CA tp-z.

‘Z- ‘,51Q

Expediente N° 028-2016-PTT

N° 046-2017-JUS/DGPDP

Lima, 16 de mayo de 2017

VISTO: El documento con registro N° 018996 de 31 de marzo de 2016, el cual contiene el recurso de reconsideración presentado por Scotiabank Perú S.A.A. contra la Resolución Directoral N° 019-2017-JUS/DGPDP de 17 de febrero de 2017.

CONSIDERANDO:

I. Antecedentes.

1.1 Con documento de registro N° 071295 de 29 de noviembre de 2016, (en los sucesivo el reclamante) presentó una reclamación ante la

1 ral de Protección de Datos Personales (en lo sucesivo DGPDP) contra Scotiabank Perú S.A.A. (en lo sucesivo la recurrente) señalando que no se atendió el derecho de cancelación de sus datos personales dentro de los plazos señalados en el artículo 55 del Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales (en lo sucesivo LPDP).

1.2 La DGPDP llevó a cabo el procedimiento trilateral de tutela y resolvió, mediante la Resolución Directoral N° 019-2017-JUS/DGPDP de 17 de febrero de 2017 (en lo sucesivo resolución impugnada) notificada el 10 de marzo de 2017 con el oficio N° 113-2017-JUS/GDPDP, lo siguiente:

• Declarar fundada la reclamación.

• Ordenar a la recurrente como medidas correctivas:

• Mantener el blo ueo y la supresión de los datos personales de en cuanto al envío por cualquier medio existente

publicidad comercial para la gestión comercial de productos o servicios contratados (vigentes) ofrecidos por Scotiabank Perú S.A.A. (y por las empresas que conforman el Grupo Scotiabank así como de sus socios comerciales), en la medida que revocó su consentimiento por lo que el tratamiento en este extremo debe cesar,

Página 1 de 8

• Mantener el bloqueo y la supresión de los datos personales de en cuanto al envío por cualquier medio existente de

publicidad e productos y servicios ofrecidos por Scotiabank Perú S.A.A (y por las empresas que conforman el Grupo Scotiabank así como de sus socios comerciales), en la medida que revocó su consentimiento por lo que el tratamiento en este extremo debe cesar.

• Adoptar las medidas necesarias para la pronta adecuación a la norma de las cláusulas de las cláusulas pre redactadas sobre protección de datos personales descritas en el formato "Contrato de Servicios Bancarios" a fin de obtener un consentimiento válido del titular de datos personales conforme con lo establecido por los artículos 5 y 6 de la Ley N° 29733, Ley de Protección de Datos Personales, y por los artículos 7, 8 y 12 del Reglamento de la Ley N° 29733.

1.3 La recurrente interpuso recurso de reconsideración contra la resolución impugnada en los siguientes términos:

Por un lado, respecto al principio de consentimiento para el tratamiento de los datos personales, señalan que de acuerdo al Contrato de Servicio Bancario que obra en el expediente, el cliente brinda su consentimiento de manera libre, ya que tuvo la libertad de decisión para brindar sus datos para el tratamiento dentro de la relación comercial. Entonces, no se contemplaba el uso de datos personales brindados por los clientes para tratamientos adicionales que difiriesen con los bienes y servicios contratados o con la finalidad puntual del documento contractual.

Asimismo, manifiestan que la DGPDP no evaluó los nuevos formatos de contratos que se anexan al recurso presentado y que son producto de las actualizaciones que realizan a sus documentos acorde con las disposiciones legales e interpretaciones de las autoridades con el único objetivo de beneficiar y brindar seguridad a sus clientes y usuarios.

Respecto a la falta de libertad para el tratamiento de los datos personales por tratarse de un contrato de adhesión, señalan que nunca desaparece, ya que el cliente siempre tiene la opción de acudir a otra entidad que ofrezca los mismos servicios, además que, todos sus contratos son previamente autorizados administrativamente por el ente regulador la Superintendencia de Banca, Seguros y AFP (SBS).

