Min.1 Nre

DIRECli FROTE OS

P• XOMA

R. R 4uez S.

Expediente N° N°1 017-2016-PTT

N° 016-2017-JUS/DGPDP

Lima, 10 de febrero de 2017.

VISTO: El documento con registro N° 58606 de 30 de setiembre de 2016, el cual contiene la reclamación formulada por contra Hipotecaria Sura EAH,

CONSIDERANDO:

I. Antecedentes.

ANTE HIPOTECARIA SURA EAH.

1.1 Con solicitud de tutela de 06 de setiembre de 2016, solicitó ante Hipotecaria Sura EAH la revocatoria de sus datos personales, en

los siguientes términos:

• Que, la operación crediticia no se formalizó y el dinero del desembolso no fue entregada a Habana Mia E.I.R.L. y que se encuentra en su poder.

• El contrato ha sido resuelto y además, porque el proceso judicial por obligación de dar suma de dinero ha sido declarado inadmisible y rechazado.

1.2 Con documento de 27 de setiembre de 2016, Hipotecaria Sura EAH dio respuesta a la solicitud de tutela directa de 06 de setiembre de 2016 señalando lo siguiente: "(...) su solicitud no procede, debido a que usted mantiene con nuestra compañía una deuda vigente, relacionada al Contrato de Crédito que suscribió con nuestra empresa, contrato que fue resuelto el 07 de abril de 2014, debido al incumplimiento de obligaciones del cliente.".

ANTE LA DIRECCIÓN GENERAL DE PROTECCIÓN DE DATOS PERSONALES.

1.3 Con documento indicado en el visto, (en lo sucesivo el reclamante) presentó reclamación ante la Dirección General de Protección de Datos Personales (en lo sucesivo DGPDP) contra Hipotecaria Sura EAH (en lo

Página 1 de 12

sucesivo la reclamada) por no atender su derecho de cancelación de forma satisfactoria y porque no contestó dentro del plazo señalado en el artículo 55° del Reglamento de la Ley N° 29733, Ley de Protección de Datos Personales (en lo sucesivo la LPDP), en los siguientes términos:

• Señala que la reclamada ha denegado su derecho, porque aduce que se mantiene una deuda y que el contrato ha sido resuelto por incumplimiento de su parte por no firmar la escritura pública, documento que nunca fue redactado según consta en la Notaria Fernandini conforme a la carta notarial que adjunta.

• Solicita la cancelación del tratamiento de sus datos personales no la cancelación de una deuda.

• Manifiesta que si la entidad financiera señala que existe una deuda, deberá requerirlo en la vía judicial y que ejecute las garantías del contrato.

• Solicita que no se mantenga sus datos personales, porque la obligación o autorización se extinguió al momento que se resolvió el contrato.

II. Admisión a la reclamación

2.1 Con oficios N° 709-2016-JUS/DGPDP y N° 712-2016-JUS/DGPDP notificados el 26 y 25 de octubre de 2016 respectivamente, la DGPDP puso en conocimiento del reclamante y la reclamada que la solicitud de procedimiento trilateral de tutela cumplía con los requisitos mínimos requeridos conforme con lo establecido por el artículo 113 y numerales 222.1 y 222.2 del artículo 222 de la Ley N° 27444, Ley del Procedimiento Administrativo General (en los sucesivo LPAG) dando por admitida la reclamación y otorgando un plazo de quince (15) días para que la reclamada presente su contestación.

Contestación de la reclamación.

3.1 Con documento de registro N° 68244 recibido el 14 de noviembre de 2016, dentro del plazo legal, la reclamada puso en conocimiento de la DGPDP lo siguiente:

• Resulta improcedente atender lo solicitado por el reclamante, porque mantiene una deuda generada en virtud del contrato, el mismo que fue resuelto el 07 de abril de 2014 debido al incumplimiento de las obligaciones del reclamante.

• Los datos personales fueron obtenidos en virtud del contrato de crédito hipotecario celebrado con el reclamante.

