REPOSICION-E-00352-2017

1/4 Procedimiento nº: E/00352/2017 ASUNTO: Recurso de Reposición Nº RR/00637/2017 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00352/2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de junio de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/00352/2017, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 06/07/2017, según aviso de recibo que figura en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 03/08/2017, recurso de reposición, fundamentándolo básicamente en en las alegaciones formuladas en actuaciones previas. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La resolución recurrida se fundamentaba en lo siguiente: II El artículo 4.3 de la LOPD, que dispone que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. La obligación establecida en el artículo 4.3 transcrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. III El artículo 6.1 de la LOPD, dispone que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 El apartado 2 del mencionado artículo contiene una serie de excepciones tasadas a la regla general contenida en el 6.1: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. IV En el presente caso, el denunciante en su escrito de denuncia plantea determinadas cuestiones: la inclusión en ficheros de morosidad sin haberle requerido la deuda y habiendo sido anulada por sentencia judicial; la cesión de deuda inexistente a empresas de recobros; el acceso a ficheros consultando sus datos, etc. - En primer lugar, la inclusión de sus datos en el fichero ASNEF a consecuencia de una deuda que fue declarada inexistente sin el preceptivo requerimiento de pago previo. De la documentación aportada se desprende que la entidad financiera CAJA ESPAÑA, de la que era cliente el denunciante como titular de una cuenta corriente junto con su hermano, había interpuesto demanda en petición de procedimiento monitorio ante el Juzgado de 1ª Instancia e Instrucción nº 1 de ***LOC.1 en la que solicitaba se requiriera al denunciante el importe que tenía pendiente de pago: 1.122,46 euros, si bien en sentencia de 31/07/2013 se desestimaba íntegramente la misma al ponerse de manifiesto que la cláusula en la que fundamentaba su reclamación se entendía como abusiva. Es cierto, que los datos personales del denunciante fueron incluidos en los ficheros ASNEF y BADEXCUG el 19/02/2013 y el 20/02/2013 respectivamente, por la deuda demandada, permaneciendo incluidos durante la tramitación de la demanda ante el Juzgado y que, sólo ante el ejercicio del derecho de cancelación ante el responsable del fichero ASNEF, estos fueran dados de baja según consta en la comunicación remitida en respuesta al citado derecho el 27/11/2014. No obstante, la citada infracción se encontraría prescrita a la luz de lo señalado en el artículo 47 de la LOPD que establece: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, del procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor”. En este caso, la supuesta vulneración de la LOPD cometida como consecuencia de la inclusión de los datos de carácter personal del denunciante en el fichero ASNEF por una deuda declarada incierta, la infracción que se podría alegar sería la contemplada en el artículo 44.3 de la LOPD, relativo a las infracciones graves y en concreto el apartado

1. c)es decir “Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”. Así, considerando que el plazo de prescripción comienza a contarse el día en que se cometió la presunta infracción, en el presente caso el “dies a quo” del cómputo prescriptivo debe fijarse en el 27/11/2014, que fue cuando se produjo la baja a instancias del denunciante de los datos de carácter personal en el fichero, siendo el termino final la fecha de entrada de la denuncia en la AEPD el 07/12/2016. - En segundo lugar, la sentencia citada declara la nulidad de la cláusula de intereses moratorios por abusiva pero de la misma no se infiere la inexistencia de deuda o la nulidad de la misma por lo que habría que señalar que dirimir si la deuda existe o no, si era correcta o si su cuantía era exacta con carácter definitivo e irrevocable, etc. deben determinarlo los órganos competentes; a la Agencia le compete determinar si se han cumplido los requisitos legal y reglamentariamente establecidos para la inclusión de los datos personales del afectado en los ficheros de morosidad, en el presente caso ASNEF y BADEXCUG. O como dice la sentencia de 3 de julio de 2007 de la Audiencia Nacional: “Otra cosa es que para ejercer su competencia (refiriéndose al Director de la Agencia) haya de realizar valoraciones fácticas o jurídicas cuya naturaleza podríamos calificar de prejudicial, y sobre las que no podría adoptar una decisión definitiva con efectos frente a terceros”. Pero esas valoraciones sí deben servir a la Agencia para saber que la información trasmitida al fichero contaba con la suficiente veracidad, tal como demanda la Ley. - En cuanto a la cesión de la misma deuda a empresas de recobro con posterioridad a la cancelación de los datos en los ficheros, en el expediente consta que la entidad denunciada, CAJA ESPAÑA, y la empresa de gestión de impagados, INTRUM, mantienen una relación contractual, cuyo objeto es la gestión del cobro de deudas, de conformidad con lo establecido en el artículo 12 de la LOPD, por lo que la cesión o comunicación de datos a la citada empresa para el desenvolvimiento de dicha relación no se considera vulneración de la LOPD, toda vez que es conforme con la normativa de protección de datos. El citado artículo 12.1 de la LOPD permite que el responsable del fichero, habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio, sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. - Por último, el acceso o consulta a los datos incluidos en los ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias se encuentra regulada en el artículo 42 del citado Reglamento en el que se establece lo siguiente: “1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4
2. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida. (…) Los datos del denunciante incluidos en el fichero BADEXCUG fueron consultados por CAJA ESPAÑA en virtud de la relación que les une. La entidad aporta impresión de pantalla de sus sistemas informáticos en la que consta la cuenta nº ***CC.1 con fecha de apertura 23/05/2001 y de la que no consta cancelación y, además, mantiene una deuda derivada de la relación contractual. En consecuencia, la consulta de los datos personales registrados en un fichero común con el fin de evaluar la solvencia económica del se encuentra amparada por el artículo 42 del RLOPD, no siendo preciso recabar el consentimiento del afectado para llevarla a cabo. III Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 27 de junio de 2017, en el expediente de actuaciones previas de inspección E/00352/2017. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es