1/14 Expediente N.º: EXP202406468 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 25 de marzo de 2024, la Agencia Española de Protección de Datos tuvo conocimiento de una posible infracción del BANCO CETELEM, S.A. con NIF A78650348 (en adelante, CETELEM) a través de una denuncia presentada por la Brigada Local de la Policía Judicial de ***LOCALIDAD.
(40)cuotas por un importe de treinta y un euros con dieciséis céntimos (31,16 €) cada una. El pago de la cuota se realiza mediante domiciliación bancaria y, a estos efectos, el cliente aportó el número de cuenta (…). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 ii. En fecha 29 de noviembre de 2022, (…), los derechos de crédito de la deuda asociada al Contrato fueron cedidos por CETELEM a una tercera entidad, ***EMPRESA.2. iii. (…). En fecha 8 de mayo de 2024, ***EMPRESA.2 remite una comunicación a mi representada en la que le informa de la recepción de una solicitud por la Comisaría Local de ***LOCALIDAD.1 en el marco de una investigación sobre una posible contratación fraudulenta de préstamo suplantando la identidad de la Reclamante, para que CETELEM efectúe las acciones oportunas teniendo en cuenta lo anterior sobre la mencionada contratación. (…) iv. El día 21 de mayo de 2024, (…), mi representada califica el caso como presuntamente fraudulento. (…) v. Asimismo, el 22 de mayo de 2024 ***EMPRESA.2 remite a mi representada una nueva comunicación mediante la que le hace llegar la denuncia interpuesta por la Reclamante, así como el atestado policial sobre el caso. En relación con lo anterior, solicita a CETELEM una decisión respecto de si califica el caso como presuntamente fraudulento a los efectos de paralizar las acciones de recobro asociadas a la deuda de la Reclamante. (…) El mismo día 22 de mayo de 2024, a las 9:59, mi representada se pone en contacto con ***EMPRESA.2 para informarle de la calificación de la deuda como fraude, así como para informarle que tal catalogación supone (
- i)la no reclamación de la deuda, (
- ii)la regularización del importe vendido a ***EMPRESA.2, (iii) la paralización de todo tipo de gestiones asociadas a la reclamación de dicha deuda, y (
- iv)la baja de la Reclamante de los ficheros de solvencia patrimonial. (…) SEGUNDO. - CETELEM disponía en el momento de la contratación del crédito de un procedimiento para proceder a la identificación de aquellas personas que solicitan, a través de canales no presenciales, la contratación de sus productos, por el cual se solicitaban datos que únicamente se encuentran en poder del interesado. • Así, CETELEM disponía de la copia del anverso y del reverso del Documento Nacional de Identidad de la Reclamante, del certificado de titularidad de cuenta bancaria, así como de un ejemplar reciente de su nómina, siendo estos documentos auténticos, pues no tenían evidencias de cortes o falsificación alguna. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 • Por otro lado, el contrato fue firmado electrónicamente, utilizando el certificado ***EMPRESA.3, por lo que dicha firma ostentaba las garantías establecidas en la normativa reguladora de los servicios de confianza. En el presente caso, la identificación del firmante se llevó a cabo mediante la remisión, a través de un SMS al teléfono proporcionado en el momento de la solicitud de formalización del Contrato, de una contraseña (código OTP) de un solo uso que debía utilizar el receptor para poder validar y continuar el proceso de firma del documento (…). (…) CUARTO. – (…) CETELEM actuó diligentemente y conforme al Contrato suscrito con la Reclamante al atender la solicitud de utilización del crédito, no siendo responsable de la eventual deficiente custodia de la documentación acreditativa de su identidad y titularidad bancaria por parte de la Reclamante. (…) mi representada tomó la decisión de catalogar la deuda como presuntamente fraudulenta sin haber recibido comunicación alguna por parte de la Reclamante ni la denuncia interpuesta, la cual fue remitida en fecha 22 de mayo de 2024 por ***EMPRESA.2.» A continuación, aporta la siguiente documentación, en respaldo de las manifestaciones efectuadas, a saber: - DOCUMENTO NÚMERO 1: Copia del Contrato de financiación que figura como formalizado por medios telemáticos entre la afectada y CETELEM, en fecha 09 de agosto de 2021, y certificado electrónicamente por la empresa ***EMPRESA.3. - DOCUMENTO NÚMERO 2: Copia del contrato de compraventa de cartera