E-07106-2021

1/6  Expediente N.º: E/07106/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: El 11/03//2021 tuvo entrada en esta Agencia escrito presentado por FACUA, en representación de D. A.A.A. (en adelante, la parte reclamante). La reclamación se dirige contra RCI BANQUE, S.A. SUCURSAL EN ESPAÑA con NIF W0014596A (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la recepción de llamadas de teléfono y mensajes de texto, reclamándole una deuda pendiente de pago con la entidad reclamada relativa a la financiación de un vehículo; financiación que el reclamante desconoce, al no mantener relación jurídica alguna con la reclamada. Acompaña reclamación dirigida al reclamado de 25/08/2020 informando del acoso telefónico que sufre en su línea móvil ***TELÉFONO.1 relativa a una deuda de financiación de un vehículo que desconoce tener, solicitando supresión de sus datos personales y la respuesta del reclamado de 09/09/2020, en la que le informan que el reclamante no consta como cliente de la entidad. SEGUNDO: El 15/04/2021, tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se apreciaron indicios racionales de la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, por lo que, de acuerdo con lo previsto en el artículo 65.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, dictándose resolución por la Directora de la Agencia Española de Protección de Datos, acordando la inadmisión a trámite de la reclamación. La resolución le fue notificada al afectado en fecha 16 de Abril de 2021, TERCERO: El 13/05/2021 el afectado presento recurso de reposición contra la resolución recaída, registrado en la Agencia en la misma fecha, mostrando su disconformidad con la misma, argumentando básicamente los mismos hechos que en su reclamación inicial y adjuntando fotografías de un teléfono móvil, en las que se muestran sendos SMS de la entidad reclamada, de fechas posteriores a la fecha en que se presentó la reclamación: 31 de marzo y 19 de abril de 2021, respectivamente. CUARTO: El 16/06/2021, una vez realizadas las comprobaciones oportunas tras la documentación aportada con posterioridad a la resolución de inadmisión a trámite de la reclamación inicial presentada, se resuelve estimar el recurso de reposición interpuesto contra la resolución dictada el 15/04/

1. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Los representantes de la entidad manifiestan que tras consultar sus sistemas de información han comprobado que no consta información o documentación alguna relativa al reclamante en tanto que no es, ni ha sido, cliente de esta Entidad. Sin embargo, el número de teléfono del reclamante figura en los sistemas de la entidad asociado al contrato de préstamo ***CONTRATO.1 formalizado con TRANSPORTES DAVID GALDON, S.L., con CIF 823713712, el 04/11/2015 y finalizado el 05/11/
2. Este número de teléfono fue facilitado directamente por el apoderado de la persona jurídica titular del contrato de préstamo, a través de su Espacio Cliente, en el transcurso de la relación comercial el 17/07/
3. Este Espacio está disponible en la web de RCI BANQUE para que sus clientes puedan realizar, previo registro, determinadas gestiones y consultas sobre los contratos que mantienen vigentes con la Entidad. A través de dicho Espacio Cliente, los clientes, previamente registrados, tienen la posibilidad de modificar en el apartado "Mi perfil" determinados datos, entre ellos, el número de teléfono de contacto vinculado a su contrato. En este caso, el Cliente del contrato de préstamo anteriormente referido, modificó a través de esta funcionalidad, un dato de teléfono preexistente (segundo teléfono de contacto), introduciendo el número ***TELÉFONO.