Por otro lado, respecto la aplicación del principio de finalidad en el tratamiento de datos personales, señalan que la finalidad está definida en el acuerdo de servicio bancario, ya que se establece que al cliente se le brindará por cualquier medio existente publicidad comercial sobre los productos o servicios que estén relacionados a los servicios bancarios ya contratados, por ello cumple con ser determinada y explícita respecto al destino que se le dará a los datos personales. Sobre la posición de la DGPDP en el medio o canal para el envío de comunicaciones y promociones solo limita las posibilidades que se abren con el avance de las comunicaciones y tecnologías para que se acerquen a sus clientes.

Por último, sobre las medidas correctivas establecidas en el punto 2.1 y 2.2 de la parte resolutiva de la resolución impugnada, manifiestan que en su comunicación del 10 de noviembre de 2016 se procedió al bloqueo y posterior eliminación de los datos personales, salvo los necesarios para la gestión comercial. Asimismo, señala que la LPDP establece en el numeral 5 del artículo 14 una situación en la que no se requiere el asentimiento del titular para el tratamiento de sus datos personales; sin embargo, el

es cotitular de una cuenta de ahorros por tanto existe una relación contractual vigente que generó la activación de una tarjeta de débito. Sobre el punto 2.3 de la parte resolutiva señalan que, sus documentos siempre son materia de

Página 2 de 8

t‘CA A

revisiones constantes y actualizaciones, por lo que les sorprende que la DGPDP haya ordenado la pronta actualización de sus cláusulas sobre protección de datos personales a pesar que en el expediente no obra que acredite algún tipo de infracción y además que el contrato que obra en el expediente es un formato del año 2012 y que no es usado a la fecha, por lo que adjuntan los formatos actualizados del Contrato de Servicios Bancarios y anexos.

1.4 La recurrente acompañó su recurso con la siguiente documentación:

• Copia del Contrato de Servicios Bancarios — Persona Natural (S. 1372/10.2016).

1.5 Con oficios N° 199 y 201-2017-JUS/DGPDP notificados el 21 y 24 de abril de 2017 respectivamente, la DGPDP puso en conocimiento de la recurrente y el reclamante mediante Resolución N° 02 de fecha 12 de abril de 2017, que el recurso presentado se admitió a trámite ya que cumplía con los requisitos regulados por los artículos 113, 208 y 211 de la Ley N° 27444, Ley del Procedimiento Administrativo General.

1.6 Con documento de registro N° 24755 de 25 de abril de 2017, presentó escrito señalando que, el escrito autorizado~

consigna el Colegio de Abogados al que pertenecería ni su número de matrícula.

II. Procedencia del recurso.

2.1 Del recurso presentado, la DGPDP advirtió que la recurrente equivoca el recurso impugnativo que resulta procedente, pues interpuso uno de 'apelación" y no el de "reconsideración" que es el que corresponde conforme el artículo 741 del Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales, aprobado por Decreto Supremo N° 003-2013-JUS.

Asimismo, conforme el numeral 3 del artículo 75 de la Ley N° 27444, Ley del Procedimiento Administrativo General (en lo sucesivo LPAG), la DGPDP emitió la Resolución N° 2 de fecha 12 de abril de 2017 mediante el cual señala que a efectos

1 Artículo 74.- Procedimiento trilateral de tutela:

"El procedimiento administrativo de tutela de los derechos regulados por la Ley y el presente reglamento, se sujeta a lo dispuesto por los artículos 219 al 228 de la Ley N° 27444, Ley del Procedimiento Administrativo General en lo que sea aplicable, y será resuelto mediante resolución del Director General de Protección de Datos Personales. Contra esta resolución solo procede recurso de reconsideración, el que, una vez resuelto, agota fa vía administrativa.°

Página 3 de 8

de no afectar el derecho a recurrir a consecuencia del propio error del administrado, el recurso interpuesto será resuelto como uno de reconsideración y no de apelación.

2.1 En este sentido, se resolvió que se tenga por interpuesto el recurso presentado ya que cumplía los requisitos de admisibilidad regulados por los artículos 113, 208 y 211 de la LPAG.

