← España

PS-00062-2018

1/16 Procedimiento Nº PS/00062/2018 RESOLUCIÓN: R/01500/2018 En el procedimiento sancionador PS/00062/2018, instruido por la Agencia Española de Protección de Datos a la entidad FERRATUM BANK PLC, FERRATUM SPAIN, S.L., vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: El 6 de julio de 2017, tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia de Dña. A.A.A. contra la entidad FERRATUM BANK PLC, por la utilización fraudulenta de sus datos en la contratación de un crédito y posterior inclusión de sus datos personales en el fichero de solvencia patrimonial y crédito de ASNEF-EQUIFAX Junto a su escrito de denuncia aporta la siguiente documentación:  Carta de ASNEF-EQUIFAX, fechada el 17/05/2017, en la que se informa al denunciante de la incorporación de sus datos al fichero ASNEF, con fecha de alta 16/05/2017, por una deuda con la entidad FERRATUM BANK PLC por importe de 337,57 €. El domicilio que se indica en la inscripción es la misma calle que indicó la denunciante en su denuncia, pero con distinto número.  En dicha carta, aparecen dos cuentas a las que realizar el pago: una del Banco Santander y otra del Banco Valleta.  Carta de ASNEF-EQUIFAX, fechada el 31/05/2017, en la que se indica a la denunciante que los datos comunicados en la anterior carta ya son accesibles.  Denuncia presentada a la Policía Nacional, a fecha de 20/06/2017, en la que la denunciante indica que ha recibido una carta de ASNEF-EQUIFAX informando de su inclusión en un fichero de morosidad por una deuda con FERRATUM BANK PLC por valor de 337,57€. En dicha denuncia, también manifiesta que nunca ha solicitado un crédito a FERRATUM BANK PLC.  Carta de la denunciante dirigida a ASNEF-EQUIFAX fechada el 30/06/2017, en la que solicita que se le dé de baja en los ficheros de solvencia patrimonial.  En el escrito de denuncia, la denunciante manifiesta haberse puesto en contacto telefónico con FERRATUM BANK PLC, para hacerle notar los hechos denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/16 SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades FERRATUM BANK PLC y FERRATUM SPAIN, S.L., esta última con NIF ***NIF.2 con domicilio en ***DIRECCION.1. FERRATUM GROUP (https://www.ferratumgroup.com), matriz europea de ambas entidades, en respuesta a requerimiento de información, aporta la siguiente información: 1. Se indica que FERRATUM BANK PLC, compañía subsidiaria de FERRATUM GROUP, es una compañía licenciada por la Autoridad de Servicios Financieros de Malta (Malta Financial Services Authority) para ofrecer servicios bancarios a clientes dentro del Espacio Económico Europeo. 2. Dentro del Equipo Directivo de FERRATUM GROUP se encuentran, entre otros, B.B.B., C.C.C. y D.D.D.. 3. Actualmente Ferratum Group se denomina “FERRATUM OYJ – CORPORATE GOVERNANCE STATEMENT 2016”, en el que se nombra como ejecutivos, entre otros a B.B.B., C.C.C. y D.D.D.. FERRATUM SPAIN, S.L. en respuesta a requerimiento de información, aporta la siguiente información: 1. Manifiesta que no consta ninguna información de la denunciante en los archivos de FERRATUM SPAIN, S.L. 2. Manifiesta que la denuncia está dirigida a FERRATUM BANK PLC, que es una mercantil distinta de FERRATUM SPAIN, S.L. A fecha de 18/01/2018, los inspectores de esta Agencia de Protección de Datos han accedido al sitio web del Registro Mercantil Central (www.rmc.es), obteniendo la siguiente información sobre la entidad FERRATUM SPAIN SL: 1. Tiene el domicilio en ***DIRECCION.1. 2. La empresa fue constituida con fecha de inscripción 21/07/2008 con un único socio: JT FAMILY HOLGING OY; nombrándose como consejeros, entre otros a los siguientes:  C.C.C.y B.B.B. 3. Dentro de sus órganos de administración, se encuentran:  D.D.D., que consta como apoderado con fecha de inscripción el 10/10/2011, y como Administrador Mancomunado con fecha de inscripción el 27/12/2016.  