1/6 Procedimiento Nº PS/00410/2015 RESOLUCIÓN: R/00363/2016 En el procedimiento sancionador PS/00410/2015, instruido por la Agencia Española de Protección de Datos a la entidad CAIXABANK, S.A., vista la denuncia presentada por Dña B.B.B., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 14/1/16 se formuló propuesta de resolución proponiendo el archivo del presente procedimiento sancionador abierto a CAIXABANK por la presunta infracción del artículo 4.3 de la LOPD, SEGUNDO: No se han presentado alegaciones a la propuesta de resolución. HECHOS PROBADOS 1º Consta en los ficheros de CAIXABANK los datos de Dª B.B.B., con DNI ***DNI.1 y domicilio en C/ C.C.C., como cliente de la entidad. 2º Consta que los datos de Dª B.B.B. fueron informados a los ficheros de morosidad Badexcug y Asnef con fechas de alta 10/8/14 y 11/8/14 respectivamente, por un importe de 1.767,39, y con fecha de baja 12/10/14 y 14/10/14 respectivamente. 3º Consta notificación a la denunciante de las cantidades informadas a dichos ficheros con fechas 12/8/14 (Asnef) y 12/8/14 (Badexcug) 4º Consta copia del contrato de arrendamiento suscrito entre CAIXABANK y DELION en relación a la gestión de ésta última, (como tercero independiente), del proceso de impresión, ensobrado y entrega al servicio postal para su entrega a los destinatarios de los comunicados relativos al requerimiento previo de pago. 5º Consta certificación de la empresa Delion de fecha 17/9/14 que la carta identificada con el código ***CÓD.1 fue entregada al distribuidor con fecha 22/4/14 y no consta incidencia alguna en el proceso de envió ni que haya sido devuelta. 6º Consta albarán de entrega del servicio de Correos de fecha 22/4/14. 7º Consta copia de la carta de requerimiento previo de pago remitida a la denunciante con fecha 17/4/14. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 II Finalizado el periodo de actuaciones previas de inspección, con la elaboración del informe E/06101/2014, se procedió a la apertura del presente procedimiento sancionador al haberse apreciado la existencia de indicios susceptibles de motivar la imputación de una infracción, en base a los hechos denunciados. La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d); este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso CAIXABANK ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD. III Dentro de los principios generales de la protección de datos, regulados en el Titulo II de la LOPD, se contempla el de calidad de datos en el art. 4, regulando la recogida de datos y que se refiere, específicamente, en su apartado tercero, al de veracidad y exactitud, con su corolario de cancelación y sustitución de oficio en caso de que fueran inexactos, En dicho artículo se establece que “los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Aplicado al caso que nos ocupa tiene como consecuencia que el acreedor o quien actúe por su cuenta o interés podrá facilitar datos de carácter personal, relativos al cumplimiento o incumplimiento de obligaciones dinerarias, a ficheros comunes de solvencia patrimonial y crédito, siempre que la información registrada en este tipo de ficheros respete los principios de veracidad y exactitud. El artículo 29.2 de la Ley Orgánica 15/1999 dispone que “podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés”, añadiendo que “en estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Asimismo, el apartado 3 del precepto señala que “cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos”. En el RLOPD se recoge el marco reglamentario donde se regula el régimen jurídico aplicable a los ficheros de solvencia patrimonial y crédito; concretamente el art. 38.1 dispone que “sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
- b)Que no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.
- c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. De este modo, sólo en caso de que la deuda reúna los requisitos citados, no haya transcurrido el plazo citado y, en todo caso, se haya producido el requerimiento de pago al deudor al que se refiere el precepto será posible incorporar aquélla a los ficheros de solvencia patrimonial y crédito, estableciendo además el artículo 38.3 del reglamento que “el acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. Junto a tales requisitos, será preciso que en el momento de celebrar el acreedor el contrato en cuyo desenvolvimiento se produzca el impago de la obligación aquél haya informado al deudor ”que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias”, tal y como prescribe el artículo 39 del Reglamento; todo ello con el fin de que el deudor tenga pleno conocimiento desde el momento en que contrae la obligación de su eventual inclusión, en caso de impago, en el sistema. Este requerimiento de pago ha de ir dirigido a la persona a quien corresponda realizar el pago, puesto que se trata de una intimación para el pago de la deuda, una exigencia para que se proceda al cumplimiento. Teniendo como una de sus finalidades ser una garantía reforzada del cumplimiento del deber de información al afectado. El requerimiento constituye una verdadera manifestación de voluntad por la cual el acreedor requiere al deudor para que cumpla su obligación, interrumpiendo así la prescripción. Se trata, en definitiva, de un acto que trasciende con creces de un mero cumplimiento formal, puesto que se otorga al deudor, una nueva oportunidad para cumplir su obligación. Se deduce pues que el requerimiento ha de ser recepticio, debiendo dirigirse a la persona concreta que ha de cumplir la obligación y acreditando con carácter general la recepción del requerimiento. En este Sentido se manifiesta la doctrina de la AN, entre todas en la Sentencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 17/3/15 (Recurso 229/2013) que manifiesta que “La infracción del principio de calidad del dato encuentra su razón de ser en la falta de requerimiento previo de pago al deudor, en cuanto priva al afectado de la posibilidad de hacer frente a la deuda antes de sufrir las consecuencias de que sus datos sean inscritos en dicho fichero. Como ya dijimos en nuestra sentencia de 20 de abril de 2006 "... aquel que utiliza un medio extraordinario de cobro como es el de la anotación de la deuda en un registro de morosos, debe