1/8 Procedimiento Nº PS/00063/2014 RESOLUCIÓN: R/01019/2014 En el procedimiento sancionador PS/00063/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANCO POPULAR ESPAÑOL, S.A., vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 14 de febrero de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara lo siguiente: Que BANCO POPULAR les reclama una deuda de un préstamo hipotecario incluyendo a su hijo menor de edad quien no figura en el contrato de préstamo hipotecario. Añade que no han contestado a lo solicitado en una solicitud de derecho de acceso. Aporta: 1. Escrito de fecha 4/1/2013 remitido por la entidad GESCOBRO SERVICIOS JURIDICOS en el que reclaman el pago de una deuda por importes de 848,72€ en nombre de BANCO POPULAR ESPAÑOL, S.A. La carta va dirigida a A.A.A., B.B.B. y C.C.C., donde B.B.B., es el hijo menor de edad quien no forma parte del contrato hipotecario. 2. Burofax de fecha 13/1/2013 dirigido a GESCOBRO ejerciendo el derecho de acceso. 3. Escrito de fecha 23/1/2013 por el que GESCOBRO contesta al derecho de acceso. Manifiestan que a esa fecha no constan en sus sistemas datos sobre su persona añadiendo que en todo caso utilizaron los datos personales facilitados por BANCO POPULAR. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO POPULAR ESPAÑOL, S.A., GESCOBRO COLLECTION SERVICES, S.L., teniendo conocimiento de que: 1. En fecha de 12/12/2013 se solicita información a GESCOBRO COLLECTION SERVICES, S.L., sociedad que remite, en nombre de BANCO POPULAR, el escrito de reclamación de deuda dirigido al denunciante y al hijo menor de edad. En fecha de 26/12/2013 se recibe respuesta en la Agencia en la que GESCOBRO señala que el escrito de reclamación de deuda lo realizó en nombre de BANCO POPULAR en base a un contrato de fecha 31/12/2010, del que adjuntan copia y según el cual, los datos personales objeto de tratamiento se realizaron en base al artículo 12 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 LOPD, no habiendo figurado nunca dichos datos en los ficheros propios de GESCOBRO. 2. En fecha de 12/12/2013 se solicita información a BANCO POPULAR ESPAÑOL, S.A., relativa al tratamiento de los datos del menor en el proceso de recobro. En fecha de 10/1/2014 se recibe escrito de BANCO POPULAR ESPAÑOL en el que la entidad manifiesta lo siguiente: 2.1. BANCO POPULAR aporta copia de un contrato de cuenta de ahorro número ***CCC.1 de fecha 2/4/1997 en el que figuran como titulares las personas A.A.A. y C.C.C., no figurando en dicho contrato referencia alguna al menor B.B.B.. 2.2. Añade la entidad que “en fecha de 27 de julio de 2000, el Sr. A.A.A. (debe entenderse que en referencia al menor B.B.B.) fue incluido como titular de dicha cuenta figurando D. A.A.A. y Dña. C.C.C., como sus representantes legales”. BANCO POPULAR ESPAÑOL, S.A. no ha aportado documento alguno que acredite este extremo. TERCERO: Con fecha 07 de febrero de 2014 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO POPULAR ESPAÑOL, S.A. por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como infracción grave del artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001€ a 300.000 €, según lo prevenido en el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, BANCO POPULAR ESPAÑOL, S.A., mediante escrito que tuvo entrada en el Registro de la AEPD el 27 de febrero de 2014, formuló alegaciones en las que solicitó el archivo del expediente por inexistencia de responsabilidad de la entidad. En apoyo de su pretensión invoca los siguientes argumentos: - El menor lleva siendo titular de la cuenta ***CCC.1 desde el año 2000, sin que conste a mi representada haber recibido ninguna reclamación o queja por parte de sus representantes legales a este respecto, ni solicitud para su exclusión, habiendo tenido la Entidad conocimiento de la disconformidad de los representantes legales del menor a través de la denuncia presentada en esta Agencia siendo esa denuncia consecuencia de haberles requerido el pago de una deuda. - Lo que se le reclama en el requerimiento de pago remitido a los tres titulares, por la sociedad de recobro Gescobro, el 4 de enero de 2013, es el importe correspondiente al descubierto que presentaba la cuenta n° ***CCC.1 a fecha 21 de diciembre de 2012. - No es cierto que mi representada haya reclamado al menor la deuda correspondiente a un préstamo hipotecario en el que no interviene, sino que lo que se le está reclamando es el descubierto que presenta el contrato de cuenta en la que sí interviene y por la que le puede reclamar por ser titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 QUINTO: Con fecha 3 de marzo de 2014 se inició el período de práctica de pruebas en el que: Se dan por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante BANCO POPULAR ESPAÑOL, S.A., GESCOBRO COLLECTION SERVICES, S.L y el Informe de actuaciones previas de Inspección que forman parte del expediente E/01907/2013. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00063/2014 presentadas por BANCO POPULAR ESPAÑOL, S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 24 de marzo de 2014 el Instructor del Procedimiento emitió Propuesta de Resolución, en el sentido de que por el Director de la Agencia Española de Protección de Datos se ARCHIVE el presente procedimiento a BANCO POPULAR ESPAÑOL, S.A., por inexistencia de infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3