• En tanto exista la obligación de pago, no es posible la revocación del consentimiento del reclamante, ya que existe el interés legítimo de mantener sus datos personales. A la fecha, la deuda que mantiene asciende a la suma de

• Los datos personales del reclamante deberán mantenerse hasta que cumpla con cancelar el íntegro de la deuda pendiente.

• Los datos personales son utilizados única y exclusivamente con relación a la deuda: (i) para ejercer su derecho de cobro de la deuda pendiente vía judicial; y, (ii) pueda cumplir con la normativa regulatoria establecida en el numeral 1.4 del Capítulo IV del Reglamento para la Evaluación y Clasificación del Deudor y la Exigencia de Provisiones, aprobado por Resolución SBS N° 11356-2008, en el cual existe la obligación de reportar periódicamente el informe de clasificación

Página 2 de 12

WRECCIÓN,G PROTEC 011

RSO

R. Rbrfrrguez

("AA Oz-z

de deudores en los cuales debe incluir los datos del reclamante debido a que en la actualidad mantiene tal condición y de no contar con dichos datos incurrirían en una infracción sancionable por la Superintendencia de Banca, Seguros y AFP (en lo sucesivo SBS) quien es su organismo supervisor y regulador.

• Según Oficio N° 40775-2014-SBS de fecha 04 de noviembre de 2014, la Superintendencia de Banca, Seguros y AFP señala que no se ha evidenciado infracción alguna por parte de la reclamada conforme a lo dispuesto en el Reglamento para la Evaluación y Clasificación del Deudor por parte de Hipotecaria Sura con relación del envío del reporte deudor a la central de riesgos.

• INDECOPI también ha señalado mediante resoluciones finales N° 0929- 2015/CC1 de fecha 24 de junio de 2015 y N° 1431-2016/CC1 de fecha 08 de julio de 2016, que no ha existido infracción de parte de la reclamada, ya que el reclamante mantiene una deuda por el saldo del crédito siendo deber de la reclamada reportarlo ante la central de riesgo.

• Señala además que, el hecho de haber resuelto el contrato no lo exime o libera al reclamante de cancelar sus deudas pendientes.

• Respecto a la demora en la contestación de la solicitud del reclamante mencionan que, se debió a una sobrecarga laboral y fuerza mayor por lo que tuvieron un retraso menor de 5 días adicionales al plazo previsto por reglamento de la Ley de Protección de Datos Personales.

3.2 Con oficios N° 913-2016-JUS/DGPDP y 914-2016-JUS/DGPDP de fecha 23 de diciembre de 2016, la DGPDP puso en conocimiento del reclamante y la reclamada que el procedimiento trilateral de tutela se ampliaría por un plazo de treinta (30) días adicionales.

3.3 Con documento de registro N° 8543 de fecha 09 de febrero de 2017 el reclamante señaló lo siguiente:

• Que, ha presentado una denuncia ante INDECOPI con el expediente N° 1015- 2014/CC1 contra la entidad financiera Hipotecaria Sura para que deje de reportarlo ante la central de riesgo de la Superintendencia de Banca y Seguros, pues a pesar que resolvió unilateralmente el contrato sigue utilizando sus datos personales.

• Que, la reclamada incumple el reglamento de la Resolución SBS-11359-2008, que establece que las empresas supervisadas para emitir un reporte de sus

Página 3 de 12

clientes a las centrales de riesgo el contrato de crédito debe estar vigente y activo; sin embargo, el contrato ya fue resulto el 07 de abril de 2014 y continúa reportándolo a las centrales de riesgo de la Superintendencia de Banca y Seguros.

• Que, la reclamada ha interpuesto una demanda de obligación de dar suma de dinero la cual ha sido declarada inadmisible, ya que no se ha cumplido con los presupuestos para que su persona asuma la deuda.

• Que, la reclamada le causa perjuicio al reportarlo a las centrales de riesgo de la SBS, ya que no puede ser sujeto de crédito por otras entidades.

• Que, el hecho de pedir que la reclamada no siga tratando sus datos personales, no le impide para que le inicie un requerimiento de cobranza de cualquier obligación pactada en el contrato ante las autoridades jurisdiccionales correspondientes.

