PS-00427-2024

1/37  Expediente N.º: EXP202305720 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de diciembre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BULNES CAPITAL, S.L. (en adelante, BULNES). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 23 de enero de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202305720 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 14 de marzo de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a BULNES CAPITAL, S.L. con NIF B88343900 (en adelante, BULNES). Los hechos que se ponen en conocimiento de esta autoridad son: Se manifiesta que una entidad denominada ***EMPRESA.1 le requiere el pago de una deuda que no le corresponde, ya que dicha deuda se deriva de una contratación fraudulenta. Junto al escrito se aporta: -Denuncia policial de 1/6/2022 en la que manifiesta la recepción, en septiembre de 2021, de mensajes en el teléfono móvil de su cónyuge de recibidos de la empresa de cobros ***EMPRESA.2 y a través de los cuales se solicitaba el pago de una deuda de ***CANTIDAD.1 de la empresa ***EMPRESA.7. Se indica en la denuncia que los datos de la deuda corresponden a los del reclamante, pero no el email ni la dirección postal de entrega que es ***DIRECCIÓN.1. En este sentido, niega haber realizado tal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/37 compra por internet afirmando haber sufrido una estafa anteriormente denunciada en 2020 por posible usurpación de identidad a través de la realización de dos contratos de líneas telefónicas por personas con quienes trató de alquilar una vivienda cuya dirección coincide con la citada de ***LOCALIDAD.1. Manifiesta que siguió la recomendación de ***EMPRESA.2 de denunciar los hechos y enviar copia de la denuncia a ***EMAIL.1, tras lo cual recibió SMS el 1/6/22 de ***EMPRESA.2 informando del pase de los datos a “Judicial” con un teléfono de dudas ***TELÉFONO.1. Manifiesta que en otros atestados interpuso denuncia por la citada posible usurpación de identidad y realización de dos contratos de líneas de teléfonos por parte de unas personas con las que trataron de alquilar una vivienda. Interpone la presente reclamación porque es posible que las personas denunciadas en esos atestados pueden corresponder con los hechos arriba mencionados, ya que coincide la dirección de la ***DIRECCIÓN.1. -Captura de pantalla de SMS recibidos en nombre de ***EMPRESA.1 de las siguientes fechas y manifestaciones: 4/8 16:14h Le informamos que Bulnes ha encargado la gestión de la deuda que mantiene a ***EMPRESA.1, Asesoría jurídica externa… 19/8 14:16h Evite que sus datos consten en Ficheros de información sobre solvencia patrimonial y de crédito. Regularice hoy su situación llamando al tlf ***TELÉFONO.2 07/09 13:19h Pese a los intentos realizados, no hemos obtenido respuesta satisfactoria por su parte. Le insto a hacer efectivo el importe de su deuda tlf***TELÉFONO.2 03/10 14:23h Si llama al tlf ***TELÉFONO.2 o envía correo a ***EMAIL.4 podrá acogerse a un PLAN ESPECIAL DE PAGOS SIN GASTOS NI INTERESES 02/11 11:20h En los próximos días su expediente pasará a gestionarse por el departamento Pre Contencioso. Evite incremento de costas y honorarios llamando al ***TELÉFONO.2. -Captura de pantalla de SMS recibidos en nombre de ***EMPRESA.2 reclamando una deuda de ***CANTIDAD.1 de las siguientes fechas y manifestaciones: 24/5 11:34h Hasta final de mes. Stop posibilidad de embargo. Ofrecemos solución de su deuda pagando la mitad. Llame ***TELÉFONO.1 o cont. al WhatsApp. ***URL.1 19/5 13:47h Contacte al ***TELÉFONO.1 o cont. al WhatsApp. ***URL.1 ya podría estar presentada denuncia en el Juzgado por la deuda con PMT. Enviado todo a su domicilio. 17/5 12:38h En 24h vamos a solicitar el amparo de la justicia en relación a su deuda. Llámenos al ***TELÉFONO.1 o contacte al WhatsApp. ***URL.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/37 24/4 23:30h Deuda ***EMPRESA.2, haga pago con 50% dto antes de final de mes o se embraga con costas. Llámenos al ***TELÉFONO.1 o contacte al WhatsApp. ***URL.1 28/4/22 10:03h Deuda de ***CANTIDAD.1 19/4/22 13:07h Haga el pago de la mitad de su deuda que asciende a ***CANTIDAD.1y archivamos orden de embargo, WhatsApp. ***URL.1 Llámenos al ***TELÉFONO.1 14/4/22 17:39h Su deuda es de ***CANTIDAD.1 haga el pago por la mitad en los prox 4 días y paralizamos cualquier reclamación judicial, además le retiramos de ficheros de morosidad. ***REFERENCIA.1, indicar nif just y enviar just al WhatsApp. ***URL.1 Llámenos al ***TELÉFONO.1 -Reclamación ante la Oficina de Consumo del Ayuntamiento de L***LOCALIDAD.3 de fecha 16/11/2022 y su respuesta de 19/1/2023. -Captura de pantalla de SMS recibidos en nombre de ***EMPRESA.1 de fecha: 2/11/22 11:20h En los próximos días su expediente pasara a gestionarse por el Departamento Pre Contencioso. Evite incremento de costas y honorarios llamando al ***TELÉFONO.2 18/1 13:01h En relación a su deuda con Bulnes Capital S.L. recibirá una visita personalizada del gestor presencial asignado a su zona. Evítelo en tfo.***TELÉFONO.2 6/2 12:20h En los próximos días su expediente pasara a gestionarse por el Departamento Pre Contencioso. Evite incremento de costas y honorarios llamando al ***TELÉFONO.2 2/3 14:20h Un abogado estudiará su expediente para determinar acciones legales, teniendo en consideración su solvencia laboral, bancaria y bienes. Evítelo en el ***TELÉFONO.2 -Correo electrónico emitido por la parte reclamante desde la dirección ***EMAIL.2 remitido a ***EMPRESA.1 recuperaciones@***EMPRESA.1 el 22/9/2022 con copia de denuncia policial de 1/6/22 con todos los datos que conoce de la deuda en el que manifestaba lo siguiente: “Buenos días, les mando la denuncia presentada en la Policía, sobre la usurpación de datos de mi persona, para hacer esa compra de la que reclaman, en la que ven datos borrados como mi dirección, mi teléfono móvil y un dato de denuncia anterior de una compra de telefonía en ***EMPRESA.3 y otra de ***EMPRESA.4, ya resueltas y que no tienen que ver con Ustedes […]” -Contestación por correo electrónico de ***EMPRESA.1 de 22/9/2022 indicando que amplíe la denuncia policial con los datos de la deuda con origen en ***EMPRESA.5 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/37 cedida a ***EMPRESA.1, que asciende a ***CANTIDAD.1, con número de referencia ***REFERENCIA.2. -Correo electrónico remitido desde la misma dirección anterior de la parte reclamante a ***EMPRESA.1 el 8/11/2022 con denuncia policial en L***LOCALIDAD.3, informando que en la Oficina de Denuncias le han indicado que no puede poner dos denuncias por el mismo motivo ni ampliar la misma como requirió ***EMPRESA.1. -Contestación por correo electrónico de ***EMPRESA.1 de 10/11/2022 reiterando que debe ampliar la denuncia con los datos de la deuda. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BULNES, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 6/06/23 BULNES dio respuesta a la solicitud de información manifestando lo siguiente: “En el caso que nos ocupa, BULNES ha contratado los servicios de reclamación de deudas a la empresa ***EMPRESA.1 (en adelante “***EMPRESA.1”) quien ha actuado en calidad de Encargado del Tratamiento de BULNES para la reclamación de una deuda a A.A.A., con DNI ***NIF.1. BULNES es el actual acreedor de esta deuda, la cual ha adquirido a través de un contrato de compraventa suscrito con la empresa ***EMPRESA.5. A estos efectos aportamos como ANEXO 1 y ANEXO 2 la siguiente documentación facilitada por ***EMPRESA.5 como justificantes de la existencia de dicha deuda: copia del contrato que dio origen a la deuda y condiciones generales de contratación. BULNES únicamente reclama deudas de acuerdo con la información y datos de contacto proporcionados por el cedente de dicha información, en este caso la empresa ***EMPRESA.5. En este caso, según la información proporcionada por ***EMPRESA.5, salvo prueba en contrario, la deuda reclamada a A.A.A. asciende a la cantidad de ***CANTIDAD.1. En varias ocasiones A.A.A. le ha manifestado a los Agentes que gestionan su deuda en ***EMPRESA.1 que él no debe nada y que ha interpuesto una denuncia por un posible delito de Usurpación de Identidad. Lo cual es una respuesta habitual en el día a día de una empresa de gestión de deudas, sin que este sea necesariamente un caso similar, existen muchos deudores que para evitar ser localizados