PS-00642-2013

1/8 Procedimiento Nº PS/00642/2013 RESOLUCIÓN: R/01142/2014 En el procedimiento sancionador PS/00642/2013, instruido por la Agencia Española de Protección de Datos a la entidad COFIDIS, S.A. SUCURSAL EN ESPAÑA, vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 18/12/2012, tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por D. A.A.A. (en lo sucesivo el denunciante), en el que manifiesta que en el informe de operaciones del fichero de solvencia patrimonial denominado ASNEF, de fecha 18/12/2012, en el que sus datos personales están asociados a una deuda del Banco Cetelem, S.A., figura que han sido consultados por varias entidades entre las que se encuentra la entidad COFIDIS, S.A. Sucursal en España (en lo sucesivo COFIDIS), los días 10 de agosto y 24 de septiembre de 2012, según se detalla en la documentación aportada. Añade que no mantiene relación con la entidad financiera COFIDIS y que sin embargo ha consultado dos veces sus datos personales incluidos en el citado fichero. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad COFIDIS, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas E/1697/2013 que se transcribe: “ACTUACIONES PREVIAS DE INVESTIGACIÓN La compañía COFIDIS, S.A. Sucursal en España (anteriormente Cofidis Hispania, E.F.C., S.A.U.) ha informado a la Inspección de Datos, con fecha de 30 de abril de 2013, en relación con las consultas efectuadas al fichero ASNEF de los datos del denunciante lo siguiente: - La entidad, en cumplimiento de las obligaciones de evaluación de solvencia (Ley de Crédito al Consumo, Ley de Economía sostenible, Orden EHA12899/2011, de 28 de octubre, de transparencia y protección del cliente de servicios bancarios), tanto al inicio como durante la ejecución de los contratos suscritos con sus clientes, cuenta con procedimientos internos que le permiten dar cumplimiento a las políticas de préstamo responsable establecidas por la normativa. Asimismo, y sin perjuicio del cumplimiento de las obligaciones anteriormente indicadas, las consultas de los datos asociados al denunciante se realizaron al amparo de lo dispuesto en el Artículo 42 del Real Decreto 1720/2007, que aprueba el Reglamento de Desarrollo de la Ley Orgánica 15/99, de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 de Datos de Carácter Personal. - El denunciante cumplimentó una Solicitud de Crédito, el día 24 de agosto de 2007, por importe de 6.000€ y que en las conversaciones con el cliente para la ejecución del contrato se tuvo conocimiento de que durante, el anterior mes de mayo de 2007, la esposa del denunciante había ya solicitado un crédito a la compañía de 1.200€. Ante la identidad de los esposos respecto de domicilio, número de cuenta bancaria para el cargo de los recibos mensuales y teléfono, se propuso la tramitación conjunta, resultando que ambos contratos se tramitaron a partir de ese momento conjuntamente en una sola cuenta de cliente de COFIDIS. - Se adjunta copia de ambas solicitudes y de las condiciones generales de cada una de ellas, así como dos nóminas de junio y julio de 2007 y DNI del denunciante y recibo de un servicio a nombre del denunciante que acredita la titularidad de la cuenta corriente donde se cargan los recibos de COFIDIS en el que consta como titular la esposa. También, el denunciante realizó la activación del denominado “Espacio Cliente” para la realización online de consultas sobre el contrato suscrito y que consta la siguiente información en el bloc de notas del sistema: 21/07/2008 8:10 LLAMA COTIT X ALTA WEB OK DATOS OK ALTA WEB” TERCERO: Con fecha 05/12/2013, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a COFIDIS por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.b). CUARTO: Notificado el acuerdo de inicio, COFIDIS formuló las siguientes alegaciones: 1. En agosto de 2007 se recibió en COFIDIS documento de solicitud de crédito “DINERO YA” suscrito por el denunciante acompañado de la documentación precisada para