1/7 Expediente Nº: E/07056/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ZEUS PORTFOLIO INVESTMENT 1, S.L., en virtud de la denuncia presentada por D. D.D.D. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 09/12/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. D.D.D. (en lo sucesivo el denunciante) en el que manifiesta que la empresa “ZEUS PORTFOLIO INVES” - ZEUS PORTFOLIO INVESTMENT 1, S.L.,- (en adelante, ZEUS o la denunciada) le ha incluido en el fichero de solvencia patrimonial ASNEF sin haberle requerido previamente el pago de la deuda. Anexa a la denuncia la copia un documento a través del cual EQUIFAX IBÉRICA, S.L., en respuesta al derecho de acceso ejercido, le informa de que sus datos personales -nombre, dos apellidos y NIF- figuran incluidos en el fichero ASNEF a fecha 05/12/2017 siendo la entidad informante “ZEUS PORTFOLIO INVES”, por un saldo impagado de 5.403,26 euros, por un producto de pólizas de crédito y en calidad de avalista. La “Fecha de Visualización” de la anotación es el 03/11/2017. El domicilio asociado al denunciante que obra en poder de EQUIFAX IBÉRICA,S.L., facilitado por la entidad informante, es “ (C/...1)”. SEGUNDO: La AEPD requirió al denunciante el 18/12/2017 para que aportarse documentación adicional que permitiera analizar los hechos sobre los que versa la denuncia y su adecuación a la normativa de protección de datos. En fecha 05/01/2018 el denunciante responde al requerimiento y presenta un nuevo escrito en el que dice que “la deuda ya se inscribió en el 2013, y por la cual la AGPD sancionó a la entidad original por falta grave”. Añade que “la dirección F.F.F. y G.G.G. son la misma”. Adjunta, entre otros, los documentos siguientes: - - Póliza intervenida notarialmente (número 483 de fecha 26/10/2012) de un contrato de crédito con afianzamiento. El préstamo se otorgó por la entidad CAIXABANK, S.A., (La Caixa) a la mercantil MASTER ARONA CADENA E1, S.L.U., con CIF B38920112, en calidad de prestataria. Intervienen en el acto como fiadores, en nombre y por cuenta propios, el denunciante, D. D.D.D., con tarjeta de residente H.H.H. y D.ª E.E.E., con NIF I.I.I.. Además, el denunciante interviene como representante de MASTER ARONA CADENA E1, S.L.U., de quien es administrador único, entidad que tiene su domicilio en calle C.C.C.. Escrito con el anagrama de EQUIFAX que ofrece la información que en fecha 20/12/2017 consta en el fichero ASNEF asociada a su identificador, H.H.H., C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 informada por ZEUS PORTFOLIO INVES: una deuda impagada de 5.403,26 euros, por un producto de pólizas de crédito, en calidad de avalista, siendo la fecha de alta y la fecha de visualización el 03/11/2017. En fecha 26/04/2018 se incorpora al expediente que nos ocupa, E/07056/2017, una copia de la denuncia que D. D.D.D. interpuso ante esta Agencia varios años antes, en fecha 04/07/2014, dirigida frente a Caja Siete, Caja Rural Cooperativa de Crédito. Tal denuncia, que dio lugar a la tramitación del expediente E/5267/2014, incluía como documento anexo un escrito con el anagrama de EQUIFAX que ofrecía información sobre las incidencias que en fecha 27/06/2014 existían en el fichero ASNEF asociadas al identificador del denunciante. Entre ellas figura una informada por “CAIXABANK”, por un producto de póliza de crédito y en calidad de avalista siendo la fecha de alta de la incidencia el 19/03/2013. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 4 de la LOPD versa sobre el principio de “calidad de los datos” y en su apartado 3 se refiere a una de sus manifestaciones, el principio de exactitud o veracidad, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29.4 de la LOPD, bajo la rúbrica “Prestación de servicios de información sobre solvencia patrimonial y crédito”, indica que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 actual de aquellos”. El artículo 38.1 del RLOPD, con el propósito de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto dispone: “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. Paralelamente, los artículos 38.3 y 39 del RLOPD establecen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
- c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. El artículo 43.1 del RLOPD añade que “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
