← España

PS-00084-2018

1/13 Procedimiento Nº PS/00084/2018 RESOLUCIÓN: R/01173/2018 En el procedimiento sancionador PS/00084/2018, instruido por la Agencia Española de Protección de Datos a la entidad OK MONEY SPAIN S.L.U. (KYZOO), vista la denuncia presentada por D. C.C.C., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de octubre de 2017 tiene entrada en la Agencia Española de Protección de Datos, escrito de denuncia presentado por D. C.C.C. (en lo sucesivo el denunciante). En el que denuncia por los siguientes hechos según manifestaciones del denunciante: Utilizar sus datos para la contratación fraudulenta de un crédito a su nombre. Incluir sus datos en el fichero de solvencia patrimonial y de crédito ASNEF, a raíz de dicha contratación fraudulenta. Que según el denunciante tuvieron lugar a fecha de: 29/03/2016. Y, entre otra, anexa la siguiente documentación:  Copia de su DNI, en la que aparece la misma dirección que presentó como domicilio en la denuncia. En la fecha del 14/11/2017, tiene entrada un escrito del denunciante en contestación a requerimiento de información. Y anexa, entre otra, la siguiente documentación:  El denunciante manifiesta que OK MONEY SPAIN S.L.U. le ha enviado el contrato del préstamo, a petición suya para aportarlo a la denuncia que iba a presentar ante los Mossos d’Esquadra.  Contrato marco de préstamo entre OK MONEY SPAIN S.L.U. (prestamista) y “ C.C.C.” (prestatario) con fecha de celebración el 29/03/2016. En dicho contrato, se observa que la dirección del denunciante que aparece en el contrato no es la misma que aparece en su DNI ni en el domicilio de la denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13  Copia de correo electrónico remitido por una empleada de CAIXABANK al denunciante con fecha 22/09/2017, informándole de que aparece en una deuda por importe de 453 € como avalista de un préstamo personal.  Copia de correo electrónico remitido por OK MONEY SPAIN S.L.U. al denunciante el 06/10/2017 indicándole que el procedimiento para paralizar el recobro y solicitar la baja en los ficheros de solvencia patrimonial y de crédito consiste en presentar una denuncia ante la policía por la suplantación de la identidad y remitirles la denuncia.  Denuncia presentada el 09/10/2017 ante los Mossos d’Esquadra.  Pantalla de consulta hecha el día 22/09/2017 por un usuario de la CAJA DE INGENIEROS al informe crediticio de EXPERIAN del denunciante, donde se observa que aparece una operación de impago dada de alta el 12/06/2016 por importe impagado de 616,00 debido a una financiación al consumo. Dicha operación tiene como dirección del denunciante la misma que aparecía en el contrato marco de préstamo con OK MONEY SPAIN S.L.U. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad OK MONEY SPAIN S.L.U. (KYZOO), teniendo conocimiento de que: En la fecha del 20/12/2017, tienen entrada dos escritos presentado en nombre de OK MONEY SPAIN S.L.U. en contestación a requerimiento de información. Y se anexa, entre otra, la siguiente documentación: 1. Impresión de pantalla de la dirección del denunciante que aparece en los sistemas de información de OK MONEY SPAIN S.L.U. a fecha de 13/12/2017. En dicha pantalla se observa la misma dirección que aparecía en el contrato marco de préstamo (que es distinta a la que aparece en el DNI del denunciante). 2. Contrato marco de préstamo suscrito entre OK MONEY SPAIN S.L.U. y C.C.C., junto con copia del DNI del denunciante. 3. Se manifiesta que se han enviado varias comunicaciones al correo electrónico y al móvil que se aportó al suscribir el contrato marco de préstamo. Se aportan pantallazos de los sistemas de información de OK MONEY SPAIN S.L.U. con las comunicaciones que manifiestan que han enviado al denunciante. Aparecen dos, enviadas vía correo electrónico con características de requerimiento de pago previo a la inclusión en ficheros de solvencia patrimonial y de crédito con fechas de creación 21/06/2016 y 22/07/2016. 4. Se explica cuál es el proceso de validación y comprobación de la identidad de los consumidores a partir de enero de 2016, consistente en la realización de las siguientes comprobaciones:  Se comprueba que algunos caracteres aportados aparecen en el DNI escaneado.  Se verifica que el correo electrónico aportado exista realmente.  Se verifica que el número de teléfono aportado esté operativo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 5. Se manifiesta que, tras aportar el denunciante la denuncia presentada ante la Policía, se le dio de baja en los listados de morosidad en la fecha del 10/10/2017. En la fecha del 27/12/2017, se presenta escrito en nombre de EQUIFAX IBERICA, S.L. en respuesta a requerimiento de información. Y aporta, entre otra, la siguiente información: 1. Manifiesta que, a fecha de 21/12/2017 no aparecen datos referidos al NIF del denunciante en el fichero ASNEF. 