AI-00171-2022

(14)siguientes a la aceptación del Contrato, el Prestatario deberá facilitar al Prestamista copia de su DNI/NIE para que el Prestamista pueda verificar su identidad”. Mientras que la cláusula 5.4 del contrato establece la obligación de que “Dentro de los catorce

(14)siguientes a cualquier Solicitud de Préstamo, el Prestatario deberá facilitar al Prestamista sus datos bancarios mediante copia de un extracto o recibo reciente de su cuenta bancaria y los datos de las tarjetas de crédito o débito en las que se deban cargar los Importe Pendientes”. La copia del DNI de la parte reclamante se aporta por ésta junto a su reclamación. Asimismo, se ha aportado, junto a la reclamación, Certificado del traspaso de la deuda a INVESTCAPITAL MALTA, LTD correspondiente a la parte reclamante, en el que figura entre otros datos de interés: que la parte reclamada cedió el derecho de cobro de la deuda reclamada a INVESTCAPITAL MALTA, LTD mediante una operación de venta de su cartera en fecha 21 de diciembre de 2016, la fecha de apertura del préstamo (8 de julio de 2015) y la cantidad adeudada a la fecha de la venta. Y, también se ha aportado, una carta de cambio de titularidad de la deuda fechada el 27 de marzo de 2017 dirigida a la parte reclamante a un domicilio en Madrid, en la que se le comunica que la parte reclamada vendió a INVESTCAPITAL MALTA, LTD, su crédito a través de contrato de cesión firmado el 21 de diciembre de 2016. Y que, como resultado de dicha venta, los datos personales que son necesarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 para la gestión de cobro también han sido cedidos a INVESTCAPITAL MALTA, LTD. Y que la deuda ahora propiedad de INVESTCAPITAL MALTA, LTD será gestionada por KRUK actuando en calidad de encargado de tratamiento, ante quien se ejercerán los derechos en materia de protección de datos, en su caso. Con fecha 27 de mayo de 2022, se emitieron requerimientos de información a OK MONEY y a KRUK. A KRUK se le requirió la siguiente información: 1. Copia de los datos que disponen del afectado 2. Fecha en que los citados datos fueron recabados por su entidad 3. Finalidad del tratamiento de dichos datos 4. Origen de los datos personales del afectado 5. Origen de la deuda contraída con su entidad, así como condiciones de exigibilidad de la misma (deberán aportar toda la documentación que permita acreditar el origen de la deuda, incluidos contratos, cesiones de cartera de créditos, etc) 6. Relación de las reclamaciones de pago realizadas, indicando el medio utilizado: correo postal, SMS, etc 7. Copia de los contactos y reclamaciones recibidas del afectado y detalle de las actuaciones realizadas en su caso. 8. Procedimiento que sigue la empresa para la contratación de sus servicios y documentos exigidos para la contratación. 9. Proceso de verificación de la identidad de la persona con la que se contrata. Con fecha 9 de junio de 2022 KRUK presentó escrito de contestación a dicho requerimiento en el que manifiesta entre otros extremos lo siguiente: Que los datos que KRUK dispone para la prestación de servicios de recuperación de deuda por cuenta y en nombre de INVESTCAPITAL, son los siguientes: Nombre y apellidos: A.A.A. Domicilio: ***DIRECCIÓN.1. DNI: ***NIF.1 Correo electrónico: A.A.A.@outlook.es Número de teléfono: ***TELÉFONO.1 y ***TELÉFONO.2 Importe de la deuda: ***CANTIDAD.1 euros. Que la fecha en la que se remitieron los datos por parte de INVESTCAPITAL a KRUK para iniciar la prestación de servicios de recuperación de deuda fue el 23 de marzo de 2017. Que de conformidad con lo previsto en el Acuerdo de encargo de tratamiento suscrito entre INVESTCAPITAL y KRUK, la finalidad del tratamiento de los datos es la prestación de servicios de recuperación de deuda en los términos acordados entre las partes, y siguiendo las instrucciones de INVESTCAPITAL. Que los datos fueron originalmente recabados por OK MONEY, como empresa que otorga préstamos en línea a sus clientes. OK MONEY, facilitó los datos de la InteC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 resada a INVESTCAPITAL, por ser indispensables para la gestión de los derechos de crédito cedidos. Posteriormente, INVESTCAPITAL facilita los datos a KRUK para que, en calidad de encargado del tratamiento, pueda prestar servicios de recuperación de deuda para INVESTCAPITAL. Que la Interesada no tiene contraída ninguna deuda con KRUK, ya que KRUK únicamente presta servicios de recuperación de deuda al actual acreedor, INVESTCAPITAL. INVESTCAPITAL suscribió con KRUK un Acuerdo de encargo de tratamiento el 20 de julio de 2016 (posteriormente actualizado con la entrada en vigor del RGPD) para la prestación de servicios de recuperación de deuda de diferentes carteras, facilitándole a KRUK los siguientes documentos e información relativos a la deuda de la Interesada: - Datos identificativos de la parte reclamante. - Certificado de la deuda emitido por OK MONEY. - Contrato online de préstamo suscrito con OK MONEY. - Carta informando de la cesión. Que entre el 22 de mayo de 2017 y el 7 de abril de 2022 KRUK ha llevado a cabo diversas acciones de recuperación de deuda realizadas por distintos medios (todas infructuosas y sin contacto): 48 llamadas realizadas; 31 correos electrónicos enviados¸12 SMS enviados y 1 carta. Que con fecha 12 de abril de 2021, se recibió en KRUK una carta en la que la parte reclamante indicaba que había recibido un requerimiento de pago por carta de KRUK, y que se trata de un error, que no existía tal deuda, que nunca ha recibido servicios de OK MONEY y solicitaba acreditación de la existencia de la deuda. KRUK respondió por el mismo medio informando y facilitando la siguiente documentación: (