proceder a la aceptación del contrato. Se aporta contrato firmado por el denunciante con domicilio en c/(C/..............1), cuenta designada para cargo de cuotas mensuales ***CCC.1, y teléfono de contacto ***TEL.1. También se aporta copia de una nómina, copia de un recibo para acreditar la cuenta a su nombre donde cargar las cuotas mensuales, y copia de su DNI. En las conversaciones con el denunciante para ejecutar el contrato se tuvo conocimiento que en el anterior mes de mayo de 2007, su esposa ya había solicitado a COFIDIS un crédito de 1.200 €. Se adjunta copia del contrato suscrito por Dña. B.B.B. con el mismo domicilio, mismo número de teléfono de contacto y misma cuenta bancaria. Dada la identidad de domicilio y cuenta bancaria se propuso, y se aceptó la tramitación conjunta de ambos contratos en una sola cuenta cliente de COFIDIS. En fecha 21/07/2008 el denunciante activó el denominado “espacio cliente” para la realización de consultas sobre el contrato suscrito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 La cuenta del denunciante y su esposa estaba vigente en las fecha en que se efectuaron las consultas al fichero asnef en agosto y septiembre de 2012, continuando del mismo modo a fecha 27/12/2013. Se aporta certificado relativo a las transferencias bancaria y cargo de las cuotas relacionadas con el contrato del denunciante. 2. Consentimiento del denunciante para la consulta al fichero asnef. En el contrato suscrito por éste autorizaba a COFIDIS la consulta de sus datos en los ficheros de solvencia patrimonial. COFIDIS mantenía con el denunciante en el momento de la consulta al fichero asnef (10 de agosto y 24 de septiembre de 2012) una relación contractual vigente y que contenía una cláusula en la que se le informó de la posibilidad de consulta a ficheros de solvencia patrimonial. QUINTO: Con fecha 25/04/2014 se emitió propuesta de resolución en el sentido de archivar el procedimiento sancionador. SEXTO: Notificada la propuesta COFIDIS manifestó su conformidad con la misma, ratificándose en sus alegaciones formuladas al acuerdo de inicio del procedimiento sancionador. HECHOS PROBADOS PRIMERO: Con fecha 18/12/2012, tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito remitido por el denunciante, en el que manifiesta que en el informe de operaciones del fichero de solvencia patrimonial denominado ASNEF, de fecha 18/12/2012, en el que sus datos personales están asociados a una deuda del Banco Cetelem, S.A., figura que han sido consultados por varias entidades entre las que se encuentra la entidad COFIDIS, S.A. Sucursal en España (en lo sucesivo COFIDIS), los días 10 de agosto y 24 de septiembre de 2012, según se detalla en la documentación aportada. Añade que no mantiene relación con la entidad financiera COFIDIS y que sin embargo ha consultado dos veces sus datos personales incluidos en el citado fichero (folios 1-3). SEGUNDO: Consta en el expediente copia de un contrato de crédito denominado “DINERO YA”, por importe de 6.000 €, suscrito por el denunciante el 24/08/2007. En el mismo consta su nombre y apellidos, NIF, estado civil, dirección c/(C/..............1), cuenta designada para cargo de cuotas mensuales ***CCC.1, y teléfono de contacto ***TEL.1. En las condiciones generales del contrato se especifica lo siguiente: “1. Objeto del contrato: El Titular/Cotitular (en adelante titulares) del crédito permanente disponen, desde la aceptación por parte de COFIDIS, de una línea de crédito cuyo importe queda limitado al importe de la línea máxima aceptada por COFIDIS y que será modificable de mutuo acuerdo. Inicialmente, los titulares limitan la utilización de dicho crédito al importe indicado en el anverso o el que sea aceptado por COFIDIS. Este importe podrá ampliarse , sucesivamente o de una sola vez, previa aceptación por COFIDIS, o reducirse de mutuo acuerdo, sin que suponga novación del contrato. Este importe se confirmará en cada extracto de cuenta mensual. 