1/22 Expediente Nº: E/02202/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad KREDITECH SPAIN, S.L. en virtud de denuncia presentada por DER HAMBURGISCHE BEAUFTRAGTE FUR DATENSCHUTZ UND INFORMATIONSFREIHEIT y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 20 de enero de 2016 tiene entrada en esta Agencia un escrito de DER HAMBURGISCHE BEAUFTRAGTE FUR DATENSCHUTZ UND INFORMATIONSFREIHEIT, autoridad de protección de datos de Hamburgo, en el que declara: El Comisionado de Protección de Datos y Libertad de Información de Hamburgo está llevando a cabo actualmente una investigación contra KREDITECH HOLDING SSL GMBH, cuya sede se encuentra en Alemania. El Grupo KREDITECH ofrece a los consumidores préstamos a través de varios sitios web nacionales. Dichos sitios web están todos administrados fuera de Alemania. El método de aprobación de créditos de KREDITECH se basa en procesos de puntuación totalmente automatizados. Durante el proceso de solicitud de crédito en línea, los clientes proporcionan a KREDITECH sus datos personales relevantes subiendo documentos al sitio web y dan su consentimiento a una serie de recopilaciones de datos (p. ej. por parte de agencias de solicitud de crédito accesibles por Internet). El modelo de negocio, así como su implementación, suscitan objeciones por varios motivos. En concreto, no parece cumplir numerosos requisitos de la legislación europea relativa a la protección de datos. La estructura organizativa del Grupo KREDITECH nos dificulta la persecución de estas infracciones. El motivo es que solo KREDITECH Holding, como empresa matriz, tiene su sede en Alemania, mientras que el negocio de KREDITECH se desarrolla en los distintos países a cargo de las empresas filiales locales. Una de estas filiales es KREDITO24 SPAIN, S.L., sita en la (C/...1) Barcelona. De acuerdo con la información de la que disponemos, KREDITO24 SPAIN debe considerarse el responsable del tratamiento de los datos. Supuestamente, el holding alemán KREDITECH solo procesa los datos de los clientes en nombre de estos responsables del tratamiento de los datos. Según la legislación europea, ustedes son la autoridad de protección de datos responsable que debe ocuparse del tratamiento de datos llevado a cabo por KREDITO24 SPAIN. Le ofrecemos a continuación nuestra evaluación a fin de que puedan tomar las medidas necesarias. Observamos principalmente lo siguiente:
- Recopilación extensa de datos Para preparar la aprobación del crédito, las empresas filiales de KREDITECH recopilan un amplio abanico de datos de carácter personal que se inmiscuyen de lleno en la intimidad de sus clientes. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/22 Además de la información proporcionada por el solicitante, utilizan datos que se hallan a disposición pública en Internet. También analizan el comportamiento del solicitante al navegar por Internet. A estos efectos, no solo los sitios web del Grupo KREDITECH sino también varios sitios web asociados recopilan datos, por ejemplo sobre la interacción del usuario con elementos de las páginas web respectivas. No conocemos los algoritmos exactos utilizados para el análisis de los datos, pero es de suponer que usan los datos para generar perfiles amplios de usuario. Si es posible, el algoritmo incluso explora la cronología de Facebook del solicitante, que es un espacio privado en las redes sociales para comunicarse entre amigos y allegados. Aunque este componente solo se usa si existe el consentimiento específico del solicitante, KREDITECH no pide a otros usuarios de Facebook su consentimiento, a pesar de que sus datos también se recopilan con este método. Aparte de eso, cabe dudar de que el consentimiento del solicitante se haya otorgado voluntariamente. En primer lugar, el potencial deudor podría ser recompensado por compartir sus datos de Facebook o al menos se le ofrece un tratamiento preferencial. En segundo lugar, los solicitantes que son rechazados sin dar su consentimiento a la recopilación de datos de las redes sociales probablemente se ven forzados a ofrecer dicha información al ser KREDITECH el único medio a su alcance para pedir prestado dinero. Además, es obligatorio para los solicitantes indicar la contraseña de sus cuentas bancarias en Internet para permitir al programa examinar todas las transacciones producidas en los últimos sesenta días. En resumen, el algoritmo automatizado obtiene un conocimiento amplio y profundo del entorno del solicitante. Teniendo en cuenta que KREDITECH también posee calificaciones de agencias de solicitud de crédito externas y que los deudores potenciales solo solicitan pequeños importes de crédito, consideramos que la recopilación extensa de datos es desproporcionada.
- Decisiones individuales automatizadas El programa de KREDITECH, que KREDITECH Holding en Alemania gestiona como un servicio para sus empresas filiales, ejecuta todos los pasos del proceso de aprobación de crédito. El análisis de los datos personales proporcionados así como la decisión sobre los tipos de interés se llevan a cabo automáticamente. Considerando el hecho de que, según la legislación europea, las decisiones sobre las condiciones para el otorgamiento de préstamos que deben cumplir las personas están prohibidas si producen efectos jurídicos negativos y están basadas exclusivamente en procesos automatizados (artículo 15
(1)de la Directiva 95/46/CE), el método de KREDITECH es problemático.