Por tanto, solicita la revocatoria para el tratamiento de sus datos personales de la base de datos de la reclamada y el cese del reporte ante las centrales de riesgo de la SBS.

IV. Competencia.

4.1 La competencia para resolver el procedimiento trilateral de tutela corresponde al Director General de la DGPDP, conforme con lo establecido en el artículo 24 de la Ley N° 29733, Ley de Protección de Datos Personales (en lo sucesivo la LPDP) y conforme con lo dispuesto por el artículo 74 del Reglamento de la LPDP, aprobado por Decreto Supremo N' 003-2013-JUS.

V. Análisis.

5.1 De la revisión del expediente administrativo la DGPDP considera que debe pronunciarse sobre los siguientes aspectos:

• Sobre el derecho fundamental a la protección de datos personales y su ámbito de aplicación.

• Si el tratamiento de datos personales se realiza dentro de las excepciones previstas del artículo 14 de la LPDP.

• El derecho de cancelación ejercido ante el responsable de tratamiento.

5.1.1 En cuanto al primer aspecto, la Constitución Política del Perú dispone, en el numeral 6 del artículo 2, que toda persona tiene derecho "a que los servicios informáticos, computarizados o no, públicos o privados, no suministren informaciones que afecten la intimidad personal y familiar".

En desarrollo del mencionado derecho fundamental se publicó el 3 de julio de 2011, la LDPD, que establece en su artículo 1 que tiene como objeto "garantizar el derecho fundamental a la protección de los datos personales, previsto en el artículo 2 numeral 6 de la Constitución Política del Perú, a través de su adecuado tratamiento, en un marco de respeto de los demás derechos fundamentales que en ella se reconocen".

El Reglamento de la LPDP, se aprobó el 22 de marzo de 2013, y el 8 de mayo de 2013 entró en plena vigencia conjuntamente con la LPDP.

Página 4 de 12

ne_lreix

hIRECCIONG NERAI DE PROTEC TI"

J0 ES

Rod guez s.

CA Do.\S' l''‘

El Tribunal Constitucional del Perú ha definido este derecho como el de "autodeterminación informativa", en su sentencia de 29 de enero de 2003, expediente N° 1797-2002-HD/TC, en el marco de un proceso de hábeas data.

En efecto, el artículo 24 de la LPDP que regula el derecho a la tutela dispone que:

Artículo 24 de la LPDP.- Derecho a la tutela: "En caso de que el titular o el encargado del banco de datos personales deniegue al titular de datos personales, total o parcialmente, el ejercicio de los derechos establecidos en esta Ley, este puede recurrir ante la Autoridad Nacional de Protección de Datos Personales en vía de reclamación o al Poder Judicial para los efectos de la correspondiente acción de habeas data' (...)".

En esa misma línea, el primer párrafo del artículo 3 de la LPDP dispone que: "La presente Ley es de aplicación a los datos personales contenidos o destinados a ser contenidos en bancos de datos personales de administración pública y de administración privada, cuyo tratamiento se realiza en el territorio nacional".

Asimismo, la LPDP en su artículo 3 y el Reglamento de la LPDP en su artículo 4, establecen que sus normas no se sujetarán: a) Al tratamiento de datos personales realizado por una persona natural para una actividad exclusivamente privada o familiar. b) Al tratamiento de datos personales cuando sean utilizados por parte de las entidades públicas para el cumplimiento de sus funciones asignadas por Ley para la defensa nacional, la seguridad pública y para el desarrollo de actividades en materia penal para la investigación y represión del delito.

En ese sentido, es conveniente precisar que el tratamiento de los datos personales que realiza la reclamada en cuanto a las operaciones financieras con sus clientes, se encuentra comprendido dentro del ámbito de aplicación de la LPDP y su reglamento.

Para enlazar los temas que se analizarán con los principios y obligaciones que emanan de la LPDP y su reglamento es necesario recordar que estas normas garantizan a' todo ciudadano la vigencia del derecho fundamental a la protección de datos personales, regulando un tratamiento adecuado así como otorgándoles determinados derechos frente a terceros, tales como el derecho a ser informado de cómo y porqué se tratan sus datos personales, el derecho acceder a los datos que se están tratando; y, en caso lo consideren necesario, puedan ejercer el derecho de rectificación, cancelación y oposición de sus datos personales.