y saldar sus deudas hacen uso de un sinfín de argumentos. Por lo que, teniendo en cuenta que la interposición de una denuncia solo tiene valor de resguardo y no certifica en modo alguno que los hechos denunciados sean verdaderos o falsos, por protocolo interno, en estos casos ***EMPRESA.1 le ha requerido al solicitante que aporte Sentencia en firme que demuestre que efectivamente ha sido víctima de un delito de Usurpación de identidad, o algún otro elemento que justifique fehacientemente dicho supuesto delito cometido contra su persona. Como posibles alternativas, desde el departamento de gestión amistosa de ***EMPRESA.1 se le indicó a A.A.A. que ampliara la denuncia interpuesta o que presentara otra denuncia especificando la referencia, saldo y origen de la deuda reclamada por ***EMPRESA.1, a lo cual el titular respondió que no podía ni ampliar ni poner otra denuncia por el mismo hecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/37 Por todo lo anteriormente expuesto, teniendo en cuenta que BULNES está reclamando una deuda debidamente acreditada, mientras no se reciba documentación fehaciente que nos asegure que A.A.A. efectivamente ha sido víctima de un delito de Usurpación de identidad, consideramos que, por parte de BULNES no se ha producido ninguna vulneración.” En fecha 01/8/2023 BULNES contesta de nuevo al requerimiento de esta Agencia, aportando la siguiente documentación, según las manifestaciones recogidas en su escrito: “1. Copia simple notarial del Contrato de compraventa de cartera suscrito con la empresa ***EMPRESA.6 quien adquirió la cartera de la empresa ***EMPRESA.5. Se adjunta como ANEXO 1. 2. El detalle de la deuda reclamada a A.A.A. también figura depositado ante notario y se encuentra detallado en el ANEXO 2 “Certificado_bilateral_CEPG.pdf”, en la página 215, con número de orden ***REFERENCIA.11. 3. Condiciones generales y particulares del Préstamo y Contrato firmado electrónicamente por el reclamante, donde se acredita que el origen de la deuda proviene de la entidad ***EMPRESA.5 (ANEXO 3). 4. Copia de la notificación de cesión de crédito (carta presentación/ Hello Letter) enviada al reclamante a la dirección de email: ***EMAIL.3 en fecha 14 de julio de 2023 en la que se le comunicó sobre la cesión del crédito a la empresa BULNES CAPITAL, S.L actual acreedor de la misma (ANEXO 4).” TERCERO: Con fecha 14 de junio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Se comprueba que, de los datos de la deuda facilitados por el reclamante en la reclamación solo faltaría incluir en la denuncia policial requerida por ***EMPRESA.1, el origen en ***EMPRESA.5 cedida a ***EMPRESA.1 y el número de referencia ***REFERENCIA.2. Ya están incluidos en la citada denuncia el importe de la deuda ***CANTIDAD.1, además de la web de compra, empresa ***EMPRESA.7. (Entrada ***REFERENCIA.3 de 14/3/2023). De las respuestas al traslado de la reclamación a ***EMPRESA.5, ***EMPRESA.1 y BULNES, y de las respuestas a los requerimientos a ***EMPRESA.5 y BULNES se obtiene la siguiente documentación y se extraen las siguientes evidencias: -Entrada ***REFERENCIA.4 de ***EMPRESA.5 de 29/11/2023: DOCUMENTO Nº 1, respuesta al requerimiento de la AEPD, con copia del contrato de préstamo suscrito entre el reclamante y ***EMPRESA.5, de 29 de agosto de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/37 DOCUMENTO Nº 2, copia del correo electrónico remitido a la parte reclamante adjuntando las condiciones generales y particulares del contrato de préstamo suscrito con ***EMPRESA.5, con la tabla de amortización del préstamo contratado. De esta entrada se desprende que el origen de la deuda es un préstamo sin intereses de ***EMPRESA.5 por una compra el 29/8/20 en el Comercio ***EMPRESA.7 por importe de ***CANTIDAD.2, a devolver en 12 cuotas de ***CANTIDAD.3 cada una, sin intereses. ***EMPRESA.5 afirma que se generó una deuda por impago cuyo recobro se cedió a la sociedad ***EMPRESA.6 en mayo de 2021. También se desprende que el contrato aportado por ***EMPRESA.5 es un documento de 19/6/23 extraído de la dirección ***EMAIL.4 que contiene un correo electrónico de 29/8/20 de ***EMPRESA.5 enviado desde la dirección electrónica ***EMAIL.5 a ***EMAIL.3, con asunto “Compra en ***EMPRESA.7 confirmada”, dirigido al reclamante con nombre y apellidos, donde se le solicita que suba una copia del DNI/NIE (por exigencia de la Ley 10/2010 sobre prevención de blanqueo de capitales), con el resumen de la financiación de un pedido a la Tienda ***EMPRESA.7 de ***CANTIDAD.2 y con los datos: nombre, DNI y dirección postal, con los adjuntos de condiciones generales del contrato de préstamo y condiciones particulares. De los datos que constan en el citado documento, se comprueba que nombre y DNI coinciden con los datos del parte reclamante, no así la dirección postal y la electrónica, que son diferentes a los aportados por tal parte, tanto en la reclamación como en la denuncia ante la policía. -Entrada ***REFERENCIA.5 de ***EMPRESA.5 de 1/8/2024: Documento 1 de Condiciones generales y particulares del préstamo por importe de ***CANTIDAD.2 con el desglose de las 12 cuotas a pagar. Documento 2 de correo electrónico remitido al reclamante el 29/8/20 con los datos de la compra y del reclamante y anexadas dichas condiciones del préstamo. Esta entrada coincide con lo aportado anteriormente y de ella se desprende que el préstamo de 29/8/2020 concedido por importe de ***CANTIDAD.2 a través del pago de 11 cuotas mensuales de ***CANTIDAD.3 cada una y la última de ***CANTIDAD.4, fue abonado en sus 6 primeras cuotas y generó una deuda que ascendía a ***CANTIDAD.5 más ***CANTIDAD.6 por penalización por comisión de reclamación, en total ***CANTIDAD.1 que coincide con lo denunciado por el reclamante. También se desprende que a ***EMPRESA.5 no le consta copia del DNI del reclamante ni tampoco le constan reclamaciones por el reclamante ni por terceros en su nombre; ***EMPRESA.5 afirma que tuvo conocimiento de la reclamación por el presente expediente de la AEPD y que la denuncia policial de 1/6/22 es posterior a la venta de la cartera de préstamos de ***EMPRESA.5 a ***EMPRESA.6 de 21/5/2021. A ***EMPRESA.5 solo le constan estos datos del reclamante: nombre y apellidos, DNI, dirección de ***LOCALIDAD.2, un teléfono móvil ***TELÉFONO.3 y dirección electrónica. Del expediente de la AEPD le consta otra dirección de ***LOCALIDAD.3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/37 Se comprueba que, de esos datos, solo coinciden con los aportados por el reclamante en su denuncia ante la Policía y la reclamación ante esta Agencia, el nombre, apellidos y DNI, el resto son distintos: teléfono móvil, dirección postal y electrónica. -Entrada ***REFERENCIA.6 de ***EMPRESA.5 de 27/6/2023: DOCUMENTO Nº 1, copia de la escritura pública entre ***EMPRESA.5 y ***EMPRESA.6 de 21/5/2021, donde figura como crédito transmitido el crédito del reclamante. De este documento se desprende que en fecha 21/5/2021 ***EMPRESA.5. y la sociedad ***EMPRESA.6. otorgaron escritura pública de Compraventa y Cesión de Cartera de Créditos mediante la cual ***EMPRESA.5 transmitió, entre otros, a la sociedad ***EMPRESA.6., el crédito titularidad del reclamante. La SGID ha comprobado que los datos del crédito del reclamante figuran en este documento al final de la pg. 419, con los siguientes valores para estos campos (comprobados con el resto de documentación del expediente), de donde se extraen los siguientes datos relevantes (traducción no oficial): Id_préstamo ***REFERENCIA.2 PréstamoCreado 28/09/2020 CapitalPrestado ***CANTIDAD.2 DeudaTotal ***CANTIDAD.1 Capital ***CANTIDAD.5 InteresesDemora ***CANTIDAD.6 FechaImpago 28/02/2021 DNI ***NIF.1 NombreCompleto A.A.A. email ***EMAIL.3 Ciudad ***LOCALIDAD.2 Dirección ***DIRECCIÓN.1 FechaNacimiento ***FECHA.1. Se ha comprobado que los datos de dirección electrónica, dirección postal, ciudad, código postal y fecha de nacimiento no coinciden con los aportados en la reclamación ante la AEPD y su documentación anexa como la denuncia ante la Policía. -DOCUMENTO Nº 2, Notificación de cesión de crédito de ***EMPRESA.5 y ***EMPRESA.6 con copia del escrito remitido a todos los clientes cedidos (firmada electrónicamente por el representante de ***EMPRESA.5 el 9/4/2022) Se ha comprobado que la citada Notificación de cesión de crédito informa de que: -con fecha 