← España

PS-00566-2016

1/16 Procedimiento Nº PS/00566/2016 RESOLUCIÓN: R/01435/2017 En el procedimiento sancionador PS/00566/2016, instruido por la Agencia Española de Protección de Datos a la entidad PROTOCOLO Y SERVICIOS FINANCIEROS, S.L., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes, ANTECEDENTES PRIMERO: Con fecha 27/11/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que manifiesta que sus datos personales han sido incluidos en el fichero de morosidad ASNEF por PROTOCOLOS Y SERVICIOS FINACIEROS, S.L., (en adelante, la denunciada o PROTOCOLOS Y SERVICIOS) sin el preceptivo requerimiento previo de pago. Añade que la entidad responsable del fichero ASNEF no le notificó esa inclusión El denunciante hizo extensiva su denuncia a las entidades NBQ Techonology, S.A.U., y Sistemas Financieros Móviles, S.L., lo que ha dado lugar a la tramitación de los expedientes de investigación, E/0185/2016 y E/01399/2016, respectivamente. SEGUNDO: A la vista de los hechos denunciados, por los Servicios de Inspección de esta Agencia se practicaron actuaciones encaminadas a su esclarecimiento teniendo conocimiento de los siguientes extremos: ACTUACIONES PREVIAS 1. RESPECTO A LA INCLUSIÓN DE LOS DATOS DEL DENUNCIANTE EN EL FICHERO ASNEF: Los datos del denunciante se encuentran incluidos en el fichero ASNEF a fecha 05/04/2016, informados por Protocolos y Servicios, con fecha de alta 30/01/2016, por un importe nominal de 150 euros y un saldo actual impagado de 268,07 euros. La responsable del fichero ASNEF remitió al denunciante dos cartas en las que le notificaba las inclusiones en el fichero, informadas por la denunciada, a la dirección calle (C/...1). Esta dirección postal coincide con la que consta en el escrito de denuncia y en el DNI del denunciante. Obra en el expediente aportados por la responsable del fichero ASNEF en respuesta al requerimiento informativo de la Inspección copia de los documentos que así lo acreditan. 2. PROTOCOLOS Y SERVICIOS FINANCIEROS ha facilitado la siguiente información sobre el requerimiento de pago al denunciante: <<El denunciante se registró en la página web <www.creditorapid.com>, el día 17 de septiembre de 2013, facilitando su nombre, apellidos DNI, teléfono móvil ***TEL.1, teléfono fijo, dirección de correo electrónico <.........@hotmail.com> y dirección postal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 calle (C/...1), se adjunta impresión de pantalla. También, envía DNI, Contrato de trabajo y cuenta bancaría por correo electrónico, el día 5 de octubre de 2013, se adjunta copia. Las condiciones del contrato de préstamo, que el denunciante aceptó, se encuentran en la página web y en el contrato que le enviaron al correo electrónico donde se reflejan las medidas legales. Se adjunta Condiciones particulares del contrato de préstamo de CreditoRapid.com a nombre del denunciante. El día 10 de octubre de 2013 conceden el primer préstamo de 150€, fecha de vencimiento 25 de octubre y el 23 de octubre hace una ampliación de 15 días siendo la nueva fecha de vencimiento el 9 de noviembre de 2013. Las comunicaciones de impago las realizan a través de una empresa externa Servicios de Mailcertificado, S.L. (en adelante Mailcertificado), las Condiciones Generales de Uso se encuentran en la página web <www.mailcertificado.com>. No existe contrato firmado sino aceptación del servicio a través de internet. En la cláusula 6. Protección de datos de las Condiciones Generales se especifican los aspectos contemplados en el artículo 12 de la Ley Orgánica 15/1999 y, en concreto, los siguientes: “Mailcertificado realiza el tratamiento de datos de carácter personal de sus Usuarios de conformidad con la Ley Orgánica 15/1999 (LOPD) y su normativa de desarrollo. Por un lado, solo se solicitan y registran los datos de los usuarios mínimos e imprescindibles, para la prestación del Servicio, según sus diferentes modalidades. Estos datos, son tratados con la máxima confidencialidad y guardados el tiempo estrictamente necesario para su uso (…). Estos datos se incorporan a un fichero automatizado que cumple todos los requisitos de inscripción y Seguridad prevenidos en el Real Decreto 1720/2007. Estos datos no serán cedidos a terceros salvo en los casos legalmente previstos, sin perjuicio de que los usuarios pueden, en cualquier momento, ejercer sus derechos de acceso, cancelación o rectificación en relación con dichos datos, solicitándolo a la dirección <info@mailcertificado.com>. Para el caso de que la ejecución del presente Convenio de Colaboración diera origen a la comunicación entre las partes de información que pudiera ser considerada como datos de carácter personal de terceros, en virtud de lo establecido en la Ley Orgánica 15/1999, las partes se comprometen, recíprocamente, a: No comunicarse datos personales sin el consentimiento de las personas físicas o, en su caso, sin autorización legal. (…) No aplicar o utilizar los datos personales que eventualmente pudieran obtenerse, para fines distintos a los que figuran en el presente acuerdo, ni cederlos a otras personas -físicas o jurídicas- (…). Adoptar las medidas de índole técnica y organizativa necesarias para garantizar la Seguridad de los datos de carácter personal que pudieren obtenerse, en su caso, y evitar su alteración, pérdida, tratamiento o acceso no autorizados, así como guardar Secreto profesional respecto de los mismos, aún después de finalizar las relaciones dimanantes de este acuerdo. (…)”. El día 22 de noviembre de 2013, a los 11 días de impago, se le notifica al denunciante la deuda Requerimiento de Pago en el que se le informa: “sus datos serán enviados ASNEF transcurridos treinta días desde el vencimiento de su préstamo”, remitido por correo electrónico. Se adjunta copia con código de envío ***CÓDIGO.1. La empresa Mailcertificado certifica que la comunicación con código C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 ***CÓDIGO.1 ha sido emitida por Protocolos y Servicios Financieros al receptor <.........