4. En el registro inicial al Espacio Cliente, el Cliente debe proporcionar su DNI/ClF, email, teléfono y fecha de nacimiento. Estos datos se cotejan sistemáticamente con los recabados y verificados en el momento de la formalización del contrato de préstamo para garantizar su coincidencia, en caso de discordancia entre los datos facilitados en el Registro y aquellos obtenidos en el momento de la firma del contrato de préstamo, automáticamente se genera un "caso" que debe ser tratado manualmente por un agente, que analiza la idoneidad del cambio efectuado, no permitiendo al Cliente continuar con el Registro en el Espacio Cliente Una vez efectuado el registro inicial, el Cliente accede a su Espacio Cliente con su NIF/CIF y una contraseña personal, única e intransferible, creada por él mismo en el momento de Registro. En lo que a la modificación posterior de datos se refiere, RCI BANQUE tiene además implementado un bloqueo cautelar que imposibilita realizar cualquier modificación de datos, siempre que el Cliente cuente con más de dos impagos en el momento de efectuar dicha modificación, para evitar cambios fraudulentos que persigan impedir la acción de recobro de la deuda debida. En el presente caso, el Cliente, tras acceder con su Clave personal a su Espacio Cliente, modificó su segundo teléfono de contacto, introduciendo el número del afectado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 La sociedad titular del contrato de préstamo comenzó a no atender el pago de los recibos incumpliendo, por tanto, lo pactado en el contrato, y debiéndose efectuar por esta Entidad diversas gestiones encaminadas al recobro de la deuda, utilizando para ello los datos de contacto facilitados por el propio titular. En las notas disponibles en la agenda asociada al contrato, es posible apreciar que la Entidad trató de contactar por varias vías con el cliente, al número principal asociado al contrato, pero también, al número de teléfono del reclamante. Sin embargo, han constatado que ninguno de los contactos efectuados a ese número resultó fructuoso; el titular de la línea de telefonía nunca llegó a responder a ninguna de las llamadas o mensajes que le fueron remitidos con el objeto de recobrar la deuda Conforme recoge el "Manual gestor plataforma de recobro industrial", en caso de haberse detectado que el segundo número de teléfono facilitado por el Cliente en su Espacio Cliente no correspondía al titular del contrato, por manifestarlo así el titular de la línea, se hubiera cesado inmediatamente en su localización y se hubiera procedido al borrado del número en el sistema de gestión. No obstante, la RCI nunca logró establecer contacto con el Cliente al número de teléfono informado por éste correspondiente al denunciante, no pudiendo conocer en ningún momento que ese segundo teléfono proporcionado no correspondía al titular de la operación. RCI BANQUE no tiene constancia de que el titular de la línea telefónica se haya puesto en contacto con la Entidad, por ningún medio, para poner de manifiesto esta situación, o haya presentado reclamación alguna ante el servicio de Atención al Cliente de RCI BANQUE o dirigiéndose a cualquiera de los buzones habilitados; ***EMAIL.1 o ***EMAIL.
5. A raíz de las actuaciones de la Agencia Española de Protección de Datos RCI BANQUE ha procedido al borrado del número de teléfono del reclamante antes de contestar al requerimiento. Asimismo, RCI BANQUE va a analizar la implementación del filtro de seguridad consistente en el envío de un SMS al número de teléfono introducido para verificar los cambios que se produzcan en el Espacio Cliente, también para los casos de Cliente persona jurídica. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo disC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 puesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Actuaciones previas de investigación El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: “
6. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.
7. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” III Caducidad de las actuaciones previas de investigación En relación con las actuaciones previas, el Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, en su artículo 122.4 dispone que “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas”. A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas si, transcurridos más de doce meses contados desde la fecha de admisión a trámite de la reclamación, no se ha procedido a dictar y notificar el acuerdo de inicio de procedimiento sancionador. En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas E/07106/2021 se inició el día 13/06/2021, por lo que deben declararse caducadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 IV Prescripción de la infracción Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Al respecto la Audiencia Nacional considera (Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, dado que los hechos objeto de investigación no se encuentran prescritos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicie nuevas actuaciones de investigación. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones de investigación señaladas con el número E/07106/
8. SEGUNDO: ABRIR nuevas actuaciones de investigación con el número AI/00273/2022 e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas mediante el presente acto. TERCERO: NOTIFICAR la presente resolución a D. A.A.A. y a RCI BANQUE, S.A. SUCURSAL EN ESPAÑA, con NIF W0014596A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es