PD-00329-2025

1/9  Expediente N.º: EXP202515899 (PD/00329/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 31 de julio de 2025 ante esta Agencia Española de Protección de Datos, (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso frente a la entidad PEPPER FINANCE CORPORATION, S.L. con CIF.: B86961612 (en lo sucesivo, PEPPER FINANCE o la parte reclamada). El reclamante manifiesta que el 16/06/2025 recibió una llamada telefónica en su número personal procedente de una gestora que actuaba en representación de la entidad Pepper, durante la cual se le solicitó que trasladara un mensaje destinado a un tercero, concretamente a su tío paterno, lo que evidencia que su número de teléfono personal estaba siendo tratado como dato de contacto asociado a otra persona, sin haber prestado consentimiento alguno. Ante la consulta formulada a la operadora sobre el origen del número, esta indicó que figuraba en la ficha del cliente. Posteriormente, al contactar con el servicio de atención al cliente de la entidad, se le comunicó que los datos tratados procedían de los propios interesados. No obstante, la tercera persona ha declarado que nunca facilitó el número del reclamante ni otorgó autorización para su utilización en el marco de su relación contractual con la entidad. Manifiesta que el 30/06/2025 ejerció formalmente su derecho de acceso ante la entidad, solicitando información detallada sobre el origen exacto de su número de teléfono en las bases de datos de la reclamada, incluyendo la fecha de incorporación y la fuente de procedencia, así como la base jurídica del tratamiento, su finalidad, los destinatarios de los datos y el plazo de conservación. Indica que el 28/07/2025, recibió de la entidad una respuesta que, según su parecer no atendió al contenido ni a la naturaleza jurídica del derecho ejercitado, al desviar la solicitud hacia una supuesta petición de rectificación y exigir la aportación de un certificado de titularidad del número de teléfono, sin facilitar ninguna de las informaciones solicitadas relativas al tratamiento de datos y considera dicha exigencia improcedente y carente de fundamento, en la medida en que el dato no fue facilitado por él, no cuenta con su consentimiento y su tratamiento sería ilegítimo desde su origen. Al no haberse proporcionado información alguna sobre el origen del dato, la base jurídica del tratamiento ni el resto de los extremos exigidos por la normativa, entiende que la respuesta constituye una obstrucción al ejercicio del derecho de acceso. Junto al escrito de reclamación presenta, entre otra, la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 - Fechado el 30/06/2025, correo electrónico remitido por el reclamante a ***EMAIL.1 y ***EMAIL.2, con el Asunto: “Ejercicio de derecho de acceso”, mediante el cual formula una reclamación por el tratamiento indebido de su número de teléfono y ejerce formalmente el derecho de acceso, solicitando información detallada sobre el origen del dato, base jurídica, finalidad, destinatarios y plazo de conservación. - Fechado el 30/06/2025, correo electrónico remitido por el reclamante a ***EMAIL.1 y ***EMAIL.2, con el Asunto: “Ejercicio de derecho de acceso”, consistente en una copia del mismo escrito anterior, reproduciendo la reclamación por el uso indebido del número personal del interesado y el ejercicio del derecho de acceso. - Fechado el 28/07/2025, correo electrónico remitido por el Departamento de Protección de Datos de Pepper Finance ***EMAIL.3 al reclamante, con el Asunto: “SOLICITUD DOCUMENTACION TITULARIDAD”, en el que solicita la aportación de un certificado de titularidad del número de teléfono para proceder a su modificación: o “Desde el departamento de Protección de Datos nos ponemos en contacto con usted en contestación a su comunicación por la que solicita la rectificación de sus datos personales. A estos efectos, tras revisar la situación que nos traslada, con carácter previo queremos rogarle nos disculpe por las molestias que estas comunicaciones le hayan podido ocasionar, pues el teléfono se asocia como método de contacto a determinada operación de crédito. No obstante lo anterior, con el objetivo de dar curso a su pretensión y atender a su solicitud de modificación del dato, le rogamos que previamente nos remita certificado de titularidad del dato a modificar, en este caso el número de teléfono que nos indica. Conforme a lo dispuesto en el Reglamento 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 relativo a la protección de datos de las personas físicas, informarle que usted tiene derecho a presentar reclamación ante la Agencia Española de Protección de datos”. SEGUNDO: En fecha 1 de octubre de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica el 02/10/2025 que tuvo como resultado: “Fecha de acceso al contenido de la notificación: 03/10/2025”, como consta en el justificante de recibo que figura en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 TERCERO: En fecha 3 de noviembre de 2025, la entidad reclamada remite a esta Agencia escrito de respuesta a la solicitud de información manifestando en el mismo que recibió la reclamación y afirma haber atendido el ejercicio de derechos presentado por el reclamante, señalando que la solicitud de acceso fue contestada el 28/07/

1. Indica que la llamada que originó la reclamación fue consecuencia de una incidencia derivada de una solicitud previa del propio reclamante, si bien reconoce que éste no es cliente de la entidad. Respecto al derecho de acceso, sostienen que su respuesta fue correcta y se ajustó al procedimiento, justificando que solicitaron un certificado de titularidad del número para poder verificar la identidad y tramitar adecuadamente el derecho ejercitado. Añaden que dicho requisito de acreditación de titularidad obra en el expediente remitido a la AEPD y que su finalidad es exclusivamente garantizar la seguridad en la tramitación. CUARTO: En fecha 1 de noviembre de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: En fecha 4 de noviembre de 2025, de conformidad con las previsiones del artículo 118 de la LPACAP, se concedió trámite de audiencia a la parte reclamada para que formulase las alegaciones que estimase procedentes. SEXTO: En fecha 20 de noviembre de 2025, la parte reclamada presenta escrito de alegaciones en el que manifiesta haber recibido la comunicación de admisión a trámite de la reclamación y sostiene que la solicitud de derecho de acceso presentada el 30/06/2025 no cumplía los requisitos necesarios, al no haberse acreditado suficientemente la