← España

PS-00091-2024

1/42 Expediente N.º: EXP202302929 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a IDFINANCE SPAIN, S.A.U. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 3 de junio de 2024, se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202302929 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 23 de enero de 2023, A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra IDFINANCE SPAIN, S.A.U. con NIF A66487190 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, a través de su representante FACUA, presenta reclamación ante esta Agencia por la negativa de la parte reclamada a suprimir sus datos personales de sistemas comunes de información crediticia. Señala que, en fecha 1 de diciembre de 2022, solicitó supresión de sus datos personales ante la parte reclamada, aportando copia de la denuncia policial presentada el 18 de mayo de

  1. Recibe respuesta de la reclamada informando que no procede la supresión al existir una deuda pendiente de pago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/42 Junto a su reclamación aporta copia de la solicitud de supresión presentada por la reclamante (en nombre propio) junto a la denuncia policial remitida a la parte reclamada y respuesta de 22 de diciembre de 2022 en la que le informan que no procede la supresión por existir un préstamo impagado y en la que requieren la denuncia policial que ya aporta la reclamante en su solicitud de supresión. La parte reclamante presenta, además:  Autorización a FACUA para su representación.  Certificado de socio de FACUA de la parte reclamante.  Copias de DNI de reclamante y de secretario de FACUA Córdoba.  Denuncia de 18 de mayo de 2020 en la Comisaría de Córdoba-Este de la Policía Nacional en la que la parte reclamante declara: haber recibido en su buzón, dos días antes, una carta de la parte reclamada reclamando una deuda por un préstamo; no reconocer la deuda; no haber realizado ninguna contratación con la mencionada empresa.  Carta de FACUA, actuando en representación de la parte reclamante, de 20 de septiembre de 2022, dirigida a la parte reclamada, ***EMAIL.1, ***EMAIL.2 y ***EMAIL.3, con asunto “***ASUNTO.1” en la que solicita a la parte reclamada la remisión de la información relativa a la formalización del contrato y su aceptación, y que en caso de no disponer de la misma procedan al archivo de la reclamación de la deuda y a la cancelación de los datos de la parte reclamante.  Correo electrónico de FACUA, actuando en representación de la parte reclamante, enviado el 21 de septiembre de 2022 a ***EMAIL.1, ***EMAIL.2 y ***EMAIL.3, indicando que adjunta la reclamación de su representada. Adjunto al correo se envía un archivo de 1,5 MB denominado “***ARCHIVO.1”.  Carta de la parte reclamante, con fecha 1 de diciembre de 2022, dirigida a la parte reclamada y a los correos electrónicos ***EMAIL.1, ***EMAIL.2 y ***EMAIL.3, en la que expone que no tiene relación con la parte reclamada y que viene siendo molestada por la misma desde hace dos años, que interpuso denuncia en la policía el 20 de mayo de 2020, que ha reclamado a través de FACUA solicitando la documentación del supuesto contrato pero no ha recibido respuesta a la misma, y por la que solicita la supresión de sus datos personales, el archivo de cualquier expediente de gestión de cobro y la comunicación de la supresión de sus datos a otros responsables de tratamiento.  Correo electrónico de la parte reclamante el 1 de diciembre de 2022 a las 12:18, en el que reenvía a FACUA un correo remitido a las 11:17 a ***EMAIL.1 solicitando sea atendido su derecho de supresión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/42  Correo electrónico de la parte reclamante a FACUA el 1 de diciembre de 2022 a las 12:43, en el que reenvía los correos remitidos a las 11:42 a ***EMAIL.3 y a las 11:17 a ***EMAIL.1 con un adjunto de 3,0 MB “***ARCHIVO.2”  Correo electrónico de la parte reclamante el 23 de diciembre de 2022, en el que reenvía a FACUA correo de respuesta desde ***EMAIL.1, de 22 de diciembre, y en el que la parte reclamada contesta al enviado a su vez el 1 de diciembre a las 11:17 por la parte reclamante (idéntico al reenviado en la Parte 5 anterior). En la contestación, el DPD de la parte reclamada comunica a la parte reclamante no poder atender su derecho de supresión por la existencia de una deuda pendiente, e indica que en caso de tener sospechas de haber sido víctima de un proceso de suplantación de identidad debe remitirles copia de denuncia presentada ante la policía. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 13 de marzo de 2023, se dio traslado a IDFINANCE SPAIN para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23 de marzo de 2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 23 de abril de 2023 se recibe en esta Agencia escrito de respuesta, indicando que los datos personales fueron obtenidos directamente de la reclamante en el momento que se formalizó el préstamo a través de la web de la entidad utilizándose como método para su identificación en el momento de la contratación un sistema de verificación de la identidad reforzada a través del proveedor "DEYDE Calidad de Datos, S.L." (en adelante, "DEYDE") mediante el cual el sistema, cuando recibe una solicitud, automáticamente envía a DEYDE el nombre y apellidos y número del DNI. De esta forma DEYDE comprueba en la base de datos de la Agencia Estatal de Administración Tributaria (AEAT) que efectivamente esos datos coinciden con la información que tienen en la mencionada base de datos. En este caso, la comprobación por DEYDE verificó la coincidencia entre la información facilitada a IDFINANCE y la que le consta a la AEAT por lo que IDFINANCE dio por válida dicha verificación en fecha 09/03/2020 (12:09:46). Junto a su respuesta aporta además los siguientes documentos:  PROCEDIMIENTO GESTION ASNEF  CONTRATO, CERTIFICADO Y CUADRO AMORTIZACIONES  PROCEDIMIENTO SOLICITUD PRÉSTAMO TERCERO: Con fecha 23 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/42 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, se solicita información a:  LA DIRECCIÓN GENERAL DE LA POLICÍA  DEYDE CALIDAD DE DATOS S.L  BANCO BILBAO VIZCAYA ARGENTARIA, S.A.  XFERA MÓVILES S.A.  ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L.,  IDFINANCE SPAIN, S.A.U. Estas actuaciones de investigación permiten constatar los siguientes extremos: La presente reclamación proporciona, como datos del reclamado, “MONEYMAN (ID FINANCE SPAIN)”. La parte reclamada es responsable del sitio web ***URL.
