E-06792-2013

1/6 Expediente Nº: E/06792/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la(

1. s)entidad(
2. es)BANKINTER CONSUMER FINANCE, S.A., Bankinter SA., EQUIFAX IBERICA, S.L. en virtud de denuncia presentada por Doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 27 de agosto de 2013 tienen entrada en esta Agencia dos escritos de Doña A.A.A., en adelante la denunciante, en el que manifiesta que se han incluido sus datos en los ficheros de solvencia patrimonial ASNEF y BADEXCUG sin que se tenga acreditada la deuda por lo que la han incluido y que una resolución del Banco de España establece que no es responsable de esa deuda causada por el robo de una tarjeta VISA y su uso fraudulento. Los escritos de denuncia adjuntan la siguiente documentación:
3. a)Copia de un escrito dirigido a OBSIDIANA, nombre comercial de BANKINTER CONSUMER FINANCE, S.A., informando del robo de una tarjeta VISA propiedad del marido de la denunciante, B.B.B., ocurrido el 28 de noviembre de 2010.
4. b)Resolución del Banco de España de 15 de junio de 2011 en relación con el uso fraudulenta de la tarjeta robada.
5. c)Escrito de 27 de agosto de 2012 remitido por el responsable del fichero BADEXCUG resolviendo desestimar la solicitud de cancelación de datos realizada por la denunciante al haber sido los datos confirmados por la entidad informante.
6. d)Respuesta de 2 de agosto de 2012 a la solicitud de cancelación remitida por la denunciante por la que el responsable del fichero ASNEF cancela los datos cautelarmente los datos de la denunciante incluidos en dicho fichero.
7. e)Notificación de inclusión de los datos de la denunciante en el fichero ASNEF el 14 de agosto de 2012 por una deuda informada por BANKINTER SA. En respuesta a la solicitud de subsanación remitida por esta Agencia, la denunciante aporta copias de las denuncias presentadas ante la policía nacional el 29 de noviembre de 2010 y el 11 de febrero de 2011 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. El 29 de noviembre de 2010, la denunciante interpuso una denuncia ante la policía nacional en la que se describía el robo de una cartera que contenía, entre otros objetos, una tarjeta VISA OBSIDIANA con número ***CCC.1 y que ocurrió el día 28 de noviembre de 2010 entre las 17:30 y los 18:30 horas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 En dicho escrito la denunciante manifiesta que en la tarjeta, que no estaba activada por haberla recibido por correo ordinario, figuraba un número de teléfono para activarla. En una ampliación de la anterior denuncia realizada el 11 de febrero de 2011 la denunciante manifiesta ante la policía que al llamar el 29 de noviembre de 2010 para dar de baja la tarjeta de crédito de OBSIDIANA el personal de la entidad le informó de que su tarjeta había sido activada el día anterior y que hasta el momento se habían realizado cuatro extracciones por un importe total de 1.200 euros a pesar de que él no había autorizado dichas extracciones. 2. En la reclamación interpuesta ante el Banco de España por la denunciante contra BANKINTER CONSUMER FINANCE, S.A., en adelante OBSIDIANA, ésta manifiesta que la tarjeta que le fue sustraída había sido recibida por correo recientemente y no se encontraba activa por lo que no es responsable del uso fraudulento que se le haya podido dar a la misma. OBSIDIANA mantiene que la activación de la tarjeta únicamente es posible si se dispone del PIN (número secreto) que debía de encontrarse junto con la tarjeta sustraída y que fue debido a esa negligencia por parte de la denunciante por la que se pudieron hacer los reintegros en efectivo. El Banco de España estima que OBSIDIANA quebrantó las buenas prácticas al no haber entregado a su cliente ni al servicio de reclamaciones del propio Banco de España los registros de las operaciones cuya autoría está en tela de juicio, pero no se pronuncia sobre el incumplimiento de las obligaciones de la entidad financiera en el caso reclamado sino que indica que deberán ser los tribunales de justicia quienes lo dictaminen. 3. El 21 de enero de 2013 se recibe un escrito de un representante de BANKINTER SA y OBSIDIANA en respuesta a la solicitud de información remitida. Con el fin de aclarar algunas cuestiones planteadas en el escrito, el Subinspector actuante contactó telefónicamente con el Servicio de Asesoría Jurídica que representa tanto a BANKINTER como a OBSIDIANA y de la información proporcionada por ambos medios se desprende lo siguiente: 3.1. La denunciante y su marido contrataron una cuenta corriente con BANKINTER el 21 de noviembre de 2005 y que fue dada de baja el 28 de diciembre de 2013. Aportan copia del contrato firmado por ambos cónyuges junto con las copias de los DNI de los firmantes. 