E-13222-2021

1/20  Expediente Nº: E/13222/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A. (en adelante, el reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos (AEDP) con fecha 16 de octubre de 2020. La reclamación se dirige contra BANCO SANTANDER, S.A., con NIF A39000013 (en adelante, la reclamada) y contra GESCOBRO COLLECTION SERVICES, S.L.U., con NIF B65257800 (en lo sucesivo la reclamada 2 o la gestora de cobros) Basa su reclamación en la cesión de sus datos personales a una tercera entidad vinculados a la venta de una deuda que, en esa fecha, se encontraba impugnada en vía judicial. El reclamante manifiesta que cuando se produjo la venta del crédito, el 18 de diciembre de 2019, el Juzgado de Primera Instancia ya había admitido a trámite la demanda contra la reclamada en la que solicitaba la declaración de nulidad del contrato del que procedía la deuda cedida, e incluso se había celebrado la vista del juicio. Añade que cuando la reclamada le informó de la cesión de la deuda, a través de una carta que recibió a principios de febrero de 2020, la referida deuda había sido declarada inexistente por sentencia judicial dictada el 2 de enero de 2020. La reclamación se funda también en el tratamiento que la gestora de cobros o reclamada 2 hizo de los datos personales del reclamante con la finalidad de requerirle el pago de una deuda que fue declarada inexistente por sentencia judicial. Los requerimientos de pago se hicieron por correo postal y mediante llamadas telefónicas que, según declaraciones del reclamante, comenzó a recibir en su teléfono particular en el mes de marzo de 2020. Añade que incluso se hicieron llamadas a casa de sus padres preguntando por él. Cabe indicar que el reclamante puso en conocimiento de esta Agencia en su escrito de reclamación que, con fecha 6 de febrero de 2020, la reclamada había recurrido en apelación la sentencia dictada por el Juzgado de Primera Instancia el 2 de enero de 2020 que declaraba nulo el contrato de tarjeta de crédito del que procedía la deuda objeto de la venta. Anexa a su reclamación los documentos siguientes: (i). Carta del Servicio de Reclamación y Atención al Cliente (SAC) de la entidad financiera reclamada, de fecha de 14 de junio de 2018 y referencia ***REFERENCIA.1, respondiendo a la reclamación que había presentado por la negativa de la entidad a entregarle determinada información y documentación vinculada a la tarjeta de crédito contratada con ella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 (ii). Carta de fecha 28 de enero de 2020, que lleva los anagramas de la entidad financiera reclamada y de ***EMPRESA.1 (en lo sucesivo, ***EMPRESA.1 o la cesionaria del crédito) y está firmada por ambas entidades y por la gestora de cobros. En ella se recuerda al reclamante que formalizó con la reclamada un contrato de tarjeta de crédito con número de referencia ***REFERENCIA.2 del que deriva una deuda por importe de 6.348,74 euros. Le informa de que, en virtud del contrato de compraventa de deudas intervenido en póliza notarial el 18 de diciembre de 2019, la reclamada ha cedido a la cesionaria el derecho de crédito que ostentaba frente a él, derivado del contrato de tarjeta de crédito mencionado, y que la encargada de administrar y gestionar el cobro en nombre de la cesionaria será la gestora de cobros. En esa carta la gestora de cobros requiere al reclamante para que en el plazo de 30 días proceda al pago del importe adeudado. (iii) Sentencia dictada el 2 de enero de 2020 por el Juzgado de Primera Instancia número 11 de ***LOCALIDAD.1 en el Procedimiento Ordinario promovido por el reclamante como demandante frente a la actual reclamada, en calidad de demandada. La sentencia estimó las pretensiones del demandante y declaró nulo el contrato de tarjeta de crédito suscrito el 8 de febrero de 2006, condenando a la entidad demandada a abonar “la cantidad que resulte de restar a las sumas, empleadas, recibidas o dispuestas con esa tarjeta, la totalidad de las cantidades que se hubieran cobrado [al demandante] por todos los conceptos incluidas las comisiones, desde el inicio del contrato, cantidad a fijar en ejecución de sentencia.” La sentencia declaró también la nulidad de la “Comisión por cuota impagada y de la Comisión por Descubiertos recogidas en el contrato de apertura de cuenta corriente de 2 de marzo de 2000, modificado por medio del contrato de modificación a cuenta 1/2/3 de fecha 20 de noviembre de 2017, así como del cobro de gastos de correo” y condenó a la demandada a abonar al demandante, actual reclamante, “[...] a su devolución (respecto las sumas no devueltas) con el interés legal del dinero de cada una de las sumas desde que fueron cobradas y en cuanto a las sumas ya devueltas a reintegrar al actor el interés legal de las mismas desde el momento en que fueron cobradas.” Después de que la AEPD hubiera admitido a trámite esta reclamación, el reclamante presentó con fecha 10 de septiembre de 2021 una reclamación complementaria “Escrito complementario para la reclamación [...] de fecha 16-oct-2020”- con la que ha aportado diversos documentos. Con el propósito de respetar el orden cronológico de las actuaciones, el examen de la reclamación complementaria se incluye en el Hecho Cuarto de esta resolución. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), en fecha 16 de noviembre de 2020 se dio traslado de la reclamación a la reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 22 de diciembre de 2020 tiene entrada en el registro electrónico de este organismo la respuesta de la reclamada. En ella expone que, tal y como consta en la carta que dirigió al reclamante que éste ha anexado a su reclamación, la cesión de la deuda a ***EMPRESA.1 se produjo en escritura pública otorgada el 18 de diciembre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 de 2019 “y por lo tanto, antes de que se dictara sentencia y se conociera el desenlace del litigio”. Manifiesta que, como consecuencia de la cesión, dio de baja el crédito de su balance y cesó en el cobro de éste, de manera que las llamadas que recibe el reclamante se debieron efectuar por la gestora de cobros que las haría por cuenta y orden del cesionario del crédito, no del Banco. Aporta copia de dos correos electrónicos: Uno, enviado a la gestora de cobros el 28 de octubre de 2021, a las 06:58 horas, en el que solicita que, respecto a la deuda vendida, que identifica por su número de referencia y los datos personales del reclamante, ante una sentencia contra el Banco que declara nulo el contrato del que deriva el crédito cedido, den de baja la deuda y cesen en las gestiones de recuperación. Otro, la respuesta de la gestora de cobros, enviada en la misma fecha, a las 11:56 horas, en la que le comunica que “Esta gestión ya está tramitada a petición del propio titular”. TERCERO: Con fecha 25 de enero de 2021, al amparo de lo establecido en el artículo 65.5 de la LOPDGDD, la Directora de la AEPD acuerda admitir a trámite la reclamación presentada. CUARTO: En fecha 8 de julio de 2021 el reclamante remite a la AEPD una copia de la sentencia de fecha 6 de julio de 2021, dictada en apelación por la Audiencia Provincial, que estimó parcialmente el recurso interpuesto por la demandada (actual reclamada) La sentencia revocó parcialmente la dictada por el Juzgado de Primera Instancia y, por lo que aquí interesa, confirmó la declaración de nulidad del contrato de tarjeta de crédito que el reclamante y la reclamada suscribieron en 2006, del que derivaba la deuda que había sido objeto de cesión, y la condena a la entidad demandada a abonar “la cantidad que resulte de restar a las sumas, empleadas, recibidas o dispuestas con esa tarjeta, la totalidad de las cantidades que se hubieran cobrado [al demandante] por todos los conceptos incluidas las comisiones, desde el inicio del contrato, cantidad a fijar en ejecución de sentencia.” El 10 de septiembre de 2021 el reclamante presentó ante la AEPD un “Escrito complementario para la reclamación [...] de fecha 16-oct-2020” en el que hizo constar lo siguiente: En lo referente a la entidad reclamada, que con fecha 10 de septiembre de 2021 ha recibido la notificación del juzgado declarando que la sentencia es firme “[...] por lo que queda ratificado que [la reclamada] ha cedido y tratado mis datos de forma irregular, ya que era conocedora del procedimiento judicial y expidieron un certificado posterior a la celebración del juicio en el que hacen constar claramente que se trata de una DEUDA CIERTA, VENCIDA Y EXIGIBLE (Documento 1) algo que como ha quedado acreditado es FALSO, tanto ahora como en el momento de la expedición de dicho certificado, puesto que [...] se ha presentado demanda contra la supuesta deuda en el mes de mayo de 2019”. En lo que concierne a la gestora de cobros afirma que ha estado haciendo un uso irregular de sus datos “desde el mes de enero de 2020” ignorando la sentencia judicial C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 que les remitió, así como sus solicitudes y las de su letrado para que cancelaran sus datos personales[...]”. Afirma también que la gestora de cobros ha procedido en agosto de 2021, “a la vista que no van a recurrir al Supremo”, a cancelar sus datos personales. Aporta estos documentos: (

1. i)Certificado expedido por la entidad financiera reclamada en el que hace constar “Que la deuda vencida, liquidada y exigible por [la reclamada], de la operación que está asociada al contrato de origen número ***REFERENCIA.2 y contrato contencioso actual número [...], presentaba un saldo deudor a fecha 18 de Diciembre de 2019 de importe 6.348,74 EUR.” (El subrayado es nuestro) (
2. ii)Carta de fecha 26 de enero de 2020 que la gestora de cobros dirigió al reclamante en su condición de encargada de la gestión y recuperación de la deuda en la que requiere el pago y le informa de que la base jurídica del tratamiento de sus datos es la relación contractual que le vincula con la cesionaria del crédito. (iii) Carta de la gestora de cobros, de fecha 30 de noviembre de 2020, en la que consta como referencia un número que coincide con el del contrato de origen y que figura en el certificado expedido por la reclamada (i). La carta acusa recibo de la reclamación en la que el reclamante le informaba de que su deuda no era cierta y le comunica que están en proceso de estudio de su caso junto con el vendedor de la cartera (la reclamada) con el fin de esclarecer lo ocurrido. Añade que durante el periodo que dure la investigación su expediente quedará bloqueado pudiendo ser desbloqueado en función del resultado de la investigación. Además, le remiten una copia de la documentación que obra en su poder, relativa a la deuda adquirida, que le facilitó la cedente del crédito. QUINTO: La Subdirección General de Inspección de Datos, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679, de 27 de abril de 2016, del Parlamento Europeo y del Consejo relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CEE (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, procedió a efectuar actuaciones previas de investigación para el esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones de Investigación Previa del que se transcribe este fragmento: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 22/12/2020, [la reclamada] remite a esta Agencia la siguiente información y manifestaciones: 1. Que cedieron la deuda mediante escritura pública otorgada el 18/12/2019 por lo tanto antes de que se dictara sentencia. 2. Como consecuencia de ello dieron de baja el expediente y cesó en el cobro de éste. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 3. Que las llamadas al reclamante se efectuaron por [la gestora de cobros], que suponen lo harían por orden del cesionario del crédito, no del Banco que con la cesión dio de baja el crédito de su balance. Con fecha 02/11/2021, [la reclamada] remite a esta Agencia la siguiente información y manifestaciones: 1. Que la comunicación a la entidad cesionaria al tener conocimiento de la sentencia, se hizo de manera informal, por no tratarse aún de una sentencia definitiva y que se iba a recurrir en apelación. Que el recurso de apelación ha estado en trámite hasta julio de este año. 2. Que para poner ahora formalmente en conocimiento del inversor la sentencia, el inversor les comunica que la gestión ya fue tramitada a petición del propio titular. Se aporta copia de correo electrónico de fecha 28/10/2021 remitido desde el dominio gruposantander.es al dominio gescobro.com donde consta que en referencia al saldo vendido de 6348,74, siendo el titular el reclamante, se ruega procedan a la baja de la deuda por no ser procedente su reclamación de pago al cliente. 