1/8 Procedimiento Nº PS/00512/2013 RESOLUCIÓN: R/00030/2014 En el procedimiento sancionador PS/00512/2013, instruido por la Agencia Española de Protección de Datos a la entidad BANCO DE SABADELL S.A.., vista la denuncia presentada por B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 6/11/2012, tiene entrada en la Agencia Española de Protección de Datos un escrito de A.A.A., en el que manifiesta que, ha tenido conocimiento mediante consulta a ficheros de Solvencia, de que sus datos han sido consultados por distintas entidades, con las que no mantiene ninguna relación contractual, entre las que se encuentra BANCO DE SABADELL, S.A. (en lo sucesivo BS). La denunciante aporta comunicación de inclusión en el fichero BADEXCUG por parte de Telefónica Móviles por importe de 598,89 y por 574,07 €, con fecha de alta 7/08/2011, indicando que se trata de una suplantación de identidad en una denuncia presentada el 16/01/2012, si bien de la copia del certificado de realización de la denuncia no se conoce la Entidad u Organismo ante la que se presentó. Se añade en la comunicación de inclusión en BADEXCUG que su NIF ha sido consultado en los últimos 6 meses, entre otras entidades por BANCO SABADELL y BSFINCOM (BANCO SABADELL FIN COM), que es otra de las entidades que denuncia por haber consultado indebidamente en el fichero BADEXCUG sus datos (tramitándose en el E/0129/2013). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad BANCO DE SABADELL S.A.., que con fecha 5/02/2013 informa: Como consecuencia de una financiación formulada por la denunciante a BANSABADELL FINCOM, E.F.C., S.A., sociedad filial 100% de este Banco, los analistas de riesgo realizaron consulta manual del fichero de Solvencia a través del aplicativo de Banco Sabadell. Se aporta copia de un contrato “solicitud de crédito” para financiación de un bien o servicio, fechado el 3/08/2012 firmado aparentemente por la denunciante con el logo BANSABADELL FINCOM. En el clausulado no figura referencia alguna a autorización de consulta en ficheros a BANCO DE SABADELL. TERCERO: Con fecha 30/09/2013, el Director de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Datos acordó iniciar procedimiento sancionador a BANCO DE SABADELL por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 24/10/2013 la denunciada alega: 1) Recuerda que BANSABADELL FINCOM EFC es una Sociedad filiar 100% de BS. Manifiesta que dicha consulta que se imputa, se desenvuelve en el marco del contrato suscrito el 1/06/2009 entre BANSABADELL FINCOM EFC S.A. y BS. Cuando se produce la petición de un crédito como el que efectuó la denunciante a BANSABADELL FINCOM, se traslada la gestión y análisis de riesgos a los analistas de BS. En consecuencia el tratamiento de datos de BS lo es por cuenta de BASNABADELL FINCOM, pues se cumplen los requisitos del artículo 12 de la LOPD. De dicho contrato se deduce que no es preciso que la denunciante autorizara expresamente a Banco de Sabadell SA para realizar la consulta efectuada en el fichero EXPERIAN, siendo solo preciso que BANSABADELL dispusiera de la autorización por la solicitante del crédito, y ella se contiene en el folio 18 del expediente. 2) En la copia del contrato denominado “Acuerdo de confidencialidad y protección de Datos Personales” entre Banco Sabadell y BANSABADELL de 1/06/2009 se refieren como puntos más importantes: 1. Como prestador del servicio figura BS, y BANSABADELL como Receptor del Servicio. 2. Clausula primera. Para el desarrollo de los trabajos efectuados por el Prestador del Servicio en el marco de los servicios de que se detallan en el ANEXO 1, el Receptor del Servicio facilitará al Prestador del Servicio información de todo tipo, incluyendo datos de carácter personal. Entre los servicios del ANEXO 1 figuran Gestión de Recursos Humanos, Gestión de Análisis y Riesgos, de Administración Contable, Financiera y de Control, de Tramitación de Operaciones, Asistencia Técnica y explotación de Procesos. 3. En el contrato se configuran diversas alusiones a la confidencialidad de los datos a los que se accede por el Prestador del Servicio. 4. La cláusula QUINTA punto 4, prevé las obligaciones del prestador del servicio respecto a los datos a que acceda, el acceso solo a los datos del Receptor del Servicio si fuera necesario para cumplir con sus obligaciones establecidas para la prestación del servicio, y los compromisos de uso, adoptando las medidas de Seguridad necesarias. 