3.2. La denunciante es titular de una tarjeta de crédito contratada por con OBSIDIANA el 9 de marzo de 2006 como tarjeta “Bankinter Capital One”. En el momento de la contratación, “Capital One” era una marca comercial de BANKINTER SA. Tiempo después esa línea de negocio dio lugar a una sociedad independiente, BANKINTER CONSUMER FINANCE, SA, cuyas tarjetas vinieron a denominarse como el nombre comercial de la entidad, OBSIDIANA. Aportan copia de un contrato firmado el 9 de marzo de 2006 en la que la denunciante es la titular y el producto contratado una tarjeta de crédito “Bankinter Capital One”, así como fotocopia del DNI de la denunciante. Asociada a la tarjeta de crédito de la denunciante se solicitó y remitió un nuevo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 plástico (tarjeta física) asociada al marido, que es la que fue sustraída tal y como se describe en el punto 1. Ambas tarjetas de crédito realizaban sus cargos sobre la cuenta corriente descrita en el punto 3.1 de la que son titulares la denunciante y su marido. 3.3. El escrito de reclamación mencionado en el punto 1 fue contestado por BANKINTER el 1 de diciembre de 2010 informando a la denunciante de lo siguiente: 3.3.1.Para poder hacer uso de la tarjeta sustraída es necesario, además de estar en posesión de ésta, conocer el número secreto asociado a la misma. 3.3.2.El reglamento de tarjetas de la entidad que la denunciante firmó establece que es responsabilidad del titular de la tarjeta mantener secreto el número de identificación personal que se le haya asignado. 3.3.3.Por todo ello, la entidad únicamente es responsable de las disposiciones fraudulentas realizadas después de haber recibido el aviso de pérdida o robo de la tarjeta. 3.4. La entidad aporta copia de un escrito del Defensor del cliente dirigido al marido de la denunciante en el que, en respuesta a una reclamación interpuesta por la denunciante, se manifiesta que en los registros de la entidad consta la activación de la tarjeta sustraída en un cajero automático de la Banca March en Manacor a las 14:57 horas del día 28 de noviembre de 2010 junto con una primera extracción de 300 euros y una segunda disposición de 300 euros ese mismo día a las 15:40 horas. Tanto la activación como las disposiciones se produjeron antes del periodo de tiempo en el que la propia denunciante afirma que se produjo la sustracción de la tarjeta y por lo tanto ésta debía de encontrarse en su poder. Indica el escrito asimismo que a las 00:00 horas y a las 00:06 horas del día 29 se produjeron otras dos disposiciones de 300 euros cada una, ambas con anterioridad a la denuncia de los hechos por parte del marido de la denunciante y el bloqueo de la tarjeta, que el marido de la denunciante solicitó ese mismo día a las 10:41. El Defensor del Cliente de BANKINTER estima que el retraso en comunicar el robo favoreció que terceras personas pudieran efectuar las disposiciones realizadas el 29 de noviembre de 2010 y confirma la idoneidad de la negativa de BANKINTER a hacerse cargo de dichas disposiciones. 3.5. La entidad aporta copia de un extracto de con los movimientos de las tarjetas de la denunciante (terminada en 4212) y su marido (terminada en 4493) entre los días 4 y 29 de noviembre de 2010 en el que se observan las múltiples disposiciones de 300 euros, y las comisiones asociadas a éstas, realizadas los días 28 y 29 de noviembre de 2010 y donde además constan dos pagos con la tarjeta sustraída el día 21 de noviembre por importe de 4,55 euros. 3.6. Las disposiciones fueron cargados en la cuenta de la que la denunciante y su marido eran titulares lo que produjo descubiertos en la misma y generó una deuda de 621,75 euros que fue inscrita en el fichero de solvencia patrimonial y crédito ASNEF el 13 de marzo de 2011. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
8. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta AEPD—27/08/13—en dónde se pone de manifiesto los siguientes hechos en orden a su adecuación a la LOPD. “Se ha anotado en ficheros de solvencia patrimonial y crédito una deuda con la Entidad Bankinter de 621,75€ sin tener prueba acreditada de la misma. Según resolución del Banco de España no soy responsable de esta deuda causada por el robo de la tarjeta Visa y de un uso fraudulento de la misma”—folio nº 1---. Los hechos expuestos podrían suponer, en su caso, la presunta comisión de una infracción del art. 4.3 Ley Orgánica 15/1999, de 13 de diciembre—LOPD--, según el cual:” Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado.”; tipificada como infracción grave en el art. 44.3
