1/7 Procedimiento Nº PS/00585/2016 RESOLUCIÓN: R/00913/2017 En el procedimiento sancionador PS/00585/2016, instruido por la Agencia Española de Protección de Datos a la entidad SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., vista la denuncia presentada por A.A.A., y en base a los siguientes, HECHOS Procedimiento nº: PS/00585/2016 Mediante Acuerdo de fecha 14 de diciembre de 2016 se inició procedimiento sancionador nº PS/00585/2016 instruido por la Agencia Española de Protección de Datos a SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes hechos expuestos en su escrito ante esta Agencia: PRIMERO: Con fecha 12 de abril y 22 de junio de 2016 tienen entrada en esta Agencia escritos de A.A.A. en los que declara que en relación a una supuesta deuda que tiene con la entidad SERVICIOS FINANCIEROS CARREFOUR, S.A., dicha entidad sin su consentimiento, ha cedido sus datos personales a la entidad CHRONOS STRATEGIES, S.A., y esta a su vez, para que actúe en su nombre, a la entidad con quien tiene contratada la gestión de cobros, SAVIA ASSET MANAGEMENT, S.L. Con fecha 10 de marzo de 2016, el denunciante envía carta a SERVICIOS FINANCIEROS CARREFOUR, S.A., exponiéndoles que ha recibido una llamada de una empresa llamada LEXER ABOGADOS, que afirma hacerlo en nombre de SERVICIOS FINANCIEROS CARREFOUR para requerirle el pago de una deuda que tiene con dicha entidad, manifestando que no le ha dado su consentimiento a SERVICIOS FINANCIEROS CARREFOUR para que cedan sus datos a otras empresas. En respuesta a ello, le remiten carta de contestación con fecha 15 de marzo de 2016, donde le manifiestan que la cesión de sus datos a terceras entidades se encuentra prevista en las condiciones generales de su contrato de tarjeta PRYCA PASS. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A.,y SAVIA ASSET MANAGAMENT, S.L., En primer lugar, el 5 y 27 de octubre de 2016, se reciben escritos de la entidad SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A., con el que adjunta la siguiente información y documentación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Copia del contrato de tarjeta suscrito entre el denunciante y la entidad Financiera PRYCA, E.F.C., S.A., entidad antecesora de SERVICIOS FINANCIEROS CARREFOUR. En el apartado 7 de las Condiciones Generales de dicho contrato figura: “El titular faculta expresamente a la Entidad a ceder el presente contrato a un tercero que asumirá todos los derechos y obligaciones derivados del mismo”. Copia del documento de Elevación a público del contrato de Compraventa de cartera de créditos suscrito entre SERVICIOS FINANCIEROS CARREFOUR y la entidad CHRONOS STRATEGIES, S.A. de fecha 18 de diciembre de 2014, por el cual se cedía el expediente del denunciante. En base a la estipulación novena del citado contrato, sería esta entidad la encargada de realizar las comunicaciones a los clientes. Copia de una carta remitida por SERVICIOS FINANCIEROS CARREFOUR al denunciante a la misma dirección, de fecha 18/12/2014, donde le informan de la cesión de la deuda y del saldo pendiente de pago. No obstante según consta en el contrato, la comunicación de dicha cesión al denunciante sería realizada y gestionada a través de la empresa SAVIA ASSET MANAGEMENT, S.L., como encargada del tratamiento de la información cedida a la empresa CHRONOS STRATEGIES, S.A. Nota de la puesta en correos de la