- b)de dicha norma. SEPTIMO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: El denunciante D. A.A.A. con NIF ***NIF.1 manifiesta Banco Popular reclamó una deuda de un préstamo hipotecario a su hijo menor de edad, a través de Gescobro servicios jurídicos, sin que dicho hijo sea titular del préstamo hipotecario. (Folios 1 a 6). SEGUNDO: Queda acreditado la existencia de un contrato de cuenta de ahorro nº ***CCC.1 a nombre del denunciante y de C.C.C. de fecha 2 de abril de 1997.(folios 32 a 37) TERCERO: En los registros de Banco Popular consta la inclusión de D. B.B.B. como tercer titular de la cuenta ***CCC.1 con fecha 27 de julio del año 2000. Así mismo constan como sus representantes los contratantes que figuran en el hecho probado segundo (folio 78) CUARTO: Queda acreditado la existencia de una carta de fecha 4 de enero de 2013 enviada por Gescobro Servicios Jurídico en que constan los tres titulares del hecho probado tercero y el asunto de esta carta es el encargo por parte de Banco Popular del cobro de un crédito por importe de 848,72 euros. (folio 4) QUINTO: Queda acreditado que el importe reclamado coincide con un descubierto en la cuenta ***CCC.1 de fecha 21 de diciembre de 2012 (folio 145) SEXTO: Banco Popular manifiesta que en la información fiscal del Banco presentada ante la Agencia Tributaria y el denunciante consta el menor como titular del contrato de cuenta ***CCC.1. Adjunta copias de la información fiscal donde constan los tres titulares asociados a esta cuenta entre 2002 a 2009 y 2011. (folios 61,83,87,92,101,112,121,129,136,143,144) SEPTIMO: Existe copia del extracto enviado al cliente del ejercicio fiscal 2011 donde consta la cuenta ***CCC.1 con tres titulares y donde consta también un Crédito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Hipotecario ***CCC.2 con fecha de concesión 21 de mayo de 2004 a nombre de dos titulares A.A.A. y C.C.C. . Esta información se haya especificada en la información fiscal sobre préstamos también en diferentes años (folio 143 y 144 ,98, 109) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar las siguientes disposiciones de la LOPD: El artículo 6, apartados 1 y 2, de la Ley Orgánica 15/1999, relativo al “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2.No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de la Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
- c)y 3,
- h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. De acuerdo con el citado precepto el tratamiento de datos sin consentimiento del titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” Son pues elementos característicos del derecho a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos y a saber de los mismos. De acuerdo con las disposiciones trascritas, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del tratamiento,- entre otros supuestos previstos en el artículo 6.2 de la Ley Orgánica 15/1999-, cuando éste se refiera a un contrato suscrito entre las partes y sea necesario para su mantenimiento o cumplimiento. III Llegados a este punto procede analizar si Banco Popular trató los datos de B.B.B. asociados a un préstamo hipotecario sin el consentimiento, de sus representantes legales pues salvo aquellas excepciones establecidas en el artículo 6.2 de la LOPD, solamente el consentimiento legitima el tratamiento. En primer término debemos subrayar que corresponde a Banco Popular la carga de la prueba del consentimiento del titular de los datos sometidos a tratamiento. Este es el criterio que de forma constante ha mantenido la Audiencia Nacional. Muy significativa es la Sentencia de la Audiencia Nacional de 21 de diciembre de 2001, en la que el Tribunal expuso lo siguiente: “ ….. de acuerdo con el principio que rige en materia probatoria (art. 1214 del Código Civil) la Agencia de Protección de Datos probó el hecho constitutivo que era el tratamiento automatizado de los datos personales de D….(nombre, apellidos y domicilio), y a la recurrente incumbía el hecho impeditivo o extintivo, cuál era el consentimiento del mismo. Es decir, ……debía acreditar el consentimiento del afectado para el tratamiento automatizado de datos personales, o justificar que el supuesto examinado concurre alguna de las excepciones al principio general del consentimiento consagrado en el art. 6.1 de la Ley Orgánica 5/1992. Y nada de esto ha sucedido”. En la misma línea cabe citar la STAN de 31 de mayo de 2006, Recurso 539/2004, en cuyo Fundamento de Derecho Cuarto se indica: “Por otra parte es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Más recientemente la STAN de 27 de enero de 2011, (Rec 349/2009), ratifica el criterio precedente y en su Fundamento de Derecho Tercero expone: “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. (El subrayado es de la AEPD). En el caso que nos ocupa, el denunciante manifestó que Banco Popular reclamó una deuda de un préstamo hipotecario a su hijo menor de edad, a través de Gescobro servicios jurídicos, sin que dicho hijo sea titular del préstamo hipotecario. Con relación a éste asunto debemos manifestar lo siguiente: Del examen de los hechos probados se acredita que constan, entre otros, dos productos bancarios: En primer lugar una cuenta de ahorro suscrita en el año 1997 por dos titulares, a la que en el año 2000 se adhiere, a