1. i)la información relativa a la deuda, (
2. ii)copia del contrato con OK MONEY, (iii) certificado de cesión de la deuda emitido por OK MONEY y (
3. iv)carta remitida por OK MONEY e INVESTCAPITAL informando del cambio de titularidad de la deuda. Además, se le instó a que, de conformidad con nuestros protocolos internos, en caso de que sospechase de que ha podido sufrir un fraude por suplantación de identidad, proceda a denunciarlo y nos facilite una copia que justifique paralizar el expediente hasta que se resuelva la situación. Se adjunta carta de respuesta de KRUK a la Interesada. A la parte reclamada se le requirió información sobre los hechos reclamados sin que se haya recibido respuesta alguna. A través del Registro Público Concursal se obtiene la información de que OK MONEY se encuentra en situación de liquidación concursal habiéndose aprobado el Plan de liquidación de la entidad mediante Auto del Juzgado de lo Mercantil Nº9 de Madrid, de fecha 22 de julio de 2021. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Competencia De acuerdo con las funciones que el artículo 57.1 a),
4. f)y
5. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
6. a)la seudonimización y el cifrado de datos personales;
7. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
8. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
9. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo insC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 trucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Licitud en el tratamiento Por su parte, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Hechos reclamados y acreditados Ha quedado acreditado que OK MONEY realizó los siguientes tratamientos de los datos de la reclamante: 1.- Tratamiento de los datos de la parte reclamante, derivado de la relación contractual existente entre ambos por un préstamo personal. No existe constancia de que la parte reclamante haya firmado el contrato de préstamo ni de que haya aportado a la parte reclamada la documentación exigida en el contrato tras su aceptación ni la documentación exigida tras la presentación de la solicitud. 2.- Cesión de los datos de la reclamante a INVESTCAPITAL MALTA LTD, mediante contrato de fecha 21 de diciembre de 2016, de cesión de derecho de crédito. Y que el derecho de crédito que OK MONEY cedió a INVESTCAPITAL MALTA LTD derivaba del contrato de préstamo personal que constaba a nombre de la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 reclamante. Con la cesión de la deuda se comunicaron los datos del reclamante, necesarios para la gestión del cobro de la deuda cedida. Consta que mediante Auto del Juzgado de lo Mercantil N.º 9 de Madrid, de fecha 22 de julio de 2021 se aprobó el Plan de liquidación de la entidad OK MONEY, parte reclamada en estas actuaciones. También ha quedado acreditado que INVESTCAPITAL MALTA LTD, ha tratado los datos de la parte reclamante por adquisición del derecho de cobro de OK MONEY por contrato de fecha 21 de diciembre de 2016. KRUK actúa como encargado actuando en nombre de INVESTCAPITAL MALTA LTD, en virtud de contrato de encargado para la gestión de una serie de deudas entre la que se encuentra la IOK/1/26487 perteneciente a la parte reclamante. También se ha verificado que entre los teléfonos que KRUK aporta en su escrito de contestación al requerimiento de información figura el ***TELEFÓNO.1 que es el mismo que figura en el contrato de préstamo personal supuestamente suscrito entre OK MONEY y la parte reclamante. Además, también figura el teléfono ***TELÉFONO.2 que no hay otra constancia de que pertenezca a la reclamante. Ninguno de los dos números coincide con el que figura en la reclamación presentada por la reclamante ***TELÉFONO.3. También consta que tanto las llamadas como los SMS dirigidos a esos números de teléfono por KRUK fueron infructuosas para contactar con la reclamante. Consta que la parte reclamante si recibió una carta de KRUK reclamándole la deuda y que contestó diciendo que debía haber un error en la reclamación porque nunca OK MONEY le había prestado ningún tipo de servicio. Recibida la respuesta de la parte reclamante, KRUK le dirigió una carta en la que le comunicaba los pasos que debería seguir para que la excluyeran del circuito de cobro de deudas. V Conclusión La posible actuación infractora e la parte reclamada se encontraría prescrita por el transcurso de los tres años de prescripción de las infracciones muy graves, tal y como señala el artículo 72 de la LOPDGDD, a contar desde el momento en que cedió las deudas, el 21 de diciembre de 2019. En cuanto a la actuación de la entidad cesionaria, INVESTCAPITAL MALTA LTD, en relación al recobro de la deuda, a través del encargado del tratamiento, KRUK, esta Agencia considera, de acuerdo con la doctrina de la Audiencia Nacional, recogida entre otras en su Sentencia de 29 de abril de 2010, que argumenta que “la cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato”, ya que se dirigió a la parte reclamante en numerosísimas ocasiones sin poder contactar con ella; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 y en cuanto ha tenido conocimiento del posible fraude ha cesado en las actuaciones de recobro y ha informado de las actuaciones a realizar para excluirla del requerimiento de pago. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
17. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es