1/5 Procedimiento Nº: TD/00677/2015 RESOLUCIÓN Nº: R/01824/2015 Vista la reclamación formulada el 17 de febrero de 2015, ante esta Agencia, por D. A.A.A., contra el BANCO DE ESPAÑA (DEPARTAMENTO DE INFORMACIÓN FINANCIERA Y CENTRAL DE RIESGOS), por no haber sido debidamente atendido su derecho de cancelación. FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde al Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que. “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16.1 y 2 de la LOPD, dispone: “
- El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días”. “
- Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.” CUARTO: En el presente caso, el reclamante solicitó al BANCO DE ESPAÑA (DEPARTAMENTO DE INFORMACIÓN FINANCIERA Y CENTRAL DE RIESGOS) la cancelación de sus datos del fichero de la CIRBE (Central de Información de Riesgos del Banco de España), informados por ING DIRECT, N.V., Suc. Esp. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 El fichero CIRBE se encuentra regulado en la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, en cuyo artículo 59, apartado primero, se establece que “La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad; permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección; contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas”. Y en el apartado segundo del mismo artículo se atribuye la administración y gestión de la CIRBE al Banco de España. El artículo 60 de la citada norma establece, en su apartado primero, que “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos (...) Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Así pues, el fichero CIRBE es de carácter público, y las entidades bancarias están obligadas a suministrar la información que le facilitan en los términos que se han señalado. Por ello, son éstas las responsables de la veracidad de la información que facilitan. El fichero CIRBE no es un fichero de solvencia patrimonial y crédito de los regulados por el artículo 29 de la LOPD, sino que su finalidad es distinta y se circunscribe a la evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad bancaria informante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes. QUINTO: En cuanto al derecho de cancelación, la citada Ley 44/2002, en su artículo 65, apartado segundo, establece: “Sin perjuicio de los derechos que asistan a las personas físicas, de acuerdo con lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, y en sus normas de desarrollo, respecto a los datos de carácter personal incluidos en los ficheros de las entidades declarantes, todo titular de datos declarados a la CIR que considere que éstos son inexactos o incompletos podrá solicitar al Banco de España que tramite la rectificación o cancelación de los mismos ante las entidades declarantes, mediante escrito en el que se indiquen las razones y alcance de su petición. El Banco de España dará traslado inmediato de la solicitud recibida a la entidad o entidades declarantes de los datos supuestamente inexactos o incompletos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Las solicitudes remitidas por el Banco de España deberán ser contestadas y comunicadas por las entidades declarantes al afectado y a la CIR, en el plazo máximo de quince días hábiles a contar desde su recepción en cualquiera de sus oficinas. La decisión será motivada en el supuesto de que considere que no procede acceder a lo solicitado. Las personas físicas podrán formular contra las entidades declarantes la reclamación ante la Agencia Española de Protección de Datos a que se refiere el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, cuando las decisiones adoptadas conforme a lo previsto en el párrafo anterior no accedan a la rectificación o cancelación solicitada por el afectado, o no haya sido contestada su solicitud dentro del plazo previsto al efecto”. SEXTO: Y el artículo 66 de la Ley 44/2002, sobre suspensión de las cesiones de datos y rectificación o cancelación de los datos declarados, dispone: “Primero. En tanto las entidades declarantes dan respuesta a la solicitud de rectificación o cancelación presentada a través del Banco de España conforme a lo previsto en el apartado segundo del artículo precedente, el Banco de España suspenderá toda cesión a terceros de los datos sobre los que verse la solicitud, así como de los congruentes con ellos que hayan sido registrados en la CIR con motivo de declaraciones anteriores y posteriores. La suspensión procederá igualmente, y con idéntica extensión, en el supuesto de que se hubiere acreditado ante el Banco de España la admisión a trámite de cualquier acción judicial que se dirija a declarar la inexactitud de los datos declarados, o se hubiere recibido de la Agencia de Protección de Datos la comunicación a que se refiere el apartado cuarto del artículo anterior. En el mismo supuesto, el Banco de España comunicará la suspensión a los terceros a los que, durante los seis meses anteriores a la fecha de la misma, se hubieren cedido los datos afectados y los congruentes con éstos. Segundo. La suspensión cesará a partir de que la CIR reciba de la entidad declarante la comunicación a que se refiere el segundo párrafo del apartado segundo del artículo anterior, salvo que se trate de contestaciones desestimatorias, en cuyo caso el Banco de España prorrogará por dos meses más la suspensión citada, ello sin perjuicio de la aplicación de lo previsto en el segundo párrafo del apartado anterior. También cesará la suspensión cuando el Banco de España tenga constancia de la sentencia firme o la resolución acordada al respecto por la Agencia de Protección de Datos, una vez rectificados o cancelados, en su caso, los datos, según se establece en el apartado siguiente. Tercero. Las rectificaciones o cancelaciones acordadas por la Agencia de Protección de Datos, o las resultantes de sentencia judicial, obligarán a la entidad declarante a rectificar o cancelar igualmente, con arreglo al alcance de la correspondiente resolución o sentencia, los datos congruentes con los rectificados o cancelados que se contengan en otras declaraciones a la CIR. Dichos acuerdos o sentencias se tendrán en cuenta en las sucesivas declaraciones que se remitan. Cuarto. Los datos objeto de rectificación o cancelación, así como los que los sustituyan, serán comunicados por el Banco de España a los terceros a los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 hubieren cedido. Quinto. Según lo previsto en el apartado 3 del artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, la cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a su supresión.” SÉPTIMO: En el supuesto aquí analizado, el BANCO DE ESPAÑA (DEPARTAMENTO DE INFORMACIÓN FINANCIERA Y CENTRAL DE RIESGOS) luego de recibidas las solicitudes de cancelación del reclamante, y conforme a las normas antes reseñadas, contestó a su derecho de cancelación, informándole de que, como establece el art. 66 de la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, si se justifica la admisión a trámite de cualquier acción judicial que se dirija a declarar la inexactitud de los datos objeto de la controversia, la Central de Riesgos procedería al bloqueo de los mismos hasta que se tenga constancia de sentencia firme; y para que la C.I.R. pueda proceder a dicho bloqueo, deberá enviar copia completa de la demanda junto con el auto de admisión a trámite, una vez que ésta se haya producido. Pues bien, el reclamante no acredita haber aportado la documentación requerida por el Banco de España para poder bloquear sus datos en el fichero CIRBE. Por otra parte, manifiesta el reclamante que existe contradicción con otra respuesta dada con anterioridad, ya que basándose en el mismo artículo 66 de la Ley 44/2002, en ese caso sí procedió a bloquear los datos, aportando la misma documentación. En este sentido, esta Agencia no puede entrar a valorar la documentación aportada, pues no consta en este expediente. Sin embargo, tras la lectura de ambas respuestas, no se advierte ninguna contradicción, ya que en el caso anterior se refiere a un procedimiento judicial iniciado y en el supuesto que nos ocupa, no se ha acreditado que la demanda haya sido admitida a trámite. A la vista de lo expuesto, procede inadmitir la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por D. A.A.A. contra el BANCO DE ESPAÑA (DEPARTAMENTO DE INFORMACIÓN FINANCIERA Y CENTRAL DE RIESGOS). SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es