@hotmail.com>, el día 22 de noviembre de 2013, 13:24:32 horas, con el resultado leídoa las 13:25:51 horas, por la IP ***IP.1. Se adjunta dicho certificado emitido por un tercero de confianza, según artículo 25 de la Ley 34/2002, con validez legal y de su contenido. También, el día 22 de noviembre de 2013, se le notifica al denunciante mediante mensaje SMS lo siguiente “Ref:****. Su deuda es de 233,10E. Sera anotado en ASNEF en 30 días y enviado a una empresa de recobro sumando un 15% a su deuda. ***TEL.2 Creditorapid”, con código ***CÓDIGO.2. La empresa Mailcertificado certifica que la comunicación con código ***CÓDIGO.2 ha sido emitida por Protocolos y Servicios Financieros al receptor ***TEL.1, el día 22 de noviembre de 2013, 13:24:35 horas, con el resultado de entregado a las 13:24:40 horas. Se adjunta dicho certificado emitido por un tercero de confianza, según artículo 25 de la Ley 34/2002, con validez legal, y de su contenido. Pasados 30 días desde el vencimiento de la deuda se remiten los datos del denunciante para su inclusión en el fichero ASNEF.>> TERCERO: Con fecha 24/11/2016 la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PROTOCOLOS Y SERVICIOS por una presunta infracción del artículo 4.3 de la LOPD, en relación con el 29.4, y en relación también con el artículo 38.1.c, del RLOPD, tipificada como infracción grave en el artículo 44.3.

  1. c)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, PROTOCOLOS Y SERVICIOS presentó alegaciones en escrito de fecha 15/12/2016, que tuvo entrada en el Registro de la Agencia el 19/12/2016, en el que solicitó el archivo del procedimiento sancionador indicando que “no procede iniciar procedimiento sancionador contra la entidad” “ni encuadrar los hechos denunciados en infracción alguna”. En apoyo de su pretensión la representante de la denunciada adujo los siguientes argumentos: Que no existe infracción del artículo 4.3 LOPD en relación con el 29.4 porque existió una contratación válida en la que el denunciante otorgó el consentimiento a un contrato de préstamo personal a distancia. Contrato que se rige por la Ley 22/2017, sobre Comercialización a Distancia de Servicios Financieros Destinados a los Consumidores y la Ley 16/2011, de Contratos de Crédito al Consumo, sin perjuicio de la aplicación de las disposiciones que procedan de la Ley 34/2002, de Servicios de la Sociedad de la Información y de Comercio Electrónico y de la Ley 7/1996, de Ordenación del Comercio Minorista. - Que tampoco se ha vulnerado el artículo 38.1.c del RLOPD ni los artículos 39 y 43.1 del citado Reglamento. Indica a ese respecto que la entidad dispone de una página web (la que facilita en este escrito es www.creditomas.es si bien durante las actuaciones inspectoras indicó que era www.creditorapid.com. ) a través de la cual se puede acceder a las Condiciones Generales del contrato. Añade que la cláusula 12 del condicionado, “Protección de datos de carácter personal”, dice: “El prestatario se declara informado, consiente y autoriza expresamente al Prestamista: I)a. (…) El prestatario queda informado que, en caso de impago, sus - C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 datos podrán ser incluidos en el servicio de crédito de ASNEF- EQUIFAX…(..)” - Que las notificaciones efectuadas al denunciante son válidas y a estos efectos reproduce la cláusula 14 del Condicionado General del contrato de préstamo de creditomas.es: “Las notificaciones entre las Partes que deban realizarse como consecuencia del presente contrato serán válidas si se efectúan por correo certificado con acuse de recibo, por SMS, por email en los domicilios, teléfonos o correos electrónicos mencionados a continuación para cada una de las Partes: (…)”. Seguidamente se especifica respecto al prestatario “la indicada en la solicitud del préstamo”; - Declara que tiene constancia de que el requerimiento de pago efectuado al denunciante por SERMAILCERTIFICADO fue recibido por él y que se cumplieron todos los requisitos exigidos por la normativa de protección de datos para su validez. - Concluye su alegato afirmando la ausencia de culpabilidad de la entidad y de antijuricidad de su conducta, habida cuenta de los siguientes extremos: Que la relación contractual con el denunciante ha quedado acreditada; que se informó al prestatario, actual denunciante, antes y después de otorgar el consentimiento, de que en caso de no atender el pago en el plazo fijado para ello sus datos podrían ser incluidos en el fichero ASNEF; que está acreditada la existencia de una deuda cierta, vencida y exigible y, finalmente, que está acreditada la existencia de un requerimiento al denunciante, previo a la inclusión de sus datos en el fichero, efectuado por SMS y email. QUINTO: Con fecha 17/04/2017, de conformidad con lo prevenido en el artículo 77.2 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) se abrió un periodo de prueba en el que se acordó practicar las siguientes diligencias: 1. Incorporar al expediente sancionador la denuncia y su documentación anexa, los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones y el informe de actuaciones previas de Inspección; documentos todos ellos que integran el expediente E/01398/2016. 2. Dar por reproducidas a efectos de prueba las alegaciones al acuerdo de inicio del PS/00566/2016, presentadas por PROTOCOLO Y SERVICIOS FINANCIEROS, y la documentación que a ellas acompaña 3. Incorporar al expediente sancionador el Informe de Inspección emitido en el marco de las actuaciones de investigación previa con referencia E/04569/2016. El Informe de Inspección E/04569/2016, precitado, refleja el resultado de la inspección llevada a cabo en la sede de la empresa Servicios de Mailcertificado, S.L., (SERMAILCERTIFICADO) Detalla el protocolo de actuación que esa entidad sigue para efectuar los requerimientos de pago a través de email y SMS; los mecanismos que le permiten saber si el destinatario de la comunicación la ha recibido en su dirección electrónica e incluso si el mensaje ha sido leído y, por lo que atañe a las comunicaciones a través de SMS, permite conocer si el mensaje de requerimiento se ha recibido, con detalle de la hora, en el terminal móvil del destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 1.