PS-00429-2016

1/6 Procedimiento Nº PS/00429/2016 RESOLUCIÓN: R/00909/2017 En el procedimiento sancionador PS/00429/2016, instruido por la Agencia Española de Protección de Datos a la entidad UNOE BANK, S.A., vista la denuncia presentada por Dª A.A.A., y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha de 9 de octubre de 2015 tiene entrada en esta Agencia un escrito de Dª A.A.A. en el que declara: <<Con fecha 12 de Mayo de 2014 interpuse una denuncia (en este caso fue la 2a denuncia que interpuse a dicha entidad) a la entidad financiera Uno-e Bank, ante la AEPD por una falta de veracidad y calidad en mis datos personales contenidos en sus propios ficheros, por no requerirme el pago de una supuesta deuda antes de dichos datos personales en diversos ficheros de solvencia patrimonial, y por no cancelar todos esos datos tras confirmarme por escrito que ya lo habían hecho con fecha 28 de Junio de 2011 ante un requerimiento previo de la denunciante. La denuncia continúo con la apertura de un expediente sancionador contra Unoe Bank por dos infracciones graves a la LOPD en el Procedimiento n° PS/00122/2015. Finalmente la AEPD resolvió dicho expediente en la Resolución n° R/01595/2015, con la imposición a Uno-e Bank de 2 multas de 50.000€ cada una por ambas infracciones graves. Con fecha 23 de septiembre de 2015 solicite al CIRBE del Banco de España un nuevo informe de riesgos para verificar que tras la Resolución y la sanción impuesta por la AEPD, Uno-e Bank, había realizado la oportuna corrección de los datos anteriormente reseñados, y que como he explicado antes, ya habían motivado una solicitud de rectificación por mi parte en Enero de 2014 y la posterior denuncia. Con fecha 1 de octubre de 2015 el CIRBE del Banco de España me ha facilitado mediante carta (la adjunto con la presente) el informe de riesgos solicitado, en dicho informe sigue apareciendo exactamente la misma información que ya aparecía en Enero de 2014, lo que significa que Uno-e Bank, a pesar de la resolución de la AEPD continua realizando un tratamiento cuanto menos negligente de mis datos, y lo que es peor, los facilita y mantiene incorrectos en ficheros de terceros, obviando las resoluciones de la AEPD a sabiendas de que no se ajustan a los requisitos de veracidad y calidad exigidos en la LOPD y claramente expuestos en la Resolución n° R/01595/2015.>> Aporta copia de un informe de riesgos del CIRBE de octubre de 2015 en donde consta informado un riesgo relativo a la denunciante por parte de UNO-E. Mediante escrito con entrada en fecha 22/1/2016 la denunciante aporta nueva información, manifestando: <<1. Con fecha 17 de octubre de 2015 remito nueva solicitud a Uno-e Bank C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 solicitando la rectificación de los datos que facilitaron y mantenían de forma continuada en el CIRBE, ya que estos no eran veraces ni guardaban la debida calidad tal y como exige la LOPD (adjunto carta y justificantes de correos, Doc. nº 2), así mismo solicito también al Banco de España la rectificación de los mismos. 2. Con fecha 23 de octubre Uno-e Bank y BBVA acusan recibo de mi escrito mediante carta remitida a la reclamante (Doc. nº 3). 3. Con fecha 17 de Noviembre de 2015 recibo respuesta de La Entidad Financiera BBVA, empresa matriz de Uno-e Bank (Doc. nº 4). En dicha comunicación me informan que Uno-e Bank les ha acreditado la existencia de deudas derivadas de 4 contratos: • Tarjeta de crédito Visa Affinity Card, con número de contrato ***CONTRATO.1 con una deuda comunicada al Juzgado en 2010 de 7.285,84€. • Tarjeta de crédito Visa Mango, número de contrato ***CONTRATO.2 con una deuda comunicada al Juzgado en 2010 de 3.266,51€ • Tarjeta privada de débito lditex, número de contrato ***CONTRATO.3 con una deuda comunicada al Juzgado en 2010 de 1.426€. • Tarjeta privada de débito Mango número de contrato ***CONTRATO.4 con una deuda comunicada al Juzgado en 2010 de 1.171,66€. Indicando además que una vez aplicada la quita establecida en el Concurso de Acreedores, quedaría una deuda pendiente de 6.174,87€. 