Ante ello, el reclamante presentó escrito señalando que el recurso presentado no señala el Colegio de Abogados al que pertenecería el letrado ni su número de matrícula. Al respecto, el artículo 211 de la LPAG señala que: "El escrito del recurso deberá señalar el acto del que se recurre y cumplirá los demás requisitos previstos en el artículo 113 de la presente Ley. Debe ser autorizado por letrado."

La DGPDP advierte que el recurso presentado ha sido autorizado por un abogado colegiado según la verificación realizada en la página web del Colegio de Abogados de Lima, por lo que el recurso presentado cumple todos los requisitos de admisibilidad y procedencia.

III. Competencia.

3.1 La competencia para resolver el recurso de reconsideración corresponde al Director General de la DGPDP, conforme con lo establecido por el artículo 24 de la Ley N° 29733, Ley de Protección de Datos Personales (en lo sucesivo la LPDP) y el artículo 74 del Reglamento de la LPDP, aprobado por Decreto Supremo N° 003-2013-JUS.

IV. Análisis.

4.1 La DGPDP considera necesario pronunciarse sobre tres aspectos:

• Si el tratamiento de datos se realizó conforme el principio de consentimiento.

• Sobre la aprobación de las cláusulas generales de contratación por la Superintendencia de Banca, Seguros y AFP.

• Si el tratamiento de datos se realizó conforme el principio de finalidad.

4.1.1 En atención al primer aspecto, la recurrente manifiesta en su recurso, que sí cumplieron con solicitar el consentimiento de forma libre porque el reclamante tuvo la libertad de decisión de brindar sus datos para el tratamiento dentro de la relación contractual y además la DGPDP no evaluó los nuevos contratos que son producto de sus actualizaciones.

La DGPDP advierte que, si bien la recurrente ha presentado un documento en el que se han incluido cláusulas actualizadas sobre el consentimiento para el tratamiento de los datos personales, tal documento no es suficiente por sí mismo, sino en tanto acredite la existencia del consentimiento del reclamante, otorgado en las condiciones y con las características que exigen las normas legales.

Lo que sí es cierto, y debe quedar claro, es que en el marco del presente procedimiento trilateral de tutela la DGPDP ha evaluado el documento que previamente la reclamada aportó como medio probatorio y que el reclamante firmó en virtud de la prestación del servicio bancario.

Hecho del cual derivan dos consecuencias:

a) La ausencia de prueba, conforme al artículo 15 del Reglamento de la LPDP que regula la carga de la prueba, dio lugar a un pronunciamiento en la resolución impugnada, de acuerdo a ley, es decir, carece de fundamento imputar error o

Página 4 de 8

c A .0

causal que invalide la recurrida, cuando la razón de su sentido está plenamente justificada en la ausencia de pruebas por parte de la recurrente, que era la llamada a presentarlas; y,

b) Presentar un nuevo documento que pretenda acreditar la existencia del consentimiento dentro de un procedimiento trilateral de tutela que tiene por objeto tutelar el derecho constitucional a la protección de datos personales del reclamante no resulta válido, ya que corresponde a un documento que no ha sido firmado por el titular del dato personal, si no que corresponde a un formato para terceros y que forma parte de la medida correctiva establecida.

En cuanto al principio de consentimiento, el Reglamento de la LPDP señala que el tratamiento de los datos personales será lícito cuando el titular del dato personal haya dado su consentimiento de forma libre, previa, expresa, informada e inequívoca2.

En el caso concreto, se advierte de los numerales 66 y 68 del Contrato de Servicios Bancarios de 25 de octubre de 2013 suscrito por el reclamante (S.0031/04.2012) que existen tratamientos adicionales que no son propios del servicio bancario — cuenta de ahorros mancomunada, ya que corresponden al envío por cualquier medio de publicidad comercial de productos y servicios incluyendo la transferencia de datos personales a terceros para tal fin, lo que constituye un tratamiento adicional que no es propio del servicio bancario, y dicho tratamiento no cumple con la característica del consentimiento de ser libre", ya que no se dio la opción al reclamante de negarse al envio de publicidad, sino que al aceptar el contrato de servicio bancario aceptaba de forma automática los otros tratamientos.