de créditos formalizado ante notario, entre Banco Cetelem, S.A.U y GCC Consumo Establecimiento Financiero de Crédito, S.A.P, como cedente, e ***EMPRESA.2, como cesionario, en fecha 29 de noviembre de 2022. - DOCUMENTO NÚMERO 3: Copia de correo electrónico de fecha 8 de mayo de 2024 por el que ***EMPRESA.2 comunica a CETELEM que ha recibido una solicitud de información de la Comisaria Local de ***LOCALIDAD.1 en el marco de una investigación por una posible contratación fraudulenta de préstamo en la que se habría suplantado la identidad de la afectada y solicita el envío de información al respecto. - DOCUMENTO NÚMERO 4: Documento interno relativo a la prevención del fraude de un contrato, “(…)”. - DOCUMENTO NÚMERO 5: Copia de correo electrónico de fecha 22 de mayo de 2024 por el que ***EMPRESA.2 aporta a CETELEM copia del atestado policial y denuncia de la afectada. Además, ***EMPRESA.2 consulta a CETELEM si reconoce el caso como fraude. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 - DOCUMENTO NÚMERO 6: Copia de correo electrónico de fecha 22 de mayo de 2024 por el que CETELEM comunica a ***EMPRESA.2 que el Dpto. de Prevención de Fraude ha calificado el contrato en cuestión como fraude el día 21/05/2024 y le da las siguientes instrucciones: “no reclamar deuda y regularizar el importe vendido en vuestros aplicativos, paralizar todo tipo de gestiones y dar de baja ficheros de solvencia patrimonial.” - DOCUMENTOS NÚMERO 7 al 10: Documentos proporcionados a CETELEM a los efectos de formalizar el Contrato: o DOCUMENTO NÚMERO 7: Copia de comprobante bancario de abono de nómina emitido presuntamente por la entidad bancaria ***BANCO.1, en el cual se hace constar que, con fecha 03/08/2021, se ha recibido la nómina en la cuenta facilitada por el presunto suplantador, siendo beneficiaria la afectada. o DOCUMENTO NÚMERO 8: Copia de la nómina correspondiente al mes de julio de 2021, emitida a nombre de la afectada, en su condición de trabajadora, en la que constan los datos del empleador y de la empleada, así como los conceptos retributivos y las deducciones aplicadas. o DOCUMENTO NÚMERO 9: Copia del DNI de la afectada, fotografiado por ambas caras. o DOCUMENTO NÚMERO 10: Copia de factura emitida, aparentemente, por la operadora ***EMPRESA.6 a nombre de A.A.A. (la persona afectada), con DNI ***NIF.1, correspondiente al número de teléfono móvil ***TELÉFONO.1, siendo el período de facturación del 01/06/2021 al 31/06/2021. - DOCUMENTO NÚMERO 11: Certificados certificada de la empresa ***EMPRESA.3. de Contratación electrónica FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Presunción de inocencia El artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En relación con lo anterior, conviene señalar que, al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal. Así, en relación con el elemento subjetivo de la responsabilidad se ha manifestado en la STS de 9 de julio de 1994 que señala, entre otros aspectos, que: “la potestad sancionadora de la Administración goza de la misma naturaleza que la potestad penal, por lo que, en consecuencia, las directrices estructurales del ilícito administrativo tienden también, como en el ilícito penal, a conseguir la individualización de la responsabilidad, vedando cualquier intento de construir una responsabilidad objetiva o basada en la simple relación con una cosa; por consiguiente, en el ámbito de la responsabilidad administrativa no basta con que la conducta sea antijurídica y típica, sino que también es necesario que sea culpable, esto es, consecuencia de una acción y omisión imputables a su autor por malicia o imprudencia, negligencia o ignorancia inexcusable.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 En línea con lo anterior, también resulta de aplicación en el ámbito del derecho administrativo sancionador el principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o existan dudas racionales sobre la concurrencia de todos los elementos objetivos y subjetivos que integran la infracción, aplicando el principio “in dubio pro reo” en caso de duda. IV Conclusión En el presente caso, tal y como se expone en los antecedentes de hecho, parecería que, en una fase inicial, se habría producido una presunta suplantación de identidad de la afectada. En virtud de la misma, el presunto suplantador, se habría hecho pasar por la afectada y habría solicitado formalmente un crédito a la entidad bancaria CETELEM. Con carácter previo a