TD-00551-2016

1/6 Procedimiento Nº: TD/00551/2016 RESOLUCIÓN Nº: R/02159/2016 Vista la reclamación formulada el 11 de marzo de 2016, ante esta Agencia, por Dña. A.A.A., contra el BANCO DE ESPAÑA (CIRBE), por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 8 de enero de 2016, Dña. A.A.A. (en lo sucesivo, la reclamante) ejercitó el derecho de cancelación de sus datos personales ante el BANCO DE ESPAÑA (CIRBE). SEGUNDO: En fecha 10 de febrero de 2016, el BANCO DE ESPAÑA (CIRBE) contestó a la solicitud de la reclamante informándole de lo manifestado por la entidad BANKIA, SA, y comunicándole que la Central de Información de Riesgos, al no ser la acreedora, no puede modificar los datos recibidos de las entidades, que son las responsables de su declaración y a quienes corresponde realizar cualquier rectificación. TERCERO: Con fecha 11 de marzo de 2016, Dña. A.A.A. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la entidad BANKIA SA, por no haber sido debidamente atendido su derecho de cancelación. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la entidad BANCO DE ESPAÑA (CIRBE) se pone de manifiesto que, mediante escrito de 10 de febrero de 2016, el departamento de Información Financiera y CIR del Banco de España informó a la reclamante de que Bankia, S.A. había dado respuesta a su reclamación, dándole traslado del contenido de la contestación formulada por dicha entidad de crédito, y que la CIR, al no ser la acreedora, no puede modificar los datos recibidos de las entidades, que son las responsables de su declaración y a quienes corresponde realizar cualquier rectificación. Que mediante escrito de 27 de abril de 2016, informó a la reclamante del contenido de la respuesta recibida de Bankia, S.A. (en contestación a su nuevo escrito de fecha 11 de marzo de 2016), dándole traslado del contenido del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 escrito de la entidad de crédito, y volvió a indicar a la reclamante que la CIR, al no ser la acreedora, no puede modificar los datos recibidos de las entidades, que son las responsables de su declaración y a quienes corresponde realizar cualquier rectificación. Que la entidad contra la que se reclama en el presente procedimiento de tutela del derecho de cancelación no es el Banco de España sino Bankia, S.A. Que el Banco de España ha tramitado correctamente la reclamación formulada por la reclamante, conforme al procedimiento previsto en el artículo 65 de la Ley 44/

1. Y que la norma cuarta.5 de la Circular 1/2013 establece que “la CIR no podrá modificar los datos declarados por las entidades declarantes, de los que estas son responsables y a las que corresponde enviar declaraciones complementarias con las rectificaciones o cancelaciones de los datos declarados”. Que el Banco de España ha de limitarse a tramitar la solicitud de rectificación o cancelación y a suspender toda cesión a terceros de los datos a los que se refiera esa solicitud, hasta que las entidades declarantes respondan a la solicitud de cancelación o rectificación tramitada a través del Banco de España y, en su caso, durante la prórroga que resulte de aplicación. Que basta con atender a los antecedentes de hecho expuestos previamente para concluir que el Banco de España ha cumplido con las obligaciones establecidas en la Ley 44/2002 y en su normativa de desarrollo. Que el Banco de España no tiene capacidad legal para llevar a cabo la cancelación de los datos solicitada por la reclamante. Que el Banco de España ha llevado a cabo aquellas actuaciones que tiene atribuidas por la Ley 44/2002 y su normativa de desarrollo en relación con la cancelación de los datos declarados a la CIR. • La reclamante alega que su reclamación al BE se basó en la respuesta de la CIR con un “copia y pega” de la respuesta de Bankia, SA, y que sobre el Derecho de Cancelación, no aporta documentación alguna a su ratificación del riesgo declarado a su nombre “justificadamente”. Que confirma la alegación del Banco de España sobre la reclamación y solicitud de Tutela de Derecho de Cancelación de la AEPD. Presunto Responsable: BANKIA, SA. Entendiendo la extensión por la reclamación efectuada al Banco de España de forma secundaria por ser y debido interlocutor necesario para el trámite de solicitud del Derecho de Cancelación contra Bankia SA principal demandado. Que hay que señalar que Bankia SA, afirma explícitamente en su escrito de 25/04/2016 que el préstamo “ha sido cancelado con fecha 01/12/2015” ante el BE y que la CIR afirma en su escrito de 10/05/2016, según actuación de Bankia SA, indicando que: “Dicho préstamo se mantuvo vivo hasta el 1 de Diciembre de 2015, siendo declarado por Bankia SA hasta ese momento”. Que requiera a Bankia SA a aportar justificación documental, fehaciente y legal de sus actuaciones y resuelva a su favor la reclamación de Derecho de Cancelación del riesgo declarado a su nombre al CIR por Bankia SA. CUARTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento, tal y como consta en el expediente que obra en esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde a la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16.1 y 2 de la LOPD, dispone: “
2. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días”. “
3. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.” CUARTO: El artículo 32.2 del Reglamento de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece: “
4. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo.” QUINTO: En el presente caso, la reclamante solicitó al BANCO DE ESPAÑA (DEPARTAMENTO DE INFORMACIÓN FINANCIERA Y CENTRAL DE RIESGOS) la cancelación de sus datos del fichero de la CIRBE (Central de Información de Riesgos del Banco de España), informados por la entidad BANKIA, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 El fichero CIRBE se encuentra regulado en la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, en cuyo artículo 59, apartado primero, se establece que “La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad; permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección; contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas”. Y en el apartado segundo del mismo artículo se atribuye la administración y gestión de la CIRBE al Banco de España. El artículo 60 de la citada norma establece, en su apartado primero, que “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos (...) Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Así pues el fichero CIRBE es de carácter público, y las entidades bancarias están obligadas a suministrar la información que le facilitan en los términos que se han señalado. Por ello, son éstas las responsables de la veracidad de la información que facilitan. El fichero CIRBE no es un fichero de solvencia patrimonial y crédito de los regulados por el artículo 29 de la LOPD, sino que su finalidad es distinta y se circunscribe a la evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad bancaria informante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes. SEXTO: En cuanto al derecho de cancelación, la citada Ley 44/2002, en su artículo 65, apartado segundo, establece: “Sin perjuicio de los derechos que asistan a las personas físicas, de acuerdo con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en sus normas de desarrollo, respecto a los datos de carácter personal incluidos en los ficheros de las entidades declarantes, todo titular de datos declarados a la CIR que considere que éstos son inexactos o incompletos podrá solicitar al Banco de España que tramite la rectificación o cancelación de los mismos ante las entidades declarantes, mediante escrito en el que se indiquen las razones y alcance de su petición. El Banco de España dará traslado inmediato de la solicitud recibida a la entidad o entidades declarantes de los datos supuestamente inexactos o incompletos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Las solicitudes remitidas por el Banco de España deberán ser contestadas y comunicadas por las entidades declarantes al afectado y a la CIR, en el plazo máximo de quince días hábiles a contar desde su recepción en cualquiera de sus oficinas. La decisión será motivada en el supuesto de que considere que no procede acceder a lo solicitado. Las personas físicas podrán formular contra las entidades declarantes la reclamación ante la Agencia Española de Protección de Datos a que se refiere el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, cuando las decisiones adoptadas conforme a lo previsto en el párrafo anterior no accedan a la rectificación o cancelación solicitada por el afectado, o no haya sido contestada su solicitud dentro del plazo previsto al efecto”. SÉPTIMO: En el supuesto aquí analizado, el BANCO DE ESPAÑA (CIRBE) una vez recibida la solicitud de cancelación de la reclamante, y conforme a las normas antes reseñadas, dio traslado inmediato de la solicitud recibida a la entidad declarante, bloqueando los datos hasta la resolución de la citada solicitud. Y tanto la entidad declarante como el Banco de España dieron contestación al derecho de cancelación ejercitado por la reclamante. Por otra parte, en relación a la alegación del BANCO DE ESPAÑA (CIRBE), de que la entidad contra la que se reclama, en el presente procedimiento de tutela del derecho de cancelación, no es el Banco de España sino Bankia, S.A., es preciso señalar que, si bien es cierto que la reclamante formula su reclamación contra Bankia, S.A., en dicha reclamación manifiesta, aportando la documentación que lo acredita, “Que habiendo reclamado a la CIR que requiriera a Caja Madrid-Bankia SA la anulación/cancelación del riesgo declarado a mi nombre …”, sin aportar ningún documento que acredite que ha ejercitado su derecho ante la entidad BANKIA, S.A. Por lo que no es posible iniciar un procedimiento de Tutela de Derechos contra una entidad ante la que no se ha ejercitado el derecho reclamado. Finalmente, la reclamante manifiesta en sus alegaciones, que Bankia SA afirma explícitamente en su escrito de 25/04/2016 que el préstamo “ha sido cancelado con fecha 01/12/2015” ante el BE, y que la CIR afirma en su escrito de 10/05/2016, que: “Dicho préstamo se mantuvo vivo hasta el 1 de Diciembre de 2015, siendo declarado por Bankia SA hasta ese momento”. Por lo que, el objeto de esta Tutela de Derecho no existía en la fecha en que se presentó la reclamación ante esta Agencia, aunque dicha circunstancia no le haya sido comunicada a la reclamante hasta los meses de abril y mayo de
5. A la vista de lo expuesto, procede desestimar la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 PRIMERO: DESESTIMAR la reclamación formulada por Dña. A.A.A. contra el BANCO DE ESPAÑA (CIRBE). SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A. y al BANCO DE ESPAÑA (CIRBE). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es