  2. ACTUACIONES ANTE LA DIRECCIÓN GENERAL DE LA POLICÍA El 31 de mayo de 2023 se solicita colaboración a la DIRECCIÓN GENERAL DE LA POLICÍA, que con fecha 13 de junio manifestó, a través de su Delegado de Protección de Datos, la imposibilidad legal de la remisión de la información solicitada. Al solicitar a la parte reclamada los datos objeto del tratamiento que constan en sus sistemas y origen de éstos, la parte reclamada manifiesta en que: “Las categorías de datos personales que constan en nuestros sistemas son los siguientes: - Datos identificativos: nombre, apellidos, Documento Nacional de Identidad, ID Borrower (ID asignada al solicitante por parte del sistema), IP´s. - Datos de contacto: Dirección, teléfono, correo electrónico - Circunstancias personales: estado civil, fecha de nacimiento, situación familiar, sexo. - Datos de empleo: régimen de contratación, empleador y departamento. - Datos económicos y financieros: Ingresos, IBAN bancario. - Datos relacionados con las solicitudes de crédito: importes, tipos de interés a aplicar en caso de ser el crédito aprobado, plazos de devolución y, en su caso, importe de la deuda.” En la lista anterior no se menciona que en sus sistemas se guarde ninguna imagen del DNI de la parte reclamante. Al solicitar que proporcione la lista de los datos personales que su sistema almacena cuando se registra un nuevo cliente y copia de los datos e imágenes guardados por la aplicación cuando se registró la parte reclamante, la parte reclamada manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/42 “Adjuntamos como ANEXO IX mediante certificado el listado de los datos que nuestro sistema almacena cuando se registra un nuevo cliente, así como copia de los mismos”. La parte reclamada aporta documento, en el que manifiesta: “Los datos facilitados por nuestro/a cliente/a el pasado día ***FECHA.2 cuando el/la Sr./a. A.A.A. solicitó un préstamo a través de nuestra página web, sobre los que el/la mismo/a ratificó su veracidad, son los que constan a continuación; Nombre: A.A.A. Primer apellido: A.A.A. Segundo apellido: A.A.A. DNI/NIE: ***NIF.1 Fecha de nacimiento: ***FECHA.1 Dirección: ***DIRECCIÓN.1 Teléfonos en los que se ha contactado al titular: +***TELÉFONO.1,+***TELÉFONO.2 Teléfonos facilitados por el titular sin contacto con el mismo: +***TELÉFONO.2 Dirección de email: ***EMAIL.4” Los siguientes datos de interés se extraen de la solicitud de este/a mismo/a cliente/a para poder proceder con su reclamación; Dirección IP de acceso: ***IP.1 Fecha de solictud del préstamo: ***FECHA.2 Importe solicitado: 000.0 € Fecha de devolución acordada: ***FECHA.3 Importe debido a fecha de redacción de este documento: 000.0 € Importe suma de intereses adeudados a fecha de redacción documento:000.0€” de este La parte reclamada no indica que conserve ninguna certificación de titularidad bancaria. Sin embargo, al solicitar a la parte reclamada la acreditación del medio utilizado para identificar a la persona afectada en el momento de la contratación, la parte reclamada manifiesta: “En la fecha de solicitud del préstamo IDFINANCE aplicó al caso concreto un sistema de verificación de la identidad reforzada a través del proveedor “DEYDE Calidad de Datos, S.L.” (en adelante, “DEYDE”) mediante el cual el sistema, cuando recibe una solicitud, automáticamente envía a DEYDE el nombre y apellidos y número del DNI. De esta forma DEYDE comprueba en la base de datos de la Agencia Tributaria Española que efectivamente esos datos coinciden con la información que tienen en la mencionada base de datos. En este caso, la comprobación por DEYDE verificó la coincidencia entre la información facilitada a IDFINANCE y la que le consta a la Agencia Tributaria Española por lo que IDFINANCE dio por válida dicha verificación. Adjuntamos como ANEXO IV la verificación de la identidad de la Reclamante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/42 La parte reclamada aporta una imagen donde aparece la fecha de registro de la parte reclamante en Moneyman (9 de marzo de 2020) y menciones a “Deyde-Passport", pero no aparece ningún dato que permita asociar la información a la parte reclamante, aunque la cifra que aparece en la última línea “***FECHA.2 12:25:14: Money sent; payment order XXXXXXX; Unnax XXXXXXX”, aparece también en el contrato, pág. 9, y en la denuncia. Las manifestaciones de DEYDE CALIDAD DE DATOS S.L. sobre el contrato de servicio firmado con la parte reclamada con su adenda, y la copia del mismo contrato proporcionada posteriormente por la parte reclamada como con su adenda, describen el servicio prestado como comprobación de la correspondencia entre un nombre y un NIF en contraste con el censo de la AEAT. ACTUACIONES ANTE DEYDE CALIDAD DE DATOS S.L. DEYDE CALIDAD DE DATOS S.L. manifiesta: “En ningún caso DEYDE ofrece ni comercializa MyDataQ_ID Validation como un sistema de verificación de identidad, ni las funciones que realiza pueden considerarse englobadas en este concepto ya que sólo reciben un nombre y un documento de identidad, sin tener acceso a otros datos que permitieran realizar validación de identidad alguna. Es decir, que la finalidad de dicho servicio es verificar que el usuario está censado en la Agencia Tributaria. Asimismo, el producto no accede a ninguna base de datos de la Agencia Tributaria, sólo proporciona un servicio incluido en su sede electrónica. Así se recoge de forma expresa en el contrato firmado entre DEYDE e ID FINANCE. […] Entendemos que el dato de A.A.A. con NIF ***NIF.1 debió ser enviado hace más de 18 meses, ya que actualmente no tenemos constancia de él ni en nuestros sistemas de producción, que tienen datos de los últimos 20 días, ni en el sistema de backup que contiene información de 18 meses anteriores. Si hemos podido comprobar que, a 1 de junio de 2023, el servicio nos indica que esos datos están censados en la Agencia Tributaria.” Es decir, manifiesta que, al ser contrastados con el censo de la AEAT, existe coincidencia entre el nombre y el NIF proporcionados. Siguiendo el siguiente enlace, se puede consultar más información sobre este servicio: ***URL.
