← España

PS-00193-2019

1/14 Procedimiento Nº: PS/00193/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D.ª A.A.A. (en adelante, la reclamante) formula reclamación contra CAIXABANK, S.A., con NIF A08663619 (en adelante, la reclamada o CAIXABANK) que tiene entrada en la Agencia Española de Protección de Datos (AEPD) con fecha 10/09/2018. El fundamento de la reclamación es la comunicación de sus datos personales a instancia de la reclamada, al fichero de solvencia patrimonial ASNEF, con fecha de alta 03/09/2018, sin que la entidad informante le haya requerido el pago de la deuda con carácter previo a la inclusión. La reclamante reconoce ser avalista de un préstamo contraído con CAIXABANK por la mercantil Carnes y Pescados Extremadura, S.L., y admite que la deuda informada al fichero es cierta, vencida y exigible desde el 28/06/2018. Anexa a la reclamación una copia de su DNI y de un documento con el anagrama de EQUIFAX de fecha 04/09/2018 que acredita que su NIF, nombre y dos apellidos figuraban en esa fecha incluidos en el fichero de solvencia por una deuda impagada de 1.688,27 euros, en calidad de avalista, habiendo sido incluidos por la reclamada el 03/09/2018. SEGUNDO: A. A la vista de los hechos expuestos en la reclamación, la AEPD, en el marco del expediente E/ 07176/2018, mediante escrito firmado el 09/10/2018 da traslado de ella a la reclamada para que en el plazo de un mes facilite a esta Agencia una explicación sobre los hechos expuestos en la reclamación, detalle las medidas adoptadas para evitar que en el futuro se sigan produciendo situaciones similares y proceda a comunicar su decisión a la reclamante. Ese escrito fue notificado a la reclamada electrónicamente, como lo acredita el documento de la Carpeta Ciudadana que obra en el expediente que confirma que la notificación fue aceptada el 10/10/2018. Transcurrido el plazo otorgado a la reclamada sin que se hubiera recibido respuesta, la AEPD le reitera la solicitud informativa otorgándole un nuevo plazo de cinco días. Este escrito, firmado el 22/11/2018, se notifica electrónicamente a la reclamada que acepta la notificación el 23/11/2018. Asimismo, en escrito firmado el 09/10/2018 se notifica a la reclamante el traslado de la reclamación. El certificado expedido por la FNMT que obra en el expediente acredita que la AEPD lo puso a su disposición en la sede electrónica el 12/10/2018 y que en fecha 20/10/2018 se produjo el rechazo automático de la notificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 En fecha 12/12/2018 no se había recibido respuesta de la reclamada a la petición informativa. En esa misma fecha, a tenor de lo prevenido en el artículo 65.5 de la Ley Orgánica 3/2018, de Protección de Datos y Garantías de los derechos Digitales (LOPDGDD) se acuerda Admitir a Trámite la reclamación formulada frente a CAIXABANK. B. En virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los derechos Digitales (LOPDGDD) la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación previa encaminadas al esclarecimiento de los hechos reclamados. Las actuaciones se inician bajo la referencia E/00243/2019. En el curso de la investigación previa la Inspección de Datos requirió CAIXABANK determinada información. El escrito de requerimiento, firmado el 01/02/2019, se puso a disposición en la sede electrónica el día 01/02/2019 a las 12:53 horas y la notificación fue aceptada por la reclamada el mismo día 01/02/2019 a las 13:14 horas. Así lo acredita el certificado emitido por la FNMT que obra en el expediente. El Informe de Investigación Previa se firmó por la inspectora actuante el 05/04/2019. Se transcribe seguidamente el “resultado de las actuaciones de investigación” que figura en el Informe emitido por la inspectora de datos: <<Con fecha 9 de octubre de 2018, se dio traslado de la denuncia a la entidad denunciada en las Actuaciones con referencia E/07176/2018. Con fecha 22 de noviembre de 2018, la entidad solicitó ampliación de plazo para dar contestación a la reclamación. Con fecha 12 de diciembre de 2018, sin recibir contestación al traslado, se inician las presentes actuaciones de Inspección. Con fecha 1 de febrero de 2019 se remite requerimiento de información a la entidad denunciada. El escrito se notifica ese mismo día, según consta en el sistema de gestión de @notifica. A fecha de hoy, la entidad denunciada no ha dado contestación a ninguno de los escritos que se le han remitido en relación con los hechos denunciados. >> TERCERO: Con fecha 23/05/2019 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada por la presunta infracción de los artículos 13 y 31 del RGPD, sancionadas, respectivamente, en los artículos 83.5.

