PS-00076-2017

(9)expedientes sancionadores”, que expresamente se detallaban, y entre los cuales figuraba el sancionador PS/00076/2017. La entidad solicitó en su escrito que se procediera a la acumulación en consideración a la existencia entre ellos de una identidad sustancial y al amparo del artículo 57 de la LPACAP. Destacar que el precepto invocado se limita a “facultar” que no a obligar al órgano que inicie o tramite un procedimiento a disponer su acumulación a otro u otros que guarden identidad sustancial o íntima conexión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 b. En fecha 22/05/2017 tuvo entrada en el Registro de la AEPD un escrito de la denunciada dirigido a la Directora del organismo que lleva por rúbrica “Solicitud de reunión formal” y que aludía a diez procedimientos sancionadores pendientes en los que ella era parte denunciada, que se detallaban al pie del documento, y entre los cuales figuraba también el PS/00076/2017. OK MONEY solicitó la celebración de una reunión formal a los fines de explicar a la AEPD “la mejora de los mecanismos de identificación de clientes e información del proceso de recobro de deudas”. Sobre ese particular, una vez valoradas por esta Agencia las explicaciones ofrecidas por los representantes de la compañía denunciada relativas a las medidas de seguridad que había implementado en el proceso de solicitud de préstamos a partir del 01/01/2016 -medidas que a juicio de OK MONEY se adecuarían a la diligencia que es exigible a fin de dar cumplimiento a la normativa de protección de datos personales en la contratación on line de sus servicios- se concluye lo siguiente: 1. Es sobradamente conocido por OK MONEY que el procedimiento que tenía implementado antes del 01/01/2016 –integrado por una fase de “Scoring”, Validación de cuenta bancaria y Validación de teléfono móvil- era absolutamente inconsistente para los fines que debe cumplir: acreditar la identidad de la persona que facilita como suyos determinados datos personales. El Scoring tiene transcendencia únicamente sobre la solvencia económica de la persona cuyos datos se ofrecen al tiempo de la contratación – cuestión que en nada atañe a la validación de la identidad-. Sobre la validación de la cuenta bancaria –cuyo procedimiento se describe por OK MONEY en el requerimiento informativo que precedió a este expediente sancionador- basta indicar que no ha aportado prueba alguna sobre él lo que por otra parte parece lógico habida cuenta de que dicho procedimiento es jurídicamente imposible. Y respecto al mecanismo de validación del teléfono móvil, la escasa información que nos facilita permite sin problemas afirmar que a través de él en ningún caso sería factible que la entidad conociera la identidad del titular del móvil a lo que se añade el hecho de que el contratante no tiene por qué ser su titular bastando con que sea el usuario. Se subraya también que el procedimiento “mejorado” a partir del 01/01/2016 que OK MONEY hizo valer ante esta Agencia sigue careciendo por completo de virtualidad para acreditar la identidad de la persona que contrata con ella un microcrédito y facilita como suyos datos personales. Si bien se añaden al protocolo inicialmente previsto nuevas fases (como la “Validación documento identificativo Verificación PB-FT” y la “Validación Instator”) la denunciada no ha explicado en qué consisten tales mecanismos ni su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 transcendencia a los fines de identificar a la persona del contratante. Se desprende de lo expuesto que incluso en la hipótesis de que no hubiera impedimentos procedimentales para que el nuevo protocolo implementado por OK MONEY pudiera operar como atenuante de la sanción impuesta en el expediente sancionador que nos ocupa (habida cuenta de que los hechos acontecieron en el año 2015 y estaban sujetos al protocolo anterior al 01/01/2016), el resultado de la resolución sería invariable. Esto, porque toda vez que el llamado protocolo “mejorado” de solicitud de préstamos a partir del 01/01/2016 no ofrece ninguna medida consistente con virtualidad para identificar al cliente que contrata con ella, no cabría apreciar a favor de OK MONEY una circunstancia atenuante que inicialmente no se hubiera considerado, de forma que la sanción impuesta sería la misma prevista en el Acuerdo de inicio del expediente sancionador. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: HECHOS PROBADOS PRIMERO: D.