1/14 Procedimiento Nº PS/00360/2014 RESOLUCIÓN: R/02840/2014 En el procedimiento sancionador PS/00360/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANCO POPULAR ESPAÑOL, S.A., vista la denuncia presentada por D. C.C.C. y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10 de julio de 2013 tuvo entrada en esta Agencia un escrito de D. C.C.C. (en lo sucesivo el denunciante) en el que se exponía que PRIME (por la entidad PRIME CREDIT 3, S.A.R.L.) le había incluido en ficheros de morosidad sin que en ningún momento hubiese recibido notificación alguna respecto a la existencia de deuda alguna. Junto con su denuncia aportaba copia de un informe de fecha 22 de mayo de 2013 de ASNEF-EQUIFAX en el que se recogía que sus datos personales habían sido objeto de inclusión en ASNEF por parte de “PRIME CREDIT 3 SARL” con fecha de alta el 11 de abril de 2013 como consecuencia de una deuda de 3.214,48 € por un producto de tarjetas de crédito como titular. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se solicitó información a las entidades más abajo detalladas y se llevaron a cabo las actuaciones de investigación descritas. De esta manera, en el informe de actuaciones de investigación E/05064/2013 se detalla lo siguiente: <<EN RELACIÓN A PRIME CREDIT 3 SARL Por lo que a la posición de PRIME CREDIT 3 SARL (en adelante PRIME) se refiere, debe señalarse que esta entidad es una sociedad luxemburguesa con domicilio social en (C/..............1)Luxemburgo, que se encuentra inscrita en el Registro de Comercio y Sociedades de Luxemburgo con el número ********. En España tiene asignado el NIF ***NIF.1 (la clave “**” es asignada por la Agencia Tributaria a las personas jurídicas que carecen de nacionalidad española). La AEPD tuvo conocimiento (en concreto en el marco de las actuaciones desarrolladas en el E/03758/2013) de que PRIME encargó la gestión y recobro de los créditos adquiridos a POPULAR a LINDORFF CONTACT CENTER SLU. En este sentido, LINDORFF CONTACT CENTER SLU (en adelante LINDORFF) actúa como encargado de tratamiento de PRIME. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 Con fecha 26 de marzo de 2014 dos inspectores de la AEPD se personaron en el establecimiento de LINDORFF, siendo recibidos por representantes de LINDORFF y PRIME. En dicho acto se hizo entrega a la AEPD de una copia del Master Services Agreement suscrito entre ambas entidades el 12/12/2012, documento redactado en inglés que define las circunstancias en que se desarrollará la prestación del servicio por parte de LINDORFF a PRIME. En el marco de dicha inspección los inspectores actuantes solicitaron acceso a los sistemas de LINDORFF a los efectos de realizar las correspondientes comprobaciones en relación a los datos de varias personas (entre ellas el denunciante) afectadas por la mencionada venta de cartera. Ante tal requerimiento los representantes de PRIME, esgrimiendo la titularidad que esta entidad ostenta sobre los datos a los que se solicitaba acceso, plantearon la necesidad de valorar si el hecho de facilitar la información requerida podría implicar potencialmente algún tipo de responsabilidad para PRIME, de conformidad con la legislación aplicable a esta entidad. En relación a lo expuesto, con fecha 10/04/2014 tuvo entrada en la AEPD un escrito remitido por PRIME en el que se manifestaba, entre otros extremos, lo siguiente: - Que con fecha 12 de diciembre de 2012 Prime suscribió un contrato de cesión de cartera de créditos con Banco Popular. - Que con fecha 12 de diciembre de 2012, Prime y Lindorff Contact Center SLU suscribieron un contrato marco de prestación de servicios de recobro (“Master Servicing Agreement”). - Que en el contexto de la citada cesión de la Cartera de Créditos, Lindorff, en nombre y por cuenta de Prime, y Banco Popular enviaron una notificación a los deudores informándoles en relación con la cesión de sus créditos por Banco Popular a Prime. - Que Prime considera que una alternativa posible y viable jurídicamente para que la AEPD pueda obtener la información que considere relevante para la