5. En la cláusula séptima se configura al Receptor del Servicio como responsable del fichero que autoriza al Prestador del servicio para actuar en su nombre y por cuenta suya en subcontratación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 servicios. QUINTO: Se incorpora por guardar relación con el presente expediente la resolución del E/00129/2013 en el que se resuelve el 11/10/2013 el archivo de la denunciante frente a BANSABADELL FINCOM. En las actuaciones previas figuraba un documento respuesta de SABADELL FINCOM que señala que la denunciante solicitó el 3/08/2012 un créditoaporto documentación- y se consultó por los analistas de riesgos de la entidad en el fichero de solvencia, junto a la firma del contrato que quedan incorporados al presente (folios 81 a 86). Se imprime el 28/10/2013 una relación de procedimientos que le constan en la Subdirección General de Inspección, aplicación SIGRID, relativos a la denunciante por denuncias presentadas. Se debe indicar que la denunciante es conocedora de las sucesivas resoluciones de archivos de sus denuncias frente al resto de entidades, excepto frente a Telefónica Móviles. El motivo que figura en todas ellas es que existía relación contractual que habilitaba la consulta a tales ficheros. SEXTO: Con fecha 29/10/2013 se inició el período probatorio, incorporando las actuaciones previas que sirven de base a este procedimiento sancionador, las E/00134/2013, así como las alegaciones surgidas frente al mismo. Adicionalmente, se solicitó a EXPERIAN que precisara si fuera posible las fechas en que se efectuaron las consultas de la denunciante por BANSABADELL FINCOM y BANCO SABADELL que constan en los folios 6 y 7. Con fecha 27/11/2013 EXPERIAN aporta un cuadro detallado de los seis meses de 13/03 a 13/09/2012, relacionados con la fecha del documento de EXPERIAN objeto de la denuncia (folios 6 y 7). Se aprecia que BSFINCOM consulta los datos el 3/08/2012 y BANCO SABADELL el día siguiente, con una nueva consulta el 30/08/2012. SÉPTIMO: Con fecha 4/12/2013 se formuló propuesta de resolución, proponiendo: “Que por el Director de la Agencia Española de Protección de Datos se declare el ARCHIVO del procedimiento PS/00512/2013 incoado a BANCO DE SABADELL S.A.. por infracción del artículo 6.1 de la LOPD originado por denuncia de 6/11/2012 de A.A.A., infracción que aparece en la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma.” OCTAVO: Transcurrido el tiempo otorgado, no se recibieron alegaciones. HECHOS PROBADOS 1) La denunciante en su escrito de denuncia de 6/11/2012 denuncia a diversas entidades bancarias y operadores de telefonía por haber accedido a sus datos en el fichero de solvencia EXPERIAN en los seis meses anteriores a la fecha de respuesta a su acceso, 13/09/2012, sin su autorización y sin mediar relación alguna. Entre las entidades a las que denuncia, figuran BANCO SABADELL (BS) y BANSABADELL FINCOM (1-2), siendo este expediente contra BS. 2) La denunciante acredita que ambas entidades consultaron sus datos en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 últimos seis meses en el fichero EXPERIAN aportando copia del acceso a sus datos fechada el 13/09/2012. En el acceso figuran sus datos incluidos en el fichero por dos operaciones impagadas a instancia de TELEFÓNICA MOVILES de 95,03 y 70,21 € desde 7/09/2011. Además, consta que “sus datos han sido consultados en los últimos seis meses por” BANCO SABADELL y BANSABADELL FINCOM, denominada esta última en el documento de EXPERIAN, BSFINCOM (6,7). En concreto BSFINCOM los consultó el 3/08/2012, y BANCO SABADELL el 3 y 30/08/2013 (87,89) según certifica EXPERIAN. 3) En la denuncia de la denunciante de 6/11/2012, misma fecha que la presente, contra BANSABADELL FINCOM, filial de BS, se resolvió por esta Agencia el 11/02/2013 el archivo de actuaciones al no revelarse infracción de la LOPD pues se constataba que la denunciante solicitó el 3/08/2012 un crédito y se consultaron sus datos para analizar el riesgo. Ya en dicho expediente la denunciada indicaba que “se tramitó por los analistas de riesgos de la entidad” la solicitud, consultando a través de un proceso de scoring el fichero de solvencia, y posteriormente se hizo una consulta manual a dicho fichero para analizar el detalle de las incidencias detectadas. (81 a 86) 4) La denunciada tenía suscrito en el momento de la consulta, y abarcando el tiempo de los seis meses anteriores a 13/09/2012, un contrato de 1/06/2009 de prestación de servicios a BANSABADELL FINCOM. En la copia que se aporta se configura a BANCO DE SABADELL como prestadora de una serie de servicios a BANSABADELL FINCOM con los datos de esta, accediendo a los mismos. Entre dicha prestación de servicios se encuentra la “Gestión de Análisis y Riesgos, de Administración Contable, Financiera y de Control, de Tramitación de Operaciones, Asistencia Técnica y explotación de Procesos”. (63 a 69). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la denuncia una infracción del artículo 6.1 de la LOPD, que dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. La definición de tratamiento se señala en el artículo 3.c de la LOPD como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El régimen de los ficheros de cumplimiento de obligaciones dinerarias se establece en el artículo 29 de la LOPD, que determina: “1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley. 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 revelado los datos” Atendiendo a lo expuesto, el acceso mediante comunicaciones, consultas, interconexiones y transferencias a los datos personales registrados en un fichero constituye un tratamiento de datos personales que requiere, en principio, el consentimiento del afectado o titular de los datos en cuestión. La cesión o consulta de los datos a o en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión o la consulta se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin por existir una relación negocial que supone una deuda cierta, o por querer iniciar una relación negocial. Nuestro legislador ha perfilado, en lo referente a los denominados “ficheros de morosidad”, un perfil especial, mediante un esquema en el que participan dos tipos de entidades distintas: por una parte la entidad responsable del denominado “fichero común”, a la que, por otra, suministran información las denominadas “entidades participantes” o “entidades informantes”. Según este esquema, dichas entidades se asocian al sistema, comprometiéndose a facilitar información referente a los incumplimientos en que incurran sus deudores al responsable del fichero común que, en contraprestación, facilita a dichas entidades, amparada por la Ley, la información suministrada por las restantes entidades adheridas al sistema, conservando aquélla la condición de responsable del fichero común y siendo las entidades participantes meras cedentes/cesionarias de la información contenida en el fichero, en virtud de comunicaciones de datos amparadas por la propia Ley Orgánica 15/1999. Consta acreditado en esta Agencia que las entidades asociadas al fichero de solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes mediante procedimientos automatizados para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Al mismo tiempo, estas entidades asociadas pueden acceder a la información contenida en tales ficheros que resulte determinante para enjuiciar la solvencia económica del afectado. El modo consulta, diferente del modo inclusión de datos de ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulada en el artículo 42 del citado Reglamento, en el que se establece lo siguiente: “Acceso a la información contenida en el fichero. 1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
- a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
- b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
- c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
- b)y
- c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. En definitiva, se pretende que la consulta no sea indiscriminada y/o masiva y que, en todo caso, dicha consulta responda a la existencia de un interés legítimo que pueda ser alcanzado de forma razonable mediante el acceso a la información contenida en el fichero de solvencia patrimonial y crédito. Atendiendo a lo expuesto, el acceso a los datos personales de la denunciante registrados en el fichero “BADEXCUG” efectuado por BS, constituye un tratamiento de datos personales para el que existía habilitación legal. Resulta dicha habilitación de la actuación que desarrolla BS en relación con BANSABADELL y que no constituye una cesión, pues tienen suscrito un contrato que se enmarca en el ámbito del artículo 12 de la LOPD, lo que permite configurar su actuación como una prestación de servicios en cuanto a la gestión y análisis de riesgos mediante la consulta de dicho fichero que tuvo lugar en este caso con posterioridad a la firma de dicho contrato de solicitud de crédito. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del presente procedimiento incoado a BANCO DE SABADELL S.A.., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma. SEGUNDO: NOTIFICAR la presente resolución a BANCO DE SABADELL S.A.. y a B.B.B.. TERCERO:: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº 0000 0000 00 0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es