ª A.A.A. denuncia que OK MONEY ha incluido sus datos personales en ASNEF vinculados a un microcrédito que ella no ha contratado, extremo del que tuvo conocimiento por el Departamento de RRHH de su empresa al ser política de la compañía que ningún empleado puede estar incorporado a ficheros de esta naturaleza. (Folios 1 y 13) SEGUNDO: Los datos personales de la denunciante -nombre, dos apellidos y NIF ***NIF.1- fueron tratados por OK MONEY vinculados a la contratación de un microcrédito por un importe de 300 euros con fecha de alta 17/03/2015. En el fichero de OK MONEY consta, asociados a los datos personales de la denunciante, una dirección postal en la localidad de ***LOC.1 (Murcia), una dirección electrónica ( ***EMAIL.1) y un número de móvil ***TEL.1.(Folios 22 a 24, 94 a 96, 149 y 150) TERCERO: Los datos personales de la denunciante (nombre, apellidos y NIF) se dieron de alta en el fichero ASNEF a instancia de “KIZOO (OK MONEY)”, con fecha 15/07/2015, por un producto de “Préstamos personales”. El saldo impagado asciende en la fecha en la que la afectada ejercita el derecho de acceso a 423 euros. Vinculados a esos datos se facilitó como dirección postal calle (C/...1), Murcia. En fecha 30/03/2016 la incidencia continuaba vigente. (Folios 7, 9 y 10) CUARTO: OK MONEY ha declarado que la contratación del microcrédito a nombre de la denunciante se efectuó a través de internet. (Folio 18) QUINTO: En respuesta a la pregunta de la Inspección de Datos de la AEPD sobre el procedimiento implementado para validar la identidad de las personas que contratan con ella, OK MONEY manifestó lo siguiente (folio 18): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 “A estos efectos se hace constar que OK MONEY cuenta con un sistema normalizado y estandarizado del proceso de contratación a través de internet, en el que el cliente tiene que cumplimentar sus datos personales (nombre, apellidos, NIF, dirección postal, dirección de correo electrónico etc) así como aportar los datos de su número de cuenta, el titular del número de cuenta y el número de contacto de su móvil. (…) al encontrarse el programa informático de contratación de OK MONEY conectado con los datos del Banco de España , en el caso de que el titular de la cuenta bancaria introducida no coincida con el número de cuenta aportado, el sistema automáticamente invalida la contratación del correspondiente producto. (El subrayado es de la AEPD) Añadió que para mayor seguridad en la identificación del potencial cliente, con carácter previo a la finalización del proceso de contratación OK MONEY remite un código al número de móvil facilitado por el potencial cliente para que éste introduzca el código en la plataforma de contratación antes dar por terminada la contratación del producto SEXTO: OK MONEY no ha facilitado - pese a que se le requirió expresamente por la Inspección de la AEPD- ningún documento que acredite el consentimiento prestado por el cliente a la contratación de un microcrédito del que derivan los hechos denunciados ni la adopción de medidas para validar la identidad del contratante. SÉPTIMO: La denunciante interpuso denuncia en la Comisaría de Policía de Valladolid en fecha 01/04/2016 (Atestado ***ATES.1) por los hechos que son objeto de examen en el presente expediente sancionador (Folios 11 y 12) OCTAVO: La denunciante presentó en la OMIC del Ayuntamiento de Valladolid reclamación contra la empresa OK MONEY. Aporta copia del escrito de reclamación que lleva impreso el sello de presentación en el Registro de la OMIC en fecha 04/04/2016 (Folio 13) NOVENO:OK MONEY ha aportado copia de un Oficio recibido de la Dirección General de la Policía de fecha 04/04/2016 en el que le solicitan diversa información en el marco de la investigación por un presunto delito de estafa, Atestado ***ATES.1.(Folios 85 y 86) Declara que recibido el oficio de la Dirección General de la Policía “ procedió de inmediato a paralizar el proceso de recobro de la deuda y notificó a EQUIFAX esta circunstancia, al objeto de que los datos personales del Cliente fueran excluidos del fichero ASNEF”. (Folios 19 y 91) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36, ambos de la LOPD. II La LPACAP en su artículo 64, bajo la rúbrica “Acuerdo de iniciación en los procedimientos de naturaleza sancionadora” establece: “(…)2. El acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 deberá contener al menos: (…)

1. f)(…) indicación de que, en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuanto contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) En fecha 31/03/2017 la Directora de la AEPD acordó la apertura de un expediente sancionador contra OK MONEY por una presunta infracción de los artículos 6.1 y 4.3, en relación con el 29.4 de la LOPD y en relación también con el artículo 38.1.a, RLOPD, tipificadas, respectivamente, en los artículos 44.3.b y 44.3.c de la Ley Orgánica 15/1999. El acuerdo de inicio indicaba en el punto 5 de su parte dispositiva que a los efectos previstos en los artículos 64.2.