investigación, sería que la AEPD coordinara su actuación con la Commision Nationale pour la Protection des Données (“CNPD”), la autoridad nacional de protección de datos en Luxemburgo, país donde Prime está establecida, a efectos de que sea la CNPD la que requiera formalmente, en su caso, la documentación e información oportunas a Prime, de conformidad con las legislaciones aplicables y en consonancia con las normas de competencia jurisdiccional establecidas en el artículo 28 de la Directiva 95/46/CE. Sobre la base de lo expuesto, PRIME ha autorizado a su encargado de tratamiento, LINDORFF, a facilitarle a la AEPD acceso, únicamente, a su documento de seguridad y al Master Services Agreement suscrito entre ambas entidades. En relación al Master Services Agreement (en adelante MSA), se trata de un documento redactado en inglés (no se ha facilitado una versión es castellano) en el que se define el marco de la relación entre ambas entidades. Grosso modo cabe señalar que en la cláusula 4 del contrato se recogen los servicios que LINDORFF debe prestar a PRIME. Por su parte, la cláusula 5 del MSA se dedica a definir la política de seguridad a implementar por parte de LINDORFF. Igualmente debe señalarse que en el MSA se identifica como “Polo” al contrato de compraventa de 12/12/2012 suscrito por PRIME con POPULAR, existiendo un anexo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 específico (Polo Schedule) referido a las condiciones concretas de los servicios referidos a esta cartera de créditos. En el apartado 2 de dicho anexo se detallan los servicios a prestar por parte de LINDORFF. Con fecha 07/05/2014 se solicitó a PRIME información relativa a D. C.C.C., NIF D.D.D.. El requerimiento de información fue correctamente recibido el 12/05/2014, como acredita el correspondiente acuse de recibo debidamente incorporado al expediente. A fecha de hoy no ha sido recibida respuesta. INSPECCIÓN EN BANCO POPULAR ESPAÑOL S.A. Con fecha 11/042014 se personaron en las dependencias de POPULAR dos inspectores de la AEPD a los efectos de practicar las pertinentes actuaciones de inspección. En el marco de dicha inspección se realizaron las siguientes comprobaciones: - Los representantes de POPULAR manifiestan que con fecha 12 de diciembre de 2012 esta entidad y BANCOPOPULAR-E SAU suscribieron con LINDORFF HOLDING SPAIN SLU (en adelante LINDORFF) y PRIME CREDIT 3 SARL (en adelante PRIME) un contrato de compraventa de una cartera de créditos, fruto del cual LINDORFF y PRIME se subrogaron en la posición acreedora de esos créditos. Los representantes de la entidad manifiestan que con fecha 31/12/2012 fue suscrita una escritura complementaria a los efectos de actualizar los datos de la cesión a fecha 12/12/2012. - Los inspectores actuantes solicitaron a los representantes de la entidad que expusieran las condiciones en que se produjo la citada cesión de cartera y, en particular, en relación a la comunicación de dicha cesión a las personas afectadas. Al respecto, los representantes de la entidad hicieron las siguientes manifestaciones: o Junto con el contrato se depositó ante notario unos CD conteniendo la información relativa a todas las deudas objeto de cesión (fecha de antigüedad, datos personales de deudor, tipo de producto, importe, etc.). En la cláusula 1.4 del contrato se describe el tipo de datos contenidos en los CD. Los representantes de la entidad manifestaron que el total de la cartera de cesión incluía, aproximadamente, unos 160.000 créditos, de los cuales en torno a un 25% fueron cedidos a LINDORFF y sobre un 75% fueron cedidos a PRIME. Los representantes de la entidad expusieron que los créditos tenían el carácter de fallidos, teniendo como deudores tanto a personas físicas como a personas jurídicas. Además, esos créditos podían estar judicializados o no en el momento de la cesión. Finalmente, respecto a su antigüedad, manifestaron que la fecha de calificación como fallidos data de mayo de 2007 en adelante. o C/ Jorge Juan, 6 28001 – Madrid En relación al envío de comunicaciones enviadas a los deudores