carta remitida por la empresa Savia Asset Managemente, y realizada por UNIPOST, de fecha 03/02/2015. Albarán de entrega debidamente sellado y validado por el Servicio de Correos y que incorpora el intervalo de referencias enviadas, entre las que se encuentra la del denunciante. Certificado de la empresa proveedora del servicio de comunicaciones, indicando que la citada carta no consta como devuelta. En segundo lugar, el 4 de noviembre de 2016 se recibe información de la empresa SAVIA ASSET MANAGAMENT, S.L., en el que manifiesta que: C/ Jorge Juan, 6 28001 – Madrid En virtud del contrato de fecha 18 de diciembre de 2014, la entidad, como entidad gestora de activos, ha quedado autorizado por el Responsable del fichero, CHRONOS STRATEGIES, S.A., como encargado del tratamiento. Se acompaña contrato suscrito entre CHRONOS STRATEGIES, S.A. y SAVIA ASSET MANAGAMENT, S.L. En virtud de la Escritura de compraventa de cartera de créditos, otorgada el 18 de diciembre de 2014, SERVICIOS FINANCIEROS CARREFOUR, E.F.C., S.A., ha cedido la titularidad que ostentaba respecto de una cartera de créditos a CHRONOS STRATEGIES, S.A., entre los que se encontraba el denunciante. Los datos que obran en sus ficheros asociados al denunciante, con relación al domicilio son: (C/..1) (CANTABRIA). Se acompaña carta copia de la carta individualizada remitida al denunciante desde SAVIA MANAGAMENT, a la dirección que figura en sus sistemas, donde le informan de la cesión de la deuda y de su posible inclusión en ficheros de Solvencia en caso de impago. No obstante nunca se procedió a la inclusión del impago en ficheros de Solvencia. Con fecha 30/01/2015 SERVINFORM, S.A., generó e imprimió para CHRONOS STRATEGIES, una carta de requerimiento dirigida al denunciante con referencia NT********1, en la que se le comunicaba la cesión del crédito derivado de la tarjeta de crédito. www.agpd.es sedeagpd.gob.es 3/7 Se acompaña Nota de la puesta en correos de la carta remitida por la citada entidad, y realizada por UNIPOST, de fecha 03/02/2015. Albarán de entrega debidamente sellado y validado por el Servicio de Correos y que incorpora el intervalo de referencias enviadas, entre las que se encuentra la del denunciante. Certificado de la empresa proveedora del servicio de comunicaciones (EQUIFAX), indicando que la citada carta no consta como devuelta, y que fue remitida al domicilio (C/..1) (CANTABRIA). En tercer lugar, el 8 de noviembre de 2016, se recibe correo electrónico de SERVICIOS FINANCIEROS CARREFOUR, S.A., como continuación a la información remitida con fecha 27 de octubre de 2016, en el que comunican la cronología correspondiente a los cambios de domicilio del denunciante: Contrato Tarjeta PASS de 6 de abril de 1000. Dirección: (C/..2)(Cantabria). Anexo de cambio de línea de crédito de fecha 22 de septiembre de 2001, Dirección: (C/..2)(Cantabria). Actualización de datos de domicilio, a través de llamada telefónica de fecha 3 de septiembre de 2009. Dirección: (C/..1) (Cantabria). Dicho domicilio fue el comunicado a CHRONOS STRATEGIES, S.A., cuando se produjo la venta de cartera de deudas. TERCERO: Con fecha 14 de diciembre de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., por presunta infracción del artículo 11 de la LOPD, que señala que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”, infracción tipificada como grave en el artículo 44.3.
