E-00630-2020

1/7  Procedimiento Nº: E/00630/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: El Juzgado de Primera Instancia e Instrucción número 1 de ***LOCALIDAD.1, con fecha 18 de diciembre de 2019 pone en conocimiento de la Agencia Española de Protección de Datos la presente sentencia por si fuera preciso iniciar procedimiento sancionador por la utilización indebida de datos personales de D. A.A.A. Y anexa copia de sentencia nº ***SENTENCIA.1 donde consta, entre otros:  Que es denunciante D. A.A.A.  Que D. B.B.B. formalizó un préstamo por importe de 200€ con KREDITECH, actualmente MEDIUS COLLECTION S.L., aportando datos personales de D. A.A.A., con el fin de eludir el pago del referido importe más los intereses correspondientes, el cual fue reclamado judicialmente al D. A.A.A. por dicha entidad (juicio verbal nº ***JUICIO.1 del Juzgado de 1ª Instancia e Instrucción nº2 de ***LOCALIDAD.1).  Que D. A.A.A. no ha tenido que asumir el pago del préstamo.  “El denunciante, por su parte, ha sufrido un perjuicio indirecto por las molestias que suponen tener que demostrar que no ha sido el verdadero contratante del producto (demanda civil, denuncia, llamadas telefónicas, asistencia a juicio...), todo ello, motivado por las escasas medidas de seguridad que adoptan las empresas prestamistas al aceptar este tipo de contrataciones, sin establecer mecanismos que aseguren la autenticidad de los datos aportados. Por ello, la presente sentencia debe ser comunicada a la Agencia Española de Protección de Datos a fin de que adopte las medidas necesarias por no haberse observado tales garantías y proceda a iniciar procedimiento sancionador si ello resultare procedente.” SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Con fecha 23 de junio de 2020, MONEDOSPAIN, S.L. con NIF B65895252 remite a esta Agencia la siguiente información y manifestaciones: 1. Que en fecha 27 de enero de 2016 una persona procedió a solicitar un préstamo por importe de 200€ en la web ***URL.1. Que la solicitud del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 préstamo se realizó con el nombre de D. A.A.A. desde un dispositivo con dirección IP ***IP.1 1. Que el contrato de préstamo se celebró a distancia usando medios electrónicos que permitieron dejar constancia del contenido, así como de la celebración y conclusión mediante la aceptación del solicitante de los términos y condiciones durante el proceso de solicitud. Que, durante el proceso de solicitud, el solicitante está obligado a aceptar los términos y condiciones para poder finalizar el proceso de solicitud. Se aporta copia de contrato de préstamo sin fechar y sin firma siendo el prestatario D: A.A.A. y siendo el prestamista KREDITECH SPAIN, S.L. con CIF B65895252. Se aporta factura nº ***FACTURA.1 de fecha de emisión 27/01/2016 a nombre de A.A.A. donde consta como “importe préstamo concedido” la cantidad de 200€. 2. Que el proceso de solicitud de préstamos establecido en el año 2016 era: a. El solicitante a través de Kredito24.es simula el préstamo. b. A continuación, el solicitante debe incluir sus datos de contacto (nombre, apellidos, género, fecha de nacimiento y correo electrónico) y de esta manera crea el usuario en la web. c. Posteriormente se solicitan los datos personales que constan del DNI (número, dirección postal etc) donde se debe confirmar la ubicación para mayor seguridad. d. Después se rellenan datos relativos a su situación laboral y familiar. e. Por último, se confirma la cuenta bancaria del solicitante. Que Kreditech contaba con el sistema KontoConnect que se conecta al banco del solicitante usando una conexión segura. Esto permite introducir los datos bancarios del solicitante. El motivo de esta verificación era confirmar la titularidad de la cuenta bancaria para poder realizar la transferencia. f. Finalmente, si todo el proceso se realiza sin incidencias detectables, se envía un correo electrónico al solicitante mediante el que debe aceptar los términos y condiciones del contrato de préstamo y así se completa el proceso de formalización del préstamo. Aporta capturas de pantalla de un proceso de ejemplo. 3. Que durante la solicitud del préstamo se aplicaron las medidas de seguridad detalladas en el punto anterior y que no se detectó ninguna incidencia y se siguieron todos los pasos anteriores. 4. Que, como consecuencia del impago por parte del solicitante, MONEDO procede a ceder su posición del préstamo en fecha 1 de febrero de 2016 a la agencia MEDIUS COLLECTIONS, S.L. 5. Que, en noviembre de 2018, MEDIUS COLLECTIONS, S.L. solicita a MONEDO la devolución del préstamo con referencia ***REFERENCIA.1, siendo el motivo de dicha solicitud la Sentencia número ***SENTENCIA.