informando de la cesión de su deuda, los representantes de POPULAR manifestaron que para el envío de tales comunicaciones el comprador suscribió un contrato de prestación de servicios con una tercera empresa independiente (PROMARBA), que se encargaría de la gestión del envío de estas comunicaciones utilizando los servicios de UNIPOST y www.agpd.es sedeagpd.gob.es 4/14 CORREOS. Manifestaron los representante del POPULAR que la comunicación de la cesión era una tarea de cuya gestión se responsabilizaron los compradores de la cartera. o Respecto a posibles reclamaciones recibidas en LINDORFF y PRIME de parte de los afectados, los representantes de POPULAR manifestaron que existe un diálogo permanente con las entidades compradoras, que trasladan a POPULAR todas las quejas y reclamaciones que puedan plantearse por parte de los afectados, estudiándose cada caso. En este sentido, los representantes de POPULAR manifiestan que esta entidad suscribió sendos Convenios de Protección de Datos, fechados a 12/12/2012, con LINDORFF y PRIME, en los términos del artículo 12 de la LOPD. Además, los representantes de la entidad pusieron de manifiesto que el contrato de compraventa prevé una serie de supuestos en los que se puede producir la recompra de los créditos, tanto a instancia de los compradores como del vendedor. - Del análisis del contrato referido (del que figura una copia adjunta al acta de inspección) se desprende, entre otros extremos, lo siguiente: o La firma del contrato implicaba la entrega a los compradores por parte de los vendedores de un CD (del que se depositaba una copia en el Notario) en el que se recoge información relativa a los créditos cedidos referidos a fecha 31/07/2012 (fecha de corte) y actualizados a 30/11/2012. Los CD contienen, entre otras cosas, la siguiente información: Identificación del saldo vivo de cada uno de los créditos y su desglose en capital pendiente de amortización, intereses y gastos judiciales (importe pendiente). Identidad de cada uno de los deudores (DNI o CIF, nacionalidad, fecha de nacimiento, condición de titular o avalista). Datos de contacto. Fecha de antigüedad de la deuda. Modalidad del producto del que trae causa la deuda. Identificación de aquellos créditos cuyo pago se ha reclamado judicialmente (créditos judicializados) o Además, en la estipulación 10 del contrato se regula la “entrega de documentación e información de la cartera”, diferenciándose entre créditos judicializados (estipulación 10.1) y créditos no judicializados (estipulación 10.2). Respecto de estos segundos los vendedores se comprometen a entregar, entre otra documentación: Copia escaneada de los contratos que mantengan escaneados en sus archivos. Además se prevé que los compradores puedan solicitar los contratos originales de los créditos comprados (en el caso de que las necesiten C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 para entablar reclamaciones judiciales). Certificados de saldo que recojan el saldo exigible de cada crédito a la fecha de celebración del contrato. Extracto de los movimientos a la fecha de celebración del contrato. o En el contrato los vendedores manifiestan (estipulación 5.2), entre otras cosas, que: Los créditos están vencidos y son exigibles. No han exonerado a ninguno de los deudores, con anterioridad a la fecha de corte, de su obligación de pago (total o parcial). Ningún crédito ha sido declarado inexistente o nulo por sentencia, resolución o laudo dictado por órgano competente. Los créditos se encuentran libres de cargas y gravámenes o derechos de terceros. A la fecha de celebración del contrato no existe investigación, demanda, litigio o disputa ante ningún tribunal judicial o arbitral. o El contrato establece (estipulación 3) una serie de supuestos de exclusión de los créditos a la fecha de celebración del contrato (inexistencia del crédito; el importe pendiente no coincide con el indicado en el CD; ilegitimidad del crédito; la operación trae causa de fraude; el crédito es concursal; fallecimiento de los deudores y avalistas…). En relación a