E.E.E., que consta como Apoderado Solidario con fecha de inscripción el 13/03/2017. 4. Con fecha 27/12/2016 consta una inscripción en la que se reflejan los ceses/dimisiones de C.C.C.y B.B.B.. En esta inscripción se indica que ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16 habido un cambio de denominación del socio único en el Registro mercantil de Helsinki, cuya denominación actual es FERRATUM OYJ. A fecha de 05/01/2018, se recibe escrito en nombre de BANCO SANTANDER, S.A., en respuesta a requerimiento de información. Y se anexa la siguiente información respecto a la cuenta en la que le indicaban a la denunciante que podía realizar el pago para saldar la deuda: 1. NIF y nombre del titular y los representantes de la cuenta, donde aparecen:  E.E.E., como “Apoderado”.  FERRATUM BANK PLC, como “Titular”. 2. Certificación del Registro de Compañías de la Autoridad de Servicios Financieros de Malta (Malta Financial Services Authority) del Memorandum y artículos de la compañía FERRATUM BANK PLC; en cuyo artículo 6 se nombra al comité de dirección de la compañía, que incluye, entre otros, a C.C.C. y B.B.B.. 3. Documento de la Agencia Española de Administración Tributaria, con la DECLARACIÓN DE RESIDENCIA FISCAL de FERRATUM BANK PLC (Orden HAP/2487/2014), en la que se observan las siguientes direcciones:  ***DIRECCION.2, correspondiente a la dirección de la entidad FERRATUM BANK PLC:  ***DIRECCION.1, correspondiente a la dirección en España de la entidad FERRATUM SPAIN, S.L. TERCERO: Con fecha 23 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica, y por la presunta infracción del artículo 4.3 de la LOPD –en relación con el artículo 38.1a) del RLOPD-, tipificada como grave en el artículo 44.3
  2. c)de la citada ley. CUARTO: Notificado el acuerdo de inicio, FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. presentó ante la Agencia Española de Protección de Datos escrito solicitando copia del expediente y ampliación del plazo concedido para la presentación de alegaciones y mediante escrito formuló alegaciones solicitando el archivo de las actuaciones y lo que estima oportuno en mejor defensa de sus intereses, en el sentido de que: “Ferratum Spain SL no es el establecimiento permanente de Ferratum Bank PLC. El tratamiento de datos realizado por Ferratum Bank PLC se rige por la Ley de Malta. Ferratum Spain SL no tiene ningún poder de decisión para decidir sobre el tratamiento de datos de los clientes de Ferratum Bank pues ni tan si quiera tiene acceso a dichos datos personales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16 Ferratum Bank, actuando como responsable del tratamiento, recaba directamente los datos de los clientes a través de la web www.ferratum.es que no está alojada en España y los trata con la finalidad de gestionar el préstamo solicitado. En los casos pertinentes, es Ferratum Bank quien solicita la inclusión de los datos de sus clientes en el fichero Asnef-Equifax, entidad con la que tiene firmado un contrato del que Ferratum Spain no es parte. Ferratum Bank no está sujeto al régimen sancionador establecido en la LOPD. En el hipotético caso en el que la Agencia no comparta este criterio y considere que si resulta de aplicación la normativa española solicita que se consideren las alegaciones expuestas a continuación: El 5 de enero de 2017 Ferratum Bank recibe la solicitud de un préstamo a nombre de la denunciante a través de la página web ww.ferratum.es. El 6 de enero, tras confirmar que el solicitante no estaba registrado en ningún fichero de morosos, se abrió ficha del cliente y se aprobó la concesión del préstamo. Una vez vencido el préstamo, tras enviar varios avisos a la denunciante incluye los datos de la denunciante en el fichero Asnef-Equifax. El 20 de junio de 2017 la denunciante