la formalización del contrato de crédito, CETELEM indica que disponía de un procedimiento para proceder a la identificación de aquellas personas que solicitan, a través de canales no presenciales, la contratación de sus productos, consistente en el requerimiento de información que únicamente se encuentran en poder del interesado. En virtud de lo anterior, CETELEM disponía de la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 - - Copia del anverso y del reverso del Documento Nacional de Identidad de la afectada. Comprobante bancario de abono de nómina emitido, presuntamente, por la entidad bancaria ***BANCO.1, en el cual se hace constar que, con fecha 03/08/2021, se ha recibido la nómina en la cuenta facilitada por el presunto suplantador, siendo beneficiaria la afectada. Ejemplar de la nómina de la afectada correspondiente al mes de julio de 2021. Factura emitida, aparentemente, por ***EMPRESA.6 correspondiente al número de teléfono móvil facilitado por el presunto suplantador y relativa al periodo de facturación de julio de 2021. En la factura la afectada aparece identificada por su nombre, apellidos y número de DNI. Además, la dirección postal que ella figura, también, coincide con la indicada por el presunto suplantador. Con toda esta documentación, que resultaba coherente con los datos personales facilitados, CETELEM verificó la identidad del solicitante del crédito, existiendo, en virtud de los elementos aportados, una apariencia de legitimidad de la parte contratante, que impidió a CETELEM advertir indicios de fraude. En este contexto, CETELEM consideró, en esta fase inicial (precontractual), que la documentación aportada era auténtica al no existir evidencias de cortes o falsificación que pusieran en duda su veracidad ni la identidad de la persona que afirmaba ser la afectada. Así las cosas, la entidad entendió que estaba contratando con el titular de los datos. Partiendo de esta convicción, se procedió a la formalización del contrato por medios telemáticos, utilizando el certificado ***EMPRESA.3, por lo que dicha firma ostentaba las garantías establecidas en la normativa reguladora de los servicios de confianza. Una vez formalizado el contrato, CETELEM continúa tratando los datos personales de la afectada para la adecuada gestión del crédito. Posteriormente, CETELEM cedió el crédito a un tercero, ***EMPRESA.2. CETELEM desconocía el supuesto engaño del que fue víctima la afectada, al haber remitido su hermano a un tercero, a través de WhatsApp, copia del DNI y de la última nómina de esta, para el supuesto alquiler de un piso. CETELEM tuvo conocimiento, a través de la policía, de que podían existir fraude en la celebración del contrato de crédito. Tan pronto como tuvo conocimiento de esta circunstancia actuó diligentemente para poner fin a la reclamación del crédito, informado, incluso, a la empresa a la que se le había cedido. En efecto, consta en el expediente que con fecha 21/05/2024 el Dpto. de Prevención de Fraude de CETELEM calificó el contrato en cuestión como fraude, notificando, al día siguiente, tal decisión a ***EMPRESA.2, junto con las consecuencias derivadas de dicha calificación que incluyen: La no reclamación de la deuda La regularización del importe vendido a ***EMPRESA.2 La paralización de las gestiones asociadas a la reclamación de la deuda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 La baja de la afectada de los ficheros de solvencia patrimonial. De lo anterior, y conforme a la documentación que obra en el expediente, cabe concluir que se plantean dudas razonables acerca de los elementos subjetivos con los que ha de contar toda infracción en relación con los hechos anteriormente descritos y que, en consecuencia, pueda atribuírsele la responsabilidad de estos a CETELEM. En consecuencia, procede el archivo de las presentes actuaciones, en aplicación del principio in dubio pro reo. Este principio, como se ha señalado es aplicable al procedimiento administrativo sancionador, en el que la carga de la prueba recae en la administración, señalándose que en caso de duda sobre la responsabilidad del investigado debe realizarse la interpretación más favorable al presunto infractor. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir a CETELEM responsabilidad alguna por el tratamiento de los datos personales de la afectada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO CETELEM, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es