' El subrayado ha sido incorporado-por la DGPDP para una mayor precisión.

Página 5 de 12

5.1.2 En cuanto al segundo aspecto, uno de los pilares del derecho a la protección de datos personales es el principio de consentimiento, expresado en el artículo 5 de la LPDP, que dispone que para realizar el tratamiento de datos personales debe mediar el consentimiento de los titulares, o en su defecto, debe acreditarse que el tratamiento se realiza en el marco de las excepciones previstas por la LPDP y su Reglamento2, ya que la necesidad de consentimiento es la regla general.

El numeral 5 del articulo 14 de la LPDP señala que, no se requiere el consentimiento del titular de datos personales para efectos de su tratamiento cuando los datos sean necesarios para la ejecución de una relación contractual en la que el titular de datos personales sea parte.

En efecto, el reclamante manifiesta en su escrito que, no existe contrato con la reclamada ya que ha sido resuelto unilateralmente y por tanto no tendrían que seguir tratando sus datos personales por lo que solicitó su cancelación.

Al respecto, esta autoridad advierte que en el expediente constan tres (03) contratos que han sido presentados como medios probatorios:

a) Contrato de compra — venta de bien futuro de fecha 28 de noviembre de 2013, suscrito entre el reclamante y la empresa inmobiliaria Habana Mia E.I.R.L.

b) Contrato de crédito y garantía hipotecaria de fecha de fecha 29 de noviembre de 2013 suscrito entre el reclamante y la reclamada (en lo sucesivo el contrato).

c) Contrato de garantía mobiliaria sobre cuotas y certificados de participación de fondos mutuos de fecha 29 de noviembre de 2013 suscrito entre la reclamada y la empresa inmobiliaria Habana Mía E.l.R.L,

De los contratos señalados anteriormente, cabe pronunciarse sobre el punto b) ya que corresponde a la relación contractual que existe entre el reclamante y la reclamada. En este sentido, el objeto principal del contrato fue que la reclamada le otorgue un crédito ascendente a la suma de

para que el reclamante pueda adquirir un bien inmueble de la empresa inmobiliaria Habana Mía ELR.L.

2 Articulo 14 de la LPDP. Limitaciones al consentimiento para el tratamiento de datos personales: 'No se requiere el consentimiento del titular de datos personales, para los efectos de su tratamiento. en los siguientes casos: 1. Cuando los datos personales se recopilen o transfieran para el ejercicio de las funciones de las entidades públicas en el ámbito de sus competencias. 2. Cuando se trate de datos personales contenidos o destinados a ser contenidos en fuentes accesibles para el público. 3, Cuando se trate de datos personales relativos a la solvencia patrimonial y de crédito, conforme a ley. 4. Cuando medie norma para la promoción de la competencia en los mercados regulados emitida en ejercicio de la función normativa por los organismos reguladores a que se refiere la Ley 27332, Ley Marco de los Organismos Reguladores de la Inversión Privada en los Servicios Públicos, o la que haga sus veces, siempre que la información brindada no sea utilizada en perjuicio de la privacidad del usuario. 5. Cuando los datos personales sean necesarios para la ejecución de una relación contractual en la que el titular de datos personales sea parte, o cuando se trate de datos personales que deriven de una relación científica o profesional del titular y sean necesarios para su desarrollo o cumplimiento. 6. Cuando se trate de datos personales relativos a la salud y sea necesario, en circunstancia de riesgo, para la prevención, diagnóstico y tratamiento médico o quirúrgico del titular, siempre que dicho tratamiento sea realizado en establecimientos de salud o por profesionales en ciencias de la salud, observando el secreto profesional; o cuando medien razones de interés público previstas por ley o cuando deban tratarse por razones de salud pública, ambas razones deben ser calificadas como tales por el Ministerio de Salud; o para la realización de estudios epidemiológicos o análogos, en tanto se apliquen procedimientos de disociación adecuados. 7. Cuando el tratamiento sea efectuado por organismos sin fines de lucro cuya finalidad sea politica, religiosa o sindical y se refiera a los datos personales recopilados de sus respectivos miembros, los que deben guardar relación con el propósito a que se circunscriben sus actividades, no pudiendo ser transferidos sin consentimiento de aquellos. 8. Cuando se hubiera aplicado un procedimiento de anonimización o disociación. 9. Cuando el tratamiento de los datos personales sea necesario para salvaguardar intereses legitimas del titular de datos personales por parte del titular de datos personales o por el encargado de datos personales. 10. Otros establecidos por ley, o por el reglamento otorgado de conformidad con la presente Ley".

