1/5 Procedimiento nº.: TD/00129/2021 ASUNTO: Recurso de Reposición Nº RR/00566/2021 Examinado el recurso de reposición interpuesto por ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente TD/00129/2021, y en base a los siguientes HECHOS PRIMERO: Con fecha 22 de julio de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente TD/00129/2021, en la que se acordó estimar la reclamación formulada por D. A.A.A. contra ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L.. SEGUNDO: La resolución ahora recurrida fue notificada fehacientemente a ASNEFEQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. (en adelante, la recurrente) el 29 de julio de 2021, según consta en el justificante de la notificación. TERCERO: El recurrente ha presentado recurso de reposición en fecha 23 de agosto de 2021, con la misma fecha de entrada en esta Agencia, en el que señala que, el derecho de acceso se atendió conforme a lo establecido en el art. 15 del RGPD y cabe indicar que, atendiendo al literal del precepto, el derecho se refiere a los datos que son objeto del tratamiento en el momento de la solicitud. Por lo tanto, si no hay tratamiento no se podrá facilitar los datos que se solicitan, ya que en el momento de la petición no había tratamiento y se facilitó el histórico de seis meses. Que los datos ya habían sido suprimidos por el acreedor, por ello, los datos se encontraban bloqueados y a disposición de las autoridades competentes conforme a lo establecido en el art. 32 LOPDGDD. De esto, se desprende que se atendió el derecho en tiempo y forma. Que el mencionado precepto, supone la identificación y reserva de datos, adoptando medidas que impidan su tratamiento con la excepción de las autoridades competentes en la materia, por exigencias de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de esta. Los datos de la parte reclamante pasaron de activos a bloqueados. Sin embargo, la interpretación de esta Agencia provoca indefensión. El precepto señala que permite exclusivamente su acceso a unas autoridades y no al afectado, por lo tanto, se restringe el tratamiento, por ello, si se permite el acceso a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 datos de la parte reclamante, se estaría vulnerado dicho precepto al no encontrarse entre las excepciones. El recurrente secunda sus argumentos en una sentencia del 2006 en relación con la anterior normativa y señala la sanción ante una entidad por no bloquear los datos. Esta Agencia hace extensible el derecho de acceso al afectado por considerar que es mas garantista, sin entrar en el porqué de la decisión de cambio de criterio, lo que genera una inseguridad jurídica y un grave y efectivo perjuicio de los derechos de defensa de la entidad. Que la conducta del recurrente no deja en indefensión a la parte reclamante, precisamente por las condiciones a las que está sometida las obligaciones de bloqueo que, garantiza al afectado la protección de sus datos y en caso de necesidad, el acceso a los mismos, podrá hacerlo a través de una solicitud expresa ante las autoridades por exigencia de posibles responsabilidades derivadas del tratamiento. Que de acuerdo con los criterios establecidos en el art.
- 1º del Real Decreto 1720/ y la LOPD 15/1995 que, establece la obligación de facilitar al afectado los últimos seis meses, esto no contradice, no se opone o no resulta incompatible con lo dispuesto en la LOPDGDD. Del mismo modo la propia CIRBE se facilitan los datos de los últimos seis meses, aunque la norma que se aplica el derecho de acceso difiere de esta entidad por encontrarse regulados en el art. 65 de la Ley 44/2002, resulta claro que el espíritu de la norma y de los derechos y libertades de los interesados que esta trata de garantizar, son los mismos en uno y en otro. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. III En relación con las manifestaciones efectuadas por el recurrente, reiteran básicamente en las ya realizadas durante la tramitación del procedimiento ahora recurrido, debe señalarse que las mismas ya fueron analizadas y desestimadas en la resolución impugnada. La reclamada denegó la solicitud por encontrarse los datos de carácter personal bloqueados al haber dejado de ser necesarios para la finalidad que justificó su tratamiento, por lo que no es posible atender el derecho de acceso requerido. Como ya se dijo en la resolución ahora recurrida, cabe señalar que, cuando se ejercitan el derecho de acceso, no cabe aceptar que, con la realización de la supresión de los datos personales, amparándose en la normativa, se pretenda dejar sin respuesta el derecho de acceso ejercitado. Los datos personales sometidos a la modalidad del bloqueo no permiten su tratamiento, pero no implica que no se puedan poner a disposición del afectado los datos que se trataron en el fichero de solvencia patrimonial y crédito, por si de ello, puedan surgir responsabilidades derivadas de su tratamiento o por considerar que es más garantista poder facilitar los datos personales que se encuentran bloqueados para conocimiento de los interesados. Conforme a la normativa de protección de datos, la supresión de los datos según lo establecido en el artículo 32 de la LOPDGDD, debe llevarse a cabo mediante el bloqueo, por lo tanto, la supresión de los datos personales al haber dejado de ser necesarios para la finalidad que justificó su tratamiento no implicará automáticamente su borrado físico. Esta actuación está sometida a determinadas condiciones con las que se pretende asegurar y garantizar el derecho del afectado a la protección de sus datos de carácter personal. Los datos bloqueados quedarán a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas. Esta situación no implica que dichas autoridades puedan llevar a cabo un tratamiento de datos, sino que en el caso de una controversia o cualquier acción que se necesite llevar a cabo por las autoridades competentes en la materia, puedan conocer que datos disponían y el tratamiento que se llevó a cabo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 No obstante, los afectados para poder valorar una posible acción ante una autoridad o institución administrativa, judicial o simplemente conocer si se hizo o no un tratamiento conforme a la normativa en materia de protección de datos, pueda conocer y valorar el tratamiento que se llevó a cabo mientras perduro el mantenimiento de datos en el fichero del recurrente. Al igual que lo señalado up supra, facilitar los datos al afectado, no conlleva un tratamiento de los mismo, no se pide que se desbloqueen los datos, ya que una vez que finalizo el tratamiento para los fines que fueron recabados los datos deben ser bloqueados, lo que se requiere es que se facilite a la parte reclamante el acceso conforme a lo establecido en el art. 15 del RGPD. Esta Agencia no ha cambiado de criterio con relación a los derechos regulados en el RGPD; con el cambio normativo, resuelve las reclamaciones con la certeza jurídica y aplicación de los preceptos vigentes en materia de protección de datos, por lo que no se debe llevar a cabo una confusión de interpretación de la norma actual con la ya derogada. Es decir, el RGPD habilita el acceso a los datos bloqueados, que es lo que se indica en la resolución ahora recurrida. No hay un cambio de criterio sino la aplicación de una nueva normativa que engloba el acceso a los datos bloqueados. La actuación de la Agencia van encaminados a que los derechos del afectado quedan debidamente restaurados, conjugando la información obrante en el expediente con la normativa referida en materia de protección de datos y en su caso, con la normativa sectorial. Hay que señalar que todas las resoluciones de esta Agencia son recurribles ante los órganos judiciales, por ello, las decisiones tomadas en la resolución son siempre susceptibles de valoración por una instancia superior. Por todo lo expuesto, el recurso de reposición presentado por el recurrente no aporta hechos ni argumentos jurídicos nuevos que permitan reconsiderar la validez de la resolución impugnada, por lo que procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 22 de julio de 2021, en el expediente TD/00129/
- SEGUNDO: NOTIFICAR la presente resolución a ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. 186_170919 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es