1/8 Procedimiento nº.: TD/00621/2016 ASUNTO: Recurso de Reposición Nº RR/00709/2016 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente, TD/00621/2016, y en base a los siguientes, HECHOS PRIMERO: Con fecha 2 de septiembre de 2016, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente, TD/00621/2016 , en la que se acordó ESTIMAR, por motivos formales, la reclamación formulada por Dª. A.A.A. contra el BANCO DE ESPAÑA (CIRBE), no obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haber facilitado a la reclamante el acceso a sus datos durante la tramitación del presente procedimiento de Tutela de Derechos. SEGUNDO: En el procedimiento que dio lugar a la Resolución impugnada se tuvieron por probados los siguientes hechos: Por parte del BANCO DE ESPAÑA (CIRBE) se pone de manifiesto que mediante escrito de 10 de febrero de 2016, el departamento de Información Financiera y CIR del Banco de España informó a la reclamante de que Bankia, S.A. había dado respuesta a su reclamación, dándole traslado del contenido de la contestación formulada por dicha entidad de crédito, y que no resultaba posible proporcionarle los datos solicitados en el apartado “B/Alcance de la solicitud”, puesto que todas las declaraciones de riesgos objeto de controversia habían sido efectuadas por las entidades declarantes conforme a lo previsto en la Circular del Banco de España 3/1995 (que no recogía los módulos de información por los que se interesaba la reclamante). Que mediante escrito de 27 de abril de 2016, informó a la reclamante del contenido de la respuesta recibida de Bankia, S.A. (en contestación a su nuevo escrito de fecha 11 de marzo de 2016), y volvió a indicar a la reclamante que no resultaba posible proporcionarle los datos solicitados en el apartado “B/Alcance de la solicitud” de su escrito de 8 de enero de 2016, pues las declaraciones objeto de controversia no habían sido efectuadas por las entidades conforme a lo previsto en la Circular 1/2013 sino según lo regulado en la Circular del Banco de España 3/1995. Que la reclamante actualmente puede acceder de forma gratuita a toda la información que está a su nombre en la CIR de tres formas: (
- i)telemáticamente a través de la Oficina Virtual del Banco de España; (
- ii)personalmente en las oficinas de la CIR en Madrid o ante cualquiera de las sucursales del Banco de España y (iii) mediante solicitud escrita dirigida a la CIR de Madrid. Que ha facilitado todos y cada uno de los informes que la reclamante ha solicitado telemáticamente, a través de la Oficina Virtual del Banco de España, entre el 1 de diciembre de 2015 y el 1 de abril de 2016, cumpliendo el plazo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 diez días hábiles previsto en el artículo 65 de la Ley 44/2002. Que procedió, una vez recibidas las dos solicitudes formuladas por la reclamante de acceso a los módulos de riesgos previstos en la Circular 1/2013 en relación con las cuatro declaraciones de riesgos efectuadas entre noviembre de 2009 y octubre de 2015, a aclarar a la reclamante, mediante escritos de 10 de febrero y 27 de abril de 2016, que no era posible proporcionar la referida información puesto que las citadas declaraciones fueron efectuadas conforme al procedimiento de declaración previsto en la Circular 3/1995. Que el Banco de España no puede proporcionar a la reclamante la información por ella solicitada, como resulta del tenor literal del artículo 65 de la Ley 44/2002 y de la disposición transitoria primera de la Circular 1/2013. Que el Banco de España ha llevado a cabo aquellas actuaciones que tiene atribuidas por la Ley 44/2002 y su normativa de desarrollo en relación con el acceso de los titulares a los datos declarados por las entidades a la CIR, habiendo facilitado a la reclamante todos los informes de riesgos que ha solicitado. La reclamante alega que su reclamación al BE se basó en la respuesta de la CIR con un copia y pega de la respuesta de Bankia SA, en la que una vez requerida no responde mínimamente, ni siquiera por alusión a la reclamación del Derecho de Acceso con omisión total a la información solicitada que es sencilla, concreta y específica, recogida en B/Alcance de la solicitud del Derecho de Acceso, que solicitó a Bankia SA a través del CIR, siendo incomprensible que únicamente se limiten a notificarle reiteradamente que en base a la Ley 3/1995 la CIR no puede facilitarle datos que no han sido solicitados al CIR, sin indicación alguna a si Bankia SA, ha realizado alguna declaración al respecto o expresamente, ha omitido totalmente la información requerida en la reclamación del Derecho al Acceso hasta la fecha. Que en esta ocasión (27/04/2016) tanto el CIR como Bankia SA, le remite en su escrito la aceptación de la falsedad de Bankia SA que la califica como un simple y mero error cuando supone implicaciones gravísimas, que debió provocar, en esta ocasión sí, el requerimiento de documentación que demostrara el riesgo declarado a su nombre justificadamente. Que la cuanto menos extraña suma de errores y omisiones de Bankia SA le hace solicitar encarecidamente a la AEPD, reconvenga a Bankia SA como tutela judicial en su defensa, a presentar certificado de cancelación y de saldo 0 del préstamo nº………… para la constatación y justificación de sus actos propios, dándose traslado del mismo al CIR dadas las continuas justificaciones falsas por escrito