PS-00053-2018

1/8 Procedimiento Nº PS/00053/2018 RESOLUCIÓN: R/00901/2018 En el procedimiento sancionador PS/00053/2018, instruido por la Agencia Española de Protección de Datos a la entidad PRIMROSE PARTNERS LTD., vista la denuncia presentada por D. A.A.A., y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 7 de junio de 2017 tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que expone que PRIMROSE PARTNERS LTD. (DISPON.ES) ha tratado sus datos personales sin su consentimiento (nombre, dos apellidos y NIF); los ha vinculado a deudas que no son ciertas, pues nunca ha contratado con esa entidad; ha incluido sus datos personales en el fichero Asnef asociados a una deuda que no le pertenece y no le ha requerido con carácter previo al pago, tal como exige la normativa de protección de datos. Que en respuesta al ejercicio del derecho de acceso ante Equifax, tiene conocimiento de que sus datos están dados de alta en el fichero Asnef, el 30 de diciembre de 2015, a instancia de la mercantil PRIMROSE PARTNERS LTD (en adelante PRIMROSE). Posteriormente, el 2 de junio de 2016 ejerció su derecho de acceso ante PRIMROSE de la que no recibió respuesta lo que motivo que el 23 de julio de 2016 solicitara la Tutela de Derechos ante esta Agencia, con apertura del expediente TD/01762/2016, que ésta Agencia resuelve el 25 de enero de 2017 mediante la Resolución nº R/00091/2017, instó a PRIMROSE para que en el plazo de 10 días hábiles siguientes a la notificación de la Resolución remitiese certificación en la que se le facilite el acceso completo a sus datos o se le deniegue el acceso de forma motivada y fundamentada. El 11 de abril de 2017, recibió notificación de esta Agencia en el marco del citado expediente TD/01762/2016, en el que se le informa de un escrito remitido por PRIMROSE en el que se detalla el origen y el uso de sus datos. En este sentido, D. A.A.A. denuncia que nunca ha contratado préstamos con PRIMROSE, ni recibió dinero, ni servicios, ni bienes de PRIMROSE, por lo tanto no es cliente ni es deudor de la misma por concepto ni cantidad alguna. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad PRIMROSE PARTNERS LTD. (DISPON.ES), teniendo conocimiento de que: En contestación al TD01762/2016, por parte de PRIMROSE PARTNERS LTD., se ha tenido conocimiento de los siguientes extremos: D. B.B.B., actuando en nombre y representación en España de Primrose, con domicilio en ***DIRECCION.1. certifica que los datos de los que dispone la empresa de D. A.A.A. con DNI: ***DNI.1 son los siguientes: Nombre: A.A.A., DNI ***DNI.1, Numero de móvil: ***TELEFONO.1, Teléfono Fijo: ***TELEFONO.2, Apellido Titular Fijo: A.A.A., Fecha de Nacimiento: 1964-08-14, Sexo: Hombre, Estado Civil: Soltero/a, Número hijos: ninguno, Estudios: Estudios medios, E-mail: ***EMAIL.1. Situación laboral: Trabajo por cuenta ajena. Nombre de la compañía: Promogroup Econsa SL. Sueldo Neto Mensual: 1462. Próximo día de cobro: 5. Sector: Construcción – Inmobiliario. Teléfono centro de trabajo: ***TELEFONO.3. Centro de trabajo: Castellón. Ingresos familiares adicionales: 0 Domicilio: ***DIRECCION.2, ***MATRICULA.1. Tipo de vivienda: Alquiler. Matrícula coche: Dichos datos fueron obtenidos por la empresa, al rellenar el cliente el formulario de solicitud de préstamo en la plataforma www.dispon.es. De la documentación aportada por el cliente, por email para la solicitud de su préstamo (DNI), obtuvieron la siguiente información: Domicilio: ***DIRECCION.3. Que para la confirmación de su préstamo indicó el abono de su préstamo en la cuenta bancaría: ESXX XXXX XXXX XXXX XXXX XXXX en la cual se realizó el abono del préstamo solicitado. Que en el mismo proceso aportó una tarjeta con la numeración YYYYYY******YYYY de la cual no tenemos por seguridad acceso a toda la información, cuyos datos son custodiados por la entidad Banco SabadellLa citada representación en España de PRIMROSE PARTNERS LTS, con fecha 27 de octubre de 2017, expone: “que el 23 de octubre de 2017 recibió por medios electrónicos una notificación indicando haber recibido una comunicación de la Agencia Española de Protección de Datos, accesible a través de un servicio denominado “Carpeta Ciudadana” Que carece de certificado digital válido en España, pues se trata de una empresa británica sin establecimiento alguno