- k)de dicha norma, que considera como tal: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave” pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A. mediante escrito de fecha 30 de diciembre de 2016, formuló alegaciones, significando, la falta de tipicidad en la infracción del artículo 11 de la LOPD que se pretende imputar a SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., ya que tal y como señala, “el artículo 11.2 LOPD establece que: el consentimiento exigido en el apartado anterior no será preciso:
- a)cuando la cesión está autorizada por ley” En este sentido continúa diciendo que “el artículo 347 del Código de Comercio establece que “los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 A este respecto, SERVICIOS FINANCIEROS CARREFOUR, EFC., manifiesta que “remite una carta al denunciante de fecha 18/12/2014, en el que le informa de la cesión de la deuda y del saldo pendiente de pago”, por lo que cumple con el artículo 11.2 LOPD. Finalmente, respecto del acceso a los datos personales del denunciante por parte de SAVIA ASSET MANAGEMENT, S.L., como entidad gestora de cobros contratada por CHRONOS STRATEGIES, S.A. señalar que será posible siempre que el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, según establece el artículo 12 de la LOPD, en su apartado 1: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión o comunicación de datos. QUINTO: Con fecha 16/01/2017 se inició el período de práctica de pruebas, dándose por reproducidos a efectos probatorios la denuncia interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03197/2016. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00585/2016 presentadas por SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 24/02/2017, se formuló propuesta de resolución, proponiéndose que se proceda a ordenar el ARCHIVO de la denuncia formulada contra la entidad SERVICIOS FINANCIEROS CARREFOUR EFC, S.A al no quedar acreditada la comisión de infracción administrativa alguna en el marco de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II En el presente caso, se procede a examinar los escritos remitidos por A.A.A. con fecha de entrada en esta Agencia—12 de abril y 22 de junio de 2016—por medio de los cuales se trasladan los siguientes hechos: Nos encontramos ante un incumplimiento por parte de la entidad SERVICIOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 FINANCIEROS CARREFOUR EFC, S.A del artículo 11 de la LOPD, al cederse sus datos sin su consentimiento a la entidad CHRONOS STRATEGIES, S.A. Dicho precepto dispone, en su apartado 1 lo siguiente: “1.Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”. No obstante, ha de tenerse en cuenta que el artículo 11.2
- a)de la LOPD, establece que “el consentimiento exigido en el apartado anterior no será preciso cuando la cesión está autorizada en una ley.” A este respecto ha de indicarse que la cesión de deuda, no se encuentra condicionada al consentimiento del interesado, siendo esto así, en base a lo establecido en el Código de Comercio en su art. 347: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste.” Asimismo, el artículo 348 establece que: “El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión, pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare.” En este sentido la resolución de la Sala de los Contencioso-Administrativo, sección 1ª, en su sentencia de 21 de octubre de 2014 de la Audiencia Nacional 21/10/2014, se establece que: “La figura de la cesión de datos personales en relación con el contrato de compraventa y cesión de créditos elevado a escritura pública, al amparo de los artículos 347 y 348 del Código de Comercio , es una cuestión que ya ha sido analizada por esta Sala, en la SAN 8-72010 ( RJCA 2010, 576 ) (Rec. 903/2009 ), a la que se remiten las SSAN 8-10-2010 ( JUR 2010, 367573 ) (Rec. 904/2009 ) y 30-11-2010 ( JUR 2010, 413674 ) (Rec. 841/2009 ), en las que hemos considerado lo siguiente: "en aquellos supuestos en que no se discute la existencia de un crédito transferido sino una diferencia en las cuantías reclamadas, debido a una diferente interpretación de las obligaciones derivadas del contrato suscrito entre los denunciantes y al recurrente, respecto de los efectos del preaviso para resolver el contrato, la interpretación de tal cláusula y de aquella otra que contempla que el precio de los servicios contratados efectuada por cuotas mensuales a abonar el día primero de cada mes, corresponde al orden jurisdiccional competente y excede de la competencia de la AEPD. Ahora bien, también se argumenta que solamente en los supuestos que no consta la existencia de deuda alguna que justifique la cesión de datos se considera que se ha producido una vulneración del articulo 11 de la LOPD ( RCL 1999, 3058 ) tipificada en el articulo 44.4 .