Conforme a lo evaluado, dado el contenido y el diseño contractual de la pretendida fórmula de consentimiento del contrato suscrito por el reclamante, se hace evidente que se ha limitado la libertad de decisión o manifestación de voluntad del reclamante, al anexar, sin alternativa, al contrato de servicio bancario, tratamientos adicionales que no corresponden al servicio propio de la cuenta de ahorro (como envío de estados de cuenta, reportes, entre otros).

Finalmente, se debe mencionar que respecto a lo señalado por la recurrente de que no existe falta de libertad para el tratamiento de sus datos personales ya que pueden ir a otra entidad bancaria que ofrezca el mismo servicio, la DGPDP establece que, no se refiere a la falta de libertad para contratar un servicio, sino a la falta de libertad para elegir y decidir que tratamientos son los que no requiere que se realicen a sus datos personales, salvo que el tratamiento se encuentre dentro de la excepción prevista en el numeral 5 del

2 Artículo 7 del Reglamento de la LPDP.- Principio de consentimiento

Página 5 de 8

articulo 14 de la LPDP, cuando se trate de tratamientos necesarios para la ejecución del contrato en la que el titular del dato personal sea parte.

4.1.2 En atención al segundo aspecto, sobre la aprobación de las cláusulas generales de contratación por la Superintendencia de Banca, Seguros y AFP (en lo sucesivo SBS), la Resolución SBS N° 8181-2012, Reglamento de Transparencia de Información y Contratación con Usuarios del Sistema Financiero, en su Capítulo II del Título III dispone la facultad que tiene la SBS de aprobar administrativamente de forma previa las cláusulas generales de contratación de las operaciones y servicios de las empresas que se encuentren comprendidas bajo el alcance de la norma, así como para la determinación de cláusulas abusivas.

En este sentido, al encontrarse la recurrente en el ámbito de aplicación de la norma mencionada anteriormente, la SBS aprueba las cláusulas generales de contratación referente a las operaciones financieras que brindan las entidades, entendiéndose que no se pronuncia respecto a las cláusulas relacionadas a normas que se encuentren bajo el ámbito de competencia de otros organismos, tales como la Autoridad Nacional de Protección de Datos Personales.

Por lo que esta autoridad advierte que, si bien como señala la recurrente sus contratos son previamente aprobados por la SBS, dicha aprobación no incluye las cláusulas referidas al tratamiento de datos personales que es competencia de esta autoridad, motivo por el cual fue indispensable pronunciarse sobre las disposiciones contractuales que se refieren a dichos tratamientos.

En consecuencia, en el marco del procedimiento trilateral de tutela no se ha evaluado: a) La utilización de cláusulas generales de contratación como fórmulas de consentimiento. b) La situación de vulnerabilidad de los clientes frente a determinadas cláusulas generales de contratación, sino el cumplimiento, o no, por parte de la recurrente de las normas sobre protección de datos personales, porque a ello se refiere la atribución legal que esta autoridad tiene para determinar posibles incumplimientos a la LPDP y su Reglamento.

4.1.3 En cuanto al tercer aspecto, a fin de verificar si el tratamiento de los datos personales del reclamante se ha realizado conforme el principio de finalidad, es preciso mencionar que el artículo 6 de la LPDP dispone lo siguiente:

"Los datos personales deben ser recopilados para una finalidad determinada, explícita y lícita. El tratamiento de los datos personales no debe extenderse a otra finalidad que no haya sido la establecida de manera inequívoca como tal al momento de su recopilación, (...)"

Respecto a lo manifestado por la recurrente en su escrito, sobre que la finalidad cumple con ser determinada y explícita, ya que se indicó al reclamante cual sería el destino de sus datos personales, del Contrato de Servicios Bancarios de 25 de octubre de 2013 suscrito por el reclamante la DGPDP advierte del numeral 66 tercer y cuarto párrafo lo siguiente: "EL CLIENTE consiente que EL BANCO podrá dar tratamiento a los datos personales, de manera directa o por intermedio de terceros, de la manera más amplia permitida por las normas pertinentes (...)", lo cual es contrario a que la finalidad sea determinada ya que señala que se usarán los datos de la forma "más amplia", es decir, que la recurrente podrá realizar cualquier tratamiento con los datos del reclamante. Asimismo, tampoco indican quienes serian los terceros a los que se le enviará los datos para que puedan enviarle publicidad comercial al cliente. Adicionalmente a ello, se confirma lo señalado en la resolución impugnada que no se ha determinado claramente mediante qué canales o medios se enviará la publicidad comercial ni por cuánto tiempo se realizará dicha actividad, ya que si bien como señala la recurrente, debido a la tecnología existen diversos canales, estos deberán determinar para que el titular del dato personal se encuentre debidamente informado.