tales supuestos, en la estipulación 4 del contrato se prevén unos mecanismos de exclusión. En concreto se regula el derecho de los compradores a exigir, durante los dos años posteriores a la firma del contrato (4.11), la sustitución por créditos nuevos o la recompra de todos aquellos créditos (a elección del vendedor, 4.1) que encajen dentro de los supuestos de exclusión establecidos. A tales efectos los compradores deben aportar la documentación o justificación razonablemente necesaria de la concurrencia del supuesto de exclusión (4.2.) C/ Jorge Juan, 6 28001 – Madrid o Por lo que a la comunicación de la cesión a los afectados se refiere, la estipulación 13 del contrato establece que ambas partes realizarán las comunicaciones pertinentes a los deudores relativas a la presente cesión de créditos, así como las requeridas por la normativa de protección de datos de carácter personal aplicable. Se establece que la comunicación, redactada conforme al modelo incorporado al anexo del contrato, será remitida en cada caso por el vendedor y el comprador de cada crédito conjuntamente. A tales efectos, las partes contratarán una tercera empresa independiente de ellas a la que requerirán, conforme dicho modelo, la remisión de las notificaciones a los deudores. o Respecto al trámite a seguir en caso de reclamaciones recibidas de los afectados, en la estipulación 12 del contrato se establece www.agpd.es sedeagpd.gob.es 6/14 que los compradores deberán notificar a los vendedores la existencia de la reclamación del tercero o de los deudores, adjuntando una copia de la reclamación así como una explicación lo más detallada posible sobre los hechos en los que se fundamenta e indicando la cantidad reclamada. Asimismo, se prevé la obligación de los compradores de no allanarse a la reclamación sin que previamente hayan recibido de los vendedores la confirmación de que accedan al allanamiento. En conexión a este aspecto, cabe reseñar igualmente que en la estipulación 8.5 del contrato se recoge la obligación de comprador de facilitar información al vendedor dentro del plazo de 15 días hábiles de aquellas quejas que reciban de los deudores que reúnan la condición de persona física, que puedan dar lugar a la aplicación del supuesto de exclusión por inexistencia del crédito a la fecha de celebración del contrato. - Accediendo al sistema de información de la entidad, se realizan las siguientes verificaciones utilizando como criterio de búsqueda el NIF D.D.D.: o Se verifica que asociados al mismo aparecen los datos de C.C.C., con dirección calle A.A.A.. o Vinculada a esta persona aparece un contrato relativo a una tarjeta visa de crédito identificado con el código ***CCC.1. La situación de la operación que consta es “cancelada”. Los representantes de POPULAR manifiestan que los cuatro dígitos que abren el código de identificación, “****”, son los que identifican a la entidad. En este sentido, exponen que “****” es el código identificativo de BANCOPOPULAR-E SAU (los dígitos que identifican a BANCO POPULAR ESPAÑOL SA son 0075), siendo ésta la entidad que comercializó este producto. BANCOPOPULAR-E SAU es una entidad integrante del grupo POPULAR y, en los términos expuestos ut supra, participó en la cesión de cartera de créditos objeto de análisis en estas actuaciones. El sistema arroja un mensaje advirtiendo que este contrato forma parte de una cesión a terceros. o Accediendo a los detalles del contrato referido en el apartado anterior, se solicita consulta de los movimientos registrados en el préstamo. Se verifica que con fecha 27/11/2008 consta la anotación “calificación en mora” Se verifica que con fecha 22/12/2012 constan sucesivas anotaciones donde se refleja “cesión del crédito”. Tras solicitar acceso al sistema donde se gestionen los contactos que mantiene el banco con sus clientes, los representantes de la entidad manifestaron que no existe una aplicación específica que centralice y aglutine todos los contactos que puedan producirse con los clientes. Expusieron que como norma general las incidencias son resueltas a través