  3. La parte reclamada manifiesta que “Los datos fueron obtenidos directamente de la interesada en el momento que se formalizó el préstamo” y que aporta “el contrato suscrito por la Reclamante como ANEXO II” y el “procedimiento actual de solicitud de préstamo como ANEXO III”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/42 La parte reclamada manifiesta que el procedimiento seguido para la verificación de la identidad de la parte reclamante consistió en la comprobación de coincidencia entre nombre y número de DNI/NIF a través del mencionado servicio de la Agencia Tributaria y, según se deduce y se explica más adelante, debió incluir una llamada telefónica y el envío de imágenes del DNI a través de una página web cuya URL fue proporcionada mediante mensajes SMS. El procedimiento aportado no se corresponde con las anteriores manifestaciones, ya que incluye la verificación mediante aportación de imágenes del DNI y fotografía “selfie” a través de una app de la parte reclamante, mientras que en los SMS que la parte reclamada manifiesta haber enviado en el proceso de registro, y que se analizan más adelante, no se menciona el envío de ningún “selfie”. La parte reclamada no ha manifestado tratar imágenes de la parte la parte reclamante. El documento incluye un contrato junto con un certificado de deuda emitido por la propia parte y un cuadro de amortización. Sin embargo dicho documento no contiene la firma electrónica de la parte reclamante, ni aparece su firma manuscrita en ninguna de sus páginas. En la página 1, se detallan la identidad y datos de contacto de la parte reclamante, y menciona: “La cuenta bancaria facilitada por el titular para el ingreso de la cantidad de préstamo y de la que afirma ser titular y responsable es ***CUENTA.1”. Se solicita a la parte reclamada la información de que disponía su empresa sobre la relación entre la parte reclamante y la cuenta en la que se ingresó el dinero del préstamo, y sobre si realizó antes del ingreso o ha realizado posteriormente algún procedimiento de comprobación de la titularidad de la cuenta, y su resultado. En su respuesta, la parte reclamada manifiesta: “La información que disponía Moneyman sobre la relación entre la reclamante y la cuenta en la que se ingresa el dinero se basa en el documento, emitido por la entidad BBVA (Banco Bilbao Vizcaya Argentaria, S.A.), aportado por la misma reclamante en el proceso de suscripción del préstamo. En el mismo se indica que la titularidad de la cuenta en la que se realiza el ingreso pertenece a la reclamante. Adjuntamos documento como ANEXO
  4. Ya que, el certificado aportado fue emitido por el BBVA (con firma electrónica en el bajo del certificado) y los datos obtenidos directamente por la reclamante, estos fueron considerados exactos.” Se aporta documento que aparenta ser una certificación de la entidad bancaria atribuyendo la titularidad de la cuenta ***CUENTA.1 a la parte reclamante. El documento incluye un logotipo y sello de la entidad bancaria, pero no la firma de la entidad. El pie de página del certificado especifica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/42 “Este documento ha sido generado en formato digital y se ha firmado electrónicamente, lo que conforme a la Ley 59/2003 de Firma Electrónica permite: Identificar al firmante de manera inequívoca, teniendo la firma electrónica respecto de los datos consignados el mismo valor que la firma manuscrita cuando se consigna en papel. Asegurar la integridad del documento firmado. Si está consultando una copia impresa del certificado, puede comprobar su autenticidad contrastándolo con la versión digital del mismo, en el que se puede comprobar la firma en el panel de firmas. (…). Número de serie: XXXXXXXXXXXXX Fecha de Certificación (hora GMT): XXXXXXXXX” Sin embargo, se ha podido verificar que el documento aportado no se encuentra firmado electrónicamente; la información que aparece en el pie de página tampoco permite verificar su autenticidad. ACTUACIONES ANTE BANCO BILBAO VIZCAYA ARGENTARIA, S.A. BANCO BILBAO VIZCAYA ARGENTARIA, S.A. manifiesta que la titularidad de la cuenta ***CUENTA.1 corresponde a una persona diferente a la parte reclamante. La parte reclamada manifiesta: “Adjuntamos como ANEXO IV la verificación de la identidad de la Reclamante”, y aporta la imagen [6]. En esa imagen no aparece ningún dato que permita asociar la información a la parte reclamante. Sólo se puede asociar esta imagen al resto de la documentación por la cifra que aparece al pie, 00000000, que aparece también en el contrato y en la denuncia. Al solicitarse que proporcione la lista de los datos personales que su sistema almacena cuando se registra un nuevo cliente y copia de los datos e imágenes guardados por la aplicación cuando se registró la parte reclamante, la parte reclamada manifiesta: “Adjuntamos como ANEXO IX mediante certificado el listado de los datos que nuestro sistema almacena cuando se registra un nuevo cliente, así como copia de los mismos”. En dicho documento, figuran, entre otros datos personales de la parte reclamada, la numeración +***TELÉFONO.2 (en adelante, Numeración_1). ACTUACIONES ANTE XFERA MÓVILES S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/42 XFERA MÓVILES S.A. manifiesta que entre el 3 de marzo y el 1 de agosto de 2020 la Numeración_1 corresponde a una persona diferente a la parte reclamante. La persona titular de la línea tampoco coincide con la titular de la cuenta bancaria. Al solicitar que acredite, en su caso, los SMS enviados a la reclamante para el alta y para la solicitud del préstamo, la parte reclamada manifiesta: “Adjuntamos como ANEXO X la acreditación de los SMS enviados a la reclamante para el alta y la solicitud del préstamo” Dicho documento contiene una tabla que contiene 14 registros de envío de SMS el 9 de marzo de 2020 entre las 12:06 y las 12:25 a la Numeración_
  5. Como ya se ha mencionado, la parte reclamante no era titular de la Numeración_1, y no ha sido acreditado que la parte reclamante pudiera leer los mensajes enviados a Numeración_
  6. Las tablas del documento son tablas Excel con información, entre otra, relativa a la fecha y hora, numeración de destino y contenido de varios SMS. Esta información ha sido aportada por la parte reclamada, pero no ha quedado acreditada por un tercero. Los SMS de la tabla, con fecha 9 de marzo de 2020 entre las 09:12 y las 12:25 siguen la siguiente secuencia: - “Tu codigo de confirmacion de Moneyman.es 8872 de confirmacion” - “Te hemos enviado la información normalizada de crédito al consumo y los términos y condiciones de tu préstamo. Por favor léelos con atención. Moneyman.” - “Ultimo paso para recibir tu dinero! Llama ya al XXXXXXXX para terminar.” - “MONEYMAN: pendiente de enviar DNI/NIE por ambas caras. Click en https://***URL.1/ para subirlos. Gracias.” (Este SMS se aparece nueve veces consecutivas). - “Tu dinero esta de camino! Ya hemos emitido la orden de pago por la cantidad solicitada en prestamo de 200.00 euros.” - “Te hemos enviado la informacion normalizada de credito al consumo y los terminos y condiciones de tu prestamo. Por favor leelos con atencion. Moneyman.” De la secuencia se deduce que durante el proceso de registro debió producirse una llamada telefónica, seguida del envío de imágenes del DNI por ambas caras, a través del enlace ***URL.