3. En relación a la devolución de las cantidades al reclamante manifiesta “[…]una vez concluido el procedimiento al dictarse la sentencia en el recurso de apelación en julio pasado, que es desfavorable, y una vez recibida la notificación de la sentencia, se está concluyendo la liquidación del importe de las distintas cantidades que deben ser devueltas para dar ejecución a la misma en el marco del procedimiento”. Aporta copia de “contrato de compraventa de una cartera de créditos sin garantía real” entre [la reclamada y cedente del crédito] y [la cesionaria] fechado a 18/12/2019 donde consta: a. Que [la reclamada] es el vendedor y [la cesionaria] es el comprador. b. Y consta también: “4.1. Declaraciones del vendedor. […] (D) No existe investigación, demanda, litigio o disputa ante ningún tribunal judicial o arbitral, y órgano administrativo competente que, de ser decidido en forma adversa a los intereses del Vendedor, impida cumplir con las obligaciones derivadas del contrato. […] (T) Si: (
3. i)en relación los créditos Judicializados, consecuencia de una resolución judicial ejecutable dictada por un órgano judicial competente tras la reclamación efectuada por un Deudor principal (tanto de forma directa como vía reconvención), sobre la base de las circunstancias que a la Fecha de Efectividad han llevado a los juzgados y tribunales españoles (con base en la jurisprudencia del Tribunal Supremo) a declarar la nulidad de cláusulas contenidas en la documentación contractual de créditos similares a los Créditos, el Comprador o el Vendedor se vieran obligados a la devolución de cantidades pagadas por el Deudor consecuencia de cláusulas incluidas en la documentación contractual de tos Créditos que sean declaradas abusivas o nulas (es decir, cantidades cobradas en exceso, entre otras, por aplicación de cláusulas suelo, intereses de demora *usivos, índices de referencia aplkados o gastos de formalización e inscripción de escrituras de hipoteca que hubieran sido soportados por Deudores) (conjuntamente, las “Cláusulas Abusivas”), o […] Las partes acuerdan lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 (
4. a)El Vendedor o el Comprador (según corresponda, en función de quien reciba la notificación correspondiente) deberá poner tal circunstancia inmediatamente en conocimiento de la otra Parte. […]” Con fecha 04/11/2021, B.B.B. en representación, según manifiesta, de [la cesionaria del crédito], remite a esta Agencia la siguiente información y manifestaciones: 1. Que, en el contrato de compraventa, [la reclamada] declaraba que todos los créditos eran legales, válidos y ejecutables y que su gestión se podía llevar de manera amistosa y extrajudicial. 2. Que [la cesionaria] suscribió contrato con [la gestora de cobros] el correspondiente contrato de prestación de servicios para la gestión de las deudas adquiridas del [cedente del crédito]. 3. Que [la gestora de cobros], es encargado del tratamiento de [la cesionaria del crédito]. 4. Que [la cesionaria], al desconocer la naturaleza judicializada del crédito, y al no haberse personado en el juicio, no podía conocer la existencia de la sentencia que declaraba la nulidad de los contratos que motivaban la deuda del reclamante, hasta que éste o el [cedente] se la trasladasen. Que es por ello que [la cesionaria] siguió gestionando el cobro de la supuesta deuda del reclamante con posterioridad a la fecha 2 de enero de 2020. 5. Que ha recibido notificación por parte del [cedente del crédito] de la sentencia de 2 de enero de 2020, en fecha 28 de octubre de 2021.>> FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD se ocupa en el artículo 5 de los principios que presiden el tratamiento de los datos, precepto que dispone: “1. Los datos personales serán:
5. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
6. b)[...] («limitación de la finalidad»); c)[...] («minimización de datos»); d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);
7. e)[...] («limitación del plazo de conservación»);
8. f)[...] («integridad y confidencialidad»). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” El artículo 6 del RGPD, “Licitud del tratamiento”, establece: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
11. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
12. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
13. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
14. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
15. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
16. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
17. c)y e), deberá ser establecida por:
18. a)el Derecho de la Unión, o
19. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
20. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
21. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
22. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
23. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
24. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización.” El artículo 83.5 del RGPD sanciona con “multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” la infracción de “
25. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” III Corresponde analizar seguidamente las conductas presuntamente contrarias a la normativa de protección de datos a las que el reclamante alude en sus dos escritos de reclamación - de 16 de octubre de 2020, reclamación que fue admitida a trámite por la Directora de la AEPD en enero de 2021, y de 10 de septiembre de 2021-, a los que se hace referencia, respectivamente, en los Hechos Primero y Cuarto de esta resolución, a fin de determinar si han sido respetuosas con el RGPD. El reclamante concreta la conducta presuntamente infractora que atribuye a la entidad financiera reclamada en la cesión a un tercero de sus datos personales vinculados a una deuda que en la fecha en la que tuvo lugar la venta estaba impugnada judicialmente y en la expedición de un certificado (del que aporta copia) firmado el 23 de diciembre de 2019 en el que la reclamada hizo constar “que la deuda vencida, líquida y exigible por [la entidad financiera reclamada] que está asociada al contrato [...] de préstamo, un saldo deudor a fecha 18 de diciembre de 2019, de 6.348, 74 €”. El análisis de la documentación que obra en el expediente y de las manifestaciones hechas por la reclamada y el reclamante, ponen de manifiesto que el tratamiento que la primera hizo de los datos personales del segundo fue respetuoso con los principios de licitud (artículo 5.1.a, RGPD) y de exactitud (artículo 5.1.d, RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 1. Cesión a un tercero de los datos personales del reclamante vinculados a la venta de una deuda que la reclamada ostentaba frente a él. El reclamante y la entidad financiera reclamada celebraron en el año 2006 un contrato de tarjeta de crédito del que derivó una deuda a cargo del reclamante por un importe de 6.348,74 euros. El reclamante interpuso demanda frente a la entidad reclamada en mayo de 2019 en la que, entre otras pretensiones, solicita que se declare nulo por usurario el contrato de tarjeta de crédito suscrito entre ambas en 2006. La demanda se admitió a trámite en julio de 2019; la demandada contestó a la demanda en septiembre de 2019 y el 16 de diciembre de 2019 se celebró el acto de la vista del juicio. El 18 de diciembre de 2019 se formaliza en póliza intervenida notarialmente un contrato de venta de una cartera de deudas entre la entidad reclamada y una tercera entidad (la cesionaria del crédito) de la que formaba parte la deuda que la reclamada ostentaba frente al reclamante derivada del contrato de tarjeta de crédito celebrado en el año 2006. El artículo 347 del Código de Comercio (C.co), dispone: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. Añade el artículo 348 del C.co. que “el cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. El Código Civil (C.c.) establece en el artículo 1535: “Vendiéndose un crédito litigioso, el deudor tendrá derecho a extinguirlo, reembolsando al cesionario el precio que pagó, las costas que se le hubiesen ocasionado y los intereses del precio desde el día en que éste fue satisfecho. Se tendrá por litigioso un crédito desde que se conteste a la demanda relativa al mismo. El deudor podrá usar de su derecho dentro de nueve días, contados desde que el cesionario le reclame el pago.” La cesión o venta de créditos está expresamente admitida en nuestro ordenamiento jurídico que no exige para que surta efectos que se recabe el consentimiento del deudor cedido, únicamente que se le comunique la cesión como condición para quedar obligado con el nuevo acreedor. El RGPD dispone que el tratamiento de los datos personales debe respetar el principio de licitud (artículo 5.1.a,) y para que el tratamiento sea lícito debe estar fundado en alguna de las circunstancias que relaciona el artículo 6.1 RGPD. En el presente asunto, el tratamiento de los datos personales del deudor cedido, concretado tanto en la cesión o comunicación de sus datos por la reclamada (cedente del crédito) como en el tratamiento de éstos por la cesionaria del crédito, encuentra su base jurídica en el artículo 6.1 RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 Hay que rechazar por ello la tesis del reclamante que estima que estos tratamientos no fueron respetuosos con el RGPD y que la reclamada trató irregularmente sus datos personales al haberlos comunicado al adquirente del crédito. Dice sobre el particular que “[...] las empresas no disponen del consentimiento que establece la norma en su artículo 4.11, ni se trata de un interés legítimo al indicar la autoridad judicial que la supuesta deuda que me imputan es inexistente[...]”. Pese a lo alegado por el reclamante, ese tratamiento (la venta del crédito y el tratamiento posterior por el cesionario) no exige recabar el consentimiento del deudor cedido, por lo que el fundamento jurídico del tratamiento no podría ser en ningún caso su consentimiento (artículo 6.1.a, RGPD). La base jurídica del tratamiento podría ser, en principio, el interés legítimo de la reclamada, interés prevalente frente a los derechos, libertades e intereses del titular de los datos (artículo 6.1.f, RGPD) y el tratamiento necesario para la ejecución de un contrato en el que el interesado es parte (artículo 6.1.b, RGPD) A propósito de la base jurídica del artículo 6.1.
26. f)RGPD, existen numerosos factores que podrían valorarse en el juicio de ponderación previo al tratamiento cuya presencia determinaría la prevalencia del interés del acreedor frente a los derechos, libertades e intereses del deudor. Cabe mencionar que estamos ante un tratamiento de datos lícito, admitido por el ordenamiento jurídico (tanto el C.co, artículo 347, como el C.c., artículo 1535, regulan esta figura); que el acreedor tiene interés en la actividad de venta de deudas por ser una vía que le permite satisfacer - aunque de forma limitada e imperfecta- el derecho que nace a su favor del contrato como consecuencia de haber cumplido la obligación recíproca a favor del deudor derivada del contrato en las condiciones estipuladas en él. Desde la perspectiva del deudor sus derechos, libertades o intereses no se ven afectados negativamente por la cesión, pues el cambio de acreedor no altera el importe de la deuda ni las condiciones de pago que se estipularon en el contrato; el deudor es informado de la identidad del nuevo acreedor y, caso de que el crédito fuera litigioso, podrá hacer uso de la facultad que le confiere el artículo 1535 del C.c. en el plazo que esta norma establece. El tratamiento podría también estar amparado en la base jurídica del artículo 6.1.
27. b)RGPD - “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;”- pues en definitiva, a través de la operación de venta de créditos el acreedor cedente busca satisfacer el derecho, correlativo a la obligación que él ha satisfecho, que nace a su favor del contrato que en su día celebró con el deudor. El RGPD exige que los datos personales sean exactos y, si fuera necesario actualizados (artículo 5.1.
