1/7 Procedimiento Nº PS/00097/2014 RESOLUCIÓN: R/01863/2014 En el procedimiento sancionador PS/00097/2014, instruido por la Agencia Española de Protección de Datos a la entidad COFIDIS S.A. SUCURSAL EN ESPAÑA, vista la denuncia presentada por A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/03/2013 tiene entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la entidad COFIDIS, S.A. SUCURSAL EN ESPAÑA (en lo sucesivo COFIDIS) por tratar sus datos personales sin su consentimiento, datos que ha utilizado en el contrato de referencia ***NÚMERO.1 que afirma desconocer. Aporta los siguientes documentos: 1. Copia de su DNI 2. Copia del escrito de fecha 15/1/2013 emitido por COFIDIS en el que le comunican que van a proceder a actualizar las condiciones generales del contrato número ***NÚMERO.2 relativo a una línea de crédito. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad COFIDIS, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/03331/2013 que se transcribe: “ACTUACIONES PREVIAS 1. Con fecha de 26/6/2013 se solicita información a COFIDIS, quien remite escrito de respuesta recibido en fecha de 25/7/2013 del que se desprende lo siguiente: 1.1. Señala COFIDIS que los datos de A.A.A. tienen su origen en el contrato de “Préstamo Mercantil con Cuenta Permanente” nº ***NÚMERO.3 de fecha 6/5/2003 por importe de 649 € a pagar en 6 mensualidades para la financiación de un colchón. 1.2. En el mencionado contrato figura como titular Dª B.B.B. como titular y A.A.A. como cotitular. 1.3. En base al mencionado contrato se realizaron 6 pagos, el primero de ellos el 6/6/2003 y el último el 5/11/2003 sin que se produjera incidencia alguna y produciéndose la baja del contrato. 1.4. Adjunta COFIDIS una impresión de pantalla de sus sistemas en los que figura a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 nombre de A.A.A. dos contratos. El contrato con número ***NÚMERO.3 ya mencionado y el contrato con número ***NÚMERO.2 sin que COFIDIS haya presentado documento alguno relativo a éste último si bien parece derivarse de las condiciones particulares “Cuenta Permanente” del contrato ***NÚMERO.3 donde se establece el establecimiento de una línea de crédito.” TERCERO: Con fecha 28 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a COFIDIS, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, COFIDIS S.A. mediante escrito de fecha formuló las siguientes alegaciones: 1. COFIDIS tiene como actividad principal la concesión de créditos o préstamos al consumo a distancia en colaboración con vendedores de productos, financiando la adquisición de los mismos. En el caso presente existía un acuerdo para que los clientes del vendedor (LO MONACO HOGAR, S.L.) financiasen, contratando con COFIDIS las compraventas celebradas con dicho vendedor, pasando COFIDIS a abonar al vendedor el importe de la compraventa y recuperando el importe mediante las cuotas mensuales pagadas por los compradores y asumiendo COFIDIS el riesgo de la operación. En mayo de 2003 el denunciante y su cónyuge adquirieron determinados productos de menaje a la compañía LO MONACO para lo cual suscribieron un contrato de financiación del importe de los productos adquiridos (649 €) acordando la devolución en un plazo de 6 meses en cuotas de 108,17 € (0% interés). Las cuotas fueron satisfechas en los plazos estipulados y la cantidad financiada quedó amortizada. En el presente caso el citado contrato de financiación se denomina “bicontrato” ya que en un mismo documento se suscriben dos productos financieros diferenciados: - producto préstamo mercantil número ***NÚMERO.3 de fecha 06/05/2003 (649 € que fueron abonados en 6 meses). - Producto “cuenta permanente” número ***NÚMERO.2 que es una línea de crédito, que el titular puede decidir utilizar o no, quedando mientras tanto la posibilidad “en reserva”, pero consentidas las condiciones de la misma si decide finalmente hacer uso de ella. El denunciante afirma desconocer este producto porque sin duda no recuerda que está vinculada con la financiación de la compra realizada a LO MONACO. En el presente caso la “cuenta permanente” no fue utilizada, lo que no obsta para que en el bicontrato en su día pactado se aceptaran las condiciones de la misma. 2. No cabe imputar a COFIDIS infracción del artículo 6.1 de la LOPD por cuanto en la cláusula séptima de las “Condiciones Generales del Contrato de Préstamo Mercantil y de la Cuenta Permanente” los titulares otorgan a COFIDIS su consentimiento para el tratamiento de sus datos personales, entre otras cuestiones para el mantenimiento de la relación contractual y comercialización de productos financieros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 Por su parte en la cláusula séptima de las “Condiciones Particulares del Contrato de Préstamo Mercantil y de la Cuenta Permanente” se establece la duración del contrato en un año, renovable por tácita reconducción. La cláusula 8 de las “Condiciones Generales del Contrato de Préstamo Mercantil y de la Cuenta Permanente” establece la posibilidad de modificación de las condiciones contractuales que debe comunicarse a los titulares. En este sentido, dado el carácter indefinido de la cuenta permanente, COFIDIS, en enero de 2013 procedió a actualizar alguna de las cláusulas de los contratos de Línea de Crédito, siendo ésta la notificación que recibió el denunciante y que constituye el objeto de su denuncia. 