4/5/2021, ***EMPRESA.5 y ***EMPRESA.6 (...) han formalizado mediante escritura pública la COMPRAVENTA y CESIÓN DE CARTERA DE CRÉDITOS en la cual ***EMPRESA.5 ha cedido a ***EMPRESA.6 (...) un conjunto de créditos, “entre los que se encuentra el que Usted consta como deudor con los detalles que encontrará en el sms certificado que le hemos enviado hoy día 27/5/2021” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/37 -como dirección de comunicación comprobantes@cobrante.es de ingreso de la deuda figura -Avisa de la posible INCLUSIÓN EN FICHEROS DE MOROSIDAD COMO ASNEF o BADEXCUG y DEMANDA DE JUICIO MONITORIO: “Le informamos de que la presente notificación sirve como requerimiento previo de pago. Asimismo, ***EMPRESA.6. se reserva el derecho a inscribir la deuda que obra en su poder en ficheros de solvencia patrimonial, si usted no regulariza la situación en el plazo legal de 15 días naturales desde la emisión de esta comunicación. Se ha comprobado que en las págs. 26 a 28 de la citada escritura, apartado 3.2. “Notificación de la cesión a los deudores,” se indica que ambas partes, cedente y cesionario, han acordado el envío de una comunicación por una empresa distribuidora, firmada por un representante de cada parte siguiendo el modelo del Anexo 1. Paralelamente a dicho envío los deudores serán asimismo informados de la cesión mediante la remisión de un email y/o sms certificado y también durante la primera llamada telefónica que se mantenga con los mismos tras la cesión de la cartera, siendo tales llamadas grabadas y custodiadas por el Cesionario, así como los emails y/o sms certificados remitidos a los deudores. […] El Cedente podrá solicitar la colaboración del Cesionario, quien estará obligado a prestarla, en aquellos supuestos en que, existiendo un procedimiento judicial o expediente sancionador incoado por la Agencia Española de Protección de Datos, el Cesionario disponga de información y/o documentación relativa al cumplimiento del deber de información que el Cedente requiera para su defensa en dichos procedimientos. Se ha comprobado que el citado Anexo 1 de la escritura contiene un modelo de Notificación de la cesión de crédito, similar en su contenido al DOCUMENTO Nº 2, donde se informa además del contacto del DPD de ***EMPRESA.6. como dpd@cobrante.es. Se ha comprobado que no se ha aportado copia del citado SMS certificado de 27/5/21, por parte de ***EMPRESA.5, ya que en la entrada siguiente esta afirma que no lo ha remitido ella y además el SMS es posterior a la escritura de compraventa de 21/5/2021. -Entrada ***REFERENCIA.7 de ***EMPRESA.5 de 17/7/2024: DOCUMENTO Nº 3, copia parcial de escritura de compraventa de créditos de 21/5/21 entre ***EMPRESA.5 y ***EMPRESA.6 con la página donde figura los datos relativos al reclamante. Se ha comprobado que coinciden con los extraídos por la inspectora de la copia completa de la escritura. Posteriormente, se ha comprobado que se produjo la cesión de deuda del reclamante a otra entidad, BULNES, que a su vez contrató a ***EMPRESA.1 como encargado del tratamiento, evidenciado por los respectivos contratos en este orden: ***EMPRESA.5 -> ***EMPRESA.6 -> Bulnes -> ***EMPRESA.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/37 -Entrada ***REFERENCIA.8 de 30/5/2023 de ***EMPRESA.8 como DPD de ***EMPRESA.1 y ***REFERENCIA.9 de 6/6/2023 como DPD de BULNES: ANEXO 1: copia del contrato origen de la deuda con condiciones particulares del préstamo. ANEXO 2: condiciones generales de contratación. BULNES afirma que los ANEXOS 1 y 2 contienen documentación facilitada por ***EMPRESA.5 como justificantes de la existencia de dicha deuda: copia del contrato que dio origen a la deuda y condiciones generales de contratación. Se ha comprobado que esta documentación solo incluye las condiciones generales y particulares del préstamo que coincide con la documentación aportada por ***EMPRESA.5. -Entrada ***REFERENCIA.10 de 1/8/2023 de ***EMPRESA.8 como DPD de BULNES: ANEXO 1: Copia simple notarial del Contrato de compraventa de cartera de créditos entre la empresa ***EMPRESA.6 y BULNES CAPITAL, S.L. de 30/6/2022. ANEXO 2: Certificado_bilateral_CEPG de 9/8/2022 entre ***EMPRESA.6 y BULNES de la operación de compraventa con los datos transmitidos y con el detalle de la deuda reclamada al reclamante en la página 215, con número de orden ***REFERENCIA.11: -Referencia del contrato del cliente -Fecha aprobación préstamo: Fecha en la que se abonó en la cuenta del cliente el importe del préstamo solicitado. -Fecha vencimiento: Fecha en la que el cliente debió devolver el préstamo. -Total de la deuda el 09/08/2022 momento de extracción del fichero. -DNI del titular del préstamo. -Nombre y apellidos del cliente. La SGID ha comprobado que los datos que figuran en dicha página coinciden con los datos originales recabados por ***EMPRESA.5 y transmitidos en la escritura de compraventa con ***EMPRESA.6 de 21/5/2021: Nº orden ***REFERENCIA.11 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/37 Referencia ***REFERENCIA.2 Fecha-aprobación-préstamo 8/29/2020 Fecha-vencimiento 2/28/2021 Deuda ***CANTIDAD.1 DNI ***NIF.1 Titular (apellidos, nombre) A.A.A. ANEXO 3: Condiciones generales y particulares del Préstamo ANEXO 4: Copia de la notificación de cesión de crédito (carta presentación/ Hello Letter) enviada al reclamante a la dirección de email: ***EMAIL.3 en fecha 14 de julio de 2023 en la que se le comunicó sobre la cesión del crédito a la empresa BULNES CAPITAL, S.L. actual acreedor de la misma. Se ha comprobado que el ANEXO 3 contiene las mismas condiciones generales y particulares del préstamo que las aportadas por ***EMPRESA.5. Aunque BULNES afirma que el ANEXO 3 contiene el “Contrato firmado electrónicamente por el reclamante donde se acredita que el origen de la deuda proviene de la entidad ***EMPRESA.5 “, tal extremo no se acredita. Se ha comprobado que el ANEXO 4 es una carta encabezada por Bulnes sin fecha, con el logo de ***EMPRESA.5 y ***EMPRESA.9 (marca comercial de ***EMPRESA.5), dirigida al nombre y NIF del reclamante y a la dirección postal de ***LOCALIDAD.2 con nº contrato ***REFERENCIA.2 (coincide con el nº de referencia indicado por ***EMPRESA.1 al reclamante) informando de la cesión de la deuda de ***CANTIDAD.1 en fecha 30/6/2022 por la entidad ***EMPRESA.6 a la entidad BULNES, indicando medios de pago y de contacto a través de un teléfono y de la dirección electrónica ***EMAIL.4; y que los datos del reclamante coinciden con los datos originales recabados por ***EMPRESA.5 en la escritura de compraventa con ***EMPRESA.6 de 21/5/2021. En el ANEXO 4 no consta acreditación del envío del citado correo electrónico de 14/7/2023 con la notificación de cesión de crédito a la dirección ***EMAIL.3. -Entrada ***REFERENCIA.12 de 20/8/2024 de ***EMPRESA.8 como DPD de BULNES: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/37 ANEXO 1: Contrato de prestación de servicios suscrito entre BULNES CAPITAL, S.L. y ***EMPRESA.1 para el desarrollo de la relación vinculante de 1/4/2019. BULNES contrata a ***EMPRESA.1 para la gestión de cobro de créditos con vigencia de un año y prorrogable tácitamente por periodos idénticos de un año y así sucesivamente. ANEXO 2: Contrato de Encargado de tratamiento suscrito entre ambas empresas para regular todo el tratamiento de datos realizado por el Encargado (***EMPRESA.1) en el marco de la prestación de los servicios de 29/5/2019, con igual vigencia que el contrato de prestación de servicios. Para ejecutar este servicio el responsable del Tratamiento pone a disposición del Encargado la siguiente información: Datos identificativos de los deudores (nombre, apellidos, dni, email, dirección, teléfono, datos bancarios) Datos económicos cada deuda Datos de localización de cada deudor El Encargado asistirá al responsable en la respuesta al ejercicio de derechos de protección de datos Si un afectado se dirige al Encargado para el ejercicio de derechos, este lo comunicará al responsable por correo-e a rgpd@bulnescapital.es. Tanto en esta entrada como en la ***REFERENCIA.8 ***EMPRESA.1 afirma que ha actuado en calidad de Encargado del Tratamiento de Bulnes Capital, S.L. para la reclamación de una deuda al parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/37 ***EMPRESA.1 manifiesta que únicamente se encarga de realizar las labores de recuperación de las deudas de acuerdo con