1/21 Expediente N.º: EXP202302756 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de febrero de 2023 A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra EXPERIAN BUREAU DE CRÉDITO, S.A. con NIF A82120601 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que la parte reclamada ha incluido sus datos personales en sistemas comunes de información crediticia, pero que no le han incluido fehacientemente con acuse de recibo por lo que no ha podido ejercitar su derecho de supresión. Los datos fueron inscritos en el fichero de morosidad de la parte reclamada el 8 de mayo de 2022. Documentación relevante aportada por la parte reclamante: - Solicitud de supresión dirigida a Badexcug de 25 de enero de 2023. - Respuesta de 31 de enero de 2023 en la que la entidad informante confirma la existencia de deuda y su permanencia en el mismo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 13 de marzo de 2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de marzo de 2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/21 TERCERO: Con fecha 7 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De la documentación incorporada a las actuaciones previas junto con la reclamación se observan, los siguientes extremos: La parte reclamante, en su reclamación, no cuestiona ni la existencia de una relación contractual con BBVA, ni la existencia de la deuda, simplemente se limita a manifestar que los datos fueron inscritos en el fichero de morosidad ExperianBadexcug a instancia de la entidad BBVA, pero sin recibir información adecuada sobre su posible inscripción en el fichero de solvencia patrimonial. Dirigiéndose la reclamación contra EXPERIAN BUREAU DE CRÉDITO, S.A. como titular del citado fichero de morosidad, al entender que, no le ha comunicado fehacientemente su inclusión en el fichero, y que no había atendido adecuadamente su solicitud de supresión de sus datos que figuraban en el mismo. Que la parte reclamante presentó su solicitud de supresión de datos a la parte reclamada en fecha 25/01/2023. Que la parte reclamada respondió a la solicitud de supresión de datos de la parte reclamante en fecha 31/01/2023 indicándole que no podía proceder a la cancelación de sus datos por haber sido confirmados por la entidad BBVA. Que en dicha respuesta además de comunicarle los datos que se encuentran en el fichero, entre los que figuran: nombre y dirección de la parte reclamante, la entidad informante y la fecha de alta en el fichero el 08/05/2022; le informa de la finalidad del fichero y del plazo de conservación de los datos, y de la posibilidad de recabar la tutela de la AEPD. - Que la dirección que figura en la reclamación presentada es “***DIRECCIÓN.1” En fecha 03/07/2023 se emitieron dos requerimientos de información dirigidos a la parte reclamada y a BBVA con la finalidad de poder acreditar si se había informado fehacientemente a la parte reclamante de la posibilidad de la inclusión de sus datos en sistemas de información crediticia, y si una vez incluidos se le había comunicado su inclusión en los términos previstos legalmente. La parte reclamada presentó escrito de contestación a este requerimiento de información en fecha 8 de agosto de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 En su contestación al requerimiento de información de fecha 3 de julio de 2023, la parte reclamada manifiesta que procede de nuevo a remitir copia de la respuesta enviada al traslado inicial, si bien en el sistema de información de la Agencia no consta ninguna entrada asociada a este expediente, presentada por la parte reclamante, anterior a la presentación del escrito de contestación al requerimiento de información recibido en fecha 8 de agosto de 2023. En su escrito de contestación al requerimiento, la parte reclamada indica entre otros aspectos que: o La notificación de la inclusión se comunicó postalmente a la parte reclamante, a la dirección “(…)” que le fue comunicada por la entidad dentro del plazo de los 30 días siguientes a su inclusión, conforme se establece en la normativa aplicable. Aporta como justificación, certificado expedido por IMPRELASER, acreditativo de la impresión de 38.628 cartas de “Notificaciones Badexcug” de la “Carga: 08/05/2022”. Figurando en este documento que las notificaciones correspondientes a BBVA comprenden un total de 1.677 notificaciones, desde el número “XXXXXXXXXXXXXXXX” al “XXXXXXXXXXXXXXX.” La Carta con clave XXXXXXXXXXXXXXXX (XXXXXXXXXXXXX) está comprendida entre aquellas a las que se refieren estos certificados. o Asimismo, aporta copia de los albaranes de CORREOS, acreditativos de que, en concepto de Notificaciones BADEXCUG de la carga de 08/05/2022, se enviaron un total de 38.628 Notificaciones el 10/05/2022. En dichos albaranes figura dentro del apartado “DATOS DEL DEPÓSITO”, “Producto” 01- CARTA ORDINARIA”. o Además, la parte reclamada, manifiesta, sin aportar ninguna evidencia, que hace un control de devoluciones devueltas a través del mismo proveedor que imprime las notificaciones de inclusión, IMPRELASER, S.L. este proveedor recoge las notificaciones devueltas por el operador postal, graba el número de referencia de la carta y envía semanalmente a EXPERIAN un fichero de las notificaciones devueltas durante la semana anterior. Y que realizada la búsqueda pertinente, no consta devolución relativa a esta notificación, por lo que, no ha habido ninguna incidencia en su envío y entrega al destinatario. Alegando, que esta forma de actuar en cuanto a la forma de realizar las notificaciones respeta el artículo 40 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que establece un procedimiento que sirve para acreditar su cumplimiento, y que sostiene que hay que entender vigente. El citado artículo 40 establece en relación con la notificación de inclusión en ficheros que: “1. El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. 