E-00712-2019

1/8 Expediente Nº: E/00712/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO CETELEM, S.A., CAIXABANK CONSUMER FINANCE EFC, S.A.U. y TEYAME 360, S.L., en virtud de denuncia presentada por D. A.A.A. (en lo sucesivo el reclamante) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 06/06/2018 tuvo entrada en esta Agencia escrito del reclamante en el que señala que su identidad ha sido suplantada en la solicitud de varios productos financieros que están produciendo cargos no reconocidos por un total de 6.000€ en su cuenta bancaria. Según informa los hechos se produjeron en este orden cronológico:

1. Con fecha 25/03/2018, el reclamante solicita a WIZINK una tarjeta de crédito a través del canal online; durante el proceso de solicitud aporta: - Dos últimas nóminas - DNI - Recibo bancario donde domiciliar los cargos.
2. Con fecha 28/03/2018 el reclamante recibe un correo electrónico procedente de “mensajeriawizink@teyame.com” solicitándole la nómina del mes de abril. Unos días después de facilitar esta nómina, se concede la tarjeta solicitada.
3. Con fecha 07/05/2018 la entidad BANCO CETELEM, S.A. (en adelante CETELEM) realiza un cargo de 158€ en su cuenta bancaria. Puesto en contacto con CETELEM, se le informa que tiene concedido un préstamo de 3.000€ fruto de unas compras realizadas en un comercio dedicado a la venta de productos Apple. Este mismo día acude a la comisaría de policía a presentar una denuncia por estos hechos.
4. Con fecha 30/05/2018, cargan en su cuenta bancaria otro recibo por importe de 349€ procedente de CAIXA BANK COSUMER FINACE EFC, S.A.U. (en lo sucesivo CAIXA C.F.). Puesto en contacto con la entidad, le informan que dicho cargo corresponde a una compra aplazada de productos Samsung realizada mediante una tarjeta de crédito solicitada el 10/04/2018 a través de la plataforma online de la entidad. Para ello el solicitante aporta la nómina del mes de marzo, el DNI y recibo bancario donde realizar los cargos de la tarjeta de crédito.
5. Con fecha 01/06/2018, presenta denuncia ampliatoria a la presentada el 07/05/
6. En esta denuncia hace constar que tanto la dirección de correo electrónico como el domicilio, no corresponden con los del titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Que según el denunciante los hechos tuvieron lugar entre el 07/05/2018 y 01/06/
7. Y, entre otra, anexa la siguiente documentación: • Denuncia de 07/05/2018 ante la Dirección general de Policía, delegación de Pozuelo de Alarcón. • Denuncia de 01/06/2018 ante la Dirección general de Policía, delegación de Pozuelo de Alarcón, ampliatoria de la anterior. • Intercambio de correos entre el reclamante y la entidad TEYAME para solicitar una tarjeta de crédito de WIZINK SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 26/07/2018 se recibe contestación al traslado de la reclamación realizado por esta Agencia, procedente de la entidad TEYAME 360, S.L. (en lo sucesivo TEYAMÉ), manifestando que la causa de los hechos objeto de la reclamación se encuentra, aparentemente, en la conducta ilegal ejecutada por una o varias personas intervinientes en alguna de las 5 fases del proceso de contratación de las tarjetas de crédito de la entidad WIZINK. En dicho proceso, participan WIZINK, TEYAMÉ, LLEIDA NETWORKS TELEMATICS y TESSI. En este sentido, informan de que después de que LLEIDA NETWORKS certifica la documentación de la identidad, el agente de TEYAMÉ tiene acceso a todos los documentos de la contratación. Conocidos los hechos por primera vez el 26/06/2018, y con el fin de esclarecer los hechos, mantuvieron una reunión interna con el jefe de tecnologías de la información, el abogado de la entidad y con los responsables de la empresa de ciberseguridad Secure and IT Proyectos, S.L. (en adelante, Secure&IT) para analizar la información existente en ese momento, prestando especial atención al proceso de contratación de las tarjetas de WIZINK. Se decidió encargar una investigación pericial a la compañía Secure&IT consistente en el análisis informático de todos los ordenadores de TEYAMÉ 360, S.L. vinculados a la realización de la campaña WIZINK. A raíz de las denuncias presentadas por el reclamante, el 28/06/2018 celebraron una reunión conjunta con WIZINK, TEYAMÉ e investigadores de la policía para examinar los hechos. Los investigadores de la policía recaban la lista de todo el personal de la plantilla de TEYAMÉ y dan instrucciones expresas de mantener discreción y para que la actividad siga con normalidad con objeto de no alertar a los posibles autores de los hechos. Los