Página 6 de 12

R ocirig

I

I

fiRECCION FROTE

v OCA De/

Que (.7

Dicho contrato estableció respecto al plazo del contrato, lo siguiente:

"SEGUNDA: Condiciones y Características Plazo total.- Es aquel que se encuentra establecido en el ANEXO I y en el cronograma de pagos (en adelante, el "CRONOGRAMA'), el cual será entregado por HIPOTECARIA SURA a EL CLIENTE una vez efectuado el desembolso del crédito. EL CLIENTE con su firma puesta en el escritura pública de la que formará parte la presente cláusula adicional, declara haber recibido el mencionado CRONOGRAMA y expresa su total conformidad al mismo."

Se advierte entonces que el plazo del contrato ya se encontraba establecido en el Anexo 1 del contrato que firmó el reclamante y del cual tenía conocimiento, asimismo, se señaló también que el cronograma de pagos sería entregado una vez que se desembolse el crédito. Con la firma de la escritura pública el reclamante declararía haber recibido el cronograma que la reclamada debió haber realizado con anterioridad.

Asimismo, sobre el desembolso del crédito, se estableció lo siguiente en el contrato:

"Desembolso.- El desembolso del crédito aprobado se realizará en la oportunidad que HIPOTECARIA SURA determine, luego que EL CLIENTE haya firmado el presente contrato y estará sujeto a requerimientos operativos y políticas de crédito que HIPOTECARIA SURA tenga establecidos.

(

Queda expresamente pactado que, EL CLIENTE se obliga a cancelar a HIPOTECARIA SURA, forma previa a que se realice dicho desembolso, los importes correspondiente a los gastos de tasación y demás gastos y comisiones que se indican en la Hoja Resumen y que obra en el Anexo I que HIPOTECARIA SURA tiene establecido en su tarifario, y que EL CLIENTE declara conocer y aceptar.

Asimismo, conforme a instrucción expresa que EL CLIENTE formula, por el presente instrumento, HIPOTECARIA SURA emitirá cheque de gerencia a la orden de la/s persona/s indicada en el ANEXO 1 con el fin de cancelar parte del precio de compraventa de el/los inmuebles a adquirirse, según minuta de compraventa de la cual forma parte integrante el documento."

Página 7 de 12

En esa misma línea, en el Anexo I del contrato se estableció el monto total del crédito, el plazo, tasa de interés, tipo de cuotas, personas garantizadas y aseguradas, tipo de garantía, forma de pago en cheque de gerencia y a la orden de "SURA ULTRA CASH SOLES".

En el Anexo II del contrato, se advierte que se estableció los gastos a ser incurridos por el cliente y la oportunidad de pago (gastos de tasación, notariales y registrales), así como de los conceptos aplicables en caso de incumplimiento y se señaló "Ante el incumplimiento del pago del crédito según las condiciones pactadas, se procederá a realizar el reporte correspondiente a las Centrales de Riesgo".

De la cláusula citada anteriormente y de los documentos que como anexo forman parte del documento suscrito entre el reclamante y la reclamada, se evidencia que para que se produjera el desembolso debían de firmar el contrato de crédito y garantía hipotecaria y que se haya pagado los gastos de tasación, notariales y registrales. Una vez que se haya cumplido con ello, la reclamada procedería a realizar el desembolso mediante un cheque de gerencia a la orden de la persona indicada por el reclamante en el Anexo I.