2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos. 4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío.5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. o Asimismo, aporta copia del contrato de prestación de servicios entre BBVA y la parte reclamada, siendo ambas entidades responsables del tratamiento de los datos personales que sea realizado. Por su parte el BBVA presentó en fecha 05/09/2023, escrito de contestación al citado requerimiento de información. - En dicho escrito, indica que aporta la siguiente documentación justificativa: o Requerimiento de pago efectuado a la parte reclamante en fecha 08/04/2022, adjuntando certificado SERVINFORM, S.A. en el que se indica que el requerimiento de pago se hizo al domicilio en “(…)”. o Contrato entre BBVA y la parte reclamante, firmado en fecha 27/12/2021, y validado mediante certificado emitido por la entidad Logalty Prueba por Interposición, S.L. Dicha entidad está inscrita como prestador de servicios electrónicos de confianza cualificado en el registro del Ministerio para la Transición Digital y la Función Pública. o Dicho contrato incorpora un “Anexo Política de Protección de Datos Personales” en el que figura un apartado de “Información adicional” en cuyo punto 3 relativo a la información y consulta a los sistemas de información crediticia que dice: “Para analizar la viabilidad económica de tus solicitudes y operaciones, BBVA necesita consultar los datos que figuren a tu nombre en los sistemas de información crediticia gestionados por las siguientes entidades: Asnef-Equifax Servicios de Información sobre Solvencia y Crédito S.L. (ASNEF), Experian Bureau de Crédito, S.A. (EXPERIAN). Te informamos que podemos comunicar los datos de tus deudas a las entidades que gestionan los sistemas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 de información crediticia cuando: - Se trate de una deuda cierta, vencida y exigible que haya resultado impagada, cuya existencia o cuantía no hubieses reclamado por vía administrativa, judicial o arbitral. - No hayan transcurrido 5 años desde la fecha en que tenía que haberse saldado la deuda, del vencimiento de la obligación o del plazo concreto, si esta fuera de vencimiento periódico. La base de legitimación de cualquier comunicación a los sistemas de información crediticia así como la consulta para solicitudes referidas a créditos al consumo es el interés legítimo de BBVA en cumplir con los criterios de crédito responsable”. o Como documentación acreditativa de la identidad de la parte reclamante solicitado en el momento de la contratación, aporta copia del DNI de dicha parte reclamante. Figurando en dicho DNI como fecha de validez “VALIDO HASTA” 03/10/2019. o Aportan comunicación de fecha 02/08/2023, enviada a la parte reclamante, en el que se le informa entre otros aspectos de: el origen y fines del tratamiento, las categorías y datos sometidos al tratamiento, destinatarios o categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, los plazos de conservación de los datos. De los escritos de contestación al requerimiento presentados por la parte reclamada y por BBVA así como de la documentación aportada junto con ellos se observan los siguientes extremos: Que los datos de la parte reclamada se inscribieron en el fichero BADEXCUG en fecha 08/05/2022 a instancia de la entidad BBVA. Que la parte reclamante presentó su solicitud de supresión de datos a la parte reclamada en fecha 25/01/2023. Que la parte reclamada respondió a la solicitud de supresión de datos de la parte reclamante en fecha 31/01/2023 indicándole que no podía proceder a la cancelación de sus datos por haber sido confirmados por la entidad BBVA. Que en dicha respuesta además le comunica los datos que se encuentran en el fichero. Según manifiesta la parte reclamada la comunicación de la inclusión se hizo a la dirección “(…), y esta dirección fue facilitada por la entidad BBVA. Si bien en la comunicación que esta entidad dirige a la parte reclamante en el que se le informa acerca de los datos que obran en los sistemas de BBVA y el origen de los mismos, figura como domicilio fiscal de la parte reclamante “(…)” que es la misma dirección que consta en la reclamación presentada por la parte reclamante ante la AEPD. La parte reclamada aporta diversa documentación para justificar que la comunicación de la inclusión en el sistema información crediticia que gestiona se realizó mediante el envío de una carta ordinaria que formaba parte de una remesa de cartas ordinarias enviadas a través de Correos el 10/05/2022. Manifestando que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 tiene constancia de que la carta enviada a la parte reclamante comunicándole la inclusión haya sido devuelta. En el contrato aportado por la entidad BBVA, que ha dado origen a la deuda incluida en el sistema de información crediticia figura un Anexo Política de protección de datos en el que se incluye como información adicional una cláusula en la que se informa entre otros aspectos que la entidad BBVA puede “comunicar los datos de tus deudas a las entidades que gestionan los sistemas de información crediticia cuando: (…)”. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad EXPERIAN BUREAU DE CRÉDITO, S.A. es una empresa pequeña que se dedica al sector de servicios de información, que cuenta con (…) en el año 2022. SEXTO: Con fecha 23 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), DON B.B.B. en representación de la parte reclamada, con domicilio a efectos de notificaciones en esta capital, Calle Príncipe de Vergara, Número 132, Planta 1ª, Código Postal 28002, en nombre y representación de la compañía mercantil EXPERIAN BUREAU DE CRÉDITO, S.A. (en adelante EXPERIAN), conforme se acredita con copia de Escritura de Poder, otorgada en Madrid, ante el Notario Don C.C.C., el 16 de mayo de 2002, con el número 1771 de su Protocolo, comparece y, como mejor proceda, presentó escrito de alegaciones en el que manifestaba lo siguiente: “El pasado 24 de abril de 2024 le fue notificada a EXPERIAN una Resolución de la Directora de la Agencia de Protección de Datos de 23 de abril de 2024, por la que se acordaba el inicio del Procedimiento Sancionador al margen referenciado, y se otorgaba plazo para realizar alegaciones. Conforme a lo expuesto, por medio del presente escrito presento ALEGACIONES AL ACUERDO DE APERTURA DEL PROCEDIMIENTO SANCIONADOR, formulando las siguientes: ALEGACIONES PRIMERA.- ACREDITACIÓN DE LAS NOTIFICACIONES DE INCLUSIÓN EN EL FICHERO BADEXCUG. En cumplimiento de sus obligaciones regulatorias, desde el año 2002, en que comenzó su actividad el fichero BADEXCUG, mi representada EXPERIAN BUREAU DE CRÉDITO, S.A. ha venido notificando la inclusión de los datos a los afectados a través del envío de una comunicación por correo ordinario. Como es de sobra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 conocido, dicha obligación está actualmente recogida en el artículo 20,
- c)segundo párrafo. de la LOPDGDD y el artículo 40 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (RLOPD). Durante todos estos años, EXPERIAN siempre ha seguido el mismo procedimiento para realizar el envío de las notificaciones de inclusión. En síntesis, dicho procedimiento consiste en: 1º.- Utilizar los servicios de un tercer proveedor, que en la actualidad es la compañía mercantil IMPRELASER, S.L. (CIF B80379936), con domicilio social en C/ ***DIRECCIÓN.2 y con C.I.F. nº B-80379936) a quien tiene encomendados la impresión, envío y gestión de devoluciones de todas las notificaciones de impresión. Este proveedor lleva prestando los servicios de impresión de notificaciones a EXPERIAN desde el año 2012. Las cartas se envían en la actualidad a través del operador postal CORREOS Y TELÉGRAFOS, S.A., S.M.E. 2º.- Incluir un código único identificativo en cada notificación, con un formato específico que permite identificar:
- a)
- b)
- c)
- d)El fichero respecto al que el que se produce la notificación. El código de la entidad que incluido los datos en el fichero. El número secuencial único de esta notificación concreta. La fecha de impresión de la carta en formato Año-Mes-Día. 3º.- Disponer de un certificado del proveedor de impresión (en la actualidad IMPRELASER, S.L.) correspondiente a cada actualización o carga de datos, detallando el rango secuencial de notificaciones impresas para esa fecha, indicando el rango de notificaciones impresas para cada entidad, y detallando el número total de notificaciones impresas en esa actualización de datos. 4º.- Disponer de un albarán del correspondiente operador postal habilitado para la prestación de servicios postales por la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal (en este caso SOCIEDAD ESTATAL CORREOS Y TELÉGRAFOS, S.A.U), que acredita la distribución postal del mismo número total de notificaciones correspondiente a dicha carga o actualización. Además, EXPERIAN dispone de un Procedimiento específicamente diseñado para el cumplimiento de las obligaciones previstas en los apartados 4 y 5 del art. 40 del RLOPD, esto es, el control de devoluciones. A este respecto hay que señalar que el fichero BADEXCUG se gestiona en virtud de un Contrato Marco de 25 de febrero de 2002, firmado entre por EXPERIAN BUREAU DE CRÉDITO, S.A.U. (en adelante Experian) y el Centro de Cooperación Interbancaria, contrato que, después de varias modificaciones, sigue vigente, bajo una “Versión consolidada oficial” aprobada por las partes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 El Contrato Marco tiene diversos Anexos que forman parte unida e inseparable del mismo, y que constituyen la documentación técnica y operativa que regula el funcionamiento del fichero. Entre esta documentación técnica y operativa está el citado procedimiento, que es un documento denominado “Procedimiento de Gestión de Notificaciones Devueltas, Version 2.1”, cuya versión actual está vigente desde el 23 de octubre de 2018, que establece la operativa que debe seguirse cuando una notificación de inclusión enviada por Experian resulta devuelta. La primera versión de este documento se creó en 2008 para dar cumplimiento a lo previsto en los apartados 4 y 5 del artículo 40 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, que establecen lo siguiente: “4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío. 5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. Conforme a este procedimiento, se realiza el control de devoluciones de todas las cartas enviadas, a través de un proveedor externo, que en este caso es también la sociedad mercantil IMPRELASER, S.L. Dicho procedimiento establece, en síntesis, que cuando una notificación de inclusión viene devuelta, deberán cargarse sus datos en un repositorio de cartas devueltas, y enviarse a la entidad informante para que confirme si la dirección es la pactada contractualmente a efectos de