3. Subsidiariamente, aplicación del artículo 45.5 de la LOPD. COFIDIS aporta copia de: - Condiciones Generales del Préstamo Mercantil y de la Cuenta Permanente. Condiciones particulares del préstamos mercantil Condiciones particulares “Cuenta Permanente”. QUINTO: Con fecha 25/06/2014 se inició el período de práctica de pruebas, dando por reproducidos a efectos probatorios la denuncia y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante COFIDIS, el Informe de actuaciones previas de Inspección que forman parte del expediente E/03331/2013, y las alegaciones al acuerdo de inicio del presente procedimiento presentadas por COFIDIS, y la documentación que a ellas acompaña. Asimismo se solicitó por escrito al denunciante que manifestara si suscribió como cotitular un contrato de préstamo mercantil y cuenta permanente fechado el 06/05/2003 por importe de 649 € a pagar en 6 mensualidades de 108,17 € con el fin de financiar la compraventa del producto colchón marca “Lo Monaco”, sin que se obtuviera respuesta por su parte. SEXTO: En fecha 28/07/2014 se emitió propuesta de resolución en el sentido de archivar el procedimiento sancionador, propuesta que fue notificada a COFIDIS. HECHOS PROBADOS PRIMERO: Con fecha 13/03/2013 tiene entrada en esta Agencia un escrito del denunciante en el que denuncia a COFIDIS por tratar sus datos personales sin su consentimiento, datos que ha utilizado en el contrato de referencia ***NÚMERO.1 que afirma desconocer (folio 1). SEGUNDO: Consta en el expediente copia de escrito de fecha 15/01/2013 dirigido por COFIDIS al denunciante en el que se le informa que se va a proceder a actualizar las condiciones generales del contrato número ***NÚMERO.2, en concreto se informa que se ha modificado la cláusula sobre la utilización de su línea de crédito asociada a dicho contrato. Se adjunta copia de las citadas condiciones generales (folios 3-6). TERCERO: En fecha 06/05/2003 el denunciante suscribió con COFIDIS, en concepto de cotitular junto con su cónyuge Dª B.B.B., un documento denominado “Solicitud de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 préstamo mercantil con cuenta permanente” por el cual suscribió dos productos financieros: - producto préstamo mercantil número ***NÚMERO.3 de fecha 06/05/2003 por importe de 649 €, que fue abonado en el plazo de los 6 meses fijados en el contrato, y que correspondía a la adquisición de un colchón a la entidad LO MONACO. Dicho contrato fue dado de baja en noviembre de 2003 al abonarse la última de las 6 cuotas pactadas contractualmente. - producto “cuenta permanente” número ***NÚMERO.2 consistente en una línea de crédito, que el titular puede decidir utilizar o no, quedando mientras tanto la posibilidad “en reserva”, pero consentidas las condiciones de la misma si decide finalmente hacer uso de ella. Este contrato tiene una duración de un año renovable tácitamente, y se encuentra vigente. El denunciante no ha hecho uso de la línea de crédito hasta la fecha (folios 1424) CUARTO: La cláusula séptima de las “Condiciones Generales del Contrato de Préstamo Mercantil y de la Cuenta Permanente” suscrito por el denunciante establece que se otorga a COFIDIS su consentimiento para el tratamiento de sus datos personales, entre otras cuestiones para el mantenimiento de la relación contractual y comercialización de productos financieros. Por su parte en la cláusula séptima de las “Condiciones Particulares del Contrato de Préstamo Mercantil y de la Cuenta Permanente” se establece la duración del contrato en un año, renovable por tácita reconducción. La cláusula 8 de las “Condiciones Generales del Contrato de Préstamo Mercantil y de la Cuenta Permanente” establece la posibilidad de modificación de las condiciones contractuales que debe comunicarse a los titulares (folios 19, 74) QUINTO: En enero de 2013 COFIDIS procedió a actualizar alguna de las cláusulas de los contratos de Línea de Crédito (caso del denunciante), modificación que fue notificada al denunciante (folio 3) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, en su artículo 6, apartados 1 y 2, bajo la rúbrica “consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato, de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. Este precepto debe integrarse con la definición legal de “tratamiento de datos” y “consentimiento del interesado” que ofrecen, respectivamente, los artículos 3,