2. Datos presentes en el fichero ASNEF referidos al NIF del denunciante en la fecha del 05/10/2017 a las 10:07:41; entre los que aparece una operación informada por KYZOO (OK MONEY) por un saldo de 453,00 y con fecha de alta el 03/10/2016. 3. Escrito de EQUIFAX IBERICA, S.L. dirigida al denunciante y fechado el 05/10/2017, en el que se le informa que, en contestación a su escrito de fecha 26/09/2017, y habiendo realizado las comprobaciones pertinentes, se ha subsanado el error con los datos aportados por KYZOO, no constando información referida a su NIF en el fichero ASNEF. Y para corroborarlo, se presenta la consulta de las operaciones presentes en ASNEF con el NIF del denunciante, fechada el 05/10/2017 a las 10:07:43, y se observa que no aparece ninguna operación. En la fecha del 16/01/2018, tiene entrada un escrito en respuesta a requerimiento de información sobre los datos del denunciante presentes en el fichero BADEXCUG. Y se aporta, entre otra, la siguiente información: 1. Copia de pantalla de búsqueda, con fecha 05/01/2018, en la que se aporta el NIF del denunciante y se muestra el mensaje “NO SE HA ENCONTRADO EN LA BASE DE DATOS EL ID NUMBER CONSULTADO”. 2. Copia de pantalla en la que aparece la información de una notificación con fecha 14/06/2016 de inclusión remitida a nombre del denunciante a una dirección similar a la que aparece en el contrato marco de préstamo suscrito con OK MONEY SPAIN S.L.U., pero que no fue informada por esta entidad, sino que fue informada por TWINERO S.L. por importe impagado de 588,08 €. TERCERO: Con fecha 26 de marzo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OK MONEY por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3

  1. b)de la citada Ley Orgánica, y por la presunta infracción del artículo 4.3 de la LOPD –en relación con el 29.4 de dicha norma y el 38.1a) del RLOPD-, tipificada como grave en el artículo 44.3
  2. c)de la citada ley. CUARTO: Notificado el acuerdo de inicio, OK Money presentó ante la Agencia Española de Protección de Datos escrito de ampliación del plazo concedido para la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 presentación de alegaciones y mediante escrito formuló alegaciones solicitando el archivo de actuaciones. Alega que: “OK Money también solicitó, durante el procedimiento de contratación del préstamo la fotocopia del DNI de D. C.C.C., que OK Money cuenta entre su procedimiento con un lector OCR que comprueba si ciertos caracteres de los DNIs facilitado corresponden con un DNI válido, impidiendo el uso de DNIs falsificados. Adicionalmente solicitamos de nuestros clientes un recibo bancario en el que conste su DNI y el número de cuenta en el que el usuario desea recibir el préstamo solicitado. De estos hechos se deduce que el recibo bancario que fue presentado ante OK Money en el procedimiento de contratación fue falsificado por el suplantador de identidad, cosa que OK Money no podía conocer en el momento de la contratación. OK Money ha sido diligente a la hora de comprobar y verificar la identidad del usuario, de manera que no puede exigírsele la implantación de mayores medidas de seguridad de las ya implementadas. OK Money considera que excede de la diligencia debida el comprobar si el recibo bancario facilitado por la persona que solicita un préstamo ha sido falsificado y si el DNI proporcionado ha sido sustraído o extraviado y está siendo utilizado por un suplantador de identidad, toda vez que ha comprobado la validez del DNI y ha comprobado que este aparece en el recibo bancario facilitado”. QUINTO: Con fecha 25 de abril de 2018 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el informe de actuaciones previas de inspección y las alegaciones al acuerdo de inicio con la documentación adjunta. SEXTO: El 24 de mayo de 2018 se notificó a OK MONEY SPAIN S.L.U. (KYZOO) la propuesta de resolución formulada en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a OK MONEY SPAIN S.L.U. (KYZOO) con NIF I.I.I.: 1. Por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  3. b)de dicha norma, con una multa de 24.000 euros (veinticuatro mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. 