1/7 Expediente Nº: E/09419/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ADMIRAL INTERMEDIARY SERVICES, S.A.U. con CIF A90354911 (en adelante, la parte reclamada). El motivo en que se basa la reclamación es el tratamiento de datos personales de la reclamante para efectuar una consulta en los ficheros de solvencia ASNEF y BADEXCUG, sin base de legitimación, ya que se realizó dicha consulta pese a no mantener una relación contractual ni haber solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada el 30 de marzo de 2021, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 28 de abril de 2021 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: El día 16 de septiembre de 2020 a las 17:54 horas, siguiendo la información facilitada en la documentación aportada al expediente por la reclamante, se solicitó presupuesto de seguro empleando para ello el DNI de la reclamante a través del comparador online Rastreator. Cuando un interesado solicita un presupuesto de seguro a través de esta plataforma, siguiendo la práctica habitual del mercado, las compañías de seguro, de forma automática, lanzan una consulta a los ficheros de solvencia crediticia con el objetivo de tener un elemento más de cara a valorar el riesgo para la contratación de una póliza de seguro debido a las características particulares de dicho negocio (en este caso, la reclamante ni siquiera constaba en ninguno de los ficheros). Cuando se reciben los datos personales e información como consecuencia de una petición de presupuesto de seguro en un comparador/agregador se desagrega informáticamente en caso de que la persona que ha solicitado el presupuesto no muestre un interés específico por la oferta de la empresa o no se requiera una gestión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 concreta, no quedando registro que asocie la cotización con el número de DNI (que además queda ofuscado), por lo que no resulta accesible, visible ni puede asociarse en los sistemas, de forma que nadie en la empresa, ni siquiera el equipo encargado de gestionar los ejercicios de derechos, tienen la posibilidad de encontrar esta información ni relacionarla, razón por la cual no se incluyó ese dato en la respuesta al ejercicio del derecho de acceso efectuado por la reclamante. Al realizar la búsqueda en los sistemas para facilitarle a la reclamante la información asociada a su número de DNI, no aparecía la solicitud de presupuesto objeto de discordia, dado que la misma se encontraba desagregada. Y es que esta información no era accesible, visible ni asociable para el equipo encargado de gestionar los ejercicios de derecho utilizando los motores de búsqueda de los sistemas de la empresa, al tratarse de información desagregada y sólo accesible a través del procedimiento informático mencionado en el párrafo anterior. Tras la labor de auditoría informática llevada a cabo con los responsables de los sistemas de la empresa reclamada, y habiendo conseguido identificar la solicitud de presupuesto de seguro por la correlación de los índices de las tablas (tomando como referencia el día y la hora de la consulta a los ficheros de solvencia, siguiendo la información contenida en la documentación aportada por la reclamante al expediente), se ha podido recuperar el texto plano de dicha petición y se ha dado respuesta a la reclamante informando de cuanto aquí se ha expuesto, así como de los datos contenidos en dicha solicitud de presupuesto. TERCERO: Con fecha 9 de junio de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Por su parte el artículo 20 de la LOPDGDD, regula los sistemas de información crediticia, estableciendo lo siguiente: 1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
- a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
- b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
- c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
- d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
- e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
- a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
- f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia. IV En el presente caso, la reclamante presenta reclamación contra el reclamado, por una presunta vulneración del artículo 6.1 del RGPD en relación con la licitud del tratamiento de sus datos personales por efectuar una consulta en los ficheros de solvencia ASNEF y BADEXCUG, sin base de legitimación. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de las reclamadas para ejercer la potestad sancionadora. En este sentido, esta Agencia tras realizar las correspondientes actuaciones de investigación, ha tenido conocimiento de los siguientes hechos: El 19 de diciembre de 2020 la reclamante solicitó mediante correo electrónico que se le informase sobre los datos personales que figurasen en la empresa relacionados con su nombre o su DNI. El 15 de enero de 2021 la empresa reclamada dio respuesta a la reclamante, informando de que el único dato que constaba referente a su persona era su número de DNI, el cual se hallaba relacionado con una serie de peticiones de presupuesto de seguro online para diferentes modelos de vehículo. En respuesta a la información proporcionada, el mismo 15 de enero de 2021 la reclamante manifestó que dichas solicitudes de presupuesto no habían sido efectuadas por ella y que, por tanto, se suprimiera toda información. Tras la solicitud anterior, el 24 de enero de 2021 la reclamante ejerce su derecho de acceso frente a la entidad reclamada. El 3 de febrero de 2021 la empresa reclamada responde a la reclamante que, como consecuencia de su petición de supresión de datos efectuada el 15 de enero de 2021, se habían eliminado sus datos y que la información que constaba en sus sistemas relativa a su número de DNI era la que fue proporcionada en la respuesta del 15 de enero de 2021. Todas estas actuaciones indican el cumplimiento de una diligencia razonable por parte del reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 En otro orden de cosas, hay que señalar que de conformidad con el artículo 20 de la LOPDGDD, indicado en el fundamento de derecho III, la entidad reclamada se encuentra legitimada para acceder a los ficheros de solvencia. Esto es así, porque en este caso concreto, de conformidad con las actuaciones de investigación realizadas, se constata que cuando un interesado solicita un presupuesto de seguro, de forma automática se consultan los ficheros de solvencia crediticia con el objetivo de tener un elemento más de cara a valorar el riesgo para la contratación de una póliza de seguro debido a las características particulares de dicho negocio y de esta manera dar un precio estimado de la póliza, ya que este es el servicio requerido por la reclamante al acceder a la plataforma de la entidad reclamada. Por lo tanto, el tratamiento realizado por la entidad reclamada, se ajusta a lo establecido en el artículo 6 del RGPD, ya que el tratamiento de los datos ha sido lícito y ha dado la respuesta debida a la reclamante cuando esta ha ejercido sus derechos de supresión de datos primero y de acceso en segundo lugar. Además, de conformidad con lo establecido en el artículo 20 de la LOPDGDD, la entidad reclamada se encuentra legitimada para acceder a los ficheros de solvencia. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es