Página 6 de 8

,v3,e,OCA DF<

•Pc;

En este sentido, se confirma que la recurrente ha realizado un tratamiento que no cumple con el principio de finalidad, ya que: a) señala que podrán realizar tratamientos de la forma más amplia, sin perjuicio de que: b) el consentimiento tal como se ha explicado en el análisis del primer aspecto, no cumple con ser "libre"; en consecuencia no es válido.

Finalmente, sobre la aplicación de las medidas correctivas impuestas en el numeral 2.1 y 2.2 de la resolución impugnada, la recurrente señala que con la comunicación del 10 de noviembre de 2016 procedieron al bloqueo y supresión de sus datos personales salvo para la gestión comercial; sin embargo, de las pruebas presentadas por el reclamante, la DGPDP advierte que el 23 de noviembre de 2016 recibió una publicidad comercial referidas al "McCombo Cuarto de Libra", por lo que la imposición de las medidas correctivas resultan válidas. Sobre la medida correctiva impuesta en el numeral 2.3 se debe a que la recurrente presentó como medio probatorio que corresponde al Contrato suscrito por el reclamante, y en todo caso, la carga de la prueba corresponde al responsable del tratamiento de los datos personales por lo que resulta válida.

Por las consideraciones expuestas y de conformidad con lo dispuesto por la Ley N° 29733, Ley de Protección de Datos Personales y su Reglamento, aprobado por Decreto Supremo N° 003-2013-JUS.

SE RESUELVE:

Artículo 1.- Declarar INFUNDADO el recurso de reconsideración presentada por Scotiabank Perú S.A.A. y CONFIRMAR la Resolución Directoral N° 019-2017-JUS/DGPDP de 17 de febrero de 2017 de la Dirección General de Protección de Datos Personales, que resolvió:

• Declarar fundada la reclamación.

• Ordenar a la recurrente como medidas correctivas:

• Mantener el bloqueo y la supresión de los datos personales de en cuanto al envío por cualquier medio existen

publicidad comercial para la gestión comercial de productos o servicios contratados (vigentes) ofrecidos por Scotíabank Perú S.A.A. (y por las empresas que conforman el Grupo Scotiabank así como de sus socios comerciales), en la medida que revocó su consentimiento por lo que el tratamiento en este extremo debe cesar.

• Mantener el blo ueo y la supresión de los datos personales de en cuanto al envío por cualquier medio existente de

publicidad comercial de productos y servicios ofrecidos por Scotiabank Perú

Página 7 de 8

S.A.A (y por las empresas que conforman el Grupo Scotiabank así como de sus socios comerciales), en la medida que revocó su consentimiento por lo que el tratamiento en este extremo debe cesar.

• Adoptar las medidas necesarias para la pronta adecuación a la norma de las cláusulas de las cláusulas pre redactadas sobre protección de datos personales descritas en el formato "Contrato de Servicios Bancarios" a fin de obtener un consentimiento válido del titular de datos personales conforme con lo establecido por los artículos 5 y 6 de la Ley N° 29733, Ley de Protección de Datos Personales, y por los artículos 7, 8 y 12 del Reglamento de la Ley N° 29733.

En consecuencia, concluido el procedimiento trilateral de tutela; con lo cual se agota la vía administrativa en el presente caso.

Artículo 2.- Notificar a los interesados la presente resolución.

Regístrese y comuníquese.

........... .......... ..... Ma Alejandra González luna ....... Directora Gema! (Oda Protección da Datos Personales hii ni Varia da 4uatiait y Oglrechas riumano

Página 8 de 8