2- Por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  4. c)de dicha norma, con una multa de 24.000 euros (veinticuatro mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 SÉPTIMO: En fecha 12 de junio de 2018 tuvo entrada en esta Agencia, con fecha de presentación por correo certificado de Correos en fecha 7 de junio de 2018, un escrito de la representación de OK MONEY SPAIN S.L.U. (KYZOO), en el que se realizaban las oportunas alegaciones a la propuesta de resolución. En este escrito de alegaciones se solicita el archivo del presente procedimiento sancionador, reiterando todo lo expresado y manifestado en el escrito de alegaciones al acuerdo de inicio de procedimiento sancionador, señalando que han actuado con la diligencia debida a la hora de tratar los datos del denunciante, sin cometer infracción alguna. HECHOS PROBADOS 1 --- 29/03/2016, fecha de solicitud de un crédito de 300 € solicitado a OK Money, cantidad adeudada 453 € total pagado 0 €, plazo del préstamo 30 días. La entidad en su informe de 19/12/17 a la Inspección de Datos hace constar que asociados a dicho crédito figuran los siguientes datos personales: C.C.C.; DNI ***DNI.1; teléfono móvil ***TELF.1; e-mail ***EMAIL.1 calle A.A.A.. 2 --- 29/03/2016, fecha del "Contrato marco de préstamos" que emite OK Money a nombre de C.C.C., DNI ***DNI.1, ***TELF.1, ***EMAIL.1 relacionando las diferentes cláusulas de contratación pero sin concretar importe de préstamo solicitado. 3 --- Las impresiones de pantallas de ordenador conteniendo los mensajes enviados al solicitante de crédito por email recordándole la deuda pendiente y la posible inclusión en ficheros de morosos. 4 --- 3/10/2016, con esta fecha OK Money da de alta en Asnef el DNI ***DNI.1 del denunciante ( C.C.C.) asociado a una deuda de 453 €. Causa baja el 05/10/2017 según afirmaciones de OK Money. 5 --- Que el denunciante no tuvo conocimiento hasta el 22/09/2017, fecha en la que recibe el denunciante un correo electrónico remitido por CAIXABANK, informándole de que aparece dado de alta en el fichero el 03/10/2016 por una deuda, cuyo importe es de 453 € en concepto de avalista de un préstamo personal, 7 --- 09/10/2017, el denunciante presentó denuncia ante los Mossos d’Esquadra. 8 --- Que en los datos de alta del préstamo de 300€ aparecen sus datos personales, nombre, apellidos y DNI, también figura un teléfono que no es el suyo y una dirección que no es la suya. FUNDAMENTOS DE DERECHO I De la competencia: Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 De la valoración de la prueba: La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. OK Money es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la denunciada relacionados con las exigencias de los principios del consentimiento y de la calidad de datos contenidos en los artículos 6.1 y 4.3 de la LOPD. La persona denunciante no ha contratado con OK Money ningún micropréstamo y, por razones no acreditadas, fue dada de alta en su base de datos de clientes su número DNI, nombre y dos apellidos, pero no la dirección postal, el número de teléfono, y el correo electrónico; pues las que obran en sus registros no coincide con la del afectado vinculados a la contratación de un microcrédito por importe de 300 euros con fecha 29/03/2016. OK Money ha manifestado que la contratación del microcrédito se efectuó a través de internet pero no ha aportado pruebas o indicios razonables de los que se infiera que adoptó, con ocasión de la celebración del contrato al que vinculó los datos del denunciante, la diligencia que está obligado a observar. Como consecuencia de dichos servicios emitió un contrato, y comunicaciones incluyendo su DNI asociado al impago del crédito vencido que no fue pagado y que más tarde fue el motivo de las gestiones de recobro y de la inclusión de sus datos (número de DNI y nombre con primer apellido) en el fichero de morosos Asnef. La persona denunciante tuvo conocimiento de dichos tratamientos y su inclusión en Asnef al solicitar una ampliación de la tarjeta VISA en su entidad financiera. Ha de concluirse que OK Money ha realizado un tratamiento de datos personales sin consentimiento y asociados a una deuda que no le corresponde, y lo incluyó en fichero de insolvencia patrimonial y de crédito. III Se imputa a OK Money una vulneración del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 En este caso, consta documentado que en los ficheros de OK Money se encuentra registrado el dato de DNI y el nombre y primer apellido de la persona denunciante, asociado a un contrato de micro-préstamo no solicitado. Tal dato personal fue registrado en los ficheros de la empresa y tratado para la emisión de contrato, comunicaciones gestiones de cobro e inclusión en fichero de solvencia patrimonial y crédito. El tratamiento realizado por parte de OK Money no se ajusta a lo establecido en la LOPD. Para que dicho tratamiento resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el procedimiento examinado alguno de los supuestos contemplados en el artículo 6 de la Ley mencionada. Por tanto, corresponde a OK Money acreditar que cuenta con el consentimiento del denunciante para el tratamiento de sus datos personales y no consta que lo tuviera con posterioridad. Resulta, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos imputados por parte de dicha entidad, que trató los datos del denunciante sin su consentimiento. En relación con las alegaciones efectuadas por OK Money sobre el protocolo que tiene implementado