resultados de la investigación pericial fueron entregados a la policía. Una vez comprobado el listado de personal por los investigadores de la policía, se dirigió la atención hacia una persona en concreto, que sola o en concurrencia de alguna otra, podría estar implicada en lo ocurrido. TEYAMÉ informa de todos estos hechos de forma pormenorizada al reclamante ofreciéndole a su vez la posibilidad de ejercitar sus derechos legales en materia de protección de datos personales. No obstante, según manifestación de la investigada, a día de envío de este escrito, no se ha recibido ninguna petición en este sentido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Se adjunta carta enviada al reclamante explicando las actuaciones iniciadas. Con fecha de 14/05/2019 se recibe en esta Agencia nuevo escrito de la entidad TEYAMÉ exponiendo que, como resultado de las investigaciones llevadas a cabo y las conclusiones obtenidas; con fecha de 26/07/2018 funcionarios del Cuerpo Nacional de Policía procedieron a la detención de la empleada que se estimaba había sido la autora de los hechos denunciados. A la vista de lo sucedido, la persona que presuntamente había cometido los hechos denunciados y que había sido detenida por la policía, fue, ad cautelam y prudencialmente, despedida de la compañía. Todas estas actuaciones indican el cumplimiento de diligencia debida por parte de la entidad TEYAMÉ, tanto en la contratación de la tarjeta de WIZINK, que contó con la intermediación de un tercero de confianza para la firma electrónica, como en el esclarecimiento de los hechos denunciados. Con fecha de 13/05/2019 se recibe en esta Agencia escrito de la entidad CAIXABANK C.F. manifestando que existe un contrato de crédito suscrito por el reclamante con CAIXABANK C.F. de fecha 06/04/2018 en el que aparecen, además de su nombre y apellidos, su domicilio, DNI, teléfono, datos de domiciliación bancaria y límite de crédito autorizado de 3.000€. Que esta contratación, se realizó con la intermediación de Coloriuris, S.L. (prestador de servicios electrónicos de confianza cualificado, en lo sucesivo Coloriuris) para la firma y el sellado de tiempo. Que CAIXABANK C.F. actuó, en todo momento, en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal. Finalmente, CAIXABANK C.F., informa de que tan pronto tuvo conocimiento de un presunto fraude o falsificación en la contratación, los datos de carácter personal referentes al crédito, fueros suprimidos por fraude con fecha 27/07/2018 y se mantienen bloqueados a disposición únicamente de esta Agencia u otros Órganos administrativos o judiciales. Se adjuntan contrato de solicitud de crédito donde figura como titular y DNI los correspondientes al reclamante, siendo el domicilio, el teléfono móvil y el correo electrónico diferentes de los declarados por el reclamante en la reclamación, certificado emitido por Coloriuris, imagen del DNI del reclamante, intercambio de correos electrónicos entre el reclamante y CAIXABANK C.F. de la solicitud de la documentación del crédito que fue satisfecha. Con fecha de 13/05/2019 se recibe en esta Agencia escrito en nombre y representación de la entidad BANCO CETELEM, S.A.U. (en adelante, CETELEM) que recoge las siguientes manifestaciones: Que se encuentran ante lo que parece un delito de usurpación de estado civil del cual es víctima el reclamante. Que el 06/04/2018, quien dijo ser el denunciante realizó unas compras en el establecimiento Macnífico que financió con mi mandante y que CETELEM abonó al establecimiento. Que consta en el expediente el contrato que fue firmado mediante firma electrónica con la intervención de la empresa Logalty como tercero de confianza cualificado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Se acompaña el contrato, así como el certificado emitido por el tercero de confianza referido. Que quien se identificó como el reclamante, aportó para la firma del contrato la documentación obligatoria para la identificación del firmante y de los ingresos, así como de la titularidad de la cuenta corriente en la que se presentarían las mensualidades al cobro. Se acompaña igualmente imagen del Documento Nacional de Identidad en vigor aportado para la contratación, justificante de titularidad de cuenta corriente, solicitud y contrato de tarjeta de crédito donde figura como titular y DNI los correspondientes al reclamante, siendo el domicilio, el teléfono móvil y el correo electrónico diferentes de los declarados por el reclamante en la reclamación. Se adjunta también, certificado emitido por Logalty con sello de tiempo.