2. b)de la LPACAP y 127,
3. b)del RLOPD, la sanción que podría corresponder por las infracciones imputadas, sin perjuicio del resultado de la instrucción, sería de 20.000 euros por la infracción del artículo 6.1. LOPD y de 10.000 euros por la vulneración del artículo 4.3. LOPD. Ello, porque como se detallaba en el Fundamento de Derecho IV del Acuerdo de Inicio, se apreció la concurrencia de la atenuante cualificada del artículo 45.5.
4. b)LOPD toda vez que la denunciada había procedido a regularizar la situación irregular creada antes de que la Inspección de Datos de la AEPD le hubiera dirigido el primero de sus requerimientos de información. Una vez recibido el Acuerdo de inicio del expediente sancionador, el representante legal de OK MONEY, en escrito de fecha 20/04/2017 que entró en el Registro de la AEPD el 21/04/2017, solicitó que se ampliara por el máximo permitido legalmente (en este supuesto cinco días) el plazo inicialmente otorgado para presentar alegaciones al acuerdo de inicio. La Instructora del expediente otorgó la ampliación del plazo solicitada mediante escrito firmado el 24/04/2017. No obstante, OK MONEY no llegó a presentar sus alegaciones al acuerdo de inicio del PS/0076/2017. A fecha 06/09/2017 no consta en el Registro de este organismo la entrada de ningún escrito de la entidad denunciada a través del cual dé cumplimiento al trámite de alegaciones que le otorga la Ley. Así las cosas, habida cuenta de que el plazo fijado en la LPACAP para hacer alegaciones al acuerdo de inicio del expediente sancionador se superó con creces sin que la entidad imputada las hubieran presentado y, puesto que dicho acuerdo contenía –tal y como exige el artículo 64.2.
5. f)de la LPACAP- “un pronunciamiento preciso acerca de la responsabilidad imputada”, hemos de concluir que, en el asunto que nos ocupa, el referido acuerdo de inicio se considera propuesta de resolución, de manera que la Instructora del expediente lo eleva sin más trámites al órgano competente para resolver (ex artículo 88.7 LPACAP). III Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Los preceptos de la LOPD antes transcritos deben integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
6. h)de la Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “ 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
7. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). IV Se atribuye a OK MONEY en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales de la denunciante vinculados a la contratación de un microcrédito sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales asociados a la deuda derivada de aquél, a la que la denunciante es ajena, por lo que respecto a ella la deuda informada a ASNEF no era cierta, ni vencida ni exigible. A. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones 1. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Ha quedado acreditado a través de la documentación obrante en el expediente que los datos personales de la denunciante, nombre, dos apellidos y NIF (no así su dirección postal) se incorporaron a los registros informáticos de OK MONEY vinculados a la contratación de un microcrédito con fecha de alta de la operación el 17/03/2015. Microcrédito sobre el que la denunciante ha negado su contratación tanto en la denuncia que presentó ante esta Agencia como en la presentada en la Policía el 01/04/2016 y en la reclamación formulada en la OMIC el 04/04/2016 (Hechos probados séptimo y octavo) La denunciada ha remitido copia de sus registros informáticos en los que constan los datos de la denunciante como cliente suya y vinculados a ella un domicilio en Murcia que no le pertenece. El domicilio que se atribuye a la contratante, que es el mismo que OK MONEY comunicó a ASNEF, no coincide con el que figura en la copia del DNI de la denunciante –radicado en XXXX- y en la denuncia presentada ante la AEPD. 2. OK MONEY manifiesta que la contratación del producto financiero a nombre de la denunciante se realizó a través de internet. Se le requirió por la Inspección de Datos para que aportara algún documento que hiciera prueba de la supuesta contratación y se solicitó explicación y documentación relativa al protocolo seguido para validar la identidad del cliente que facilita como suyos los datos personales. Sin embargo, OK MONEY no aportó ningún documento que acreditara tal extremo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Respecto al protocolo que OK MONEY tiene implementado para comprobar la identidad de la persona que contrata con ella a través de internet un préstamo (microcrédito) la información que esa entidad ha facilitado pone de manifiesto que dicho protocolo carece totalmente de virtualidad para cumplir su función. El protocolo descrito por OK MONEY (folio 18) consiste, por una parte, “ en un programa informático de contratación … conectado con los datos del Banco de España” y que, supuestamente, invalida las contrataciones en las que el número de cuenta bancaria introducido por el contratante no coincida con el número de cuenta aportado. Afirmación difícilmente creíble y sobre la cual, evidentemente, OK MONEY no ha acreditado ningún extremo. Por otra parte, la denunciada explica que el protocolo de validación de la identidad de la persona que contrata con ella a través de internet consiste en un código que OK MONEY remite al móvil del contratante antes de que el proceso de contratación finalice y que éste deberá introducir en la plataforma de contratación para que el proceso contractual se dé por terminado. Sin embargo, a