E-09727-2018

1/4 Procedimiento Nº: E/09727/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante EQUIFAX IBERICA, S.L., y FERRATUM SPAIN, S.L en virtud de la reclamación presentada por D. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada con fecha 20 de agosto de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Equifax Ibérica, S.L., con NIF B80855398 y Ferratum Spain, S.L., con NIF B92941558 (en adelante, el reclamado). Los motivos en que basa su reclamación son en que ha sido incluido en el fichero Asnef sin haber recibido la correspondiente notificación de inclusión y que ha solicitado la cancelación de sus datos ante Equifax Ibérica y le han contestado que no pueden proceder a su tramitación. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fechas 19 de diciembre de 2018 y 28 de enero de 2019, Equifax Ibérica S.L., remite la siguiente información en relación con la inclusión de los datos del denunciante en Asnef. 1 En la actualidad no constan datos asociados al denunciante en el fichero, según consta en la copia impresa de la consulta al citado fichero, que aportan. 2 Respecto al fichero de Bajas, aportan copia impresa de la información que consta asociada a las inclusiones de los datos del denunciante, donde figura la baja de la incidencia notificada por Ferratum Bank PLC, de fecha 16 de octubre de 2018, con motivo: F. Pura. 3 Respecto a la causa por la que con fecha 7 de agosto se comunica al denunciante, en contestación a su solicitud de cancelación, que no se puede proceder a su tramitación, manifiestan que: C/ Jorge Juan, 6 28001 – Madrid a. Con fecha 3 de agosto de 2018, se dio contestación a otras dos solicitudes de cancelación presentadas por el denunciante, la primera corresponde a una solicitud de fecha 29 de julio de 2018 y se le informaba que los datos incluidos en Asnef por Feratum Bank PLC, habían sido confirmados por la entidad informante y que no existían datos en el fichero de Asnef Empresas ni en Incidencias Judiciales. b. La segunda corresponde a otra solicitud de cancelación de fecha 6 de agosto de 2018, una semana después de la primera. Dado que se le www.aepd.es sedeagpd.gob.es 2/4 acababa de contestar a una solicitud de cancelación no aportaba ninguna documentación extra, se le comunica que en base a la nueva normativa de protección de datos, no se pueden ejercitar los derechos de manera indiscriminada, abusiva e inmoderada, no se atiende su solicitud. Respecto a las notificaciones de inclusión de los datos del denunciante en el fichero Asnef: 1 Aportan copia de las notificaciones de inclusión que constan en sus sistemas, que en total, entre las que figuran dos notificaciones de fechas 7 y 22 de marzo de 2017, relativas a la inclusión de los datos del denunciante por FERRATUM BANK PLC. Las notificaciones han sido remitidas al domicilio del denunciante que coincide con el que ha facilitado en su reclamación a la Agencia. 2 Respecto a la primera notificación: 3 a. Aportan copia de la misma, con referencia 740/2107031214378, así como de la certificación emitida por el prestador del servicio de Generación, impresión y puesta en correos (Servirform S.A.), que certifica la realización de la citada notificación, junto al resto de las emitidas en el proceso generado con fecha 7 de marzo de 2017, sin que se haya producido incidencia en el mismo, y que se puso a disposición del servicio de Correos con fecha 8 de marzo de 2017, b. Aportan certificación emitida por el prestador del servicio de gestión de las devoluciones de notificaciones: (Ilunion BPO S.A.U) que certifica que la notificación con referencia 740/2107031214378, no ha sido devuelta. Respecto a la segunda notificación: a. 4 Aportan copia de la misma, con referencia 740/2107031325896, así como de la certificación emitida por el prestador del servicio de Generación, impresión y puesta en correos (Servirform S.A.), que certifica la realización de la citada notificación, junto al resto de las emitidas en el proceso generado con fecha 22 de marzo de 2017, sin que se haya producido incidencia en el mismo, y que se puso a disposición del servicio de Correos con fecha 27 de marzo de 2017, Aportan certificación emitida por el prestador del servicio de gestión de las devoluciones de notificaciones: (Ilunion BPO S.A.U) que certifica que la notificación con referencia 740/2107031325896, no ha sido devuelta. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por D. A.A.A. contra Equifax Ibérica, S.L., y Ferratum Spain, S.L por una presunta vulneración del artículo 12 del RGPD que regula el derecho de información. En concreto se denuncia que los datos del reclamante están incluidos en el fichero de solvencia patrimonial, sin haber recibido las correspondientes notificaciones y que ha solicitado la cancelación de sus datos ante Equifax Ibérica y le han contestado que no pueden proceder a su tramitación. En respuesta al requerimiento efectuado por la Agencia Española de Protección de Datos, se tiene conocimiento de que figuran dos notificaciones dirigidas al reclamante de fechas 7 y 22 de marzo de 2017, relativas a la inclusión de sus datos por Ferratum Bank PLC, sin que se haya producido incidencia en el envío de las mismas y aportan certificación emitida por el prestador del servicio de gestión de las devoluciones de notificaciones que certifica que no han sido devueltas. En relación con la segunda cuestión planteada, sobre que con fecha 7 de agosto se comunica al reclamante, en contestación a su solicitud de cancelación, que no se puede proceder a su tramitación. Hay que tener en cuenta el art. 12.5. b) del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 RGPD que establece: “b) negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud” Así consta que con fecha 3 de agosto de 2018, se dio contestación a otras dos solicitudes de cancelación presentadas por el reclamante, la primera corresponde a una solicitud de fecha 29 de julio de 2018 y se le informaba que los datos incluidos en Asnef por Feratum Bank PLC, habían sido confirmados por la entidad informante y que no existían datos en el fichero de Asnef Empresas ni en Incidencias Judiciales. La segunda corresponde a otra solicitud de cancelación de fecha 6 de agosto de 2018, una semana después de la primera. Dado que se le acababa de contestar a una solicitud de cancelación no aportaba ninguna documentación extra, se le comunica que en base a la nueva normativa de protección de datos, no se pueden ejercitar los derechos de manera indiscriminada, abusiva e inmoderada, no se atiende su solicitud. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es