1/7 Procedimiento Nº: TD/00621/2016 RESOLUCIÓN Nº: R/02140/2016 Vista la reclamación formulada el 11 de marzo de 2016, ante esta Agencia, por Dña. A.A.A., contra el BANCO DE ESPAÑA (CIRBE), por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 8 de enero de 2016, Dña. A.A.A. (en lo sucesivo, la reclamante) ejercitó el derecho de acceso a sus datos personales ante el BANCO DE ESPAÑA (CIRBE). SEGUNDO: En fecha 10 de febrero de 2016, el BANCO DE ESPAÑA (CIRBE) contestó a la solicitud de la reclamante informándole de lo manifestado por la entidad BANKIA, SA, y comunicándole que no era posible facilitarle la información que solicitaba, ya que la información sobre la que los titulares de riesgos puede ejercitar los derechos de acceso, rectificación y cancelación, es la que se facilita en el Informe de Riesgos y que actualmente viene regulada por la Circular 3/1995. TERCERO: Con fecha 11 de marzo de 2016, Dña. A.A.A. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra el BANCO DE ESPAÑA (CIRBE), por no haber sido debidamente atendido su derecho de acceso. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte del BANCO DE ESPAÑA (CIRBE) se pone de manifiesto que mediante escrito de 10 de febrero de 2016, el departamento de Información Financiera y CIR del Banco de España informó a la reclamante de que Bankia, S.A. había dado respuesta a su reclamación, dándole traslado del contenido de la contestación formulada por dicha entidad de crédito, y que no resultaba posible proporcionarle los datos solicitados en el apartado “B/Alcance de la solicitud”, puesto que todas las declaraciones de riesgos objeto de controversia habían sido efectuadas por las entidades declarantes conforme a lo previsto en la Circular del Banco de España 3/1995 (que no recogía los módulos de información por los que se interesaba la reclamante). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Que mediante escrito de 27 de abril de 2016, informó a la reclamante del contenido de la respuesta recibida de Bankia, S.A. (en contestación a su nuevo escrito de fecha 11 de marzo de 2016), y volvió a indicar a la reclamante que no resultaba posible proporcionarle los datos solicitados en el apartado “B/Alcance de la solicitud” de su escrito de 8 de enero de 2016, pues las declaraciones objeto de controversia no habían sido efectuadas por las entidades conforme a lo previsto en la Circular 1/2013 sino según lo regulado en la Circular del Banco de España 3/1995. Que la reclamante actualmente puede acceder de forma gratuita a toda la información que está a su nombre en la CIR de tres formas: (
- i)telemáticamente a través de la Oficina Virtual del Banco de España; (
- ii)personalmente en las oficinas de la CIR en Madrid o ante cualquiera de las sucursales del Banco de España y (iii) mediante solicitud escrita dirigida a la CIR de Madrid. Que ha facilitado todos y cada uno de los informes que la reclamante ha solicitado telemáticamente, a través de la Oficina Virtual del Banco de España, entre el 1 de diciembre de 2015 y el 1 de abril de 2016, cumpliendo el plazo de diez días hábiles previsto en el artículo 65 de la Ley 44/2002. Que procedió, una vez recibidas las dos solicitudes formuladas por la reclamante de acceso a los módulos de riesgos previstos en la Circular 1/2013 en relación con las cuatro declaraciones de riesgos efectuadas entre noviembre de 2009 y octubre de 2015, a aclarar a la reclamante, mediante escritos de 10 de febrero y 27 de abril de 2016, que no era posible proporcionar la referida información puesto que las citadas declaraciones fueron efectuadas conforme al procedimiento de declaración previsto en la Circular 3/1995. Que el Banco de España no puede proporcionar a la reclamante la información por ella solicitada, como resulta del tenor literal del artículo 65 de la Ley 44/2002 y de la disposición transitoria primera de la Circular 1/2013. Que el Banco de España ha llevado a cabo aquellas actuaciones que tiene atribuidas por la Ley 44/2002 y su normativa de desarrollo en relación con el acceso de los titulares a los datos declarados por las entidades a la CIR, habiendo facilitado a la reclamante todos los informes de riesgos que ha solicitado. • La reclamante alega que su reclamación al BE se basó en la respuesta de la CIR con un copia y pega de la respuesta de Bankia SA, en la que una vez requerida no responde mínimamente, ni siquiera por alusión a la reclamación del Derecho de Acceso con omisión total a la información solicitada que es sencilla, concreta y específica, recogida en B/Alcance de la solicitud del Derecho de Acceso, que solicitó a Bankia SA a través del CIR, siendo incomprensible que únicamente se limiten a notificarle reiteradamente que en base a la Ley 3/1995 la CIR no puede facilitarle datos que no han sido solicitados al CIR, sin indicación alguna a si Bankia SA, ha realizado alguna declaración al respecto o expresamente, ha omitido totalmente la información requerida en la reclamación del Derecho al Acceso hasta la fecha. Que en esta ocasión (27/04/2016) tanto el CIR como Bankia SA, le remite en su escrito la aceptación de la falsedad de Bankia SA que la califica como un simple y mero error cuando supone implicaciones gravísimas, que debió provocar, en esta ocasión sí, el requerimiento de documentación que demostrara el riesgo declarado a su nombre justificadamente. Que la cuanto menos extraña suma de errores y omisiones de Bankia SA le hace C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 solicitar encarecidamente a la AEPD, reconvenga a Bankia SA como tutela judicial en su defensa, a presentar certificado de cancelación y de saldo 0 del préstamo nº………… para la constatación y justificación de sus actos propios, dándose traslado del mismo al CIR dadas las continuas justificaciones falsas por escrito de Bankia SA y omisiones del derecho de Acceso ante el Banco de España. Que requiera y reconvenga a Bankia SA a aportar justificación documental, fehaciente y legal de sus actuaciones. CUARTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento, tal y como consta en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde a la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD, dispone: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes. ” CUARTO: En el supuesto aquí analizado, la reclamante solicitó al BANCO DE ESPAÑA (CIRBE) el acceso a sus datos personales, declarados a la CIR por la entidad BANKIA, S.A. