1/7 Procedimiento Nº PS/00659/2015 RESOLUCIÓN: R/00807/2016 Mediante Acuerdo de fecha 11/12/15 se inició procedimiento sancionador nº PS/00659/2015 instruido por la Agencia Española de Protección de Datos a BANKIA, S.A. por presuntas infracciones a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 15/1/15, tuvo entrada en esta Agencia un escrito de D. B.B.B. (en lo sucesivo el denunciante) en el que manifiesta que Bankia ha realizado consultas a los ficheros morosidad ASNEF y BADEXCUG sin que concurran ninguno de los supuestos del art. 42 del Reglamento de la LOPD. Junto a la denuncia aporta la siguiente documentación: * Copia del DNI D.D.D. * Copia del escrito de fecha 12/1/15 remitido por Experian a su nombre en contestación a su derecho de acceso. En el escrito se incluye a Bankia como una de las entidades que ha consultado el fichero de Badexcug en los últimos 6 meses. * Copia del escrito de fecha 27/1/15 remitido por Equifax a su nombre en contestación a su derecho de acceso. En el escrito de incluye a Bankia como una de las entidades que ha consultado el fichero Asnef en los últimos 6 meses y en concreto en fechas de 9 y 22 de enero. SEGUNDO: Por parte del Subdirector General de Inspección de Datos, en base al contenido de la denuncia, se procedió a la apertura de actuaciones previas con referencia E/02318/2015. Concluyéndose la investigación con el informe siguiente de la Inspección de Datos de fecha 29/9/15 <<<<< 1. En fecha de 27/4/2015 se solicita información a BANKIA quien remite escrito de respuesta recibido en fecha 13/5/2015 en el que manifiesta lo siguiente: 1.1. B.B.B. figura en las bases de datos de BANKIA como autorizado en una cuenta bancaria de la que fue titular la sociedad MC 2001 PROMOCIONES INMOBILIARIAS, SL. Cuenta que fue dada de alta en fecha de 16/4/2004 y cancelada en fecha 8/5/2008. BANKIA señala que la cancelación de la cuenta se produjo a pesar de existir un descubierto por gastos de mantenimiento no satisfechos. 1.2. Manifiesta BANKIA que el acceso a los datos del Sr. B.B.B. en los ficheros de morosidad en los días 9 y 22 de enero de 2015 se debió a la negativa, en su día, como autorizado de la mencionada cuenta a regularizar el descubierto generado por los gastos de mantenimiento. >>>>> TERCERO: En fecha 11/12/15, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANKIA, por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 norma, CUARTO: Por parte del representante de la entidad denunciada se ha remitido escrito de alegaciones al Acuerdo de Inicio manifestando, en síntesis, lo siguiente: * Que el denunciante acudió con fecha 9/4/14 a una oficina de Bankia con objeto de preguntar acerca de una promoción de una cuenta nómina. Que le fue informado de las condiciones y características de la cuenta nómina pensión; se le indicó verbalmente con la entrega y exhibición de un folleto que se adjunta que la contratación de dicho producto conllevaba el acceso a diversos productos, entre ellos el acceso automático al servicio de descubierto para lo que es necesario que los titulares del servicio estar al corriente de pagos. - Por consiguiente la contratación de una cuenta nómina pensión implica la concesión de descubiertos automáticos lo que requiere que Bankia enjuicie la solvencia económica del interesado lo que conlleva cerciorarse que no exista deuda o impago que pudiera dificultar o imposibilitar la concesión de dicho descubierto * Que demás el denunciante se encontraba como autorizado en la cuenta C.C.C. de la sociedad MC, con fecha de apertura 16/4/04 y cancelación 8/5/08, que pese a haber sido cancelada contablemente existía un descubierto en la misma generado por gastos de mantenimiento, y que detectada la deuda se existente se comunicó en ese mismo instante al denunciante * Que el denunciante presentó una reclamación ante esa entidad por considerar que se había realizado un acceso no justificado a sus datos en abril de 2014, y con la finalidad de verificar sus afirmaciones como la versión dada por los empleados de Bankia por el servicio de auditoria se procedió a realizar nuevas consultas el 9 y 22 de enero de 2015 * Subsidiariamente, aplicación del arte. 45.5 HECHOS PROBADOS 1º Consta denuncia presentada por D. B.B.B. en la que manifestaba que Bankia ha realizado consultas a los ficheros morosidad ASNEF y BADEXCUG sin que concurran ninguno de los supuestos del art. 42 del Reglamento de la LOPD. 2º Consta la siguiente documentación aportada en el escrito de denuncia: * Copia del DNI D.D.D. * Copia del escrito de fecha 12/1/15 remitido por Experian a su nombre en contestación a su derecho de acceso. En el escrito se incluye a Bankia como una de las entidades que ha consultado el fichero de Badexcug en los últimos 6 meses. * Copia del escrito de fecha 27/1/15 remitido por Equifax a su nombre en contestación a su derecho de acceso. En el escrito de incluye a Bankia como una de las entidades que ha consultado el fichero Asnef en los últimos 6 meses y en concreto en fechas de 9 y 22 de enero. 