- Consentimiento no otorgado libremente A los potenciales deudores de KREDITECH sus créditos les cuestan muy caros. Según reportajes de prensa, Kredito24 Spain cobra intereses anuales a tipos de hasta el 3.752%. Estos costes extremos deben calificarse de usura, razón por la que tales tipos de interés normalmente están prohibidos en Alemania según el derecho civil alemán. En este contexto, los clientes que deciden pedir dinero prestado a KREDITECH se sienten fuertemente obligados a hacerlo, ya que no tienen acceso al mercado de capitales normal y a los créditos a tipos de interés normales. Obviamente, necesitan con urgencia un dinero que ningún banco comercial les prestaría. Este dilema les lleva a depender del Grupo KREDITECH. Por lo tanto, los deudores potenciales suelen dar su consentimiento a las recopilaciones de datos de KREDITECH debido a una exigencia, por lo que resulta muy dudoso que hayan dado su consentimiento de forma voluntaria. Por consiguiente, KREDITECH podría estar recopilando y analizando datos personales sin un fundamento jurídico válido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/22
- Retención indefinida Los datos de carácter personal no se borran de forma regular. El holding KREDITECH almacena permanentemente los datos que recopilan sus empresas filiales y los evalúa constantemente para optimizar el algoritmo de puntuación. Solo si una persona solicita la eliminación de sus datos, se lleva a cabo una así llamada “anonimización” de datos. El nombre de la persona así como toda información directamente relacionada con la misma se eliminan del registro de datos, mientras que el registro en sí permanece en manos del depositario. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Mediante la correspondiente diligencia ha podido comprobarse que: a. En la web https://www.kredito24.es se pueden solicitar préstamos rápidos de hasta 750 €. En dicha web se captan datos de carácter personal, informándose que el responsable de dicha web es KREDITECH Spain, S.L. La web citada tiene una página dedicada a la Política de Privacidad en donde informa respecto de la recogida de datos de carácter personal: <<Los datos de carácter personal suministrados por el Usuario a través de:
(1)la navegación a través del sitio web www.kredito24.es ,
(2)formularios de recogida de datos,
(3)correos electrónicos o medios de comunicación electrónica equivalente,
(4)telefónicamente o a través de cualquier otro medio de comunicación a distancia,
(5)así como los obtenidos por correo ordinario serán tratados con la máxima confidencialidad y serán incorporados a un fichero de titularidad de KREDITECH SPAIN S.L., con domicilio social en (C/...2), Madrid. La información personal recogida por KREDITO24 podrá incluir
(1)nombre,
(2)fecha de nacimiento,
(3)dirección,
(4)número de teléfono,
(5)género,
(6)dirección de correo electrónico,
(7)localización,
(8)DNI o NIE,
(9)detalles bancarios,
(10)cualquier otro tipo de información financiera,
(11)información disponible en ficheros sobre solvencia patrimonial,
(12)información contenida en fuentes de acceso público necesarias para tomar la decisión del préstamo. Salvo disposición contraria legal, no se recogerá, almacenará, usará o transferirá datos especialmente protegidos (art 7 LOPD) sin el previo consentimiento expreso y escrito del Usuario. Los servidores del Sitio Web podrán detectar de manera automática la dirección IP y el nombre de dominio utilizados por el Usuario. Una dirección IP es un número asignado automáticamente a un ordenador cuando éste se conecta a Internet. Toda esta información es registrada en un fichero de actividad del servidor debidamente inscrito que permite el posterior procesamiento de los datos con el fin de obtener mediciones únicamente estadísticas que permitan conocer el número de impresiones de páginas, el número de visitas realizadas a los servicios web, el orden de visitas, el punto de acceso, etc.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/22 Respecto de las cesiones y transferencias internacionales de datos: <<El Usuario autoriza expresamente la transferencia y tratamiento de datos personales a la casa matriz de la sociedad mercantil KREDITO24, KREDITECH HOLDING SSL GmbH, ubicada en Alemania y debidamente inscrita en el Registro Mercantil de la ciudad de Hamburgo, la cual ha desarrollado tecnología que le permite asistir a KREDITO24 en el proceso de evaluar las solicitudes de préstamo. Asimismo, en el ejercicio de los derechos nacidos como consecuencia del contrato de préstamo entre KREDITO24 y prestatario, los datos personales de éste podrán serán transferidos a KREDITECH SPV I S.A., compañía creada bajo las leyes de Luxemburgo. En todo caso, los datos personales transferidos serán los estrictamente necesarios para el ejercicio de los derechos de cobro contractuales. En particular, incluirán la información de contacto del prestatario así como cualquier cantidad adeudada como consecuencia del contrato de préstamo entre KREDITO24 y el prestatario. En el evento de transferencia a terceros, KREDITO24 garantizará que los receptores respetarán que los datos otorgados se utilicen expresamente para las finalidades de tratamiento acordadas.>> Respecto al acceso de ficheros de terceros, informa la entidad: <<Con motivo de la solicitud del préstamo, y del consentimiento prestado por el Usuario mediante la aceptación de los presentes términos, KREDITO24 podrá acceder a la información relativa del Usuario existente en ficheros de datos personales de titularidad de Terceros, entre otros: Ficheros sobre solvencia patrimonial y crédito como ASNEF o Experian Ficheros con información cuando el Usuario conecta su banca online con el sitio web Ficheros de prevención del fraude Ficheros y herramientas para la verificación de la identidad Ficheros con información sobre los sitios web visitados y los motores de búsqueda utilizados, con el único propósito de evaluar el riesgo de fraude de la solicitud de préstamo, prestado por la compañía Addthis® Cualesquiera otras fuentes accesibles al público El Usuario otorga su consentimiento expreso para que KREDITO24 solicite a sus proveedores de pagos terceros, información sobre la ejecución de órdenes de pago realizados a través de dichos terceros a favor del Usuario, a fin de determinar que dicho pago haya sido recibido por el Usuario en aras de prevenir y actuar respecto a cualquier uso ilegal de los Servicios prestados por Kredito24. A su vez y con base en lo anterior, el Usuario otorga dicho consentimiento al proveedor(
- es)de pagos tercero(
- s)para que provea la información solicitada por KREDITO24 en los términos de lo anteriormente dispuesto. Dichos datos serán utilizados únicamente para los fines enumerados anteriormente.>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/22 Respecto del ejercicio de derechos ARCO: <<En todo momento, el Usuario podrá ejercitar sus derechos de acceso, oposición, rectificación y cancelación, de conformidad con lo establecido en Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), mediante un mail dirigido a info@kredito24.es o mediante petición escrita dirigida a la oficina comercial de KREDITECH SPAIN S.L. situada en (C/...2), Madrid, , acompañando el DNI, e incluyendo en la comunicación la referencia “Protección de datos de carácter personal” .>> b. KREDITECH SPAIN SL tiene inscritos en el Registro General de Protección de Datos los ficheros CLIENTES Y/O PROVEEDORES y CLIENTES DEUDORES, ambos con transferencias internacionales autorizadas a la entidad TWILIO INC, con sede en EEUU. c. TWILIO INC es una empresa de telecomunicaciones, que presta una plataforma de llamadas telefónicas y mensajería de texto a través de Internet. 2. Durante los días 23 de noviembre y 7 de diciembre de 2016 se realizó inspección a KREDITO24 en las que los representantes de la entidad realizaron las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores: a. La actividad de la entidad consiste en la concesión de préstamos rápidos a través de distintas webs, como www.kredito24.es, www.monedo.es, www.zaimo.es, y www.flexinero.es. La web www.flexinero.es no está disponible, está sin actividad y sin créditos activos. La web www.zaimo.es redirecciona actualmente a www.monedo.es. En la web www.kredito24.es se dan créditos hasta 750 € en un solo pago y en www.monedo.es se dan créditos de hasta 5000 € con pagos a plazos. La sociedad está inscrita en el registro mercantil desde el año 2012, pero comenzó operaciones en 2013. El año 2015 recibieron aproximadamente un millón y medio de solicitudes de crédito, de las que fueron aprobadas unas 90.000 como cifra agregada entre todos los productos. b. Para la contratación del préstamo se requiere del solicitante que proporcione una serie de información: - Datos identificativos: nombre completo, DNI/NIE, dirección postal. - Datos de contacto: e-mail, número de teléfono (que es validado mediante el envío de un PIN por SMS). - Situación laboral. Una vez efectuado el análisis descrito más adelante, se solicita del cliente copia de su DNI/NIE si el crédito supera los 750 €. El cliente puede aportar copia del documento acreditativo de su identidad a través de la propia página web, mediante varios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/22 mecanismos: subir una imagen escaneada o fotografía tomada con el teléfono móvil, o recabarlo a través de la webcam del cliente. El art. 10.3 de la Ley 10/2010 de 28 de abril de prevención del blanqueo de capitales y de la financiación del terrorismo establece medidas de diligencia debida simplificadas para casos que considera de menor riesgo, que se concretan en el art. 4.1 del Real Decreto 304/2014 de 5 de mayo, por el que se aprueba el Reglamento de la citada ley. A la vez, se recaba el consentimiento del solicitante para el tratamiento de sus datos personales. Igualmente, y de forma separada e independiente al anterior consentimiento, se recaba el consentimiento del solicitante para para la realización de envíos publicitarios, mediante un modelo de opt-in (consentimiento expreso). El cliente es informado del tratamiento a través de la página que aparece en la web dedicada a la Política de Privacidad de KREDITO24, la cual puede consultar antes de marcar la correspondiente casilla, y que le es asimismo remitida por correo electrónico como documento adjunto al mensaje de bienvenida. Como resultado de la solicitud del cliente, se puede conceder el crédito en todo o en parte, o denegarlo. Los clientes solo pueden tener un crédito activo, el cual puede ser de un solo pago (los concedidos a través de www.kredito24.