para comprobar la identidad de la persona que contrata con ella a través de internet un préstamo (microcrédito). Es de señalar que carece de virtualidad para cumplir esa función, pues a pesar de realizar las siguientes comprobaciones: contar con un lector OCR que comprueba si ciertos caracteres de los DNIs facilitado corresponden con un DNI válido, impidiendo el uso de DNIs falsificados, recibo bancario en el que conste su DNI y el número de cuenta en el que el usuario desea recibir el préstamo solicitado. Ahora bien, llegados a este punto, está claro que Ok Money, no ha efectuado las comprobaciones pertinentes respecto de la veracidad de la dirección postal, del correo electrónico y de número de teléfono. Así pues no cabe inferir de esta circunstancia que la denunciada verifique la identidad de las personas que contratan con ella ni tampoco que obre con diligencia en el cumplimiento de las obligaciones que impone la LOPD a fin de comprobar que quien facilita como suyos determinados datos es efectivamente su titular. Recordar sobre el particular que incumbe a OK Money la carga de acreditar que cuenta con el consentimiento inequívoco del titular de los datos que han sido objeto de tratamiento o, al menos, que adoptado las medidas necesarias para el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6.1. Resulta muy esclarecedora en este sentido la SAN de 31/05/2006, Recurso 539/2004, que en su Fundamento Derecho Cuarto dice: “Por otra parte es el responsable del tratamiento (por todas, sentencias de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de estos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Al hilo de lo anterior, la falta de pruebas que acrediten que la persona denunciante otorgó su consentimiento efectivo a la entidad denunciada en el tratamiento pone de manifiesto que esta denunciada no ajustó su comportamiento, en el presente caso, a la diligencia que a la actividad profesional que desarrolla debe C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 exigirse, a fin de garantizar el respeto al derecho fundamental a la protección de los datos personales. En consecuencia, se considera infringido el artículo 6.1 de la LOPD. IV El artículo 4.3 de la citada Ley dispone lo siguiente: “3. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  6. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
  7. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  8. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
  9. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. El acreedor o quien actúe por su cuenta o interés, por tanto, podrá facilitar a ficheros comunes datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias, siempre que la información registrada en los ficheros de esta naturaleza respete el principio de veracidad y exactitud. En este caso, OK Money no ha acreditado que el contrato del que deriva la deuda hubiera sido celebrado por el denunciante, la deuda por la que el afectado fue incluido en Asnef (alta de 03/10/2016) no reunía respecto a ella la condición de ser cierta. Por tal razón se estima que OK Money vulneró el artículo 4.3 de la LOPD en relación con el 29.4 y en relación con el artículo 38.1.
  10. a)del RLOPD. Esta incidencia se produjo porque no efectuó las oportunas comprobaciones en los datos personales recogidos, y las consiguientes subsanaciones, que hubiesen evitado que se produjeran los hechos que sirven de causa al presente procedimiento sancionador. V El artículo 44.3.
  11. b)y
  12. c)de la LOPD, de 4 de marzo, considera infracción grave: “
  13. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  14. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave” El cumplimiento de las exigencias previstas viene determinado por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 importancia de la inclusión y mantenimiento de los datos personales en dichos ficheros, cuestión que ha sido tratada en numerosas sentencias por parte de la Audiencia Nacional, entre otras, en la Sentencia dictada el 16/02/2002, la Sala de lo Contencioso Administrativo, Sección Primera, Número de recurso 1144/1999, en el Fundamento de Derecho Cuarto, señala: “...Ha de decirse que la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan,...”. Los dos principios cuya vulneración se imputa a OK Money, el del consentimiento y el de calidad de los datos, se configuran como principios básicos en materia de protección de datos. En este caso, ha incurrido en las infracciones descritas ya que ha vulnerado ambos principios, consagrados en los artículos 4.3 y 6.1 de la LOPD, cuando mantuvo los datos personales de la persona denunciante en sus ficheros sin su consentimiento, y cuando informó, para su registro en Asnef, de dichos datos asociados a una deuda que no le correspondía, que encuentran su tipificación en el artículo 44.3.