de las sucursales o bien a través del servicio de atención al cliente, que cuenta con unos sistemas específicos a los que no se podía tener acceso en el momento de practicarse la inspección. o C/ Jorge Juan, 6 28001 – Madrid Accediendo al fichero conteniendo la información que se ha www.agpd.es sedeagpd.gob.es 7/14 cedido a PRIME en relación a este caso concreto se comprueba lo siguiente: que la deuda cedida ascendía a 3.214,82 €, derivada de un producto calificado como “tarjeta visa” que la deuda fue calificada en mora con fecha 27/11/2008, y el crédito como fallido el 01/09/2010 que en el momento de la cesión no existía registrado ningún procedimiento judicial vinculado a esta deuda. que la dirección de contacto comunicada a PRIME fue C/ A.A.A., . SOLICITUD DE INFORMACIÓN A EQUIFAX IBÉRICA S.L. Con fecha 16/04/2014 se solicitó a EQUIFAX información relativa a C.C.C., NIF D.D.D., en relación a la inclusión de sus datos en ASNEF por deudas informadas por POPULAR y PRIME. De la respuesta recibida se desprende lo siguiente: - EQUIFAX manifiesta que los datos del afectado no han estado incluidos en ASNEF a instancia de POPULAR. - Los datos del afectado han sido objeto de inclusión en ASNEF en una ocasión a instancia de PRIME: o Con fecha de alta 11/04/2013, como consecuencia de una deuda por valor de 3.214,48 €. La inclusión fue notificada mediante la remisión de una carta de 13/04/2013, que se envió a C/ A.A.A., Santa Cruz de Tenerife, y que no consta como devuelta. La inclusión fue dada de baja con fecha 13/08/2013 (consta como motivo de la baja “F.PURA”). Se aportan impresiones de pantalla al respecto. - EQUIFAX expone que en su Servicio de Atención al Cliente se han registrado dos expedientes vinculados al afectado en relación a la inclusión mencionada y relativos al ejercicio del derecho de acceso: o 2013/*****, relativo a una solicitud de acceso de 08/05/2013. o 2013/*****1, relativo a una solicitud de acceso de 26/11/2013. SOLICITUD DE INFORMACIÓN A PROMARBA S.L. Con fecha 25/04/2014 se solicitó a PROMARBA S.L. (en adelante PROMARBA) información relativa a los contratos de prestación de servicios que, en su caso, hubiera suscrito con las entidades integrantes del grupo LINDORFF, PRIME y POPULAR. De la respuesta recibida se desprende lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid Que con fecha 03/01/2013 PROMARBA suscribió un contrato de prestación de servicios con PRIME (representada por LINDORFF CONTACT CENTER) con el siguiente objeto: tratamiento de una base de datos de una cantidad de registros aún no determinada, con la que producir la impresión de cartas (…) ensobrado de la carta, clasificación, atado y transporte hasta el Servicio Postal seleccionado (…) recoger semanalmente los envíos que lleguen devueltos (…) grabación del código de barras junto con el motivo de la devolución y la generación de www.agpd.es sedeagpd.gob.es 8/14 los correspondientes ficheros para informar a PRIME de los registros afectados (…) prestará el servicio de archivo físico de devoluciones y custodia. Se aporta copia del citado contrato, incluyendo el Anexo I, relativo a la política de seguridad y confidencialidad. - Que con fecha 20/05/2012 PROMARBA suscribió un contrato de prestación de servicios con LINDORFF CONTACT CENTER SLU con el siguiente objeto: tratamiento de una base de datos de una cantidad de registros aún no determinada con la que producir la impresión de las notificaciones que le sea encomendada, la confección de dichas notificaciones, clasificación, atado y transporte hasta el Servicio Postal seleccionado (…) recoger semanalmente cualquier notificación que llegue devuelta al citado Servicio Postal, así como la grabación del código de barras junto con el motivo de la devolución y la generación de los correspondientes ficheros para informar a Lindorff Contact Center SLU de los registros afectados>>. TERCERO: En fecha 7 de julio de 2014 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO POPULAR ESPAÑOL, S.A. por la presunta infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.