  1. b)y 83.4.
  2. a)del Reglamento (UE) 2016/679. CUARTO: Con fecha 31/05/2019 tienen entrada en la sede electrónica de la AEPD las alegaciones de la reclamada al acuerdo de inicio del expediente en las que solicita que se proceda a su archivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 En defensa de su pretensión invoca estos argumentos: 1. Respecto a la presunta infracción del artículo 13 del RGPD: - - - - Que el 10/10/2018 recibió el requerimiento informativo de esta Agencia con referencia E/07176/2018. Que preparó la respuesta contestando a todos los puntos del requerimiento, pero, “debido a un error en nuestros sistemas no llegó a enviarse dicho documento a la AEPD, no siendo detectada la falta de envío”. Que el 04/02/2019 recibe un requerimiento de la AEPD en el que reitera la petición informativa anterior. Sobre este extremo dice que “Por un desafortunado error en el número de procedimiento el mismo se informó como finalizado en nuestros sistemas”. Las alegaciones al acuerdo de inicio formuladas son, en esencia, una remisión al documento de respuesta que, según declaraciones de la reclamada, había preparado para enviarlas a la AEPD en el marco del E/07176/2018. La reclamada manifiesta que con fecha 10/11/2018 envió una carta a la reclamante en la que le comunicaba que, con la finalidad de atender una reclamación que le trasladó la AEPD con número de referencia E/07176/2018, le comunicaba que la deuda le fue notificada y requerida el 09/08/2018, con carácter previo a la inclusión en ASNEF; que la notificación se hizo por los servicios postales y que no le constaba ninguna incidencia o devolución respecto a ella. En relación a este extremo, aporta copia de un documento referente al envío de una carta certificada a través de Correos en fecha 23/11/2018, con el código de envío, CD0D7M00000780620006350S, cuyo remitente es CAIXABANK S.A., y como destinataria la reclamante en la dirección ***DIRECCION.1. La reclamada aporta también copia de la carta de requerimiento de pago que afirmó haber enviado a la reclamante en fecha 09/08/2018, con carácter previo a la comunicación de sus datos al fichero de solvencia. Al pie del escrito aparece esta información: “Núm. Contrato 9620.315.501862.48”; “Fecha situación impago 28.06.2018”; “Relación persona-contrato fiador”; “Importe 2.865,64”. En el cuerpo del escrito se recuerda a la reclamante que no consta que a fecha 09/08/2018 haya satisfecho el importe debido. Y, dado que no ha sido satisfecho en el plazo previsto para ello, se le informa de que “de mantenerse en la situación de impago los datos relativos a éste podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”. A fin de acreditar el envío de la carta de requerimiento de fecha 09/08/2018, la reclamada declara que consta en ella la referencia 118223100008000249 a efectos de poder realizar la trazabilidad de la comunicación; que la comunicación fue enviada al domicilio que obra en sus sistemas asociado a la reclamante y que no consta devuelta. Aporta un certificado emitido por la empresa de servicios Servinform en el que asevera que la carta de requerimiento fue ensobrada y entregada al “distribuidor postal” para su envío al domicilio que figura en ella. Aporta también una copia del albarán de entrega en el servicio de Correos. Sin embargo, este documento carece de validación mecánica, de sello y de firma autorizada por Correos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 - Telégrafos indicando expresamente el documento que sin estos elementos carece de validez. Concluye a tenor de lo expuesto que no se vulneró el artículo 13 del RGPD pues la reclamada fue requerida de pago con anterioridad a la comunicación de la deuda a ASNEF. 1. Respecto a la infracción del artículo 31 del RGPD: - Lamenta la incidencia y se disculpa por los perjuicios que pudieran haberse ocasionado. - Añade que “se han implementado las medidas oportunas con el fin de que incidencias de este tipo no vuelvan a ocurrir en el futuro …” - Explica que no ha habido ningún tipo de intencionalidad en su conducta ni falta de cooperación con la AEPD pues “todo ha sido consecuencia de lamentables incidencias que ha llevado a no poder advertir que los requerimientos en cuestión de la AEPD no fueron contestados…”. - Aporta un escrito con fecha 22/11/2018 con la respuesta a las preguntas que se le formularon en el trámite de audiencia previa. 1. Aporta copia de la póliza intervenida notarialmente el 28/02/2016 relativa a un contrato de préstamo celebrado con CAIXABANK,S.A.; como prestataria figura Carnes y Pescados Extremadura, S.L., con NIF B06654099, representada por D.ª A.A.A. como Administradora única de la sociedad; como fiadora solidaria, actuando en su propio nombre y derecho, D.ª A.A.A. con domicilio en ***DIRECCION.1. La estipulación 17 del contrato de préstamo, “Tratamiento de datos personales”, dice en su párrafo segundo: << Se informa a las personas que son parte en este contrato que, en caso de impago de cualquiera de las obligaciones derivadas del mismo, los datos relativos al débito podrán ser comunicados a ficheros de cumplimiento o incumplimiento de obligaciones dinerarias>> (El subrayado es de la AEPD) QUINTO: La LPACAP establece en su artículo 89, “Propuesta de resolución en los procedimientos de carácter sancionador”: “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
  3. a)La inexistencia de los hechos que pudieran constituir la infracción
  4. b)Cuando los hechos no resulten acreditados
  5. c)Cuando los hechos probados no constituyan de modo manifiesto, infracción administrativa.
