1/7 Expediente N.º: EXP202204786 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de marzo de 2022, se presentó reclamación con número de registro de entrada REGAGE22e00008041211, REGAGE22e00008042079, REGAGE22e00008042891 y REGAGE22e00008044512 ante la Agencia Española de Protección de Datos contra BANCO CETELEM, S.A. con NIF A78650348 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que le reclaman el pago de una deuda asociada a la contratación de un préstamo para financiar la compra de una cocina, sin su consentimiento, y usurpando su identidad. Junto a la notificación se aporta contrato sin firmar y reclamación efectuada ante la reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 25 de abril de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 25 de mayo de 2022 se recibe en esta Agencia escrito de respuesta indicando que se siguieron todos los protocolos requeridos para la firma del contrato, indican que para la firma del contrato de la línea de crédito se le requirió a la reclamante toda la documentación obligatoria para la identificación del firmante y de los ingresos (DNI, nómina, recibo del banco y factura de teléfono), la cual aportó, quedando acreditada su identidad. TERCERO: Con fecha 18 de junio de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Los representantes de la entidad manifiestan que la cronología de los hechos es la siguiente: 1. El 25 de octubre de 2021, quien se identifica como la reclamante dio de alta un contrato de línea de crédito con Cetelem, en concreto un Contrato de Tarjeta de Crédito Sistema Flexipago. 2. El 1 de diciembre 2021, tras la devolución de 2 recibos, se produce la entrada del cliente en fase 2 y, el 9 de diciembre de 2021 se envía un email a la persona identificada como la reclamante informando de su deuda y la situación que tiene de impago. 3. Con fecha de 15 de diciembre de 2021, se envía mensaje de texto al número de teléfono aportado por la persona identificada como la reclamante, solicitándole que se ponga en contacto con la entidad. 4. A fecha de 16 de diciembre de 2021, la reclamante/cliente reacciona al envío del mensaje y contacta con Banco Cetelem. Hay una entrevista para verificar datos y se le comunica al cliente protocolo para interponer la denuncia en situaciones de Fraude como la que alega. Se le facilita información relativa y se le solicita que interponga la denuncia. 5. Para que pueda realizar la correspondiente denuncia, tal y como se le informa desde Banco Cetelem, el 17 de diciembre de 2021, se produce el envío del contrato a la reclamante. 6. A día de hoy, no se ha recibido ninguna denuncia ante las Autoridades poniendo en su conocimiento esta situación de Fraude. 7. A lo largo de enero de 2022, se acumulan deudas impagas y se producen varias comunicaciones. De ellas, el 18 de enero, se produce llamada de la reclamante desde un teléfono distinto al facilitado, indicando que no se va a proceder a facilitar ningún otro teléfono de contacto. 8. El 24 de enero de 2022, el departamento de Reclamaciones, volvió a contestar a la solicitud de la reclamante, informándole, entre otras cosas, de la necesidad de acudir a las Autoridades a denunciar los hechos acontecidos respecto de su contratación presuntamente fraudulenta. 9. El 18 de febrero de 2022 y ante otra solicitud de la reclamante ante el Dpto. de Reclamaciones de Banco Cetelem se vuelve a reiterar a la reclamante que acuda a las Autoridades Competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 10. Tras varios contactos informando de la situación y solicitando denuncia ante la autoridad competente, el 24 de febrero de 2022, se informa al reclamante que pasa a contencioso. 11. Con fecha 25 de febrero de 2022, se produce la cancelación de la tarjeta. En relación con la documentación requerida a la firma del contrato a la reclamante, los representantes de Banco Cetelem indican que se aportó para la firma del contrato de su línea de crédito documentación obligatoria para la identificación del firmante y de los ingresos. Concretamente a la reclamante se le pide Documento Nacional de Identidad, nómina, recibo del banco y factura de teléfono. Aportan copia de toda la documentación requerida a la firma del contrato: 1. Documento de Identificación Fiscal de la reclamante por ambas caras. 2. Justificación de Ingresos que corresponde con la identidad de la reclamante. 3. Recibo de domiciliación bancaria correspondiente a los datos de la reclamante, siendo la factura del teléfono móvil. 