- El Informe de Inspección E/04569/2016 transcribe la siguiente información publicada en el sitio web de Servicios de Mailcertificado, S.L. (SERMAILCERTIFICADO): “MailCertificado” es “un servicio de correo electrónico con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de apertura, dirección IP de la máquina desde la que se abrió, número de intentos de entrega y certificación de contenido.” “SmsCertificado” es “un servicio de SMS con intervención notarial, que proporciona acceso a toda la información de los mensajes enviados: acuse de envío, hora y fecha de entrega en el terminal, número de teléfono del terminal en el que se entregó, número de intentos de entrega y certificación de contenido.” 2.1.- Cuando una empresa contrata con SERMAILCERTIFICADO -por lo que aquí interesa, PROTOCOLOS Y SERVICIOS- los servicios de Mailcertificado accede a un programa que reside en el servidor de aquélla y redacta, en forma de correo electrónico, un requerimiento de pago en el que incluye la dirección del destinatario y un cuerpo o texto relativo al requerimiento que se efectúa. Al dar la orden de enviar el mensaje, el servidor de SERMAILCERTIFICADO guarda el requerimiento de pago y crea y envía un correo electrónico de notificación al requerido que contiene un enlace al documento de requerimiento que ha sido guardado. El email que el deudor requerido recibe tiene este formato: “Mailcertificado.com xxx le envía una comunicación certificada”, siendo xxx el nombre de la entidad requirente que ha contratado los servicios de SERMAILCERTIFICADO. El subinspector actuante ha manifestado que cumpliéndose este sistema que SERMAILCERTIFICADO describe se “garantiza la integridad del contenido del requerimiento de pago efectuado a través de esta empresa”. 2.2.- Los envíos efectuados por la empresa SERMAILCERTIFICADO a través de correo electrónico (Mailcertificado) pueden hallarse en alguno de los siguientes estados: 1.) En proceso, cuando el documento de requerimiento de pago se ha almacenado en el servidor de la entidad y aún no se ha enviado al destinatario la notificación. 2.) Enviado, cuando ya se ha dado la orden de envío y el email sale del servidor de la empresa con destino al servidor de correo electrónico que presta servicio a la cuenta de destino, esto es, a la cuenta del cliente deudor al que se le requiere el pago. 3.) Leído, cuando además de haber recibido en la cuenta de correo electrónico del destinatario el correo electrónico enviado por SERMAILCERTIFICADO aquél accede al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (pulsa “aquí). Si el envío no fuera leído SERMAILCERTIFICADO efectúa varios intentos de notificación posterior. 4.) Fallido, cuando ha fallado la comunicación entre el servidor de SERMAILCERTIFICADO y el servidor que presta el servicio a la cuenta de destino (esto es, la dirección electrónica del deudor) 3.1.- SmsCertificado es un servicio equivalente a Mailcertificado pero mediante el envío de mensajes cortos (SMS) y su funcionamiento es similar. Los clientes de SERMAILCERTIFICADO pueden acceder a una aplicación web de la entidad a través de la cual redactan el SMS que desean enviar y especifican el número de línea destinataria. El contenido del mensaje se firma digitalmente como en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 caso anterior. El correo electrónico se envía al servidor de correo electrónico de SERMAILCERTIFICADO que almacenará una copia en su gestor de contenidos. El servidor de SERMAILCERTIFICADO se conecta con el “servidor del operador de telecomunicaciones que SERMAILCERTIFICADO tiene contratado” y efectúa los envíos. El servidor de mensajes SMS del operador de SERMAILCERTIFICADO contacta con el operador de la línea de destino, le transmite el mensaje y ésta lo entrega al terminal de la línea destinataria, esto es, la línea del deudor requerido. 3.2.- Se añade a lo anterior que los operadores de telecomunicaciones intercambian mensajes con información sobre la entrega exitosa o fallida del SMS. Así pues, en relación a la notificación a través de SMS únicamente se puede confirmar la recepción del mensaje en el terminal del destinatario o el fallo en la entrega del SMS. Se articula un procedimiento que permite guardar los mensajes entre operadoras tanto en el gestor de contenidos de la entidad como en el servidor de la Notaría. 3.3.- En el curso de las actuaciones previas el inspector actuante verificó el correcto funcionamiento de los mecanismos articulados por la entidad en relación con SmsCertificado. Además, el operador telefónico que presta el servicio a SmsCertificado confirmó al inspector actuante los datos de la recepción de los SMS, datos que coincidían con los facilitados por SERMAILCERTIFICADO. 4.