1/7 Expediente Nº: E/07028/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAJA RURAL DE ARAGÓN, S.C.C., en virtud de denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 28/11/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que CAJA RURAL DE ARAGÓN, S.C.C., (en lo sucesivo, BANTIERRA o la denunciada) ha comunicado sus datos personales a un fichero de solvencia patrimonial sin haber realizado previamente el preceptivo requerimiento de pago de la deuda. Anexa a la denuncia los siguientes documentos: Copia del DNI. Copia de una carta recibida de EXPERIAN BUREAU DE CRÉDITO, S.A., que tiene fecha de 14/11/2017, mediante la que le comunica que sus datos personales (NIF, nombre y dos apellidos) se han incorporado al fichero BADEXCUG, informados por “CAJA RURAL DE ARAGÓN, S.C.C.”, con fecha de alta 12 de noviembre de 2017, asociados al impago de una deuda de 555,07 euros, relativa a un préstamo personal. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones previas de investigación para el esclarecimiento de los hechos denunciados ante la entidad CAJA RURAL DE ARAGÓN, S.C.C., BANTIERRA, teniendo conocimiento de los siguientes extremos: La denunciada responde al requerimiento informativo de la Inspección de Datos en escrito de fecha 10/01/2018, con entrada en el registro de la AEPD el 11/01/2018. De su respuesta resultan acreditados los siguientes extremos: 1. El domicilio que consta en los ficheros de la denunciada asociado al denunciante es calle E.E.E., número B.B.B.. Este domicilio coindice con el que figura en la copia del DNI del denunciante -que nos remite con su denuncia- y también con el que consta en el escrito de denuncia. A tal fin, BANTIERRA aporta una impresión de pantalla de sus registros informáticos con los datos del denunciante, entre ellos el domicilio mencionado. 2. La denunciada remitió al denunciante una carta fechada el 25/10/2017, en la que le requiere el pago de una deuda por importe de 739,98 euros, le concede un plazo de 10 días para atender el pago y le advierte de que en caso de no proceder al pago sus datos podrán ser incluidos en ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 La carta se remitió a su domicilio a través del gestor postal UNIPOST el 25/10/2017. La carta no consta devuelta. 3. BANTERRRA aporta los siguientes documentos: a. Copia del contrato suscrito con EXPERIAN BUREAU DE CRÉDITO, S.A., (EXPERIAN) el 03/12/2010, cuyo objeto es, entre otros, realizar el envío de las notificaciones de requerimiento previo de pago, en los términos que el contrato detalla, y la gestión de devoluciones de las notificaciones precitadas. b. Copia de la carta que se remitió al denunciante (descrita en el punto 2) que lleva la referencia ***COD.1. c. Certificado expedido por el representante legal de EXPERIAN que da fe de los siguientes extremos: -Que el 25/10/2017 se envió al titular del NIF D.D.D. un requerimiento previo de pago que se encontraba incorporado a un fichero que fue recibido por esa entidad el día 23/10/2017 y fue procesado (fecha de carga) el 24/10/2017. - Que EXPERIAN tiene subcontratados los servicios de terceras empresas –CTI Tecnología y Gestión, S.A, e Impre-Laser, S.L.- con el consentimiento de su cliente, BANTIERRA, y que las notificaciones se envían a través del gestor postal UNIPOST. -Que cada requerimiento previo de pago que estas empresas imprimen y envían tiene un número secuencial único que permite identificar el envío. El requerimiento de pago dirigido al denunciante lleva el código P ***COD.1. La explicación del referido código es la siguiente: *La P es común a todas las claves * Los cinco dígitos siguientes son la clave con la que EXPERIAN identifica a la entidad, en este caso 03191 corresponde a BANTIERRA. * Los seis dígitos siguientes - 000049- son un número secuencial de cada una de las notificaciones de cada una de las cargas, para cada entidad y para cada fecha, que se asigna consecutivamente por el proveedor de la impresión. * Los ochos dígitos siguientes indican la fecha en la que se emite la notificación de acuerdo con el siguiente formato: AAAAMMDD. En este caso el 20171025 corresponde al 25/10/2017. d. Se aporta un certificado expedido por Impre-Laser, S.L., acreditativo de la impresión de un total de 28.253 cartas de requerimiento previo de pago correspondientes a la carga de 24/10/2017. Que en dicha carga los requerimientos correspondientes a BANTIERRA -entidad identificada con el código ***COD.1- son 2.282, desde la referencia P ******COD.2 a la P ***COD.3. Se evidencia de lo anterior que la carta a la que se refiere el requerimiento enviado al denunciante ( ***COD.1) estaba comprendida entre los números inicial y final. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 e. Se aporta copia de un certificado expedido por CTI TECNOLOGÍA Y GESTIÓN, S.A., acreditativo del envío a través de UNIPOST de 28.253 requerimientos previos de pago correspondientes a la carga del 24/10/2017. Estos requerimientos enviados coinciden con los impresos por IMPRE-LASER, S.L. f. Se aporta copia del certificado de UNIPOST que acredita que, en concepto de requerimiento previo de pago de la carga de 24/10/2017, se enviaron un total de 28.253 requerimientos. g. EXPERIAN, en su condición de prestadora del servicio de gestión de cartas devueltas de notificaciones de inclusión, declara que a fecha de 22/12/2017 no se tiene constancia de que el requerimiento previo de pago dirigido al denunciante, identificado con la referencia ***COD.1, hubiera sido devuelto. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 4 de la LOPD se ocupa del principio de “calidad de los datos” y en su apartado 3 hacer referencia a una de sus manifestaciones -el principio de exactitud o veracidad-, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29.4 de la LOPD, bajo la rúbrica “Prestación de servicios de información sobre solvencia patrimonial y crédito”, indica que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 actual de aquellos”. El artículo 38.1 del RLOPD, con el propósito de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto dispone: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…) a Existencia de una deuda cierta, vencida y exigible que haya resultado impagada. b (…) c Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Paralelamente, los artículos 38.3 y 39 del RLOPD establecen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. El artículo 43.1 del RLOPD añade que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El criterio seguido de manera reiterada por la Audiencia Nacional, Sala de lo Contencioso Administrativo, sobre el alcance de la obligación que impone al responsable de un fichero el artículo 4.3 de la LOPD, en relación con el 29.4 de la misma norma y en relación también con el artículo 38.1 del RLOPD, sobre cumplimiento o incumplimiento de obligaciones dinerarias es que aquél deberá estar en condiciones de acreditar que ha practicado el requerimiento previo de pago al deudor utilizando para ello un medio que deje constancia efectiva de haberlo efectuado y que tal requerimiento ha sido recibido por su destinatario. La Audiencia Nacional, en Sentencia de 24/01/2003, precisó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) IV Los hechos que se someten a la valoración de la AEPD son la inclusión de los datos del denunciante en el fichero de morosidad BADEXCUG, informados por BANTIERRA, sin que la entidad, supuestamente, hubiera efectuado con carácter previo a tal comunicación, el preceptivo requerimiento de pago de la deuda. Está acreditado en el expediente que BANTIERRA comunicó al fichero BADEXCUG los datos personales del denunciante vinculados a una deuda por importe de 555,07 euros derivada de un préstamo personal con fecha de alta 12/11/2017. Obra en el expediente, aportada por el denunciante, ña copia de la carta que recibió de EXPERIAN BUREAU DE CRÉDITO, S.L., en la que en cumplimiento de la obligación que le impone el artículo 40 del RLOPD le informa de esos extremos. A tenor de la documentación que la Inspección de Datos de la AEPD recabó de BANTIERRA se pone de manifiesto que esta entidad sí hizo el preceptivo requerimiento de pago al denunciante previo a la inclusión de sus datos en el fichero de solvencia patrimonial. La denunciada hizo el requerimiento de pago a través de una empresa externa, EXPERIAN BUREAU DE CRÉDITO, S.A., (EXPERIAN), con la que suscribió un contrato en fecha 03/12/2010, cuyo objeto, entre otros, era realizar el envío de las notificaciones de requerimiento previo de pago en los términos que el contrato detalla y la gestión de devoluciones de las notificaciones precitadas. Obra en el expediente una copia del documento contractual. BANTIERRA ha facilitado a esta Agencia los documentos que permiten seguir la trazabilidad de la carta de requerimiento enviada al denunciante, identificada con la referencia ***COD.1. A esos efectos ha aportado los siguientes certificados:
- a)Certificado expedido por EXPERIAN en el que hace constar: - Que en relación al NIF D.D.D., del que es titular el denunciante, el 23/10/2017 recibió de BANTERRA el fichero de requerimientos de pago que fue procesado (fecha de carga) el 24/10/2017 y depositado en el gestor postal el 25/10/2017. - Que la impresión y envío de notificaciones de requerimientos previos de pago está subcontratada con la empresa CTI TECNOLOGÍA Y GESTIÓN, S.A.,/ IMPRELASER, S.L., y que las notificaciones se envían a través de UNIPOST, todo ello con el consentimiento de BANTIERRA. - Que cada envío que estas empresas efectúan tiene un número secuencial único que permite identificarlo; número que figura en el código de barras que aparece C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 en el reverso del documento. La carta enviada al denunciante lleva el código ***COD.1. A tenor de las explicaciones ofrecidas sobre la formación de este número resulta que los dígitos ***COD.1 son la clave con la que EXPERIAN identifica al cliente BANTIERRA y que los ocho últimos dígitos son la fecha en la que se emitió la notificación de acuerdo con el formato AAAAMMDD, por lo que la carta dirigida al denunciante se generó el 25/10/2017. El número secuencial único asignado a la notificación dirigida al denunciante correspondiente a la carga de la fecha indicada y para la entidad BANTIERRA es el 000049.
- b)Certificado expedido por IMPRELASER, S.L., en el que hace constar: - Que el 24/10/2017 se imprimieron un total de 28.253 cartas de requerimientos previos de pago procedentes de EXPERIAN. Que en dicha carga correspondían a BANTIERRA 2.282 requerimientos, desde la referencia P ******COD.2 a la P ***COD.3, por lo que entre ambas referencias se encontraba la correspondiente a la notificación del denunciante: ***COD.1.
- c)Documento de CTI Tecnología y Gestión, S.L., acreditativo del envío a través de UNIPOST en fecha 25/10/2017 de 28.253 requerimientos previos de pago correspondientes a la carga del 24/10/2017. Estos requerimientos enviados coinciden con los impresos por IMPRE-LASER, S.L. Finalmente, respecto a la eventual devolución de la carta de requerimiento enviada al denunciante, señalar que entre las prestaciones asumidas por EXPERIAN en virtud del contrato suscrito con BANTIERRA se contempla expresamente, el Servicio de Gestión de devoluciones de requerimientos previos de pago y que EXPERIAN ha certificado que a fecha 22/12/2017 no tiene constancia de que la citada carta hubiera sido devuelta. Así las cosas, a la luz de la documentación que obra en el expediente y de la exposición precedente, se concluye que no existe en la actuación de BANTIERRA que se somete a la consideración de esta Agencia indicios de infracción de la normativa de protección de datos de carácter personal, debiendo por ello acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a CAJA RURAL DE ARAGÓN, S.C.C., y a D. A.A.A.N. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD) y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es