- c)LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” IV La denuncia que examinamos atribuye a ZEUS la comisión de una infracción de la LOPD concretada en haber omitido el preceptivo requerimiento de pago de la deuda previo a la inclusión de sus datos personales en un fichero de solvencia patrimonial. Constan acreditados los siguientes extremos con relevancia a efectos de determinar la existencia de una eventual vulneración de la LOPD. a. En el fichero ASNEF figuran los datos personales del denunciante -nombre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 dos apellidos, NIE y un domicilio sito en (C/...1)- con fecha de alta 03/11/2017, fecha que es también la de visualización de la incidencia, siendo la entidad informante “ZEUS PORTFOLIO INVES”. b. La deuda comunicada a ASNEF, asociada al identificador del denunciante, procede, según el fichero de solvencia, de una póliza de crédito en la que el denunciante fue avalista. c. El denunciante ha remitido a la AEPD copia del contrato del que deriva la deuda que figura en ASNEF informada por ZEUS. Una póliza intervenida notarialmente relativa a un préstamo de fecha 26/10/2012 otorgado por CAIXABANK,S.A., a favor de la mercantil MASTER ARONA CADENA E1, S.L.U., como prestataria, interviniendo el denunciante en nombre propio en calidad de avalista. d. El denunciante ha manifestado expresamente en el escrito que remitió a esta Agencia el 05/01/2018 que “Asimismo, la deuda ya se inscribió en el 2013…” e. El denunciante, con toda seguridad, era conocedor en fecha 04/07/2014 -fecha en la que tuvo entrada en el Registro de la AEPD una denuncia presentada por él frente a Caja Siete, Caja Rural Cooperativa de Crédito- que CAIXABANK, S.A., había informado a ASNEF sus datos personales asociados a la deuda derivada del impago de la póliza de crédito en la que intervino como avalista con fecha 19/03/2013. Así lo evidencia la documentación anexa a la denuncia que el actual denunciante presentó en la AEPD el 04/07/2014: Un documento de EQUIFAX que reflejaba todas las incidencias informadas a ASNEF asociadas a su identificador y entre las que existía una comunicada por CAIXABANK, con fecha de alta 19/03/2013, por un producto de pólizas de crédito, en calidad de avalista. V A. Llegados a este punto es obligado referirse a la doctrina recientemente seguida por la Audiencia Nacional, Sala de lo Contencioso Administrativo, respecto al requerimiento previo de pago que está obligado a realizar el acreedor que informa datos personales de un tercero a un fichero de solvencia y que es condición indispensable para que la comunicación de datos a un fichero de esa naturaleza sea ajustada a Derecho (ex artículo 38.1.c, del RLOPD) En Sentencia de 28/11/2017 (Rec. 357/2016) la Sala de lo Contencioso Administrativo de la Audiencia Nacional concluye que, en caso de cesión de un crédito que figure incluido en un fichero de solvencia patrimonial previamente, antes de la cesión, la comunicación de la deuda al fichero de solvencia efectuada por la entidad cesionaria del crédito no constituye una nueva inclusión. La SAN apoya su decisión en el Informe 449/2013 del Gabinete Jurídico de la AEPD en el cual se da respuesta a una consulta acerca de si, en la hipótesis de cesión de una cartera de deuda, el responsable de un fichero de solvencia está o no obligado a efectuar una nueva notificación al deudor en los términos del artículo 29.2 LOPD. La contestación de la AEPD en su Informe es negativa aduciendo que no se produce en esos casos una nueva inclusión en el fichero en los términos del artículo 29.2 LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 La SAN argumenta que, habida cuenta de que en el supuesto de hecho planteado en el recurso contencioso no se discutía la existencia y certeza de la deuda, no se produjo a raíz de la cesión de la deuda que previamente figuró inscrita en el fichero de solvencia “una inclusión en el sentido del artículo 29.2 de la LOPD”. Esa afirmación obliga a conectar la conducta sometida a la valoración de la Sala de la Audiencia Nacional con el principio de tipicidad y a concluir a continuación que la conducta enjuiciada no era subsumible en el tipo infractor del artículo 44.3.
- c)LOPD decidiendo por consiguiente la estimación del recurso en vía contenciosa y anulando la resolución sancionadora dictada por la AEPD. B. Partiendo de esa premisa, toda vez que, en el presente caso, consta acreditado que la deuda que figura en ASNEF asociada a los datos personales del denunciante con fecha de alta 03/11/2017, comunicada por ZEUS, es la misma deuda por la que el denunciante había sido incluido en el año 2013 por CAIXABANK -deuda derivada de un préstamo del que el denunciante era avalista-, y estando igualmente acreditado que esa deuda fue cedida por la entidad prestamista, CAIXABANK, a la entidad cesionaria, ZEUS, se deber concluir, extrapolando el razonamiento de la Audiencia Nacional en su Sentencia de 28/11/2017, que en el asunto que nos ocupa no se produjo una nueva inclusión de datos del denunciante en ASNEF. Así pues, la comunicación de datos a ASNEF efectuada por la cesionaria del crédito, ZEUS, es la misma que previamente había efectuado la acreedora original y cedente de la deuda, CAIXABANK. En definitiva, estaríamos ante la misma “inclusión, en el sentido del artículo 29.2” LOPD, de forma tal que la denunciada, ZEUS, no vendría obligada a practicar el requerimiento previo de pago pues ya lo efectuó en su día CAIXABANK. Así las cosas, la omisión por ZEUS del requerimiento previo de pago del artículo 38.1.