2. Modo de utilización: Las disposiciones del crédito autorizado pueden realizarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 mediante: - Solicitud de transferencia dentro de su disponible, que podrá realizarse mediante llamada telefónica, por fax, por Internet, SMS, por escrito o por otros medios que COFIDIS autorice. - Tarjeta de crédito que COFIDIS puede emitir y que el titular deberá presentar al hacer sus compras. La Tarjeta es personal e intransferible. …. 4. Modo de reembolso: En caso de utilización del saldo disponible, los titulares quedan obligados a pagar a COFIDIS siguiendo los procedimientos de pago por éste establecidos, la cuota mensual de la línea de crédito no más tarde del día 5 de cada mes… … 5. Duración del crédito: El presente contrato tiene una duración de un año renovable por tácita reconducción por periodos de un año. Los titulares podrán rescindirlo en cualquier momento, sin perjuicio de sus obligaciones de devolver las cantidades dispuestas y sus intereses, mediante las correspondientes mensualidades, hasta su total pago. También COFIDIS podrá rescindir libremente, mediante comunicación a los titulares con una antelación de 15 días, transcurridos los cuales quedará cancelado el crédito, no pudiendo los titulares efectuar nuevas disposiciones y viniendo obligados a devolver las cantidades dispuestas y sus correspondientes intereses, comisiones, gastos, penalizaciones o indemnizaciones y prima del seguro, en su caso, en las fechas convenidas, hasta su total pago. … 15. Protección de datos personales: Los datos solicitados en el presente contrato son los necesarios para valorar y decidir sobre su solicitud de crédito. De acuerdo con lo establecido en la Ley 15/1999 de Protección de Datos de Carácter Personal, los titulares quedan informados de que sus datos personales facilitados en el momento de suscribir su Cuenta Permanente y durante su relación comercial con COFIDIS, se incluirán en un Fichero automatizado de clientes de que es responsable COFIDIS… , y serán tratados con la máxima confidencialidad para el desenvolvimiento del Contrato, incluyéndose las gestiones encaminadas a la gestión y resuperación del crédito, en su caso, incluso realizando, si procede, operaciones que permitan la obtención de un perfil, así como para remitirle por cualquier medio, incluido Internet o SMS, ofertas de productos y servicios que puedan ser de su interés…. Los titulares autorizan a COFIDIS a solicitar información relativa a sus antecedentes crediticios, para el análisis y decisión de su solicitud de crédito procedente de cualquier persona de las reconocidas en derecho que considere pertinentes, y en caso de concesión, para el seguimiento del mismo, y a ceder o interconectar sus datos personales a cualquier registro de información de antecedentes crediticios (CIRBE, Servicio de información del crédito de ASNEFEQUIFAX). Igualmente los titulares autorizan a COFIDIS a tratar sus datos a los fines de prevención del fraude, pudiendo en su caso interconectar tales datos con entidades de servicios de solvencia patrimonial y crédito con la finalidad de prevenir el fraude en la financiación” (folios 14, 53-54) TERCERO: COFIDIS aportó como documentación recabada del denunciante para la formalización del contrato citado en el punto anterior, copia de su DNI, copia de una nómina de mes de agosto de 2007, y copia de domiciliación bancaria que acredita su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 titularidad de la cuenta señalada para el pago de las cuotas del contrato de crédito (folios 15-18) CUARTO: COFIDIS aportó certificado de las transferencia bancarias y cargo de las cuotas mensuales efectuadas en la cuenta bancaria ***CCC.1, titularidad del denunciante, relacionadas con el contrato del crédito suscrito por éste, certificado en el que constan operaciones mensuales desde agosto de 2007 hasta agosto de 2013 (47, 59-78) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.