notificaciones. El envío a la entidad informante se realizará a través de dos canales diferentes: - A través de la aplicación “eSPacio”, utilizada para la gestión de los derechos de acceso, supresión, rectificación, oposición y limitación del tratamiento. A través del envío de un fichero de texto plano. La entidad debe confirmar si la dirección es la pactada a efectos de notificaciones, pudiendo utilizar asimismo dos canales diferentes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 - A través de la aplicación eSPacio, utilizada para la gestión de los derechos de acceso, supresión, rectificación, oposición y limitación del tratamiento. A través de un “flag” o indicador numérico en el fichero de contribución semanal a través del que las entidades informantes aportan datos al fichero. En el caso de que la entidad informante no confirme la dirección como correcta en el plazo de una semana, por un canal u otro, los datos se darán de baja en el fichero y quedarán bloqueados, sin que se puedan volver a dar de alta hasta que la entidad no confirme los datos como correctos o aporte una nueva dirección. En otras palabras, los apuntes que hayan sido dados de baja debido a que la entidad no haya contestado en el periodo establecido de una semana, no se volverán a dar de alta hasta que la entidad, bien confirme expresamente la dirección aportada bien envíe una nueva dirección para su notificación. El procedimiento establece que “las notificaciones de altas que vengan devueltas por motivo distinto de rehusado, deben ser notificadas a las entidades que aportaron la información y solicitar la confirmación expresa por parte de las mismas sobre si, la dirección a la que se ha remitido dicha comunicación se corresponde, o no, con la contractualmente pactada a efectos de notificaciones. En el caso de que la confirmación por parte de la entidad no se produzca, se procederá a dar de baja el registro afectado” Para ello, el procedimiento dispone un mecanismo según el cual los datos relativos a las cartas de vueltas se notificarán mediante fichero que se remitirá semanalmente a cada entidad. El diseño de registro y el formato de los campos figuran detalladamente explicados en el citado documento. La confirmación por parte de las entidades de que la dirección es la correcta, esto es la pactada a efecto de notificaciones, se puede realizar de dos formas: en primer lugar, a través del fichero de contribución semanal (página 8, primer párrafo del Procedimiento), o bien a través de la aplicación con la que Experian se comunica con las entidades en cuestiones relacionadas con el Servicio de Protección al Consumidor (página 8 último párrafo del Procedimiento: “esta confirmación también se puede realizar mediante el servicio de protección al consumidor SPC6”). El fichero se envía a las entidades vía EDITRAN (que es el protocolo de comunicaciones seguro) a través del que se envían los ficheros de contribución y los ficheros de errores, y a la vez se carga en la aplicación “eSPaCio” del Servicio de Protección al Consumidor, donde también de forma segura acceden los interlocutores de las entidades, de modo que éstas pueden elegir la vía por la que pueden confirmar o no que la dirección es correcta. Las entidades disponen del plazo de una semana para actualizar los datos (página 8, párrafo segundo del Procedimiento, “las entidades tendrán un plazo para contestar de 1 semana…”), plazo razonable para que la entidad pueda comprobar internamente si la dirección pactada a efectos de notificaciones con su cliente es la que se aportó al fichero. Teniendo en cuenta que el proceso semanal de enviar (o cargar en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 aplicación eSPaCio) el fichero de las devoluciones correctas se realiza cada lunes o martes de cada semana, y las actualizaciones de Badexcug se realizan los domingos, la respuesta se esperará en el “primero o segundo proceso de actualización tras el envío del fichero” (página 7). Como queda dicho, la confirmación de que la dirección es correcta se puede producir, o en el fichero de contribución, o a través de la aplicación eSPaCio, pero en cualquier caso, si como mucho en el segundo proceso de actualización tras el envío del fichero la entidad no ha confirmado el dirección, el registro se dará de baja. La baja del registro se incluirá en los correspondientes “Ficheros de errores” de la actualización semanal, como figura en el vigente documento denominado “Fichero de Errores Actualización- Formato CCI Versión 2.15” (vigente en el momento en que ocurrieron los hechos). Este procedimiento, al igual que el anterior, también forma parte del Contrato Marco entre Experian y el Centro de Cooperación Interbancaria (CCI) en fecha 25 de febrero de 2002, al que se adhieren las entidades participantes en BADEXCUG. El procedimiento fue modificado en marzo de 2008 para permitir la realización de este proceso de gestión de notificaciones devueltas, y dentro de él se refieren a las notificaciones devueltas los códigos de error 198 y 199. Ambos tipos de errores indican que si la entidad no confirma la dirección como correcta, el registro se dará de baja. SEGUNDA.