PD-00121-2024

1/8  Expediente N.º: EXP202400625 RESOLUCIÓN N.º: R/01072/2024 Vista la reclamación formulada el 21 de noviembre de 2023 ante esta Agencia por A.A.A., contra CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A., por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció derecho de acceso frente a CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A. con NIF A08980153 (en adelante, el reclamado) y su solicitud, según manifiesta la parte reclamante, no recibió la contestación legalmente establecida. La parte reclamante pone de manifiesto que solicitó su derecho de acceso el 30 de marzo de 2023 pidiendo, específicamente, los números de contratos de los que hubieran cedido los derechos de crédito a la empresa EOS SPAIN, S.L, así como la documentación que hayan firmado relativa a esos contratos. Asimismo, afirma que recibió respuesta parcial al derecho de acceso ejercido no recibiendo respuesta respecto a los contratos antes citados. La parte reclamante aporta diversa documentación relativa a la reclamación planteada ante esta Agencia y sobre el ejercicio del derecho ejercitado, en particular: Copia de la carta recibida en la que se le notifica la cesión de los derechos de crédito; Copia del escrito de solicitud de derecho de acceso; Copia de las respuestas recibidas respecto a dicha solicitud. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. Con fecha 4 de marzo de 2024, la parte reclamada presentó en el Registro Electrónico de la AEPD respuesta a la actuación de traslado y solicitud de información conforme a la cual manifestaba que: "La cesión de crédito es una operación por la cual un acreedor (cedente del derecho de crédito) transmite a un tercero (cesionario) los derechos de cobro derivados de un crédito pendiente, y se encuentra regulada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Código Civil (artículo 1526 y siguientes) y en el Código de Comercio (artículo 347 y siguientes). El deudor original (deudor cedido), cuya obligación de pago es objeto de cesión, no es parte del negocio de cesión puesto que la normativa anteriormente citada no requiere la manifestación de consentimiento alguno para que la operación de cesión de créditos se produzca. La reclamante, en su condición de deudor cedido, recibió las oportunas notificaciones de la operación que se llevó a cabo, otorgada mediante escritura pública notarial. En dichas notificaciones se comunican las consecuencias de la cesión realizada, especialmente, en materia de protección de datos de carácter personal. En relación al ejercicio de derechos por la reclamante, cúmplele a CaixaBank Payments & Consumer informar que la reclamante ejerció el derecho de acceso de sus datos de carácter personal con fecha 30 de marzo de 2023 ante ella, quien dio respuesta al mismo mediante cartas de fechas 25 de abril y 10 de mayo de

1. Sin perjuicio de lo anterior, CaixaBank Payments & Consumer vuelve a dar respuesta a este nuevo derecho de acceso ejercido por la reclamante en el marco de su reclamación, mediante el envío, al domicilio postal de la misma que consta en los sistemas de aquélla - C/. Roger de LLuria, nº 134, BJ 3, 08223 TERRASSA (BARCELONA) (en fecha 6 de marzo de 2023)." CAIXABANK, S.A. y NUEVO MICRO BANK, S.A.U. manifiestan que: "El crédito objeto de cesión no corresponde a esta mercantil (CaixaBank) sino a CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.U. empresa del Grupo CaixaBank. (...) Con motivo de la presente reclamación se ha facilitado respuesta a la reclamante en los mismos términos que lo trasladado a la Agencia en el presente escrito." TERCERO: La presente autoridad, teniendo en cuenta tales circunstancias, mediante resolución de fecha 11 de marzo de 2024 procedió al archivo de la reclamación, al considerar, una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, a la vista de las actuaciones realizadas, que la solicitud de la parte reclamante había sido atendida de conformidad con la normativa de protección de datos personales. CUARTO: Disconforme con la resolución, en fecha 11/03/2024 la parte reclamante interpuso recurso de reposición argumentando, que se había producido una interpretación errónea del objeto reclamado puesto que no se trataba de que no se hubiera dado respuesta al derecho de acceso, sino que lo que sucedió es que la respuesta fue parcial, no facilitándose todo lo solicitado. QUINTO: Ante dicha interposición, en fecha 25/06/204, la presente autoridad dictó resolución del recurso de reposición presentado, procediendo a estimar el mismo en base a los siguientes argumentos: “…Pues bien, en el caso analizado, la parte recurrente argumenta que no formuló reclamación por denegación del artículo 15 del RGPD, sino por vulneración del artículo 4 del RGPD. Se debe precisar que la parte recurrente aportó el escrito de fecha 30 de marzo de 2023 en el que se ejercía “el DERECHO DE ACCESO Y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 CONSULTA a mis datos” de conformidad con lo dispuesto por el RGPD para acreditar su solicitud no atendida. Además, hay que precisar que el artículo 15 del RGPD recoge el contenido de los datos personales que deben ser facilitados a las personas interesadas que les conciernan, según la definición de dato personal que establece el artículo 4 del RGPD. Así, la parte reclamada en respuesta a la actuación de traslado y solicitud de información manifestó que, con fecha 18 de diciembre de 2020, se procedió a la firma de un contrato de compraventa de derechos de crédito, entre los que se encontraban los de la parte recurrente, con EOS SPAIN, S.L., por lo que este último pasaba a ser el nuevo acreedor de la parte recurrente. Se expuso que se notificó a la parte recurrente su nueva condición de deudor cedido, como así ha quedado acreditado con la documentación aportada por esta de fecha 17 de febrero de