través de este protocolo lo único que es posible conocer es el número de móvil del que hace uso el contratante, sin que pueda inferirse de este hecho que la entidad denunciada ha verificado la identidad del contratante ni, por consiguiente, tampoco que esa entidad, responsable del tratamiento de los datos personales, haya obrado diligentemente en el cumplimiento de las obligaciones que le impone la LOPD con objeto de comprobar que quien facilita como suyos determinados datos es efectivamente su titular. Incumbe a quien trata los datos la carga de acreditar que ha recabado el consentimiento inequívoco de su titular o, al menos, que han adoptado las medidas que exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6. Muy esclarecedora resulta en tal sentido la SAN de SAN de 29/04/2010, en la que el Tribunal, (Fundamento de Derecho SEXTO) señaló que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD Trasladando las reflexiones precedentes a los hechos que nos ocupan, habida cuenta de que OK MONEY trató los datos personales de la afectada vinculados a un contrato que ella niega haber celebrado y toda vez que no ha quedado probado que obró diligentemente en el cumplimiento de la obligación impuesta por la LOPD (ex artículo 6.1), se concluye que su actuación ha sido contraria al principio del consentimiento, infracción tipificada como grave en el artículo 44.3.
8. b)LOPD que dispone: “Son infracciones graves, (..) d)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a los dispuesto en esta Ley y sus disposiciones de desarrollo”. B. Por lo que concierne a la infracción del artículo 4.3 de la LOPD, en relación con el artículo 29.4, que se atribuye a OK MONEY han de hacerse las siguientes reflexiones: 1. Las normas jurídicas reproducidas en el Fundamento de Derecho III ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 es el responsable de comprobar que tal inclusión se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido ha de traerse a colación la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) 2. Constituye un hecho probado que OK MONEY trató los datos personales de la denunciante (su nombre, apellidos y NIF) asociados a la contratación de un microcrédito. Como se ha expuesto en el Fundamento Jurídico precedente la denunciada no ha podido acreditar que la afectada hubiera otorgado el consentimiento a la contratación de dicho producto. El tratamiento de sus datos vinculado a la contratación de un microcrédito determinó que la entidad prestamista, ante el impago de quien fue el auténtico prestatario, le imputara una deuda que, respecto a ella, no era cierta, ni vencida ni exigible. Ante el impago de la deuda generada OK MONEY procedió a comunicar al fichero ASNE una incidencia a nombre de la afectada con fecha de alta 15/07/2015. La anotación continuaba vigente en ASNEF en fecha 30/03/2016. La denunciada ha declarado que procedió a dar de baja de ASNEF los datos personales de la denunciante nada más tener conocimiento que podría tratarse de una suplantación de personalidad, a raíz de haber recibido en fecha 04/04/2016 un Oficio de la Dirección General de la Policía para que aportara documentación relacionada con los hechos que nos ocupan que estaban siendo objeto de investigación por la comisión de un presunto delito de estafa. Ha de subrayarse que OK MONEY no ha aportado documentación acreditativa de que se produjo la efectiva baja de ASNEF de los datos de la denunciante. En definitiva, los datos personales de la denunciante fueron incluidos por OK MONEY en un fichero de solvencia patrimonial vinculados a una deuda a la que ella ajena; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada por cuanto la entidad informante, OK MONEY, no ha podido acreditar su condición de deudora. Resulta por ello que la información que OK MONEY comunicó a ASNEF no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
9. c)de la citada norma, que dispone: “Son infracciones graves, (..)
10. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
11. a)El carácter continuado de la infracción.
12. b)El volumen de los tratamientos efectuados.
13. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
14. d)El volumen de negocio o actividad del infractor.
15. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
16. f)El grado de intencionalidad.
17. g)La reincidencia por comisión de infracciones de la misma naturaleza.
18. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
19. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
20. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
21. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
22. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
23. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
24. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
25. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite fijar su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en la que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el acuerdo de inicio del expediente sancionador que nos ocupa (que tal y como se ha indicado, al amparo del artículo 64.2.f, LPACAP, es considerado Propuesta de resolución) se hacía constar que a tenor de las evidencias obtenidas en la fase de investigaciones previas, y sin perjuicio de lo que resulte de la instrucción, procedía graduar la sanción a imponer de conformidad con los artículos 45.5 y 45.4 LOPD y con arreglo a los criterios que pasamos a reproducir Que existían razones que justificaban la aplicación de la atenuante cualificada del artículo 45.5.