presenta una denuncia a la policía nacional y tan pronto como Ferratum Bank tiene conocimiento de que se trata de un fraude, solicita por teléfono la eliminación de los datos de Asnef-Equifax y bloquea los datos de la denunciante. Que ha quedado acreditado que el solicitante tuvo que aceptar la Política de Privacidad y los Términos y Condiciones de Ferratum Bank, en la que, se hace referencia expresa a la posibilidad de que trate los datos personales, acceda a los datos personales del solicitante del préstamo contenidos en ficheros de morosos y comunique los datos personales del solicitante a Asnef-Equifax en caso de impago. Ferratum Bank ha implementado los mecanismos necesarios para garantizar en la medida de lo técnicamente posible, la veracidad de los datos que los solicitantes de los préstamos incluyen en los formularios de solicitud. En la web ha implantado un mecanismo que impide continuar con el proceso de solicitud si en el primer formulario se facilita un número de DNI falso. Asimismo, Ferratum Bank ha adoptado todas las medidas necesarias para en la medida de lo posible garantizar la veracidad de los datos. No obstante, resulta muy difícil detectar caso de fraude en los que el solicitante incluye datos verdaderos de la persona por la que se hace pasar Que la Agencia archive el procedimiento por inexistencia de infracción del artículo 4.3 y 6.1 de la LOPD o subsidiariamente, proceda a aplicar lo previsto en el artícuoo 45.5 de la LOPD”. QUINTO: Con fecha 14 de junio de 2018 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el informe de actuaciones previas de inspección y las alegaciones al acuerdo de inicio con la documentación adjunta. Han de tenerse en cuenta los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 HECHOS PROBADOS 1 --- Dña. A.A.A., con fecha 6 de julio de 2017 manifiesta que con fecha 17 de mayo de 2017 Asnef-Equifax le informa que sus datos han sido incluidos en el fichero común Asnef, siendo la fecha de alta el 16 de mayo de 2017, por una deuda con la entidad Ferratum Bank PLC por importe de 337,57 €, cuando nunca ha solicitado a ésta ningún crédito. Con fecha 20 de junio del mismo año interpone denuncia ante la Policía Nacional y el día 30 del mismo mes solicita se le dé de baja de Asnef 2 --- La entidad FERRATUM SPAIN SL, tiene su domicilio en el ***DIRECCION.1..
  3. a)La empresa fue constituida con fecha de inscripción 21/07/2008 con un único socio: JT FAMILY HOLGING OY; nombrándose como consejeros, entre otros a los siguientes:  C.C.C. y B.B.B.
  4. b)Dentro de sus órganos de administración, se encuentran:  D.D.D., que consta como apoderado con fecha de inscripción el 10/10/2011, y como Administrador Mancomunado con fecha de inscripción el 27/12/2016.  E.E.E., que consta como Apoderado Solidario con fecha de inscripción el 13/03/2017.
  5. c)Con fecha 27/12/2016 consta una inscripción en la que se reflejan los ceses/dimisiones de C.C.C. y B.B.B.. En esta inscripción se indica que ha habido un cambio de denominación del socio único en el Registro mercantil de Helsinki, cuya denominación actual es FERRATUM OYJ. A fecha de 05/01/2018, se recibe escrito en nombre de BANCO SANTANDER, S.A., en respuesta a requerimiento de información. Y se anexa la siguiente información respecto a la cuenta en la que le indicaban a la denunciante que podía realizar el pago para saldar la deuda:
  6. a)NIF y nombre del titular y los representantes de la cuenta, donde aparecen:  E.E.E., como “Apoderado”.  FERRATUM BANK PLC, como “Titular”.
  7. b)Certificación del Registro de Compañías de la Autoridad de Servicios Financieros de Malta (Malta Financial Services Authority) del Memorandum y artículos de la compañía FERRATUM BANK PLC; en cuyo artículo 6 se nombra al comité de dirección de la compañía, que incluye, entre otros, a C.C.C. y B.B.B..