28. d)El reclamante ha esgrimido, en defensa de la tesis de que la reclamada hizo un tratamiento irregular de sus datos personales con ocasión de la venta del crédito, que esa operación de venta había sido posterior en el tiempo, no solo a la interposición de la demanda (mayo de 2019) , sino al acto de la vista del juicio (16 de diciembre de 2019) y que cuando la reclamada le comunicó la venta de la deuda -a través de una carta de fecha 28 de enero de 2020 que afirma haber recibido a primeros de febrero C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 de 2020- ya se había dictado sentencia por el Juzgado de Primera Instancia que declaraba la nulidad del contrato de tarjeta de crédito del que procedía la deuda cedida -sentencia de 2 de enero de 2020- por lo que, concluye, la deuda “ya había sido declarada inexistente por sentencia judicial”. Añade que la sentencia de 2 de enero de 2020 - que declaró nulo el contrato de tarjeta de crédito y condenó a la entidad demandada, actualmente la reclamada, a reintegrar al demandante todas las cantidades abonadas que excedieran de la cantidad dispuesta- confirmó que se trataba de una deuda inexistente. Debe recordarse que la demandada, actual reclamada, recurrió en apelación la sentencia dictada el 2 de enero de 2020 por el Juzgado de Primera Instancia. A propósito de los efectos de la apelación la Ley de Enjuiciamiento Civil 1/2000, de 7 de enero, dispone en su artículo 456: “1. (...) 2. La apelación contra sentencias desestimatorias de la demanda y contra autos que pongan fin al proceso carecerá de efectos suspensivos, sin que, en ningún caso, proceda actuar en sentido contrario a lo que se hubiese resuelto. 3. Las sentencias estimatorias de la demanda, contra las que se interponga el recurso de apelación, tendrán, según la naturaleza y contenido de sus pronunciamientos, la eficacia que establece el Título II del Libro III de esta Ley.” (El subrayado es nuestro) Título II del Libro III de la LEC que versa sobre la ejecución provisional. Así pues, la eficacia de la sentencia dictada por el Juzgado de Primera Instancia quedó suspendida hasta que la Audiencia Provincial dictó sentencia resolviendo el recurso de apelación y esta sentencia devino firme. Conforme al artículo 207 apartados 2 y 4 de la LEC “Son resoluciones firmes aquéllas contra las que no cabe recurso alguno bien por no preverlo la ley, bien porque, estando previsto, ha transcurrido el plazo legalmente fijado sin que ninguna de las partes lo haya presentado.” “Transcurridos los plazos previstos para recurrir una resolución sin haberla impugnado, quedará firme y pasada en autoridad de cosa juzgada, debiendo el tribunal del proceso en que recaiga estar en todo caso a lo dispuesto en ella.” La sentencia dictada en apelación por la Audiencia Provincial en julio de 2021 confirmó el fallo de la dictada en primera instancia en lo referente a la nulidad del contrato de tarjeta de crédito. Desde que esa sentencia devino firme produjo efectos, tanto procesales (cosa juzgada), como sustantivos, a saber, la fijación, modificación o extinción de las relaciones jurídicas. Por lo que viene al caso, la nulidad del contrato de tarjeta de crédito y la condena a la actual reclamada, a devolver al reclamante lo que hubiera pagado que excediere de lo dispuesto a través de la tarjeta de crédito. Sólo a partir de la firmeza de la sentencia de la Audiencia Provincial la deuda atribuida al reclamante que la reclamada había cedido a una tercera entidad debía reputarse inexistente. Aunque la interposición de la demanda por el reclamante produjo efectos procesales como la litispendencia- y sustantivos -la consideración del crédito como litigioso desde que la demandada contestó a la demanda- estos efectos no son los que el reclamante hace derivar de tal impugnación, sino que la tesis que defiende es la inexistencia de la deuda. Sin embargo, este efecto en ningún caso puede derivarse de la interposición de la demanda, o de la celebración del acto de la vista, ni tampoco de la sentencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 favorable a sus pretensiones que aún no era firme. En esas etapas, el crédito vendido a la cesionaria se reputaba válido y existente, condición que perdió cuando ganó firmeza la sentencia dictada por la Audiencia Provincial. Se concluye por ello que el tratamiento de los datos personales del reclamante que la reclamada llevó a cabo fue respetuoso con el principio de exactitud. En este sentido, la sentencia dictada por la Audiencia Provincial es de julio de 2021 y, aunque desconocemos la fecha exacta en la que alcanzó firmeza, sí es posible afirmar que cuando tuvo lugar la venta de deuda, el 18 de diciembre de 2019, el crédito que la reclamada ostentaba frente al reclamante era existente y válido y ningún impedimento había para que la deuda, pese a estar impugnada judicialmente, fuera vendida. Así las cosas, ni la venta de la deuda atribuida al reclamante vulneró el principio de exactitud ni el tratamiento de los datos por la reclamada con esa finalidad era contrario al principio de licitud del tratamiento. Cuestión distinta de la que el reclamante plantea en su reclamación, y en la que sí tiene relevancia que la deuda hubiera sido impugnada en vía judicial -a diferencia de lo que sucede con el supuesto de hecho examinado- es la que se suscita cuando un acreedor comunica los datos de su deudor a sistemas de información crediticia, los conocidos popularmente como ficheros de morosidad. Como indica el Preámbulo de la LOPDGDD, “En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos», incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquellos respecto de los que el legislador establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo.” El artículo 20 de la LOPDGDD incorpora una presunción iuris tantum a favor de la prevalencia del interés legítimo del responsable del tratamiento para comunicar los datos personales de un deudor a uno de estos sistemas -estando así dispensado, a priori, de acreditar su concurrencia- pero supeditándola en todo caso al cumplimiento de determinados requisitos previstos en el apartado 1 letras a, b, y c. Entre esos requisitos, el apartado 1.
29. b)del artículo 20 RGPD menciona “
30. b)Que los datos se refieran a deuda ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.” (El subrayado es nuestro) Por tanto, la impugnación de una deuda en vía judicial sí tiene relevancia a efectos de la inclusión o comunicación de una deuda a un sistema de información crediticia instada por el acreedor. No obstante, en el asunto que examinamos esta cuestión es irrelevante por cuanto la reclamación formulada no versó sobre tratamientos de datos de esa naturaleza ni se tiene noticia de que la reclamada hubiera llegado a comunicar los datos del reclamante a un sistema de información crediticia o fichero de morosidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 En definitiva, la interposición de una demanda frente a la reclamada en la que el reclamante, entonces demandante, pretendía la declaración de nulidad del contrato de préstamo por usurario produjo efectos procesales -como la litispendencia- y sustantivos -la consideración del crédito como litigioso desde que el demandado contestó a la demanda- pero no impidió que el crédito que estaba impugnado pudiera ser vendido por la reclamada y que ese tratamiento fuera acorde con los principios de licitud y de exactitud de los datos (artículos 5.1.