- Baker & Mckenzie elaboró un informe jurídico relativo a los servicios de MailCertificado y SmsCertificado prestados por SERMAILCERTIFICADO del que se transcriben algunos fragmentos así como los comentarios recogidos en el Informe de Inspección E/04569/2016: - El informe de la consultora precisa que si bien los servicios prestados “se basan en la figura del tercero de confianza establecida en el artículo 25 LSSICE […] en el contexto en el que se desarrollan los servicios de MailCertificado®, BMailCertificado®, AcuerdoCertificado®, FaxCertificado® y SmsCertificado® no siempre podremos considerar, en puridad, que estemos ante un tercero de confianza dado que, en algunos casos, será únicamente una de las partes la que acuda a este tercero para realizar la comunicación sin que el receptor del mensaje haya elegido previamente ese canal como válido entre las partes para desarrollar sus comunicaciones.” (El subrayado es de la AEPD) - En relación a MailCertificado, el informe concluye que “…la Compañía prestadora del servicio tiene un control completo a nivel tecnológico tanto del origen como de la llegada del mensaje (entendiendo por llegada el acceso que se realiza desde la cuenta de correo que recibe la notificación), dado que estos eventos ocurren y son registrados en su propia plataforma. Es por ello que en ambos servicios MailCertificado está en disposición de asegurar frente a su propio cliente y frente a terceros el acuse de envío, la hora y fecha de apertura, la dirección IP de la máquina desde la que se abrió y el número de intentos de entrega.” (El subrayado es de la AEPD) El Informe de la Inspección de Datos de la AEPD subraya que según el informe de la consultora el servicio dispone de un control completo únicamente en un caso, el de las comunicaciones que son efectivamente accedidas por los destinatarios, ignorando el resto de los casos en el que no se produce el acceso a la notificación desde el correo del destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 - Respecto al servicio de SmsCertificado, el informe concluye que “…la constancia de la emisión y el contenido se obtienen también a través de la plataforma pero la constancia de la entrega depende necesariamente del operador telefónico que es quién suministra técnicamente esta información a MailCertificado para que, a su vez, ésta última pueda registrarla en sus sistemas. […] habrá de tenerse en cuenta, a efectos probatorios, que una parte de las garantías de que la comunicación se ha producido dependerá del operador telefónico, sin que la prueba, de acuerdo con nuestra jurisprudencia, se pueda desechar por ese solo hecho.” (El subrayado es de la AEPD) SEXTO: La propuesta de resolución, que fue notificada a PROTOCOLOS Y SERVICIOS en fecha 18/05/2017 y consta recibida el 19/05/2017, se formuló en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se acuerde el archivo del procedimiento sancionador PS/00566/2016 abierto a PROTOCOLOS Y SERVICIOS FINANCIEROS, S.L., al haber quedado acreditado que requirió al denunciante el pago de la deuda pendiente antes de proceder a la inclusión de sus datos en ASNEF, en los términos exigidos por los artículos 38.1.c y 39 RLOPD, por lo que la conducta sobre la que versa la denuncia no es subsumible en el tipo sancionador del artículo 44.3.
  2. c)LOPD.>> SÉPTIMO: El 22/05/2017 tuvieron entrada en el Registro de la AEPD las alegaciones de PROTOCOLOS Y SERVICIOS a la Propuesta de Resolución, en las que manifestó su conformidad con los términos de aquélla y solicitó la continuación del procedimiento hasta el dictado y notificación de una resolución de archivo del expediente. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS 1.- A.A.A., con DNI ***DNI.1 y domicilio en calle (C/...1), Cádiz, declara que PROTOCOLOS Y SERVICIOS ha incluido sus datos en el fichero ASNEF sin requerirle con carácter previo el pago de la deuda (folios 1 a 5) 2.- En el fichero de solvencia patrimonial ASNEF consta que PROTOCOLOS Y SERVICIOS comunicó los datos personales del denunciante con fecha de alta 30/01/2014, por un saldo impagado de 268,07 euros, derivados de una operación de microcrédito. En fecha 26/04/2016, cuando Asnef Equifax respondió al requerimiento informativo de la AEPD, aún continuaba vigente esa incidencia, siendo la fecha de la última actualización conocida el 24/03/2016. Como fecha de vencimientos impagados, primero y último, consta noviembre de 2013 (folios 21 a 26) 3.- Asnef Equifax, Servicios de Información sobre solvencia patrimonial y crédito, S.L., ha aportado la información que obra en el fichero de Notificaciones de Inclusión, del que ella es titular, en el que está registrada la notificación hecha al denunciante de la inclusión de sus datos personales en el fichero ASNEF mediante una carta emitida el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 01/02/2014 que lleva la referencia 2014-***REF.1, que no consta devuelta (folio 43) 4. La representación de PROTOCOLOS Y SERVICIOS afirma que el 10/10/2013 se concedió al denunciante un préstamo por importe de 150 euros (número de referencia ****9) con vencimiento 25/10/2013. En fecha 23/10/2013 amplió el plazo del vencimiento al 09/11/2013, (folios 118 y 119) 5.- Obra en el expediente, aportado por PROTOCOLOS Y SERVICIOS, una copia del DNI del denunciante, de un contrato de trabajo a su nombre y de una libreta de BANKIA abierta a su favor. Documentos que manifiesta le remitió el denunciante en fecha 05/10/2013 (folios 118 y 135 a 138) 6.- La denunciada ha aportado una impresión de sus ficheros informáticos que incorpora los siguientes datos personales del denunciante: nombre, dos apellidos, DNI, teléfono móvil (***TEL.1), teléfono fijo ***TEL.3, dirección electrónica (.........@hotmail.com) y dirección postal (C/...1), (folio 120). La denunciada afirma que el denunciante cumplimentó el formulario para darse de alta en fecha 17/09/2013 (folio 118) 8.