E-07879-2012

1/7 Expediente Nº: E/07879/2012 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CELERIS SERVICIOS FINANCIEROS, S.A. EFC, y EXPERIAN BUREAU DE CREDITO, S.A., en virtud de denuncia presentada por Doña E.E.E., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de noviembre de 2012, tuvo entrada en esta Agencia un escrito remitido por Doña E.E.E., en el que declara que ha sido incluida en la base de datos BADEXCUG sin ser notificada, y sin indicarle, al ponerse en contacto con EXPERIAN BUREAU DE CREDITO, SA, el nombre de la financiera que ha incluido sus datos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Esta Inspección de Datos ha solicitado a la denunciante copia de la contestación que le fue emitida por EXPERIAN BUREAU DE CREDITO, SA, (en adelante EXPERIAN) y, una vez examinada, se verifica que en ella se indica que se procede a la cancelación de la incidencia asociada a su identificador J.J.J., así como que la entidad informante fue “CELERIS”. 2. Se ha verificado mediante requerimiento de información realizado a EXPERIAN BUREAU DE CREDITO, S.A., que los datos de G.G.G., con identificador J.J.J. fueron informados por CELERIS en el fichero BADEXCUG, siendo la fecha de alta 06/09/2009 y baja 15/11/2012. Según consta en el expediente asociado a la denunciante, obrante en la entidad EXPERIAN, la baja se produjo como consecuencia de un derecho de acceso, no de cancelación, ejercitado por la denunciante. La fecha que consta en la solicitud de acceso es el 09/11/2012, siendo la contestación al mismo la ya comentada de fecha 15/11/2012 en la que se comunica la cancelación de la incidencia asociada al identificador J.J.J.. Los representantes de la entidad han manifestado que al detectar un posible error en el identificador, el ejercicio de derecho de acceso se consideró como un derecho de cancelación de datos, y dieron de baja la incidencia. 3. Realizado un requerimiento de información a CELERIS SERVICIOS FINANCIEROS, SA EFC (en adelante CELERIS) se verifica que la incidencia incluida en BADEXCUG tiene su origen en una contratación de financiación para la compra de un electrodoméstico, realizada por una tercera persona de nombre G.G.G., utilizando para la contratación el mismo identificador NIE de la denunciante. La inclusión en BADEXCUG se realizó a nombre de esta tercera persona, pero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 con el identificador J.J.J. perteneciente a la denunciante según copia del NIE aportado a esta Inspección. CELERIS ha aportado copia del contrato de financiación suscrito en el que consta el NIE J.J.J.. Se ha solicitado a la entidad copia de la documentación adjunta al contrato de financiación que acredite la identidad del contratante, que en su caso fuera aportada por el mismo en el momento de la firma, ante lo cual la entidad ha aportado:  copia del NIE de G.G.G.,, con identificador J.J.J..  copia de recibo de nómina de G.G.G.,en el que se aprecia que consta como NIF J.J.J..  copia de libreta de ahorros de BANCAJA, constando también en ella como identificación del titular “ J.J.J.”. 4. CELERIS ha acreditado la remisión del requerimiento de pago previo a la inclusión en el fichero BADEXCUG, realizada mediante tercera empresa independiente, TELEMAIL, S.L., que se encarga de las labores de impresión, personalización y manipulado de envío, aportando impresión de pantalla de los datos incluidos en la carta de requerimiento remitida así como certificado de TELEMAIL, S.L., haciendo constar la remisión del requerimiento y sus datos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4 de la LOPD bajo la rúbrica “Calidad de los datos”, dispone: “3. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 establece en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Estos preceptos deben integrarse con la definición legal de “dato personal” y “tratamiento de datos” que ofrecen, respectivamente, los artículos 3,
2. a)y 3,
3. c)de la LOPD: “cualquier información concerniente a personas físicas identificadas o identificables”, “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/1999 de 13 de diciembre de Protección de Datos de Carácter Personal (RLOPD), se ocupa en el capítulo I del Título IV de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en su artículo 38 bajo la rúbrica “Requisitos para la inclusión de los datos”: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
5. b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto sin aquélla fuera de vencimiento periódico.
6. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación.”. III La disposición del artículo 4.3 de la LOPD implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. A su vez, el artículo 38.1 del RLOPD determina las condiciones a las que se supedita la comunicación de datos personales de un tercero a un fichero de solvencia patrimonial y crédito para que ésta sea conforme a Derecho, requisitos que son una manifestación del principio de calidad de los datos. En el supuesto que nos ocupa se trata de enjuiciar si la inclusión del dato del identificador de la denunciante en el fichero denominado Asnef a instancias de la entidad Celeris incumplió la normativa de protección de datos. En este sentido, hay que señalar que esta Agencia ha sancionado supuestos similares pero la Audiencia Nacional ha estimado algunos de los recursos interpuestos por las entidades denunciadas que han justificado su actuación de idéntica forma que la entidad denunciada. Así la Sentencia de la Audiencia Nacional de fecha 10 de febrero de 2011, Recurso 541/2009 indica en sus Fundamentos de Derecho lo siguiente: “La actividad desplegada por la empresa encargada de contratar el alta de las líneas telefónicas y determinar si, en la responsabilidad que a ella le incumbía, se utilizó la debida diligencia y adoptó las medidas necesarias para asegurarse de la identidad de la persona que estaba prestando el consentimiento para suscribir el contrato. Tal y como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 afirma la resolución administrativa impugnada, TEABLA actuaba como encargado del tratamiento a tenor del artículo 3.