26. b)LOPD: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. Se argumentó en el acuerdo de inicio que “antes de que la AEPD, a través de la Inspección de Datos, dirigiera a OK MONEY el primero de sus requerimientos informativos (que data del 28/06/2016) la denunciada había procedido a cancelar en el fichero de solvencia la anotación vinculada a la denunciante. Ha declarado en ese sentido que nada más conocer a través de un Oficio de la Dirección General de la Policía, Comisaría de Valladolid, que se estaba investigando una presunta estafa – denunciada por la afectada- en relación con la contratación de un microcrédito a través de su compañía procedió a dar de baja del fichero ASNEF la incidencia”. El efecto jurídico que deriva de la aplicación del artículo 45.5 LOPD es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que preceden en gravedad a la infracción imputada. Así pues, la sanción a imponer deberá estar comprendida dentro de los márgenes que el artículo 45.1 LOPD fija para las infracciones leves: de 900 a 40.000 euros. Paralelamente, por lo que atañe a las circunstancias del artículo 45.4 LOPD que permiten graduar el importe de la sanción a imponer se indica lo siguiente: Por lo que concierne a la infracción del artículo 6.1 de la LOPD de la que se responsabiliza a OK MONEY, señalar que operan como agravantes del tratamiento de datos personales efectuado sin consentimiento de su titular las siguientes circunstancias descritas en el precepto citado: - “El carácter continuado de la infracción” (apartado a,) pues los datos personales de la afectada fueron objeto de tratamiento por OK MONEY y permanecieron en sus registros informáticos durante más de un año ya que el contrato se celebró el 17/03/2015 y el tratamiento se mantuvo hasta que la incidencia informada a ASNEF fue cancelada - según afirmaciones de OK MONEY el 04/04/2016-. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de la denunciada exige, por su misma naturaleza, un continuo tratamiento de los datos de carácter personal de sus clientes. - “Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”, (apartado j). Se encuadra en este apartado, como exponente de una mayor antijuridicidad y culpabilidad de la entidad imputada, el hecho de que el “protocolo” que OK MONEY dice C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 tener implementado para la identificación de los clientes que contratan con ella a través de internet –protocolo que describe en su respuesta al requerimiento informativo de la AEPD- es absolutamente inconsistente lo que implica que en la práctica la entidad carece de un mecanismo para verificar la identidad de las personas que contratan con ella. Extremo que es especialmente relevante si tenemos en cuenta que todas las operaciones crediticias –que son el objeto de su negocio- se efectúan a través de internet. Concurre como atenuante de la infracción del artículo 6.1 de la LOPD que se atribuye a la denunciada la circunstancia descrita en el apartado
27. d)del artículo 45.4 LOPD, “El volumen de negocio o actividad del infractor”. No estamos ante una gran empresa, sino ante un PYME que cuenta con ocho empleados y cuyo capital social es de 960.000 euros. Por lo que concierne a la infracción del artículo 4.3 en relación con el 29.4 de la LOPD y 38.1.a, del RLOPD se estima que concurren también las agravantes descritas en los apartados a, y c, del artículo 45.4 LOPD. Indicar que los datos personales de la afectada permanecieron incluidos en el fichero de solvencia, sin legitimación para ello, durante más de ocho meses. Sin embargo, no es de aplicación la agravante del apartado j, del artículo 45.4 LOPD, que por su propia naturaleza queda circunscrita a la vulneración del principio del consentimiento. Asimismo, opera como atenuante de la infracción del principio de calidad de los datos de la que se responsabiliza a OK MONEY la circunstancia recogida en el apartado d, del artículo 45.4 ya que la persona jurídica responsable es una PYME. Por lo tanto, de acuerdo con lo señalado, Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN, S.L.U.,, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en su artículo 44.3.b), una multa de 20.000 euros (veinte mil euros), de conformidad con lo establecido en el artículo 45.1 en relación con el 45.5.
28. b)de la citada LOPD. SEGUNDO: IMPONER a la entidad OK MONEY SPAIN, S.L.U.,, por una infracción del artículo 4.3, en relación con el 29.4 de la LOPD y en relación también con el artículo 38.1.
29. a)del RLOPD, tipificada como infracción grave en su artículo 44.3.c), una multa de 10.000 euros (diez mil euros), de conformidad con lo establecido en el artículo 45.1 en relación con el 45.5.
30. b)de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a OK MONEY SPAIN, S.L.U. CUARTO: Advertir a la entidad sancionada que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de acuerdo con lo dispuesto en el artículo 98.1.
31. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es