- CUMPLIMIENTO POR EXPERIAN DE LAS OBLIGACIONES DEL ART. 40 EN EL CASO DE LA NOTIFICACIÓN ENVIADA AL DENUNCIANTE. En el caso de la inclusión en BADEXCUG de la deuda relativa al denunciante DON D.D.D. por BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (única a que se refiere el procedimiento sancionador), EXPERIAN envió una notificación de inclusión en fecha 10 de mayo de 2022. El código identificativo de dicha notificación es el XXXXXXXXXXXXX. El envío de la citada documentación se acredita con los siguientes documentos: Copia de la notificación enviada, tal y como consta en el fichero de notificaciones de mi representada. La carta fue impresa con fecha 10/05/2022. Cada notificación impresa y enviada por IMPRELASER, S.L. en nombre de EXPERIAN tiene un número secuencial único que permite identificarla, número que figura en el código de barras del reverso de la carta enviada. El de esta notificación es XXXXXXXXXXXXXX, con el siguiente desglose: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 El número inicial, “3”, es común a todas las claves. Los cinco dígitos siguientes -“00182”-, son la clave de la entidad, utilizada por EXPERIAN. En este caso se trata de BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. Los seis dígitos siguientes “000252 son un número secuencial de cada una de las notificaciones de cada carga periódica, para cada entidad y fecha, asignado consecutivamente por IMPRELASER, S.L. Finalmente, los ocho últimos dígitos -“20220510”-, aparece la fecha de emisión de la notificación en el fichero según el siguiente formato: AAAAMMDD. Como puede comprobarse, la carta se generó el día 10/05/2022 (los datos habían sido incluidos en el fichero el 08/05/2022), y se remitió a “E.E.E.” en la siguiente dirección “***DIRECCIÓN.3” que es la misma dirección aportada por BANCO BILBAO VIZCAYA ARGENTARIA, S.A. al incluir los datos en el fichero BADEXCUG. 2º Certificado expedido por IMPRE-LASER, S.L., acreditativo de la impresión de las notificaciones correspondientes a la carga del día 08/05/2022 en BADEXCUG, donde figura que las notificaciones correspondientes a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. comprenden un total de 1.677 notificaciones, desde el número “XXXXXXXXXXX” al “XXXXXXXXXXX”. La carta con Clave Nº XXXXXXXXXXXXX está comprendida entre aquellas a las que se refieren estos certificados. El total de las notificaciones impresas en esa carga asciende a 38.628 notificaciones. 3º Se adjuntan los albaranes de entrega expedidos por CORREOS acreditativos de la entrega por IMPRELASER, S.L. de un total de 38.628 notificaciones (resultado de la suma de 3.038 + 3.402 + 7.728 + 9016 + 10.304 + 2.722 +2.410 + 6 + 2 cartas que se indican en los albaranes) correspondientes a la carga de datos del día 08/05/2022 en BADEXCUG que fueron entregados para distribución postal en la fecha entre los días 10 y 17 de mayo de 2022. Todos estos documentos fueron aportados a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS al contestar al Requerimiento de Información nº XXXXXXXX (CSV: AEPD-XXXXXXXXXXXX | Fecha : 03/07/2023), aunque aquí se aporten nuevamente a los efectos oportunos. Dicha contestación se había preparado para contestar al traslado de reclamación con el mismo número de Expediente Nº XXXXXXXXXX (CSV: AEPD-XXXXXXXXXXXXX | Fecha : 13/03/2023), que efectivamente, según ha podido comprobar mi representada al recibir el acuerdo de apertura del procedimiento sancionador, debido a un error imputable al proveedor externo encargado de la presentación de escritos a las administraciones públicas, no se llegó a presentar. TERCERO.- NOTIFICACIÓN DEVUELTA Hay que señalar que, aunque en la contestación enviada a la AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS, debido a un error involuntario, se indicaba que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21 notificación no vino devuelta, lo cierto es que la notificación sí resultó devuelta en fecha 20 de junio de 2022. A efectos de acreditar este hecho, se adjuntan, como documentos: - Impresión de pantalla del fichero de notificaciones devueltas de mi representada, donde se puede comprobar que hay una notificación devuelta correspondiente al DNI ***NIF.1 del denunciante y a la entidad 00182 (BANCO BILBAO VIZCAYA ARGENTARIA, S.A. - Certificado expedido por IMPRELASER, S.L. específico para esta notificación, que acredita la impresión, puesta en Correos y devolución de la referida notificación. Asimismo, a los efectos de acreditar que los servicios de impresión, puesta a disposición el operador postal y control de devoluciones están encomendadas a un proveedor externo, se adjuntan los siguientes documentos: - Anexo al contrato de impresión de notificaciones entre EXPERIAN e IMPRELASER, que amplía el objeto del mismo para realizar el control de devolución. - Anexo de adaptación del anterior contrato al Reglamento General de Protección de Datos. En cumplimiento de lo previsto en el artículo 40.5 del RLOPD mi representada se dirigió a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. para solicitar la confirmación de que la dirección a la que se envió la dirección era la contractualmente pactada con el demandante “a efectos de notificaciones” Dicho precepto establece textualmente que “Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. En el caso de esta notificación, la entidad acreedora BANCO BILBAO VIZCAYA ARGENTARIA, S.A. confirmó que la dirección era la correcta, como se acredita con los siguientes documentos: - Copia del registro correspondiente a la devolución de esta notificación en el apartado de notificaciones devueltas del fichero histórico de actualizaciones de BADEXCUG, en el que se puede ver que en el campo nº “182”, que se corresponde con el “flag” o indicador de dirección incorrecta, el valor era “1”, o sea que la notificación era correcta. - Copia de los registros correspondientes a esta notificación en la tabla de auditoría de notificaciones devueltas, donde se puede ver que el