3º Consta que el denunciante acudió con fecha 9/4/14 a una oficina de Bankia con objeto de preguntar acerca de una promoción de una cuenta nómina. Que le fue informado al denunciante de las condiciones y características de la cuenta nómina C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 pensión; se le indicó verbalmente con la entrega y exhibición de un folleto que se adjunta que la contratación de dicho producto conllevaba el acceso a diversos productos, entre ellos el acceso automático al servicio de descubierto para lo que es necesario que los titulares del servicio estar al corriente de pagos. 4º Consta que el denunciante se encontraba como autorizado en la cuenta C.C.C. de la sociedad MC, con fecha de apertura 16/4/04 y cancelación 8/5/08, que pese a haber sido cancelada contablemente existía un descubierto en la misma generado por gastos de mantenimiento, y que detectada la deuda se existente se comunicó en ese mismo instante al denunciante FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Conforme al artículo 3.
- d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica (...) que decida sobre la finalidad, contenido y uso del tratamiento”. El propio artículo 3 en su apartado
- c)delimita en qué consiste el tratamiento de datos, incluyendo en tal concepto las “operaciones o procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. En este caso la entidad denunciada ha sido el responsable del tratamiento de los datos de la denunciante en sus propios ficheros y de su comunicación a través de tratamientos automatizados, por lo que está sometida al régimen de responsabilidad contemplado en la LOPD III Finalizado el periodo de actuaciones previas de inspección con la elaboración del informe previas E/02318/2015 se concluyó que, salvo prueba en contrario, que BANKIA no había acreditado el motivo por el que ha consultado los datos del denunciante en ficheros de morosidad. En el acuerdo de inicio se determinó que dichos hechos podían ser constitutivos de una infracción del art. 6 de la LOPD que establece: “ A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7 apartado 6 de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” III Teniendo en cuenta lo establecido en el meritado art. 6 de la LOPD, el artículo 42.1 del RLOPD (Real Decreto 1720/2007, Reglamento de desarrollo de la Ley Orgánica de Protección de Datos), establece los supuestos en que puede consultarse la información contenida en los ficheros comunes. Disponiendo como principio general que “los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado”. Y ello en relación a la finalidad de los ficheros de morosidad que no es otra que facilitar información crediticia del afectado. A continuación, en el art. 42.2 se detallan tres supuestos que legitiman dicha consulta que deben analizarse, en relación a los hechos denunciados:
- a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
- b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
- c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica” En relación al apartado segundo del precitado artículo ha quedado acreditado, según el testimonio del propio denunciante que acudió con fecha 9/4/14 a una oficina de Bankia, con objeto de interesarse en la contratación de una cuenta nómina. Que le fue informado de las condiciones y características de la cuenta nómina pensión; se le indicó verbalmente, con la entrega y exhibición de un folleto que consta en el expediente, de que la contratación de dicho producto conllevaba el acceso a diversos productos, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 ellos el acceso automático al servicio de descubierto para lo que es necesario que los titulares del servicio estar al corriente de pagos. Por consiguiente las gestiones realizadas para dicha contratación deben considerarse como criterio válido para justificar la consulta a los ficheros de morosidad. A mayor abundamiento el art. 42.2 establece que “los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
- b)y
- c)precedentes de su derecho a consultar el fichero”. Se establece por tanto un deber de informar sobre la consulta que tiene la finalidad de que el solicitante tenga conocimiento efectivo de la consulta que se va a realizar a los ficheros de morosidad, requisito que el caso que nos ocupa se ha acreditado por parte de la entidad denunciada. En conclusión, en base a lo establecido en el meritado artículo, dado que la consulta a los ficheros de morosidad debe realizarse con alguna finalidad legítima y determinada, ha quedado acreditado, dicha legitimación lo que justifica la consulta a los ficheros de morosidad. IV El principio de culpabilidad previsto en el artículo 130.1 de la Ley 30/1992, dispone que solo pueden ser sancionadas por hechos constitutivos de infracción administrativa los responsables de los mismos, aun a título de simple inobservancia. Esta simple inobservancia no puede ser entendida como la admisión en el derecho administrativo sancionador de la responsabilidad objetiva, que está proscrita. Como señala la STS de 18 de marzo de 2005, recurso 7707/2000, es evidente “que no podía estimarse cometida una