7. g)de la LOPD y en el contrato aportado en el expediente sancionador entre TEABLA y TME de fecha 1/11/1999 (Folios 135 a 171) se constata como estipulaciones que “…el distribuidor deberá inexcusablemente verificar los datos de identificación personal del cliente y, en su caso, los del firmante, con los documentos originales”; “El distribuidor se responsabiliza de los perjuicios que pueda sufrir TSM (hoy TME) por fraude, siempre que la veracidad de la documentación presentada por el cliente y admitida por el distribuidor hubiera debido ser comprobada de la forma antes expresada”. En el supuesto que nos ocupa ha quedado demostrado que el contrato de alta en las líneas de teléfono se realizó por un tercero que suplantó la identidad de la denunciante, utilizando el DNI de esta última a la que se lo había previamente sustraído. Es por ello que se trataron los datos personales del verdadero titular del DNI, pero este resultado no puede por sí mismo y al margen de cualquier otra circunstancia, determinar una responsabilidad del encargado por el tratamiento indebido de los datos. No se trata de enjuiciar el resultado sino la diligencia utilizada por el empleado que suscribió el contrato, a los efectos de identificar al cliente cuyos datos trataba. A tal efecto, obra en las actuaciones la declaración testifical de la empleada que suscribió el contrato, en la que se afirma que al tiempo de suscribir los contratos comprobó la identidad de la cliente con el DNI que le mostraba y que asimismo comprobó la existencia de cuenta bancaria a su nombre, y que la impostora simuló una firma parecida a la que constaba en el documento de identificación. Estas afirmaciones aparecen corroboradas por los hechos probados contenidos en la sentencia del juzgado de lo penal nº 2 de Barakaldo en la que se condenó a D.D.D. como autora de una falta de hurto y un delito continuado de falsedad en documento mercantil y una falta de estafa. En dicha sentencia se declara probado que D.D.D. “hallándose en la plaza Botxo de la localidad de Barakaldo y, guiada por el ánimo de ilícito enriquecimiento, se apoderó de un bolso conteniendo 230 euros, un DNI y diversas tarjetas y documentación y un teléfono móvil, marca Nokia, pertenecientes todos ellos a A.A.A. C.C.C. En hora no determinada del día 12 de diciembre de 2006, guiada por el ánimo de ilícito enriquecimiento, la acusada se dirigió a la sucursal del banco BBVA sita en la calle (C/.................1) de la localidad de Barkaldo y mostrando el DNI previamente sustraído, abrió una cuenta a la vista a nombre de B.B.B., estampando su firma. En fecha no determinada, la acusada, guiada por el mismo ánimo de ilícito enriquecimiento, concertó a nombre de A.A.A. dos contratos de telefonía móvil con la compañía Movistar telefónica domiciliando el pago de las facturas correspondientes a los números de teléfono F.F.F. en la cuenta bancaria en el BBVA.. Entre los días 12 a 17 de diciembre la acusada efectuó llamadas y mensajes con los citados números de teléfono móvil por importe de 276 euros…..”. Los hechos probados de la sentencia corroboran lo afirmado por la declaración testifical de la empleada, lo que permite concluir que esta intentó cerciorarse de la identidad de la persona con la que contrataba pidiendo que exhibiera su DNI y una cuenta bancaria a su nombre en donde poder domiciliar las facturas, y tras exhibir estos documentos y comprobar que figuraban a nombre de la misma persona no sospechó que se trataba de personas diferentes y que dicha documentación había sido sustraída de su verdadero titular. Lo cierto es que, al menos en lo relativo a la conducta desplegada por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 empleado de la entidad recurrente, no es exigible una diligencia superior a la utilizada para el tratamiento de datos personales, pues existía un aparente consentimiento expreso del que aparecía como titular y la impostora utilizó medios de engaño suficientes para inducirla a pensar que estaba contratando con la titular del DNI que se le exhibía, sin que en estas circunstancias pueda apreciarse una falta de diligencia o culpa que haga responsable del tratamiento inconsentido de datos, pues siempre que se hayan adoptado las precauciones proporcionales y exigibles en el tratamiento de los datos personales de terceros no es posible establecer una responsabilidad objetiva en los supuestos en los que se simula fraudulentamente la identidad de un tercero. Y en este caso ha de concluirse que el empleado, y por ende la entidad recurrente de la que este dependía, adoptaron las medidas de seguridad que le resultaban exigibles para intentar asegurarse de que la identidad del sujeto, y no es exigible convertirles en peritos calígrafos al tiempo de constatar la autenticidad de una firma. La intervención fraudulenta y perfectamente planificada de un tercero, que ha resultado plenamente acreditada, demuestran a