registro se dio de alta (valor “A” en la Columna “N”, “Acción”) en fecha 20 de junio de 2022 y se dio de baja (valor “A” en la Columna “N”, “Acción”) en fecha 21 de junio de 2022, que es cuando la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 entidad informante, en este caso BANCO BILBAO VIZCAYA ARGENTARIA, S.A.. confirmó la dirección correcta con la marcación del flag como “1” o dirección correcta. Finalmente, a los efectos oportunos es de interés de esta parte alegar el hecho de que su sistema de envío de notificaciones ha sido evaluado y certificado como conforme con los requisitos de la norma internacional de calidad ISO 9011:2015 (“Gestión y aseguramiento de la calidad”) por una tercera entidad certificadora (SGS), lo que refuerza aún más que su sistema de envío de notificaciones es “fiable y auditable”, como exige el art. 40.3 del RLOPD. Se adjunta, a estos efectos, los certificados externos de calidad, por los que la entidad certificadora acredita que el sistema de “Gestión integral del envío de notificaciones” de EXPERIAN cumple con los requisitos de calidad de la norma ISO 9011:2015. CUARTO.- SIMILITUD CON PROCEDIMIENTOS ANTERIORES. JURISPRUDENCIA DEL TRIBUNAL SUPREMO SOBRE NOTIFICACIONES EN RELACIÓN CON FICHEROS DE SOLVENCIA. La misma situación que se da en el presente procedimiento sancionador se ha dado en ocasiones anteriores. Interesa a esta parte alegar que Experian siempre ha seguido exactamente el mismo procedimiento, que ha contado siempre con la aprobación de la AEPD. Es de interés señalar que mi representada nunca ha sido sancionada por no haber enviado una notificación, aunque en numerosas ocasiones los interesados han denunciado que no habían recibido las pertinentes notificaciones, ya que Agencia, después de examinar las pruebas aportadas por mi representada, ha desestimado la reclamación. Se han llegado incluso a abrir a EXPERIAN algunos procedimientos sancionadores en que se imputaba la falta de cumplimiento del deber de notificar, y en todos ellos se ha producido el archivo en cuanto mi mandante presentó el conjunto de documentos que se han indicado anteriormente (como los PS/0317/2008, PS/0531/2008 o PS/00054/2011). De hecho, son docenas las resoluciones de la Agencia Española de Protección de Datos en que ha archivado reclamaciones de interesados que afirmaban no haber sido notificados, emitiendo resoluciones que validan expresamente el procedimiento de EXPERIAN para acreditar el cumplimiento del deber de notificar la inclusión. Por ejemplo, pueden citarse los procedimientos E/02222/2006, E/01011/2017 y E/02639/2016, y también en el caso de los PS/00419/2016 y PS/00024/2017, todos ellos anteriores a la entrada en vigor del RGPD, y, sin ánimo exhaustivo, los procedimientos EXP202306491, EXP202306876, EXP202209186, entre otros, después de la entrada en vigor del RGPD. El último procedimiento sancionador citado (PS/00024/2017) es especialmente relevante en el presente caso ya que se trataba de una situación idéntica a la del presente procedimiento sancionador: mi mandante había presentado los mismos documentos que han sido aportados ahora al Requerimiento de Información EXP202302756, pero faltaba de aportar el certificado del tercer proveedor que se encarga del control de devoluciones, confirmando la devolución o falta de la misma de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 una concreta notificación. Defecto que se subsana mediante la aportación de dicho certificado. Asimismo, interesa a esta parte resaltar que, en los últimos meses, la jurisprudencia del Tribunal Supremo se ha inclinado decididamente por validar la acreditación del deber de enviar una notificación o requerimiento previo de pago al interesado por correo ordinario, resolviendo de forma definitiva la controversia respecto a la falta de cumplimiento del deber de notificación cuando las notificaciones se envían conforme al sistema previsto en el art. 40 RLOPD, esto es, por correo ordinario, acreditando la entrega de un lote o conjunta de ellas a los servicios postales. Así, se pueden citar, las SSTS de 2 de febrero de 2022 (Rec. Núm. 4282/2021), de 21 de diciembre de 2022, (Rec. Núm. 4174/2021), 7 de febrero de 2023 (Rec. Infracción procesal 3296/2022), 5 de junio de 2023 (Rec. Núm. 4420/2022), 28 de junio de 2023 (Rec. Núm. 7143/2022), 27 de octubre de 2023 (Rec. Núm. 402/2023), y la reciente de 11 de enero de 2024 (Rec. Núm. 641/2023). QUINTO.- CONCLUSIÓN En definitiva, los documentos presentados en el Requerimiento de Información nº EXP202302756, junto con los aportados en el presente escrito, especialmente el certificado de IMPRELASER, S.L., acreditan sin género de dudas que EXPERIAN ha cumplido a la perfección con sus obligaciones legales derivadas del art. 40.4 del Reglamento de la LOPD. OTROSÍ DIGO: Que al amparo de lo dispuesto en el artículo 77 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, propongo para su práctica, y siempre y cuando no se deba archivar sin más trámite el procedimiento sancionador sin responsabilidad para Experian, los siguientes MEDIOS DE PRUEBA I DOCUMENTAL 1º.- Que se tengan por presentados y como tal prueba, los documentos aportados con este escrito. 2º.- Que se incorpore al Expediente Administrativo toda la información obrante en el Traslado de Reclamación y Requerimiento de Información nº EXP202302756, si es que no lo están ya. 3º.