4. Con fecha 21 de noviembre recibo carta del CIRBE (Doc. nº 5), en la cual nos indican que Uno-e Bank se manifiesta exactamente en los mismos términos que lo hizo el BBVA, notificando la existencia de las mismas 4 deudas derivadas de 4 contratos, indicando además que una vez aplicada la quita establecida en el Concurso de Acreedores, quedaría una deuda pendiente de 6.174,87€. 5. Con fecha 10 de diciembre reclamo de nuevo a Uno-e Bank a través del CIRBE para que rectifiquen los datos facilitados a dicho Fichero, indicándome CIRBE que Uno-e Bank no declara ningún riesgo para la solicitante (Doc. nº 6). 6. Con fecha 19 de Enero de 2016 acudo al Banco de España para solicitar presencialmente un nuevo informe CIRBE, una vez entregado, para mi sorpresa compruebo que Uno-e Bank ha vuelto a facilitar una información que no se ajusta a la realidad al Fichero CIRBE (Doc. nº 7).>> Aporta la documentación citada . En el escrito del Banco de España referido por la denunciante, consta: <<Es importante aclarar que la reclamante solo está tomando en cuenta la deuda de ésta última tarjeta, mientras que las deudas proceden de las 4 tarjetas detalladas anteriormente. Una vez aplicada la quita del 50% establecida en el Concurso y descontados los ingresos recibidos hasta el momento, queda una deuda pendiente de pago de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 6.174,87 euros, cifra que hemos comunicado a la Cirbe con esta misma fecha. Procedemos a rectificar la cifra declarada hasta el momento por UNOE BANK, S.A. a nombre de la Sra. A.A.A..">> Realiza la denunciante nueva aportación documental con entrada en fecha 29/3/2015 en la que presenta informe de riesgos del CIRBE de octubre de 2015 según el cual no había riesgo alguno informado por UNO-E, mientras que en el informe de riesgos de diciembre de 2015 aparece nuevamente un riesgo informado por esta entidad bancaria. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/7965/2015. Concluyéndose la investigación con informe de la Inspección de Datos de fecha 30/8/16: TERCERO: Con fecha 30/9/16, la Directora de la Agencia de Protección de Datos acordó iniciar procedimiento sancionador a la entidad UNOE BANK por la presunta infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3C) de dicha norma, CUARTO: Notificado el citado acuerdo de inicio de procedimiento sancionador, se recibe escrito de alegaciones de UNOE BANK manifestando, en síntesis, lo siguiente: * Que considera que la incoación del presente es improcedente ya que se están enjuiciando de fondo los mismos hechos por los que se inició el procedimiento sancionador PS/122/15. Por lo que cabe invocar el principio “non bis in ídem” contemplado en el art. 133 de la Ley 30/92 que estaba en vigor en la fecha en la que se acordó el inicio del procedimiento sancionador. * Que la vulneración del principio de calidad del dato va más del hecho inicial consistente en el acceso del dato personal del denunciante asociado a una deuda indebida y que debe entenderse durante todo el periodo temporal en que el dato permanece registrado. QUINTO: Se apertura periodo de prácticas teniéndose por reproducidas a efectos probatorios la denuncia interpuesta y la documentación que acompaña, así como las actuaciones previas de investigación E/07965/2015 y las alegaciones a la apertura del procedimiento presentadas por UNOE y la documentación que acompaña. SEXTO: Con fecha 15/2/17 se dicta la siguiente propuesta de resolución: < Que por la Directora de la Agencia Española de Protección de Datos se sancione A UNOE BANK SA, por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.