  6. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
  7. e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente resultan acreditados los siguientes HECHOS 1.- Doña A.A.A., con DNI ***NIF.1, manifiesta que CAIXABANK ha vulnerado su derecho a la protección de datos al haber incluido sus datos personales en el fichero ASNEF en calidad de avalista “sin haberle requerido de ninguna manera el pago de la deuda previo a la inscripción en la base de datos de Asnef Equifax”. 2.-La reclamante reconoce que la deuda incluida en ASNEF asociada a sus datos personales es cierta, vencida y exigible desde el 28/06/2018. 3.- Obra en el expediente -aportado por la reclamante- un documento con el anagrama de EQUIFAX y la información que, asociada a su NIF, figuraba en fecha 04/09/2018 en ASNEF: Alta informada por CAIXABANK el 03/09/2018, en calidad de avalista, de un importe impagado de 1.688,27 euros, por el concepto “préstamos personales”. La dirección vinculada a la reclamante que aparece en ASNEF es ***DIRECCION.1. 4.- Obra en el expediente -aportada por CAIXABANK- la “póliza de contrato de préstamo con afianzamiento, número 315.501.862-48”, intervenida notarialmente el 28/12/2016. El Notario hace constar en la Diligencia que intervienen en el contrato de préstamo las siguientes partes: En calidad de prestamista, CAIXABANK. Como prestataria, la mercantil Carnes y Pescados Extremadura, S.L., precisando que la mercantil prestataria interviene en el acto representada por su Administradora única, doña A.A.A., cargo para el que fue nombrada de forma indefinida en la escritura de constitución. Y como “fiadora solidaria”, “en su propio nombre y derecho”, “DOÑA A.A.A. con DNI/NIF ***NIF.1 con profesión ama de casa” (El subrayado es del documento notarial) El domicilio asociado a la reclamante y fiadora que consta en la póliza de préstamo es ***DIRECCION.1. 5.- La cláusula 17 del Condicionado General del contrato de Préstamo, “Tratamiento de datos personales”, (folio TN5784882) establece en su último párrafo: << Se informa a las personas que son parte en este contrato que, en caso de impago de cualquiera de las obligaciones derivadas del mismo, los datos relativos al débito podrán ser comunicados a ficheros de cumplimiento o incumplimiento de obligaciones dinerarias>> (El subrayado es de la AEPD) 6.-Obra en el expediente, aportada por la reclamada, una copia de la carta de fecha 09/08/2018 dirigida a la reclamante y a su domicilio de ***DIRECCION.1, en la que le comunica que el importe no ha sido satisfecho en el plazo previsto para ello y que, en el supuesto de mantenerse la indicada situación de impago, los datos referidos al mismo podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 de obligaciones dinerarias. 7.- Obran en el expediente aportados por la reclamada los siguientes documentos que a su juicio acreditan la trazabilidad de la carta de requerimiento de pago que afirma haber enviado a la reclamante y de la que dice no le consta su devolución ni incidencia alguna: (
  8. i)Un Certificado de Servinform en el que se indica que la carta con referencia/código identificador 118223100008000249, generada el 11/08/2018 se entregó al Distribuidor postal el 13/08/2018. (
  9. ii)Copia del albarán de entrega en Correos del producto “Cartas ordinarias”, 3951 envíos, del cliente CAIXABANK, S.A., Grandes Volúmenes-Jurídica, que lleva la referencia 11433 y en el que consta como fecha de registro el 13/08/2019. Este documento que CAIXABANK aporta carece de validación mecánica, de sello y de firma autorizada. Al pie del documento aparece esta leyenda: “Este documento carece de validez sin la validación mecánica o sello y firma autorizada de Correos y Telégrafos”. 8.- Obra en el expediente aportada por la reclamada una carta con el anagrama de CAIXABANK dirigida a la reclamante, que está fechada el 10/11/2018, en la que acusa recibo de la reclamación formulada ante la AEPD con referencia E/07176/2018 y le informa de que le requirió la deuda que mantenía con esa entidad con carácter previo a su inclusión en ASNEF el 09/02/2018; que fue depositada en los servicios postales para su entrega sin que conste ninguna incidencia o devolución. Aporta la copia del documento de envío certificado a través de Correos en fecha 22/11/2018 siendo el código de envío el CD0D7M0000780620006350S. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II En el acuerdo de inicio del expediente sancionador PS/193/2019 se atribuyó a la reclamada una infracción de los artículos 13.3 y 31 del RGPD. Por lo que atañe a la presunta vulneración del artículo 13.3 del RGPD, sancionada en el artículo 83.5.