en ese país, y el servicio de “Carpeta Ciudadana” da error al tratar de acceder al mismo con un certificado emitido en el Reino Unido, por lo que le resulta imposible la apertura de la citada comunicación. Que, no estando obligada a recibir por medios electrónicos las comunicaciones y notificaciones de la administración, de acuerdo con lo previsto en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, procede practicar la citada notificación por medios convencionales a nuestro domicilio en Reino Unido que aporta”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 Asimismo, en relación con el expediente TD/01762/2016, consta a esta Agencia que fue notificado por el Servicio de Correos a PRIMROSE PARTNERS LTD. (DISPON.ES), a su representante legal en España C/ ***DIRECCION.4, en el que se han recogido otras notificaciones y por otra parte han contestado al citado expediente, señalando el CIF N8262526J. Con fecha 7 de agosto de 2017, tiene entrada en esta Agencia un escrito de Equifax, en el que consta que el denunciante fue dado de alta en el fichero Asnef el 30 de diciembre de 2015, por un microcrédito y por la entidad informante PRIMROSE PARTNERS LIMITED, y por un importe de 422,90 €. TERCERO: Con fecha 14 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a PRIMROSE PARTNERS LTD. (DISPON.ES) por la presunta infracción de los artículos 6.1, infracción tipificada como grave en el artículo 44.3

1. b)y además por la presunta infracción del artículo 4.3 de la LOPD, en relación con el artículo 29 de la misma norma y en relación también con los artículos 38, 39 y 43 del RLOPD, infracción tipificada como grave en el artículo 44.3.
2. c)de la citada Ley. Se intentó la notificación de dicho acuerdo al denunciado, a través del Servicio de Notificaciones electrónicas siendo la fecha de puesta a disposición el 15/03/2018 y fecha de rechazo automático el 25/03/2018. Con fecha 26/03/2018 se intentó nuevamente la notificación de dicho acuerdo al denunciado, mediante la remisión a su dirección postal siendo devuelta por el Servicio de Correos con la indicación de 1º intento de entrega el 04/04/2018 a las 14:35, por el empleado 289006 ha resultado Ausente, 2º intento de entrega el 05/04/2018 a las 19:15, por el empleado 289006 ha resultado Ausente. Se dejó Aviso en Buzón. Ha resultado Devuelto a Origen por Sobrante (No retirado en la oficina) el 13/04/2018 a las 11:41, por el empleado 284020. Con fecha 26/03/2018 se intentó nuevamente la notificación de dicho acuerdo al denunciado, mediante la remisión a su dirección postal en Londres, siendo el envío entregado según consta en el correo electrónico emitido por el Servicio de Correos el 30 de abril de 2018, a solicitud de esta Agencia, el 04/04/2018. CUARTO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se haya recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que se procede a elevar el procedimiento a la resolución de la Directora de la Agencia Española de Protección de Datos, de conformidad con los artículos 64.2f) y 85 de la LPACAP. HECHOS PROBADOS PRIMERO: Que en fecha 7 de junio de 2017 D. A.A.A. manifestó a esta Agencia Española de Protección de Datos que PRIMROSE PARTNERS LTD. (DISPON.ES) ha tratado sus datos personales sin su consentimiento (nombre, dos apellidos y NIF); los ha vinculado a deudas que no son ciertas, pues nunca ha contratado con esa entidad; ha incluido sus datos personales en el fichero Asnef asociados a una deuda que no le pertenece y no le ha requerido con carácter previo al pago, tal como exige la normativa de protección de datos. Que en respuesta al ejercicio del derecho de acceso ante Equifax, tiene conocimiento de que sus datos están dados de alta en el fichero Asnef, el 30 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 diciembre de 2015, a instancia de la mercantil PRIMROSE PARTNERS LTD (en adelante PRIMROSE). Posteriormente, el 2 de junio de 2016 ejerció su derecho de acceso ante PRIMROSE de la que no recibió respuesta lo que motivo que el 23 de julio de 2016 solicitara la Tutela de Derechos ante esta Agencia, con apertura del expediente TD/01762/2016, que ésta Agencia resuelve el 25 de enero de 2017 mediante la Resolución nº R/00091/2017, instó a PRIMROSE para que en el plazo de 10 días hábiles siguientes a la notificación de la Resolución