la información y datos de contacto proporcionados por BULNES y que ha intentado recobrar la deuda remitido por su cliente BULNES. Según ***EMPRESA.1, “en varias ocasiones el reclamante ha manifestado a ***EMPRESA.1 que no debe nada y que ha interpuesto una denuncia por un posible delito de Usurpación de Identidad, respuesta habitual en el día a día de una empresa de gestión de deudas, sin que este sea necesariamente un caso similar, existen muchos deudores que para evitar ser localizados y saldar sus deudas hacen uso de un sinfín de argumentos. Por lo que, teniendo en cuenta que la interposición de una denuncia no certifica en modo alguno que los hechos denunciados sean verdaderos o falsos, por protocolo interno, en estos casos le requerimos al solicitante que aporte Sentencia en firme que demuestre que efectivamente ha sido víctima de un delito de Usurpación de identidad, o algún otro elemento que justifique fehacientemente dicho supuesto delito cometido contra su persona. Como posibles alternativas, desde el Departamento de gestión amistosa se le indicó que ampliara la denuncia interpuesta o que presentara otra denuncia especificando la referencia, saldo y origen de la deuda reclamada por ***EMPRESA.1, a lo cual el titular respondió que no podía ni ampliar ni poner otra denuncia por el mismo hecho.” Se comprueba que ***EMPRESA.5. no tiene comunicado ningún DPD a esta Agencia, aunque a fecha 7/8/2024 en la ***URL.2 Apartado 17. Protección de datos de carácter personal figura: Contacto Delegado Protección de Datos: ***EMAIL.5. Se comprueba que los datos del reclamante no figuran anotados en los sistemas de información crediticia de Asnef Equifax Servicios de Información sobre Solvencia y Crédito S.L. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad BULNES es una empresa constituida en el año 20/03/2019, y con un volumen de negocios de ***CANTIDAD.7 euros en el año 2022. SEXTO: Con fecha 5 de diciembre de 2024, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BULNES, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

1. a)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), BULNES presentó escrito de alegaciones en el que, en síntesis, manifestaba entre otras cosas lo siguiente, referido al proceso de contratación del préstamo efectuado por ***EMPRESA.5. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/37 “Los hechos descritos anteriormente dejan clara evidencia de que la obtención de estos datos y por tanto la contratación del préstamo que ha dado origen a la deuda, ha sido llevada a cabo por parte de la empresa ***EMPRESA.5. El proceso de contratación se ha realizado en un entorno web bajo la responsabilidad de ***EMPRESA.5, a quien tal y como ha manifestado la AEPD en su escrito: “… a ***EMPRESA.5 no le consta copia del DNI del reclamante”, lo cual evidencia ausencia de verificación de la identidad del contratante. La AEPD también pudo comprobar que “… los datos de dirección electrónica, dirección postal, ciudad, código postal y fecha de nacimiento no coinciden con los aportados en la reclamación ante la AEPD y su documentación anexa como la denuncia ante la Policía”. Lo cual indica que ***EMPRESA.5 nunca verificó el DNI del contratante, es decir, solo con el Nombre, Apellidos y el número de DNI de una persona concedió un préstamo, sin realizar ninguna otra acción de verificación. O bien, puede tratarse de que el reclamante tuviese más de una dirección de email, lo cual entendemos que estará investigando la Policía tras la denuncia interpuesta por el reclamante, visto que la AEPD este dato no parece que lo haya investigado. Como tampoco parece haber sido investigado si el reclamante ha vivido en algún momento en la dirección postal que figura en el contrato de préstamo. Por otra parte, teniendo en cuenta que el contratante del préstamo abonó las 6 primeras mensualidades y dejó de pagar las últimas 6, las cuales dieron origen a la deuda, entendemos que ***EMPRESA.5 podía haber aportado más datos a esta investigación, por ejemplo: - Datos bancarios de la persona que realizó los primeros 6 pagos mensuales. -Información sobre la financiación de la compra en caso de haber sido financiada. Si el número de cuenta de la persona que abonó las primeras 6 mensualidades pertenecía a un tercero (y no a A.A.A.) no debió haberse cedido un crédito con tales incongruencias. Por otra parte, en este caso al tratarse de una contratación online, no se suelen firmar (con la firma tradicional) las Condiciones Generales de Contratación, generalmente solo se aceptan estos términos y condiciones. Sin embargo, el titular del Sitio web, prestador de servicios de la sociedad de la información y Responsable del Tratamiento debe poder acreditar que ha informado y ha obtenido el consentimiento del contratante. Estas son algunas de las formas tradicionales de aceptación […..]: Como única fuente de aceptación, ***EMPRESA.5 le indica a la AEPD que le ha remitido al contratante del préstamo una copia del contrato de préstamo a un correo electrónico que, según el reclamante, no es suyo, y por tanto es un correo electrónico no verificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/37 Únicamente sería válido ese correo electrónico si ***EMPRESA.5 pudiera acreditar que anteriormente el contratante hubiese aceptado los términos y condiciones de dicho Contrato de préstamo, pero dicho extremo no ha podido ser acreditado por ***EMPRESA.5, siendo los únicos que, en todo caso, podrían haberlo acreditado. Por tanto, no existen evidencias suficientes para afirmar que el reclamante fue informado y dio su consentimiento para la contratación de este préstamo a ***EMPRESA.5, quien no cabe dudas de que es el primer Responsable del Tratamiento de los datos del contratante del préstamo. Por lo que, en todo caso la actuación ilícita, si así lo considerara esta AEPD, proviene de ***EMPRESA.5 ya que los responsables de haber recabado ese consentimiento original en los términos del Art. 6.1 del RGPD han sido ellos. Con respecto al cumplimiento de obligaciones legales por parte de BULNES, se alega lo siguiente: “En cuanto a la compra de la cartera de créditos por parte de BULNES como se ha narrado anteriormente, ***EMPRESA.5 transmitió el crédito del reclamante a la empresa ***EMPRESA.6 (…), quien posteriormente lo transmitió a BULNES a través de un contrato de compraventa. En virtud de dicho contrato de compraventa, BULNES adquirió una deuda (no un contrato desde su origen) a través de una escritura notarial que ha cumplido con todas las exigencias legales, que se encuentra depositada ante el Notario y que ya ha sido aportada a la AEPD en el anterior requerimiento de información. La adquisición de dichos créditos se ha efectuado por parte de BULNES actuando de buena fe, en virtud de lo dispuesto en la normativa mercantil y civil vigente, y en el contenido del propio contrato de compraventa. En la página 19 de dicho contrato de compraventa suscrito entre BULNES y ***EMPRESA.6 (…) se indica lo siguiente: 2. El Vendedor manifiesta y garantiza:
2. a)Que los créditos son legítimos y existentes, de conformidad con las condiciones de los propios Contratos, con exclusión de cualquier responsabilidad del Vendedor por razón de los tipos de interés convenidos en los Contratos que conforman la Cartera de Créditos.
3. b)Que es pleno propietario de los créditos, no respondiendo de la solvencia de los deudores y/o el resto de obligados al pago. Si bien, el vendedor declara expresamente que responde frente al comprador de la existencia y legitimidad de los créditos en los términos, las condiciones y con el alcance establecidos en el presente contrato. (…)
4. g)Que en la cesión de la relación de los créditos el Vendedor responderá frente al Comprador de la existencia y legitimidad del crédito y sus condiciones exclusivamente hasta la fecha de Cut Off.
5. h)Que el Vendedor responde ante el Comprador, exclusivamente hasta la Fecha de Cut Off, del ejercicio pacífico del derecho de crédito, sus accesorios y garantías, obligándose a poner a disposición del Comprador en un plazo de 14 días hábiles siguientes a partir de la fecha en que el Vendedor reciba la solicitud, la documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/37 de la que disponga en relación al cobro de la Cartera de Créditos, colaborando con él en la medida que fuera necesario en las reclamaciones.
