1/8 Procedimiento Nº: TD/01339/2014 RESOLUCIÓN Nº: R/00161/2015 Vista la reclamación formulada el 10 de julio de 2014, ante esta Agencia por Dª. B.B.B., contra las entidades EQUIFAX IBÉRICA, S.L., Sierra Capital Management 2012, S.L., TDX Índigo Ibérica, S.L., VODAFONE ESPAÑA, S.A.U., por no haber sido debidamente atendido sus derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes. HECHOS PRIMERO: Con fecha 25 de abril de 2014, Dª. B.B.B. (en lo sucesivo, la reclamante) ejerció derecho de acceso frente a la entidad TDX Índigo Ibérica, S.L. (en lo sucesivo, TDX). Concretamente solicitó que “me aclaren la procedencia de mi inclusión en el registro EQUIFAX…” y “me diga quién me ha incluido, de qué forma porqué motivo”. Mediante escrito de fecha 12 mayo de 2014, que fue recibida por la reclamante el día 22 del mismo mes, TDX procedió a informar a la interesada de los siguientes extremos: “TDX INDIGO IBERIA S.L. (en adelante, “TDX”) es una empresa de consultoría cuyos servicios incluye la gestión de cobros a través de sociedades especializadas y despachos de abogados subcontratados. Actualmente TDX es una subcontrata de TTI FINANCE, con domicilio en 3ª Val Ste Croix, L-1371 Luxemburgo, (en adelante, “TTI”). TTl es el actual propietario de la cuenta de referencia, en consecuencia de su cesión por VODAFONE ESPAÑA S.A.U siendo TDX una mera subcontrata de TTl. VODAFONE nos ha facilitado la documentación (facturas) del expediente de referencia, figurando una deuda pendiente de 43.81€ + 80 € en concepto de derechos de cobro no facturables. En consecuencia, le hemos remitimos tal documentación a nuestra subcontrata lntrum Justitia ibérica para que realice las gestiones de reclamación de dicha deuda.” SEGUNDO: Mediante escrito de fecha 25 de abril de 2014, la reclamante ejercitó derecho de acceso ante la entidad Sierra Capital Management 2012, S.L. (en adelante, Sierra Capital). Dicha solicitud fue recibida por la referida entidad el 30 de abril de 2014. Asimismo, solicitó la aclaración de la procedencia de su inclusión en el fichero de solvencia patrimonial “ASNEF”. TERCERO: La reclamante aporta junto a su reclamación copia de denuncia ante la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Guardia Civil por un presunto delito de usurpación de estado civil. En dicha denuncia se pone de manifiesto que fue conocedora de la inclusión de sus datos en el fichero de solvencia patrimonial ASNEF tras la denegación de la financiación de un producto que quiso comprar. Que solicito el acceso a sus datos ante la entidad EQUIFAX IBÉRICA, S.L. (en adelante, EQUIFAX IBÉRICA). Siendo informada sobre la inclusión de sus datos, donde figuran el dato identificativo de su D.N.I., apreciándose en el documento tres compras realizadas con las cantidades sin abonar de 64,02 €, 64,02 € y 173,33 €. Que en el documento figura que la dirección de residencia de la reclamante es C/ A.A.A., de la localidad de Barcelona. Que la reclamante nunca ha realizado las compras que figuran en la empresa EQUIFAX IBÉRICA ni ha residido nunca en la localidad de Barcelona, por lo que le hace suponer que un autor desconocido ha usurpado su estado civil. CUARTO: Al examinar la documentación aportada por la reclamante se comprueba que la reclamación presentada en esta Agencia debe ser completada, por lo que, con fecha 11 de septiembre de 2014 se procedió a solicitar la subsanación, requiriéndose a la reclamante “Acreditación del escrito de solicitud del ejercicio de derecho y la recepción del mismo ante el responsable del fichero de EQUIFAX IBÉRICA, S.L. y de VODAFONE ESPAÑA, S.A.U. ” Dicho escrito de subsanación fue recibido por la interesada en fecha 19 de septiembre de 2014, según recoge el acuse de recibo, sin recibir contestación por parte de la misma. QUINTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación del presente expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: SIERRA CAPITAL contestó, por correo electrónico de fecha 30 de abril de 2014, solicitando a la reclamante la subsanación de su solicitud, pidiendo que aportara copia de su DNI a fin de poder verificar su identidad y que concretara qué derecho quería ejercer. Asimismo, alega que en fecha 15 de mayo de 2014, la reclamante les envío nueva comunicación, esta vez acompañada de fotocopia de su DNI, en la que solicita el acceso a sus datos personales por no reconocer los créditos