E-06752-2013

1/8 Expediente Nº: E/06752/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la(

1. s)entidad(
2. es)BANKINTER SA., EQUIFAX IBERICA, S.L., EXPERIAN Bureau de Crédito SA en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 27 de agosto de 2013, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) frente a la Entidad Bankinter SA., en lo sucesivo (el/la denunciado/
3. a)en el que denuncia de manera sucinta lo siguiente: “Se ha anotado en el fichero Experian una deuda con la Entidad Bankinter de 639,75€ sin tener prueba acreditada de la misma. Según Resolución del Banco de España no soy responsable de esta deuda causada por el robo de la tarjeta Visa y de un uso fraudulento de la misma”—folio nº 1--. Con fecha 21 de noviembre de 2013 se recibe contestación remitida por el denunciante a la solicitud de subsanación remitida por esta Agencia. Los escritos de denuncia adjuntan la siguiente documentación:
4. a)Copia de un escrito dirigido a OBSIDIANA, nombre comercial de BANKINTER CONSUMER FINANCE, S.A., informando del robo de una tarjeta VISA propiedad del denunciante, A.A.A., ocurrido el 28 de noviembre de 2010.
5. b)Resolución del Banco de España de 15 de junio de 2011 en relación con el uso fraudulenta de la tarjeta robada.
6. c)Escrito de 27 de agosto de 2012 remitido por el responsable del fichero BADEXCUG resolviendo desestimar la solicitud de cancelación de datos realizada por el denunciante al haber sido los datos confirmados por la entidad informante.
7. d)Denuncia interpuesta a las 10:50 horas del 29 de noviembre de 2010 ante la policía nacional en la que se describe el robo, acaecido el día 28 de noviembre de 2010 entre las 17:30 y las 18:30 horas, de varios objetos entre los que se encuentra una tarjeta de crédito de OBSIDIANA.
8. e)Denuncia interpuesta el 11 de febrero de 2011 ante la policía nacional en la que se modifica el periodo de horas durante el que se estima que se produjo la sustracción declarando en este caso que el robo se produjo el mismo día 28 de noviembre de 2010 entre las 14:00 y las 21:00 horas y que la activación de la tarjeta y las cuatro extracciones de 300 euros que se produjeron entre las 14:47 horas del día 28 y las 00:06 horas del día 29 no fueron autorizadas por el denunciante. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 16 de diciembre de 2013 se solicita a EQUIFAX IBERICA, SL información relativa al denunciante y de la respuesta recibida el 23 de diciembre de 2013 se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 desprende lo siguiente: - Respecto del fichero ASNEF: Consta una incidencia informada por BANKINTER con fecha de alta 11 de marzo de 2011, fecha de última actualización 14 de diciembre de 2013, por vencimientos impagados primero y último de diciembre de 2010 y por un importe de 621,75 euros. - Respecto del fichero de NOTIFICACIONES: Consta una notificación emitida a nombre del denunciante, con fecha de emisión 12 de marzo de 2011, por un producto de TELECOMUNICACIONES, por un importe de 621,75 euros y siendo la entidad informante BANKINTER. - Respecto del fichero de BAJAS: No consta la baja de ninguna deuda informada por BANKINTER en relación con el denunciante. Con fecha 16 de diciembre de 2013 se solicita a EXPERIAN BUREAU DE CREDITO, SA información relativa al denunciante y de la respuesta recibida el 13 de marzo de 2014 se desprende lo siguiente: - Respecto del fichero BADEXCUG: Consta una incidencia informada por BANKINTER con fecha de alta 13 de marzo de 2011, fecha de última actualización 2 de marzo de 2014, por vencimientos impagados primero y último de fecha 2 de diciembre de 2010 y por un importe de 639,75 euros, que fue reducido a 621,75 euros el 27 de marzo de 2011. - Respecto del fichero de NOTIFICACIONES: Consta una notificación enviada al denunciante como consecuencia de la inclusión de sus datos personales en el fichero BADEXCUG por la entidad BANKINTER. La notificación fue emitida con fecha 13 de marzo de 2011, por deuda de 639,75 euros. - Respecto de fichero de ACTUALIZACIONES DE BADEXCUG. No consta la baja de ninguna deuda informada por BANKINTER en relación con el denunciante. 1. En la reclamación interpuesta ante el Banco de España por el denunciante contra BANKINTER CONSUMER FINANCE, S.A., en adelante OBSIDIANA, éste manifiesta que la tarjeta que le fue sustraída había sido recibida por correo recientemente y no se encontraba activa por lo que no es responsable del uso fraudulento que se le haya podido dar a la misma. OBSIDIANA mantiene que la activación de la tarjeta únicamente es posible si se dispone del PIN (número secreto) que debía de encontrarse junto con la tarjeta sustraída y que fue debido a esa negligencia por parte de el denunciante por la que se pudieron hacer los reintegros en efectivo. El Banco de España estima que OBSIDIANA quebrantó las buenas prácticas al no haber entregado a su cliente ni al servicio de reclamaciones del propio Banco de España los registros de las operaciones cuya autoría está en tela de juicio, pero no se pronuncia sobre el incumplimiento de las obligaciones de la entidad financiera en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 el caso reclamado sino que indica que deberán ser los tribunales de justicia quienes lo dictaminen. 