- es)o de pago por cuotas (los concedidos a través de www.monedo.es). Una vez pagado el crédito, el cliente puede solicitar un nuevo crédito. c. Una vez recabada la información del cliente, KREDITO24 transmite los datos a la matriz del grupo, KREDITECH HOLDING SSL GmbH, ubicada en Hamburgo (Alemania), que es quien dispone de la tecnología capaz de analizar el riesgo del cliente, a través de la comparación de su perfil con el perfil de riesgos definido para España conforme a parámetros riesgo aceptables mencionado seguidamente. Fruto del análisis que se realiza por encargo de KREDITO24, se asigna al cliente una probabilidad de impago, a partir de la cual se toma la decisión de conceder el préstamo total o parcialmente, o denegarlo. La decisión es realizada de forma automática con excepción de los créditos otorgados a través de www.monedo.es, cuyo valor es más alto y se otorgan únicamente después de que ocurra una confirmación manual de los documentos de identidad del solicitante. En todo caso, el análisis de la casa matriz consiste en la comparación del riesgo asignado con unos parámetros de riesgo aceptable que fija la dirección de KREDITO24 e indica a KREDITECH HOLDING SSL GmbH en la aplicación de gestión de los préstamos. La Matriz del grupo, además de realizar el análisis puntual de cada préstamo solicitado, por encargado de KREDITO24 y con consentimiento de los interesados, toma datos agregados de clientes de KREDITO24 con créditos impagados y pagados, y desarrolla modelos para análisis de riesgos y otros aspectos del negocio de KREDITO24, con el fin de mejorarlo. En la realización de todos los tratamientos arriba indicados, KREDITECH HOLDING SSL GmbH actúa en calidad de encargado del tratamiento en nombre y por cuenta de KREDITO24. Aporta la entidad copia del contrato suscrito con KREDITECH Holding SSL GmbH para la prestación del servicio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/22 Examinado dicho contrato, se encuentra tiene un anexo específico dedicado a encargo del tratamiento, donde KREDITO24 actúa en calidad de responsable del fichero (data controller) en tanto que KREDITECH Holding SSL GmbH actúa en calidad de encargado del tratamiento (data processor). d. Durante el proceso de valoración de las solicitudes de crédito se realizan ciertos los siguientes análisis: - - De control: o Se intenta averiguar si se trata de una operación fraudulenta, autenticando la identidad del solicitante y verificando la documentación aportada. o Se accede a servicios externos de ASNEF para verificar la identidad y consultar los datos de solvencia relativos al solicitante. o Se accede a listas de sospechosos de blanqueo de capitales, proporcionadas por la UE y la ONU, con el fin de confirmar la no presencia del solicitante en las mismas. Dicha comprobación es obligatoria bajo la legislación sobre blanqueo de capitales y contra la financiación del terrorismo. De Scoring: o Aplicación de los modelos de análisis de riesgos antes citados, a la solicitud del crédito en cuestión. o Aplicación de las reglas de negocio establecidas por la dirección de KREDITO24 y establecidas a través del cuadro de mandos de que dispone la aplicación, según lo antes indicado en la letra (d). e. Dentro de las medidas de verificación de identidad del solicitante, la aplicación de solicitudes de la entidad dispone de un widget, pequeña aplicación que recaba del solicitante determinados datos de banca electrónica (en concreto. usuario y contraseña de banca electrónica), que son facilitados a KONTOMATIC, entidad del grupo KREDITECH residente en Polonia, que, por cuenta de KREDITO24, realiza un acceso puntual y de escasos segundos a la banca electrónica del solicitante, extrayendo los datos de identidad del titular de la cuenta (para evitar que el crédito se abone en una cuenta distinta de la del titular) y de movimientos que oscilan entre los 90 últimos días y los 12 últimos meses, según esté disponible en la cuenta (para verificar el riesgo crediticio). Dichos datos son accedidos y analizados únicamente por KONTOMATIC. No obstante, determinada información de la consulta efectuada es remitida a KREDITO24 que la incorpora a los datos del solicitante y la conservar para dar cumplimiento a su obligación legal de evaluar la solvencia del consumidor conforme al artículo 14 de la Ley 16/2011, de 24 de junio, de contratos de crédito al consumo y verificación de la adecuada gestión de sus riesgos. El plazo mencionado ha sido establecido por KREDITO24. Dicho plazo de tiempo se ha limitado a la ventana que permite obtener los datos necesarios para determinar la solvencia del solicitante, y se ha limitado también para reducir el tiempo destinado a la extracción de los datos de la banca electrónica y el coste de realizar la misma. Entiende la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/22 entidad que estos datos consultados no son excesivos, al ser necesarios para verificar el nivel de gasto del solicitante y, por lo tanto, su capacidad de retornar el préstamo a otorgar. Los datos de las credenciales de banca electrónica del cliente no son almacenados en ningún momento, ni por KREDITO24 ni por KONTOMATIC, se usan por una sola vez por KONTOMATIC y son seguidamente borrados. Como ya se ha indicado, los datos obtenidos de este análisis deben ser mantenidos por la obligación legal de KREDITO24 de realización del análisis de solvencia del consumidor. Aporta el inspeccionado impresión de pantalla que se presenta a los clientes en el momento de recabar las credenciales de autenticación en la banca on-line durante el proceso de solicitud. Examinado el documento, se encuentra que se entrega al solicitante del crédito el siguiente mensaje: Conéctate con tu cuenta bancaria para que el pago se procese de forma correcta. Tus credenciales para acceder a la banca online no serán en ningún caso almacenadas. Tus movimientos financieros no se verán afectados. En el lateral de la pantalla aparece el texto: “Información de la cuenta bancaria Para calcular la mejor oferta de préstamo para ti, necesitamos información adicional: conecta con tu cuenta bancaria para confirmar tu identidad. Puedes hacerlo en un solo paso de forma online y sin papeleos. Garantizamos la protección de tus datos y nunca los compartimos con terceras partes no autorizadas. Además contamos con altos esta estándares de segundad en transmisión de datos. Selecciona simplemente tu banco e inicia sesión en el servicio de banca online. Conectamos de forma segura con un enlace de acceso sin dejar ningún rastro negativo de tu calificación crediticia.” El plazo mencionado ha sido establecido por KREDITO24. Dicho plazo de tiempo se ha limitado a la ventana que permite obtener los datos necesarios para determinar la solvencia del solicitante, y se ha limitado también para reducir el tiempo destinado a la extracción de los datos de la banca electrónica y el coste de realizar la misma. Entiende la entidad