Sin embargo, el reclamante manifiesta que, no tiene el departamento, que la inmobiliaria no recibió el dinero y que la reclamada resolvió unilateralmente el contrato, y que por ello no debería seguir tratando sus datos personales, por lo que solicita la cancelación de su banco de datos personales.

En este sentido, al verificar de los documentos presentados en el expediente, existe una carta de resolución del contrato por incumplimiento de la firma de la escritura pública por parte del cliente, por lo que en la cláusula séptima del contrato respecto a la resolución del contrato se establece lo siguiente:

"SEPTIMA: Causales de Aceleración de Vencimiento de Plazos y Resolución de Contrato. Queda establecido que HIPOTECARIA SURA podrá dar por terminado y/o resuelto el presente contrato bastando para ellos que remita una comunicación escrita en ese sentido a EL CLIENTE por conducto notarial, sin asumir por ello ninguna responsabilidad, dando por vencidos todos los plazos estipulados en el presente contrato y exigir el pago inmediato del saldo del crédito otorgado, intereses, comisiones, gastos, penalidad y demás obligaciones pendientes de pago, y proceder a la ejecución de la hipoteca y demás acciones judiciales, (...)."

En consecuencia, la DGPDP advierte lo siguiente:

• Existe un contrato que ha sido firmado entre el reclamante y la reclamada el 23 de noviembre de 2013.

• La reclamada realiza tratamiento de los datos personales del reclamante en virtud del contrato de crédito y garantía hipotecaria.

• Existen obligaciones pactadas entre ambas partes en cuanto al desembolso, firma de escritura pública, emisión del cheque de gerencia, cobro del crédito, plazo del contrato, entre otros.

• Existe una carta de resolución del contrato por incumplimiento de las obligaciones del reclamante.

• Esta autoridad no es competente para resolver cuestiones relacionadas a incumplimientos contractuales.

Página 8 de 12

• El tratamiento de los datos personales del reclamante es válido sin que medie el consentimiento en cuanto se trate de cumplir con la ejecución del contrato, esto es, relacionado al contrato de crédito, como cumplir con las finalidades de remitir el cronograma de pago, requerir el pago en caso de retraso, ejercer las acciones pertinentes en cuanto a cobrar una deuda generada, entre otros. En el supuesto que, se realizaran finalidades distintas al crédito otorgado, se necesitaría del consentimiento válido del reclamante.

• El reclamante suscribió el contrato y aceptó entre todas las obligaciones, la cláusula sétima del contrato que establece, en caso de resolución del contrato se realizarán las acciones correspondientes sobre la deuda generada para lo cual es necesario el tratamiento de sus datos personales, ya que se trata de la ejecución misma del contrato.

5.1.3 En cuanto al tercer aspecto, la LPDP y su Reglamento prevén derechos que permiten a las personas exigir que sus datos personales sean tratados adecuadamente.

Estos derechos son conocidos como derechos ARCO (acceso, rectificación, cancelación y oposición) los cuales garantizan que los titulares de datos personales puedan controlar su información personal.

El ejercicio del derecho de cancelación se inicia con la solicitud de tutela que el titular de datos personales dirigirá directamente al responsable del tratamiento, el cual deberá dar respuesta en los plazos previstos por el artículo 55 del Reglamento de la LPDP, expresando lo correspondiente a cada uno de los extremos de dicha solicitud. Transcurrido el plazo sin haber recibido la respuesta el titular de datos personales podrá considerar denegada su solicitud de tutela.

La denegatoria, la respuesta insatisfactoria o la ausencia de respuesta habilitan al titular de datos personales a presentar la reclamación ante la DGPDP.

El derecho de cancelación es el derecho que tiene todo ciudadano a solicitar que sus datos sean eliminados o suprimidos de un banco de datos cuando hayan dejado de ser necesarios para la finalidad para la cual se recopilaron o cuando hubiera vencido el plazo para su tratamiento y cuando haya revocado su consentimiento para el tratamiento y en los demás casos en los que sean tratados conforme a Ley y su Reglamento'.