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El fichero CIRBE se encuentra regulado en la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, en cuyo artículo 59, apartado primero, se establece que “La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad; permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección; contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas”. Y en el apartado segundo del mismo artículo se atribuye la administración y gestión de la CIRBE al Banco de España. El artículo 60 de la citada norma establece, en su apartado primero, que “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos (...) Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Así pues el fichero CIRBE es de carácter público, y las entidades bancarias están obligadas a suministrar la información que le facilitan en los términos que se han señalado. Por ello, son éstas las responsables de la veracidad de la información que facilitan. El fichero CIRBE no es un fichero de solvencia patrimonial y crédito de los regulados por el artículo 29 de la LOPD, sino que su finalidad es distinta y se circunscribe a la evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad bancaria informante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes. QUINTO: En cuanto al derecho de acceso la citada Ley 44/2002, en su artículo 65, apartado primero, establece: “Cualquier persona, física o jurídica, que figure como titular de un riesgo declarable a la CIR, podrá acceder a toda la información que le afecte, salvo aquellos datos aportados por las entidades declarantes exclusivamente en cumplimiento de las obligaciones de información que establezca el Banco de España en el ejercicio de sus funciones de supervisión e inspección y demás funciones que tiene legamente atribuidas. Las personas físicas podrán igualmente solicitar el nombre y dirección de los cesionarios a los que la CIR haya comunicado sus datos durante los últimos seis meses así como las cesiones de los mismos que vayan a realizarse. La información sobre los cesionarios se acompañará de una copia de los datos cedidos en cada caso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Cuando todos los datos de un titular hayan sido aportados a la CIR exclusivamente en cumplimiento de las obligaciones de información que establezca el Banco de España en el ejercicio de sus funciones de supervisión e inspección y demás funciones que tiene legamente atribuidas, el titular podrá acceder únicamente al nombre de las entidades que hayan declarado los riesgos a fin de que puedan ejercer el derecho de acceso ante ellas. La solicitud de acceso podrá realizarse por cualquier medio que asegure la identificación y, en su caso, título del peticionario, correspondiendo al Banco de España fijar los procedimientos que los aseguren y el sistema de consulta, sin menoscabo, en lo que se refiere a las personas físicas, del régimen de tutela del derecho de acceso, y de las limitaciones a su ejercicio, previstos en el artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos interesados deberán facilitarse al peticionario en el plazo máximo de diez días hábiles desde la recepción de la solicitud en el Banco de España.” SEXTO: En el presente caso, el BANCO DE ESPAÑA (CIRBE) una vez recibida la solicitud de acceso de la reclamante, y conforme a las normas antes reseñadas, dio traslado inmediato de dicha solicitud a la entidad declarante. Y tanto la entidad declarante como el Banco de España dieron contestación al derecho de acceso ejercitado por la reclamante. Sin embargo, la reclamante manifiesta a esta Agencia que el acceso es incompleto, al no constar los datos precisos y concretos declarados del préstamo, impidiéndole tener acceso a la información en la que se encuentra la justificación del préstamo hipotecario. No obstante, durante la tramitación del presente procedimiento, el BANCO DE ESPAÑA (CIRBE) ha atendido el derecho de acceso solicitado, aportando la documentación remitida por la entidad declarante, en la que se acredita la subrogación de la reclamante en el préstamo hipotecario. Por otra parte, en relación a lo manifestado por la reclamante en sus alegaciones, respecto a que se reconvenga a la entidad declarante (BANKIA, S.A.) a presentar “certificado de cancelación o de saldo 0” del préstamo, es preciso señalar que su reclamación se ha interpuesto contra el BANCO DE ESPAÑA (CIRBE), por lo que esta Agencia no puede, en este procedimiento, requerir a la entidad BANKIA, S.A. ningún dato personal de la reclamante, y que el acceso a documentos concretos no forma parte del contenido del derecho de acceso, como dispone el artículo 15.1 de la LOPD, anteriormente transcrito, y el 29.3 de su Reglamento, cuando señala: “3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". Así, el derecho de acceso previsto en la LOPD consiste en obtener información de los datos personales de base registrados, pero no ampara el acceso a documentos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 concretos. Ello con independencia de que otra normativa ampare la obtención de dicha documentación, como son, entre otros, el Real Decreto Legislativo 1/2007, por el que se aprueba la Ley General para la Defensa de los Consumidores y Usuarios, la Circular 8/1990 del Banco de España de transparencia de las operaciones y protección de la clientela, la Ley 7/1993, sobre condiciones generales de contratación o la Ley 22/2007, de comercialización a distancia de productos financieros destinados a los consumidores. Las reclamaciones en estos supuestos se deberán dirigir a las instancias competentes. A la vista de lo expuesto, procede estimar, por motivos formales, la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR, por motivos formales, la reclamación formulada por Dña. A.A.A. contra el BANCO DE ESPAÑA (CIRBE). No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haber facilitado a la reclamante el acceso a sus datos durante la tramitación del presente procedimiento de Tutela de Derechos. SEGUNDO: NOTIFICAR la presente resolución a Dña. ESPAÑA (CIRBE). A.A.A. y al BANCO DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es