1/7 Expediente N.º: EXP202315136 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 8 de septiembre de 2023 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 08 de septiembre de 2023 tuvo entrada en esta Agencia reclamación de Dª A.A.A. (en adelante, la parte reclamante) contra CAIXABANK, S.A. (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de rectificación. La parte reclamante remitió un correo electrónico a la parte reclamada solicitando la rectificación de datos ya que le reclaman una deuda de una tercera persona, de una sociedad de la que dejó de ser administradora. La parte reclamada, tras solicitarle que aportase alguna de esas reclamaciones, le comunicó que estaban investigando el caso, y posteriormente, con fecha 02 de agosto de 2023 “(…) Le informamos que su reclamación ha sido atendida y se han adoptado las medidas necesarias para evitar la reiteración de la situación que nos informa.” Con fecha 31 de agosto de 2023 la parte reclamante recibió un correo electrónico de la entidad DXC dirigido a “Pazo de Robledo, S.L.” reclamándole una deuda en nombre de Caixabank. SEGUNDO: Con fecha 10 de noviembre de 2023 la parte reclamante ha presentado ante esta Agencia un nuevo escrito aportando copia de un SMS recibido en el que se indica que “(…) su cuenta (…) de Caixabank Payments & Consumer E.F.C., E.P.S.A.U. ha sido adquirida por LC ASSET 2 S.A.R. quien a su vez ha encomendado a Link Finanzas la gestión del cobro.” TERCERO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta en esta Agencia que la parte reclamada haya presentado ninguna respuesta. CUARTO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 8 de diciembre de 2023, a los efectos previstos en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada manifiesta que por error no contestó tras la recepción del traslado de la reclamación que le hizo esta Agencia. En cuanto a la reclamación, indica que “(…) (
- i)En fecha 6 de junio del presente, la Reclamante se dirigió a CaixaBank para señalar el hecho objecto de la reclamación, anteriormente indicado. (…). (
- ii)Una vez subsanados los requisitos de identificación, y aportada documentación conforme ya no resultaba ser administradora de la sociedad Pazo de Robledo S.L., así como manifestada por escrito su ausencia de relación con la misma, desde la Oficina del Delegado de Protección de Datos se iniciaron las oportunas acciones (interlocución con la oficina e interlocución con nuestro departamento interno de Morosidad) para gestionar los aspectos señalados por la Reclamante. Finalizadas dichas gestiones, se informó oportunamente que su solicitud había sido atendida (Documento Anexo 2). (…) (
- iv)Finalmente, indicar, en relación a la comunicación recibida por parte de la empresa DXC, unos días después de la atención de su reclamación por parte de la Oficina del Delegado de Protección de Datos, se debe al proceso de actualización de la base de datos por parte de la empresa de recobro. (…) (
- v)Se ha informado al reclamante en el sentido anteriormente indicado, en la carta que se acompaña como Documento Anexo 3, enviada por correo certificado con acuse de recibo.” La parte reclamada aporta copia del escrito remitido a la parte reclamante con fecha 04 de enero de 2024 en el que indica que “En relación a su solicitud y tras las actuaciones relacionadas, le informamos que la AEPD nos ha requerido en relación con una reclamación suya en la que indica que Caixabank le reclama una deuda asociada a una sociedad (Pazo de Robledo, S.L.) con la que ya no tiene relación, cúmplenos indicarle que en nuestros sistemas no existe vinculación de sus datos a la citada mercantil.” QUINTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante ha señalado que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 “- El 12/09/2023 recibí un mail de CaixaBank en el que me indicaban haber atendido mi reclamación y adoptado las medidas necesarias para evitar la reiteración de la situación. - El día 23/10/2023 recibí un SMS de Link Finanzas en el que me indicaban que LC ASSET 2 SARL había adquirido el crédito y ellos llevaban la gestión del cobro. Me reclamaban el pago. - En los días siguientes recibí numerosas llamadas telefónicas reclamándome el pago. - El día 22 de noviembre recibí un email y un SMS, amenazando con incluirme en ASNEF. Ese mismo día les remití un correo solicitando contacto con el responsable de