- Las Condiciones Generales del contrato de préstamo concertado con PROTOCOLOS Y SERVICIOS (http://www.creditorapid.es/condicones-generales) contienen, entre otras estipulaciones, las siguientes - Cláusula 3.1.3.: “Para poder solicitar un préstamo, el usuario deberá previamente haberse registrado a través del formulario que aparece en la página web www.creditorapid.es y haber aceptado las condiciones generales que regulan el préstamo mediante la marcación de una casilla”. Añade que deberá incluirse en el formulario la información relativa a importe y duración del préstamo, nombre, apellidos, DNI/NIE, fecha de nacimiento y domicilio del prestatario así como el código postal, el teléfono móvil, la cuenta bancaria y la contraseña. - Cláusula 9.4: “Una vez el Prestatario incumple su obligación de devolución en plazo, el Prestamista podrá informar al registro de morosos que considere oportuno sobre el impago de la deuda del Prestatario, previa comunicación al Prestatario advirtiéndole de este hecho”. - Cláusula 14.1: “Las notificaciones entre las Partes que deban realizarse como consecuencia del presente contrato serán válidas si se efectúan por correo certificado con acuse de recibo, por SMS, por e-mail en los domicilios, teléfonos o correos electrónicos mencionados a continuación: -Prestatarios: la indicada en la Solicitud de Préstamo”. 9.- PROTOCOLOS Y SERVICIOS realiza las comunicaciones de impago a sus clientes deudores a través de una empresa externa, Servicios de Mailcertificado, S.L., (en adelante SERMAILCERTIFICADO). Las Condiciones Generales por las que se rige el contrato, de las que se aporta copia, son accesibles a través de http://www.mailcertificado.com. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 10.- PROTOCOLOS Y SERVICIOS ha aportado un “certificado” expedido por SERMAILCERTIFICADO relativo a una comunicación dirigida a la dirección electrónica del denunciante ( .........@hotmail.com), comunicación identificada con el código ***CÓDIGO.1, que figura enviada el día 22/11/2013 a las 13.24:32 horas, siendo el resultado de la comunicación “leído”, la fecha y hora de la lectura el 22/11/2013 a las 13.25.51 horas y la IP de lectura “***IP.2” . 11.- El certificado expedido por SERMAILCERTIFICADO detalla cuáles son “los estados por los que ha pasado la comunicación hasta alcanzar el actual”. - Enviado: 22/11/2013, 13:24.32 horas - Entregado: 22/11/2013, 13:34.37 horas -Leído: 22/11/2013 13:25:51 horas (folio 122) 12.- SERMAILCERTIFICADO certifica el contenido del mensaje enviado en nombre de PROTOCOLOS Y SERVICIOS, a la dirección electrónica del denunciante, el 22/11/2013. En el mensaje –firmado electrónicamente por SERMAILCERTIFICADO- se informa al prestatario de que pasados treinta días desde la fecha de vencimiento de su préstamo se trasladará a una compañía de recobro la gestión de la deuda, incrementándose en un 15% sobre el total, y que sus datos serán enviados a ASNEF transcurridos treinta días desde el vencimiento del préstamo. El importe de la deuda asciende a 233,10 euros. (Folios 124 a 126) 13.- PROTOCOLOS Y SERVICIOS aporta un certificado expedido por SERMAILCERTIFICADO relativo a la emisión de un “SMS Certificado”, con código de referencia “***CÓDIGO.2”, con fecha y hora de envió el 22/11/2013 a las 13.25:35 horas, que ha resultado “Entregado”, en la fecha y hora siguiente: “22/11/2013, 13.24:40 horas” (folios 129 y 130) El texto del mensaje enviado al número ***TEL.1 es el siguiente :“Ref: ****. Su deuda es de 233,10 E. Será anotado en ASNEF en 30 días y enviado a una empresa de recobro sumando un 15% a su deuda. ***TEL.2. Creditorapid.” (folio 131) 14.- Como consta en el Informe de Actuaciones de Inspección emitido en el E/04569/2016 e incorporado al presente expediente sancionador en fase de prueba, los envíos efectuados por SERMAILCERTIFICADO a través de MailCertificado pueden encontrarse en los estados siguientes: En proceso; enviado; leído y fallido. El envío se encuentra en estado “Leído” cuando además de haber recibido en la cuenta de correo electrónico del destinatario el correo electrónico enviado por SERMAILCERTIFICADO, aquél accede al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (pulsa “aquí). 15.- El subinspector actuante en el E/04569/2016 manifestó que, cumpliéndose el sistema que SERMAILCERTIFICADO tiene implementado en relación con MailCertificado, se garantiza la integridad del contenido del requerimiento de pago efectuado por esta empresa a través de email. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 En relación con SmsCertificado, el subinspector actuante en el E/4569/2016 verificó el correcto funcionamiento de los mecanismos articulados por SERMAILCERTIFICADO entidad que permiten conocer si un SMS ha sido recibido en el terminal del destinatario o si se ha producido un fallo en la entrega. Y añadió que el contenido del mensaje de requerimiento de pago se firma electrónicamente por SERMAILCERTIFICADO FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD). II La LOPD se ocupa en su artículo 4 de la "Calidad de los datos" y dedica el apartado 3 al principio de exactitud o veracidad, corolario del principio de calidad de los datos, precepto que dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. El artículo 29 de la LOPD, "Prestación de servicios de información sobre solvencia patrimonial y crédito", indica en el apartado 4 que “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. El artículo 38.1 del RLOPD, con el fin de salvaguardar la calidad de los datos personales que acceden a los ficheros de solvencia patrimonial al amparo del artículo 29 de la LOPD señala que la inclusión en los ficheros relativos al cumplimiento o incumplimiento de las obligaciones dinerarias deberá efectuarse solamente cuando concurran determinados requisitos. El precepto advierte que “Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos: (…)
  4. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación”. A su vez, el artículo 39 del RLOPD, "Información previa al acreedor", establece que "El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  5. c)del apartado 1 del artículo anterior, que en caso de o producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrá ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias" C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Por otra parte, los artículos 38.3 y 43.1 del RLOPD disponen, respectivamente: “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. “El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común”. El artículo 44.3.