4. Recibo bancario donde figuran los datos identificando al reclamante. Procedimiento seguido por Banco Cetelem para verificar la identidad de la reclamante: 1. En fecha 15 de octubre 2021 la persona identificada como la reclamante procede a iniciar operaciones de compra financiada en portal web. 2. Al continuar con el proceso de contratación, se realizan internamente las validaciones de Sistema Experto y otros procesos de validación previos. 3. En cuanto se dispone de autorización para realizar la operación, desde la Entidad se requiere la documentación identificativa. El procedimiento requiere documento de identificación fiscal de la reclamante por ambas caras, justificación de ingresos, recibo del banco y factura del teléfono móvil. 4. La contratación del referido préstamo se efectuó por internet mediante un proceso de firma electrónica validada por un tercero de confianza (LOGALTY) que certifica que el proceso de forma se efectuó con verificación de la identidad del contratante mediante el envío de SMS al teléfono facilitado en la solicitud del préstamo, adjuntando la documentación contractual y un código que debía ser introducido en el sistema para proseguir con la firma electrónica del contrato. 5. Aportada la documentación se procede al inicio del estudio de la operación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 6. Finalmente, la operación supera unos procesos de validaciones automáticas del documento de identificación (DNI), de la Tesorería General de la Seguridad Social (nómina) y documentación acorde al manual de riesgo de la entidad. Los representantes de la entidad aportan copia del contrato firmado digitalmente. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 IV Conclusión En el presente caso, el BANCO CETELEM actuó en todo momento siguiendo con los protocolos establecidos para verificar la identidad del reclamante y firma del contrato de una línea de crédito (dni por ambas caras, justificación de ingresos, recibo del banco y factura del teléfono móvil). Los cuales la reclamante presentó para poder acceder a la línea de crédito. BANCO CETELEM, presenta también contrato firmado digitalmente por la reclamante. Por lo tanto, el tratamiento de los datos se realizó, de acuerdo con la documentación recibida, con una causa legitimadora de los mismos, la ejecución de la relación contractual del BANCO CETELEM con la reclamante. En cuanto la cesión de los datos a un tercero, hay que decir que en el primer escrito que la reclamante remite a esta Agencia, indica que su padre le pidió a la persona que llamaba en nombre de CETELEM que le enviara un correo electrónico a su dirección personal con el contrato en cuestión, para poder denunciar los hechos antes las autoridades policiales Decir que, CETELEM envía todas las comunicaciones a este correo al no tener otra forma de contactar con la reclamante. Respecto a la inclusión en el registro de morosos, una de las vías de comunicación más utilizadas es mediante el contrato financiero, cuando se advierte en el de la posibilidad de incluir los datos del deudor en un fichero de morosos en caso de impago de deuda, como es el caso. Hay que decir que se mantiene la exigencia del requerimiento previo de pago, pero basta con que la advertencia de inclusión en el fichero de morosos se hubiera realizado en el contrato financiero. A la reclamante, se le informa su inclusión en el registro de morosos mediante correo electrónico con fecha 10 de enero de 2022 que se le envía a la dirección que facilita ron para el envío del contrato. La reclamante indica en su reclamación que se trata de una suplantación de identidad ya que, en los datos aportados por la solicitante en el contrato, solo coincide su DNI y su nombre, los datos de número de cuenta, recibo de teléfono, etc. son erróneos. Por su parte el BANCO CETELEM le informó en su primera comunicación que debía interponer una denuncia antes las autoridades competentes. No consta que se haya realizado esa denuncia, con salvedad de la presentada ante esta Agencia. La AEPD informa que es competente para comprobar el cumplimiento de la normativa referente al tratamiento de datos y no para determinar la existencia de una falsificación documental alegada por la interesada, hecho que deberá denunciar ante la autoridad competente. En consecuencia, se procede al archivo de las presentes actuaciones al no haberse encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO CETELEM, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es