  8. c)Documento de la Agencia Española de Administración Tributaria, con la DECLARACIÓN DE RESIDENCIA FISCAL de FERRATUM BANK PLC (Orden HAP/2487/2014), en la que se observan las siguientes direcciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16  ***DIRECCION.2, correspondiente a la dirección de la entidad FERRATUM BANK PLC:  ***DIRECCION.1, correspondiente a la dirección en España de la entidad FERRATUM SPAIN, S.L. SEXTO: Con fecha 12 de julio de 2018 se formuló propuesta de resolución contra FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3
  9. b)de la citada Ley Orgánica, y por la presunta infracción del artículo 4.3 de la LOPD –en relación con el artículo 38.1a) del RLOPD-, tipificada como grave en el artículo 44.3
  10. c)de la citada ley, formuló alegaciones FERRATUM BANK PLC el 24 de julio de 2018, reiterándose en los argumentos ya expuestos en anteriores alegaciones. Asimismo aporta como documento nº 1 el modelo 036 presentado por FERRATUM BANK PLC el 6 de octubre de 2015 ante la Agencia Tributaria, mediante el que solicitaba la obtención de un Número de Identificación Fiscal, la entidad manifiesta no tener ningún establecimiento permanente en territorio español, tal y como se puede observar en las casillas B91 y siguientes. En este sentido señala que el hecho de que FERRATUM BANK PLC, como entidad no residente en territorio español, haya tenido que obtener un Número de Identificación Fiscal por realizar actuaciones de naturaleza o con trascendencia tributaria en España, es una obligación que no guarda ninguna relación con el hecho de tener un establecimiento permanente en dicho territorio. Por otra parte, manifiesta que de la información aportada por el Banco Santander en ningún caso se puede concluir que FERRATUM BANK PLC tenga un establecimiento permanente en España, más bien lo que tiene es un número de identificación fiscal para no residentes, tal y como acredita la Agencia Tributaria mediante la tarjeta de identificación fiscal cuyo número comienza por la “N” y donde consta el domicilio fiscal en Malta de esta entidad. Añade que el tratamiento de datos realizado por FERRATUM BANK PLC se rige por la Ley de Malta FERRATUM SPAIN no tiene ningún poder de decisión sobre el tratamiento de datos de los clientes de FERRATUM BANK Igualmente alega que FERRATUM SPAIN no es corresponsable de los datos personales que FERRATUM BANK recaba pues no puede ser corresponsable de unos datos a los que ni siquiera tiene acceso y sobre cuyo tratamiento no tiene ningún poder de decisión. Asimismo aporta como documento nº 2 registro de la solicitud realizada el 6 de enero de 2017 por la denunciante en la que consta la dirección IP y los datos incluidos en la misma. Al hilo de la anterior señala que se proceda al archivo del procedimiento sancionador abierto contra Ferratum Bank PLC, por no estar sujeta a la normativa española de protección de datos, o subsidiariamente, en caso de que la Agencia considere que si resulta de aplicación dicha normativa, archive el procedimiento por inexistencia de infracción del artículo 4.3 y 6.1 de la LOPD o subsidiariamente, proceda a aplicar lo previsto en el artículo 45.5 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  11. g)en relación con el artículo 36 de la LOPD. II De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L., es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la denunciada relacionados con las exigencias de los principios del consentimiento y de la calidad de datos contenidos en los artículos 6.1 y 4.3 de la LOPD. Inicialmente, en relación con lo alegado de que Ferratum Spain SL no es el establecimiento permanente de Ferratum Bank PLC, que el tratamiento de datos realizado por Ferratum Bank PLC se rige por la Ley de Malta. Sobre este particular, debemos señalar que esta Agencia de Protección de Datos ha accedido al sitio web del Registro Mercantil Central (www.rmc.es), para obtener información sobre la entidad FERRATUM SPAIN SL, averiguando que dicha entidad tiene el domicilio en ***DIRECCION.1, fue constituida con fecha de inscripción el 21/07/2008 con un único socio JT FAMILY HOLGING OY; nombrándose como consejeros, entre otros a los siguientes B.B.B., C.C.C.. Por otra parte, dentro de sus órganos de administración, se encuentra D.D.D., que consta como apoderado con fecha de inscripción el 10/10/2011, y como Administrador Mancomunado con fecha de inscripción el 27/12/2016. Consta con fecha de inscripción 13/03/2017 como Apoderado Solidario E.E.E.. Al hilo de lo anterior, la relación existente entre FERRATUM BANK PLC, y FERRATUM SPAIN, S.L. se corrobora mediante certificación del Registro de Compañías de la Autoridad de Servicios Financieros de Malta (Malta Financial