protección de datos de Link Finanzas. - A pesar de tener esta reclamación iniciada, siguieron las llamadas reclamando la deuda. - El 11/12/2023 me remitieron acuse de recibo de mi reclamación. El 12/12/2023 me solicitaron más documentación. - Finalmente, el 26/12/2023 me comunicaron la aceptación de la supresión.” La parte reclamante solicitó a Link Finanzas la supresión de sus datos mediante correo electrónico de fecha 22 de noviembre de 2023. Después de que la parte reclamante facilitase a esa entidad copia de su DNI y copia de la reclamación interpuesta ante esta AEPD, Link Finanzas, con fecha 20 de diciembre de 2023, le contestó que “(…) Procedemos a la limitación preventiva de los datos a la espera de la confirmación de Caixabank de lo que nos indica. Si Caixabank nos confirma, procederemos a la supresión inmediata de sus datos de nuestras bases y lo comunicaremos”. Con fecha 26 de diciembre de 2023 Link Finanzas contesta a la parte reclamante que ““Damos traslado adjunto de la respuesta al ejercicio de su derecho de supresión” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 8 de diciembre de 2023, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de rectificación El artículo 16 del RGPD, que regula el derecho de rectificación de los datos personales inexactos, establece lo siguiente: "El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional". V Conclusión En el presente caso, ha quedado acreditado que la parte reclamante solicitó la rectificación de sus datos ante la parte reclamada dado que le reclamaban una deuda de una entidad de la que actualmente ya no forma parte. La parte reclamada, con fecha 02 de agosto de 2023 le contestó indicando que “(…) Le informamos que su reclamación ha sido atendida y se han adoptado las medidas necesarias para evitar la reiteración de la situación que nos informa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 No obstante lo anterior, la parte reclamante recibió un SMS informándole que “(…) su cuenta (…) de Caixabank Payments & Consumer E.F.C., E.P.S.A.U. ha sido adquirida por LC ASSET 2 S.A.R. quien a su vez ha encomendado a Link Finanzas la gestión del cobro” y varias comunicaciones reclamándole la deuda. Por ello, la parte reclamante se dirigió a Link Finanzas solicitándoles que dejasen de tratar sus datos en relación a dicha deuda, que, tras la aportación de copia del DNI y de la reclamación interpuesta ante esta Agencia, le contestó que “Procedemos a la limitación preventiva de los datos a la espera de la confirmación de Caixabank de lo que nos indica. Si Caixabank nos confirma, procederemos a la supresión inmediata de sus datos de nuestras bases y lo comunicaremos”. Con fecha 26 de diciembre de 2023 Link Finanzas contesta a la parte reclamante que ““Damos traslado adjunto de la respuesta al ejercicio de su derecho de supresión” En el supuesto aquí analizado, si bien es cierto que la parte reclamada contestó a la parte reclamante indicándole que atendía su derecho, lo cierto es que la parte reclamante siguió recibiendo requerimientos de Link Finanzas, entidad que se encarga de la gestión de cobro en nombre de la empresa que compró la deuda a la parte reclamada, para que abonase la deuda. Durante la tramitación del presente procedimiento, con fecha 04 de enero de 2024, la parte reclamada ha remitido un escrito a la parte reclamante en el que indica que “En relación a su solicitud y tras las actuaciones relacionadas, le informamos que la AEPD nos ha requerido en relación con una reclamación suya en la que indica que Caixabank le reclama una deuda asociada a una sociedad (Pazo de Robledo, S.L.) con la que ya no tiene relación, cúmplenos indicarle que en nuestros sistemas no existe vinculación de sus datos a la citada mercantil.” En consecuencia, procede estimar, por motivos formales, la reclamación presentada al haberse atendido el derecho completamente durante la tramitación del presente procedimiento sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero en orden a emitir una nueva certificación sobre la atención del derecho al haberse atendido extemporáneamente, Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por Dª A.A.A., contra CAIXABANK, S.A.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse atendido el derecho extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A. y a CAIXABANK, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es