  10. b)del RGPD, procede indicar lo siguiente: A.- El RGPD se ocupa en el artículo 5 de los principios que han de regir el tratamiento de los datos personales y menciona entre ellos los de “licitud, lealtad y transparencia”. El precepto dispone: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14
  11. a)Tratados de manera lícita, leal y transparente en relación con el interesado;” A tenor del artículo 6 del RGPD –“Licitud del tratamiento”- para que el tratamiento de datos de terceros sea lícito ha de cumplirse, al menos, una de las siguientes condiciones: “
  12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  14. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  15. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  16. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  17. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño (…).” (El subrayado es de la AEPD) A su vez, el artículo 12 del RGPD, bajo la rúbrica “Transparencia de la información, comunicación y modalidades del ejercicio de los derechos del interesado” precisa: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, (…) La información será facilitada por escrito o por otros medios, inclusive si procede por medios electrónicos. (…)”. El artículo 13 del RGPD versa sobre la “Información que deberá facilitarse cuando los datos personales se obtengan del interesado”. El punto 3 del precepto dice: “Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquél para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2”. (El subrayado es de la AEPD) Paralelamente, la LOPDGDD en su artículo 20 se refiere a los sistemas de información crediticia y establece: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  18. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  19. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  20. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  21. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  22. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  23. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta.” (El subrayado es de la AEPD) La vulneración del artículo 13.3 del RGPD se sanciona en el artículo 83.5.
  24. b)del Reglamento (UE) 2016/679 en los siguientes términos: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  25. b)Los derechos de los interesados a tenor de los artículos 12 a 22;” Por otra parte, la LOPDGDD, en su artículo 72.1.a), a efectos de prescripción, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 considera como una infracción muy grave la vulneración de este derecho. B.- CAIXABANK ha manifestado en sus alegaciones al acuerdo de inicio que requirió a la reclamante el pago de la deuda pendiente antes de proceder a comunicar sus datos a ASNEF. A tal efecto anexó a su escrito de alegaciones la copia de una carta dirigida a la reclamante, que tiene fecha de 09/08/2018 -anterior por tanto al alta en ASNEF, que data del 03/09/2018-, en la que le requiere el pago de una deuda pendiente y le informa de que sus datos podrán ser comunicados a ficheros de insolvencia de persistir la situación de impago. No obstante, los documentos aportados por la reclamada -pese a que afirma que tales documentos acreditan el envío y recepción de la carta y permiten conocer la trazabilidad del documento- en ningún caso hacen prueba de que efectivamente la citada carta hubiera sido enviada a la reclamante. Basta para ello examinar el documento denominado “Albarán de entrega”, que lleva el anagrama de Correos, en el que no aparece ni firma, ni sello, ni validación mecánica, de tal modo que atendiendo a la información que dicho documento ofrece, carece absolutamente de virtualidad para acreditar el envío de la carta de requerimiento y menos aún su recepción. C.