- Que se incorpore al Expediente Administrativo copia de los documentos presentados por EXPERIAN en el procedimiento sancionador E/00024/2017 y en las Actuaciones Previas de las que trae origen. II TESTIFICAL De las siguientes personas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 - DON F.F.F., responsable de operaciones de EXPERIAN, que se encarga de mantener el fichero BADEXCUG actualizado y cargar todas las altas y bajas de las entidades aportantes al mencionado fichero y notificaciones devueltas, y podrá acreditar la operativa técnica de funcionamiento del fichero BADEXCUG. - DOÑA G.G.G., responsable de soporte al SERVICIO DE PROTECIÓN DE CONSUMIDOR de EXPERIAN y persona que accede en función de su cargo a los ficheros auxiliares de notificaciones y de devoluciones devueltas. Ambas pueden ser citadas en la sede de la empresa: C/ ***DIRECCIÓN.4. III TESTIFICAL DE PERSONA JURÍDICA Al amparo del artículo 381 de la Ley de Enjuiciamiento Civil, TESTIFICAL DE PERSONA JURÍDICA de la Asociación CENTRO DE COOPERACIÓN INTERBANCARIA (CIF G-78043817), con domicilio social en Madrid, C/ ***DIRECCIÓN.5, Código Postal 28001, para que por la persona a quien corresponda responda por escrito las siguientes preguntas: A) Si desde el 25 de febrero de 2002, el Centro de Cooperación Interbancaria ha tenido vigente un contrato con Experian Bureau de Crédito, S.A. por el que esta pone a disposición de los adheridos al contrato la consulta a un fichero de solvencia patrimonial con información sobre cumplimiento o incumplimiento de obligaciones dinerarias, denominado BADEXCUG. A) Si BANCO BILBAO VIZCAYA ARGENTARIA, S.A. se encuentra adherida a dicho Contrato. B) Si el “Procedimiento de Gestión de Notificaciones Devueltas, versión 2.1” es la versión del procedimiento denominado “Procedimiento de Gestión de Notificaciones Devueltas” vigente en mayo de 2022, si dicho procedimiento forma parte del mencionado Contrato Marco, y si fue creado en 2008 para dar respuesta a las nuevas obligaciones derivadas del art. 40 del Reglamento de Desarrollo de la LOPD. C) Si el “Fichero de Errores Actualización- Formato CCI Versión 2.15” del presente escrito es la versión del procedimiento denominado “Fichero de Errores ActualizaciónFormato CCI Versión 2.15” (vigente en el momento en que ocurrieron los hechos), vigente en mayo de 2022, y si dicho procedimiento forma parte del mencionado Contrato Marco IV TESTIFICAL DE PERSONA JURÍDICA Al amparo del artículo 381 de la Ley de Enjuiciamiento Civil, TESTIFICAL DE PERSONA JURÍDICA de IMPRELASER, S.L. (CIF B80379936), con domicilio social en ***DIRECCIÓN.6 (28108 Alcobendas-Madrid), para que por la persona a quien corresponda responda por escrito las siguientes preguntas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 A) Si IMPRELASER, S.L. presta servicios externos a EXPERIAN BUREAU DE CRÉDITO, S.A. relativos a la grabación de los datos de las notificaciones devueltas, y en caso afirmativo, desde qué fecha. A) En qué consiste dicha prestación de servicios y si, específicamente, cada semana graba en un fichero los datos de las notificaciones devueltas hasta la fecha y las envía a EXPERIAN en un fichero semanal. B) Si la notificación devuelta correspondiente al código identificativo de la número XXXXXXXXXXXXX ha llegado devuelta y ha sido grabada y enviada a EXPERIAN. V RECONOCIMIENTO PRESENCIAL Al amparo del art. 353 y siguientes de la Ley de Enjuiciamiento Civil, RECONOCIMIENTO PRESENCIAL del fichero de notificaciones devueltas y del aplicativo que permite el acceso a la misma tabla, para que por el Sr. Instructor y Sr. Secretario del presente Procedimiento Sancionador o por los Inspectores que se designen adscritos a la Subdirección General de Inspección de la Agencia Española de Protección de Datos se acceda a dicha tabla desde las oficinas de Experian incorporando al Expediente administrativo el resultado de las búsquedas pertinentes que se realicen sobre los datos del denunciante.” OCTAVO: Con fecha 20 de agosto de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el presente procedimiento sancionador abierto a EXPERIAN BUREAU DE CRÉDITO, S.A., con NIF A82120601, tras haber acreditado dicha entidad, que se devolvió la carta informando de la inclusión en el fichero de solvencia patrimonial BADEXCUG, y que se siguió el procedimiento establecido al efecto confirmando la dirección del reclamante con la entidad con la que este tenía la deuda objeto de inclusión en el fichero de solvencia patrimonial, BANCO BILBAO VIZCAYA ARGENTARIA, S.A. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Los datos de la parte reclamante fueron inscritos en el fichero de morosidad de la parte reclamada el 8 de mayo de 2022. SEGUNDO: La parte reclamada, en sus alegaciones y en la documentación adjunta acredita que la carta informando de la inclusión en el fichero de solvencia patrimonial BADEXCUG, fue devuelta, ante lo cual siguió el procedimiento establecido al efecto confirmando la dirección del reclamante con la entidad con la que este tenía la deuda objeto de inclusión en el fichero de solvencia patrimonial, BANCO BILBAO VIZCAYA ARGENTARIA, S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Obligación aplicable En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales al incluir los datos personales de la reclamante en el fichero de solvencia patrimonial. Así mismo, EXPERIAN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: “Responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, sólo junto con otros, determine los fines y medios del tratamiento. El Real Decreto 1720/2007, de 21 de diciembre, por le que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, en su artículo 40, en relación con la notificación de la inclusión establece lo siguiente: “1. El responsable del fichero común deberá notificar a los interesados respecto de los que hayan registrado datos de carácter personal, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos, informándole asimismo de la posibilidad de ejercitar sus derechos de acceso, rectificación, cancelación y oposición, en los términos establecidos por la Ley Orgánica 15/1999, de 13 de diciembre. 