2. El 21 de enero de 2013 se recibe un escrito de un representante de BANKINTER SA y OBSIDIANA en respuesta a la solicitud de información remitida. Con el fin de aclarar algunas cuestiones planteadas en el escrito, el Subinspector actuante contactó telefónicamente con el Servicio de Asesoría Jurídica que representa tanto a BANKINTER como a OBSIDIANA y de la información proporcionada por ambos medios se desprende lo siguiente: 2.1. El denunciante y su mujer contrataron una cuenta corriente con BANKINTER el 21 de noviembre de 2005 y que fue dada de baja el 28 de diciembre de 2013. Aportan copia del contrato firmado por ambos cónyuges junto con las copias de sus DNIs. 2.2. El denunciante es titular de una tarjeta de crédito contratada por su mujer con OBSIDIANA el 9 de marzo de 2006 como tarjeta “Bankinter Capital One”. En el momento de la contratación, “Capital One” era una marca comercial de BANKINTER SA. Tiempo después esa línea de negocio dio lugar a una sociedad independiente, BANKINTER CONSUMER FINANCE, SA, cuyas tarjetas vinieron a denominarse como el nombre comercial de la entidad, OBSIDIANA. En el expediente E/06792/2013 se aporta copia de un contrato firmado el 9 de marzo de 2006 en el que la que la mujer del denunciante es la titular y el producto contratado una tarjeta de crédito “Bankinter Capital One”, así como fotocopia del DNI de la mujer del denunciante. Asociada a la tarjeta de crédito se solicitó y remitió un nuevo plástico (tarjeta física) asociada al denunciante, que es la que fue sustraída tal y como se describe en los antecedentes. Tanto la tarjeta sustraída al denunciante como la de su mujer realizaban sus cargos sobre la cuenta corriente descrita en el punto 2.1 de la que son titulares el denunciante y su mujer. 2.3. El escrito de reclamación mencionado en el punto
9. a)de los antecedentes fue contestado por BANKINTER el 1 de diciembre de 2010 informando al denunciante de lo siguiente: 2.3.1.Para poder hacer uso de la tarjeta sustraída es necesario, además de estar en posesión de ésta, conocer el número secreto asociado a la misma. 2.3.2.El reglamento de tarjetas de la entidad que el denunciante firmó establece que es responsabilidad del titular de la tarjeta mantener secreto el número de identificación personal que se le haya asignado. 2.3.3.Por todo ello, la entidad únicamente es responsable de las disposiciones fraudulentas realizadas después de haber recibido el aviso de pérdida o robo de la tarjeta. 2.4. La entidad aporta copia de un escrito del Defensor del cliente dirigido al denunciante en el que, en respuesta a una reclamación interpuesta por el denunciante, se manifiesta que en los registros de la entidad consta la activación de la tarjeta sustraída en un cajero automático de la Banca March en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Manacor a las 14:57 horas del día 28 de noviembre de 2010 junto con una primera extracción de 300 euros y una segunda disposición de 300 euros ese mismo día a las 15:40 horas. Tanto la activación como las disposiciones se produjeron antes del periodo de tiempo en el que la propia denunciante afirma que se produjo la sustracción de la tarjeta y por lo tanto ésta debía de encontrarse en su poder. Indica el escrito asimismo que a las 00:00 horas y a las 00:06 horas del día 29 se produjeron otras dos disposiciones de 300 euros cada una, ambas con anterioridad a la denuncia de los hechos por parte del denunciante y el bloqueo de la tarjeta, que éste solicitó ese mismo día a las 10:41. El Defensor del Cliente de BANKINTER estima que el retraso en comunicar el robo favoreció que terceras personas pudieran efectuar las disposiciones realizadas el 29 de noviembre de 2010 y confirma la idoneidad de la negativa de BANKINTER a hacerse cargo de dichas disposiciones. 2.5. La entidad aporta copia de un extracto de con los movimientos de las tarjetas del denunciante (terminada en 4493) y su mujer (terminada en 4212) entre los días 4 y 29 de noviembre de 2010 en el que se observan las múltiples disposiciones de 300 euros, y las comisiones asociadas a éstas, realizadas los días 28 y 29 de noviembre de 2010 y donde además constan dos pagos realizados con la tarjeta sustraída el día 21 de noviembre por importe de 4,55 euros. 2.6. Las disposiciones fueron cargados en la cuenta de la que el denunciante y su mujer eran titulares lo que produjo descubiertos en la misma y generó una deuda de 621,75 euros que fue inscrita en el fichero de solvencia patrimonial y crédito ASNEF el 13 de marzo de 2011. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
10. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se procede a examinar la reclamación de fecha 27/08/13 en donde el epigrafiado pone de manifiesto los siguientes “hechos” en orden a su adecuación a la LOPD. “Se ha anotado en el fichero Experian una deuda con la Entidad Bankinter de 639,75€ sin tener prueba acreditada de la misma. Según Resolución del Banco de España no soy responsable de esta deuda causada por el robo de la tarjeta Visa y de un uso fraudulento de la misma”—folio nº 1--. Los hechos expuestos podrían suponer, en su caso, la presunta comisión de una infracción del art. 4.3 Ley Orgánica 15/1999, de 13 de diciembre—LOPD--, según el cual:” Los datos de carácter personal serán exactos y puestos al día de forma que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 respondan con veracidad a la situación actual del afectado.”; tipificada como infracción grave en el art. 44.3
11. c)de la referida norma, en su redacción vigente en el momento de cometerse los hechos denunciados. Con fecha 08/01/14 se recibe en esta AEPD escrito de alegaciones de la Entidad denunciada—Bankinter—sobre los hechos objeto de denuncia, manifestando en Derecho lo siguiente: “Que se aporta copia del contrato de cuenta corriente suscrito con Bankinter S.A, a nombre de D. A.A.A. y Doña B.B.B., como titulares solidarios de la cuenta corriente finalizada en ******5”. “Asimismo se aporta como documento probatorio reconocimiento de la firma correspondiente a D. A.A.A. en el que se puede leer la siguiente clausula informativa: “Le informamos igualmente que en caso de que tenga usted una deuda cierta, vencida y exigible con el Banco cuyo pago sea requerido previamente, sin que haya sido satisfecha en el término previsto para ello, podrá comunicarse dicho impago a ficheros de información sobre solvencia patrimonial y crédito”. (*el subrayado pertenece a la AEPD). “En ella se puede comprobar que la deuda por importe actualizado de 621,75€ del Sr. Tuffers fue incluida en el citado fichero común de morosidad el 13/03/11, con fecha de primer vencimiento cuyo impago motivo la citada inclusión en fecha 02/12/10”. En concreto la cuestión se centra en la inclusión de los datos del afectado en los ficheros de solvencia patrimonial y crédito—Asnef y Badexcug—por una deuda inexistente. En fase de instrucción—ex art. 78 Ley 30/92, 26 de noviembre—se procede a examinar en Derecho la documentación aportada (Resolución del Servicio de Reclamaciones del Banco de España de fecha 15/06/11) en dónde en su Conclusión Segunda dispone: “No obstante, el Servicio estima que dadas las circunstancias que concurren en esta reclamación no puede pronunciarse sobre la existencia, o no, de negligencia grave del titular de la tarjeta en el cumplimiento de sus obligaciones, invocadas por la Entidad, debiendo los interesados someter esta cuestión, si así lo estiman oportuno, a conocimiento y resolución de los Tribunales de justicia”. (* el subrayado pertenece a la AEPD). Con relación a la reclamación frente al fichero de solvencia patrimonial y crédito —Experian (Badexcug)--. Los registros denominados coloquialmente de “morosidad” se encuentran regulados en el art. 29 de la LOPD—LO 15/99—y en el desarrollo reglamentario de dicha ley, en concreto en los arts. 37 a 44 del RD 1720/2007, 21 de diciembre (RLOPD) y tienen como finalidad reunir información sobre las personas que han tenido un impago (y que no han liquidado) o tienen alguna deuda pendiente. En este caso, el mismo responde en tiempo y forma a la solicitud de cancelación del afectado, en los siguientes términos: “…no podemos proceder a la cancelación de los datos por haber sido confirmados por la Entidad informante del mismo al fichero Badexcug”. Cabe señalar que en este supuesto, el acreedor, --Bankinter-- es el responsable de que los datos cumplan los requisitos de veracidad y exactitud que la LOPD establece, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 puesto que, como tal, es el único que tiene la posibilidad de incluir los datos de su deudor en el fichero de información sobre solvencia patrimonial y crédito y de instar la cancelación de los mismos cuando la deuda sea inexistente o haya sido saldada. Por tanto, no cabe apreciar vulneración alguna de la normativa vigente en materia de LOPD, por