8. Durante las actuaciones de inspección se ha recogido las siguientes referencias normativas: a. La entidad investigada CAIXABANK C.F., hace referencia al cumplimiento de la Ley 59/2003 relativa a la firma electrónica y al Reglamento (UE) 9010/2014 relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior. b. La entidad investigada CETELEM hace referencia al cumplimiento del artículo 6 de la Ley 15/199 sobre protección de datos personales, y el artículo 25 de la Ley 34/2002 sobre los servicios de información y comercio electrónico. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 II El artículo 6.1 de la LOPD dispone lo siguiente: “
9. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que: “
10. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo) … “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 III De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación de las reclamadas para ejercer la potestad sancionadora. En el presente caso, el reclamante declara que su identidad ha sido suplantada en la contratación de varios productos financieros provocando cargos no deseados en su cuenta bancaria, que comienzan a raíz de la solicitud de una tarjeta de crédito a WIZINK través de canal online, gestionada a través de TEYAME, cuyo objeto social es la intermediación y comercialización de contratos de préstamo o crédito mediante la presentación, propuesta o realización de trabajos preparatorios para la celebración de los mencionados contratos por entidades de crédito. Como consta en los antecedentes, una vez que los hechos fueron puestos en conocimiento de la policía, las investigaciones se centraron en un empleado de la plantilla de TEYAME que bien sola o bien en concurrencia con otra/s estaría implicada en los hechos reclamados, procediéndose a su detención siendo despedida de la compañía y le lleva a informar de manera pormenorizada al afectado de las incidencias producidas ofreciéndole la posibilidad de ejercitar acciones legales. Asimismo, CAIXABANK C.F. ha informado que tan pronto tuvo conocimiento del presunto fraude o falsificación, los datos de carácter personal referentes al crédito fueros suprimidos manteniéndose bloqueados y a disposición de esta Agencia u otros órganos administrativos o judiciales. La entidad adjuntaba el contrato de solicitud de crédito donde figuraban los datos de carácter personal e imagen del DNI del reclamante, certificado emitido por la empresa Coloriuris que intervino en la contratación, intercambio de correos electrónicos entre el contratante y CAIXABANK C.F. relativos a la solicitud de la documentación correspondiente al crédito solicitado. De la misma forma, CETELEM, informaba de lo que parecía ser un delito usurpación de estado civil del cual era víctima el reclamante, señalando que quien dijo ser el reclamante había realizado unas compras en el establecimiento Macnífico que fueron financiadas a través de CETELEM. Aporta el contrato firmado mediante firma electrónica con la intervención de la empresa Logalty como tercero de confianza cualificado, que certifica que el proceso de firma se efectuó con verificación de la identidad del contratante mediante el envío de SMS al teléfono facilitado en la solicitud de préstamo, adjuntando asimismo como documentos identificativos de la identidad; quien se identificó como el reclamante, aportando la documentación obligatoria para la identificación del firmante, de sus ingresos, la titularidad de la cuenta corriente, imagen del DNI en vigor, etc. Todas estas actuaciones indican el cumplimiento de una diligencia razonable por parte de las entidades intervinientes, tanto en la contratación de la tarjeta, que contó con la intermediación de un tercero de confianza para la firma electrónica, como en el esclarecimiento de los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Además, como se señala anteriormente CAIXA, C.F. tan pronto tuvo conocimiento del presunto fraude en la contratación suprimió los datos de carácter personal referentes al crédito, bloqueándolos y poniéndolos a disposición de la Administración y Tribunales; actuación que paralelamente es esperable de TAYAME y CETELEM. Por tanto el tratamiento realizado por TEYAME, CAIXA, CF y CETELEM se ajusta a lo establecido en el artículo 6 de la LOPD al concurrir en el procedimiento examinado el supuesto de existencia de relación contractual entre las partes, llevados todas ellas de la creencia de que quien contrataba era quien decía ser y, sin perjuicio que dicha relación pueda ser cuestiona ante el orden jurisdiccional correspondiente habida cuenta que el reclamante manifiesta y así lo denunció ante la Policía que alguien suplantó su identidad utilizando sus datos personales para contratar con las citadas entidades operaciones financieras utilizando copias de documentos identificativos de su personalidad tales como su DNI, una nómina y acreditación de titularidad de cuenta bancaria. En este sentido cabe hacer mención a la Sentencia de la Audiencia Nacional 29/04/2010, Rec. 700/2009, que indica lo siguiente: “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificar la identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en la LOPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8
11. PROCEDER AL ARCHIVO de las presentes actuaciones.
12. NOTIFICAR la presente Resolución a BANCO CETELEM, S.A. con NIF A78650348, CAIXABANK CONSUMER FINANCE EFC, S.A.U. con NIF A08980153, TEYAME 360, S.L. con NIF B86045382 y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es