- La regulación que el RGPD hace del deber de informar al titular de los datos cuando la finalidad del tratamiento sea la comunicación a un fichero de solvencia patrimonial difiere sustancialmente de la prevista en la normativa anterior: La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2007 (RLOPD) A tenor del artículo 13 del RGPD, de aplicación efectiva desde el 25/05/2018 (ex artículo 99.2 RGPD), el tratamiento de datos para una finalidad diferente de aquella para la cual se recogieron obliga a informar al titular sobre la finalidad de ese tratamiento ulterior antes de que se lleve a cabo. En la fecha en la que CAIXABANK comunicó a ASNEF los datos de la reclamante -el 03/09/2018- no estaban vigentes la LOPD ni el RLOPD por lo que no era aplicables ni el artículo 29 de la LOPD ni los artículos 38 y 39 del RLOPD; preceptos que exigían para que la inclusión de datos de terceros en un fichero de impagados fuera ajustada a Derecho no sólo que se informara en el contrato de la posibilidad de tal comunicación sino, además, que se le requiriera al deudor el pago de la deuda con carácter previo a la inclusión de sus datos en el fichero de solvencia. La deuda que CAIXABANK informó al ASNEF en septiembre de 2018 asociada a los datos de la reclamante procedía de un contrato de préstamo suscrito entre esa entidad y la mercantil Carnes y Pescados Extremadura, S.L. Contrato en el que también fue parte la reclamante interviniendo en su propio nombre, en calidad de “fiadora solidaria”, de ahí que la reclamada, una vez que la deuda fue liquida, vencida y exigible, podía reclamar el total importe impagado, indistintamente, a la mercantil prestataria y a la fiadora solidaria. Ha quedado acreditado en el expediente que la póliza notarial del contrato de préstamo, que data del 28/12/2016 -contrato en el que la reclamante tenía la condición de parte como fiadora solidaria de la mercantil prestataria- informaba a las partes de que en caso de impago la prestamista podría comunicar a ficheros de incumplimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 de obligaciones dinerarias los datos relativos al débito. La estipulación 17 del contrato de préstamo, “Tratamiento de datos personales”, dice en su párrafo segundo: << Se informa a las personas que son parte en este contrato que, en caso de impago de cualquiera de las obligaciones derivadas del mismo, los datos relativos al débito podrán ser comunicados a ficheros de cumplimiento o incumplimiento de obligaciones dinerarias>> (El subrayado es de la AEPD) Así pues, la reclamada y prestamista ha acreditado documentalmente que, en el contrato de préstamo, que data del 28/12/2016, en el que la reclamante intervino como fiadora, informó a las partes de que en caso de impago podría comunicar a ficheros de incumplimiento de obligaciones dinerarias los datos relativos al débito. La comunicación a ASNEF, a instancia de CAIXABANK, de los datos personales de la reclamante asociados a la deuda impagada aconteció el 03/09/2018. Y en la fecha de alta de la incidencia en el fichero de solvencia -desde varios meses atrás, exactamente desde el 25/05/2018- era de aplicación efectiva el RGPD y no lo eran ni la LOPD ni su Reglamento de desarrollo, RLOPD Finalmente, hay que indicar que la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de los derechos Digitales (LOPGDD) no estaba vigente en la fecha en la que CAIXABANK informó a ASNEF los datos personales de la reclamante, el 03/09/2018, de modo que, en el presente asunto, ninguna relevancia cabe atribuir al inciso último del artículo 20.1.c, de la citada Ley Orgánica 3/2018. Inciso que exige, para que el tratamiento se presuma lícito, no sólo que el acreedor haya informado al afectado en el contrato, o en el momento de requerir el pago, de la posibilidad de incluir sus datos en los sistemas de información crediticia sino también -condición que no se contempla en el artículo 13 del RGPD- que haya informado de aquellos ficheros con los que trabaja (que conste la “indicación de aquellos en los que participa”). A la luz de la Exposición de Motivos de la LOPDGDD, apartado V, esta condición del artículo 20.1.c, in fine, de la Ley Orgánica opera como una “presunción iuris tantum” de prevalencia del interés legítimo del responsable. De modo, que nada impide que el tratamiento pueda ser lícito aun cuando no se cumpla estrictamente esa condición, si bien en tal caso el responsable no estará amparado por una presunción iuris tantum de licitud del tratamiento y deberá llevar a cabo la ponderación de los intereses en juego legalmente exigible. Así las cosas, en el supuesto que se somete a la valoración de esta Agencia, habida cuenta de que ha quedado acreditado que CAIXABANK había informado en el contrato de préstamo “a las personas que eran parte en él” -condición que reúne la reclamante por cuanto intervino en el préstamo en calidad de fiadora solidaria- de que en caso de impago de cualquiera de las obligaciones derivadas de aquél los datos relativos al débito podrían ser comunicados a ficheros de cumplimiento o incumplimiento de obligaciones dinerarias, no se aprecia en la actuación de CAIXABANK -concretada en la comunicación de los datos de la reclamante al fichero de solvencia patrimonial ASNEF- una vulneración del artículo 13.3. del RGPD, debiendo por ello acordar el archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 III En el acuerdo de inicio del expediente sancionador PS/193/2019 se atribuyó también a la reclamada una infracción del artículo 31 del RGPD. Por lo que atañe a la presunta infracción de esta disposición se indica lo siguiente: A.