  6. c)de la LOPD tipifica como infracción grave “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. III La denuncia formulada versa sobre el presunto incumplimiento de PROTOCOLOS Y SERVICIOS de la obligación que le impone la normativa de protección de datos de requerir al deudor -en este caso al denunciante- el pago de la deuda pendiente antes de incluir sus datos en un fichero de solvencia patrimonial (ex artículo 38.1.c RLOPD en relación con los artículos 4.3 y 29.4 LOPD) A. El criterio que de forma constante viene manteniendo la Sala de lo Contencioso administrativo de la Audiencia Nacional respecto al alcance de la obligación que el artículo 4.3 de la LOPD -en relación con el 29.4 de la misma norma y el artículo 38.1.c del RLOPD- impone al responsable del fichero que comunica datos personales de un tercero a un fichero de solvencia patrimonial es que debe estar en condiciones de acreditar que ha practicado el preceptivo requerimiento previo de pago al deudor, utilizando para ello un medio que deje constancia efectiva de haberlo efectuado, y de que tal requerimiento ha sido recibido por el destinatario. En SAN de 24/01/2003, la Audiencia Nacional afirmó que “Ningún precepto legal ni reglamentario exige, ciertamente, que la comunicación dirigida a los interesados sobre la inclusión de sus datos personales en el fichero deba cursarse por correo certificado con acuse de recibo o por cualquier otro medio que deje constancia documental de la recepción. Sin embargo, existiendo preceptos legales que imponen como obligatoria esta comunicación (artículos 5.4 y 29.2 de la Ley Orgánica 15/1999) y que tipifican como infracción grave el incumplimiento de este deber de información (artículo 44.3.l de la propia Ley Orgánica) debe concluirse que cuando el destinatario niega la recepción, recae sobre el responsable del fichero la carga de acreditar la comunicación. De otro modo, si para considerar cumplida la obligación bastase con la afirmación de tal cumplimiento por parte del obligado, resultaría en la práctica ilusoria y privada de toda efectividad aquella obligación legal de informar al interesado” (El subrayado es de la AEPD) B. Está acreditado en el procedimiento que PROTOCOLOS Y SERVICIOS informó al fichero de solvencia ASNEF los datos personales del denunciante con fecha de alta 30/01/2013, por un saldo deudor de 268,07 euros que procede de una operación de préstamo personal y cuyo impago data del 09/11/2013, tras haber ampliado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 23/10/2013 la fecha de vencimiento quince días. Asimismo, resulta probado que Asnef Equifax, Servcios de Información sobre Solvencia Patrimonial y Crédito, S.L., notificó al deudor la inclusión de sus datos en su fichero de solvencia, ASNEF, de conformidad con lo prevenido en el artículo 29.2 de la LOPD. La documentación aportada por Asnef Equifax, procedente de su fichero de Notificaciones de Inclusión, demuestra que la notificación se efectuó el 01/02/2014, que la carta tenía asignada la referencia 2014-***REF.1 y que no figura devuelta. Habida cuenta de que tales extremos quedaron acreditados en el curso de las actuaciones de investigación previa, no había razón para acordar –como se pedía en la denuncia que ha dado origen al PS/566/2016 que nos ocupa- la apertura de un expediente sancionador por una presunta infracción de la LOPD contra la entidad responsable del fichero de solvencia. Por lo que atañe a la conducta de PROTOCOLOS Y SERVICIOS que se somete a la valoración de esta Agencia, de la documentación remitida a la AEPD por la denunciada se evidencia que el denunciante contrató con ella a través de la página web www.creditorapid.com un préstamo personal por importe de 150 euros que le fue concedido en fecha 10/10/2013, para lo cual, previamente, se registró en esa página web el 17/09/2013 y facilitó su nombre, dos apellidos, DNI, teléfono móvil (***TEL.1), teléfono fijo (***TEL.3), dirección electrónica (.........@hotmail.com) y dirección postal (C/...1). La obligación del usuario de registrarse en la página web está expresamente prevista en el Condicionado General del contrato de préstamo, cláusula 3.1.3. Igualmente, ha quedado acreditado que el denunciante remitió a la denunciada en fecha 05/10/2013 una copia de su DNI, de un contrato de trabajo a su nombre y de una libreta de BANKIA abierta a su nombre; documentos que obran en el expediente administrativo. C. Frente a la manifestación del denunciante, que niega que PROTOCOLOS Y SERVICIOS le hubiera requerido el pago de la deuda con carácter previo a su inclusión en ASNEF, la denunciada adujo en sus alegaciones al acuerdo de inicio del expediente sancionador que había informado al denunciante antes de contratar el préstamo personal de que en caso de no atender el pago en el plazo fijado para ello sus datos podrían ser incluidos en ASNEF y que, asimismo, le requirió el pago de la deuda antes de comunicar sus datos al fichero de solvencia, requerimiento que –afirma- se hizo por una doble vía, SMS y email. Por lo que atañe al cumplimiento de la obligación que el