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 dictada por el Juzgado de Primera Instancia e Instrucción nº2 de ***LOCALIDAD.1, donde se menciona una posible suplantación de identidad. 6. Que tan pronto como MEDIUS COLLECTIONS, S.L. informa a MONEDO sobre la posible suplantación de identidad, MONEDO recompró el préstamo de referencia y paralizó cualquier tipo de acción dirigida a la reclamación de la deuda. 7. Que a fecha de hoy MONEDO tienen implementadas las siguientes medidas de seguridad: a. De conformidad con la Ley 10/2010, el cliente que desea contratar un préstamo con MONEDO debe remitir una copia de su documento nacional de identidad válido y legible. b. Que dicho documento sea validado por un empleado de forma manual para comprobar que los datos aportados por el cliente son coincidentes con los proporcionados durante la solicitud del préstamo, así como con el nombre completo aportado con la entidad financiera al realizar la transferencia de un euro. Que, en el supuesto de existir discrepancias, el préstamo no es concedido. 8. Manifiesta que “En Abril de 2018, Monedo implementó, el paso obligatorio mediante el cual el solicitante de un préstamo debe realizar una transferencia de un euro que permite a Monedo verificar los datos facilitados por sus clientes no presenciales, validando así, (

1. i)que su identidad se corresponde con la introducida en el formulario de solicitud y (
2. ii)por otro, tener la certeza de que los mismos ya son clientes de una entidad de crédito, lo que a su vez implica que la referida persona cumplió con todos los requisitos necesarios para establecer relaciones de negocio con dicha entidad a efectos de la Ley 10/2010.” 9. Que desde el 1 de octubre de 2019 se ha introducido un control adicional como es exigir a los clientes que firmen los contratos de préstamo mediante un código enviado a su teléfono móvil. 10. Y concluye manifestando que: “1. Desde Abril de 2018, Monedo ha venido aplicando medidas de diligencia debida y controles de acuerdo con la normativa española de conformidad con la Ley 10/2010 de Prevención de Blanqueo de Capitales y Financiación del Terrorismo. Así, el artículo 12.1b) de la mencionada Ley establece: Los sujetos obligados podrán establecer relaciones de negocio o ejecutar operaciones a través de medios telefónicos, electrónicos o telemáticos con clientes que no se encuentren físicamente presentes, siempre que concurra alguna de las siguientes circunstancias: [...]
3. b)El primer ingreso proceda de una cuenta a nombre del mismo cliente abierta en una entidad domiciliada en España, en la Unión Europea o en países terceros equivalentes. 2.Asimismo, recordar que Monedo aplicó todas las medidas de diligencia debida y controles de con anterioridad a la publicación del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), que entró en vigor en fecha 25 de mayo de 2018. Por ello, Monedo ha venido cumpliendo con todas las medidas legalmente establecidas de conformidad con la normativa vigente.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Los hechos objeto de la reclamación quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y a su Reglamento de desarrollo, aprobado por el Real Decreto 1720/2017 (RLOPD). En el supuesto que nos ocupa hay que analizar el tratamiento de datos llevado a cabo en el año 2016, fecha en que se contrató el crédito con KREDITECH, actualmente MEDIUS COLLECTION S.L. sin su consentimiento. En cuanto al tratamiento de datos del denunciante con KREDITECH, actualmente MEDIUS COLLECTION S.L., cabe señalar que el artículo 6 de la LOPD, señala lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo) señala que: “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. III La Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal, dispone en su artículo 47, bajo la rúbrica “Prescripción: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor. 4. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años y las impuestas por faltas leves al año. 5. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquel en que adquiera firmeza la resolución por la que se impone la sanción. 6. La prescripción se interrumpirá por la iniciación, con conocimiento del interesado, el procedimiento de ejecución, volviendo a transcurrir el plazo si el mismo está paralizado durante más de seis meses por causa no imputable al infractor.” En este caso concreto, desde que se tiene conocimiento que se produjeron los hechos hasta la fecha de la denuncia, figura prescrita al haber transcurrido más de cuatro años desde su comisión, de acuerdo con lo que señala el artículo 47.1 y 2 de la LOPD: ”1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.” Es importante resaltar que en la actualidad la reclamada se ha adecuado al RGPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es