Caso páctico - Inclusión no autorizada de datos personales en CIRBE

Vamos a tratar un supuesto caso en el que un cliente ha sido incluido en la Central de Información de Riesgos del Banco de España (CIRBE), debido a una deuda que tiene contraída con su entidad financiera. El cliente afirma que dicha inclusión no se le ha comunicado, ni figuraba contractualmente tal posibilidad para los casos de incumplimiento de deudas. Confirma que ha tenido conocimiento de esta circunstancia al solicitar un micro-crédito al consumo que no le ha sido concedido por este motivo. El cliente consulta sobre la posibilidad de denunciar ante la AEPD por la inclusión no autorizada en un fichero de solvencia patrimonial.

 
La Central de Información de Riesgos del Banco de España (CIRBE) es un servicio público que gestiona una base de datos en la que constan prácticamente todos los préstamos, créditos, avales, y riesgos en general que las entidades financieras tienen con sus clientes. Para cada uno de esos riesgos, las entidades que los declaran facilitan la información más relevante, incluyendo la identificación del cliente. Las entidades deben declarar mensualmente a la Central de Información de Riesgos la práctica totalidad de sus riesgos de crédito y los titulares a quienes corresponden, incluyendo los datos, características y circunstancias más significativas. Con carácter general, el importe mínimo de la declaración para las personas físicas es de 6.000 euros.

La Central de Información de Riesgos (CIR) tiene dos objetivos fundamentales:

• Facilitar a las entidades declarantes información necesaria para su actividad.
• Permitir al Banco de España el adecuado ejercicio de sus competencias y en particular las de supervisión e inspección de las entidades de crédito.

Por lo tanto, este tipo de ficheros están creados con la exclusiva finalidad de facilitar información crediticia del afectado. En este tipo de ficheros, el tratamiento se efectúa sin el consentimiento del interesado, dado que se informa de los impagos o incidencias ocurridas en sus operaciones de crédito, a fin de ponerlas de manifiesto a otras entidades para que éstas conozcan la capacidad económica y solvencia del interesado.

Sólo podrán ser objeto de tratamiento los datos que respondan con veracidad a la situación de la duda en cada momento concreto. Para incluir en estos ficheros datos personales que sean determinantes para enjuiciar la solvencia económica del afectado, deben darse los siguientes requisitos:

• Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero.
• Qué no hayan transcurrido seis años desde la fecha en que hubo de procederse al pago de la deuda o del vencimiento de la obligación o del plazo concreto si aquella fuera de vencimiento periódico.
• Requerimiento de pago a quien corresponda el cumplimiento de la obligación.

El pago o cumplimiento de la duda determinará la cancelación inmediata de todo dato relativo a la misma. En los restantes supuestos, los datos deberán ser cancelados cuando se hubieran cumplido seis años contados a parir del vencimiento de la obligación o del plazo concreto si aquella fuera de vencimiento periódico.

Las entidades tienen la obligación de informar al deudor:

• de la posibilidad de que los datos relativos al impago puedan ser comunicados a ficheros relativos al cumplimiento o incumplimiento de oblaciones dinerarias en el momento en que se efectúa el requerimiento previo de pago deudor.
• de avisar al afectado en un plazo de 30 días a contar desde la inclusión en el fichero, informándole de su derecho a recabar información sobre todos los datos recogidos, incluida su procedencia.

CASO QUE NOS OCUPA

Por lo tanto, en el caso que no ocupa, existen dos puntos:

• La entidad no tiene obligación de recabar consentimiento del afectado ya que se trata de un fichero común que sirve para enjuiciar la solvencia económica y patrimonial del afectado.
• La entidad si tiene obligación de informar:

• La entidad debería haber informado en el momento en que se celebró el contrato o por lo menos en el momento en que se efectuó el requerimiento previo de pago, de que en caso de no producirse el pago en el término previsto para ello, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de oblaciones dinerarias.
• La entidad tiene la obligación de avisar al afectado en un plazo de 30 días a contar desde la inclusión en el fichero informándole de su derecho a recabar información sobre todos los datos recogidos, incluida su procedencia. La notificación deberá efectuarse a través de un medio fiable, auditable e independiente de la entidad notificante que permita acreditar la efectiva realización de los envíos, es decir cualquier método que pone a disposición de los usuarios la oficina de correos no por los medios del propio banco o entidad financiera.

El cliente consulta sobre la posibilidad de denunciar ante la AEPD por la inclusión no autorizada en un fichero de solvencia patrimonial.

No da lugar a denunciar a la entidad por la inclusión no autorizada de datos personales en el CIRBE ya que no se necesita autorización por parte de la entidad financiera.

Sí da lugar por la falta de información por parte de la entidad, por una parte, de no comunicar la posibilidad de incluir los datos en el momento del requerimiento del previo pago, y por otro, después de incluir los datos, notificar de este hecho al afectado en un plazo de 30 días desde su inclusión.

El pago o cumplimiento de la deuda determinará la cancelación inmediata de todo dato relativo a la misma. Si no es así, los datos deberán ser cancelados cuando se hubieran cumplido seis años contados a partir del vencimiento de la obligación o del plazo concreto si aquélla fuera de vencimiento periódico.