  15. b)y
  16. c)de la citada Ley Orgánica. VI De las evidencias obtenidas en la fase de investigaciones previas, procede graduar la sanción a imponer de conformidad con los artículos 45.5 y 45.4 LOPD y con arreglo a los siguientes criterios. El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario que concurra bien una cualificada disminución de la culpabilidad el imputado, bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso existen razones que justifican la aplicación de la atenuante cualificada del artículo 45.5.
  17. b)de la LOPD, tanto a la infracción del artículo 6.1, como a la infracción del artículo 4.3 en relación con el 29.4 de la LOPD y 38.1.
  18. a)del RLOPD, que señala lo siguiente: “Cuando la entidad infractora haya regularizado la situación irregular de forma diligente”. Es preciso destacar que antes de que la AEPD, a través de la Inspección de Datos, dirigiera a OK MONEY el primero de sus requerimientos informativos (que data del 14/12/2017) la denunciada había procedido a cancelar en el fichero de solvencia la anotación vinculada al denunciante. Ha declarado en ese sentido que nada más conocer a través de un Oficio de la Dirección General de la Policía, Comisaría de Cornellà de Llobregat, que se estaba investigando una presunta estafa denunciada por el afectado en relación con la contratación de un microcrédito a través de su compañía procedió a dar de baja del fichero ASNEF la incidencia. El efecto jurídico que deriva de la aplicación del artículo 45.5 LOPD es la imposición de la sanción de acuerdo con la escala prevista para las infracciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 preceden en gravedad a la infracción imputada. Así pues, la sanción a imponer deberá estar comprendida dentro de los márgenes que el artículo 45.1 LOPD fija para las infracciones leves: de 900 a 40.000 euros. Paralelamente, por lo que atañe a las circunstancias del artículo 45.4 LOPD que permiten graduar el importe de la sanción a imponer han de hacerse las siguientes consideraciones: Por lo que concierne a la infracción del artículo 6.1 de la LOPD de la que se responsabiliza a OK MONEY, indicar que operan como agravantes del tratamiento de datos personales efectuado sin consentimiento de su titular las siguientes circunstancias descritas en el precepto citado: “El carácter continuado de la infracción” (apartado a, con carácter cualificado) pues los datos personales del afectado fueron objeto de tratamiento por OK MONEY y permanecieron en sus registros informáticos durante más de un año ya que el contrato se celebró el 29/03/2016 y el tratamiento se mantuvo, como mínimo, hasta que la incidencia informada a ASNEF fue cancelada - según afirmaciones de OK MONEY el 05/10/2017-. -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” (apartado c,) La actividad empresarial de la denunciada exige, por su misma naturaleza, un continuo tratamiento de los datos de carácter personal de sus clientes. Paralelamente concurre como atenuante de la infracción del artículo 6.1 de la LOPD que se atribuye a la denunciada la circunstancia descrita en el apartado
  19. d)del artículo 45.4 LOPD, “El volumen de negocio o actividad del infractor” . No estamos ante una gran empresa, sino ante un PYME que cuenta con ocho empleados y cuyo capital social es de 960.000 euros. Por lo que concierne a la infracción del artículo 4.3 en relación con el 29.4 de la LOPD y 38.1.a, del RLOPD se estima que concurren también las agravantes descritas en los apartados a (con carácter cualificado), y c, del artículo 45.4 LOPD. Indicar que los datos personales del afectado permanecieron incluidos en el fichero de solvencia, sin legitimación para ello, durante un año. Igualmente se aplica como atenuante de la infracción del principio de calidad de los datos de la que se responsabiliza a OK MONEY la circunstancia recogida en el apartado d, del artículo 45.4, pues la persona jurídica responsable es una PYME. El balance de todas las circunstancias contempladas por el artículo 45.4 y 45.5 de la LOPD permite graduar cada una de las sanciones por importe de 24.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN S.L.U. con NIF ***NIF.1, una multa de multa de 24.000 euros (veinticuatro mil euros) por la infracción del artículo 6.1 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 de la LOPD; tipificada como grave en el artículo 44.3.
  20. b)de dicha norma y de conformidad con lo establecido en el artículo 45.2 y 4 de esa misma Ley Orgánica. SEGUNDO: IMPONER a la entidad OK MONEY SPAIN S.L.U. con NIF ***NIF.1, una multa de 24.000 euros (veinticuatro mil euros) por la infracción del artículo 4.3 de la LOPD, tipificada como grave en el artículo 44.3.
  21. c)de la LOPD y de conformidad igual modo con lo establecido en el artículo 45.2 y 4 de esa misma Ley Orgánica. TERCERO: NOTIFICAR la presente resolución a (KYZOO). OK MONEY SPAIN S.L.U. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  23. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.