  7. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/42 Al preguntar por la recepción de alguna imagen de documento de identidad de la parte reclamante, la parte reclamada manifiesta que recibió una fotografía de documento de identidad durante el proceso de registro y aporta la imagen. Se concluye de lo anterior que la verificación de la identidad llevada a cabo durante el proceso de alta del usuario con los datos de la parte reclamante consistió en la comprobación de la coincidencia de su nombre, apellidos y documento de identidad con los que constan en el censo de la Agencia Tributaria, el envío de mensajes SMS a la Numeración_1, una llamada telefónica, la aceptación de un certificado carente de la firma electrónica que el propio texto consignado en el mismo cita contener en su versión electrónica de titularidad de cuenta bancaria, y la recepción de una imagen del DNI de la parte reclamante. En relación con las notificaciones enviadas por la parte reclamada, y el consentimiento de la reclamante para el tratamiento de sus datos personales y para la inscripción de los mismos en sistemas de información crediticia se ha tenido conocimiento de lo siguiente: La parte reclamante manifiesta que nunca solicitó un crédito a través de la parte reclamante y declara que “no reconoce tal deuda dado que no ha realizado ninguna contratación con tal empresa”. Al solicitar a la parte reclamada la documentación acreditativa del origen de la deuda que motivó la inclusión de los datos personales de la persona afectada en los sistemas de información crediticia, la parte reclamada manifiesta que aporta un contrato junto con un certificado de deuda emitido por la propia parte reclamada y un cuadro de amortización. Ni el documento recibido contiene la firma electrónica de la parte reclamante, ni aparece su firma manuscrita en ninguna de sus páginas. Al solicitar de nuevo a la parte reclamada acreditación de la aceptación de la parte reclamante, de la deuda, el contrato y sus cláusulas, la parte reclamada manifiesta: “Adjuntamos como ANEXO II el certificado donde se acredita la aceptación de la política de privacidad y la aceptación de los Términos y Condiciones del contrato de préstamo el día 9 de marzo de
  8. También adjuntamos como ANEXO III las comunicaciones enviadas el día 9 de marzo de 2020 en las que se aprecia la formalización del préstamo por parte de la reclamante.” Como ANEXO II aporta un certificado emitido por la propia parte reclamada de aceptación de condiciones desde una determinada dirección IP el 9 de marzo de 2020 a las 12:
  9. Como ANEXO III aporta la tabla que contiene 14 registros de envío de SMS el 9 de marzo de 2020 entre las 12:06 y las 12:25 a la Numeración_
  10. Como ya se ha mencionado anteriormente, la parte reclamante no era titular de la Numeración_1, y no ha sido acreditado que la parte reclamante pudiera leer los mensajes enviados a Numeración_
  11. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/42 La parte reclamante también declara que el 16 de mayo de 2020 “recibe en su buzón una notificación de la empresa reclamada […] en la que se le requiere el impago de 312,80 euros. Figura como referencia el contrato de préstamo nº 0000000”. Al solicitar a la parte reclamada copia de la referida notificación, ésta manifiesta no tener constancia de ese envío, y aporta, como prueba de la recepción de las notificaciones de requerimiento de pago a la parte reclamada, la tabla referente a dos SMS enviados los días 14 y 17 de mayo de 2020 a la Numeración_
  12. La tabla es similar a las tablas antes referidas y como ya se ha mencionado anteriormente la parte reclamante no era titular de la Numeración_
  13. Además, el documento aportado por la parte reclamada incluye las condiciones generales de contratación; el artículo “18.- Notificaciones” del mismo indica: “Las notificaciones entre las partes que deban realizarse como consecuencia de lo previsto en las presentes Condiciones Generales o del contrato de Préstamo se realizarán por escrito y serán válidas si se efectúan por correo certificado con acuse de recibo, o e-mail en los domicilios mencionados a continuación por cada una de las Partes: Prestatario: la indicada en la solicitud del Préstamo […]” Por tanto, a pesar de que ha quedado acreditado que la parte reclamante recibió una notificación en su domicilio, la parte reclamada manifiesta que ésta se realizó a través de SMS a la Numeración_1, y no ha acreditado que la misma se realizara de acuerdo con las condiciones generales, que según sus manifestaciones fueron aceptadas por ambas partes. La parte reclamada también manifiesta: “Adjuntamos como ANEXO XI el certificado expedido por la empresa en el que se acredita que la reclamante aceptó el tratamiento de sus datos personales por parte de IDFINANCE SPAIN, S.A.U.” Como ANEXO XI aporta una certificación de la propia parte reclamada. La parte reclamante manifiesta haber sido incluida de manera improcedente en el fichero de solvencia patrimonial ASNEF EQUIFAX. Al preguntar a la parte reclamada por la información en el contrato acerca de la posibilidad de inclusión en sistemas de información crediticia, ésta manifiesta: “La posibilidad de la inclusión en caso de impago en los sistemas de información crediticia se informa en la cláusula 16.1 a) de las CGC el contrato adjunto en el ANEXO II y en punto 3 del Formulario de Información Normalizada europea sobre crédito al consumo (información precontractual) y que se encuentra al final del contrato adjuntado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/42 Como ANEXO II aporta el contrato donde en el artículo “16.- Protección de datos de carácter personal” (pág. 6) indica: “16.