parte del fichero de solvencia patrimonial—Experian (Badexcug) – cuya responsabilidad se agota “tomando las medidas oportunas para trasladar la solicitud a la Entidad que haya facilitado los datos”- art. 44.3.1 RLOPD--. En cuanto a la Entidad-BANKINTER--la cuestión de fondo se centra en “la sustracción de la tarjeta de crédito VISA Obsidiana” y las cantidades cargadas en la cuenta corriente del afectado con la misma. El art. 32 de la Ley 16/2009, de Servicios de Pago, Responsabilidad del ordenante en caso de operaciones de pago no autorizadas. “1. No obstante lo dispuesto en el artículo 31, el ordenante soportará, hasta un máximo de 150 euros, las pérdidas derivadas de operaciones de pago no autorizadas resultantes de la utilización de un instrumento de pago extraviado o sustraído.”. A mayor abundamiento, aporta como documento probatorio—prueba documental— Resolución del Defensor del Cliente de fecha 24/01/11 “…este Defensor entiende que la negativa de Bankinter a atender su reclamación no contraviene las buenas prácticas y usos bancarios, por lo que el titular de la tarjeta deberá asumir íntegramente el importe defraudado”. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propia posiciones. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). Por tanto, una vez analizadas las argumentaciones de las partes, cabe señalar que esta Agencia sólo se pronunciará en el marco de la LOPD; de manera que dada la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 existencia de una “deuda cierta, vencida y exigible” que en el momento actual no consta como reclamada, se ha procedido a inscribir la misma en los denominados ficheros de solvencia patrimonial y crédito. Con relación a los mismos “hechos” la cuestión fue objeto de examen pormenorizado por el Servicio de Reclamaciones del Banco de España, de tal manera que se comparte el criterio expuesto por dicho organismo estatal, puesto que de lo contrario nos encontraríamos ante la situación de que unos mismos “hechos” existirían o no según el distinto criterio valorativo del órgano administrativo que los analizara. En concreto, como se recoge en el punto segundo “Conclusión” de la Resolución del Banco de España de fecha 15/06/11 “El Servicio estima que dadas las circunstancias que concurren en esta reclamación, no puede pronunciarse sobre la existencia o no, de negligencia grave del titular de la tarjeta en el cumplimiento de sus obligaciones, invocada por la Entidad, debiendo los interesados someter esta cuestión, si así lo estimasen oportuno, a conocimiento y resolución de los Tribunales de Justicia”. La inclusión de los datos del afectado en los ficheros de solvencia patrimonial responde a la existencia de una “deuda reclamada” por la Entidad Bankinter: movimientos bancarios anotados antes de la sustracción de la tarjeta de crédito; sin que conste aportado documento alguno que cuestione la cuantía de la misma y por ende, la exclusión con carácter cautelar de las anotaciones en los denominados ficheros de morosidad. La Sentencia de la Audiencia Nacional de 30 de mayo de 2012 interpreta el artículo 38 del RLOPD, en el sentido de que no resultaría una deuda cierta desde el momento en que se presentara la reclamación ante órganos habilitados para dictar resoluciones vinculantes sobre su procedencia o no (en su caso, Junta Arbitral u órgano judicial) y tal hecho se pusiera en conocimiento del acreedor para que procediera a la exclusión cautelar del fichero común de solvencia patrimonial y crédito. La determinación de la legitimidad de una deuda basada en la interpretación del contrato suscrito o de su cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. El denunciante puede reparar el hecho de que sus datos personales se encuentren incluidos en ficheros comunes de solvencia patrimonial y crédito activando la vía reparadora comentada y comunicar al acreedor la presentación de la correspondiente reclamación. Para comprobar la exclusión, podrá ejercer posteriormente el derecho de acceso, pudiendo poner en conocimiento de la Agencia la permanencia, a pesar de la reclamación y comunicación de la misma al acreedor. De acuerdo con lo argumentado, cabe concluir que no se aprecia vulneración alguna en materia de LOPD, motivo por el que procede ordenar el ARCHIVO del presente procedimiento; debiendo en su caso someter la cuestión de fondo a los órganos judiciales—civiles—con competencia material para determinar si le corresponde o no satisfacer la deuda reclamada por la Entidad denunciada—Bankinter--. Por lo tanto, de acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a las Entidad/es Bankinter SA., y a EXPERIAN Bureau de Crédito SA y a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es