31. a)y 5.1.
32. d)RGPD) 2. Certificado expedido por la reclamada firmado el 23 de diciembre de 2019. La reclamación complementaria presentada por el reclamante, además de reiterar las manifestaciones hechas en el primer escrito de reclamación, mencionaba otro ejemplo de tratamiento irregular de sus datos por parte de la reclamada: El certificado expedido por la reclamada (del que aporta copia) firmado el 23 de diciembre de 2019 en el que se hace constar “que la deuda vencida, líquida y exigible por [la reclamada] que está asociada al contrato [...] de préstamo, un saldo deudor a fecha 18 de diciembre de 2019, de 6.348, 74 €”. Afirma el reclamante que tanto después de que la sentencia dictada en apelación fuera firme como en el mismo momento en que se expidió el certificado, era falso que existiera una deuda cierta, vencida y exigible pues tal certificado se había expedido después de que se hubiera celebrado el acto de la vista del procedimiento judicial en el que se impugnaba la validez del contrato del que procede la deuda controvertida. Las consideraciones hechas en el apartado 1 precedente son plenamente extrapolables al tratamiento en el que se materializa el certificado expedido por la reclamada. Hemos de indicar que el certificado, que está firmado el 23 de diciembre de 2019, antes por tanto de que se dictara sentencia en primera instancia, se limita a dejar constancia de un hecho cierto: que, en una fecha determinada, exactamente el 18 de diciembre de 2019, existía una deuda a nombre del reclamante por un importe de 6.348, 74 €. En esa fecha, 18 de diciembre de 2019, el contrato del que derivaba la deuda estaba impugnado judicialmente pero tal impugnación no producía el efecto jurídico de reputar inexistente el crédito. Como se ha indicado anteriormente, los efectos de la impugnación judicial no se extienden a calificar la deuda como inexistente; los efectos son otros, básicamente la existencia de litispendencia y la calificación de la deuda como crédito litigioso desde la fecha en la que la reclamada contesta a la demanda (lo que acontece en septiembre de 2019) Tampoco podrá calificarse la deuda como inexistente cuando se dicte sentencia en primera instancia, el 2 de enero de 2020, pues, como se ha dicho, los efectos de la sentencia, en lo que concierne a la declaración de nulidad del contrato de tarjeta de crédito quedaron suspendidos en virtud de la interposición del recurso de apelación. Así las cosas, la conducta de la reclamada a la que el reclamante alude en su escrito de reclamación complementaria la emisión de un certificado en el que indica que a fecha 18 de diciembre de 2019 existe un saldo deudor a su nombre- fue respetuosa con el principio de exactitud de los datos. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 Por lo que concierne al tratamiento de los datos personales del reclamante efectuado por la gestora de cobros y a si este tratamiento es acorde con la normativa de protección de datos de carácter personal, se hacen las siguientes consideraciones: El reclamante ha concretado la supuesta actuación irregular de la gestora de cobros en el tratamiento de sus datos con la finalidad de requerirle el pago de una deuda que, afirma, había sido declarada inexistente por sentencia judicial; requerimientos de pago efectuados mediante el envío de correspondencia postal y a través de llamadas a su teléfono particular. En ese sentido obran en el expediente los escritos de 28 de enero de 2020 -en el que además le comunicaba al reclamante la venta del crédito- y de 26 de noviembre de 2020, en los que la gestora de cobros le requiere el pago de la deuda objeto de la cesión. El reclamante manifiesta que en marzo de 2020 comienza a recibir llamadas telefónicas de la reclamada 2 en las que le requiere el pago de la deuda; que habló el 5 de marzo con una empleada de la empresa, a la que le facilitó toda la información solicitada, y que, pese a ello, la gestora continuó ignorando la sentencia judicial. Añade además que la gestora de cobros llamó “[...] a casa de mis padres indicando que llaman de [el nombre de la gestora] preguntando por mí”, “[...] desconozco el contenido de la llamada realizada a mis padres, puesto que no han querido entrar en detalles tras aclararles quienes son estas personas, pero no es muy lógico que me hablen de listas de morosos solo por recibir una llamada sin que les argumentasen algo por teléfono.” 1. En consonancia con lo expuesto en el Fundamento III de esta resolución cabe indicar que la sola circunstancia de que una deuda se encuentre impugnada judicialmente no es óbice para que pueda ser reclamada extrajudicialmente en tanto no exista una resolución judicial firme de la que se derive la inexistencia o inexactitud de la deuda. En el presente asunto, a raíz de la venta de una cartera de créditos celebrada el 18 de diciembre de 2019 entre los que figuraba la deuda que el reclamante mantenía con la reclamada, la empresa cesionaria, en cuyo nombre actuaba su encargada de tratamiento, la gestora de cobros, pasó a ser la titular de la deuda derivada del contrato de tarjeta de crédito que el reclamante y la entidad financiera reclamada habían suscrito en el año 2006. Como queda dicho, frente a la tesis que defiende el reclamante, el contrato del que derivaba la deuda objeto de la cesión era en esa fecha un contrato existente y válido, pues los efectos de la sentencia dictada en primera instancia, que declaró la nulidad del contrato de tarjeta de crédito del que nacía la deuda a cargo del reclamante que se vendió a la cesionaria, quedaron suspendidos como consecuencia del recurso de apelación interpuesto frente a ella por la parte demandada. El tratamiento de los datos del reclamante efectuado por la gestora de cobros con la finalidad de requerirle el pago de una deuda existente se enmarca en el que resultaba necesario para cumplir las obligaciones que dimanaban del contrato que la gestora de cobros había celebrado con la cesionaria, de manera que el fundamento jurídico del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 tratamiento que la reclamada 2 llevó a cabo -el requerimiento al reclamante por vía extrajudicial del pago de la deuda- estaba amparado en el artículo 6.1.