  14. Con el consentimiento del Solicitante del Préstamo, independientemente de la Decisión del Préstamo, el Prestatario se declara informado, consiente y autoriza expresamente al Prestamista: (a) A recabar información relativa a sus antecedentes crediticios y posiciones de riesgo de entidades prestadoras de servicios de información sobre solvencia patrimonial y crédito […]. El Prestatario queda informado que, en caso de impago en el término previsto para ello, y habiendo cumplido los requisitos legales necesarios y comunicaciones pertinentes, sus Dato Personales podrán ser comunicados al Servicio de Crédito de Asnef-Equifax, con domicilio en C/ Albasanz, 16, 28037, Madrid.” Por otra parte, en la página 4, se indica que el artículo 13.3 indica: “Si en el plazo de treinta

(30)días desde el vencimiento de la deuda adquirida, esta no hubiera sido satisfecha por el Prestatario, habiendo sido notificada previamente a éste, el Prestamista tendrá derecho a comunicar los datos del Prestatario a ficheros de información sobre solvencia patrimonial y crédito, concurriendo en todo caso los requisitos exigidos para la inclusión de datos.” Al solicitar información sobre el procedimiento de inclusión de sus clientes en sistemas de información crediticia, la parte reclamada manifiesta: “4. Collections Una vez que el préstamo expira sin que se produzca el pago el sistema cambia el estatus del préstamo (Loan ID) ha expirado (“Expired”) y se inicia el procedimiento automático de notificación y “Collection”. El sistema envía SMSs e Emails automatizados notificando que no se ha recibido el pago de la deuda expirada e indicando facilidades de pago. Las notificaciones de inclusión en sistemas de información crediticia por impago de deuda, no se envían hasta el día 30 (DPD30) o 45 (DPD45), desde la fecha de vencimiento. Se adjunta como ANEXO IV con el procedimiento automático de Collections y los mensajes que se envían.” La parte reclamada en el ANEXO IV aporta documento que contiene una descripción de las variables, requisitos y notificaciones a enviar, relacionadas con el sistema de notificaciones, “Collections”, empleado para el envío de notificaciones de impago a sus clientes, por correo electrónico y SMS, de forma automática. La parte reclamada también manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/42 “De acuerdo con lo solicitado, adjuntamos como ANEXO V la notificación realizada mediante SMS a la reclamante del vencimiento de su deuda y su inminente inclusión en los sistemas de información crediticia” y aporta como ANEXO V la tabla con información sobre dos SMS enviados a la Numeración_1 los días 14 y 17 de mayo de 2020. Como ya se ha comentado anteriormente, la parte reclamada no ha acreditado que la parte reclamante pudiera leer los SMS enviados a la Numeración_1. Además, el envío de SMS no está considerado como medio de comunicación. La parte reclamada manifiesta: “En fecha 23 de enero de 2023 se recibe correo de FACUA Córdoba, como se indicó en la contestación de fecha 23 de marzo de 2023 al primer requerimiento recibido de la AEPD, en el que se nos traslada la denuncia ante la policía por suplantación de identidad presentada por la reclamante. Es en ese momento cuando esta entidad tiene conocimiento de la denuncia presentada y procede a aplicar las medidas establecidas para casos de fraude (1ºbloqueo de los datos de la reclamante en nuestros sistemas, 2º paralizar la reclamación de la deuda (manteniendo los datos bloqueados y limitados en el tratamiento dado que pueden ser requeridos por las autoridades competentes para la investigación de los hechos.) y 3º dar de baja los datos de la reclamante de los ficheros de solvencia patrimonial). Así se indica a FACUA en el correo de contestación a su requerimiento de información, que se adjunta como ANEXO 4. Desde ese momento así se han mantenido los datos hasta el esclarecimiento de los hechos por la policía.” Como ANEXO 4 proporciona el documento firmado el 6 de febrero de 2023, en el que responde a la parte reclamante: “Que, teniendo en cuenta el contenido de la Reclamación y la documentación aportada, ID FINANCE SPAIN ha procedido: 1) al bloqueo de los datos de la reclamante en nuestro sistema asíí́ como 2) a paralizar la reclamación de la deuda. Los datos están bloqueados y limitados en el tratamiento dado que pueden ser requeridos por las autoridades competentes para la investigación de los hechos. 3) Se ha procedido a eliminar los datos de la Sra. A.A.A. del fichero de solvencia patrimonial (ASNEF EQUIFAX)” ACTUACIONES ANTE ASNEF-EQUIFAX SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/42 Por otra parte, ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L., proporciona las inscripciones de la parte reclamante en sus registros tras la solicitud de la parte reclamada, con fechas de alta y baja: - 29 de mayo de 2020 (alta) y 8 de junio de 2020 (baja). 10 de julio de 2020 (alta) y 30 de enero de 2023 (baja). 15 de abril de 2023 (alta) y 16 de abril de 2023 (baja). También aporta los envíos de las notificaciones de alta a la parte reclamante, por correo postal ordinario al domicilio de la parte reclamante, con fechas 29 de mayo de 2020, 10 de julio 2020 y 15 de abril de 2023. Queda acreditado que la reclamada mantuvo inscrita a la parte reclamante en sistemas de información crediticia durante los tres periodos arriba mencionados, el último de los cuales es posterior al 6 de febrero de 2023, fecha de su respuesta a la parte reclamante, en la que le comunica el bloqueo de sus datos. ACTUACIONES ANTE IDFINANCE En relación con las acciones adoptadas por IDFINANCE ante las solicitudes de la parte reclamante relacionadas con sus derechos sobre el tratamiento de sus datos personales: La parte reclamante solicitó a la reclamada la atención de su derecho a la supresión de sus datos personales y a la eliminación de los mismos de los ficheros de solvencia patrimonial, el día 21 de septiembre de 2022, a través de su representante legal FACUA, enviando la carta a tres direcciones de correo electrónico de la parte reclamada (***EMAIL.1, ***EMAIL.2 y ***EMAIL.3). Esta solicitud no obtuvo respuesta ni fue atendida. La parte reclamada no ha comunicado la Agencia Española de Protección de Datos, a fecha de elaboración de este informe, datos de identificación de su Delegado de Protección de Datos. Al solicitar a la parte reclamada que “aporte informe o resumen de las actuaciones llevadas a cabo por el Delegado de Protección de Datos de su empresa respecto de la solicitud, por parte de la reclamante, de supresión de sus datos personales”, la parte reclamada realiza diferentes manifestaciones: “En relación con las actuaciones llevadas a cabo por el Delegado de protección de Datos respecto a la supresión de los datos personales de la reclamante, se procedió de acuerdo con el procedimiento interno para la gestión de derechos de los interesados.” En la respuesta a la solicitud de información sobre el motivo para no responder al correo de la representante legal de la parte reclamante, la reclamada manifiesta: “[…] debido a cambios de personal en el departamento Legal de Moneyman, el correo enviado por FACUA el 21 de septiembre de 2022, el buzón al que llegó dicho correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/42 quedó sin gestión, sin que el