PS-00145-2021

1/8  Procedimiento Nº: PS/00145/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 5 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SERVDEBT ESPAÑA, S.L. con NIF B86329752 (en adelante, el reclamado). Los motivos en que basa la reclamación son que desde hace 9 meses le envían correos electrónicos reclamando una deuda que no le corresponde. Fecha en la que tuvieron lugar los hechos reclamados: 08/01/2020, 05/03/2020 y 07/04/2020. Documentación relevante aportada por el reclamante: Copia de correos electrónicos enviados en fechas 08/01/2020, 05/03/2020, y 07/04/2020 desde la dirección remitente ***EMAIL.1 al destinatario ***EMAIL.2 con el asunto “Expediente(

1. s)nº(
2. s)***EXPEDIENTE.1” dirigidos a B.B.B. y donde se manifiesta que se reclama una deuda que mantiene con GUARDIAN SEGUR S.A.I. Copia de correos electrónicos enviados en fechas 05/03/2020, y 07/04/2020 desde la dirección remitente ***EMAIL.2 a la dirección destinataria ***EMAIL.1 con el asunto “Expediente(
3. s)nº(
4. s)***EXPEDIENTE.1” donde se manifiesta que están enviando correos a una dirección que no corresponde. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Con fecha 10/12/2020, se remite requerimiento de información a SERVDEBT ESPAÑA, S.L. La notificación consta entregada con fecha 14/12/2020. No se recibe contestación. Con fecha 08/03/2021, se comprueba en ***URL.1 que la empresa GUARDIAN SEGUR S.A. tiene como socio único a REEFTOWN INVESTMENTS S.L. con una participación del 100% y que GUARDIAN SEGUR S.A. (LUXEMBURGO) participa con un 100% en el accionariado de REEFTOWN INVESTMENTS S.L. y es su socio único. Con fecha 15/03/2021, REEFTOWN INVESTMENTS S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Que SERVDEBT ESPAÑA, S.L. está mandatada mediante poder emitido por REEFTOWN INVESTMENTS S.L. para hacer las gestiones de las deudas. Se aporta copia de escritura de poder fechada a 31 de mayo de 2019 emitido por REEFTOWN INVESTMENTS S.L. a favor de SERVDEBT ESPAÑA, S.L. donde consta: “[…] DISPOSICIONES PRIMERA.- La compañía "REEFFOWN INVESTMENTS S.L" confiere poder a favor de la mercantil "SERVDEBT ESPAÑA S.L.", con domicilio en Madrid (España), Avenida de la Transición Española 24, 5.a Planta (Parque Empresarial Omega — Edificio Gamma) — 28108 Alcobendas, inscrita en el Registro Mercantil de Madrid, provista de Número de Identificación Fiscal B86329752, (en lo sucesivo, "La Apoderada"),para que en nombre y representación de la Poderdante pueda ejercitar las siguientes facultades, incluido el poder de delegar, con respecto a la gestión de crédito en nombre de la Sociedad (los "Créditos"), algunos de los cuales pueden ser garantizados con hipotecas sobre inmuebles ubicados en España, siguiendo los términos definidos en lo contrato de cesión de una cartera de créditos celebrado entre Guardian Segur, S.A. y Ibercaja Banco, S.A. a 16 de junio de 2015 , y para practicar los siguientes actos en relación con cada uno de los créditos, de acuerdo con los términos y condiciones del Servicing Agreement celebrado entre Guardian Segur S.A y ServDebt España, S.L., en 15 de abril de 2019:
5. a)notificar la actual titularidad de los Créditos a los deudores, avalistas, aseguradores y cualquier otro que pudiera responder por el cumplimiento de las obligaciones que les afectan; […]” 2. Se aporta certificado de deuda emitido por IBERCAJA BANCO, S.A. con fecha 15 de septiembre de 2015 donde consta: “[… Que en fecha 06/03/1997, se formalizó* Cuenta de ahorro, número ***CUENTA.1 (“el Crédito”) con los siguientes intervinientes: Titular / Prestatario 1 ***CIF.2, C.C.C. Titular / Prestatario 2 ***CIF.1, B.B.B. CERTIFICA l.- Que el Crédito fue cedido por el Banco, como cedente, a Reeftown Investments SL Unipersonal, como cesionario, conforme al contrato de cesión de crédito de fecha 16 de junio de 2015, elevado a público en virtud de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 escritura otorgada ante la Notario de Madrid, Dña D.D.D. con fecha 30 de Junio de 2015, con número ***NÚMERO.1 de su protocolo. ll.- Que el importe del débito bajo el Crédito a fecha 28 de febrero de 2015 era de 219,68€.” 3. Que los datos de que disponen acerca de B.B.B. son: Nombre: B.B.B.; CIF: ***CIF.1; Dirección postal: ***DIRECCIÓN.1, MUNICIPIO.1 (***LOCALIDAD.1) 4. Que el origen de los datos que tienen referidos a B.B.B. fue la cesión de préstamos y les fueron divulgados por el Vendedor. 5. Que el reclamante no es titular de la deuda. 