garantizar el cumplimiento de todos los requisitos materiales (exactitud el dato) y formales (requerimiento previo) que permitan el empleo de este modo accesorio para conseguir el cobro de la deuda. No aplicar esta exigencia supondría, por lo contrario, utilizar este medio de presión al recurrente sin el suficiente aseguramiento de las mínimas garantías para los titulares de los datos que son anotados en los registros de morosos". De la doctrina emanada por la Audiencia Nacional se deduce que recae sobre el responsable del fichero la carga de la prueba de la recepción de la notificación por parte del afectado, cuyos datos se han incorporado al fichero común de morosidad, no bastando la mera acreditación del envío de la comunicación. Hay que tener en cuenta que la Audiencia Nacional, analizando el efecto probatorio de la notificación a los interesados del tratamiento de sus datos personales, ha establecido que la mera contratación de un medio independiente para la notificación no acredita más que la existencia del contrato, pero no que se ha hecho el envío, del mismo modo que la prueba del envío de una notificación no acredita por sí misma su recepción por el afectado. Así, si el destinatario niega la recepción, la carga de la prueba del envío recae sobre el responsable del tratamiento. (Sentencia de 24/1/03); admitiéndose como válidos aquellos mediante los cuales el responsable pueda acreditar la recepción del escrito por el interesado. También se ha venido admitiendo la posibilidad de que se acuda a la contratación de un tercero independiente de la propia entidad, que garantice que los envíos se han realizado efectivamente, con indicación de los destinatarios de los mismos y la fecha de envío. Como también constituiría una prueba de que la carta ha llegado a su destino, el acceso al servicio de devoluciones de correos por parte de quien ha efectuado la notificación, de modo que si el envío consta como devuelto no se tratarían los datos y por el contrario, si no consta como devueltos se procedería a su tratamiento. En conclusión, y en cuanto a los mecanismos de notificación se puede aplicar analógicamente lo establecido en el artículo 40.3 del RLOPD, que establece que: “La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante, que la permita acreditar la efectiva realización de los envíos”; así mismo el apartado 40.4 que dispone que “En todo caso, será necesario que el responsable del fichero pueda conocer si la notificación ha sido objeto de devolución por cualquier causa, en cuyo caso no podrá proceder al tratamiento de los datos referidos a ese interesado. No se entenderán suficientes para que no se pueda proceder al tratamiento de los datos referidos a un interesado las devoluciones en las que el destinatario haya rehusado recibir el envío”. IV La Sra. B.B.B. denuncia que fue incluida en los ficheros de morosidad sin que se comunicara dicha inclusión. Por tanto, de acuerdo a lo establecido en el fundamento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 anterior, le corresponde a CAIXABANK la obligación de acreditar que se llevaron a cabo las notificaciones debidas. En el presente caso la entidad denunciada aporta diversos indicios que apuntan a la realización de la comunicación. Por un lado consta certificación de la empresa Delion, (que actúa como tercero independiente en el proceso de impresión, ensobrado y entrega al servicio postal) que la carta identificada con el código ***CÓD.1 fue entregada al distribuidor con fecha 22/4/14 y no consta incidencia alguna en el proceso de envió ni que haya sido devuelta; en segundo lugar consta albarán de entrega del servicio de Correos de fecha 22/4/14; y en tercer lugar consta copia de la carta de requerimiento previo de pago remitida a la denunciante con fecha 17/4/14 Así mismo consta copia del contrato de arrendamiento suscrito entre CAIXABANK y DELION; lo que supone la utilización de un medio fiable e independiente para la realización de las notificaciones a las que están obligadas por la Ley Orgánica 15/1999. En cumplimiento de dicho contrato, se ha venido establecido un sistema en el cual el proceso de notificación incluye un control de emisión de notificaciones, a través de códigos de identificación, con fecha y número de entrega en el servicio de correos y de registro de cartas devueltas IV Procede concluir que, en el presente caso, CAIXABANK ha presentado suficiente documentación, que siguiendo la doctrina legal de la Audiencia Nacional vista, se establece como una fuente de prueba indiciaria con suficiente entidad como para determinar que se llevó a cabo la notificación legalmente señalada. La entidad denunciada realizo un proceso de generación de notificación de requerimiento previo (dirigido a la dirección de la denunciante que figuraba en su base de datos que coincide con el domicilio de la misma reflejado en su escrito de denuncia). Dicha notificación de fecha 17/4/14, fue gestionada por DELION, con el objeto de utilizar, a través de esta sociedad, un medio fiable e independiente para la realización de las notificaciones a las que están obligadas por la Ley Orgánica 15/1999. Para ello se estableció un sistema de códigos para el seguimiento de la trazabilidad de las cartas remitidas, y a partir del mismo, DELION ha certificado la puesta a disposición del servicio de Correos en fecha 22/4/14 de la notificación de referencia ***CÓD.1 correspondiente a la denunciante, no produciéndose ninguna incidencia en su envío, ni constando devolución. De acuerdo a todo lo anterior, CAIXABANK ha presentado indicios suficientes para apreciar la existencia de un principio de prueba de que se han realizado las notificación exigida por la LOPD y disposiciones de desarrollo, y que, por tanto, ha actuado con la diligencia exigida por la normativa en materia de protección de datos, por lo que no se puede apreciar vulneración alguna de la LOPD por su parte que pudiera activar el correspondiente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación Por la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Se ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución a CIXABANK S.L. y a Dª B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Marti Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es