través de sus representantes legales un tercer titular , el hijo menor. Hay que señalar que en este caso Banco Popular no ha encontrado la documentación física del alta del tercer titular, sin embargo de la documentación presentada de sus registros y de la información fiscal aportada de varios años se acredita que dicha cuenta de ahorro está a nombre de tres titulares -los padres y el hijo menor- (hechos probados tercero, sexto y séptimo) En este sentido debemos citar la Sentencia de la Audiencia Nacional de 22 de abril de 2010 RCA 562/2009: “…Por lo tanto resulta que si bien CAJA RURAL DEL MEDITERRANEO; RURALCAJA S. COOP DE CREDITO no actuó con cumplimiento escrupuloso de las exigencias derivadas de la normativa bancaria a la hora de incorporar al segundo titular (y tal cosa ya ha sido reconocida por la Resolución del Banco de España) dicha circunstancia no es óbice para que en realidad resulte que Germán era segundo titular de la cuenta corriente y por lo tanto, la deuda le era perfectamente exigible”. En segundo lugar existe un préstamo hipotecario concedido en el año 2004 donde constan como titulares A.A.A. y C.C.C., sin que exista como titular de dicho producto el hijo menor. Hay que indicar, así mismo, que en la denuncia en ningún momento el denunciante hace referencia a que se haya dado de alta a su hijo menor sin consentimiento en una cuenta de ahorro, sino que le están reclamando una deuda de un préstamo hipotecario incluyendo en esa reclamación a su hijo menor y que éste no es titular del préstamo hipotecario. (hecho probado primero) Teniendo en cuenta lo expuesto Gescobro, en nombre de Banco Popular mando una carta a nombre del denunciante, C.C.C. y su hijo menor B.B.B. reclamando un crédito C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 de 848,72 euros (hecho probado cuatro). Respecto al asunto en cuestión hemos de manifestar, que según ha quedado acreditado en el hecho probado quinto la reclamación a la que se refiere el denunciante es un descubierto en la cuenta de ahorro y que dicho menor era titular de esa cuenta con la representación legal de sus padres. Por otro lado hay que hacer hincapié, así mismo, en dos cuestiones: 1. Que en ningún momento en la denuncia se ha puesto en duda que ese menor no fuera titular de la cuenta de ahorro. 2. Que en la información fiscal tratada por el Banco Popular durante años, consta como titular de la cuenta de ahorro el menor, y que esto no está discutido en la denuncia. Por tanto, lo expuesto en este fundamento jurídico justifica la relación contractual de Banco Popular con el denunciante, C.C.C. y su hijo B.B.B., en lo que se refiere a la cuenta de ahorro, y que es conforme con el artículo 6.2 de la LOPD por lo que según los hechos acreditados debe concluirse que no existen indicios de vulneración de la normativa vigente en materia de protección de datos, ya que el descubierto reclamado por Gescobro es un descubierto en la cuenta de ahorro de la que el menor era titular. En este sentido debemos citar la Sentencia de la Audiencia Nacional de 4 de marzo de 2010 RCA 223/2009: “…la retención de la cantidad requerida por el Consorcio de Tributos se realiza sobre el líquido existente en la cuenta a fecha 31 de marzo de 2004 de la que era titular, conjuntamente con la denunciante, don Jaime . Así, la deuda imputada a la denunciante no se deriva de la deuda tributaria del Sr. Jaime sino de créditos en descubierto.” Debemos de tener en cuenta, así mismo lo que manifiesta la Sentencia de la Audiencia Nacional de fecha 29 de junio de 2005 RCA 897/2003 “…el hecho de que una persona sea menor de edad no significa, por ejemplo, que no pueda tener bienes y que como titular de dichos bienes pueda incurrir en una serie de responsabilidades y generar deudas de las que responder, aunque eso si, tenga que actuar su representante legal por él. En el caso de autos, Pedro, aunque fuera menor de edad, como cotitular de la cuenta bancaria en la que su madre, en su condición de representante legal, actuaba por él, puede ser deudor e incurrir en la condición de moroso. Fue su madre, precisamente, quien al suscribir el contrato de cuenta corriente en nombre de su hijo menor, le introdujo en el trafico bancario en que se ve incurso el titular de una cuenta abierta en una entidad bancaria”. Por otro lado no consta, de la documentación que obra en el expediente, que el hijo menor sea titular del préstamo hipotecario concedido por Banco Popular, (hecho probado séptimo) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 IV Dispone el 44.3.
- b)de la LOPD que considera infracción grave “El tratamiento de los datos de carácter personal sin recabar el consentimiento de las personas afectas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y en las disposiciones de desarrollo” En el presente caso, teniendo en cuenta lo dispuesto en los Fundamentos de Derecho anteriores no es posible subsumir la conducta de BANCO POPULAR S.A en ninguno de los supuestos que el Título VII de la LOPD considera infracción, debiendo por tanto dictarse el archivo de actuaciones Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador a la entidad BANCO POPULAR S.A por inexistencia de infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a BANCO POPULAR ESPAÑOL, S.A., y a A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es