TD-00687-2017

1/4 Procedimiento Nº: TD/00687/2017 RESOLUCIÓN Nº: R/01162/2017 Vista la reclamación formulada por Don B.B.B.,(a partir de ahora reclamante), contra BANCO DE ESPAÑA, (titular del fichero), con fecha de entrada en esta Agencia de 16 de febrero de 2017, por no haber sido atendido su derecho de cancelación, y en base a los siguientes: HECHOS PRIMERO: Con fecha 9 de agosto de 2016, 5 de septiembre de 2016 y 13 de enero de 2017, según documentación aportada por el reclamante, solicita al BANCO DE ESPAÑA: “…solicita la suspensión de cesión de datos declarado a terceros, hasta tanto se resuelva el litigio judicial que contra la entidad bancaria…” “…Que se me digne a informar del histórico de datos de los últimos 6 meses…” “…En conversación telefónica con la central de riesgo (CIR), me contestan que el banco (CAJASUR BBK) se reafirma debiéndome CAJASUR BBK mis ayudas estatales …” SEGUNDO: Con fecha 5 de septiembre de 2016, 23 de septiembre de 2016 y 26 de enero de 2017, según documentación aportada, el BANCO DE ESPAÑA envía respuesta a cada una de las solicitudes del reclamante, además le comunica: “…Dado que hasta la fecha no ha aportado el auto de admisión a trámite de su demanda contra la entidad no procede acordar la suspensión de la cesión de los datos declarados…” FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde a la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16.1 de la LOPD dispone que “El responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días”. Añadiendo el apartado 2 del citado artículo que, “Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos.” CUARTO: En el presente caso, el reclamante solicitó al BANCO DE ESPAÑA la cancelación de sus datos del fichero de la CIRBE, informados por CAJASUR BANCO, S.A.. El fichero CIRBE se encuentra regulado en la Ley 44/2002, de 22 de noviembre, de Medidas de Reforma del Sistema Financiero, en cuyo artículo 59, apartado primero, se establece que “La Central de Información de Riesgos (en adelante CIR) es un servicio público que tiene por finalidad recabar de las entidades declarantes a que se refiere el apartado primero del artículo siguiente, datos e informaciones sobre los riesgos de crédito, para facilitar a las entidades declarantes datos necesarios para el ejercicio de su actividad; permitir a las autoridades competentes para la supervisión prudencial de dichas entidades el adecuado ejercicio de sus competencias de supervisión e inspección; contribuir al correcto desarrollo de las restantes funciones que el Banco de España tiene legalmente atribuidas”. Y en el apartado segundo del mismo artículo se atribuye la administración y gestión de la CIRBE al Banco de España. El artículo 60 de la citada norma establece, en su apartado primero, que “Tendrán la consideración de entidades declarantes, a los efectos de la presente Ley, las siguientes: el Banco de España, las entidades de crédito españolas, las sucursales en España de las entidades de crédito extranjeras, los fondos de garantía de depósitos, las sociedades de garantía recíproca y de reafianzamiento, aquellas otras entidades que determine el Ministerio de Economía a propuesta del Banco España”. Añadiendo el apartado segundo que “Las entidades declarantes estarán obligadas a proporcionar a la CIR los datos necesarios para identificar a las personas con quienes se mantengan, directa o indirectamente, riesgos de crédito, así como las características de dichas personas y riesgos, incluyendo, en particular, las que afecten al importe y la recuperabilidad de éstos (...) Entre los datos a los que se refiere el párrafo anterior se incluirán aquellos que reflejen una situación de incumplimiento, por la contraparte, de sus obligaciones frente a la entidad declarante, así como los que pongan de manifiesto una situación en la cual la entidad estuviera obligada a dotar una provisión específica en cobertura de riesgo de crédito, según lo previsto en las normas de contabilidad que le sean de aplicación”. Así pues el fichero CIRBE es de carácter público, y las entidades bancarias están obligadas a suministrar la información que le facilitan en los términos que se han señalado. Por ello, son éstas las responsables de la veracidad de la información que facilitan. El fichero CIRBE no es un fichero de solvencia patrimonial y crédito de los regulados por el artículo 29 de la LOPD, sino que su finalidad es distinta y se circunscribe a la evaluación de riesgos asumidos por las entidades financieras y bancarias, siendo la entidad bancaria informante de los datos la única que tiene la posibilidad de conocer los riesgos asumidos por sus clientes. QUINTO: En cuanto al derecho de cancelación la citada Ley 44/2002, en su artículo 65, apartado segundo, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 “Cualquier persona, física o jurídica, que figure como titular de un riesgo declarable a la CIR, podrá acceder a toda la información que le afecte, salvo aquellos datos aportados por las entidades declarantes exclusivamente en cumplimiento de las obligaciones de información que establezca el Banco de España en el ejercicio de sus funciones de supervisión e inspección y demás funciones que tiene legamente atribuidas. Las personas físicas podrán igualmente solicitar el nombre y dirección de los cesionarios a los que la CIR haya comunicado sus datos durante los últimos seis meses así como las cesiones de los mismos que vayan a realizarse. La información sobre los cesionarios se acompañará de una copia de los datos cedidos en cada caso. Cuando todos los datos de un titular hayan sido aportados a la CIR exclusivamente en cumplimiento de las obligaciones de información que establezca el Banco de España en el ejercicio de sus funciones de supervisión e inspección y demás funciones que tiene legamente atribuidas, el titular podrá acceder únicamente al nombre de las entidades que hayan declarado los riesgos a fin de que puedan ejercer el derecho de acceso ante ellas. La solicitud de acceso podrá realizarse por cualquier medio que asegure la identificación y, en su caso, título del peticionario, correspondiendo al Banco de España fijar los procedimientos que los aseguren y el sistema de consulta, sin menoscabo, en lo que se refiere a las personas físicas, del régimen de tutela del derecho de acceso, y de las limitaciones a su ejercicio, previstos en el artículo 15 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Los datos interesados deberán facilitarse al peticionario en el plazo máximo de diez días hábiles desde la recepción de la solicitud en el Banco de España.” SEXTO: En este caso, el Banco de España luego de recibidas las solicitudes de cancelación del reclamante, y conforme a las normas antes reseñadas, dio traslado inmediato de las solicitudes recibidas a las entidades declarantes, como así se desprende de la documentación aportada, y contesto al reclamante motivando la no cancelación de los datos del fichero ya que se le había pedido una documentación para llevar a cabo la cancelación que el reclamante no aportó. Por tanto podemos resumir diciendo que el reclamante no subsanó el requerimiento del titular del fichero para poder satisfacer su derecho de cancelación. Existe un conflicto de intereses entre el reclamante y la entidad bancaria que facilitó los datos al BANCO DE ESPAÑA, y que deberá resolverse en los foros que correspondan. Este conflicto queda al margen de las competencias de la Agencia Española de Protección de Datos. Por todo ello, procede inadmitir la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: INADMITIR la reclamación formulada por Don B.B.B. contra BANCO DE ESPAÑA. SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es