personal que reemplazó al responsable de dicho buzón conociera del mensaje sin responder.” Queda acreditado que la parte reclamada no atendió adecuadamente a la solicitud de supresión de datos de la parte reclamante, ya que no respondió al correo electrónico enviado por parte de FACUA como su representante legal el día 21 de septiembre de 2022. La parte reclamante solicitó de nuevo a la reclamada la atención de su derecho a la supresión de sus datos personales y la eliminación de los mismos de los ficheros de solvencia patrimonial, el día 1 de diciembre de 2022, enviando la carta a dos direcciones de correo electrónico de la parte reclamada (***EMAIL.1 e ***EMAIL.3). La parte reclamada también manifiesta que “se procedió de acuerdo con el procedimiento interno para la gestión de derechos de los interesados”, y aporta documento, en el que entre otros establece un plazo de un mes para la supresión o comunicación en contra al afectado, la necesidad de comunicar inmediatamente las solicitudes al DPD, quien debe comprobar si cumple algunos requisitos (nombre y apellidos, si aporta fotocopia del DNI o similar, si expresa su solicitud, domicilio, fecha), y que el DPD debe solicitar la subsanación de los mismos en su caso. Al solicitar más información sobre la atención a los derechos de la parte reclamante, la reclamada manifiesta: “En fecha 22 de diciembre de 2022, se respondió al ejercicio de derechos presentado por la reclamante en fecha 1 de diciembre de 2022, tal y como se puede apreciar en el documento adjunto como ANEXO 3.” Como ANEXO 3 proporciona el correo electrónico enviado el día 22 de diciembre desde ***EMAIL.1 a ***EMAIL.4, en respuesta a la parte reclamante, en el que le indica que: “no puede proceder a la supresión de sus datos personales en nuestra base de datos por tener un préstamo impagado” y que “si Ud. sospecha que ha podido ser víctima de una suplantación de identidad le recomendamos que denuncie los hechos ante la policía y nos remita la denuncia para que podamos tomar las medidas oportunas”. Asimismo, señala lo siguiente: “En fecha 23 de enero de 2023 se recibe correo de FACUA Córdoba, como se indicó en la contestación de fecha 23 de marzo de 2023 al primer requerimiento recibido de la AEPD, en el que se nos traslada la denuncia ante la policía por suplantación de identidad presentada por la reclamante. Es en ese momento cuando esta entidad tiene conocimiento de la denuncia presentada y procede a aplicar las medidas establecidas para casos de fraude (1ºbloqueo de los datos de la reclamante en nuestros sistemas, 2º paralizar la reclamación de la deuda (manteniendo los datos bloqueados y limitados en el tratamiento dado que pueden ser requeridos por las autoridades competentes para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/42 investigación de los hechos.) y 3º dar de baja los datos de la reclamante de los ficheros de solvencia patrimonial). Así se indica a FACUA en el correo de contestación a su requerimiento de información, que se adjunta como ANEXO 4.” Como ANEXO 4 proporciona correo electrónico firmado el 6 de febrero de 2023 en el que, como ya se ha explicado en el apartado anterior, comunica a la parte reclamante que atiende sus derechos. Sin embargo, como ya se ha establecido, la parte reclamada inscribió de nuevo a la parte reclamante en ASNEF-EQUIFAX entre el 15 y el 16 de abril de 2023. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ID FINANCE SPAIN, S.A.U. es una gran empresa constituida en el año 2015, cuyo objeto social es la concesión de préstamos o créditos no hipotecarios a cualquier persona, con una cantidad de empleados de 146 personas, y una cifra de negocios de 178.771.000 € en el año 2022. QUINTO: Con fecha 19 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 17 del RGPD, Artículo 6 del RGPD y Artículo 37 del RGPD, tipificada en el Artículo 83.4.
  1. a)del RGPD, Artículo 83.5.
  2. b)del RGPD y Artículo 83.5.
  3. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó dos alegaciones, una primera en relación con el agravante de la posible infracción del derecho de supresión de los datos y una segunda sobre la tipificación y calificación de la supuesta infracción del artículo 6 del RGPD. En relación a su primera alegación, ha manifestado lo siguiente: “En cuanto a la agravante de negligencia en el tratamiento de los datos, la AEPD considera que es de aplicación ya que, “(…) a pesar de que en respuesta proporcionada con fecha 6 de febrero de 2023 se indica haber atendido la solicitud de la reclamante, la inclusión nuevamente en un momento posterior en el fichero de solvencia patrimonial parece acreditar no fue así”. No obstante, esta parte considera que no resulta de aplicación puesto que, en ningún momento, ID Finance comunicó a la Reclamante la supresión de sus datos, sino el bloqueo de los mismos en el sistema de ID Finance; paralizar la reclamación de la deuda; y eliminar los datos del fichero de solvencia patrimonial, pero en ningún caso se comunica la supresión definitiva de los datos (pág. 346 del expediente completo facilitado por parte de la AEPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/42 Ello es así porque en este caso, no se puede llevar a cabo la supresión de los datos definitiva al seguir abierta la investigación policial, en la cual pueden solicitar información a ID Finance, y todavía no se ha acreditado la existencia de un delito de suplantación de identidad. Por tanto, ID Finance considera que la aplicación de esta agravante no tiene cabida. Además, la AEPD justifica también para la agravante el hecho de que los datos se volvieran a comunicar a ASNEF-EQUIFAX en un momento posterior, indicando que no se atendió correctamente la solicitud, pero ello no es cierto, ya que al día siguiente de dicha comunicación de los datos a ASNEF-EQUIFAX, se volvieron a dar de baja, con lo cual, no se ha vulnerado ningún derecho de la Reclamante. Es más, esos datos nunca llegaron a publicarse ya que de acuerdo con el art. 20.1.c de la LOPGDD, deben transcurrir 30 días antes de publicarlos. Asimismo, en la reclamación realizada por la Reclamante, ésta no pone de manifiesto en ningún momento esta circunstancia, de manera que esta parte considera que, si bien hubo un fallo informático como se ha venido alegando en los escritos anteriores presentados ante la AEPD, no es objeto de la presente reclamación. Así pues, si bien es cierto que ID Finance erró al no percatarse de que la Reclamante había facilitado copia de la denuncia en su petición de 1 de diciembre de 2022, la persona trabajadora de ID Finance que atendió la solicitud contestó dentro de plazo, argumentando los motivos de la denegación del derecho, facilitando un enlace directo a la página web de la AEPD, informando del derecho a formular la reclamación que estimara oportuna y proponiendo que en caso de que considerara que había una suplantación de identidad, aportara denuncia para poder dar de baja sus datos (pág. 351 y 352 del expediente completo de la AEPD). Cuando el 23 de enero de 2023 recibe copia de la denuncia, ID Finance procede a darle de baja de ASNEF-EQUIFAX el 30 de enero de 2023 y comunicárselo a la Reclamante en fecha 6 de febrero de 2023, lo cual era el fin perseguido por la Reclamante, todo ello dentro del plazo de un mes establecido por el RGPD. Todo ello acredita la transparencia y buena fe de ID Finance, acciones totalmente contrarias a las de obstrucción a los derechos de protección de datos de las personas. Por otro lado, puesto que esta reclamación afecta a una única persona, esta parte considera que tampoco se puede tomar en consideración la agravante del artículo 76.2
