← España

PD-00295-2025

1/9  Expediente N.º: EXP202513270 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 19 de junio de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Supresión frente al BANCO CETELEM, S.A. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante manifiesta que la reclamada, BANCO CETELEM, ha realizado llamadas de reclamación de una deuda derivada del impago de cuotas de la financiación de su vehículo, dirigidas a sus padres, sin su consentimiento. Señala que, tras solicitar el 13 de febrero de 2024 la supresión de dos números de teléfono (***TELÉFONO.1 y ***TELÉFONO.2) que pertenecen a sus familiares, recibe respuesta el 28 de febrero de 2024, informándole que proceden a suprimir estos números. Indica que tras la respuesta recibida vuelven a realizar llamadas a uno de dichos números de teléfono. Junto a su reclamación aporta comunicaciones con la reclamada, informando de nuevas llamadas tras la resolución de supresión de 28 de febrero de

  1. El 18 de marzo de 2024 la parte reclamante envía correo electrónico a la parte reclamada informándole que se han vuelto a recibir llamadas a los números suprimidos (se adjunta pantallazo de las llamadas recibidas). El 22 de marzo de 2024 CETELEM da respuesta al reclamante y le confirma que, como consecuencia de un error manual, se han producido nuevas llamadas a uno de los números de teléfono suprimidos, y confirma que dicho fallo ha sido subsanado. El 19 de junio de 2025 la parte reclamante vuelve a contactar mediante correo electrónico con la parte reclamada para informarle de que están recibiendo llamadas a personas cercanas a él (compañeros, socios) y que no se están poniendo en contacto directamente con él. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 La parte reclamada con fecha 29 de septiembre de 2025 presenta las siguientes alegaciones relativas a los hechos controvertidos: “El día 18 de abril de 2007, el Reclamante formalizó con mi representada un contrato de línea de crédito con un sistema flexipago asociado, en el que se facilitó como número de teléfono de contacto el ***TELÉFONO.2 (en adelante, el “Teléfono A”). Dicho contrato fue cancelado en el mes de diciembre del año
  2. Se aporta, como DOCUMENTO NÚMERO 1, copia del contrato formalizado entre CETELEM y el Reclamante. El 27 de abril de 2023, el Reclamante formalizó un nuevo contrato de préstamo de financiación con mi representada (en adelante, el “Contrato”), mediante el cual se financia por CETELEM la adquisición de un vehículo de la marca Mercedes Benz por un importe de ***CANTIDAD.
  3. dicho importe debía ser abonado en ciento veinte

(120)cuotas, por un importe de ***CANTIDAD.2 cada una de ellas, a excepción de la primera. El número de teléfono aportado a efectos de contacto por el Reclamante en el Contrato fue el ***TELÉFONO.3 (en adelante, el “Teléfono B”). Se aporta, como DOCUMENTO NÚMERO 2, copia del contrato formalizado entre CETELEM y el Reclamante y como DOCUMENTO NÚMERO 3 el Certificado de Logalty. (…) Sin embargo, ante la imposibilidad de contactar con el Reclamante se procedió a la búsqueda de medios adicionales mediante los cuales poder localizar al Reclamante, e informarle del estado de la deuda y efectuar la gestión del cobro de la deuda impagada para su regularización. SEGUNDO. – Es preciso tener en cuenta que la Ley 16/2011, de Contratos de Crédito al Consumo establece en su artículo 20.3 que “el prestamista informará al consumidor sin demora de los siguientes extremos:
  1. a)Del descubierto tácito,
  2. b)Del importe del descubierto tácito,
  3. c)Del tipo deudor,
  4. d)De las posibles penalizaciones, gastos o intereses de demora aplicables”. A mayor abundamiento, la Circular 5/2012, de 27 de junio, del Banco de España, a entidades de crédito y proveedores de servicios de pago, sobre transparencia de los servicios bancarios y responsabilidad en la concesión de préstamos establece en su Anejo 6 sobre Principios generales aplicables para la concesión de préstamos responsables, lo siguiente: “9. En el caso de incumplimiento de sus obligaciones de pago por parte del prestatario, y antes de abordar acciones como la exigencia del total del préstamo o crédito o el recurso a los tribunales, la entidad deberá advertir al prestatario de las potenciales consecuencias, en términos de coste por intereses moratorios u otros gastos, que supondría el mantenimiento del impago, y de las posibilidades y consecuencias que tendría sobre sus intereses y bienes la potencial ejecución de la deuda.