artículo 39 del RLOPD impone al acreedor de informar al deudor al tiempo de celebrar el contrato de la posibilidad de que sus datos se comuniquen a un fichero de solvencia si no atiende el pago en el plazo señalado, las Condiciones Generales del contrato de préstamo, accesibles a través de https://www.creditorapid.es/condiciones-generales, indican que para poder contratar un préstamo a través de esa página –como hizo el denunciante- el usuario ha de registrarse cumplimentando un formulario que aparece en ella y aceptar las Condiciones Generales mediante la marcación de la correspondiente casilla (cláusula 3.1.2) . C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 Pues bien, la cláusula 9.4 del Condicionado General, dice: “Una vez el Prestatario incumple su obligación de devolución en plazo, el Prestamista podrá informar al registro de morosos que considere oportuno sobre el impago de la deuda del Prestatario, previa comunicación al Prestatario advirtiéndole de este hecho”. (El subrayado es de la AEPD) Centrándonos en la presunta omisión por PROTOCOLOS Y SERVICIOS del preceptivo requerimiento de pago previo, la denunciada ha declarado que efectuó el requerimiento al denunciante a través de email y SMS. Al hilo de lo anterior hemos de traer a colación la cláusula 14.1 del condicionado general del contrato de préstamo suscrito conforme a la cual “Las notificaciones entre las Partes que deban realizarse como consecuencia del presente contrato serán válidas si se efectúan por correo certificado con acuse de recibo, por SMS, por e-mail en los domicilios, teléfonos o correos electrónicos mencionados a continuación” y especifica que, respecto a los prestatarios, condición que reúne el denunciante, los domicilios, teléfonos o correos electrónicos son los indicados “en la Solicitud de Préstamo”. (El subrayado es de la AEPD) Así pues, las comunicaciones al denunciante por la entidad denunciada efectuadas por email y por SMS habrían de realizarse a la dirección electrónica y al número de móvil .........@hotmail.com y ***TEL.1, respectivamente, pues -a la vista de los documentos aportados por la denunciada- éstos son los datos que fueron proporcionados por el denunciante cuando se dio de alta en el sitio web creditorapid.com. La denunciada, con el fin de demostrar que había cumplido con el preceptivo requerimiento de pago previo a la inclusión en ASNEF, ha aportado varios certificados expedidos por SERMAILCERTIFICADO, que es la empresa externa a través de la cual los realizó, que están firmados electrónicamente por ella. Respecto al requerimiento de pago hecho a través de email, según el certificado emitido por SERMAILCERTIFICADO que PROTOCOLOS Y SERVICIOS remitió a la AEPD en respuesta al requerimiento informativo de la Inspección, consta que el emisor del mensaje es ella, PROTOCOLOS Y SERVICIOS; que el dato del receptor del mensaje (el denunciante) es la dirección de correo electrónico .........@hotmail.com, que coincide con la que está registrada en los ficheros de la acreedora y que el denunciante le facilitó cuando se registró en su página web. Los datos relativos a esa comunicación que constan en el certificado expedido por SERMAILCERTIFICADO son los siguientes: El código de referencia asociado a la comunicación es “***CÓDIGO.3”. La fecha y hora del envío del email, el “22/11/2013” a las “13:24:32 horas” y como “resultado de la comunicación: Leído”. Se detalla también la fecha y la hora de la lectura del mensaje, el 22/11/2013 a las 13:25:51 horas, y la dirección IP de lectura: ***IP.2” Se aporta, además, un certificado relativo al contenido del mensaje enviado por correo electrónico que está firmado digitalmente por SERMAILCERTIFICADO. El mensaje en cuestión es un requerimiento de pago de fecha 21/11/2013 en el que PROTOCOLOS Y SERVICIOS informa al deudor, actual denunciante, de que no ha devuelto el préstamo que le fue concedido el 10/10/2013, número 69850, que debió haber devuelto el 09/11/2013; que la deuda actual -con arreglo a las condiciones del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 contrato- asciende a 233,10 euros y le advierte de que transcurridos 30 días desde el vencimiento del préstamo sin que la deuda haya sido abonada sus datos serán enviados al fichero ASNEF. D. Llegados a este punto se ha de recordar que la línea jurisprudencial reiteradamente seguida por la Audiencia Nacional viene exigiendo que cuando el deudor niega haber recibido el requerimiento de pago previo corresponde al acreedor informante acreditar el envío del requerimiento y su recepción por el destinatario. El núcleo de la controversia que ha dado origen a esta denuncia es que el denunciante niega haber recibido el requerimiento de pago de la deuda informada al fichero ASNEF que la denunciada afirma haber enviado a través de email. La relevancia de acreditar “la recepción” del correo electrónico a través del cual se efectuó el requerimiento de pago de la deuda es determinante. Sólo si este extremo ha quedado probado se entiende cumplida por el acreedor informante la obligación impuesta por el artículo 38.1.