remitiese certificación en la que se le facilite el acceso completo a sus datos o se le deniegue el acceso de forma motivada y fundamentada. El 11 de abril de 2017, recibió notificación de esta Agencia en el marco del citado expediente TD/01762/2016, en el que se le informa de un escrito remitido por PRIMROSE en el que se detalla el origen y el uso de sus datos. En este sentido, D. A.A.A. denuncia que nunca ha contratado préstamos con PRIMROSE, ni recibió dinero, ni servicios, ni bienes de PRIMROSE, por lo tanto, no es cliente ni es deudor de la misma por concepto ni cantidad alguna. SEGUNDO: Que en el fichero de solvencia patrimonial y crédito ASNEF fue registrada la siguiente incidencia: inclusión de datos personales de D. A.A.A. a instancias de PRIMROSE PARTNERS LIMITED por un producto de microcrédito por un importe de 422,90 €, inscripción con fecha de alta el 30 de diciembre de 2015. TERCERO: PRIMROSE PARTNERS LTD. (DISPON.ES) realizó tratamiento de los datos personales de la persona denunciante sin su consentimiento inequívoco al incorporar a su fichero de clientes como titular de un contrato que nunca había solicitado ni suscrito. Siguiendo con la gestión de esos contratos y sin realizar comprobaciones de la identidad con suficiente diligencia incluyeron sus datos personales asociados a deudas que no le correspondían en Asnef. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II Es de señalar, que según consta en los documentos del expediente TD/01762/2017, relativo a la solicitud de acceso y cuya resolución estimatoria requiere a Primrose facilitar el acceso. En este sentido, se incorpora al presente expediente la documentación obrante en la citada Tutela. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 Respecto de la alegación de falta de certificado digital, señalar que conforme a lo previsto en el artículo 14.2 de la Ley 39/2015: “En todo caso, estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos en los siguientes:
4. a)Las personas jurídicas.
5. d)Quienes representen a un interesado que esté obligado a relacionarse electrónicamente con la administración”. Pues bien, al darse en el presente caso tanto el apartado a como el b del artículo 14.2 de la Ley 39/2015, existe por parte de dicha entidad la obligación de relacionarse a través de medios electrónicos con esta Agencia. En relación con la alegación de que los datos recabados del afectado proceden de su incorporación a través del sitio web www.dispon.es de titularidad Primrose, señalar que el protocolo de identificación es deficiente e inconsistente toda vez que el envío de un SMS al teléfono facilitado por el solicitante no permite su identificación, por no cumplir con la finalidad que no es otra que identificarlo. Sobre la falta de denuncia policial, señalar que la solicitud por parte de Primrose se realizó a la dirección facilitada en el citado sitio web por lo que no correspondía al afectado. III Se imputa en primer lugar a Primrose una vulneración del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), que dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”; infracción tipificada como grave en el artículo 44.3.
6. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada con multa de 40.001€ a 300.000€, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Asimismo, tras las evidencias obtenidas en la fase de investigaciones previas, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 45.4 de la LOPD. 1. En relación con el carácter continuado de la infracción (apartado 4.a), y según doctrina reiterada de la Audiencia Nacional al respecto, los datos personales del denunciante fueron tratados asociados a una relación contractual en la que no se ha acreditado el consentimiento inequívoco de la persona denunciante para ello trató sus datos antes del 30 de diciembre del 2015 y continúa. 2. Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 3. Por el volumen de negocio (apartado 4.d), toda vez que estamos ante una gran entidad de concesión de préstamos. 4. En relación con el grado de intencionalidad (aparatado 4.f). En el presente caso no cabe ninguna duda de que incurrió en una grave falta de diligencia toda vez que los protocolos de identificación carecen de consistencia. 5. Por la reincidencia en la comisión de infracciones de la misma naturaleza.