6. i)Que el Vendedor no ha incumplido sus obligaciones como Acreedor respecto de los créditos vendidos y no existe impedimento para la venta de los créditos al Comprador." Dichas Cláusulas contractuales corroboran las obligaciones que establece el Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil (en adelante “Código Civil”), en el cual se indica que: en un contrato de compraventa el vendedor se hace responsable de “la cosa vendida”.[….] El artículo 1.528 del Código Civil regula la cesión de crédito, que es el acto mediante el cual un acreedor (cedente) transfiere a otra persona (cesionario- BULNES) los derechos que tiene sobre un crédito. En este contexto, no se cede el contrato mismo, sino el derecho de cobro derivado del contrato, es decir, el crédito o la deuda. Aspectos clave sobre la cesión de crédito: 1. La cesión de crédito no es la cesión del contrato: El crédito se refiere al derecho a exigir el cumplimiento de una obligación de pago de una deuda, pero no se transmite el contrato en sí mismo. El contrato que dio origen a la deuda sigue existiendo entre las partes originales. 2. Efectos de la cesión: La cesión de crédito implica que el cesionario tiene derecho a cobrar la deuda al deudor, pero las obligaciones contractuales de las partes no se modifican. 3. Notificación al deudor: Aunque la cesión puede realizarse entre las partes (cedente y cesionario), para que el deudor quede obligado frente al cesionario (BULNES) y no al cedente, es necesario que se le notifique la cesión del crédito, lo cual se realiza a través del envío al deudor de la Carta Hello (se adjunta como ANEXO 1 Carta Hello enviada al email del reclamante). Si todo lo anterior se ha confirmado y verificado por parte de la AEPD, lo que no entiende esta parte es la razón por la cual, a BULNES, quien ha actuado en calidad de tercer acreedor de buena fe comprando un crédito vencido, líquido y exigible, se le quiere hacer responsable de una contratación supuestamente ilícita o irregular. Habiendo tenido a bien analizar los hechos esta AEPD pretende sancionar a BULNES, por lo no comprobado por un acreedor de origen, o lo tampoco comprobado por el cedente ***EMPRESA.6, quien, aun habiendo tenido conocimiento de una denuncia anterior a la cesión del crédito a favor de BULNES por presunta suplantación de identidad, no suprimió los datos personales del hoy reclamante, y más allá de eso, procedió a vender un crédito defectuoso. Sin embargo, el Acuerdo de Inicio de Procedimiento Sancionador no se dirige frente a ***EMPRESA.5, ni frente a ***EMPRESA.6 sino frente a BULNES, siendo un tercero de buena fe. Manifiesta asimismo en cuanto a su actuación en la gestión de la cartera lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/37 “Al recibir la documentación aportada por el cedente, en BULNES no se detectó falta de correspondencia entre los elementos fundamentales de las condiciones generales y particulares del préstamo que dieron origen a la deuda, es decir: nombre, apellidos y DNI coincidían tanto en las condiciones generales y particulares del préstamo como en el Certificado_bilateral_CEPG donde figura el detalle de la deuda reclamada, y que ya obra en poder de esta AEPD. Las carteras adquiridas por lo general contienen el desglose y detalle de los créditos, con su respectiva documentación adicional, por lo que en una primera fase se comprueban los datos generales de los intervinientes, si se detectan errores se devuelven al vendedor para la corrección de los mismos, de lo contrario se remite a los deudores una comunicación de la cesión con los datos del nuevo Responsable del Tratamiento (se adjunta como ANEXO 1 Carta Hello enviada al reclamante) y posteriormente a medida que comienzan las acciones de contacto y recuperación de deudas, los titulares van proporcionando datos actualizados: nuevas direcciones, teléfonos, email. La Carta Hello contiene toda la información sobre la deuda reclamada: origen, importe, datos de contacto del nuevo acreedor y formas de pago. Además, se informa sobre todo lo que establece el Art. 14 del RGPD para aquellos casos en los que los datos no se hayan recabado directamente del interesado. En el caso que nos ocupa, se trataba de un expediente en el cual existieron 6 amortizaciones de la deuda, por lo que, para BULNES no existían motivos fundados para pensar que la persona que contrató el préstamo hubiera actuado bajo suplantación de identidad. A nuestro entender no es frecuente que una persona suplante la identidad de otra para realizar compras en su nombre, y luego pague las deudas. BULNES solo ha utilizado la información y los datos proporcionados por ***EMPRESA.6, quien a su vez los obtuvo de ***EMPRESA.5. Si ***EMPRESA.6 y ***EMPRESA.5 eran conocedores de tal irregularidad no podían haber cedido esta deuda.” En cuanto a la posible suplantación de identidad BULNES alega lo siguiente: “En los hechos investigados por la AEPD, hemos podido apreciar que han tenido a bien la documentación aportada por ***EMPRESA.5 y por ***EMPRESA.6, sin embargo, no hemos apreciado que se haya oficiado a la Policía para que informe a la AEPD sobre el resultado de los hechos investigados sobre la posible suplantación de identidad, con el objetivo de obtener el documento fehaciente que tanto ha invocado BULNES a los efectos de esclarecer si efectivamente de los hechos investigados se ha verificado que existiera una suplantación de identidad, para que igualmente esta parte fuera de ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/37 sancionada, pueda personarse en los hechos investigados como parte perjudicada, o ejercer su derecho de recompra al cedente, por haberse cedido un crédito defectuoso. Esta información es relevante para BULNES puesto que tal y como se le indicó a la AEPD en su día, sin que este caso fuese necesariamente un caso similar, existen muchos deudores que para evitar ser localizados y saldar sus deudas hacen uso de un sinfín de argumentos y estrategias. En algunos casos llegan a presentar denuncias por acoso y coacciones, incluso teniendo pendientes de pago más de una deuda. Los agentes de ***EMPRESA.1 que reclaman deudas en nombre de BULNES reciben diariamente miles de comentarios evasivos tales como: “no recuerdo la deuda, nunca contraté nada a esa empresa, no tengo ninguna deuda, esa deuda está prescrita, sois una empresa buitre, os voy a denunciar, etc”. Si BULNES atendiera a estas argumentaciones sin obtener documentación fehaciente de lo manifestado, directamente se estaría dando la razón a los reclamantes, sin acreditación alguna de lo alegado, y se sanarían así en bloque las deudas cedidas. Los propios Juzgados de Instrucción, una vez reciben una denuncia por suplantación de identidad, lo notifican a los acreedores actuales de la deuda, a fin de que puedan personarse como perjudicados en las actuaciones y diligencias previas. En este momento es cuando, de forma inmediata, y visto que la denuncia interpuesta ante la Policía no ha sido archivada y se sigue investigando, se paralizan las gestiones hasta que sea resuelta la investigación. Es por ello que, BULNES le requirió a A.A.A. que ampliara la denuncia o remitiera algún otro elemento que justificara fehacientemente dicho supuesto delito cometido contra su persona. No obstante, en el caso que nos ocupa, a pesar de que BULNES no suprimió los datos de A.A.A., de manera cautelar, en cuanto recibió copia de la denuncia interpuesta por él ante la Policía, procedió a ordenar a su agencia de recobro (***EMPRESA.1) la paralización inmediata las gestiones de recobro hasta recibir más elementos por parte de solicitante, a pesar de que aún a día de hoy no se ha confirmado ni aportado documentación que indique que efectivamente los hechos denunciados son ciertos. Dicha confirmación es esencial para BULNES, no solo para proceder a la finalización de todas las gestiones y la correspondiente supresión de los datos personales del reclamante, sino también, para que, pueda personarse en la causa como perjudicada de estos mismos hechos, devolver el crédito cedido al cedente como defectuoso y para solicitar al imputado/condenado por la suplantación de identidad, que pague la deuda tras la estafa en la que hubiera incurrido.” En cuanto al tratamiento de datos, BULNES alega lo siguiente: “En la actuación de BULNES concurre claramente una de las bases de legitimación dispuestas en RGPD: Artículo 6 Licitud del tratamiento 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/37
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; Habiendo obtenido BULNES los datos lícitamente de la manera descrita a lo largo de este escrito (la compra de cartera de créditos a ***EMPRESA.6) de buena fe ha entendido que el reclamante era parte del contrato de préstamo que dio origen a la deuda adquirida legítimamente por BULNES. La reclamación de una deuda puede considerarse una fase de la ejecución del contrato en el sentido de que se está exigiendo que la parte deudora cumpla con las obligaciones contractuales. Al comprar la deuda, BULNES se subroga en la posición del acreedor para reclamar la última fase de su cumplimiento (la deuda) y por tanto el tratamiento es absolutamente necesario para la reclamación de la misma. Por todo lo anterior, en este caso, ha quedado acreditado que, por parte de BULNES: -El tratamiento de datos ha tenido un origen lícito (compraventa de cartera); -Ha procedido con diligencia debida en la obtención de los datos; -Ha obrado de buena fe en la obtención de estos datos; -Ha actuado de acuerdo con los principios de licitud indicados; Sobre las medidas de diligencia debida empleadas, Bulnes indica lo siguiente: “En este caso BULNES obró haciendo uso de la información y documentación proporcionada por el cedente, dando inicio a las acciones de reclamación amistosa. Una vez recibida la reclamación interpuesta por el reclamante, se le contestó en tiempo y forma según su Protocolo de Gestión de reclamaciones y se le indicó que debía ampliar la denuncia, no obstante, como medida cautelar interna se paralizaron las gestiones y por supuesto los datos del reclamante nunca fueron comunicados a registros de solvencia patrimonial.