reclamados. SIERRA CAPITAL da respuesta a la reclamación presentada por la afectada en fecha 23 de junio de 2014, informando a la misma de los datos relativos a su persona que obran en sus ficheros, su origen, finalidad y cesionarios. Por otro lado, informa de que en fecha 22 de enero de 2014, SIERRA CAPITAL suscribió un Contrato de Cesión de Créditos con Vodafone, mediante escritura pública otorgada ante Notario. Entre los créditos cedidos por virtud del antedicho contrato, se encontraban dos cuentas cuya titular era la reclamante. Por último, añade que en fecha 31/07/2014, VODAFONE, haciendo uso de la cláusula de retrocesión de créditos existente en el Contrato de Cesión de Créditos mencionado, solicita la recompra de los créditos de la afectada a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 SIERRA CAPITAL, por lo que, desde esa fecha, SIERRA CAPITAL procede al bloqueo de los datos personales de la afectada de sus ficheros y a la cancelación de los mismos del fichero ASNEF. TDX manifiesta los siguientes extremos: Mediante Escritura otorgada ante Notario el día 28 de febrero de 2013, VODAFONE ESPAÑA, S.A. cedió y transmitió a, TTI-FINANCE, S.A.R.L., el crédito impagado que la reclamante mantenía con la misma. Para la gestión de dichos créditos impagados cedidos por VODAFONE ESPAÑA, S.A., TTIFINANCE, S.A.R.L. suscribió con TDX el correspondiente Contrato de Prestación de Servicios el día 31 de marzo de 2013. Con fecha 30 de abril de 2014, TDX recibió carta de la reclamante ejercitando el derecho de acceso de sus datos. Solicitud que fue atendida mediante escrito de fecha 12 de mayo de 2014. Previa consulta a y autorización por parte de TTI-FINANCE, S.A.R.L., responsable de los datos, TDX, encargada del tratamiento y de la gestión de los créditos adquiridos, manifiesta que no procede la cancelación de los datos de la reclamante, debido a la existencia de una relación contractual entre el responsable de tratamiento, TTI-FINANCE, S.A.R.L. y la titular de los datos que justificaban el tratamiento de los mismos (artículo 33.1 del RLOPD). Examinadas las alegaciones presentadas por los responsables de los ficheros, se dio traslado de las mismas a la reclamante mediante sendos escritos de fecha 24 de noviembre y 11 de diciembre de 2014, no recibiendo respuesta. QUINTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento, tal y como consta en el expediente que obra en esta Agencia Española de Protección de Datos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 TERCERO: El artículo 15 de la LOPD, que regula el derecho de acceso, dispone que: “1.- El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos. 2.- La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3.- El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes.” CUARTO: El artículo 27 del Reglamento de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre (en lo sucesivo Reglamento de la LOPD), regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del Reglamento de la LOPD, determina: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del Reglamento de la LOPD, dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo. 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 almacenaron los datos". SÉPTIMO: El artículo 33, apartado 1, del RLOPD, que regula la denegación de los derechos de rectificación y cancelación, determina: “1. La cancelación no procederá cuando los datos de carácter personal deban ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado que justificaron el tratamiento de los datos.” OCTAVO: De la documentación aportada queda acreditado que la reclamante ejercitó el derecho de acceso ante la TDX mediante escrito de fecha 25 de abril de 2014, que fue recibido por dicha entidad el 30 de abril de 2014 y fue atendido a través de escrito de fecha 12 de mayo de 2014. Es decir, TDX dio respuesta al ejercicio del derecho de acceso dentro del plazo establecido. Por otro lado, TDX ha alegado durante el procedimiento que, previa consulta y autorización por parte de TTI-FINANCE, S.A.R.L., responsable de los datos, TDX, encargada del tratamiento y de la gestión de los créditos adquiridos, entiende que no procede la cancelación de los datos de la reclamante, debido a la existencia de una relación contractual entre el responsable de tratamiento, TTI-FINANCE, S.A.R.L. y la reclamante que justificaban el tratamiento de los mismos (artículo 33.1 del RLOPD). En