-Los artículos 24 a 31 del RGPD se ocupan de las obligaciones que el RGPD impone con carácter general a los responsables y encargados de tratamiento. Entre ellas, el artículo 31 se refiere a la “Cooperación con la Autoridad de control”, precepto que señala: “El responsable y el encargado de tratamiento y, en su caso, sus representantes, cooperarán con la autoridad de control que lo solicite en el desempeño de sus funciones”. Las funciones de la autoridad de control se detallan en el artículo 57 del RGPD. El incumplimiento de la obligación prevista en el artículo 31 del RGPD se sanciona en su artículo 83.4 en los siguientes términos: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 100.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: Las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43, (…)” (El subrayado es de la AEPD) Paralelamente, la LOPDGDD tipifica en el artículo 72.1 como infracciones muy graves las siguientes: “(…) ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación.” La LOPDGDD dedica a las “Potestades de investigación y planes de auditoría preventiva” los artículos 51 a 54. La mencionada Ley Orgánica 3/2018 precisa en su artículo 51.1 que “La Agencia Española de Protección de Datos desarrollará su actividad de investigación a través de las actuaciones previstas en el Título VIII y de los planes de auditoría preventivas” (El subrayado es de la AEPD). A su vez, el Titulo VIII de la Ley Orgánica regula en su artículo 67 las “Actuaciones previas de investigación”. B.- La documentación que obra en el expediente demuestra que, en el marco de las Actuaciones previas de investigación E/0243/2019, la Inspección de Datos de la AEPD hizo a la reclamada un requerimiento informativo al que ésta no respondió. El requerimiento se firmó electrónicamente el 01/02/2019, en esa misma fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 se puso a disposición de la reclamada a través del sistema notific@ y además fue aceptada por la destinataria. De tales extremos hace prueba el Certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT que obra en el expediente. Tal y como consta en el Informe de Actuaciones Previas, en fecha 05/04/2019 (más de dos meses después de que la reclamada hubiera conocido el requerimiento informativo que le hizo esta Agencia) no se había recibido respuesta. La falta de respuesta de la reclamada al requerimiento informativo que se le hizo en el curso de la investigación previa estuvo precedida de una conducta semejante en la fase de admisión a trámite de la reclamación. Ante el escrito de la Agencia en el que se daba traslado al DPD de la compañía con objeto de que explicara los hechos acaecidos y aportara los documentos que acreditaran que obró cumpliendo las obligaciones que le impone el artículo 13 del RGPD, no respondió a las cuestiones planteadas. Sentado lo anterior, no puede obviarse lo invocado por la reclamada en sus alegaciones al acuerdo de inicio del expediente. La entidad ha manifestado que efectivamente recibió el 10/10/2018, en la fase de admisión a trámite, una solicitud informativa de la AEPD y añade que preparó el documento de respuesta contestando a todos los puntos del requerimiento pero que, “debido a un error en sus sistemas”, el documento no llegó a enviarse sin que la falta de envío hubiera podido detectarse. Reconoce también que el 04/02/2018 recibió una reiteración de la petición de información y explica su falta de respuesta en que “por un desafortunado error en el número de procedimiento el mismo se informó como finalizado en nuestros sistemas”. Por otra parte, la reclamada ha aportado a la AEPD con el escrito de alegaciones al acuerdo de inicio del expediente sancionador copia de todos los documentos que le fueron requeridos durante las actuaciones previas. A lo anterior se añade que CAIXABANK ha pedido disculpas por los perjuicios que hubiera podido provocar en la investigación su falta de respuesta en el plazo