[…] En fin, sobre las garantías adicionales adoptadas, Bulnes indica lo siguiente: “En virtud de lo anterior, aun y cuando el tratamiento de datos realizado por BULNES está perfectamente legitimado y justificado, siendo conscientes del tipo de actividad que realizan, del volumen de datos personales tratados y previendo que situaciones como esta podría repetirse en el futuro, al no ser BULNES el acreedor originario de las deudas reclamadas, a raíz de estos hechos, se ha decidido adoptar medidas adicionales para reforzar el cumplimiento de la protección de datos y minimizar al máximo cualquier afectación que pudiera sufrir una persona titular de datos personales. Para ello, a partir de lo ocurrido, se ha decidido actuar de la siguiente forma: 1. En carteras adquiridas cuyo contenido incluya contrataciones realizadas de forma online (Contratos suscritos de forma electrónica) BULNES le exigirá al vendedor que además de remitir las condiciones generales y particulares de contratación de cada préstamo, acredite técnicamente el proceso de aceptación de las mismas.” 2. Si existen indicios de posible suplantación de identidad, BULNES actuará de forma inmediata conjuntamente con su Delegado de Protección de Datos y en coordinación con el proveedor del servicio de recobro de deudas para que se proceda a analizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/37 detenidamente la documentación aportada por el vendedor y por el denunciante, y en tal sentido tomar de forma urgente las medidas que tengan como finalidad eliminar cualquier perjuicio a la persona afectada por la posible suplantación. 3. Asimismo, se ha establecido que, dentro de este Plan de acción se realicen muestreos aleatorios para ratificar la legitimidad de la documentación, así como, los datos de contacto aportados por el acreedor inicial (empresa cedente). 4. Mantener el protocolo de “paralización automática” de las gestiones de reclamación de deudas en cuanto se reciba una reclamación por posible suplantación de identidad, hasta tanto se determine, ya sea mediante aportación de documentos adicionales por parte del afectado, o por resultados de la investigación interna. 5. En caso de que, el afectado aporte documentación suficiente, o cuando se determine que hay indicios de infracción, por incoherencias o irregularidades en algunos de los documentos aportado por el vendedor de la cartera, se pondrá fin a todas las gestiones y acciones de reclamación y se suprimirán los datos personales tratados, aunque esto conlleve una pérdida económica para BULNES. 6. Integrar estas medidas adicionales a todos los protocolos de la entidad y trasladar estas instrucciones de estricto cumplimiento, a todos nuestros proveedores del servicio de recobro de deudas. En conclusión, BULNES, indica: “Como ha quedado explicado anteriormente, si el Contrato que dio origen a la deuda no cumplió con los requisitos mínimos exigidos por la normativa vigente, y por tanto no quedó debidamente probada la obtención del consentimiento del contratante del préstamo, no se le puede atribuir esta infracción a la entidad que ha comprado de buena fe esta deuda, puesto que este consentimiento tenía que haber sido recabado por la entidad que originariamente suscribió este Contrato.” OCTAVO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La cónyuge de la parte reclamante ha recibido en su teléfono móvil requerimientos de pago de una deuda por parte de ***EMPRESA.1 con el detalle que se indica a continuación que consta en las capturas de pantalla de los SMS recibidos: -4/8 16:14h Le informamos que Bulnes ha encargado la gestión de la deuda que mantiene a ***EMPRESA.1, Asesoría jurídica externa… -19/8 14:16h Evite que sus datos consten en Ficheros de información sobre solvencia patrimonial y de crédito. Regularice hoy su situación llamando al tlf ***TELÉFONO.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/37 -07/09 13:19h Pese a los intentos realizados, no hemos obtenido respuesta satisfactoria por su parte. Le insto a hacer efectivo el importe de su deuda tlf***TELÉFONO.2 -03/10 14:23h Si llama al tlf ***TELÉFONO.2 o envía correo a ***EMAIL.4 podrá acogerse a un PLAN ESPECIAL DE PAGOS SIN GASTOS NI INTERESES -02/11 11:20h En los próximos días su expediente pasará a gestionarse por el departamento Pre Contencioso. Evite incremento de costas y honorarios llamando al ***TELÉFONO.2. -2/11/22 11:20h En los próximos días su expediente pasara a gestionarse por el Departamento Pre Contencioso. Evite incremento de costas y honorarios llamando al ***TELÉFONO.2 -18/1 13:01h En relación a su deuda con Bulnes Capital S.L. recibirá una visita personalizada del gestor presencial asignado a su zona. Evítelo en tfo.***TELÉFONO.2 -6/2 12:20h En los próximos días su expediente pasara a gestionarse por el Departamento Pre Contencioso. Evite incremento de costas y honorarios llamando al ***TELÉFONO.2 -2/3 14:20h Un abogado estudiará su expediente para determinar acciones legales, teniendo en consideración su solvencia laboral, bancaria y bienes. Evítelo en el ***TELÉFONO.2 SEGUNDO: La parte reclamante ha recibido en su teléfono móvil requerimientos de pago de una deuda por parte de ***EMPRESA.2 con el detalle que se indica a continuación que consta en las capturas de pantalla de los SMS recibidos: -24/5 11:34h Hasta final de mes. Stop posibilidad de embargo. Ofrecemos solución de su deuda pagando la mitad. Llame ***TELÉFONO.1 o cont. al WhatsApp. ***URL.1 -19/5 13:47h Contacte al ***TELÉFONO.1 o cont. al WhatsApp. ***URL.1 ya podría estar presentada denuncia en el Juzgado por la deuda con PMT. Enviado todo a su domicilio. -17/5 12:38h En 24h vamos a solicitar el amparo de la justicia en relación a su deuda. Llámenos al ***TELÉFONO.1 o contacte al WhatsApp. ***URL.1 -24/4 23:30h Deuda ***EMPRESA.2, haga pago con 50% dto antes de final de mes o se embraga con costas. Llámenos al ***TELÉFONO.1 o contacte al WhatsApp. ***URL.1 -28/4/22 10:03h Deuda de ***CANTIDAD.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/37 -19/4/22 13:07h Haga el pago de la mitad de su deuda que asciende a ***CANTIDAD.1y archivamos orden de embargo, WhatsApp. ***URL.1 Llámenos al ***TELÉFONO.1 -14/4/22 17:39h Su deuda es de ***CANTIDAD.1 haga el pago por la mitad en los prox 4 días y paralizamos cualquier reclamación judicial, además le retiramos de ficheros de morosidad. ***REFERENCIA.1, indicar nif just y enviar just al WhatsApp. ***URL.1 Llámenos al ***TELÉFONO.1 TERCERO: La parte reclamante interpuso denuncia policial en fecha 1/6/2022 en la que manifiesta la recepción, en septiembre de 2021, de mensajes en el teléfono móvil de su cónyuge de recibidos de la empresa de cobros ***EMPRESA.2 y a través de los cuales se solicitaba el pago de una deuda de ***CANTIDAD.1 de la empresa ***EMPRESA.7. Se indica en la denuncia que los datos de la deuda corresponden a los del reclamante, pero no el email ni la dirección postal de entrega que es ***DIRECCIÓN.1. En este sentido, niega haber realizado tal compra por internet afirmando haber sufrido una estafa anteriormente denunciada en 2020 por posible usurpación de identidad a través de la realización de dos contratos de líneas telefónicas por personas con quienes trató de alquilar una vivienda cuya dirección coincide con la citada de ***LOCALIDAD.1. CUARTO: La parte reclamante siguió la recomendación de ***EMPRESA.2 de denunciar los hechos y enviar copia de la denuncia a ***EMAIL.1, tras lo cual recibió SMS el 1/6/22 de ***EMPRESA.2 informando del pase de los datos a “Judicial” con un teléfono de dudas ***TELÉFONO.1. Manifiesta que en otros atestados interpuso denuncia por la citada posible usurpación de identidad y realización de dos contratos de líneas de teléfonos por parte de unas personas con las que trataron de alquilar una vivienda. Interpone la presente reclamación porque es posible que las personas denunciadas en esos atestados pueden corresponder con los hechos arriba mencionados, ya que coincide la dirección de la ***DIRECCIÓN.1. QUINTO: Consta el envío de los siguientes correos electrónicos entre la parte reclamante y ***EMPRESA.1 en las siguientes fechas: -Correo electrónico emitido por la parte reclamante desde la dirección ***EMAIL.2 remitido a ***EMPRESA.1 ***EMAIL.4 el 22/9/2022 con copia de denuncia policial de 1/6/22 con todos los datos que conoce de la deuda en el que manifestaba lo siguiente: “Buenos días, les mando la denuncia presentada en la Policía, sobre la usurpación de datos de mi persona, para hacer esa compra de la que reclaman, en la que ven datos borrados como mi dirección, mi teléfono móvil y un dato de denuncia anterior de una compra de telefonía en ***EMPRESA.3 y otra de ***EMPRESA.4, ya resueltas y que no tienen que ver con Ustedes […]” -Contestación por correo electrónico de ***EMPRESA.1 de 22/9/2022 indicando que amplíe la denuncia policial con los datos de la deuda con origen en ***EMPRESA.5 cedida a ***EMPRESA.1, que asciende a ***CANTIDAD.1, con número de referencia ***REFERENCIA.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/37 -Correo electrónico remitido desde la misma dirección anterior de la parte reclamante a ***EMPRESA.1 el 8/11/2022 con denuncia policial en L***LOCALIDAD.3, informando que en la Oficina de Denuncias le han indicado que no puede poner dos denuncias por el mismo motivo ni ampliar la misma como requirió ***EMPRESA.1. -Contestación por correo electrónico de ***EMPRESA.1 de 10/11/2022 reiterando que debe ampliar la denuncia con los datos de la deuda. SEXTO: El origen de la deuda es un préstamo sin intereses de ***EMPRESA.5 por una compra el 29/8/20 en el Comercio ***EMPRESA.7 por importe de ***CANTIDAD.2, a devolver en 12 cuotas de ***CANTIDAD.3 cada una, sin intereses. La documentación que consta referente al préstamo fue aportada por ***EMPRESA.1 en su contestación a la solicitud de información de esta Agencia con fecha 30/05/2023 y consiste en las CONDICIONES PARTICULARES DEL PRÉSTAMO entre ***EMPRESA.5 y A.A.A.. Aportó la misma documentación referente al préstamo BULNES en su contestación a la solicitud de información de esta Agencia de fecha 6/06/2023 consistente en: ANEXO 1: copia del contrato origen de la deuda con condiciones particulares del préstamo. ANEXO 2: condiciones generales de contratación. En fecha 1/08/2023 BULNES en respuesta al requerimiento de esta Agencia vuelve a aportar la siguiente documentación: ANEXO 3: Condiciones generales y particulares del Préstamo Aunque BULNES afirma que el ANEXO 3 contiene el “Contrato firmado electrónicamente por el reclamante donde se acredita que el origen de la deuda proviene de la entidad ***EMPRESA.5., tal extremo no se acredita. En fecha 