de Bankia SA y omisiones del derecho de Acceso ante el Banco de España. Que requiera y reconvenga a Bankia SA a aportar justificación documental, fehaciente y legal de sus actuaciones. Dichos hechos dieron lugar a la citada resolución estimatoria por motivos formales en base a los siguientes ARGUMENTOS En el presente caso, el Banco de España (CIRBE) una vez recibida la solicitud de acceso de la reclamante, y conforme a las normas antes reseñadas, dio traslado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 inmediato de dicha solicitud a la entidad declarante. Y tanto la entidad declarante como el Banco de España dieron contestación al derecho de acceso ejercitado por la reclamante. Sin embargo, la reclamante manifiesta a esta Agencia que el acceso es incompleto, al no constar los datos precisos y concretos declarados del préstamo, impidiéndole tener acceso a la información en la que se encuentra la justificación del préstamo hipotecario. No obstante, durante la tramitación del presente procedimiento, el Banco de España (CIRBE) ha atendido el derecho de acceso solicitado, aportando la documentación remitida por la entidad declarante, en la que se acredita la subrogación de la reclamante en el préstamo hipotecario. Por otra parte, en relación a lo manifestado por la reclamante en sus alegaciones, respecto a que se reconvenga a la entidad declarante (BANKIA, S.A.) a presentar “certificado de cancelación o de saldo 0” del préstamo, es preciso señalar que su reclamación se ha interpuesto contra el BANCO DE ESPAÑA (CIRBE), por lo que esta Agencia no puede, en este procedimiento, requerir a la entidad BANKIA, S.A. ningún dato personal de la reclamante, y que el acceso a documentos concretos no forma parte del contenido del derecho de acceso, como dispone el artículo 15.1 de la LOPD, anteriormente transcrito, y el 29.3 de su Reglamento, cuando señala: “3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". Así, el derecho de acceso previsto en la LOPD consiste en obtener información de los datos personales de base registrados, pero no ampara el acceso a documentos concretos. Ello con independencia de que otra normativa ampare la obtención de dicha documentación, como son, entre otros, el Real Decreto Legislativo 1/2007, por el que se aprueba la Ley General para la Defensa de los Consumidores y Usuarios, la Circular 8/1990 del Banco de España de transparencia de las operaciones y protección de la clientela, la Ley 7/1993, sobre condiciones generales de contratación o la Ley 22/2007, de comercialización a distancia de productos financieros destinados a los consumidores. Las reclamaciones en estos supuestos se deberán dirigir a las instancias competentes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 TERCERO: La resolución ahora recurrida fue notificada fehacientemente a A.A.A. el 16 de septiembre de 2016, presentándose por la parte recurrente recurso de reposición en el Servicio de Correos el 15 de octubre de 2016 , con entrada en esta Agencia el siguiente día 19, en que , en resumen, reitera se estimen la reclamación, no solo por motivos formales, contra BANKIA y la CIR BE y contesten a su reclamación del derecho de acceso: CUARTO: Con fecha 15 de febrero de 2017, la reclamante solicita contestación al recurso de reposición formulado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Este Recurso de Reposición se resuelve extemporáneamente y se emite resolución expresa a tenor de los artículos 21.1 párrafo primero, 123.1 y 124.2 de la LPACAP. “Artículo 21. Obligación de resolver 1. La Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación.” Artículo 123. Objeto y naturaleza. 1. Los actos administrativos que pongan fin a la vía administrativa podrán ser recurridos potestativamente en reposición ante el mismo órgano que los hubiera dictado o ser impugnados directamente ante el orden jurisdiccional contencioso-administrativo. Artículo 124. Plazos. 2. El plazo máximo para dictar y notificar la resolución del recurso será de un mes.” III En la Resolución ahora impugnada ya se advertía suficientemente sobre el alcance de las normas contenidas en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), y en el Real Decreto 1332/1994, de 20 de junio, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, que continúa en vigor de conformidad con lo establecido en la disposición transitoria tercera de la citada LOPD, así como en la Instrucción 1/1998, de 19 de enero, de la Agencia Española de Protección de Datos, relativa al ejercicio de los derechos de acceso, rectificación y cancelación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 En el supuesto aquí analizado, la reclamante solicitó al BANCO DE ESPAÑA (CIRBE) el acceso a sus datos personales, declarados a la CIR por la entidad BANKIA,., habiéndose dictado por esta Agencia resoluciones sobre la cuestión ahora tratada en los procedimientos de recursos de Reposición, RR//00600/2016b y 706/2016 El fichero CIRBE se encuentra regulado en la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, en cuyo artículo 59, apartado primero, se establece que “La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad; permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección; contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas”. Y en el apartado segundo del mismo artículo se atribuye la administración y gestión de la CIRBE al Banco de España. El artículo 60 de la citada norma establece, en su apartado primero, que “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos (...) Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Así pues el fichero CIRBE es de carácter público, y las entidades bancarias están obligadas a suministrar la información que le facilitan en los términos que se han señalado. Por ello, son éstas las responsables de la veracidad de la información que facilitan. El fichero CIRBE no es un fichero de solvencia patrimonial y crédito de los regulados por el artículo 29 de la LOPD, sino que su finalidad es distinta y se circunscribe a la evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad bancaria informante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes. En cuanto al derecho de acceso la citada Ley 44/2002, en su artículo 65, apartado primero, establece: “Cualquier persona, física o jurídica, que figure como titular de un riesgo declarable a la CIR, podrá acceder a toda la información que le afecte, salvo aquellos datos aportados por las entidades declarantes exclusivamente en cumplimiento de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 obligaciones de información que establezca el Banco de España en el ejercicio de sus funciones de supervisión e inspección y demás funciones que tiene legamente atribuidas. Las personas físicas podrán igualmente solicitar el nombre y dirección de los cesionarios a los que la CIR haya comunicado sus datos durante los últimos seis meses así como las cesiones de los mismos que vayan a realizarse. La información sobre los cesionarios se acompañará de una copia de los datos cedidos en cada caso. Cuando todos los datos de un titular hayan sido aportados a la CIR exclusivamente en cumplimiento de las obligaciones de información que establezca el Banco de España en el ejercicio de sus funciones de supervisión e inspección y demás funciones que tiene legamente atribuidas, el titular podrá acceder únicamente al nombre de las entidades que hayan declarado los riesgos a fin de que puedan ejercer el derecho de acceso ante ellas. La solicitud de acceso podrá realizarse por cualquier medio que asegure la identificación y, en su caso, título del peticionario, correspondiendo al Banco de España fijar los procedimientos que los aseguren y el sistema de consulta, sin menoscabo, en lo que se refiere a las personas físicas, del régimen de tutela del derecho de acceso, y de las limitaciones a su ejercicio, previstos en el artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos interesados deberán facilitarse al peticionario en el plazo máximo de diez días hábiles desde la recepción de la solicitud en el Banco de España.” IV Tal y como se recoge en el Hecho segundo del presente escrito, el Banco de España –CIRBE- una vez recibida la solicitud de acceso de la reclamante, y conforme a las normas dio traslado inmediato de dicha solicitud a la entidad declarante y tanto la entidad declarante como el Banco de España dieron contestación al derecho de acceso ejercitado por la reclamante y, por tanto ha atendido el derecho de acceso solicitado, como lo justifica, además la documentación remitida por la entidad declarante, en la que se acredita la subrogación de la reclamante en el préstamo hipotecario, acceso a documentos concretos que no forma parte del contenido del derecho de acceso, como dispone el artículo 15.1 de la LOPD, anteriormente transcrito, y el 29.3 de su Reglamento, cuando señala: “3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". Pues, el derecho de acceso previsto en la LOPD consiste en obtener información de los datos personales de base registrados, pero no ampara el acceso a documentos concretos. Ello con independencia de que otra normativa ampare la obtención de dicha documentación, como son, entre otros, el Real Decreto Legislativo 1/2007, por el que se aprueba la Ley General para la Defensa de los Consumidores y Usuarios, la Circular 8/1990 del Banco de España de transparencia de las operaciones y protección de la clientela, la Ley 7/1993, sobre condiciones generales de contratación o la Ley 22/2007, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 de comercialización a distancia de productos financieros destinados a los consumidores. Las reclamaciones en estos supuestos se deberán dirigir a las instancias competentes. A mayor abundamiento, señalar que el contenido de los derechos de acceso y cancelación ejercitados ante BANKIA, se encontraban fuera de las competencias atribuidas a esta Agencia al consistir en que la Agencia se pronuncie sobre la legalidad de un préstamo hipotecario que es notificado como riesgo a la CIRBE, no encontrándose su valoración entre las competencias atribuidas a esta Agencia, pudiéndose lo mismo, afirmar de las reclamaciones sobre la actuación de la CIR y del Banco de España. IV No habiéndose aportado nuevos hechos o fundamentos que hagan reconsiderar la resolución impugnada y obtenida la pretensión de la cancelación del riesgo comunicado por BANKIA a la CIR del Banco de España, procede la desestimación del recurso Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª. A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 2 de septiembre de 2016, en el expediente TD/00621/2016, que desestima la reclamación de tutela de derechos formulada . SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es