el supuesto aquí analizado, ha quedado acreditado que la reclamante ejercitó su derecho de acceso ante la entidad SIERRA CAPITAL, y que dentro del plazo establecido conforme a las normas antes señaladas, su solicitud obtuvo la respuesta legalmente exigible. Es decir, SIERRA CAPITAL procedió a atender el derecho de acceso solicitado en plazo y forma. Asimismo, durante la tramitación del presente procedimiento SIERRA CAPITAL ha procedido a la cancelación de los datos relativos a la reclamante, mediante el bloqueo de los mismos, y a la cancelación de la inclusión de éstos en el fichero ASNEF, tras la recompra de los créditos de la afectada por parte de VODAFONE. Por otra parte, con fecha 11 de septiembre de 2014 esta Agencia requirió a la reclamante para que subsanara su solicitud por no cumplir con los requisitos formales del artículo 71.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en adelante LRJPAC), otorgándole un plazo de 10 días. El artículo 71.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en adelante LRJPAC), establece que: “1. Si la solicitud de iniciación no reúne los requisitos que señala el artículo anterior y los exigidos, en su caso, por la legislación específica aplicable, se requerirá al interesado para que, en un plazo de diez días, subsane la falta o acompañe los documentos preceptivos, con indicación de que, si así no lo hiciera, se le tendrá por desistido de su petición, previa resolución que deberá ser dictada en los términos previstos en el artículo 42.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 El artículo 24.5 del referido Reglamento de la LOPD, relativo a las condiciones generales para el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, determina que el responsable del fichero deberá atender la solicitud de acceso, rectificación, cancelación u oposición ejercida por el afectado siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. Hecho este que no ha sido acreditado por la reclamante. Por último, en cuanto a la pretensión de la reclamante relativa la cancelación de sus datos, se ha de señalar que no ha acreditado que solicitara a las diversas entidades contra las que reclama la cancelación de sus datos, requisito previo e indispensable para la apertura de una tutela de derechos por denegación del derecho de cancelación. En el caso concreto de Sierra Capital Management 2012, S.L. y de TDX Índigo Ibérica, S.L. la reclamante ejercitó el derecho de acceso. Derecho que ha sido atendido por ambas entidades en plazo y forma. En cuanto a las entidades EQUIFAX IBÉRICA, S.L. y VODAFONE ESPAÑA, S.A.U. no ha acreditado documentalmente haber ejercitado derecho alguno ante ellas. No obstante, la reclamante ha presentado copia de denuncia ante la Guardia Civil por un presunto delito de usurpación de estado civil. En dicha denuncia se pone de manifiesto la posible existencia de una contratación fraudulenta a nombre de la reclamante de determinados productos que ha originado la existencia de unas presuntas deudas, la reclamación de las mismas y la inclusión de la reclamante en ficheros de solvencia patrimonial. En consecuencia, se procede a la apertura del expediente de investigación E/00512/2015, con objeto de determinar si de los hechos que allí se ponen de manifiesto se desprende la existencia de infracciones a la legislación en materia de protección de datos. Por todo ello, procede desestimar la reclamación que originó el presente procedimiento de tutela de derechos en relación a las entidades Sierra Capital Management 2012, S.L., TDX Índigo Ibérica, S.L., al haber atendido el derecho de acceso en plazo y forma. La reclamante no ha atendido dentro del plazo establecido legalmente la subsanación de su solicitud, por lo que procede inadmitir la presente Tutela de Derechos en lo referente a las entidades EQUIFAX IBÉRICA, S.L. y VODAFONE ESPAÑA, S.A.U. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por Dª. B.B.B. contra la entidad Sierra Capital Management 2012, S.L. y TDX Índigo Ibérica, S.L. SEGUNDO: INADMITIR la reclamación formulada por Dª. B.B.B. contra las entidades EQUIFAX IBÉRICA, S.L. y VODAFONE ESPAÑA, S.A.U. TERCERO: NOTIFICAR la presente resolución a Dª. B.B.B. y a las entidades Sierra Capital Management 2012, S.L., TDX Índigo Ibérica, S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez. Director de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es