29/11/2023 en respuesta al requerimiento por parte de esta Agencia ***EMPRESA.5. aporta copia del contrato de préstamo suscrito entre el reclamante y ***EMPRESA.5 , de 29 de agosto de 2020. Así mismo aporta copia del correo electrónico remitido a la parte reclamante adjuntando las condiciones generales y particulares del contrato de préstamo suscrito con ***EMPRESA.5., con la tabla de amortización del préstamo contratado. El contrato aportado por ***EMPRESA.5 es un documento de fecha 19/6/23 extraído de la dirección ***EMAIL.4 que contiene un correo electrónico de fecha 29/8/20 de ***EMPRESA.5. enviado desde la dirección electrónica ***EMAIL.5 a ***EMAIL.3, con asunto “Compra en ***EMPRESA.7 confirmada”, dirigido al reclamante con nombre y apellidos, donde se le solicita que suba una copia del DNI/NIE (por exigencia de la Ley 10/2010 sobre prevención de blanqueo de capitales), con el resumen de la financiación de un pedido a la Tienda ***EMPRESA.7 de ***CANTIDAD.2 y con los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/37 datos: nombre, DNI y dirección postal, con los adjuntos de condiciones generales del contrato de préstamo y condiciones particulares. De los datos que constan en el citado documento, se comprueba que nombre y DNI coinciden con los datos del parte reclamante, no así la dirección postal y la electrónica, que son diferentes a los aportados por tal parte, tanto en la reclamación como en la denuncia ante la policía. En la documentación aportada referida no consta firma del contrato de préstamo por la parte reclamante. SÉPTIMO: Consta que se produjo una cesión del crédito del reclamante entre ***EMPRESA.5 y ***EMPRESA.6 según figura en escritura pública de 21/5/2021 aportada por ***EMPRESA.5 en su contestación a la solicitud de información de esta Agencia, de fecha 27/06/23. OCTAVO: Consta que se produjo una cesión del crédito del reclamante entre ***EMPRESA.6 y BULNES CAPITAL, S.L. según figura en escritura pública de 30/6/2022 en la que se eleva a público el contrato privado de cesión entre las partes citadas, aportado por BULNES el 1/08/23, en respuesta a la solicitud de información enviado por esta Agencia. NOVENO: En fecha 1/8/2023 BULNES aporta una carta encabezada por Bulnes sin fecha, con el logo de ***EMPRESA.5 y ***EMPRESA.9 (marca comercial de ***EMPRESA.5), dirigida al nombre y NIF del reclamante y a la dirección postal de ***LOCALIDAD.2 con nº contrato ***REFERENCIA.2 (coincide con el nº de referencia indicado por ***EMPRESA.1 al reclamante) informando de la cesión de la deuda de ***CANTIDAD.1 en fecha 30/6/2022 por la entidad ***EMPRESA.6 a la entidad BULNES, indicando medios de pago y de contacto a través de un teléfono y de la dirección electrónica ***EMAIL.4; y que los datos del reclamante coinciden con los datos originales recabados por ***EMPRESA.5 en la escritura de compraventa con ***EMPRESA.6 de 21/05/2021. No consta acreditación del envío del citado correo electrónico con la notificación de cesión de crédito a la dirección ***EMAIL.3 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/37 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales de la parte reclamante, toda vez que BULNES realiza, entre otros tratamientos, la recogida y conservación de datos personales de su nombre, apellidos y DNI. BULNES realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD y en virtud del contrato de compraventa de cartera de créditos entre la empresa ***EMPRESA.6 y BULNES CAPITAL, S.L. de 30/6/2022. En su escrito de fecha 20/08/2024 BULNES manifiesta que ***EMPRESA.1 es el encargado del tratamiento según se acredita en el Contrato de Encargado de tratamiento suscrito entre ambas empresas para regular todo el tratamiento de datos realizado por el Encargado (***EMPRESA.1) en el marco de la prestación de los servicios contratada, con igual vigencia que el contrato de prestación de servicios. Aporta la documentación referente al Contrato de prestación de servicios suscrito entre BULNES CAPITAL, S.L. y ***EMPRESA.1 para el desarrollo de la relación vinculante de 1/4/2019 y la relativa al Contrato de Encargado de tratamiento suscrito entre ambas empresas para regular todo el tratamiento de datos realizado por el Encargado (***EMPRESA.1) en el marco de la prestación de los servicios de 29/5/2019, con igual vigencia que el contrato de prestación de servicios. III Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: PRIMERA: En cuanto al proceso de contratación del préstamo efectuado por ***EMPRESA.5: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/37 Por tanto, no existen evidencias suficientes para afirmar que el reclamante fue informado y dio su consentimiento para la contratación de este préstamo a ***EMPRESA.5, quien no cabe dudas de que es el primer Responsable del Tratamiento de los datos del contratante del préstamo. Por lo que, en todo caso la actuación ilícita, si así lo considerara esta AEPD, proviene de ***EMPRESA.5 ya que los responsables de haber recabado ese consentimiento original en los términos del Art. 6.1 del RGPD han sido ellos. Esta Agencia coincide con BULNES en la afirmación manifestada en su primera alegación, ( no existen evidencias suficientes para afirmar que el reclamante fue informado y dio su consentimiento para la contratación de este préstamo a ***EMPRESA.5 ), por ese motivo se inició el procedimiento sancionador ya que en el contrato de préstamo aportado que sustenta la deuda en cuestión, no figura la firma de la parte contratante ni resulta acreditada la voluntad de quien reclama de concertar dicha relación contractual, por ningún otro medio válido. Lo que alega la parte reclamada es que no es responsable de dicha omisión, por lo tanto, de la perfección del contrato de préstamo. Cabe aludir en este punto a lo manifestado en la ESCRITURA DE COMPRAVENTA Y CESIÓN DE CARTERA DE CRÉDITOS firmada el 30/06/2022 entre ***EMPRESA.6 y Bulnes Capital SL que en su página 2 indica lo siguiente: “El Comprador, especialista en servicios de gestión de crédito y cobro, así como en la compra de carteras de créditos, conoce las características de los mencionados créditos impagados y está interesado en adquirir créditos impagados, con la finalidad de que sean cobrados. Así mismo el Comprador declara que conoce y acepta las características de los Créditos, los Datos de los Créditos y la documentación relativa a los Créditos. En particular, el Comprador conoce y acepta que, sin perjuicio de las declaraciones y garantís del Vendedor bajo este contrato: […] C.El estado y condiciones de exigibilidad de los Créditos y, en particular , el régimen y plazos de prescripción de los mismos. “ Debido a que ha habido una sucesión de diferentes responsables, cabe indicar que cada uno de ellos tiene que analizar si dispone de base legitimadora suficiente para el tratamiento de los datos, en este caso para la reclamación de la deuda. Y dado que presuntamente la base que legitimaría a BULNES sería la existencia de un contrato (art 6.1.b), es responsable de comprobar que dicho contrato estaba válidamente celebrado, lo que no hizo. Por lo tanto, puede que inicialmente el responsable de haber recabado ese consentimiento original en los términos del Art. 6.1 del RGPD fuera ***EMPRESA.5, pero después del contrato de cesión de créditos la responsabilidad corresponde a BULNES, como bien se indica en la escritura citada, ya que se ha debido realizar la correspondiente verificación sobre los créditos. Por todo lo expuesto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/37 SEGUNDA: En cuanto a su actuación en la gestión de la cartera BULNES alega lo siguiente: “Al recibir la documentación aportada por el cedente, en BULNES no se detectó falta de correspondencia entre los elementos fundamentales de las condiciones generales y particulares del préstamo que dieron origen a la deuda, es decir: nombre, apellidos y DNI coincidían tanto en las condiciones generales y particulares del préstamo como en el Certificado_bilateral_CEPG donde figura el detalle de la deuda reclamada, y que ya obra en poder de esta AEPD. En el caso que nos ocupa, se trataba de un expediente en el cual existieron 6 amortizaciones de la deuda, por lo que, para BULNES no existían motivos fundados para pensar que la persona que contrató el préstamo hubiera actuado bajo suplantación de identidad. A nuestro entender no es frecuente que una persona suplante la identidad de otra para realizar compras en su nombre, y luego pague las deudas. BULNES solo ha utilizado la información y los datos proporcionados por ***EMPRESA.6, quien a su vez los obtuvo de ***EMPRESA.5. Si ***EMPRESA.6 y ***EMPRESA.5 eran conocedores de tal irregularidad no podían haber cedido esta deuda.” En esta alegación se reconoce por parte de BULNES que no se detectaron los errores en la causa de legitimación del crédito, lo cual no se puede atribuir mas que a la falta de diligencia debida en el estudio de los créditos que como cesionarios asumían y que según se indica en el contrato habían sido revisados previamente a la firma del contrato de compraventa y cesión. Cada responsable sucesivo debe analizar su propia base de legitimación para el tratamiento, el motivo adicional de que habían pagado algunas cuotas del crédito nada añade ni quita a su responsabilidad, ya que es un factor que no incluyen en el tratamiento de datos personales. Por consiguiente, se desestima la presente alegación. TERCERA: En cuanto a la posible suplantación de identidad BULNES alega lo siguiente: “En los hechos investigados por la AEPD, hemos podido apreciar que han tenido a bien la documentación aportada por ***EMPRESA.5 y por ***EMPRESA.6, sin embargo, no hemos apreciado que se haya oficiado a la Policía para que informe a la AEPD sobre el resultado de los hechos investigados sobre la posible suplantación de identidad, con el objetivo de obtener el documento fehaciente que tanto ha invocado BULNES a los efectos de esclarecer si efectivamente de los hechos investigados se ha verificado que existiera una suplantación de identidad, para que igualmente esta parte fuera de ser sancionada, pueda personarse en los hechos investigados como parte perjudicada, o ejercer su derecho de recompra al cedente, por haberse cedido un crédito defectuoso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/37 Esta información es relevante para BULNES puesto que tal y como se le indicó a la AEPD en su día, sin que