que estos datos consultados no son excesivos, al ser necesarios para verificar el nivel de gasto del solicitante y, por lo tanto, su capacidad de retornar el préstamo a otorgar. Como ya se ha indicado, los datos obtenidos de este análisis deben ser mantenidos por la obligación legal de KREDITECH de realización del análisis de solvencia del consumidor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/22 Aporta la entidad copia del contrato suscrito con KONTOMATIC. Manifiesta el inspeccionado que dicho contrato está suscrito por la matriz KREDITECH Holding SSL GmbH en nombre de las subsidiarias nacionales. Examinado dicho contrato, se declara en el mismo que KREDITECH Holding SSL actúa como encargado del tratamiento en nombre de sus subsidiarias (entre ellas KREDITO24), y KONTOMATIC actúa como sub-encargado del tratamiento. Dentro de la descripción del servicio, se especifica: f. - El responsable del tratamiento (data controller) es responsable de conseguir de manera consentida e informada los datos personales de los afectados. - Las credenciales bancarias de los afectados serán procesadas solo momentáneamente con el fin de recolectar los datos personales de los afectados que le han sido solicitados y seguidamente borradas. Aun cuanto en la Política de Privacidad existente en la web www.kredito24.es aparece que se podrán recabar datos de ficheros con información sobre los sitios web visitados y los motores de búsqueda utilizados, con el único propósito de evaluar el riesgo de fraude de la solicitud de préstamo, prestado por la compañía Addthis, KREDITO24 declara que no existe acceso alguno a datos por Addthis. En este sentido, la página de Política de Privacidad consultada a la fecha de la inspección estaba desactualizada. Aunque en el pasado se contrataron los servicios de Addthis, estos se recabaron por un lapso de tiempo equivalente a la duración del contrato con Addthis, previa obtención del consentimiento de los usuarios mediante una casilla específica a tales efectos, y el contrato terminó automáticamente al término del mismo, sin que fuese renovado por KREDITECH. Aporta copia del contrato suscrito con Addthis. Examinado dicho contrato, se observa que aparece suscrito en fecha 22/9/2014 por Addthis Inc. y KREDITECH Holding SSL en beneficio de las empresas de su grupo, y se proporcionará a las mismas información referida a tres fuentes distintas: vistas, búsquedas y compartidos. Respecto de cada una de ellas se proporcionan los siguientes campos: timestamp (sello de tiempo), User ID, geolocalización, categoría básica de la página, agente de usuario (navegador) y palabras clave (meta Keywords). Se establece una limitación territorial a Polonia, España, Republica Checa, Rusia, México y Perú, si bien únicamente para España se establece la siguiente limitación: <<… los Datos de AddThis proporcionados para usuarios de España sólo serán utilizados por el Partner para fines de detección y prevención de fraude en relación con los Servicios de Préstamo y no se utilizarán para puntuación de crédito de consumo, evaluación de riesgo o información similar, sin limitación, medición o evaluación de la solvencia de un consumidor o riesgo de incumplimiento.>> (la traducción es del inspector) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/22 g. Respecto de la participación de personas en la gestión del crédito, la entidad dispone de un servicio de call centre propio del grupo KREDITECH, situado en Bucarest (Rumania) que, además de prestar el servicio de atención al cliente, presta el servicio de validación visual de la documentación que sea aportada junto con la solicitud (imagen del DNI/NIE, documentación bancaria). Dicha entidad actúa en calidad de encargada del tratamiento por cuenta de KREDITO24. Aporta la entidad copia del contrato. Examinado el contrato, aparece suscrito por KREDITECH Holding SSL en calidad de encargado del tratamiento (data processor) de las empresas del grupo (entre ellas KREDITO24) y KREDITECH Customer Service Center SRL en calidad de sub encargado del tratamiento (sub-processor). Entre los documentos aportados también figura un contrato suscrito por KREDITECH Holding SSL como proveedor del servicio y KREDITECH Customer Service Center SRL como cliente, en virtud del cual el primero presta al segundo una variedad de servicios administrativos y de tecnologías de la información. Entre los servicios proporcionados están: Informes empresariales y apoyo a la gestión de riesgos. Consultoría y Gestión de Operaciones Contabilidad, impuestos y auditoría. Pagos. Servicios del Tesorería. Desarrollo de negocios y consultoría de compras. Otros Servicios Administrativos. - C/ Jorge Juan, 6 28001 – Madrid Servicios Administrativos: Servicios de T.I.: Establecimiento y mantenimiento de software de "ticketing" de gestión de relaciones de cliente específico de cliente. Servicios de centro de datos, Configuración y mantenimiento de soluciones Voz IP (telefonía IP) Otro software propietario y de terceros requerido para soportar las operaciones de Atención al Cliente www.agpd.es sedeagpd.gob.es 11/22 h. Una vez concedido el crédito, la entidad realiza el pago mediante los servicios de su proveedor de pagos, que actualmente es Trustly Group AB, (en adelante Trustly) entidad residente en Suecia. KREDITO24 remite a Trustly la orden de pago, quien se encarga de ejecutar el pago y verificar su realización, para lo cual se le transmiten los datos necesarios. No se solicita de Trustly análisis alguno de otros pagos que reciba el solicitante a través de terceras entidades. En caso de impago, la entidad dispone de un departamento de recobros, que se pone en contacto con el cliente para buscar una solución amistosa. Este servicio es prestado por personal propio de KREDITO24 desde su sede en Madrid. En caso de persistencia en el impago durante 90 días o más, se incluye al cliente en ficheros de solvencia de ASNEF (se están haciendo pruebas y analizando la posibilidad de incluirlo en un futuro en el fichero BADEXCUG) y, en su caso, se encomienda el recobro a empresas externas. i. KREDITO24 dispone en su sede social de un Departamento de Operaciones, que tiene varias misiones: - Análisis de productos para ofertar a los clientes. - Atención de segundo nivel al call centre. - Resolución de fallos en la aplicación (solicitudes que quedan a medias, bloqueadas, o similares). - Examen y contribución a los modelos de riesgos. - Vigilancia del desarrollo del negocio en España. Junto a Operaciones, KREDITO24 dispone también en su sede social de un departamento de marketing, que realiza operaciones propias del mismo. En particular, este departamento hace tratamientos de publicidad, pidiendo consentimiento y solo hacen marketing directo con personas que han dado consentimiento expreso y específico para ello (opt-in). Los clientes pueden ejercer el derecho de oposición en cada uno de los mensajes que reciben de KREDITO24. j. La aplicación para la gestión de préstamos de KREDITO24 es proporcionada por la matriz del grupo mediante un modelo de Software as a Service (SaaS). Dentro del mismo se asignan diferentes roles y privilegios a los usuarios, que tienen acceso a diferentes datos de los clientes, en función de las responsabilidades que tenga cada usuario. Existen tres perfiles definidos: el manager nacional, el jefe de departamento/equipo, y el personal operativo. El manager nacional tiene acceso a toda la información, incluso los datos bloqueados. Los jefes de departamento/equipo pueden ver los datos necesarios para la operativa diaria. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/22 Cada miembro del personal operativo ven únicamente la información de los créditos que les sean asignados por el jefe de equipo para realizar las operaciones de recobro. Se recaba una captura de una consulta realizada respecto de un cliente con el perfil de jefe de equipo. Examinada dicha captura, no se observan datos remarcables. Los servidores residen en Alemania, y en Irlanda, en un servicio proporcionado por Amazon Web Services, Inc. (AWS). Aporta KREDITO24 copia del contrato suscrito con AWS. Examinado el documento, se encuentra que se trata de los términos de servicio estándar y acuerdo de cliente que AWS tiene publicados en su web. Cuenta además con un anexo en que, acogiéndose a la ley alemana de Protección de Datos, declara que AWS actúa en calidad de encargado del tratamiento (data processor) y establece que el cliente debe elegir la localización en que tiene que ser procesados los datos, dando a elegir una serie de regiones, entre ellas la UE (Irlanda). k. A fin de aumentar su capacidad crediticia, KREDITO24 vende títulos de crédito a KREDITECH SPV I S.A. entidad residente en Luxemburgo, que adquiere el derecho sobré dichos créditos, manteniendo KREDITO24 la gestión de cobro de los mismos. Se informa en la Política de Privacidad de la cesión de datos a KREDITECH SPV I S.A. como una posibilidad, pero no se realiza necesariamente de forma material ya que los datos que se transfieren son anónimos. Sin embargo, como tal transferencia de datos personales podría realizarse, KREDITO24 prefiere informar de ello. A este respecto, informa la entidad que se ha llegado a un acuerdo con los inversionistas para que, en el contexto de la cesión de créditos, no se proporcione a KREDITECH SPV I S.A. toda la información de los créditos, sino solo datos anonimizados mediante un número aleatorio, asociado a cada crédito, que permitirá únicamente a KREDITO24 identificar el titular del crédito. Muestra el inspeccionado documentos de varias ventas, correspondientes a los meses de septiembre a noviembre de 2016. Se toma una muestra de documentos. Desea el inspeccionado dejar constancia de que dicho documento no contiene datos personales. Examinados dichos documentos, tres de ellos son cartas en que KREDITO24 ofrece a KREDITECH SPV I S.A. la adquisición de carteras de deuda por determinados importes. El cuarto documento es una relación de deudas incluidas en una cartera, en la que se muestra un código de producto (KREDITO_24_ES, que identifica a KREDITO24), un identificador de aplicación, las fechas de vencimiento del crédito y el importe de cada uno de los créditos. l. Respecto de la información a los clientes, entiende KREDITO24 que son ampliamente informados mediante la Política de Privacidad publicada en las webs de la entidad, si bien, a la fecha 23 de noviembre de 2016, momento de la primera visita de inspección, es la versión de 12 de mayo de 2016. A fecha 7 de diciembre de 2016, fecha de la segunda visita de inspección, ya está disponible la nueva versión. Aporta la entidad copia de la política de privacidad vigente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/22 Examinado dicho documento se observa que se informa de la finalidad del tratamiento, entre ellas: <<(
- i)gestionar la petición de préstamo ya sea de forma automática o manual, lo cual podrá ser solicitado por el Usuario tras ser rechazada su solicitud de forma automática >> Respecto del acceso a ficheros de terceros, se informa que se accederá: <<(
- b)Ficheros con información financiera histórica cuando el Usuario conecta su banca online con el sitio web… (
- d)Ficheros y herramientas para la verificación de la identidad>> Estos servicios, según se manifestó por el inspeccionado, son proporcionados por KONTOMATIC, que realiza el acceso a la banca electrónica del cliente, usando las credenciales que éste facilita durante la solicitud del crédito. m. Respecto del ejercicio de derechos ARCO, los clientes pueden ejercer sus derechos ante la entidad por correo postal o electrónico. En tanto que la deuda este saldada, si un interesado solicita la cancelación de los datos, los datos del afectado son bloqueados y a partir de ese momento los datos son marcados para tal fin teniendo únicamente acceso a dichos datos el administrador de la entidad y el jefe de operaciones y para fines necesarios (Ej. investigaciones de las autoridades). n. Respecto de la política de retención de datos, existen dos procedimientos, manual y automático. - Los datos pueden ser bloqueados manualmente cuando se desee (Ej. a solicitud del interesado o si se opone a recibir comunicaciones comerciales). Los datos bloqueados se borran automáticamente una vez vencidos los plazos programados. - Automáticamente: o Datos de solicitudes no finalizadas: se bloquean siete días después de su inicio y se borran en 180 si no han sido completadas. o Datos de solicitudes finalizadas y no concedidas: se bloquean a los 30 días y se borran a los tres años. o Datos de créditos concedidos: se bloquean 30 días tras el pago del préstamo y se borran diez años después. Los procesos de bloqueo y borrado de datos se ejecutan con periodicidad mensual. 3. Los inspectores de la Agencia solicitan al representante de KREDITO24 que les permita el acceso a los sistemas de información de la entidad, donde se realizan las siguientes comprobaciones: a. Se solicita que se realice una consulta sobre un cliente que se haya C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/22 utilizado recientemente, realizándose una consulta sobre el cliente con identificador ***NÚM.1. A dicho identificador aparece asociado Dª A.A.A.. La ficha del cliente muestra la existencia de una serie de pestañas, a través de las cuales se tiene acceso a diferentes datos del mismo: - General Data: recoge datos generales de la cuenta (datos de identificación del cliente, de la forma de pago, de los flujos monetarios). - Application Data: recoge datos generales de la solicitud del crédito. - Client Data: recoge datos del cliente (nombre y apellidos, sexo, fecha de nacimiento, ingresos, NIF, e-mail), datos de la cuenta bancaria (entidad bancaria, IBAN, etc.), Teléfonos (fijo y móvil), Dirección de residencia, Localización actual (longitud, latitud), Dirección de trabajo, e-mail verificado (si/no), facebookData, etc. Aclaran los representantes del inspeccionado que los datos de localización actual se recaban del navegador, apareciendo al usuario una ventana pop-up en que le solicita autorización para acceder a dicha información. facebookData se recaba para utilizar el servicio de social connect, es opcional para el usuario y le permite identificarse como usuario de la web de KREDITECH mediante la autentificación ante Facebook. - Status Change History (Histórico de cambios de estado): Recoge los diferentes estados de la solicitud de crédito, desde el momento de la solicitud hasta el pago final. - All Applications (todas las solicitudes): recoge el historial acumulado de todas las solicitudes de préstamos. - Credit Cards (tarjetas de crédito): Está destinado a almacenar información sobre las tarjetas de prepago emitidas por empresas del grupo. Actualmente no está en uso. - Balance Change (balance de cambio): Presenta un balance de pagos del cliente (pagos adelantados, pagos pendientes, etc). - Provisions (Provisiones): Almacena datos contables sobre las transacciones. No muestra datos pues solo es visible para el personal de Contabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/22 - Social Networks: Es lo ya comentado respecto de facebookData. No muestra datos. - Service Log (Registro de servicio): Registro en el que se recogen los diferentes contactos habidos con el cliente durante la vida del préstamo, ya sea para el cobro, recobro, renegociación, aplazamiento, etc). Se envían por medios electrónicos (e-mail, SMS, llamadas). - Konto Connect: Se trata de la información que se registra de Kontomatic. No muestra datos. - Money Box (Monedero): Es un saldo que se genera a favor del cliente por pagos no retirados en caso de devolución anticipada del préstamo. No muestra datos. - Documents (Documentos): aparecen los diferentes documentos enviados al o por el cliente. En el presente caso se observan diferentes documentos en formato PDF, entre ellos un documento de acreditación de la titularidad de una cuenta bancaria del cliente. Otro de los documentos que aparece es el del contrato de préstamo, que según informan los representantes de la entidad es generado por el sistema y ofrecido al cliente para su descarga, que también le es remitido por correo electrónico. Se obtiene copia del mismo. - Scoring (Puntuación): es la puntuación de riesgo del cliente. Informan los representantes de la entidad que en la pantalla no aparece porque el usuario de KREDITEK no tiene privilegios suficientes para ello. Se accede a través de un usuario con mayores privilegios encontrándose que en este caso se muestran datos denominados Fingerprint, en que se muestra la IP de conexión y el agente de usuario (navegador), así como Datos externos (identificador del dispositivo) información acerca de los servicios de MaxMind, GeoIP y MinFraud para la detección de fraude. - Collection Tools (Herramientas de recobro): herramienta pendiente de desarrollo, destinada a operaciones de recobro de deudas. b. C/ Jorge Juan, 6 28001 – Madrid Se realiza una consulta relativa a los créditos solicitados durante el mes de enero de 2013. Tras ordenarlos por fechas de solicitud se observa que el primer crédito solicitado aparece fechado el día 14 de enero de 2013. Se observan que aparecen marcados los créditos con las marcas Ö y - . Los www.agpd.es sedeagpd.gob.es 16/22 representantes de la entidad informan que la marca √ significa cliente nuevo y la marca - significa cliente recurrente. c. Se elige al azar uno de los créditos concedidos, el de identificador ***NÚM.2, que aparece a nombre de D. B.B.B.. Se observa que tiene, básicamente, los mismos datos que aparecía en la consulta del cliente anterior, si bien en este caso sí que tiene contenido en la pestaña Konto Connect. Informa el inspeccionado que esta información se limita a la verificación de que el cliente es titular de la cuenta bancaria donde se abonó el crédito. d. Se elige al azar uno de los créditos concedidos con identificador ***NÚM.3 comprobándose que se corresponde con un crédito concedido a Dª C.C.C.. Se entra en la pestaña denominada Konto Connect en donde aparecen datos personales de la solicitante (nombre, tipo de documento, número de DNI, e-mail, etc), así como de la cuenta (nombre de la cuenta, IBAN, número de cuenta, balance, etc). e. Se elige al azar uno de los créditos concedidos con identificador ***NÚM.4 comprobándose que se corresponde con un crédito concedido a D. D.D.D. dentro del producto comercializado a través de la web www.monedo.es. Se entra en la pestaña denominada Documents en donde aparecen los documentos que le han sido remitidos al cliente. Se observa en todas las pantallas que en el lateral izquierdo aparece referencias a pagos y aplicaciones de las diferentes webs de que dispone la entidad: www.Kredito24.es, www.Zamio.es, www.Flexinero.es y www.Now.Monedo.es. El acceso a los datos de los clientes se ha realizado desde la web lpa.kredito.de. f. Se realiza un acceso con un usuario operador, consultando los préstamos concedidos en enero de 2013, verificándose que existen registros que cumplen dicho criterio. Tras acceder a un primer registro, se verifica que aparecen datos del cliente. Informa el inspeccionado que esto es debido a que el cliente está suscrito a comunicaciones de marketing. Se intenta el acceso a un segundo cliente y el sistema deniega el acceso. g. Se solicita el acceso con un usuario de mayor nivel, accediéndose con un usuario que tiene acceso a registros bloqueados, dado que es el encargado de atender las reclamaciones de clientes. Se reproduce la consulta anterior, verificándose que ahora se muestran datos personales. Se accede a los datos del primer cliente, verificándose que está suscrito a comunicaciones comerciales, lo que se puede apreciar dado que tiene habilitados los botones de des-suscripción a las mismas. Se accede a un segundo y tercer cliente, verificándose que, en el primer caso, tiene productos recientes y en el segundo tiene productos pendientes de devolución. 4. Se recaba impresiones de pantallas proporcionadas por el inspeccionado, relativas al proceso completo de solicitud de un préstamo. Examinada dicha documentación, se encuentra que: i.Las pantallas se refieren a la web www.monedo.es. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/22 ii.La aplicación solicita una dirección de correo electrónico, un número de teléfono de España, y presenta dos casillas para validad, reconociendo haber leído la política de privacidad y dando el consentimiento para recibir ofertas especiales. iii.Solicita la identificación del banco y las credenciales (NIF y contraseña). iv.Solicita datos personales del cliente (NIF/NIE, genero, fecha de nacimiento, estudios realizados, situación laboral, sector, cargo en la empresa, ingresos brutos mensuales, fecha del próximo salario, estado civil, número de hijos) v.Solicita cuentas de redes sociales, informando que se pueden utilizar hasta 5 cuentas con el perfil del cliente, que no se comparte información con terceros sin autorización, y que nunca publicarán los perfiles. Se ofrecen las siguientes redes sociales: Facebook, Google+, Linkedin, Twitter. Se ofrece igualmente un icono de geolocalización, con el texto “Dinos donde estás”. vi.Tras una patalla de espera, realiza una oferta al cliente, indicando el préstamo ofrecido, las cuotas mensuales y el número de meses. No informa del tipo de interés nominal ni TAE. vii.Ofrece al cliente la forma de recibir el dinero: por Paypal o a través de la cuenta bancaria. viii.Ofrece al cliente el descargarse el contrato de préstamo, así como un “Estandar de información de crédito al consumo europeo”, y solicita un código de confirmación mediante un SMS remitido al móvil del solicitante. La introducción del código enviado por el móvil es entendida como la firma del solicitante. ix.Crea un perfil de usuario, utilizando como identificador el correo electrónico del cliente, solicitando una contraseña de acceso y su confirmación. x.Solicita una cuenta para los cargos mensuales, ya sea Paypal o una tarjeta de crédito o débito. Solicita igualmente la conformidad a los “Términos y Condiciones de la Autorización Recurrente de Pago”. xi.Solicita el escaneado del DNI/NIE. xii.Presenta una pantalla en la que informa que se están Revisando documentos, solicita un momento de espera y ofrece al usuario que, mientras tanto, puede revisar las herramientas de su perfil. En las siguientes pantallas se ofrece información redundante sobre la ya aportada y, finalmente, la información del ingreso realizado. 5. Mediante diligencia de fecha 7/12/2016 queda constancia que se ha encontrado en Infojob una descripción de la actividad que KREDITECH Holding SSL GmbH hace de sí misma, en que informa en la descripción de la empresa: <<El grupo KREDITECH usa big data y complejos algoritmos de aprendizaje automático ... Basado en 20.000 puntos de datos, su tecnología propietaria permite a sus servicios financieros el adquirir, identificar, valorar, pagar y aumentar sus clientes en segundos. Los procedimientos automatizados combinados con algoritmos de auto-aprendizaje C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/22 aseguran una rápida y adecuada atención al cliente mientras se minimizan el costo y espacio para el error humano. >> (la traducción es del inspector) FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En relación al tratamiento automatizado de los datos, el artículo 13 de la LOPD, establece que: “1. Los ciudadanos tienen derecho a no verse sometidos a una decisión con efectos jurídicos, sobre ellos o que les afecte de manera significativa, que se base únicamente en un tratamiento de datos destinados a evaluar determinados aspectos de su personalidad. 2. El afectado podrá impugnar los actos administrativos o decisiones privadas que impliquen una valoración de su comportamiento, cuyo único fundamento sea un tratamiento de datos de carácter personal que ofrezca una definición de sus características o personalidad. 3. En este caso, el afectado tendrá derecho a obtener información del responsable del fichero sobre los criterios de valoración y el programa utilizados en el tratamiento que sirvió para adoptar la decisión en que consistió el acto. 4. La valoración sobre el comportamiento de los ciudadanos, basada en un tratamiento de datos, únicamente podrá tener valor probatorio a petición del afectado.” Teniendo en cuenta el citado precepto, ha de señalarse que en este caso no estamos ante un supuesto donde se tomen datos únicamente para evaluar determinados aspectos de su personalidad, ya que existe además la finalidad de formalizar una relación contractual, es decir un préstamo. Además el ciudadano siempre podrá impugnar el tratamiento de sus datos ante los órganos administrativos y judiciales competentes, así como obtener información sobre los criterios de valoración y el programa utilizados en el tratamiento. No obstante, debe señalarse que la valoración sobre el comportamiento de los ciudadanos, basada en un tratamiento de datos, únicamente podrá tener valor probatorio a petición del afectado. III El COMISIONADO DE PROTECCIÓN DE DATOS Y LIBERTAD DE INFORMACIÓN DE HAMBURGO, ha manifestado su malestar por los elevados tipos de interés que KREDITO24 SPAIN cobra anualmente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/22 En este sentido, ha de señalarse que la Agencia Española de Protección de Datos, no es competente para dirimir cuestiones civiles, tales como si los tipos de interés son o no acordes a derecho según las prácticas bancarias españolas, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil, debiendo en su caso acudir ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. IV Por otro lado, el artículo 6.1 de la LOPD que dispone que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. El apartado 2 del mismo artículo añade que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. El tratamiento de los datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite el individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (…). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. V En el presente caso se manifiesta que el COMISIONADO DE PROTECCIÓN DE DATOS Y LIBERTAD DE INFORMACIÓN DE HAMBURGO está llevando a cabo actualmente una investigación contra KREDITECH HOLDING SSL GMBH, por considerar que su modelo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/22 negocio, así como su implementación, no parecen cumplir numerosos requisitos de la legislación europea relativa a la protección de datos. Se manifiesta que dicha entidad ofrece a los consumidores préstamos a través de varios sitios web nacionales administrados fuera de Alemania, mediante procesos de puntuación totalmente automatizados tras proporcionar los clientes a KREDITECH sus datos personales y dar su consentimiento para la recopilación de sus datos. KREDITO24 SPAIN cobra intereses anuales a tipos de hasta el 3.752%, los cuales califica de usura, razón por la que tales tipos de interés normalmente están prohibidos en Alemania según el derecho civil alemán. Además señala que la estructura organizativa del Grupo KREDITECH dificulta la persecución de estas infracciones ya que solo KREDITECH HOLDING, como empresa matriz, tiene su sede en Alemania, mientras que el negocio de KREDITECH se desarrolla en los distintos países a cargo de las empresas filiales locales. Una de estas filiales es KREDITO24 SPAIN, S.L., sita en la (C/...1) Barcelona. El COMISIONADO DE PROTECCIÓN DE DATOS Y LIBERTAD DE INFORMACIÓN DE HAMBURGO considera que KREDITO24 SPAIN es el responsable del tratamiento de los datos en España de KREDITECH HOLDING SSL GMBH, y que su recopilación de datos se inmiscuye de lleno en la intimidad de sus clientes, ya que analizan el comportamiento del solicitante al navegar por Internet. Pone además