E-06876-2015

1/8 Expediente Nº: E/06876/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO CETELEM, S.A., en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 13/08/2015 tuvo entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante), en el que expone que EUROCRÉDITO EFC, S.A., le reclama mediante llamadas telefónicas y por correo postal el pago de una deuda sobre la que dice “no tener contrato” y le ha enviado documentación con los datos personales de un tercero a quien no conoce. EUROCRÉDITO EFC, S.A., fue absorbida por BANCO CETELEM, S.A., en virtud de un acuerdo elevado a escritura pública el 30/10/2015 e inscrito en el Registro Mercantil el 04/11/

1. Por tal razón, si bien la denuncia se dirige contra EUROCRÉDITO EFC, S.A., es la sociedad absorbente, BANCO CETELEM, S.A., quien tiene la condición de denunciada (en adelante, CETELEM o la denunciada) Se adjuntan a la denuncia, entre otros, los siguientes documentos: Copia de LA carta que el denunciante envió el 13/05/2015, mediante burofax, al Departamento Contencioso de EUROCRÉDITO cuya entrega y recepción por la destinataria el 18/05/2015 acredita documentalmente. El denunciante manifiesta en su carta que contesta a otra anterior de la denunciada, de fecha 23/06/2014, relativa a dos contratos de préstamo identificados con las referencias ***REF.1 y ***REF.
2. Respecto al primero de los contratos, ***REF.1, el denunciante declara que nunca lo ha suscrito y añade que “como ustedes me indican, es titular Doña B.B.B. con DNI ***DNI.1”. A tal fin se remitió a EUROCRÉDITO con su carta un documento que recibió de la entidad anteriormente que contiene una relación de fechas de vencimiento, concepto, debe, haber y saldo referidos a la “titular” B.B.B., con DNI ***DNI.1, número de contrato ***REF.
3. Respecto al préstamo identificado con el número ***REF.2 manifiesta “No dispongo del mismo y desconozco los conceptos que se me están cobrando. Nunca se me ha enviado copia de las cláusulas”. Copia de la carta que EUROCRÉDITO, EFC, S.A., envió al denunciante con fecha 26/06/2015 y referencia ***REF.3, en la que constan sus datos personales (nombre, apellidos y domicilio) en la que le requieren el pago de una deuda y le ofrecen dos opciones para atender el pago pendiente. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Con fecha 30/11/2015 se solicita información a EUROCREDITO EFC, (en adelante Eurocrédito) y de la respuesta facilitada se desprende lo siguiente: El día 15 de diciembre responde Banco Cetelem, SA poniendo de manifiesto que con fecha 30/10/2015 se formalizó ante notario la fusión por absorción de Eurocrédito por Banco Cetelem, SA y solicitando una ampliación de plazo para dar respuesta a lo requerido el 30/11/
4. Con fecha 29/12/2015 se recibe la respuesta solicitada y donde adjuntan la siguiente documentación:
5. Impresión de pantalla con los datos personales que constan en sus sistemas asociados al denunciante y que coinciden con los aportados por el denunciante junto a su denuncia en lo referente a nombre, apellidos, DNI y dirección postal.
6. Copia de la carta que le remiten en noviembre de 2015 informando de que el nuevo acreedor de su deuda es Banco Cetelem así como certificado de empresa externa que acredita el envío de la carta.
7. Copia de extractos de movimientos contables en los que figuran la relación de vencimientos impagados, fecha de impago, importe de la deuda y situación actual de la misma. Uno de los extractos va asociado al número de contrato ***CONTRATO.1 y el otro al número ***CONTRATO.
9. Copia de los contratos firmados por el denunciante: a. El número ***REF.4 de fecha 7/12/2005, contrato de solicitud de tarjeta Credial Visa, con una línea de crédito inicial de 3000 euros y una mensualidad inicial de 99 euros. b. El número ***REF.5 de fecha 12/6/2006, contrato de préstamo mercantil con tarjeta Eurocrédito por importe de 1500 euros a pagar en 36 cuotas mensuales. c. El número ***REF.6 de fecha 27/10/2006, contrato de préstamo mercantil con tarjeta Eurocrédito por importe de 4000 euros a pagar en 30 cuotas mensuales. Manifiestan que debido a los impagos que mantenía el Sr. A.A.A. con los contratos suscritos en noviembre de 2008 se modificaron a petición expresa del cliente, las condiciones insertas en los contratos originales suscritos, para facilitar el pago de los mismos, cambiándose la numeración interna de cada contrato resultado: - El número ***REF.4 cambió a la numeración ***REF.