6. Que la dirección de correo electrónico ***EMAIL.2 les fue facilitada por el otro titular de la deuda. Que el segundo titular remitió este email el día 17/12/2019. Con fecha 24/03/2021, REEFTOWN INVESTMENTS S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Que “Relativamente al presente portfolio, Reeftown Investments, S.L. asume la posición de Data Controller (tal como definido en el Reglamento General de Protección de Datos), en representación de la Cesionaria, Guardian Segur, S.A.I.” 2. Que en relación a la acreditación del origen del dato ***EMAIL.2 aporta copia de correo electrónico de fecha 17/12/2019, según manifiesta, enviado desde la dirección ***EMAIL.2 y donde consta exclusivamente el texto: “Estimados señores, Adjuntamos al presente email comunicación sobre reclamación al BANCO DE ESPAÑA de comisiones indebidamente cobradas por parte de IBERCAJA BANCO a nombre de C.C.C. DNI ***CIF.2 y B.B.B. DNI ***CIF.1ACTUALMENTE FALLECIDO- en cuenta que tenían en ese banco y comisiones indebidamente cobradas de la tarjeta que incrementaron en otras tantas comisiones que se fueron sumando indebidamente hasta un importe injusto que IBERCAJA BANCO reclamaba y que ya en su momento no estábamos en absoluto de acuerdo. Les ruego por favor revisen documentación. Atentamente C.C.C. DNI ***CIF.2” 3. Que en relación a la información sobre protección de datos facilitada al interesado en la recogida del dato ***EMAIL.2 manifiesta: a. Que la gestora de los préstamos SERVDEBT ESPAÑA, S.L. remitió en representación de la Cesionaria, la notificación, datada del día 12 de julio de 2019 a los titulares de la deuda. No aporta copia de la notificación. b. C/ Jorge Juan, 6 28001 – Madrid Que en esa notificación informaba relativo a los datos personales: www.aepd.es sedeagpd.gob.es 4/8 • “"IBERCAJA BANCO, S.A. ha facilitado al nuevo titular sus datos personales relativos al crédito cedido precisos para su gestión y exigibilidad (nombre, apellidos, NIF/CIF, DNI/NIE, dirección, datos bancarios y otros relevantes para la finalidad perseguida). Datos que serán tratados con estricta confidencialidad y con la exclusiva finalidad de gestionar y ejercer los derechos y acciones derivados del crédito cedido que se ostenta frente a Usted, y a tal fin podrá enviarle comunicaciones y cartas"; • "Para el cumplimiento del contrato de prestación de servicios, nuestro cliente GUARDIAN SEGUR S.A.I. nos ha facilitado sus datos personales relativos al crédito, necesarios para su gestión y exigibilidad. Sus datos personales serán tratados de acuerdo con el Reglamento General de Protección de Datos ("RGPD") - Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo Europeo, de 27 de abril de 2016 - y con el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, vigente en aquellos artículos que no contradigan el RGPD.", y por fin • "En cumplimiento de la normativa vigente podrá ejercer sus derechos de acceso e información, rectificación, retirada, limitación, oposición, oposición al tratamiento, a través del e-mail: ***EMAIL.3." TERCERO: Con fecha 8 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 26 de abril de 2021, formuló, en síntesis, las siguientes alegaciones: “Servdebt, en su página de internet, y sin perjuicio de la información transmitida en las comunicaciones escritas, tiene toda la información necesaria para que los titulares de los datos puedan ejercer sus derechos (***URL.2). Se verifica que hay un descubierto en la cuenta bancaria (lo cual se encuentra debidamente justificado por el certificado de deuda emitido por el anterior acreedor Ibercaja Banco, S.A. el día 15 de septiembre de 2015, lo cual se adjunta como Documento n.º 2). Por la presente deuda son responsables las siguientes personas: C.C.C. (CIF ***CIF.2) y B.B.B. (CIF ***CIF.1). Para comprobar la legitimidad se adjunta como Documento n.º 2 el poder emitido por Reeftown. El 12 de julio de 2019 se remitió a cada uno de los deudores una carta informando la fecha en que la cesión de préstamos ocurrió y la nueva gestora de las deudas (conforme comunicaciones que se adjuntan como Documentos n.º 3 y 4). De esta forma, se confirma que los datos de que Servdebt dispone, resultan de la cesión de préstamos y le fueran facilitados por su cliente. En las mismas comunicaciones se informó a los deudores de que sus datos personales fueran facilitados por Guardian Segur, S.A.I. (actual acreedora) a Servdebt, informando también como los titulares de los datos podrían ejercer sus derechos. La dirección postal facilitada a Servdebt fue la misma para ambos los deudores (conforme se verifica por el análisis de ambas las comunicaciones remitidas) C/ ***DIRECCIÓN.1, ***MUNICIPIO.1 (***LOCALIDAD.1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 En sus acciones de gestión, Servdebt, mediante la acción de sus colaboradores, estableció diversos contactos con los deudores. El 23 de julio de 2019 nos llamó B.B.B., que indicó que la deuda no existía dado que el Banco de España emitiría una decisión en esto sentido, le fue solicitado que nos