1. g)en relación con el artículo 36 de la LOPD. II Se imputa a COFIDIS una infracción del artículo 6.1 de la LOPD, que dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos sin consentimiento de los afectados o sin otra habilitación amparada por la Ley constituye una vulneración del derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7, primer párrafo), “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 datos personales y a saber de los mismos. La definición de tratamiento se señala en el artículo 3.c de la LOPD como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El régimen de los ficheros de cumplimiento de obligaciones dinerarias se establece en el artículo 29 de la LOPD, que determina: “1. Quienes se dediquen a la prestación de servicios de información sobre la solvencia patrimonial y el crédito sólo podrán tratar datos de carácter personal obtenidos de los registros y las fuentes accesibles al público establecidos al efecto o procedentes de informaciones facilitadas por el interesado o con su consentimiento. 2. Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley. 3. En los supuestos a que se refieren los dos apartados anteriores, cuando el interesado lo solicite, el responsable del tratamiento le comunicará los datos, así como las evaluaciones y apreciaciones que sobre el mismo hayan sido comunicadas durante los últimos seis meses y el nombre y dirección de la persona o entidad a quien se hayan revelado los datos” Atendiendo a lo expuesto, el acceso mediante comunicaciones, consultas, interconexiones y transferencias a los datos personales registrados en un fichero constituye un tratamiento de datos personales que requiere, en principio, el consentimiento del afectado o titular de los datos en cuestión. La cesión o consulta de los datos a o en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión o la consulta se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin por existir una relación negocial que supone una deuda cierta, o por querer iniciar una relación negocial. Nuestro legislador ha perfilado, en lo referente a los denominados “ficheros de morosidad”, un perfil especial, mediante un esquema en el que participan dos tipos de entidades distintas: por una parte la entidad responsable del denominado “fichero común”, a la que, por otra, suministran información las denominadas “entidades participantes” o “entidades informantes”. Según este esquema, dichas entidades se asocian al sistema, comprometiéndose a facilitar información referente a los incumplimientos en que incurran sus deudores al responsable del fichero común que, en contraprestación, facilita a dichas entidades, amparada por la Ley, la información suministrada por las restantes entidades adheridas al sistema, conservando aquélla la condición de responsable del fichero común y siendo las entidades participantes meras C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 cedentes/cesionarias de la información contenida en el fichero, en virtud de comunicaciones de datos amparadas por la propia Ley Orgánica 15/1999. Consta acreditado en esta Agencia que las entidades asociadas al fichero de solvencia patrimonial y crédito suministran periódicamente las relaciones de las altas, bajas y modificaciones de los datos de sus clientes mediante procedimientos automatizados para que tales actualizaciones queden registradas en el mismo, siendo las entidades informantes quienes deciden sobre el alta o la cancelación de los datos de sus clientes del fichero de morosidad. Al mismo tiempo, estas entidades asociadas pueden acceder a la información contenida en tales ficheros que resulte determinante para enjuiciar la solvencia económica del afectado. El modo consulta, diferente del modo inclusión de datos de ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulado en el artículo 42 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD), en el que se establece lo siguiente: “Acceso a la información contenida en el fichero. 1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
2. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
3. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
4. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
5. b)y
6. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. En definitiva, se pretende que la consulta no sea indiscriminada y/o masiva y que, en todo caso, dicha consulta responda a la existencia de un interés legítimo que pueda ser alcanzado de forma razonable mediante el acceso a la información contenida en el fichero de solvencia patrimonial y crédito. Atendiendo a lo expuesto, el acceso a los datos personales del denunciante registrados en el fichero “ASNEF” efectuado por COFIDIS, constituye un tratamiento de datos personales para el que existía habilitación legal. Resulta dicha habilitación de la existencia de una relación contractual entre el denunciante y COFIDIS como acredita el contrato permanente de línea de crédito suscrito por éste en agosto de 2007, de duración anual renovable tácitamente cada año, que s acredita se encuentra vigente por cuanto COFIDIS ha aportado extracto de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 disposiciones y cuotas efectuadas en la cuenta bancaria del denunciante en desarrollo del citado contrato, efectuadas hasta al menos el mes de agosto de 2013, resultando por tanto acorde a lo dispuesto a la normativa anteriormente citada las consultas al fichero asnef sobre el denunciante, efectuadas por COFIDIS en fechas 10/08/2012 y 24/09/2012. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00642/2013. SEGUNDO: NOTIFICAR la presente resolución a COFIDIS, S.A. SUCURSAL EN ESPAÑA y a D. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es