1. c)de dicha norma, una multa de 50.000 € de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. > SEPTIMO: No constan alegaciones al contenido de la propuesta HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 1º Consta resolución de esta Agencia, de fecha 6/7/15, por la que se resolvió sancionar a la entidad UNOE BANK por la vulneración de los artículos 6 y 4 (PS/00122/2015) al no acreditarse la suscripción por la denunciante de los cuatro contratos de tarjetas y que la incorporación de sus datos al fichero de morosidad ASNEF (cuatro incorporaciones) respondieran al principio de deuda cierta. 2º Consta en los ficheros de la entidad los datos de A.A.A. como deudora de la entidad por una determinada deuda exigible derivada de impagos de cuatro operaciones. 3º Consta en los ficheros del Banco de España, a fecha junio de 2015, un informe de riesgos atribuidos a la denunciante con un riesgo informado por UNOE BANK por importe de 12.000 €. 4º Consta en los ficheros de riesgos del Banco de España, de diciembre de 2015, un informe de riesgos informado por UNOE, si bien no aparece el importe, sino un literal según el cual “existe algún registro bloqueado según la norma 9 de la Circular 3/1995 del Banco de España”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II La resolución del procedimiento sancionador tramitado por esta Agencia con referencia PS/00122/2015, de fecha 8/07/2015, consideró vulnerados el art. 6 y 4 de la LOPD en relación con las contrataciones y comunicaciones voluntarias de la deuda denunciada a ficheros de morosidad, al no haberse acreditado que dispusiera del consentimiento de la persona denunciante para la realización de dicha contratación, que ésta afirma no haber otorgado. En este caso UNOE BANK informó a la Central de Información de Riesgos del Banco de España (en adelante CIRBE) conforme obliga la citada norma 9 de la Circular 3/1995 del Banco de España Circular un riesgo financiero asociado a la denunciante no declarado, al menos a fecha junio 2015, inexistente. Debe tenerse en consideración que la resolución de esta Agencia de fecha 8/07/2015 sancionaba estos mismos hechos, y en el presente procedimiento se denuncia que los datos de la afectada se encuentran incluidos en la CIRBE a fecha junio de 2015, es decir, un mes antes de la resolución sancionadora de esta AEPD en la que se acredita ambas infracciones, por lo que a esa fecha de la comunicación a la CIRBE la contratación fraudulenta no estaba declarada. Por otro lado, y así lo afirma propia denunciante, consta que en diciembre de 2015 los datos en la CIRBE se encuentran bloqueados sin acceso por terceros. Estos hechos no son contrarios al principio de calidad de datos pues la entidad comunicó a la CIRBE los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 datos de la denunciante conforme le obliga la citada Circular del Banco de España, por lo que no cabe voluntariedad alguna por UNOE BANK en dicha decisión y, en consecuencia, carece de toda responsabilidad en la comunicación del riesgo, más aún, estaba obligada. Alega en primer lugar el recurrente la infracción del arto 25 de la Constitución Española, en su vertiente o manifestación de la interdicción de la doble sanción, el principio de “non bis in ídem”, principio que en su proyección en el procedimiento administrativo sancionador aparece regulado en la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que en su artículo 31.1 establece que “No podrán sancionarse los hechos que lo hayan sido penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.” En este sentido, y en relación con sanción previa impuesta a UNOE BANK en el procedimiento PS/00122/2015, la SAN de 9/03/2016 señala lo siguiente: << El Tribunal Constitucional, desde sus primeras sentencias, se ha pronunciado sobre el principio del "non bis in idem". Ya en la de 30 enero 1981 reconoce este principio como una manifestación del principio de legalidad de las infracciones que recoge el arto 25 CE encaminado a encauzar en los términos de un Estado de Derecho (art. 1 CE) el ius puniendi del Estado, ya sea en el ámbito penal o en el ámbito sancionador administrativo.>> Por lo tanto, en aplicación del principio “non bis in ídem”, la entidad denunciada UNOE BANK ya ha sido sancionada por los mismos hechos y fundamentos ahora enjuiciados en el procedimiento PS/00122/2015, por lo que procede el archivo de las actuaciones. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BBVA (antes UNOE BANK), y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es