la postre que existió un engaño que indujo al empleado a entender que la persona con la que contrataba era la misma que la que aparecía en el documento de identidad y que, por tanto, estaba prestando su consentimiento expreso al tratamiento de sus datos personales para la prestación del servicio de telefonía móvil. Poco importa en este caso, que el empleado no incorporara al contrato fotocopia del DNI utilizado, pues un vez constatado que pidió su exhibición y que intentó cerciorarse de su identidad con los medios a su alcance, la aportación de dicha fotocopia no hubiera impedido que el engaño se consumase. Es por ello que en este supuesto no se aprecia culpa alguna en la conducta desplegada por la entidad recurrente, a diferencia del juicio que en otras sentencias anteriores, en relación con este mismo hechos, han merecido las conductas desplegadas por Telefónica Móviles (sentencia de 17 de diciembre de 2010 rec. 573/2009) o la desplegada por BBVA (sentencia de 7 de octubre de 2010, rec. 565/2009). Por todo ello procede anular la sanción impuesta la entidad recurrente en este procedimiento. En el mismo sentido e incidiendo en el requerimiento de pago, la Sentencia de la Audiencia Nacional de 22 de marzo de 2012, recurso 9/2009, señala lo siguiente: “Por lo que se refiere a la infracción del principio de calidad de datos, del artículo 4.3 en relación con el artículo 29.4 de la LOPD, razona la misma SAN 29-10-2009 (Rec. 797/2008), lo siguiente: (…) no puede tampoco desconectarse de las especiales circunstancias concurrentes y que han sido puestas de relieve con anterioridad para eximir de responsabilidad a la recurrente. (…)En el caso de autos, se ha constatado efectivamente que el denunciante no mantenía ninguna deuda con la entidad recurrente y por lo tanto que eran inexactos los datos informados a los ficheros Asnef y Badexcug en relación con la deuda a él atribuida. Sin embargo como ya se ha dicho al examinar la vulneración del principio del consentimiento, dicha deuda existía y era exacta en relación con la persona que se hizo pasar por el denunciante e hizo un uso fraudulento de su identidad, identificándose como tal con el DNI que exhibió. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 En cuanto al requisito del “Requerimiento previo del pago a quien corresponda, en su caso, el cumplimiento de la obligación”, exigido por la norma primera 1, apartado
8. b)de la Instrucción 1/1995, de la APD, se reitera en iguales términos en el artículo 38.1.
9. c)del Real Decreto 1720/2007 por el que se aprueba el Reglamento de desarrollo de la LOPD. Requerimiento de pago previo a la inclusión de la deuda en los ficheros de morosidad que se remitió al domicilio que constaba en el comprobante de compra, en la c/ Leiva 22 Barcelona, el facilitado por la persona que efectuó dicha operación y responsable de su cumplimiento. Domicilio al que también remitió Asnef la notificación de las dos anotaciones realizadas figurando como devuelta, una de ellas, la de 13 de marzo de 2004, no la anterior de febrero de 2004. Por eso resulta lógico que el denunciante cuya personalidad fue suplantada y que residía en Lanzarote, no llegara a tener conocimiento de dicho requerimiento. Es más, de haberse hecho gestiones en La Caixa en la que se encontraba abierta la cuenta asociada a la tarjeta utilizada para abonar la compra en el establecimiento Lamas Bolaño Subastas SA, el resultado hubiera sido el mismo, pues allí también constaba un domicilio de Barcelona, como manifestó el Sr. I.I.I. en su escrito de denuncia. Es decir cuando dichos datos se informaron a los ficheros Asnef y Badexcug nada hacía sospechar que la deuda informada no correspondía a esa persona que se había identificado con los datos del denunciante cuya personalidad usurpó. Por todo lo cual, conforme a lo argumentado respecto de la infracción de vulneración del principio del consentimiento, no cabe tampoco respecto de esta infracción apreciar culpabilidad en la actuación de la entidad recurrente, que actuó en la creencia errónea de que la deuda que trató en sus ficheros y comunicó a los ficheros de solvencia patrimonial y crédito, era atribuible a la persona que efectuó la compra y obligada al pago aplazado, que se identificó documentalmente con el nombre, apellidos y DNI del denunciante, cuya identidad suplantó.” En consecuencia, no se aprecia infracción a la normativa de protección de datos ya que Celeris tiene copia del carnet con el identificador cuyos datos fueron incluidos en el fichero Asnef, asociados a la identidad de una persona distinta de la denunciante. A pesar del impago por parte de H.H.H. ha cancelado sus datos en el mencionado fichero de solvencia patrimonial y crédito para evitar perjuicios a la denunciante. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CELERIS SERVICIOS FINANCIEROS, S.A. EFC, y a Doña E.E.E.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es