- b)de la citada norma , pues en estos supuestos no se analiza la calidad de los datos sino la falta de consentimiento para su cesión". Concurren por tanto los requisitos para estimar infringido el artículo 11 LOPD por cuanto como consecuencia del negocio jurídico de cesión de cartera de créditos celebrado entre la entidad recurrente y LINDORFF, consta cuando menos acreditado que se comunicaron determinados datos personales de clientes de la recurrente, por supuestas deudas de los mismos, cuando en realidad no adeudaban cantidad alguna a dicha entidad actora, y todo ello sin consentimiento de los titulares de dichos datos cedidos a LINDORFF.” En lo relativo a la cesión de datos personales a entidades gestoras de cobros, en este caso, de CHRONOS STRATEGIES, S.A. a SAVIA ASSET MANAGEMENT, S.L., para que en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 su nombre le requiera el pago de la deuda que compró a SERVICIOS FINANCIEROS CARREFOUR S.A., señalar que el artículo 12 LOPD, en relación al acceso de terceros a los datos personales cuando el acceso a los datos se realice para prestar un servicio al responsable del fichero o del tratamiento, señala en su apartado 1, que “no se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento.” El citado artículo 12.1 de la LOPD permite, por tanto, el acceso a datos de carácter personal a la persona o entidad que presta un servicio al responsable del fichero, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión o comunicación de datos. III En fase de instrucción (art. 78 Ley 39/2015, 1 de octubre) se procede a examinar la documentación presentada por SERVICIOS FINANCIEROS CARREFOUR S.A., el 30 de diciembre de 2016, de la que se desprende que CHRONOS STRATEGIES, S.A. adquirió por compraventa una cartera de créditos de A.A.A., donde se incluye la deuda que le era requerida por SERVICIOS FINANCIEROS CARREFOUR, S.A. En el citado escrito de alegaciones presentado por SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., se manifiesta por un lado que, “la condición séptima de las condiciones generales del contrato de apertura de cuenta para tarjeta PRYCA PASS, suscrito entre mi representada y el denunciante en fecha 6 de abril de 2000, faculta expresamente a la Entidad a ceder el presente contrato a un tercero que asumirá todos los derechos y obligaciones derivados del mismo” Por otro lado, SERVICIOS FINANCIEROS CARREFOUR, EFC., señala que “remite una carta al denunciante de fecha 18/12/2014, en el que le informa de la cesión de la deuda y del saldo pendiente de pago”, -cumpliéndose así con lo establecido en el artículo 11.2 LOPD en relación con el art. 347 del Código de Comercio - y además le requiere el pago de la deuda y le comunica la posible inclusión de sus datos en ficheros de solvencia patrimonial y de crédito, si no procede a abonar la deuda. Asimismo señalar que de la documentación aportada se desprende que SAVIA ASSET MANAGEMENT, S.L., -actúa como entidad gestora de cobros- reclamándole el pago de la deuda al denunciante en nombre de CHRONOS STRATEGIES, S.A., actual acreedor de la deuda tras comprársela a SERVICIOS FINANCIEROS CARREFOUR, EFC., el 18/12/2014, lo cual es acorde a lo establecido en el art. 12 de la LOPD, anteriormente indicado. IV De acuerdo con lo argumentado, y una vez analizadas las pruebas documentales aportadas, cabe concluir que la entidad denunciada, SERVICIOS FINANCIEROS CARREFOUR EFC, S.A., ha acreditado que ha actuado conforme a derecho, --tras aportar el 30 de diciembre de 2016, documentación de la que se desprende la emisión y recepción de carta de fecha 18/12/2014, donde se informa a el denunciante de la cesión de la deuda requerida por la entidad CHRONOS STRATEGIES, S.A., y la encomienda de gestión de cobros de dicha entidad, a SAVIA ASSET MANAGEMENT, S.L., para que actúe en su nombre-- de conformidad con los artículos 11.2
- a)en relación con el artículo 347 y 348 Código de Comercio, y el artículo 12.1 de la LOPD, por lo que se procede al ARCHIVO del presente procedimiento, al no apreciarse infracción de la normativa vigente en materia de protección de datos. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER al ARCHIVO de la denuncia formulada contra la entidad SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., al no quedar acreditada la comisión de infracción administrativa alguna en el marco de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a la entidad denunciada SERVICIOS FINANCIEROS CARREFOUR, EFC., S.A., y a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es