10. Manifiestan que el acuerdo se recogió en grabación telefónica. Aportan copia de la grabación. - El número ***REF.5 cambió a la numeración ***REF.
11. Manifiestan que el acuerdo se recogió en grabación telefónica. Aportan copia de la grabación. - El número ***REF.6 cambió a la numeración ***REF.
12. Manifiestan que el acuerdo se recogió en grabación telefónica. Aportan copia de la grabación.
13. Manifiestan que el número de contrato ***REF.1, no reconocido por el denunciante, corresponde al cambio interno el número del contrato firmado y aportado por Banco Cetelem, del contrato número ***REF.4 y cuyo cambio de numeración se produce al variar las condiciones para facilitar el pago del préstamo suscrito. Por tanto, se trata de un préstamo titularidad del reclamante C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 desde el 7/12/
15. Respecto del documento que aporta el denunciante donde consta el número de contrato de préstamo ***REF.1 a nombre de B.B.B. con DNI ***DNI.1, manifiestan que se trata de un documento con información relativa a los movimientos contables de un préstamo hasta una fecha determinada y que el banco envía a los clientes que lo solicitan y que por tanto, no es un documento que acredite la titularidad de un crédito. Adjuntan copia de un documento como el citado que se remitió al denunciante el 23/6/2014, con el extracto de cuenta relativa a la operación con número de referencia ***REF.
17. El banco manifiesta que entiende acreditado que el contrato ***REF.1 corresponde al Sr. A.A.A..
18. Respecto del documento aportado por el denunciante donde aparecen los datos del contrato del Sr. A.A.A. referidos a otro titular, manifiestan que desconocen el origen del mismo, ya que no consta como titular, ni en cualquier otro concepto de dicho contrato, los datos personales que constan en el mismo.>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II La cuestiones que el denunciante plantea en su escrito de denuncia son dos: Por una parte, que CETELEM le reclama una deuda respecto a la que “no tiene contrato” pese a haber solicitado a la denunciada que le hiciera entrega de una copia. Por otra, que CETELEM le ha remitido un documento con los datos personales (nombre, apellidos y NIF) de un tercero a quien no conoce. A. Respecto a la primera de las conductas que denuncia, hay que advertir con carácter previo que la AEPD carece de competencia para dirimir cuestiones civiles o mercantiles, tales como las relativas a la existencia o inexistencia de una deuda, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil. La determinación de la legitimidad de una deuda basada en una interpretación del contrato suscrito entre las partes y de su correcta cuantía deberá instarse ante los órganos administrativos o judiciales competentes, pues exceden del ámbito competencial de esta Agencia. Sobre esa premisa, y tomando en consideración que entre la documentación adjunta a la denuncia figura una carta de EUROCRÉDITO/CETELEM dirigida al denunciante, con fecha 26/06/2015 y referencia ***REF.1 mediante la que le reclama el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 pago de una deuda pendiente, la AEPD llevó a cabo las actuaciones de investigación encaminadas a verificar si el tratamiento de los datos personales del denunciante materializado en la citada carta era respetuoso con la normativa de protección de datos de carácter personal. La LOPD recoge en su artículo 6, bajo la rúbrica “Consentimiento del afectado”, el principio del consentimiento en el tratamiento de los datos de carácter personal y dispone: “
19. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.
20. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. Este precepto debe integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3 h) de la Ley Orgánica 15/1999: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. De acuerdo con las disposiciones transcritas el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la LOPD- cuando el tratamiento se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD), pues en tal caso el consentimiento otorgado por el contratante lleva implícito el consentimiento para el tratamiento de su datos personales en tanto son necesarios para su desenvolvimiento o ejecución. Pues bien, la denunciada ha informado a la AEPD que el denunciante suscribió con ella tres contratos de préstamo durante los años 2005 y 2006; que posteriormente, en noviembre de 2008, con ocasión de las modificaciones pactadas respecto a los tres contratos a solicitud del denunciante –modificaciones que consistieron en una reducción del tipo de interés aplicable- se cambió la numeración identificativa de cada uno de ellos, circunstancia sobre la que fue informado el cliente y actual denunciante en el curso de la conversación telefónica mantenida. A tal fin ha remitido a la AEPD una grabación de dicha conversación. La denunciada añade en su escrito de respuesta al requerimiento informativo de la Inspección de Datos que, puesto que en octubre de 2015 se produjo la fusión por absorción de EUROCRÉDITO por CETELEM, lo que implicó que esta última pasara a ser el nuevo acreedor, se cambió por segunda vez la numeración que identifica a cada uno de los contratos suscritos, extremo del que también se ha informado al denunciante, en este caso mediante la remisión de tres cartas a su nombre y dirección postal. Aporta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 documentos que acreditan dichos envíos a la dirección postal del denunciante. La denunciada ha remitido a la AEPD la copia de tres contratos de préstamo que están firmados por el denunciante y ha informado respecto a cada uno de los contratos cuál era la referencia por la que inicialmente se identificaban:
21. Contrato de Solicitud de Tarjeta Crédito Visa por un importe de 3000€, firmado el 07/12/
22. TAE 21,
23. La denunciada afirma que este contrato tenía asignada la referencia ***REF.
25. Contrato de Solicitud de Préstamo Mercantil con Tarjeta Euro Crédito por un importe de 1500€, firmado el 12/06/
26. TAE 27,
27. La denunciada afirma que este contrato tenía asignada la referencia ***REF.
29. Contrato de Solicitud de Préstamo Mercantil con Tarjeta Euro Crédito por un importe de 4000€, firmado el 27/10/
30. TAE 22,
31. La denunciada afirma que este contrato tenía asignada la referencia ***REF.
32. La denunciada ha explicado en el escrito informativo que dirigió a la Inspección de la AEPD que en noviembre de 2008 acordó con el denunciante modificar las condiciones de los préstamos en lo relativo al tipo de interés aplicable, refinanciando la deuda pendiente. A propósito de ello detalla cuál fue el importe total refinanciado para cada uno de los préstamos, cuál la nueva TAE aplicable, el número de mensualidades en las que se ha de satisfacer cada una de las deudas y el importe de las mensualidades a abonar. Añadió que con este motivo se modificó la referencia de cada uno de los tres préstamos en los siguientes términos: El préstamo identificado con la referencia ***REF.4 pasó a tener la referencia ***REF.
33. El préstamos identificado con la referencia ***REF.5 pasó a identificarse con el número ***REF.
34. Y el préstamo identificado con el número ***REF.6 pasó a tener la referencia ***REF.
35. Por tanto, se concluye de la exposición precedente que el tratamiento que EUROCRÉDITO hizo de los datos personales del denunciante al haberle enviado una carta de requerimiento de pago fechada el 26/06/2015 con la referencia ***REF.1 – que es, por lo demás, el único tratamiento efectuado por la denunciada del que el denunciante ha aportado pruebas a este organismo- era legítimo y estaba amparado en el contrato que suscribió con ella el 07/12/
36. Esto es, el “Contrato de Solicitud de Tarjeta Crédito Visa por un importe de 3000€”, que inicialmente se identificó con la referencia ***REF.
37. Como se ha indicado, con arreglo al artículo 6.2 de la LOPD no será preciso recabar el consentimiento para tratar los datos personales cuando se refiera a las partes de un contrato y dicho tratamiento sea necesario para su desenvolvimiento o ejecución, circunstancia que efectivamente concurre en el supuesto que nos ocupa pues a través de la carta de 26/06/2015 EUROCRÉDITO (actualmente CETELEM) persigue que el denunciante, deudor suyo, atienda las obligaciones derivadas del contrato que había celebrado con ella. B. El denunciante ha manifestado en su denuncia que EUROCRÉDITO le ha remitido un documento con los datos personales de un tercero a quien no conoce, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 B.B.B. con DNI ***DNI.