- c)RLOPD que constituye el objeto de la denuncia que nos ocupa no vulnera la normativa de protección de datos ni es subsumible en el tipo sancionador del artículo 44.3.
- c)LOPD. Esto, porque como ya se ha señalado, no existió una nueva inclusión en el fichero común y la exigencia del artículo 38.1.
- c)RLOPD se ve cumplida con el requerimiento de pago que en su día efectuó la entidad cesionaria del crédito, en este caso particular CAIXABANK. C. Finalmente se ha de indicar que es cierto que no obra en el expediente la documentación que acredite que CAIXABANK cumplió en su día la obligación de requerir al denunciante el pago de la deuda con carácter previo a la inclusión de sus datos en ASNEF, tal y como exige el artículo 38.1.c, RLOPD. Alta en ASNEF que tuvo lugar el 19/03/2013 ante el impago de una deuda en la que el denunciante tenía la condición de avalista y que posteriormente CAIXABANK cedió a ZEUS. Sin embargo, a los efectos que nos ocupan, es irrelevante que no obre en poder de esta Agencia documentación acreditativa de ese extremo. La razón que explica tal afirmación es que, en la hipótesis de que CAIXABANK no hubiera requerido de pago al deudor, actual denunciante, antes de incluir sus datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 en ASNEF el 19/03/2013, la eventual infracción en la que habría incurrido estaría prescrita. Por una parte, como anteriormente se ha indicado, en un supuesto como el que analizamos, en el que la deuda inicialmente incluida en el fichero de morosidad por CAIXABANK fue cedida y además la cesionaria continúa manteniendo la incidencia en el fichero, no ha existido una nueva inclusión en el fichero de morosidad. Por otra, hemos de traer a colación el criterio fijado por la SAN de 03/11/2011 (Rec. 611/2010) sobre cuál es el término inicial del cómputo del plazo de prescripción de la infracción del artículo 44.3.
- c)LOPD en aquellos supuestos en los que esa infracción deriva de haber omitido el preceptivo requerimiento de pago previo a la inclusión de datos de terceros en un fichero de morosidad. La SAN citada, en su Fundamento Jurídico Tercero, dice que la infracción del principio de calidad del dato, concretado en la inclusión de datos exactos en el fichero de morosos sin haber realizado previamente el requerimiento de pago al deudor “(…) priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. (….) (….) Y dado que la irregularidad consiste, en este caso, en no haber puesto en conocimiento del deudor que la deuda se iba a inscribir en el fichero de solvencia patrimonial, esta cesa en el momento en el que conste que el deudor tiene conocimiento de que la deuda ha sido inscrita en el fichero de morosos, pues a partir de ese momento tiene conocimiento de la situación y tiene la posibilidad de hacer frente a la misma para evitar el mantenimiento de la inscripción en el fichero, y, por tanto, desde ese momento la infracción deja de producirse y comienza el cómputo del plazo de prescripción”. (El subrayado de la AEPD) Así las cosas, ante un eventual incumplimiento por CAIXABANK de la obligación impuesta por el artículo 38.1.
- c)RLOPD, el término inicial para el cómputo del plazo de prescripción de la infracción – plazo que es de dos años (ex artículo 47 LOPD)- se situaría, como muy tarde, el 04/07/2014. Como se indicó más arriba puede afirmarse con seguridad que en esa fecha el denunciante tenía perfecto conocimiento de que sus datos habían sido comunicados a ASNEF por CAIXABANK por impago de la deuda derivada del préstamo en el que él tenía la condición de avalista pues es entonces (el 04/07/2014) cuando entra en la AEPD una denuncia interpuesta por el actual denunciante frente a otra entidad financiera y anexa a ella un escrito de EQUIFAX que le informa de las incidencias asociadas a sus datos personales que a fecha 27/06/2014 constan el fichero ASNEF, entre ellas la comunicada por CAIXABANK con fecha de alta 19/03/2013. En consecuencia, de haber incumplido CAIXABANK el artículo 4.3 LOPD en relación con el artículo 38.1.c, del RLOPD, infracción tipificada en el artículo 44.3.
- c)LOPD, tal infracción habría prescrito, como muy tarde, el 04/07/2016. Esto significa que con anterioridad a la fecha en la que entró en la AEPD la presente denuncia (el 09/12/2017), exactamente más de un año antes, la presunta infracción de la normativa de protección de datos sobre la que versa estaría prescrita. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente Resolución a ZEUS PORTFOLIO INVESTMENT 1, S.L., con NIF ***NIF.1y a D. D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es