titularidad del dato objeto de acceso. Afirma que, dentro del plazo legal de un mes, contestó al reclamante el 28/07/2025, informándole de la necesidad de aportar un certificado de titularidad del número de teléfono como requisito previo para atender la solicitud y añade que, al no haberse aportado dicha acreditación, no fue posible acceder favorablemente al derecho ejercitado por falta de identificación suficiente del interesado. La entidad indica que, a efectos de reiterar su posición y ratificar la contestación inicial, ha vuelto a responder al reclamante, manteniendo que la solicitud fue atendida en tiempo y forma y que no procede estimarla sin la documentación exigida. Junto al escrito la entidad reclamada presenta la siguiente documentación: - Fechado el 30/06/2025, correo electrónico remitido por A.A.A. ***EMAIL.4 a Cliente ***EMAIL.1 y Protección de Datos ***EMAIL.3, con el Asunto: “Ejercicio de derecho de acceso”, mediante el cual se formula una reclamación por el tratamiento indebido de su número de teléfono tras la recepción de una llamada realizada por o en nombre de la entidad reclamada, expone la ausencia de consentimiento y de base jurídica legitimadora para dicho tratamiento, y ejerce formalmente el derecho de acceso solicitando información concreta y fehaciente sobre el origen del dato, la fecha, la base jurídica del tratamiento, la finalidad, los destinatarios y el plazo de conservación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 SÉPTIMO: En fecha 24 de noviembre, se concedió a la parte reclamante trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. OCTAVO: En fecha 4 de diciembre, por parte reclamante presenta escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: - Sostiene que la entidad reclamada no atendió su solicitud como un ejercicio del derecho de acceso, pese a haberlo formulado expresamente el 30/06/
2. - Alega que la respuesta remitida por la entidad el 28/07/2025 no contenía ningún elemento propio de una contestación al derecho de acceso, sino que recondujo indebidamente la solicitud hacia una supuesta petición de rectificación del dato, exigiendo la aportación de un certificado de titularidad del número de teléfono, requisito que no fue planteado como condición para identificar al interesado ni para verificar su identidad, sino exclusivamente como presupuesto para una hipotética modificación del dato. - Añade que en la respuesta inicial de la entidad no se cuestionó en ningún momento su identidad ni se alegó falta de identificación para atender el acceso, limitándose la reclamada a afirmar que necesitaba acreditar la titularidad del dato para proceder a su modificación, lo que evidenciaría que la exigencia documental no estaba vinculada al ejercicio del derecho de acceso y destaca que solo tras la intervención de la AEPD la entidad modifica su relato, introduciendo por primera vez el argumento de la “falta de identificación suficiente” como causa para no atender el derecho de acceso. - Asimismo, pone de relieve que la entidad continúa sin explicar el origen real de su número de teléfono ni la base jurídica que legitima su tratamiento, limitándose a sostener que el dato figuraba en la “ficha del cliente” sin acreditación documental alguna, pese a que el titular del contrato ha manifestado expresamente que nunca facilitó dicho número. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9 II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 1 de noviembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la AEPD una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el presente caso, el reclamante recibió el 16 de junio de 2025 una llamada realizada por una gestora que actuaba en representación de la entidad reclamada, durante la cual se evidenció que su número de teléfono estaba siendo tratado como dato de contacto vinculado a un tercero sin que conste consentimiento ni base jurídica que habilitara tal uso. Por ello, el reclamante ejerció de forma expresa su derecho de acceso el 30 de junio de 2025, solicitando información relativa al origen del dato, su incorporación a los sistemas de la entidad, la base jurídica del tratamiento, la finalidad, los destinatarios y el plazo de conservación. La entidad reclamada respondió el 28 de julio de 2025 reconduciendo el ejercicio del derecho de acceso a una supuesta solicitud de rectificación y condicionando la atención del derecho a la aportación de un certificado de titularidad del número de teléfono. En dicha respuesta no se facilitó ninguno de los extremos exigidos por el artículo 15 del RGPD ni se alegó falta de identificación del interesado, circunstancia que únicamente fue introducida con posterioridad en el curso del procedimiento, sin justificación suficiente y fuera del plazo legal para atender el derecho ejercido. La entidad no ha acreditado la base jurídica que legitime el tratamiento del número de teléfono del reclamante ni ha aportado documentación que justifique su origen o incorporación a sus sistemas, limitándose a manifestaciones genéricas sin respaldo probatorio. La ausencia de información relativa al origen del dato y la falta de una respuesta material ajustada al artículo 15 del RGPD permiten concluir que el derecho de acceso no fue atendido en tiempo ni forma. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aun en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que la solicitud no reuniera los requisitos previstos, en cuyo caso el destinatario viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar el derecho motivadamente indicando las causas por las que no procede su estimación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 Por tanto, la solicitud formulada obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que permita acreditar su recepción por el interesado. Dado que en el presente caso no consta que la entidad reclamada haya facilitado la información exigida por el artículo 15 del RGPD ni que haya emitido una respuesta válida y materialmente ajustada al derecho de acceso, procede ESTIMAR la reclamación, al haberse vulnerado el derecho reconocido en dicho precepto. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente a la entidad PEPPER FINANCE CORPORATION, S.L. con CIF.: B86961612, al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a la entidad PEPPER FINANCE CORPORATION, para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a PEPPER FINANCE CORPORATION, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución se haya notificado a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es