  4. b)LOPDGDD respecto la vinculación de la actividad del infractor con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/42 realización de tratamientos de datos personales, como se ha venido alegando en las alegaciones anteriores presentadas, ya que el tratamiento de datos objeto de supuestas suplantaciones de identidad no es el tratamiento de datos principal de la actividad de ID Finance.” En su segunda alegación la parte reclamada manifiesta lo siguiente: “En relación a la tipificación y calificación de la supuesta infracción del artículo 6 del RGPD, de acuerdo con la información a la que ha podido acceder esta parte tras la revisión completa del expediente, la AEPD solicitó a la Dirección General de la Policía (en adelante, la “Policía”) información sobre las “Diligencias y/o investigaciones llevadas a cabo para el esclarecimiento de los hechos denunciados por A.A.A., con DNI ***NIF.1. Según nos consta, presentó una denuncia en la dependencia de CÓRDOBA ESTE el día 18/05/2020 ante el instructor 115476 (atestado número 6224/20)” (pág. 106 del expediente completo facilitado por la AEPD), con el fin de valorar la licitud del tratamiento de los datos de la Reclamante según el art. 6 del RGPD. Así pues, queda acreditado que la Policía no facilita ninguna información acerca de la investigación que se está llevando a cabo por su parte. A pesar de ello, la AEPD, en el presente procedimiento sancionador, da por hecho que efectivamente la Reclamante ha sido víctima de una suplantación de identidad con la denuncia aportada, lo cual no se puede presuponer al corresponder dicha valoración a la policía y, en todo caso, a un juez. Cabe tener en cuenta que la presentación de una denuncia policial no implica la veracidad de la información, ni tan siquiera la demostración del supuesto delito. No obstante, la política interna de ID Finance, a modo de prudencia y como medida cautelar, establece que cuando se reciba una denuncia policial por supuesta suplantación de identidad, se den de baja los datos personales de ASNEF-EQUIFAX. Por otro lado, en cuanto a la verificación del titular del número de teléfono aportado y cuenta bancaria, la AEPD no puede negar que si ID Finance hubiese solicitado esta información a las compañías correspondientes, en este caso, XFERA MÓVILES, S.A.U. y el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (“BBVA”) éstas bajo ningún concepto hubieran facilitado la información basándose, prudentemente, en la normativa de protección de datos e indicando que dicha información debería solicitarse al Juzgado, en todo caso, concretando el marco legal y la necesidad para su valoración, lo cual resulta excesivo y desproporcionado para ID Finance. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/42 Por lo que, consideramos que antes de resolver el presente procedimiento y confirmar la infracción del art. 6 del RGPD por parte de ID Finance y, en vista a que la AEPD tiene a su disposición los datos identificativos de los titulares de la línea telefónica y de la cuenta bancaria de BBVA, la citada Autoridad debería contactar con dichas personas para solicitarles información al respecto a los efectos de confirmar la existencia de la posible ilicitud del tratamiento. Por lo que, con la información disponible hasta la fecha por parte de la AEPD sin haber contactado con las personas detalladas en el expediente tras el oficio realizado a las entidades BBVA y XFERA MÓVILES, S.A.U., esta parte considera que no queda acreditada la suplantación de identidad de la reclamante, y por ende la ilicitud del tratamiento por parte de ID FINANCE y su correspondiente propuesta de sanción. De acuerdo con lo anterior, a continuación, se detallan los datos de las personas informadas y que constan en el expediente a los efectos de que la AEPD pueda culminar las investigaciones oportunas para esclarecer si se está ante un tratamiento de datos ilícito, esto es, confirmar la vinculación entre la titular de la línea telefónica, la titular de la cuenta bancaria y la Reclamante: Datos de la titular de la línea telefónica facilitados a la AEPD por XFERA MÓVILES, S.A.U. el 10 de agosto de 2023 (pág. 326 y 327 del expediente completo de la AEPD): o o NOMBRE: B.B.B. TIPO DOC: DNI o Nº DOC: 00000000 Datos de la titular de la cuenta bancaria ES00 0000 0000 0000 0000 0000 del BBVA facilitados a la AEPD por el BBVA el 7 de septiembre de 2023 (pág. 358 del expediente completo de la AEPD). o Titular: C.C.C. o Doc. Identificativo: 00000000 o Dirección postal actual obrante en sistemas: Calle ***DIRECCIÓN.2. o Dirección que obra en el DNI entregado a BBVA a los efectos: ***DIRECCIÓN.3. Por tanto, la AEPD en este caso está proponiendo una sanción en base al art. 6 del RGPD por unos hechos que todavía no han sido probados, es decir, entiende la ilicitud del tratamiento sin haber averiguado previamente si realmente se están tratando de forma ilícita los datos de la Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/42 Por ello, esta parte considera, en estrictos términos de defensa, que la AEPD se excede de su competencia al calificar las medidas de comprobación de la identidad como insuficientes, cuando queda demostrado por la actividad de ID Finance y la relación con sus clientes, que son excepcionales los casos en los cuales las medidas aplicadas por la entidad no dan los resultados esperados. Aun así, la propia AEPD en su Guía de “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales” reconoce que el riesgo cero no existe, e ID Finance continuamente está adoptando mejoras en sus procedimientos para prevenir que se den casos de suplantación de identidad. IX. B.- RIESGOS ASUMIBLES (Guía de “Gestión del riesgo y evaluación de impacto en tratamientos de datos personales” -Pág. 127) “Como se ha señalado anteriormente, el nivel de “riesgo cero” no existe. Hay que encontrar un compromiso entre el nivel de riesgo residual alcanzado y la viabilidad del tratamiento, lo que significa tomar una decisión de cuándo un nivel de riesgo es asumible”. Así pues, esta parte considera que las agravantes impuestas son excesivas y no corresponden a este caso en concreto puesto que no ha quedado acreditado por las autoridades competentes en la materia que realmente estemos ante un caso de suplantación de identidad. A pesar de no haber quedado acreditada la existencia del delito de suplantación de identidad por parte de la Reclamada o la AEPD, esta parte reitera que la política de ID Finance es dar de baja los datos inmediatamente con la mera presentación de la denuncia, puesto que ID Finance prefiere aumentar sus pérdidas, es decir, no recuperar el capital prestado ni los intereses devengados, que perjudicar a alguien que realmente haya sido víctima de un delito, soportando todos los perjuicios que ello supone para la actividad de la propia entidad. Adicionalmente, la AEPD sostiene como base para la agravante del art. 83.2. b del RGPD que “Aunque la parte reclamada procedió al bloqueo de los datos personales