3 Artículo 67 del Reglamento de la LPDP.

Página 9 de 12

InRECC PROIEC

R,

El artículo 55° del Reglamento de la LPDP, señala lo siguiente respecto al plazo de atención del derecho de cancelación:

"Artículo 55.- (...) 3. Tratándose del ejercicio de los otros derechos como los de rectificación,

cancelación u oposición, el plazo máximo de respuesta del titular del banco de datos personales o responsable del tratamiento será de diez (10) días contados desde el día siguiente de la solicitud correspondiente."

En el presente caso, se advierte de la reclamación que el 06 de setiembre de 2016, el reclamante presentó su solicitud de revocar el consentimiento para el tratamiento de sus datos personales, y el 27 de setiembre de 2016 la reclamada cumplió con dar respuesta a su solicitud.

Es decir, que la reclamada ha cumplido con atender el referido derecho del reclamante antes del inicio del procedimiento trilateral ante la Autoridad, sin embargo, se excedió el plazo de los diez (10) días hábiles.

Al respecto, el reclamante señala que la respuesta de la reclamada es insatisfactoria ya que ha declarado su solicitud improcedente. Tal como ha sido desarrollado en el punto anterior, esta autoridad advierte que no es procedente la cancelación de sus datos personales, ya que el reclamante puede realizar el tratamiento de sus datos personales sin que medie el consentimiento siempre que se trate de la ejecución de la relación contractual de la que es el titular parte.

El reclamante en su escrito de información complementaria ha señalado que, su solicitud de revocatoria del tratamiento de sus datos personales, no impide que se inicie un requerimiento de cobranza de cualquiera de las obligaciones pactadas en el contrato, por tanto existe una aceptación del reclamante que es necesario que la reclamada aún cuente con sus datos personales para la ejecución de la relación contractual, esto es del requerimiento de la deuda.

En cuanto, la solicitud del reclamante que no lo continúen reportando a las centrales de riesgo de la SBS, conviene precisar lo siguiente:

Esta autoridad deja a salvo el derecho del reclamante de acudir a las instancias correspondientes a fin de demostrar si existe o no una deuda exigible con la reclamada, ya que según lo señalado no se cumplieron con las prestaciones conforme a lo pactado.

Asimismo, en el supuesto que se determine que no existe obligación de deuda o que la deuda ha sido pagada por lo que se solicita la cancelación de los datos de las centrales de riesgo de la SBS, ya que la LPDP y su Reglamento no establecen plazos de cancelación de los datos personales en los bancos de datos personales; la evaluación de esa materia requiere acudir a la aplicación de los principios rectores de finalidad, proporcionalidad y calidad.

a. El principio de finalidad establece que los datos personales deben ser recopilados para una finalidad determinada, explícita y lícita. El tratamiento de los datos personales no debe extenderse a otra finalidad que no haya sido la establecida de manera inequívoca como tal al momento de su recopilación,.

4 Artículo 6 de la LPDP. Principio de finalidad.

Página 10 de 12

CA Dk-£ s.)*

-ro 4-

b. El principio de proporcionalidad establece que todo tratamiento de datos personales debe ser adecuado, relevante y no excesivo a la finalidad para la que estos hubiesen sido recopilados5.

c. El principio de calidad establece que los datos personales que vayan a ser tratados deben ser veraces, exactos y, en la medida de lo posible, actualizados, necesarios, pertinentes y adecuados respecto de la finalidad para la que fueron recopilados. Deben conservarse de forma tal que se garantice su seguridad y solo por el tiempo necesario para cumplir con la finalidad del tratamientos.

