1/4 Expediente Nº: E/07855/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCOPOPULAR-E, S.A., en virtud de la denuncia presentada ante la misma por D. A.A.A., y en base a los siguientes: HECHOS PRIMERO: Con fecha 13 de noviembre de 2012 tuvo entrada en esta Agencia un escrito de D. A.A.A. (en adelante el denunciante) en el que manifestaba que la entidad BANCO POPULAR (por BANCOPOPULAR-E, S.A. y en adelante entidad denunciada o BANCO POPULAR), había realizado una consulta sobre su persona en el fichero BADEXCUG, añadiendo que dicha consulta había sido realizada sin que existiese justificación para ello, ya que afirmaba que ni era cliente ni había solicitado servicio alguno de la mencionada entidad. Junto con su escrito de denuncia aportaba copia de un informe de fecha 30 de octubre de 2012 del citado fichero de solvencia patrimonial y crédito EXPERIANBADEXCUG en el que constaba registrado que BANCO POPULAR había consultado su NIF en los últimos seis meses. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicitó información a las entidades más abajo reseñadas. De este modo, en el informe de actuaciones previas de investigación E/07855/2012 se detalla lo siguiente: <<Con fecha de 19/2/2013 se solicita información a BANCO POPULAR ESPAÑOL, S.A. recibiéndose respuesta en fecha de 5/3/2013 en la que la entidad señala lo siguiente: 1.1. BANCO POPULAR ESPAÑOL ha accedido a los datos de D. A.A.A. con NIF B.B.B. en el marco de un estudio de análisis de riesgos como consecuencia de una solicitud de emisión de tarjeta VISA HALCÓN VIAJES ORO que realizó dicha persona en fecha 8/6/2012. 1.2. Como prueba de lo anterior aportan copia del formulario de solicitud de dicha tarjeta de crédito que incluye los datos D. A.A.A., así como fotocopia de su DNI recabada junto con el formulario de solicitud>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En cuanto al tratamiento de datos de carácter personal, el artículo 6.1 y 2 de la LOPD dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan (…) cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia NÚM. 292/2000, de 30 de noviembre, “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Asimismo, hay que indicar que el artículo 42 del Reglamento de Desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, “Acceso a la información contenida en el fichero”, en el capítulo dedicado a los ficheros de morosidad, determina que: “1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
- a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
- b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4
- c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
- b)y
- c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. En el presente caso ha quedado acreditado en el expediente, y ello de acuerdo con la documentación aportada por BANCO POPULAR ESPAÑOL, S.A. a esta Agencia, como entidad apoderada de BANCOPOPULAR-E, S.A., que el denunciante en fecha 8 de junio de 2012 suscribió un formulario de solicitud de emisión de una tarjeta VISA HALCÓN VIAJES ORO, en el que se incluían consignados sus datos personales, aportando una fotocopia de su DNI, recabada junto con dicho formulario de solicitud. Una tarjeta emitida por un banco del GRUPO BANCO POPULAR, en concreto la entidad citada, según consta reflejado en dicho documento. Y en el marco del estudio de análisis de riesgos como consecuencia de dicha solicitud/contrato, se llevó a cabo la consulta en cuestión al fichero BADEXCUG, tal como se informaba en la cláusula 8, aceptado por el denunciante, en concreto, “Condiciones Particulares del Contrato de Tarjeta Visa Halcón Viajes”. Por lo tanto, hay que considerar que BANCOPOPULAR-E, S.A. realizó un tratamiento de datos personales del denunciante de acuerdo con la normativa sobre protección de datos personales que ha quedado más arriba detallada. De todo lo anteriormente expuesto y de acuerdo con lo dispuesto en el apartado 2 del artículo 11 del Reglamento del Procedimiento para el ejercicio de la potestad sancionadora aprobada por Real Decreto 1398/1993 de 4 de agosto y el artículo 126 del RLOPD, procede no iniciar procedimiento sancionador y archivar el expediente de actuaciones previas de investigación en relación con la entidad BANCOPOPULAR-E, S.A., no así en relación con las otras entidades objeto de su denuncia y de esas actuaciones previas de investigación relativas a dichas otras entidades. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones, en relación con la entidad BANCOPOPULAR-E, S.A. 2. NOTIFICAR la presente Resolución a BANCOPOPULAR-E, S.A. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es