38. El documento en cuestión es una relación de vencimientos, con el detalle de los conceptos, debe, haber y saldo, relativos a un periodo de tiempo comprendido entre el 29/11/2008 y el 25/5/
39. Esta información, según el encabezamiento del documento, se correspondería con el “Contrato: ***REF.1”. También en el encabezamiento es donde constan los datos del tercero (B.B.B., DNI ***DNI.1) precedidos de la indicación “Titular” así como esta información: “Tin actual”, “9,00%” y “TAE actual”, “9,38%”. El artículo 10 de la LOPD, bajo la rúbrica “Deber de secreto” establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. Este precepto persigue salvaguardar el derecho de las personas a mantener la privacidad de sus datos de carácter personal y, en definitiva, el poder de control o disposición sobre ellos. Deber que implica que los datos personales no puedan ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley. La Audiencia Nacional ha entendido de manera reiterada que la infracción de este precepto es una “infracción de resultado” por lo que su comisión exige que los datos personales del afectado hayan sido efectivamente conocidos por un tercero que no esté legitimado sin que la revelación pueda presumirse. Así, en la SAN de 11/06/2009 ha indicado que “es una infracción de resultado que exige que los datos personales sobre los que exista un deber de secreto profesional –como aquí ocurre en relación con el número de la cuenta corriente- se hayan puesto de manifiesto a tercero, sin que pueda presumirse que tal revelación se ha producido .” (El subrayado es de la AEPD). La información y documentación que obra en el expediente fruto de la actuación llevada a cabo por la AEPD, impide apreciar en el presente caso una infracción del deber de secreto respecto a los datos personales de la señora B.B.B. que presuntamente EUROCRÉDITO habría revelado al denunciante. CETELEM, en respuesta al requerimiento informativo de la AEPD, declaró que desconocía el origen del documento que el denunciante ha aportado. Se añade a lo anterior que la denunciada ha facilitado a la AEPD una copia de la carta que envió al denunciante –a su antiguo domicilio postal de (C/........1)- fechada el 23/06/2014, en la consta la indicación “Contrato nº ***REF.1”. En la carta se dice que “De acuerdo a su solicitud, adjunto le remitimos extracto de su crédito”. Pues bien, el extracto que se acompaña a la carta son 7 páginas con el detalle de vencimientos, concepto, debe, haber y saldo, relativos a un periodo de tiempo que se inicia el 29/11/2008 y finaliza el 16/06/
40. Llama la atención que la primera página, que abarca los vencimientos habidos entre el 29/11/2008 y el 25/05/2009, es idéntica en cuanto a los vencimientos, concepto, debe, haber y saldo a la que el denunciante ha aportado. Sin embargo, los datos personales que aparecen en el encabezamiento del documento difieren en el que el denunciante adjuntó a su denuncia y el que CETELEM afirma haber enviado al denunciante. En el documento facilitado por CETELEM no figuran los datos del tercero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 sino los datos del denunciante, nombre, dos apellidos y NIF. En definitiva, estamos ante el mismo documento que el que el denunciante aportó con su escrito de denuncia, con la diferencia de que en el aportado por el denunciante no constan sus datos personales sino los del tercero. Resulta de lo expuesto que, en tanto el denunciante no ha acreditado ni aportado indicio razonable alguno del que se pueda inferir que el documento en cuestión, con los datos del tercero, le fue remitido por EUROCRÉDITO, no es posible concluir que la conducta objeto de la denuncia es constitutiva de una infracción del artículo 10 de la LOPD. En este orden de ideas debe tenerse en cuenta que en el Derecho Administrativo sancionador rige el principio de presunción de inocencia, reconocido en el artículo 24.2 de la Constitución Española, que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “
41. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Habida cuenta de que no existen en la conducta que se somete a la valoración de este organismo indicios de vulneración de la normativa de protección de datos de carácter personal, se procede al archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
42. PROCEDER AL ARCHIVO de las presentes actuaciones.
43. NOTIFICAR la presente Resolución a BANCO CETELEM, S.A., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es