Services Authority) del Memorandum y artículos de la compañía FERRATUM BANK PLC; en cuyo artículo 6 se nombran los miembros que constituyen el comité de dirección de la compañía, estando incluidos entre otros, C.C.C. y B.B.B.. Además se constata que FERRATUM BANK PLC, es titular de una cuenta bancaria del BANCO SANTANDER, S.A., -XXXX XXXX XX XXXXXXXXXX- y que desde el 22/03/2017 tiene como “Apoderado solidario”, a E.E.E. misma persona que consta como Administrador solidario de FERRATUM SPAIN, S.L. A lo anterior, se debe señalar que habida cuenta de la implicación de la entidad Ferratum Bank PLC y Ferratum Spain S.L. en la determinación de los fines y los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 medios del tratamiento de datos personales ahora denunciados, debe considerarse que estas dos entidades, en vista de los elementos de que se dispone, son corresponsables de dicho tratamiento, en concreto en el tratamiento de los datos de la denunciante para la contratación de un supuesto préstamo y posteriormente para la inclusión de sus datos en ficheros ubicados en España y gestionados por entidades españolas a través de medios situados en España como son los ficheros comunes relativos a solvencia patrimonial y crédito. En este sentido, conforme dispone el art 2.
  12. c)de la vigente LOPD, los citados tratamientos se rigen por la normativa nacional española. A este respecto, cabe señalar que el art 2.
  13. d)de la Directiva 95/46 prevé expresamente la posibilidad de tal responsabilidad conjunta, y de forma similar el art 26 del RGPD 2016/679, correspondiendo a la AEPD esclarecer las estructuras internas del grupo Ferratum en cuanto a la toma de decisiones y al tratamiento de los datos para determinar cuál es el establecimiento/s responsable/s del tratamiento en el sentido del citado art 2.
  14. d)de la Directiva 95/46. En consecuencia, esta Agencia aprecia que es notoria la relación de corresponsabilidad en el tratamiento de los datos de la afectada ahora analizados existente entre ambas entidades, considerándose no sólo la responsabilidad directa de Ferratum Bank PLC en los hechos y en los que la AEPD es competente para sancionar, sino que, además, la entidad FERRATUM SPAIN SL, es el establecimiento que representa a FERRATUM BANK PLC en España con prerrogativas suficientes como para decidir sobre los tratamientos realizados en España de los clientes de Ferratum Bank PLC y por tanto dichos tratamientos se encuentran dentro del ámbito competencial de la normativa española de protección de datos tal y como se ha señalado más arriba. III En el supuesto que nos ocupa, se denuncia a la entidad Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L., por la utilización fraudulenta de sus datos sin su consentimiento en la contratación de un crédito, y haber solicitado la inclusión de sus datos personales en el fichero común de solvencia patrimonial y crédito de ASNEF-EQUIFAX, toda vez que esta entidad (FERRATUM SPAIN, S.L) dispone de poder de decisión suficiente para decidir sobre el tratamiento de datos de los clientes de FERRATUM BANK PLC en relación con la extinción de la deuda reclamada y la supresión a través del pago de la deuda en cuenta bancaria española a nombre de un apoderado de la entidad, y la inclusión de datos en los ficheros comunes de solvencia patrimonial y de crédito por cuenta de FERRATUM BANK PLC. Dichas entidades no han podido acreditar que contasen con el consentimiento de la denunciante para el tratamiento de sus datos, para la formalización de un contrato de crédito, cuyo incumplimiento motivase que FERRATUM BANK PLC solicitase la inclusión de sus datos en el fichero de solvencia patrimonial ASNEF el 16/05/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 La persona denunciante no ha contratado con Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L.,ningún micro-préstamo y, por razones no acreditadas, fue dada de alta en su base de datos de clientes su número DNI, nombre y dos apellidos, pero no la dirección postal, el número de teléfono, y la fecha de nacimiento; pues las que obran en sus registros no coincide con la del afectado vinculados a la contratación de un microcrédito por importe de 200 euros con fecha 6 de enero de 2017. Por otro lado, Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. ha manifestado que la contratación del microcrédito se efectuó a través de internet pero no ha aportado pruebas o indicios razonables de los que se infiera que adoptó, con ocasión de la celebración del contrato al que vinculó los datos del denunciante, la diligencia que está obligado a observar. Como consecuencia de dichos servicios emitió un contrato, y comunicaciones incluyendo su DNI asociado al impago