aporta Declaración del Acuartelamiento, si bien en la documentación contractual figura como empresa “militar mtpm”. No se han podido comprobar dichos contactos al encontrase el expediente en contencioso. - El denunciante 8 manifiesta que se han puesto en contacto con su lugar de trabajo si bien en la documentación contractual figura Certificado del Ministerio de Defensa. - El denunciante 10 manifiesta que han contacto con su pareja, que no tiene ninguna vinculación con la deuda, si bien en la documentación aportada figura su condición “casada”, en el IRPF consta el nombre y apellidos del cónyuge y en la cuenta corriente constan ambos como titulares. No se han podido comprobar dichos contactos al encontrase el expediente en contencioso. 2.
21. En la agenda “TBLO” consta que ha habido contactos con los clientes (denunciantes), en algunos casos con familiares, con compañeros del trabajo y con compañeros de la vivienda, bien a los teléfonos que figura en la documentación u otros, habiendo sido analizadas las grabaciones de un total de “53” conversaciones, detallándose transcripciones de parte de “21” contactos mantenidos por BANCO CETELEM con terceros en el Acta de Inspección E/06707/2012, destacando los siguientes aspectos: - Se ha realizado llamada el 3/5/2013 al denunciante 1 en la que se contacta con un contestador automático y se deja “aviso”. - Se ha realizado llamada el 14/6/2013 contactando con tercero y se deja “aviso” para el denunciante
22. - Se ha realizado llamada el 6/5/2013 contactando con la empresa y se ha dejado “aviso” para denunciante
23. - Se ha realizado llamada el 30/4/2013 contactando con la suegra del denunciante 3 no se ha dejado “aviso” ya que la interlocutora ha manifestado que no le llamaran. - Se ha realizado llamada el 30/5/2013 contactando con tercero preguntando por denunciante 7 manifestando que no la conoce no dejando “aviso”. - Se ha realizado llamada el 30/5/2013 contactando supuestamente con la pareja del denunciante 9 no dejan “aviso” ya que indica que cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 información se la tienen que dar a él por lo que la interlocutora manifiesta que si no puede darle recados que no llamen. - Se ha realizado diversas llamadas al denunciante 11 contactando con la madre y con terceros que dejan “aviso”, en algunos casos, como en las fechas siguientes 25/4/2013, 29/4/2013, 7/5/2013 y 28/5/
24. - Se ha realizado diversas llamadas al denunciante 12 contactando con el hermano y con el hijo y dejan “aviso” el día 2/4/
25. Por otra parte, la cotitular se ha puesto en contacto con la entidad en diversas ocasiones y manifiesta que han facilitado a su hijo información de la deuda si bien no se han acreditado dichas circunstancias. 2.
26. Todos los nombres y apellidos que se facilitan en el “aviso” de BANCO CETELEM a terceros pertenecen a trabajadores de la entidad y los teléfonos son titularidad de la entidad. 2.
27. Con respecto a lo manifestado por el denunciante 1 que indica que se han personado en su domicilio trabajadores de BANCO CETELEM facilitando información de la deuda a vecinos y al portero, la entidad ha informado que no les consta ninguna visita al domicilio del cliente, que desde abril de 2011 no realiza este tipo de actuaciones y, además, el cliente la primera vez que tuvo dos recibos impagados fue en enero de
28. 2.
29. Con respecto al mensaje SMS recibido en el terminal del denunciante 6 la compañía ha confirmado que es un mensaje estándar que se envía a los clientes. 2.
30. En relación con el ejercicio de los derechos de acceso, rectificación, cancelación y oposición solicitados por los denunciantes ante BANCO CETELEM se destaca lo siguiente: - Se ha dado respuesta por parte de la entidad a todos los denunciantes atendiendo los derechos que han ejercido como al denunciante 6 con fecha de 14 de enero de 2013 y al denunciante 8 con fecha de 25 de junio de
31. También, el denunciante 6 solicito el borrado de todos sus datos telefónicos pero se dio respuesta con fecha de 25 de septiembre de 2012 indicando que al menos debería facilitar un número de contacto telefónico válido. - Con respecto a la solicitud de rectificación de datos personales según manifiesta la denunciante 10, no aporta evidencias, se ha verificado que presentó reclamación por no conformidad con la deuda pero no ejercitó los derechos. - En relación con el escrito dirigido a la entidad por el denunciante 11 en el que indica aspectos de la deuda y que no le llamen más, en el encabezamiento consta un número de teléfono móvil, pero no solicita el derecho de rectificación. 2.