9. c)de la referida norma, en su redacción vigente en el momento de cometerse los hechos denunciados. En concreto la cuestión se centra en la inclusión de los datos del afectado en los ficheros de solvencia patrimonial y crédito—Asnef y Badexcug—por una deuda inexistente. En fase de instrucción—ex art. 78 Ley 30/92, 26 de noviembre—se procede a examinar en Derecho la documentación aportada (Resolución del Servicio de Reclamaciones del Banco de España de fecha 15/06/11) en dónde en su Conclusión Segunda dispone: “No obstante, el Servicio estima que dadas las circunstancias que concurren en esta reclamación no puede pronunciarse sobre la existencia, o no, de negligencia grave del titular de la tarjeta en el cumplimiento de sus obligaciones, invocadas por la Entidad, debiendo los interesados someter esta cuestión, si así lo estiman oportuno, a conocimiento y resolución de los Tribunales de justicia”. (* el subrayado pertenece a la AEPD). Por parte de esta AEPD, se requiere a la Entidad acreedora—Bankinter—para que se manifieste sobre la inclusión de los datos del afectado en los denominados “ficheros de morosidad”, manifestando en fecha 21/01/14 lo siguiente: “Se acompaña copia del contrato de la tarjeta suscrita por Dª A.A.A.el 09/03/2006 junto con las condiciones generales de las tarjetas de crédito y copia del DNI válido hasta el 28/05/2008”. La cuestión queda acotada al señalar que se le reclama “deuda cierta” por la utilización y cargo al nº de c/c del afectado con anterioridad al robo y utilización fraudulenta por parte de un tercero. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Por ello según las alegaciones de la Entidad—Bankinter—“el titular de la tarjeta debe asumir íntegramente el importe defraudado y que Bankinter en su negativa a la reclamación presentada por la denunciante, no contraviene las buenas prácticas y usos bancarios”. Tras analizar toda la documentación presentada y las alegaciones en Derecho de las partes, esta AEPD sólo puede pronunciarse en el marco de la protección de datos— LOPD--, no siendo competente para entrar a enjuiciar cuestiones de índole civil: como la exactitud de la deuda o la responsabilidad de una u otra parte; cuestiones que deberán ser sometidas a los tribunales de justicia del orden jurisdiccional civil. La inclusión de los datos del afectado en los ficheros de solvencia patrimonial responde a la existencia de una “deuda reclamada” por la Entidad Bankinter: movimientos bancarios anotados antes de la sustracción de la tarjeta de crédito; sin que conste aportado documento alguno que cuestione la cuantía de la misma y por ende, la exclusión con carácter cautelar de las anotaciones en los denominados ficheros de morosidad. La Sentencia de la Audiencia Nacional de 30 de mayo de 2012 interpreta el artículo 38 del RLOPD, en el sentido de que no resultaría una deuda cierta desde el momento en que se presentara la reclamación ante órganos habilitados para dictar resoluciones vinculantes sobre su procedencia o no (en su caso, Junta Arbitral u órgano judicial) y tal hecho se pusiera en conocimiento del acreedor para que procediera a la exclusión cautelar del fichero común de solvencia patrimonial y crédito. La determinación de la legitimidad de una deuda basada en la interpretación del contrato suscrito o de su cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. El denunciante puede reparar el hecho de que sus datos personales se encuentren incluidos en ficheros comunes de solvencia patrimonial y crédito activando la vía reparadora comentada y comunicar al acreedor la presentación de la correspondiente reclamación. Para comprobar la exclusión, podrá ejercer posteriormente el derecho de acceso, pudiendo poner en conocimiento de la Agencia la permanencia, a pesar de la reclamación y comunicación de la misma al acreedor. A mayor abundamiento en las condiciones generales de la tarjeta de crédito Capital One-Bankinter—firmada por el titular de los datos se contiene: “Clausula 20. Fuero. Para cuantas cuestiones se susciten en relación con el uso de la Tarjeta será juez competente el del domicilio del consumidor”. Por tanto de conformidad con lo expuesto, no cabe apreciar vulneración de la normativa en materia de LOPD, puesto que la inclusión de los datos en los ficheros de solvencia patrimonial responde a una deuda bajo apariencia de legitimidad, siendo los Tribunales de Justicia los que deberán determinar si los cargos efectuados antes de la sustracción de la tarjeta deben ser abonados por el afectado, así como, el grado de responsabilidad del mismo de conformidad con las condiciones generales de la tarjeta contratada, motivo por el que esta AEPD procede a ordenar el ARCHIVO del presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la Entidad CONSUMER FINANCE, S.A., y a Doña A.A.A.. BANKINTER De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es