33. b)RGPD. Resulta por ello que, pese a estar impugnada judicialmente la validez del contrato del que procedía la deuda reclamada y, pese a que la sentencia dictada por el Juzgado de Primera Instancia fue favorable a las pretensiones del reclamante, hasta que no se resolvió el recurso de apelación interpuesto frente a ella y ganó firmeza la dictada en segunda instancia, la cesionaria del crédito y, en su nombre, su encargada de tratamiento, estaba legitimada para continuar tratando los datos personales del reclamante con la finalidad de requerirle extrajudicialmente el pago de la deuda; tratamiento amparado en la base jurídica prevista en el artículo 6.1.
34. b)del RGPD. Es importante señalar que la gestora de cobros cesó en el tratamiento de los datos del reclamante con la finalidad de requerirle el pago de la deuda meses antes de que fuera firme la sentencia de la Audiencia Provincial que confirmaba, en lo relativo al contrato de tarjeta de crédito, la nulidad declarada por el Juzgado de Primera Instancia. Obra en el expediente la carta de fecha 30 de noviembre de 2020 mediante la que la gestora comunica al reclamante que había bloqueado sus datos personales con la finalidad de examinar su caso. No se ha tenido noticia en esta Agencia de que, con posterioridad a esa fecha, 30 de noviembre de 2020, el reclamante hubiera recibido nuevos requerimientos de pago. Además, como se ha indicado anteriormente, el reclamante ha manifestado que desde agosto la gestora de cobros canceló sus datos personales. En consecuencia, no se aprecia indicio de infracción de la normativa de protección de datos en los requerimientos de pago que la gestora de cobros, encargada de tratamiento de la cesionaria del crédito, dirigió al reclamante, ya se hubieran iniciado éstos en enero de 2020 -como sostiene en su reclamación complementaria- o en marzo de ese año. Desde el 18 de diciembre de 2019 la cesionaria ostentaba la titularidad del crédito frente al reclamante; crédito que únicamente podía reputarse inexistente a partir de la firmeza de la sentencia de la Audiencia Provincial que resolvió la apelación y confirmó el fallo de la primera instancia en lo referente a la declaración de nulidad del contrato de tarjeta de crédito: sentencia dictada el 6 de julio de 2021 y cuya firmeza se notificó al reclamante por el Juzgado de Primera Instancia el 10 de septiembre de 2021. 2. Han de examinarse dos cuestiones más que el reclamante plantea en sus escritos. 2.1. Ha mencionado que la gestora de cobros se negó a cancelar sus datos personales pese a que tanto él como su abogado le habían dirigido escritos informándole de que existía una sentencia -la dictada en Primera Instancia el 2 de enero de 2020- que declaraba nulo el contrato del que procedía la deuda. Partimos de la premisa de que la responsable de esos tratamientos era la cesionaria del crédito y de que era ella la obligada a atender el ejercicio de los derechos que reconoce el RGPD. La cesionaria actuaba por medio de su encargada de tratamiento, la gestora de cobros, y así se lo comunicó al reclamante, deudor cedido, en la carta de 28 de enero de 2020 en la que le informaba de la operación de venta de créditos por la reclamada. En ese escrito le comunicaba que podría ejercer sus derechos de protección de datos a través de la dirección compliance@gescobro.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 El RGPD regula los derechos de “supresión” y de “limitación del tratamiento” en los artículos 17 y 18 respectivamente. El término cancelación al que aludía la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) para referirse a uno de los derechos otorgados a los titulares de los datos no aparece en el RGPD. A tenor del artículo 17.1 RGPD “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
35. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
36. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
37. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
38. d)los datos personales hayan sido tratados ilícitamente;
39. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
40. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.” (El subrayado es nuestro) El artículo 18.1 del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:
41. a)el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;
42. b)el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;
43. c)el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;
44. d)el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.” (El subrayado es nuestro) El artículo 17.1 RGPD reconoce al interesado el derecho a obtener del responsable del tratamiento la supresión de sus datos sin dilación indebida y, recíprocamente, obliga al responsable a proceder a la supresión del mismo modo, siempre que concurra alguna de las circunstancias que el precepto relaciona. En el supuesto de hecho que ahora examinamos la cesionaria del crédito no estaba obligada a suprimir los datos personales del reclamante. En este caso el tratamiento era necesario para la ejecución del contrato y no se cumplía ninguna de las hipótesis previstas en el artículo 17.1 RGPD en las que la supresión de los datos resulta obligada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 Hemos de subrayar, además, que la cesionaria procedió al “bloqueo” de los datos personales del reclamante – bloqueo de datos que, durante la vigencia de la LOPD, derivaba del ejercicio del derecho de cancelación - durante un determinado periodo de tiempo: el necesario para estudiar su caso. Así se lo comunicó la gestora al reclamante en un escrito de fecha 30 de noviembre de 2020 que obra en el expediente. Este bloqueo de los datos del reclamante acordado por la cesionaria durante el tiempo que fuera preciso para examinar las circunstancias de su caso se enmarca en el derecho a la “limitación del tratamiento” cuando “el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;” (artículo 18.1.a, RGPD) A la luz de cuanto antecede se concluye que no existe indicio alguno de irregularidad en el hecho de que la cesionaria del crédito no hubiera procedido a la supresión, que no cancelación, de los datos personales del reclamante cuando la deuda estaba impugnada judicialmente, incluso después de dictada sentencia por el Juzgado de Primera Instancia, pues esta sentencia fue recurrida en apelación. Además, varios meses antes de que la Audiencia Provincial dictara sentencia resolviendo la apelación (6 de julio de 2021) y de que ésta fuera firme (el 10 de septiembre de 2021), la encargada de tratamiento había comunicado al reclamante que procedía al bloqueo de sus datos hasta que quedaran esclarecidos los hechos. Por otra parte, en su escrito de reclamación complementaria el reclamante manifiesta que la gestora de cobros procedió en agosto de 2021 a la cancelación de sus datos personales. 