2. Se efectuará una notificación por cada deuda concreta y determinada con independencia de que ésta se tenga con el mismo o con distintos acreedores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 3. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos. 4. En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío. 5. Si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato.” En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente caso, la parte reclamante denuncia que el 8 de mayo de 2022 fueron incluidos los datos personales de la parte reclamante en el fichero de solvencia patrimonial de la parte reclamada sin que se haya podido acreditar que se notificó su inclusión en dicho fichero. Las actuaciones de investigación realizadas han constatado que los datos de la parte reclamante se incluyeron en fecha 08/05/2022, en el sistema de información crediticia BADEXCUG, a instancia de la entidad BBVA. La parte reclamada ha indicado que respondió el 31 de enero de 2023 a la petición de supresión formulada por la parte reclamante indicando que no podía suprimir sus datos porque el BBVA, es decir, la entidad que había comunicado su inclusión, había confirmado la deuda causante de la inclusión. En relación con el aviso con la inclusión en el fichero de solvencia patrimonial, la entidad reclamada ha respondido que en fecha 10/05/2022 se envió una comunicación de inclusión, mediante carta ordinaria. III Alegaciones al acuerdo de inicio La entidad reclamada en escrito de alegaciones manifiesta que EXPERIAN dispone de un Procedimiento específicamente diseñado para el cumplimiento de las obligaciones previstas en los apartados 4 y 5 del art. 40 del RLOPD, esto es, el control de devoluciones. Conforme a este procedimiento, se realiza el control de devoluciones de todas las cartas enviadas, a través de un proveedor externo, que en este caso es la sociedad mercantil IMPRELASER, S.L. Dicho procedimiento establece, en síntesis, que cuando una notificación de inclusión viene devuelta, deberán cargarse sus datos en un repositorio de cartas devueltas, y enviarse a la entidad informante para que confirme si la dirección es la pactada contractualmente a efectos de notificaciones Las entidades han de actualizar los datos en un plazo razonable para que la entidad pueda comprobar internamente si la dirección pactada a efectos de notificaciones con su cliente es la que se aportó al fichero. En cumplimiento de lo previsto en el artículo 40.5 del RLOPD la entidad reclamada se dirigió a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. para solicitar la confirmación de que la dirección a la que se envió la dirección era la contractualmente pactada con el demandante “a efectos de notificaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 En el caso de esta notificación, la entidad acreedora BANCO BILBAO VIZCAYA ARGENTARIA, S.A. la cual confirmó que la dirección era la correcta. La entidad reclamada afirma que la carta se generó el día 10/05/2022 (los datos habían sido incluidos en el fichero el 08/05/2022), y se remitió a “A.A.A.” en la siguiente dirección “***DIRECCIÓN.1” que es la misma dirección aportada por BANCO BILBAO VIZCAYA ARGENTARIA, S.A. al incluir los datos en el fichero BADEXCUG. La entidad reclamada remite certificado expedido por IMPRE-LASER, S.L., acreditativo de la impresión de las notificaciones correspondientes a la carga del día 08/05/2022 en BADEXCUG, donde figura que las notificaciones correspondientes a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. comprenden un total de 1.677 notificaciones, desde el número “XXXXXXXXXXXX” al “XXXXXXXXXXXXX”. La carta con Clave Nº XXXXXXXXXXXXXXXX está comprendida entre aquellas a las que se refieren estos certificados. El total de las notificaciones impresas en esa carga asciende a 38.628 notificaciones. La parte reclamada adjunta los albaranes de entrega expedidos por CORREOS acreditativos de la entrega por IMPRELASER, S.L. de un total de 38.628 notificaciones (resultado de la suma de 3.038 + 3.402 + 7.728 + 9016 + 10.304 + 2.722 +2.410 + 6 + 2 cartas que se indican en los albaranes) correspondientes a la carga de datos del día 08/05/2022 en BADEXCUG que fueron entregados para distribución postal en la fecha entre los días 10 y 17 de mayo de 2022. IV Propuesta de Archivo Tras un estudio exhaustivo de los documentos obrantes en este expediente, procedería el archivo del mismo conforme al artículo 40 del RLOPD “si la notificación de inclusión fuera devuelta, el responsable del fichero común comprobará con la entidad acreedora que la dirección utilizada para efectuar esta notificación se corresponde con la contractualmente pactada con el cliente a efectos de comunicaciones y no procederá al tratamiento de los datos si la mencionada entidad no confirma la exactitud de este dato”. Dicho archivo procede ya que la parte reclamada, en sus alegaciones y en la documentación adjunta acredita que sí que se devolvió la carta informando de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 inclusión en el fichero de solvencia patrimonial BADEXCUG, y que se siguió el procedimiento establecido al efecto. Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es