remitiese toda la documentación al respecto. La verdad es que no nos remitió la referida documentación. Después de meses fue posible contactar con el otro deudor, C.C.C., que indicó exactamente lo mismo relativamente a la decisión del Banco de España. No fue enviada la documentación. El 13 de diciembre de 2019 llamó A.A.A. (el reclamante) que indicó que era el responsable por tratar del asunto de su padre y de su hermano. Dado que A.A.A. es un tercero le fue solicitado que nos remitiese la respetiva autorización. Pero la referida autorización no fue enviada. El 17 de diciembre, finalmente, fue enviada la decisión del Banco de España, por email. El referido email fue enviado desde la dirección de correo electrónico ***EMAIL.2 (conforme Documento n.º 5 que se adjunta). Conforme se puede verificar, el email fue subscrito por C.C.C.. Además, el contenido del email está de acuerdo con las conversaciones telefónicas habidas anteriormente con B.B.B. y con C.C.C., dado que a A.A.A. no se transmitió cualquier información. El día 26 de diciembre se respondió al referido email informando a C.C.C. que la decisión remitida no exoneraba de la deuda, motivo por lo cual los contactos se mantendrían con lo objetivo de solucionar la deuda de forma amistosa. En esta secuencia, se remitieron tres correos para esta dirección de correo electrónico (el 8 de enero de 2020, el 5 de marzo de 2020 y el 7 de abril de 2020) conforme Documento n.º 6 que se adjunta. A los emails de los días 5 de marzo y 7 de abril de 2020 respondieron (de la misma dirección ***EMAIL.2) la empresa “***EMPRESA.1” y no A.A.A., el reclamante – conforme Documentos n.º 7 y 8 que se adjuntan. Por lo tanto, quien nos envió el correo de la dirección electrónica ***EMAIL.2 fue C.C.C. y quien suscribe las respuestas fue “***EMPRESA.1”. Motivo por lo cual es falso lo alegado por el reclamante de que Servdebt “desde hace 9 meses le envían correos electrónicos reclamando una deuda que no le corresponde. El primer correo electrónico se remitió en 26 de diciembre em respuesta al email de C.C.C. del día 17 de diciembre y después se remitieron tres correos, siendo el último del día 7 de abril, o sea tres meses y medio después. Por otro lado, en los correos enviados nunca fue referido que la deuda era suya, o sea, Servdebt nunca le exigió el pago, ni a C.C.C. ni a la empresa “***EMPRESA.1”. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 1º El 5 de junio de 2020, el reclamante manifiesta a esta Agencia que desde hace nueve meses le envían correos electrónicos a la dirección ***EMAIL.2 con el asunto “Expediente(
6. s)nº(
7. s)***EXPEDIENTE.1” dirigidos a B.B.B. y reclamándole una deuda que no le corresponde. 2º Consta que, el 13 de diciembre de 2019, solicitó información el reclamante sobre la deuda manifestando que era el responsable por ser un asunto de su padre y de su hermano. 3º Se constata que el 17 de diciembre 2019, se envió desde la dirección de correo electrónico del reclamante ***EMAIL.2 la decisión del Banco de España, sobre la deuda, al reclamado: “Adjuntamos al presente email comunicación sobre reclamación al BANCO DE ESPAÑA de comisiones indebidamente cobradas por parte de IBERCAJA BANCO a nombre de C.C.C. DNI ***CIF.2 Y B.B.B. DNI ***CIF.1 -ACTUALMENTE FALLECIDO-“ 4º Por otro lado, consta que tienen la misma dirección electrónica tanto el reclamante, la empresa, como los deudores y además en los correos enviados por el reclamado, no consta que se declarara que la deuda era del reclamante, o de la empresa “***EMPRESA.1”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes:
8. a)La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa a la reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
9. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
11. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
12. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, tras el estudio pormenorizado de los documentos obrantes en el presente procedimiento, y las alegaciones del reclamado, debemos manifestar que se constata que la deuda está a nombre del hermano y del padre del reclamante, ya fallecido, que el reclamante solicitó información sobre la deuda y que se presentó desde la dirección de correo electrónico ***EMAIL.2 la decisión del Banco de España, sobre la deuda. Está claro, que tienen la misma dirección tanto postal como electrónica los deudores, la empresa y el reclamante. Por lo tanto, procede el archivo del presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00207/2020, instruido a SERVDEBT ESPAÑA, S.L. con NIF B86329752, por haber acreditado que empleó una razonable diligencia. SEGUNDO: NOTIFICAR la presente resolución SERVDEBT ESPAÑA, S.L. con NIF B86329752. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es