2. También, se informó de que se había procedido a contestar a la solicitud de acceso de la parte recurrente en fechas 25 de abril y 10 de mayo de 2023, denegando de forma motivada porque salvo aquellos datos personales tratados con la finalidad de tramitar su solicitud, no constaba en sus ficheros ningún dato de carácter personal que le concerniera. No obstante, ante la reclamación formulada por la parte recurrente, procedieron a remitir nueva contestación de fecha 6 de marzo de
3. Por último, la parte reclamada en contestación al trámite de audiencia del presente recurso de reposición ha expuesto que ha dado respuesta a la parte recurrente, facilitando los códigos numéricos de contratación cuyos derechos de crédito han sido cedidos a la empresa EOS SPAIN, S.L. Sin embargo, no se ha acreditado ni el envío ni la recepción de dicha contestación. Asimismo, tampoco se ha acreditado la respuesta facilitando o denegando motivadamente la documentación en la que se muestren los datos personales y la firma de la parte recurrente.” En base a dichos argumentos la parte dispositiva de la resolución concluía indicando lo siguiente: “ESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada en fecha 11 de marzo de 2024, por la que se acordaba el archivo de la reclamación referida a CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A., a fin de que prosiga su tramitación.” SEXTO: Como consecuencia de la estimación del citado recurso de reposición, se procedió a la apertura del presente procedimiento de derechos, dando traslado de la documentación a la parte reclamada, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La misma procedió a su presentación mediante escrito en fecha 15/07/2024 señalando, en síntesis, lo siguiente: En primer lugar, afirma que a lo largo del procedimiento ha quedado acreditado que el derecho de acceso ha sido atendido por CaixaBank Payments & Consumer, la cual, además, lo ha atendido otra vez en el marco del recurso de reposición presentado por la reclamante. Asimismo, aporta copia de la carta remitida a la reclamante dando respuesta y atendiendo nuevamente el ejercicio del derecho de acceso, a la dirección postal que de la misma consta en sus sistemas, justificante del envío, y certificación de imposibilidad de entrega emitida por Correos en la que consta que el envío ha resultado Devuelto a Origen por Sobrante, al no retirarse por la destinataria de la Oficina postal. Finaliza su escrito afirmando que la falta de recepción de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 documentación es imputable a la reclamante puesto que ellos lo han remitido correctamente. SÉPTIMO: Una vez examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de diez días hábiles formulase las alegaciones que considere oportunas. En fecha 16/07/2024 se recibió presentación de las mismas señalando, en síntesis, lo siguiente: Afirma que no ha recibido comunicación alguna de Correos y que, en todo caso, en su solicitud ya indicó expresamente que la respuesta le fuera remitida a la dirección de correo electrónico que facilitaba. OCTAVO: Otorgada audiencia de nuevo a la parte reclamada respecto a tales manifestaciones, mediante escrito presentado el 09/08/2024 la misma manifestó, en síntesis, lo siguiente: Se reitera en la validez del medio de remisión utilizado para satisfacer el derecho ejercido por la reclamante e informa de que, no obstante, ha procedido a atender su petición de forma excepcional remitiendo la información al correo electrónico indicado por la reclamante. Aporta copia de la documentación remitida y del correo electrónico enviado. En la documentación remitida se observa que consta el número de los contratos cedidos pero no se hace referencia a todos los aspectos recogidos en el artículo 15 del RGPD, ni tampoco a documentación firmada relativa a esos contratos ni otros documentos cedidos en los que consten los datos personales de la reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. En el caso que nos ocupa, la apertura del presente procedimiento tiene su origen en la estimación del recurso administrativo interpuesto por la reclamante por no haber respondido de forma completa a la solicitud de acceso formulada por la parte reclamante, en virtud de lo establecido en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de Acceso y transcurrido el plazo establecido en las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible, dado que no se facilitó el acceso requerido. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. En este caso, sin embargo, consta que durante la tramitación de la reclamación que da lugar al presente procedimiento, formulada precisamente por esa falta de respuesta adecuada a la solicitud de ejercicio de derechos, la parte reclamada ha aportado documentación acreditando la comunicación remitida al interesado atendiendo parcialmente el derecho solicitado, pero sin informar sobre la decisión adoptada a propósito del resto de aspectos referidos por la reclamante en el ejercicio de su derecho. Asimismo, esta respuesta, por tanto, se produce una vez rebasado el plazo establecido. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD, e instar a CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A. con NIF A08980153, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a CAIXABANK PAYMENTS & CONSUMER, E.F.C., E.P., S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1037-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es