este caso fuese necesariamente un caso similar, existen muchos deudores que para evitar ser localizados y saldar sus deudas hacen uso de un sinfín de argumentos y estrategias. En algunos casos llegan a presentar denuncias por acoso y coacciones, incluso teniendo pendientes de pago más de una deuda.” En cuanto al requerimiento a la policía que solicita BULNES, no es cometido de esta Agencia dicho requerimiento. El objeto del presente procedimiento es la actuación de BULNES, que tenía la responsabilidad de realizar la correspondiente verificación sobre los créditos. Decir que para este procedimiento, la AEPD dispone de suficientes evidencias para la imputación de la infracción. El responsable no hizo las averiguaciones que estaban en su mano para comprobar la regularidad del crédito (y con ello del tratamiento). El eventual resultado que la investigación penal pueda tener no influiría en la calificación de la infracción, ya que las pruebas disponibles evidencian que el responsable del tratamiento (BULNES) no realizó las comprobaciones de la regularidad del crédito Por lo cual, se desestima la presente alegación. CUARTA: En cuanto al tratamiento de datos, BULNES alega lo siguiente: “Habiendo obtenido BULNES los datos lícitamente de la manera descrita a lo largo de este escrito (la compra de cartera de créditos a ***EMPRESA.6) de buena fe ha entendido que el reclamante era parte del contrato de préstamo que dio origen a la deuda adquirida legítimamente por BULNES. La reclamación de una deuda puede considerarse una fase de la ejecución del contrato en el sentido de que se está exigiendo que la parte deudora cumpla con las obligaciones contractuales. Al comprar la deuda, BULNES se subroga en la posición del acreedor para reclamar la última fase de su cumplimiento (la deuda) y por tanto el tratamiento es absolutamente necesario para la reclamación de la misma. Reiteramos lo ya indicado el tratamiento de datos tiene que basarse en una causa de licitud que en este caso del contrato de préstamo no está correctamente acreditada, a pesar de ser la última fase la reclamación de la deuda debe poderse acreditar que el origen de la misma es acorde a la normativa. Como ya se indicó en el acuerdo de inicio, debe de tenerse en cuenta que para que un tratamiento pueda considerarse lícito en los términos indicados en el apartado
8. b)del artículo 6 para aquellos casos en que dicho tratamiento derive de la ejecución de un contrato, resulta indispensable que el mencionado contrato reúna los requisitos mínimos exigidos por la normativa entre los cuales se encuentra en cualquier caso la firma o manifestación de la voluntad de ambas partes. Esta exigencia básica del derecho civil se aplica también a los contratos de crédito al consumo como ocurre en el presente supuesto. Por lo expuesto, al no haber acreditado debidamente la perfección del contrato en que se basa la parte reclamada para exigir la deuda debemos concluir que se ha producido por la parte reclamada un tratamiento ilícito de los datos personales, tanto en el caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/37 de las comunicaciones de la hipotética deuda a la parte reclamante como en la formalización de los distintos acuerdos de cesión o de encargo del tratamiento. El responsable pretender liberarse de su responsabilidad acudiendo a una concepción meramente formal del negocio jurídico celebrado. Es decir, a él se le han transmitido unas deudas de cuya procedencia y legalidad se desentiende, pero no es así, sino que la legitimidad del tratamiento que pretende el responsable, que provendría de la letra
9. b)del art 6.1 (el contrato) depende de la propia acreditación de que el contrato esté válidamente celebrado, y en este caso no se comprobó este extremo Por lo que se desestima la presente alegación. IV Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Por lo que se refiere al caso que nos ocupa se desprende una falta de licitud en el tratamiento de los datos personales de la parte reclamante, pues si bien existía un contrato de préstamo aportado durante el transcurso de las actuaciones de investigación, no se desprende firma o cualquier manifestación que acredite la voluntad de concertar dicha relación contractual. Únicamente figuran diversos datos relacionados con las condiciones generales y particulares del préstamo, así como datos personales del reclamante, aunque de los mismos tal y como resulta de las citadas actuaciones, solo coincidían el nombre, apellidos y del DNI del mismo. Debe de tenerse en cuenta que para que un tratamiento pueda considerarse lícito en los términos indicados en el apartado
17. b)del artículo 6 para aquellos casos en que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/37 dicho tratamiento derive de la ejecución de un contrato, resulta indispensable que el mencionado contrato reúna los requisitos mínimos exigidos por la normativa entre los cuales se encuentra en cualquier caso la firma o manifestación de la voluntad de ambas partes. Esta exigencia básica del derecho civil se aplica también a los contratos de crédito al consumo como ocurre en el presente supuesto. Por lo expuesto, al no haber acreditado debidamente la perfección del contrato en que se basa la parte reclamada para exigir la deuda debemos concluir que se ha producido por la parte reclamada un tratamiento ilícito de los datos personales, tanto en el caso de las comunicaciones de la hipotética deuda a la parte reclamante como en la formalización de los distintos acuerdos de cesión o de encargo del tratamiento. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de propuesta de resolución de procedimiento sancionador, dado que BULNES no ha acreditado que el tratamiento realizado de los datos pueda basarse en una de las causas de licitud contempladas en el artículo 6.1 del RGPD, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a BULNES, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
19. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/37 VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
20. a)a
21. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
22. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
23. b)la intencionalidad o negligencia en la infracción;
24. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
25. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
26. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
27. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
28. g)las categorías de los datos de carácter personal afectados por la infracción;
29. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
30. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
31. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
32. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/37
34. a)El carácter continuado de la infracción.
35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
39. f)La afectación a los derechos de los menores.
40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en el afectado, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de BULNES ***CANTIDAD.7 euros en el año 2022. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por el tratamiento de datos personales del reclamante sin contar con una base jurídica que legitime tal tratamiento, al menos desde que el encargado del tratamiento conoce la controversia de la deuda el 22/09/2022 hasta la actualidad. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): BULNES es una agencia de recobro dedicada a la reclamación de deudas que maneja un elevado volumen de datos personales, estando habituada al tratamiento de los mismos. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/37 artículo 6.1 del RGPD, permite proponer una sanción de multa administrativa de 50.000,00 euros. VII Adopción de medidas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 6.1 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
42. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de propuesta de resolución de procedimiento sancionador, se propone que en la resolución que se adopte se ordene a BULNES para que, en el plazo de un mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: -Cesar en el tratamiento de los datos objeto de este procedimiento. Y no reanudarlo hasta que no compruebe la concurrencia de alguna de las bases de legitimación del art 6.1 RGPD. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/37 adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a BULNES CAPITAL, S.L., con NIF B88343900, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
43. a)del RGPD, con una multa correspondiente a 50.000 €. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a BULNES CAPITAL, S.L., con NIF B88343900, que en virtud del artículo 58.2.
44. d)del RGPD, en el plazo de un mes, acredite haber procedido a cesar en el tratamiento de los datos objeto de este procedimiento. Y no reanudarlo hasta que no compruebe la concurrencia de alguna de las bases de legitimación del art 6.1 RGPD. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 R.R.R. INSPECTOR/INSTRUCTOR ANEXO (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/37 >> SEGUNDO: En fecha 11 de febrero de 2025, BULNES ha procedido al pago de la sanción en la cuantía de 40.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
45. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose recibido escrito mediante el que BULNES informa que ha adoptado las medidas necesarias para que no se vuelvan a producir los hechos determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad o licitud de las medidas adoptadas. Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/37 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 40.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, BULNES, en fecha 11 de febrero de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/37 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 50.000,00 euros. Tras haber procedido BULNES CAPITAL, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 40.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202305720, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a BULNES CAPITAL, S.L.. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
46. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/37 No obstante, conforme a lo previsto en el artículo 90.3
47. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1414-300425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es