del crédito vencido que no fue pagado y que más tarde fue el motivo de las gestiones de recobro y de la inclusión de sus datos en el fichero común de morosos Asnef. La persona denunciante tuvo conocimiento de dichos tratamientos y su inclusión en Asnef al recibir una notificación de Asnef-Equifax. Ha de concluirse que Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. ha realizado un tratamiento de datos personales sin consentimiento y asociados a una deuda que no le corresponde, y lo incluyó en fichero de insolvencia patrimonial y de crédito. IV Se imputa a Ferratum Bank PLC con establecimiento en España a través de Ferratum Spain S.L. una vulneración del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En este caso, consta documentado que en los ficheros de Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. se encuentran registrados los datos de la persona denunciante, asociado a un contrato de micropréstamo no solicitado. Tal dato personal fue registrado en los ficheros de la empresa y tratado para la emisión de contrato, comunicaciones gestiones de cobro e inclusión en fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 solvencia patrimonial y crédito. El tratamiento realizado por parte de Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L.no se ajusta a lo establecido en la LOPD. Para que dicho tratamiento resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el procedimiento examinado alguno de los supuestos contemplados en el artículo 6 de la Ley mencionada. Por tanto, corresponde a Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. acreditar que cuenta con el consentimiento del denunciante para el tratamiento de sus datos personales y no consta que lo tuviera con posterioridad. Resulta, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos imputados por parte de dicha entidad, que trató los datos del denunciante sin su consentimiento. En relación con las alegaciones efectuadas por Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. sobre el protocolo que tiene implementado para comprobar la identidad de la persona que contrata con ella a través de internet un préstamo (microcrédito). Es de señalar que carece de virtualidad para cumplir esa función. Ahora bien, llegados a este punto, está claro que Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L., no ha efectuado las comprobaciones pertinentes respecto de la veracidad de la dirección postal, del correo electrónico y de número de teléfono. Así pues, no cabe inferir de esta circunstancia que la denunciada verifique la identidad de las personas que contratan con ella ni tampoco que obre con diligencia en el cumplimiento de las obligaciones que impone la LOPD a fin de comprobar que quien facilita como suyos determinados datos es efectivamente su titular. Recordar sobre el particular que incumbe a Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. la carga de acreditar que cuenta con el consentimiento inequívoco del titular de los datos que han sido objeto de tratamiento o, al menos, que adoptado las medidas necesarias para el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6.1. Resulta muy esclarecedora en este sentido la SAN de 31/05/2006, Recurso 539/2004, que en su Fundamento Derecho Cuarto dice: “Por otra parte es el responsable del tratamiento (por todas, sentencias de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de estos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Al hilo de lo anterior, la falta de pruebas que acrediten que la persona denunciante otorgó su consentimiento efectivo a la entidad denunciada en el tratamiento pone de manifiesto que esta denunciada no ajustó su comportamiento, en el presente caso, a la diligencia que a la actividad profesional que desarrolla debe exigirse, a fin de garantizar el respeto al derecho fundamental a la protección de los datos personales. En consecuencia, se considera infringido el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 V El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  15. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
  16. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  17. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
  18. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. En este caso, Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L.no ha acreditado que el contrato del que deriva la deuda hubiera sido celebrado por el denunciante, la deuda por la que el afectado fue incluido en Asnef (alta de 16/05/2017) no reunía respecto a ella la condición de ser cierta. Por tal razón se estima que Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L. vulneró el artículo 4.3 de la LOPD en relación con el 29.4 y en relación con el artículo 38.1.