en duda el consentimiento voluntario prestado por los clientes en la toma de datos, ya que es requisito obligatorio para los solicitantes y de lo contrario no se les concedería el crédito, con el agravante de que los datos de carácter personal no se borran de forma regular sino que se almacenan permanentemente en sus empresas filiales y solo si una persona solicita la eliminación de sus datos, se lleva a cabo una así llamada “anonimización” de datos. VI En el supuesto que nos ocupa, señalar en primer lugar que el tratamiento de datos realizado por la entidad denunciada fue llevado a cabo empleando una diligencia razonable ya que de las actuaciones inspectoras llevadas a cabo por la Agencia Española de Protección de Datos se desprende que según la página web que KREDITO24 SPAIN dedica a la Política de Privacidad “Toda esta información es registrada en un fichero de actividad del servidor debidamente inscrito que permite el posterior procesamiento de los datos con el fin de obtener mediciones únicamente estadísticas que permitan conocer el número de impresiones de páginas, el número de visitas realizadas a los servicios web, el orden de visitas, el punto de acceso, etc.” Respecto de las cesiones y transferencias internacionales de datos KREDITO24 SPAIN manifiesta que “El Usuario autoriza expresamente la transferencia y tratamiento de datos personales a la casa matriz de la sociedad mercantil KREDITO24”. En relación al acceso de ficheros de terceros, KREDITO24 SPAIN manifiesta que “El Usuario otorga su consentimiento expreso para que KREDITO24 solicite a sus proveedores de pagos terceros, información sobre la ejecución de órdenes de pago realizados a través de dichos terceros a favor del Usuario, a fin de determinar que dicho pago haya sido recibido por el Usuario en aras de prevenir y actuar respecto a cualquier uso ilegal de los Servicios prestados por KREDITO24.” Respecto del ejercicio de derechos ARCO, se manifiesta que <<En todo momento, el Usuario podrá ejercitar sus derechos de acceso, oposición, rectificación y cancelación, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/22 conformidad con lo establecido en Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), mediante un mail dirigido a info@kredito24.es o mediante petición escrita dirigida a la oficina comercial de KREDITECH SPAIN S.L. situada en (C/...2), Madrid, , acompañando el DNI, e incluyendo en la comunicación la referencia “Protección de datos de carácter personal” .>> Además ha de señalarse que KREDITECH SPAIN SL tiene inscritos en el Registro General de Protección de Datos los ficheros CLIENTES Y/O PROVEEDORES y CLIENTES DEUDORES, ambos con transferencias internacionales autorizadas a la entidad TWILIO INC, con sede en EEUU. (empresa de telecomunicaciones, que presta una plataforma de llamadas telefónicas y mensajería de texto a través de Internet). Por lo tanto, se ha de analizar el grado de culpabilidad existente en el presente caso. La jurisprudencia ha venido exigiendo a aquellas entidades que asuman en su devenir, un constante tratamiento de datos de clientes y terceros, que en la gestión de los mismos, acrediten el cumplimiento de un adecuado nivel de diligencia, debido a las cada vez mayor casuística en cuanto al fraude en la utilización de los datos personales. En este sentido se manifiesta, entre otras, la sentencia de la Audiencia Nacional de 29/04/2010 al establecer que “La cuestión que se suscita en el presente caso, a la vista del planteamiento de la demanda, no es tanto dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato de financiación. En conclusión, se ha solicitado para la concesión del crédito para identificar a la persona con la que se contrataba copia del DNI, lo que evidencia que de acuerdo con el criterio seguido por esta Sala, se adoptaron las medidas necesarias para la comprobación de la identidad de la contratante y los datos que figuran en dicho DNI se corresponden con la titular del contrato. La utilización de dicho DNI, al parecer por una persona distinta de su auténtica titular, es una cuestión objeto de investigación en el ámbito penal, a raíz de la denuncia formulada por la Sra. xxx. Además, a raíz de contactar con la citada Sra. y a la vista de lo por ella manifestado, la recurrente dio de baja de forma inmediata sus datos y cesó de reclamarle cantidad alguna. Por todo lo cual, a la vista de las concretas circunstancias concurrentes, considera la Sala que la recurrente adoptó las medidas adecuadas tendentes a verificarla identificación de la persona con la que contrataba, no apreciando falta de diligencia en su actuación, procediendo en consecuencia dejar sin efecto la sanción impuesta por vulneración del principio del consentimiento consagrado en el artículo 6 LOPD.” De acuerdo a estos criterios, no hay indicios de los que se desprenda que KREDITECH SPAIN SL no actúe diligentemente, ya que cuenta en todo momento con el consentimiento de sus clientes, tanto en la toma de datos personales, como para las cesiones y transferencias internacionales de sus datos, o bien para el acceso de ficheros de terceros, señalando además que su clientes en todo momento podrán ejercitar sus derechos ARCO, de acceso, oposición, rectificación y cancelación, de conformidad con lo establecido en Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), mediante un mail dirigido a info@kredito24.es o mediante petición escrita dirigida a la oficina comercial de KREDITECH SPAIN S.L. situada en (C/...2), Madrid, , acompañando el DNI, e incluyendo en la comunicación la referencia “Protección de datos de carácter personal. Asimismo, tal y como se ha indicado anteriormente no estamos ante un supuesto donde se tomen datos únicamente para evaluar determinados aspectos de su personalidad, ya que existe además la finalidad de formalizar una relación contractual, es decir un préstamo. Además el ciudadano siempre podrá impugnar el tratamiento de sus datos ante los órganos administrativos y judiciales competentes, así como obtener información sobre los criterios de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/22 valoración y el programa utilizados en el tratamiento, sin olvidar que según el art. 13 LOPD, la valoración sobre el comportamiento de los ciudadanos, basada en un tratamiento de datos, únicamente podrá tener valor probatorio a petición del afectado. Junto a ello, volver a incidir en que la Agencia Española de Protección de Datos, no es competente para dirimir cuestiones civiles, tales como si los tipos de interés son o no acordes a derecho según las prácticas bancarias españolas, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil, Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: - PROCEDER AL ARCHIVO de las presentes actuaciones. - NOTIFICAR la presente Resolución a KREDITECH SPAIN, S.L. y a DER HAMBURGISCHE BEAUFTRAGTE FUR DATENSCHUTZ UND INFORMATIONSFREIHEIT. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es