  7. c)del RLOPD, a la que se supedita la legalidad de la inclusión de los datos personales de un tercero en un fichero de solvencia patrimonial. La SAN de 14/11/2016 (Rec. 1432/2015) advierte de la relevancia que tiene acreditar la recepción del correo electrónico a través del que se hace un requerimiento de pago previo a la inclusión de los datos personales de un tercero en un fichero de morosidad. La citada SAN desestimó el recurso contencioso administrativo interpuesto por la entidad sancionada contra la resolución dictada por la AEPD por infracción de los artículos 4.3 y 29.4 LOPD, en relación con el artículo 38.1.c, del RLOPD, por cuanto el requerimiento de pago se había efectuado por correo electrónico al email del denunciante sin que se tuviera constancia de la recepción. Así, dice en su Fundamento de Derecho cuarto: “Pues bien, con dichas pruebas no se ha acreditado que se hubiesen efectuado los requerimientos previos a la inclusión en los ficheros Asnef y Badexcug de los datos personales de los denunciantes, (…) En relación a lo correos electrónicos enviados se desconoce si se recibieron adecuadamente por los denunciantes.(…)” (El subrayado es de la AEPD) En el presente caso la denunciada ha aportado un documento (“certificado”) de SERMAILCERTIFICADO –empresa con la que contrató la práctica de los requerimientos de pago previos a la inclusión de sus clientes deudores en ficheros de solvencia- en el que se detalla que el correo electrónico a través del cual hizo el requerimiento de pago al deudor fue enviado a la dirección .........@hotmail.com; , está identificado con el código de envío “***CÓDIGO.3”, fue enviado el día 22/11/2013 a las 13:24:32 horas y consta en el estado “Leído” siendo la fecha y hora de la lectura el 22/11/2013 a las 13.25.51 horas y la IP de lectura ***IP.2” El estado “leído” implica que el mensaje no sólo se ha recibido en el servidor de destino sino -y esto es lo determinante- que se ha recibo en la cuenta de correo electrónico del destinatario y, además, que el destinatario ha accedido al contenido del mensaje a través del enlace que aparece en el correo electrónico recibido (“Lea aquí la comunicación”) Las actuaciones llevadas a cabo por la Inspección de Datos de la AEPD cuyo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 resultado se plasma en el Informe del E/ 04569/2016, que ha sido incorporado a este expediente, se han centrado en el examen de los diferentes trámites que integran el protocolo de actuación de SERMAILCERTIFICADO en relación a los servicios de Mailcertificado y SmsCertificado que presta. A los efectos que aquí interesan basta señalar que la Inspección de la AEPD ha concluido lo siguiente: Por una parte, que el protocolo seguido en el servicio de Mailcertificado -esto es, el servicio de requerimiento que la empresa SERMAILCERTIFICADO presta a través de correo electrónico- garantiza la integridad del texto del mensaje de requerimiento enviado. En el presente asunto, el mensaje enviado al denunciante era un requerimiento de pago dirigido a él, por una deuda de 233,10 euros advirtiéndole de la inclusión de sus datos personales en ficheros de morosidad si no atendía el pago en los treinta días siguientes a la fecha de vencimiento del préstamo. Por otra, que se ha verificado que cuando el estado de los mensajes electrónicos son calificados por la empresa SERMAILCETIFICADO como “Leídos”, esos correos electrónicos han llegado a la dirección electrónica del destinatario y han sido leídos, o lo que es igual, que el destinario, recibido el mensaje en su dirección de correo electrónico con el texto “PROTOCOLOS Y SERVICIOS le envía una comunicación certificada”, y un enlace (“Lea aquí la comunicación”), ha dado el paso de descargar el texto del mensaje a través de ese enlace. Hemos de recordar también que con arreglo al condicionado del contrato el denunciante aceptó que las comunicaciones a él dirigidas se pudieran hacer a la dirección de correo electrónico facilitada cuando se registró en la página web, que en esta caso coincide con aquella a la que envió el requerimiento de pago de la deuda. Así las cosas, a tenor de la exposición precedente y de los hechos que se han declarado probados, estimamos que en el presente caso está acreditado que el denunciante fue requerido de pago por PROTOCOLOS Y SERVICIOS con carácter previo a la inclusión de sus datos en ASNEF, mediante un mensaje electrónico cuya recepción en su dirección electrónica ha quedado igualmente probada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO:ACORDAR el ARCHIVO del procedimiento sancionador PS/00566/2016 abierto a PROTOCOLOS Y SERVICIOS FINANCIEROS, S.L., por cuanto la conducta denunciada no es subsumible en el artículo 44.3.
  8. c)LOPD, habida cuenta de que ha quedado acreditado que la entidad requirió al denunciante el pago de la deuda pendiente antes de incluir sus datos en el fichero de solvencia patrimonial en los términos exigidos por los artículos 38.1.
  9. c)y 39 del RLOPD, por lo que no se vulnera el artículo 4.3, en relación con el 29.4, de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a y a PROTOCOLOS Y SERVICIOS FINANCIEROS, S.L., D. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.