infracción administrativa si no se concurriera el elemento subjetivo de la culpabilidad o lo que es igual, si la conducta típicamente constitutiva de la infracción administrativa no fuera imputable a título de dolo o culpa”. En suma, el principio de culpabilidad, en palabras del Tribunal Constitucional (STC 246/1991, de 19 de diciembre) “constituye un principio estructural básico del derecho administrativo sancionador”. En este caso se aprecia una ausencia de culpabilidad en la conducta de BANKIA puesto que la contratación de una cuenta nómina, interesada por e lpropio denunciante, que acudió a una sucursal de Bankia a informarse a tal fin, implica la concesión de descubiertos automáticos lo que requiere que Bankia enjuicie la solvencia económica del interesado lo que conlleva cerciorarse que no exista deuda o impago que pudiera dificultar o imposibilitar la concesión de dicho descubierto, por lo que la consulta a los ficheros de morosidad resulta plenamente justificada. Debe tenerse en cuenta, en base a lo establecido en el art. 29.4 de la LOPD que la cesión de los datos contenidos en los ficheros de morosidad se encuentra admitida por la LOPD siempre y cuando la finalidad de la cesión se encuentre relacionada con el enjuiciamiento de la solvencia económica de los interesados, siendo los datos pertinentes para tal fin. Esta exigencia resulta, igualmente, del ámbito de los tratamientos regulados en el citado artículo 29, referido a la prestación de servicios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 información sobre solvencia patrimonial y crédito, así como del principio regulado en el artículo 4 de la LOPD, según el cual sólo se podrán realizar tratamientos de datos personales cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explicitas y legítimas para las que se hayan obtenido, debiendo utilizarse los datos para finalidades compatibles con aquellas para las que hubieran sido recogidos. En consecuencia, nuestro legislador ha perfilado, en lo referente a los denominados “ficheros de morosidad”, un perfil especial, mediante un esquema en el que participan dos tipos de entidades distintas: por una parte la entidad responsable del denominado “fichero común”, a la que, por otra, suministran información las denominadas “entidades participantes” o “entidades informantes”. Según este esquema, dichas entidades se asocian al sistema, comprometiéndose a facilitar información referente a los incumplimientos en que incurran sus deudores al responsable del fichero común que, en contraprestación, facilita a dichas entidades, amparada por la Ley, la información suministrada por las restantes entidades adheridas al sistema, conservando aquélla la condición de responsable del fichero común y siendo las entidades participantes meras cedentes/cesionarias de la información contenida en el fichero, en virtud de comunicaciones de datos amparadas por la propia Ley Orgánica 15/1999. En relación con dichos ficheros, la Sección segunda del Capítulo I del Título IV del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, establece un régimen específico, fijando una serie de requisitos previos que deberá tener la deuda para su inclusión en el fichero, los deberes de información de la entidad acreedora y del titular del fichero común en relación con la inclusión del dato, así como los supuestos en los que procedería el acceso por las restantes entidades a los datos contenidos en el fichero. El artículo 37.3 de este Reglamento, al referirse a la finalidad de estos ficheros, señala lo siguiente: “De conformidad con el apartado 2 del artículo 29 de la Ley Orgánica 15/1999, de 13 de diciembre, también podrán tratarse los datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Estos datos deberán conservarse en ficheros creados con la exclusiva finalidad de facilitar información crediticia del afectado y su tratamiento se regirá por lo dispuesto en el presente reglamento y, en particular, por las previsiones contenidas en la sección segunda de este capítulo”. En conclusión la consulta de ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulada en el artículo 42 del citado Reglamento, que son supuestos que actúan como justificantes para la consulta al fichero, sin el consentimiento del afectado tal como se encuentra amparado en el art. 29.4 de la LOPD. En el presente caso, como ya se ha analizado, la consulta realizada puede subsumirse en los supuestos contemplados deduciéndose que la consulta realizada respondió a la existencia de un interés legítimo que pudo ser alcanzado de forma razonable mediante el acceso a la información contenida en el fichero de solvencia patrimonial y crédito. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Por todo lo cual, se ha de concluir, que tras el análisis de los hechos denunciados y de las actuaciones de investigación llevadas a cabo por esta Agencia, no se han acreditado elementos probatorios que permitan atribuir a BANKIA una vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a BANKIA S.A. y a D. B.B.B. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es