otorgado al efecto. Y, además, manifiesta que en ningún caso ha obrado con dolo o intencionalidad, sino que su voluntad fue siempre la de colaborar con la Agencia. En prueba de sus manifestaciones y corroborando su versión de que había preparado la respuesta a la solicitud informativa que le hizo la Agencia durante la fase de Admisión a Trámite, el 10/10/2018, pero que el documento no llegó a enviarse “debido a un error en sus sistemas” sin que la falta de envío hubiera sido detectada, aporta copia de la carta que envió a la reclamante en cumplimiento de las indicaciones que recibió de la AEPD en la carta de 10/10/2018. En esa carta dirigida a la reclamante, de fecha de 10/11/2018, acusa recibo de la reclamación que ésta presentó ante la AEPD, con referencia E/07176/2018, y le informa de que el pago de la deuda le fue requerido el 09/08/2018, con carácter previo al alta en ASNEF. Acompaña a esta carta el resguardo del envío efectuado por correo certificado en fecha 23/11/2018, dirigido a la reclamante y al domicilio que figura C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 vinculado a sus datos en los registros de la entidad con código de envío CD CD0D7M0000780620006350S. En el concreto asunto que nos ocupa, a la luz de las particulares circunstancias que concurren -tales como que la entidad haya aportado en un trámite posterior, con sus alegaciones al acuerdo de inicio, la documentación que le fue requerida anteriormente; las indiscutibles evidencias de la voluntad de cooperar con esta Agencia en el desempeño de sus funciones, de lo que es exponente la carta que remitió a la reclamante en fecha 10/11/2018, que fue enviada por correo certificado el 23/11/2018, a través de la que da cumplimiento a una de las indicaciones recibidas de la AEPD en el escrito que se remitió al DPD de la compañía durante la fase de Admisión a Trámite para que informara a la reclamante del origen de los hechos objeto de la reclamación; y el plazo no excesivamente amplio -algo más de dos meses- que transcurrió entre que se le hizo el requerimiento informativo por la Inspección de Datos y se dictó acuerdo de inicio del expediente sancionador, ponen en tela de juicio la existencia de una infracción del artículo 31 del RGPD cuya vulneración se imputó a la reclamada en el acuerdo de inicio del expediente sancionador. La obligación impuesta por el artículo 31 del RGPD -de cuya infracción se responsabilizó a la reclamada en el acuerdo de inicio- se define con una acción concreta: “cooperar” con la autoridad de control en el cumplimiento de sus funciones. Según el diccionario de la Real Academia de la Lengua Española cooperar es obrar juntamente con otro u otros para la consecución de un fin; en este caso el fin es el desempeño de las funciones que el RGPD atribuye a las autoridades de control y que se detallan el artículo 57 del RGPD. Así pues, en este caso particular, atendidas las circunstancias que concurren -dado que la reclamada facilitó finalmente a esta Agencia la documentación precisa para el esclarecimiento de los hechos objeto de la reclamación y habida cuenta de que está acreditado el envío en fecha 22/11/2018 de una carta dirigida a la reclamante a través de la cual la reclamada acusa recibo de la reclamación con referencia E/07176/2018 formulada ante esta Agencia y da cumplimiento a una de las exigencias que la AEPD le impuso en el escrito que le dirigió durante la fase de Admisión a Trámite, lo que por otra parte es un indicio a favor de admitir la explicación facilitada por la reclamada según la cual había preparado la respuesta para enviarla a la AEPD en plazo, pero por un error en sus sistemas no detectado su respuesta no llegó a enviarse a la AEPD-, se estima procedente acordar el archivo de las actuaciones practicadas respecto a la presunta infracción del artículo 31 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ACORDAR EL ARCHIVO de las actuaciones seguidas frente a CAIXABANK, S.A., con NIF A08663619, por la presunta infracción del artículo 13 del RGPD sancionada en el artículo 83.5.
  26. b)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 SEGUNDO: ACORDAR EL ARCHIVO de las actuaciones seguidas frente a CAIXABANK, S.A., con NIF A08663619, por la presunta infracción del artículo 31 del RGPD sancionada en el artículo 83.4.
  27. a)del RGPD. TERCERO: NOTIFICAR la presente resolución a CAIXABANK, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  28. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.