En atención al principio de finalidad, es útil tener presente lo argumentado por el Tribunal Constitucional mediante Sentencia de 7 de agosto de 2014 recaída en el Expediente N° 03700-2010-PHD/TC (en lo sucesivo la Sentencia del Tribunal Constitucional) que señala en el numeral 6 lo siguiente:

"(.,.) Resulta legítimo y acorde con el derecho a la libertad de contratación', que exista un flujo continuo de información de riesgos crediticios en el mercado, pues solo así se puede generar confianza en el sistema financiero para el otorgamiento de créditos y su consiguiente recuperación, en la medida que el tratamiento de este tipo de datos permite, tanto a personas jurídicas como a personas naturales, conocer el comportamiento en el tiempo de los sujetos de crédito en general (historial crediticio: endeudamiento, capacidad de pago, voluntad de pago), para así tomar decisiones adecuadas en torno al ofrecimiento de créditos, lo cual repercute directamente en la economía nacional (requisitos para el acceso al crédito, tasas de interés, por ejemplo) (...)".

En ese sentido, el numeral 5 del articulo 134 de la Ley N° 26702, Ley General del Sistema Financiero y del Sistema de Seguros y Orgánica de la Superintendencia de Banca y Seguros señala que a fin de brindar al ahorrista una protección adecuada y sin perjuicio de las demás atribuciones que le confiere la referida Ley, corresponde a la SBS medir el riesgo de las empresas intermediarias, a través del sistema de la Central de Riesgos de la SBS mediante el registro del endeudamiento global, en el país y en el exterior, de las personas que soliciten crédito a las empresas del sistema financiero y de seguros.

5 Articulo 7 de la LPDP. Principio de proporcionalidad.

6 Articulo 8 de la LPDP. Principio de calidad.

El subrayado ha sido incorporado para una mayor precisión.

Página 11 de 12

En consecuencia, la información reportada por las empresas financieras y de seguros a la SBS para ser incorporada en la Central de Riesgos de la SBS no está sujeta a un límite temporal para su publicación.

Si la deuda es cancelada, corresponde a las empresas del sistema financiero y de seguros reportar a la SBS la información crediticia, razón por la cual dejará de ser "publicada" como pendiente de pago; sin embargo, tomando en cuenta que la Central de Riesgos de la SBS es un "registro histórico", dicha información continuará apareciendo en el historial crediticio del deudor. En otras palabras, la Central de Riesgos de la SBS no es un registro de deudas exigibles o vigentes sino uno de naturaleza histórica.

En atención al principio de proporcionalidad, es útil regresar a la Sentencia del Tribunal Constitucional que señala en el numeral 6 lo siguiente:

"(.,.) Por tal razón, y dado que la difusión de este tipo de datos en específico cumple un fin constitucionalmente legítimo, no es necesario que para su tratamiento se recabe el consentimiento de su titular, dado que se entiende que la permisibilidad legal resulta legítima solo y exclusivamente para información de tipo crediticio' (...)".

Con tal pronunciamiento, el Tribunal Constitucional ha dejado establecido que el reporte de la información crediticia que realizan las entidades financieras, cumple con un "fin constitucionalmente legítimo", y que esta habilitación legal será acorde al principio de proporcionalidad en la medida que el tratamiento se limite únicamente para "datos personales de índole crediticia" y no para otros datos personales.

Por lo tanto, la reclamada ha efectuado el tratamiento de los datos personales del reclamante en el marco de las excepciones previstas en el artículo 14 de la LPDP.

Por las consideraciones expuestas y de conformidad con lo dispuesto por la Ley N° 297333, Ley de Protección de Datos Personales y su Reglamento, aprobado por Decreto Supremo N° 003-2013-JUS.

SE RESUELVE:

Artículo 1°.- Declarar INFUNDADA la reclamación formulada por contra Hipotecaria Sura EAH; por los argumentos expuestos en la

parte considerativa de la presente resolución.

Artículo 2°.- ORDENAR, a Hipotecaria Sura EAH adoptar las medidas necesarias para que en lo sucesivo atienda los derechos de los titulares dentro de los plazos legales establecidos en el Reglamento de la LPDP, bajo apercibimiento de iniciar de oficio el procedimiento de fiscalización correspondiente.

Artículo 3°.- NOTIFICAR a los interesados la presente resolución.

Regístrese y comuníquese.

2

Roger octrigum-SafifaRer Director le .e la Dirección General de Protección

de Date Personajes ministerio de Justicia y Derechos Humano=

4 El subrayado ha sido incorporado para una mayor precisión.

Página 12 de 12