- c)y 3,
- h)de la LOPD: “operaciones y procedimientos técnicos, de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. III El artículo 6 de la LOPD consagra el “principio del consentimiento o autodeterminación”, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto, el tratamiento de datos sin consentimiento, o sin otra habilitación amparada en la Ley, constituye una vulneración de este derecho, pues únicamente el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento. El Tribunal Constitucional, en su Sentencia 292/2000, de 30 de noviembre (Fundamento Jurídico 7), se refiere al contenido esencial de este derecho fundamental y expone que “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…)” (El subrayado es de la AEPD) La LOPD recoge en diversos artículos un catálogo cerrado de excepciones al principio del consentimiento o autodeterminación del afectado en el tratamiento de sus datos y entre esas excepciones contempla a quienes son parte de una relación contractual siempre que el tratamiento sea necesario para el mantenimiento o cumplimiento del contrato, quedando acotada la dispensa del consentimiento al tratamiento necesario para tal fin. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Son pues elementos característicos de este derecho fundamental, los derechos del afectado a consentir la recogida y el uso de sus datos personales y a saber de los mismos. Respecto a la carga de la prueba del consentimiento, la Audiencia Nacional, en diversas Sentencias, (por todas la STAN de 27 de enero de 2011, Rec 349/2009, Fundamento de Derecho Tercero), declara que “…constituye doctrina reiteradísima y consolidada de la Sala, derivada del calificativo de inequívoco que acompaña en el artículo 6 LOPD a la prestación del consentimiento por el titular de los datos, que la negativa del afectado, en el sentido de no haber cumplimentado ningún contrato con la entidad que trata dichos datos personales, traslada a este último la carga de la prueba”. IV De acuerdo con las disposiciones trascritas en el Fundamento de Derecho II de esta propuesta, el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, - entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6.2 de la citada Ley Orgánica). Es un hecho probado que en los ficheros de COFIDIS constan los datos personales del denunciante como acredita el hecho que en fecha 15/01/2013 dicha entidad le dirigió una carta informándole de la modificación de las condiciones generales de su contrato de línea de crédito, contrato que el denunciante afirma desconocer ni haber suscrito. COFIDIS ha aportado al expediente copia del un documento denominado “Solicitud de préstamo mercantil con cuenta permanente” por el cual suscribió dos productos financieros: - - producto préstamo mercantil número ***NÚMERO.3 de fecha 06/05/2003 por importe de 649 €, que fue abonado en el plazo de los 6 meses fijados en el contrato, y que correspondía a la adquisición de un colchón a la entidad LO MONACO. Dicho contrato fue dado de baja en noviembre de 2003 al abonarse la última de las 6 cuotas pactadas contractualmente. producto “cuenta permanente” número ***NÚMERO.2 consistente en una línea de crédito, que el titular puede decidir utilizar o no, quedando mientras tanto la posibilidad “en reserva”, pero consentidas las condiciones de la misma si decide finalmente hacer uso de ella. Este contrato tiene una duración de un año renovable tácitamente, se encuentra vigente, no obstante lo cual el denunciante no ha hecho uso de la línea de crédito hasta la fecha Por tanto COFIDIS ha acreditado que, si bien el contrato de préstamo mercantil suscrito por el denunciante el 06/05/2003 fue dado de baja en noviembre de 2003, por el contrario el contrato de cuenta permanente suscrito simultáneamente se encuentra vigente, motivo por el cual el denunciante recibió una carta de la entidad informándole C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 sobre la modificación de alguna de las cláusulas de éste último contrato. Así pues, acreditándose la existencia de relación contractual vigente entre el denunciante y COFIDIS, dicha entidad no requiere de su consentimiento para el tratamiento de sus datos conforme a lo dispuesto en el artículo 6.2 de la LOPD, al margen de que la entidad tenga el consentimiento del denunciante por cuanto éste lo otorgó en el contrato suscrito conforme se estipula en la cláusula séptima de las “Condiciones Generales del Contrato de Préstamo Mercantil y de la Cuenta Permanente” En consecuencia, conforme a lo señalado en los hechos y fundamentos de derecho anteriores se propone el archivo del procedimiento sancionador al no existir por parte de COFIDIS, vulneración del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00097/2014. SEGUNDO: NOTIFICAR la presente resolución a COFIDIS S.A. SUCURSAL EN ESPAÑA y a D. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es