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 Así, considerando las normas citadas, CETELEM dispone de una obligación legal de informar a los deudores sobre su posición deudora, las consecuencias de la misma y tratar de solventar la situación. En este sentido, al no poder localizar al Reclamante en el Teléfono B ni a través de correos electrónicos remitidos a la dirección electrónica aportada en su contrato, mi representada procedió a la identificación de un nuevo medio de contacto del Reclamante y, así, CETELEM pudiera informarle sobre aquellos aspectos que le requiere la norma. […]” Por lo anterior, se accedió al número de Teléfono A que el Reclamante facilitó en su primer contrato suscrito con mi representada. En este sentido, es relevante destacar que el acceso y tratamiento de este dato se realizó al amparo del interés legítimo de mi representada de localizar al Reclamante e informarle sobre la deuda, ante la imposibilidad de localización del mismo por otras vías. Así, el dato recuperado fue incluido dentro del expediente del nuevo crédito del Reclamante con la única finalidad de localizar al Reclamante, sin revelar en ningún momento ningún tipo de información relativa a la deuda o a la situación financiera del Reclamante, tal y como hemos podido confirmar. El Reclamante, no el titular del número de teléfono, como señala en su escrito de reclamación ante esa AEPD, solicitó a mi representada con fecha 12/02/2024, la supresión de los números de teléfono ***TELÉFONO.2 y ***TELÉFONO.1, a través de escrito que aporta en la documentación de este expediente. En respuesta a dicho escrito, mi representada confirmó que el número de teléfono ***TELÉFONO.1 no había sido utilizado en ningún momento, y en relación al número de teléfono ***TELÉFONO.2 se confirmó que no se usaría para su localización el 21.03.2024. TERCERO. - A la vista de todo lo anterior, mi representada quiere poner de manifiesto que, en todo momento se ha respetado la privacidad del Reclamante de conformidad con lo exigido por el artículo 52 del Código, conforme al cual “en ningún caso debe informarse a ninguna persona distinta del Deudor de la existencia o situación de la deuda”. Por tanto, la utilización del número de teléfono respondió a un uso puntual debido a la falta de localización del Reclamante y debido a que este, tras incumplir el contrato por no efectuar el pago de la deuda pendiente, no ha facilitado ningún otro medio de contacto válido pese a ser conocedor de esta situación. Así, al tener mi representada la obligación de localizar a sus clientes para informar fehacientemente del estado de su deuda para su regularización, el objetivo del Reclamante no es otro que evitar su localización, puesto que, aunque se comprometió contractualmente a mantener los datos actualizados no ha cumplido con dicho compromiso. CETELEM ha procedido en todo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 momento considerando que las gestiones de recobro se han realizado bajo el principio de proporcionalidad y con el objetivo legítimo de contactar con el Reclamante, sin revelar información sobre su deuda a terceros. Por lo anterior, consideramos que, las actuaciones realizadas por mi representada se han enmarcado dentro de la actividad legítima del recobro, sin que en ningún momento se haya puesto en riesgo la confidencialidad de los datos del Reclamante. Por todo ello, y dado que se han satisfecho los intereses del Reclamante, considera mi representada que procede la inadmisión a trámite de la reclamación objeto del presente expediente.” TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. Con fecha 19 de septiembre de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 8 de octubre de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: “Mi representada quiere poner de manifiesto que los escritos presentados por el Reclamante fueron debidamente atendidos dentro del plazo legal establecido, y se procedió a la supresión del Teléfono A objeto de la solicitud, en cumplimiento de los dispuesto en el artículo 17 del Reglamento (UE) 2016/679 (RGPD) relativo al derecho de supresión de datos. Asimismo, y tal y como indicamos en nuestro anterior escrito de fecha 29 de septiembre de 2025, mi representada quiere volver a poner de manifiesto que en todo momento se ha respetado la privacidad del Reclamante de conformidad con lo exigido por el artículo 52 del Código, conforme al cual “en ningún caso debe informarse a ninguna persona distinta del Deudor de la existencia o situación de la deuda”. Por todo ello, consideramos que se han satisfecho los intereses del Reclamante y que las actuaciones realizadas por mi representada se han enmarcado dentro de la actividad legítima del recobro, sin que en ningún momento se haya puesto en riesgo la confidencialidad de los datos del Reclamante.” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas, formulando, en síntesis, las siguientes alegaciones: “Primero. – Infracción del principio de licitud, lealtad y confidencialidad (artículo 5.1.a y f del RGPD). El reconocimiento por parte de Cetelem de que continuó realizando llamadas al teléfono de un familiar tras comprometerse a suprimirlo constituye una vulneración directa del principio de integridad y confidencialidad de los datos personales. Un “error manual” no exime de responsabilidad, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 acuerdo con el artículo 5.2 del RGPD, que impone al responsable la obligación de demostrar el cumplimiento de los principios de protección de datos (“responsabilidad proactiva”). Segundo. – Vulneración del derecho de supresión (artículo 17 del RGPD). Una vez ejercido el derecho de supresión y confirmado por la entidad, el tratamiento posterior de ese número telefónico es manifiestamente ilícito, pues se trata de un dato que debía haber sido eliminado. El propio reconocimiento del “error” demuestra que no existieron medidas técnicas y organizativas adecuadas para garantizar la efectiva eliminación del dato o que dichos datos son distribuidos a terceros con tan poco rigor que no tienen capacidad para controlar dónde o cómo esos datos son gestionados. Tercero. – Tratamiento ilícito de nuevos datos de contacto (artículo 6 del RGPD). Cetelem admite haber realizado búsquedas activas de nuevos teléfonos mediante INFORMA D&B y haber contactado con una empresa vinculada al reclamante. Este tratamiento carece de base jurídica válida: ● No existe consentimiento del afectado. ● No puede ampararse en el “interés legítimo” del responsable (art. 6.1.f RGPD), dado que afecta a derechos fundamentales de terceros no deudores y excede claramente lo necesario para la gestión de un impago. ● La obtención y uso de datos de terceros sin relación contractual supone un tratamiento desproporcionado y contrario al principio de minimización de datos (art. 5.1.c RGPD). Cuarto. – Comunicación indirecta de la condición de deudor a terceros. Aunque Cetelem alega no haber “revelado” la deuda, el mero hecho de contactar con familiares o empresas asociadas para “localizar” al reclamante permite inferir su situación de morosidad, vulnerando su intimidad y la confidencialidad del tratamiento. Este tipo de prácticas ha sido reiteradamente sancionado por la AEPD (por ejemplo, procedimientos PS/00213/2020 y PS/00324/2022).” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 19 de septiembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  5. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  6. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  7. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9
  8. d)los datos personales hayan sido tratados ilícitamente;
  9. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  10. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  11. a)para ejercer el derecho a la libertad de expresión e información;
  12. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  13. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  14. h)e i), y apartado 3;
  15. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  16. e)para la formulación, el ejercicio o la defensa de reclamaciones". V Conclusión En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de Supresión y transcurrido el plazo establecido en las normas antes señaladas, su solicitud obtuvo la respuesta legalmente exigible, dado que se facilitó la supresión requerida el 28 de febrero de 2024, tal y como acredita la parte reclamante mediante escrito recibido de la parte reclamada, en el que la entidad confirma la eliminación del uno de los números ***TELÉFONO.2, ya que del otro ***TELÉFONO.1 dicen no tenerlo en su base de datos y la conservación exclusiva del teléfono personal del reclamante. Si bien posteriormente la parte reclamada utilizo este número de teléfono para ponerse en contacto de nuevo con el reclamante, y ante una nueva petición por parte del reclamante de la supresión de este dato, el 22 de marzo de 2024 CETELEM informa al reclamante que como consecuencia de un error manual se habían producido nuevas llamadas al número suprimido, y confirma que dicho fallo ha sido subsanado. Por tanto, en este caso, consta que durante la tramitación de la reclamación que da lugar al presente procedimiento, la parte reclamada ha aportado documentación acreditando la comunicación remitida al interesado atendiendo el derecho o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 informando sobre la decisión adoptada a propósito de la solicitud. Esta respuesta, por tanto, se produce una vez rebasado el plazo establecido. A este respecto, cabe precisar que la respuesta que corresponde realizar no puede manifestarse con ocasión de un mero trámite administrativo. Por consiguiente, considerando que el presente procedimiento tiene como objeto que las garantías y los derechos de los afectados queden debidamente restaurados, conjugando la información obrante en el expediente con la normativa referida en los apartados precedentes, procede estimar por motivos formales la presente reclamación al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable del fichero en orden a emitir una nueva certificación sobre la atención del derecho. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A., contra BANCO CETELEM, S.A. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a BANCO CETELEM, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.