2.2. La segunda cuestión es la relativa a la llamada o llamadas telefónicas que la gestora de cobros hizo al domicilio de los padres del reclamante. Esta Agencia, en supuestos análogos al ahora planteado, en los que las empresas de recobro contactan con terceras personas del círculo próximo del deudor como vía para conocer cómo o dónde comunicarse con él, considera que estas conductas no vulneran la normativa de protección de datos de carácter personal y reconoce que las personas del entorno del deudor tienen derecho a solicitar la supresión de sus datos quedando obligado el responsable del tratamiento a atender este derecho. Así, la AEPD ha manifestado en sus resoluciones que “[...] , no vulnera la normativa de protección de datos la obtención, por parte de una entidad o del encargado del tratamiento, de datos adicionales que permitan conocer el domicilio o número de teléfono de un cliente determinado, en supuestos en los que se ha producido un cambio en los mencionados datos, cuando se haya obtenido la información de fuentes de acceso público, de detectives privados o incluso solicitando la información a sus familiares. Ahora bien, el tratamiento de los datos del cliente está legitimado y no procede su supresión si los datos resultan necesarios para el cumplimiento o ejecución del contrato, pero no así el de las personas de su entorno, por lo que, si la entidad responsable o el encargado del tratamiento los estuviesen tratando, deberán proceder a su supresión cuando se hayan actualizado los datos del cliente y, sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 todo, cuando la persona del entorno del cliente ejerza su derecho de supresión.” (El subrayado es nuestro) “Si mantienes una deuda con alguna entidad, ésta puede utilizar los datos personales que le facilitaste con la firma del contrato que origina la deuda para contactar contigo, y así dar continuidad a la relación negocial establecida entre ambos en virtud del citado contrato firmado. En este caso, la entidad que te reclama la deuda intenta recuperarla y por tanto, es lícito que intente contactar contigo en los teléfonos y direcciones que facilitaste. Respecto de las llamadas telefónicas a familiares y amigos, incluyendo al trabajo, se considera que se pueden realizar las mismas siempre y cuando no se les comunique la cuantía de la deuda o la condición de deudor” (El subrayado es nuestro) Conexa con la anterior, surge la cuestión de una posible infracción del principio de confidencialidad (artículo 5.1.f RGPD) en la que podría haber incurrido la gestora de cobros si se llegara a acreditar que con ocasión de las llamadas telefónicas que efectuó al domicilio de los padres del reclamante facilitó alguna información relativa a la existencia de una deuda a su nombre. En su relato de los hechos el reclamante afirma que desconoce “el contenido de las llamadas realizada a mis padres, puesto que no han querido entrar en detalles tras aclararles quienes son estas personas, pero no es muy lógico que me hablen de listas de morosos solo por recibir una llamada sin que les argumentasen algo por teléfono.” A través del comentario transcrito el reclamante parece sugerir que la gestora de cobros informó a sus padres de la existencia de una deuda vinculada a su persona. Sin embargo, más allá de esa sospecha del reclamante, no tenemos ningún elemento de juicio o indicio razonable de que efectivamente la gestora de cobros hubiera facilitado a los padres del reclamante alguna información relativa a existencia de una deuda a su nombre. Por otra parte, esta sospecha del reclamante queda desvirtuada por el relato que él hace en su reclamación, del que resulta que, a raíz de que sus padres consultaran en internet el nombre de la empresa que efectuó la llamada -la gestora de cobros-, comenzó su preocupación por la posible existencia de una deuda a su nombre: “No conformes con esto, se han permitido la licencia de llamar a casa de mis padres indicando que llaman de la empresa [el nombre de la gestora de cobros] preguntando por mí, y como es de lógica mis padres, que son personas mayores, al consultar el teléfono y la empresa en internet se han llevado un disgusto enorme y se han preocupado, insistiendo en que les dijese el importe que adeudaba para abonarlo [....]” (El subrayado es nuestro) Así las cosas, tampoco se aprecian indicios de infracción de la normativa de protección de datos de carácter personal en la conducta de la gestora de cobros concretada en los requerimientos de pago que dirigió al reclamante y en el contacto con las personas de su entorno familiar para tratar de comunicar con él. Llegados a este punto es necesario recordar que en el Derecho Administrativo sancionador rigen -con alguna matización, pero sin excepciones- los principios que inspiran el Derecho Penal, entre ellos el de presunción de inocencia consagrado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 artículo 24.2 de la Constitución Española. Principio que impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor y que ha de ser respetado en la imposición de cualesquiera sanciones. Nos remitimos a tal fin a la Sentencia del Tribunal Constitucional, 76/1990. También a la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público en cuyo artículo 28 se establece que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, (…) que resulten responsables de los mismos a título de dolo o culpa”. En su Sentencia 76/1990 el Tribunal Constitucional afirma que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. El Tribunal Supremo (STS de 26/10/1998) advierte que la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” En el supuesto analizado no obran en el expediente elementos que constituyan una prueba de cargo de una pretendida vulneración del RGPD ni pruebas indiciarias que desvirtúen la presunción de inocencia de las entidades reclamadas, debiendo en consecuencia proceder al archivo de las actuaciones de investigación previa practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A., BANCO SANTANDER, S.A., con NIF A39000013, y GESCOBRO COLLECTION SERVICES, S.L.U., con NIF B65257800. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
45. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-051121 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es