  19. a)del RLOPD. Esta incidencia se produjo porque no efectuó las oportunas comprobaciones en los datos personales recogidos, y las consiguientes subsanaciones, que hubiesen evitado que se produjeran los hechos que sirven de causa al presente procedimiento sancionador. VI El artículo 44.3.
  20. b)y
  21. c)de la LOPD, de 4 de marzo, considera infracción grave: “
  22. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  23. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” El cumplimiento de las exigencias previstas viene determinado por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 importancia de la inclusión y mantenimiento de los datos personales en dichos ficheros, cuestión que ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional, entre otras, en la Sentencia dictada el 16/02/2002, la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto, señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. Los dos principios cuya vulneración se imputa a Ferratum Bank PLC, con establecimiento en España a través de Ferratum Spain, S.L., el del consentimiento y el de calidad de los datos, se configuran como principios básicos en materia de protección de datos. En este caso, ha incurrido en las infracciones descritas ya que ha vulnerado ambos principios, consagrados en los artículos 4.3 y 6.1 de la LOPD, cuando mantuvo los datos personales de la persona denunciante en sus ficheros sin su consentimiento, y cuando informó, para su registro en Asnef, de dichos datos asociados a una deuda que no le correspondía, que encuentran su tipificación en el artículo 44.3.
  24. b)y
  25. c)de la citada Ley Orgánica. VII Los hechos expuestos podrían ser constitutivos de una infracción, imputable a FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. de una infracción del artículo el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.”, infracción tipificada como grave en el artículo 44.3.
  26. b)de dicha norma, que considera como tal: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber:  Por el carácter continuado de los hechos constatados (apartado 4.a), ya que FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. llevan tratando los datos de la denunciante sin su consentimiento al menos desde antes del 16/05/2017, momento en que sus datos son incluidos en ASNEF, a solicitud de dicha entidad.  Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 ocupa.  En relación con el volumen de negocio de las entidades infractoras (apartado 4.d). Según consulta hecha el 18/01/2018 en www.axesor.es/monitoriza, consta que la entidad FERRATUM SPAIN, S.L. es una empresa de tamaño UE “PYME (Microempresa)”. VIII Los hechos expuestos podrían suponer la comisión por parte de FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. de una infracción del artículo 4.3 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), que señala que: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”, en relación con el artículo 38.1
  27. a)del Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (en adelante RLOPD); infracción tipificada como grave en el artículo 44.3.
  28. c)de la LOPD, que considera como tal: “Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. Por lo que respecta a los criterios de graduación de las sanciones que contempla el artículo 45.4 de la LOPD, hay que considerar que en el presente caso concreto están presentes varias circunstancias que operan como agravantes, a saber:  Por el carácter continuado de los hechos constatados (apartado 4.a), ya que a solicitud de FERRATUM BANK PLC, con establecimiento en España a través de FERRATUM SPAIN, S.L. los datos del denunciante están incluidos en ASNEF desde el 16/05/2017.  Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), pues la actividad empresarial de la entidad imputada exige un continuo tratamiento de datos de carácter personal, tanto de sus clientes como de terceros, que se traduce en un deber de extremar la diligencia a fin de garantizar una tutela efectiva del derecho fundamental que nos ocupa.  En relación con el volumen de negocio de la entidad infractora (apartado 4.
  29. d)Según consulta hecha el 18/01/2018 en www.axesor.es/monitoriza, consta que la entidad FERRATUM SPAIN, S.L. es una empresa de tamaño UE “PYME (Microempresa)”. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 PRIMERO: IMPONER a la entidad FERRATUM BANK PLC, con NIF ***NIF.1 con establecimiento en España a través de FERRATUM SPAIN, S.L. con NIF ***NIF.2, las siguientes sanciones: 1. Por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3b) de dicha norma, con una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. 2. Por una infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3c) de dicha norma, con una multa de 50.000 euros (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a FERRATUM BANK PLC, con NIF ***NIF.1 con establecimiento en España a través de FERRATUM SPAIN, S.L. con NIF ***NIF.2. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  30. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  31. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.