32. De todo lo anteriormente descrito se podría deducir los siguiente: - Constan contactos mantenidos por BANCO CETELEM con los clientes e intervinientes en los contratos, también figuran contactos con familiares (padres, hermanos, cónyuges, suegros, hijos, pareja y compañeros de vivienda) y en algunos casos con centros de trabajo. - No se han obtenido evidencias de que en los contactos mantenidos con terceras personas, distintas al cliente o intervinientes, se hubiera facilitado información relativa a la situación de mora, acerca de la entidad llamante ni C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 - de la deuda ni del importe de la misma. Se ha verificado que algunos clientes han recibido mensajes vía SMS o correo electrónico con información relativa al recobro de la deuda. No se han obtenido evidencias de que BANCO CETELEM no hubiera dado respuesta a los derechos de acceso, rectificación, cancelación y oposición ejercidos por los clientes. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 10 de la LOPD que se considera infringido dispone "El responsable del fichero y quienes intervengan en cualquier fase de tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero, o, en su caso, con el responsable del mismo". El artículo 10 de la LOPD contiene una regla que afecta a la confidencialidad como parte de la seguridad de los datos de carácter personal, tratando de salvaguardar el derecho de las personas a mantener la privacidad de tales datos y, en definitiva, el poder de control o disposición sobre los mismos. El deber de secreto trata de salvaguardar o tutelar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y en definitiva el poder de control o disposición sobre sus datos. Este deber de secreto está lógicamente relacionado con el secreto profesional. Según el ATC de 11 de diciembre de 1989 "el secreto profesional se entiende como la sustracción al conocimiento ajeno, justificada por razón de una actividad, de datos o informaciones obtenidas que conciernen a la vida privada de las personas". El deber de secreto en el tratamiento de datos personales, tiene la misma fundamentación jurídica, pero se refiere al ámbito estricto del tratamiento de los datos personales, para que el responsable del fichero y, cualquier persona que intervenga en el tratamiento, esté obligado al mantener la confidencialidad de los datos personales”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto profesional que incumbe a los responsables de los ficheros, recogido en el artículo 10 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 comporta que el responsable o quienes intervengan en cualquier fase del tratamiento de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados automatizadamente o no, no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. III En el caso que nos ocupa, de las actuaciones practicadas por la Agencia en la inspección realizada ante Banco Cetelem, se comprueba que esta entidad no ha vulnerado el deber de secreto recogido en el artículo 10 de la LOPD, en la medida en que no reveló ningún dato de la deuda de ninguno de los denunciantes a terceros ajenos a la misma. Existen diversas vías de comunicación utilizadas por Banco Cetelem para ponerse en contacto con los deudores para requerirles el pago de la deuda, bien al propio deudor titular de la deuda o bien a demás intervinientes en el contrato ( fiadores, avalistas, cotitulares..). Si contactan con personas distintas al titular u otros intervinientes, una vez conocida la relación del interlocutor con el cliente, se les solicita únicamente que traslade al cliente el “aviso” y no se comunica a terceros información sobre el objeto de la llamada ni de la deuda. Por tanto, no hay evidencias que permitan señalar que Banco Cetelem haya revelado datos de la deuda de los denunciantes a terceros ajenos a la misma, y ello se deduce de la inspección practicada por esta Agencia, así como por el hecho de que no se han aportado por los denunciantes pruebas que puedan determinar una posible vulneración de la normativa en materia de protección de datos por parte de esta entidad. A este respecto ha de tenerse en cuenta que el Tribunal Constitucional viene manteniendo que los principios y garantías del procedimiento judicial penal son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también este es manifestación del ordenamiento punitivo del Estado, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el artículo 137 de LRJPAC: “
33. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. En el presente caso, no se ha aportado ninguna evidencia o indicios de los que pueda deducirse que Banco Cetelem facilitara a terceros información sobre las deudas. Por último, es preciso señalar, en relación a las gestiones de cobro de las deudas practicadas por Banco Cetelem, lo recogido en la Sentencia de la Audiencia Nacional de 14 de marzo de
34. La citada Sentencia examina la actuación de la entidad Cofidis que con el objeto de realizar las gestiones de recobro de deudas mantiene reiterados contactos telefónicos tanto con sus clientes como con otras personas de su entorno, señalando que el hecho de que dicha entidad “...realizara numerosas llamadas a teléfonos de personas distintas de sus clientes, tanto de familiares o de “otros”, tampoco tiene entidad por si solo para acreditar la infracción apreciada, pues lo relevante (como la propia resolución impugnada viene a reconocer) es su contenido, es decir, que en dichas llamadas se revelaran datos personales de sus clientes y especialmente, información sobre su situación de morosidad”. En lo que se refiere a los faxes enviados a los centros de trabajo en los que se conmina al deudor a contactar con COFIDIS, la Sentencia señala que <<en ellos se indica el nombre y apellidos de la persona a quien se dirige y un número de teléfono para que el destinatario contacte de forma urgente con dicho número, figurando como “asunto: solicitud de contacto” y si bien figura en algunos una referencia al contrato, se trata de una referencia numérica que nada dice por si misma ni se relaciona con ninguna deuda, efectuándose para facilitar la identificación del asunto al denunciante>>. Considera la Sala que “no cabe apreciar que se produzca infracción del deber de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 confidencialidad a través de dichos faxes y el hecho de que se reciban llamadas en el centro de trabajo para contactar con clientes de Cofidis, no implica por si solo ni en conexión con los citados faxes... vulneración del deber de secreto, no debiendo olvidarse que los tipos sancionadores al igual que los penales, son de aplicación estricta. > IV Respecto al posible tratamiento de datos de los denunciantes por Banco Cetelem a la hora de contactar con terceros ajenos a la deuda para localizar a los denunciantes, cabe señalar lo siguiente: El artículo 6.1 y 2 de la LOD dispone que: ”
35. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “
36. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. La Audiencia Nacional en su Sentencia de 14 de mayo de 2009 recoge lo siguiente: “al haber prestado el denunciante su consentimiento para el tratamiento de determinados datos personales como su nombre y apellidos, domicilio y número de teléfono, en el contexto de una relación contractual, ese consentimiento inicial continúa proyectándose mientras permanece la relación contractual respecto de datos personales del mismo tipo que los que fueron proporcionados y autorizado su uso, siempre que su tratamiento continúe siendo necesario para el cumplimiento o ejecución del contrato ningún reproche puede hacerse por tanto al tratamiento de dichos datos. Añade la referida Sentencia que “incluso la LOPD prescinde de la necesidad del consentimiento al establecer como excepción al mismo - en el apartado 2 del artículo 6 que no es necesario el consentimiento cuando los datos se refieran a las partes de un contrato o precontrato y sean necesarios para su mantenimiento o cumplimiento”. concluye que “la entidad que actuaba como encargada del tratamiento realiza su actividad para el cumplimiento del contrato suscrito entre el denunciante y la entidad que le efectuó el encargo y que dicho contrato exige para su cumplimiento el tratamiento de los datos personales del domicilio del denunciante para poder comunicar con él cuando deja de cumplir sus obligaciones, siendo indiferente a estos efectos que el concreto dato del domicilio haya cambiado pues su tratamiento está amparado en el consentimiento inicial o, en todo caso, en la excepción contenida en el artículo 6.2 LOPD . La doctrina sentada por la citada Sentencia ha sido, asimismo, recogida por la Audiencia Nacional en las Sentencias de 21 de enero y 22 de julio de
37. En las citadas Sentencias se hace referencia a la obtención por parte de un encargado del tratamiento contratado por un determinado acreedor de datos adicionales que permiten conocer el domicilio o número de teléfono de un deudor determinado en supuestos en los que se ha producido un cambio en los mencionados datos, habiéndose obtenido la información de fuentes tales como ficheros con el carácter de fuente accesible al público, detectives privados o incluso la solicitud de información a familiares del deudor. Ahora bien la legitimación para el tratamiento de los datos comprende el tratamiento de los datos del deudor y no el de los familiares, por lo que si BANCO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 CETELEM los estuviere tratando deberá proceder a la cancelación de éstos, cuando se hayan actualizado los datos del deudor y, en todo caso, cuando el afectado –familiar o persona del entorno del deudor- ejercite su derecho de cancelación, al prevalecer, en estos casos, el derecho a la protección de datos sobre el interés del acreedor. V Dicho lo anterior resta por decir que tampoco corresponde a esta Agencia evaluar la conducta de la empresa que realiza la gestión de cobro de la deuda, en lo relativo a la persistencia de los procedimientos utilizados para realizar el requerimiento de pago. Asimismo señalar que la Ley 3/1991, de 10 de enero, de Competencia Desleal, modificada por Ley 29/2009, de 30 de diciembre, por la que se modifica el régimen legal de la competencia desleal y de la publicidad para la mejora de la protección de los consumidores y usuarios, considera en su artículo 29 prácticas agresivas por acoso realizar propuestas no deseadas y reiteradas por teléfono, fax, correo electrónico u otros medios de comunicación a distancia, salvo en las circunstancias y en la medida en que esté justificado legalmente para hacer cumplir una obligación contractual, como sucede en el caso que nos ocupa. VI A la vista de las consideraciones precedentes y toda vez que hay una falta de pruebas que acrediten los hechos atribuidos a Banco Cetelem por los denunciantes, debe concluirse que no existe prueba de cargo suficiente para imputar a la citada entidad la comisión de una infracción del artículo 10 de la LOPD, por lo que procede acordar el archivo de las actuaciones previas. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
38. PROCEDER AL ARCHIVO de las presentes actuaciones.
39. NOTIFICAR la presente Resolución y el Anexo 1 al denunciante 1, la presente Resolución y el Anexo 2 al denunciante 2, la presente Resolución y el Anexo 3 al denunciante 3, la presente Resolución y el Anexo 4 al denunciante 4, la presente Resolución y el Anexo 5 al denunciante 5, la presente Resolución y el Anexo 6 al denunciante 6, la presente Resolución y el Anexo 7 al denunciante 7, la presente Resolución y el Anexo 8 al denunciante 8, la presente Resolución y el Anexo 9 al denunciante 9, la presente Resolución y el Anexo 10 al denunciante 10, la presente Resolución y el Anexo 11 al denunciante 11 y la presente Resolución y el Anexo 12 al denunciante 12, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14
40. NOTIFICAR la presente Resolución y el Anexo 13 a BANCO CETELEM S.A. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es