de la parte reclamante el 6 de febrero de 2023, tras la recepción de la copia de la denuncia ante la Policía Nacional, donde denunciaba que había sido víctima de una suplantación de identidad, entre los días 15 y 16 de abril de 2023, volvió a solicitar su inscripción en ASNEF-EQUIFAX”. Esta parte considera que la AEPD, en este caso, se ha extralimitado en el alcance de su competencia sancionadora en proponer la imposición de la agravante relativa al bloqueo de los datos, ya que no está conectada con la reclamación realizada por la Reclamante, que se basa en el derecho de supresión de los datos para su baja de ASNEF-EQUIFAX, y que en ningún momento ha puesto en conocimiento de la AEPD este suceso originado por un error informático como ya se ha explicado en las alegaciones anteriores realizadas por ID Finance, y al cual ningún tercero ha tenido acceso de acuerdo con el art. 20.1.c de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/42 Ello quiere decir que no se ha causado ningún perjuicio real a la Reclamante puesto que nadie ha tenido conocimiento de esta última inscripción, que justifique, en cualquier caso, la magnitud de la cuantía de la sanción propuesta. Aún así, cabe mencionar que ID Finance, a partir de este error, ha procedido a implementar las medidas técnicas oportunas para arreglar este bug, fallo informático, que afectó a la interesada pero, en cualquier caso, es muy importante tener en cuenta, a la hora de graduar la posible sanción, que no se ha causado ningún perjuicio puesto que ningún tercero ha tenido acceso a esta información. Actualmente, los datos no están dados de alta en ASNEF y el perfil de la Reclamante está bloqueado en los sistemas de ID Finance, de acuerdo con la política de accesos de ID Finance (ver Anexo 1), de modo que únicamente los trabajadores con cierto grado de responsabilidad y de determinados departamentos puedan visualizarlos, con el fin de atender las posibles actuaciones policiales que se puedan dar. Por otro lado, puesto que esta reclamación afecta a una única persona, esta parte considera que tampoco se puede tomar en consideración la agravante del artículo 76.2
  5. b)LOPDGDD respecto la vinculación de la actividad del infractor con la realización de tratamientos de datos personales, como se ha venido alegando en las alegaciones anteriores presentadas, ya que el tratamiento de datos objeto de supuestas suplantaciones de identidad no es el tratamiento de datos principal de la actividad de ID Finance. Adicionalmente, como se está aplicando la misma agravante relacionada con la vinculación de la actividad del supuesto infractor, tanto en la supuesta infracción del art. 37.7, 17 y 6 del RGPD, ID Finance considera que se está juzgando repetidamente por lo mismo, vulnerando el principio “non bis in ídem” de acuerdo con los criterios jurisprudenciales establecidos. Por todo ello, no queda acreditada la vulneración del artículo 6 del RGPD por parte de ID Finance y, solicitamos, aun teniendo en cuenta el error humano inintencionado en el que ha incurrido ID Finance, el archivo de las presentes actuaciones, con el compromiso de mejorar todos los procesos oportunos para evitar que se den este tipo de situaciones tan particulares.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En fecha 1 de diciembre de 2022, la parte reclamante solicitó supresión de sus datos personales ante la parte reclamada, aportando copia de la denuncia policial presentada el 18 de mayo de 2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/42 En respuesta a dicha solicitud recibe respuesta de la parte reclamada informando que no procede la supresión al existir una deuda pendiente de pago. SEGUNDO: La parte reclamada respondió al ejercicio de derechos presentado por la reclamante en fecha 1 de diciembre de 2022, mediante correo electrónico enviado el día 22 de diciembre desde ***EMAIL.1 a ***EMAIL.4, en respuesta a la parte reclamante, en el que le indica que: “no puede proceder a la supresión de sus datos personales en nuestra base de datos por tener un préstamo impagado” y que “si Ud. sospecha que ha podido ser víctima de una suplantación de identidad le recomendamos que denuncie los hechos ante la policía y nos remita la denuncia para que podamos tomar las medidas oportunas”. Asimismo, la parte reclamada señala que en respuesta al requerimiento de la AEPD de 23 de marzo de 2023, el 23 de enero de 2023 cuando FACUA le traslada la denuncia ante la policía por suplantación de identidad presentada por la reclamante, procede a aplicar las medidas establecidas para casos de fraude (1º- bloqueo de los datos de la reclamante en nuestros sistemas, 2º paralizar la reclamación de la deuda, manteniendo los datos bloqueados y limitados en el tratamiento dado que pueden ser requeridos por las autoridades competentes para la investigación de los hechos, y 3º dar de baja los datos de la reclamante de los ficheros de solvencia patrimonial). TERCERO: La parte reclamada inscribió de nuevo a la parte reclamante en ASNEFEQUIFAX entre el 15 y el 16 de abril de 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/42 En el presente supuesto, el 9 de marzo de 2020 fue abierta una cuenta de usuario a través de web de la entidad reclamada, ***URL.1 , utilizando los datos personales de la parte reclamante. Para abrir dicha cuenta, y según información aportada por la parte reclamada sobre el procedimiento seguido al efecto, se proporcionaron los datos personales de la reclamante (nombre, DNI, dirección, una imagen de su DNI), un certificado bancario, una numeración de teléfono móvil+***TELÉFONO.2 y un certificado de titularidad de cuenta bancaria. Las actuaciones de investigación han permitido acreditar que la parte reclamante no era titular del número de teléfono móvil+***TELÉFONO.2 (en adelante, Numeración_1) ni de la cuenta bancaria utilizada en el procedimiento de apertura de la cuenta de usuario indicada. Empleando el usuario creado, se solicitó un préstamo; la parte reclamada aceptó el trámite el 9 de marzo de 2020 como consta en los SMS enviados a la Numeración_1. Durante el proceso de registro, la verificación de la identidad de usuario de la web de la parte reclamada se basó en la comparación, a través de una tercera empresa, de nombre y NIF de la parte reclamante con los existentes en el censo de la Agencia Tributaria y la recepción de una imagen del DNI por ambas caras en respuesta a las solicitudes enviadas por SMS a la Numeración_1. La parte reclamada dio así por comprobada la identidad del solicitante. Siguiendo sus procedimientos internos en caso de impago, la parte reclamada envió diferentes SMS de notificación y reclamación de la deuda a la Numeración_1 los días 14, 17 y 20 de mayo de 2020, dando así por comunicada la deuda, y avisada la inscripción en sistemas de información crediticia, a la parte reclamante. La parte reclamante denuncia, el 18 de mayo de 2020 ante la Policía Nacional, haber recibido dos días antes en su buzón una carta de la parte reclamada, reclamando una deuda por un préstamo. En la denuncia manifiesta no reconocer la deuda y no haber realizado ninguna contratación con la mencionada empresa. La reclamada inscribió a la parte reclamante en ASNEF-EQUIFAX, en la que consta de alta en los periodos 29 de mayo a 8 de junio de 2020, 10 de julio de 2020 a 30 de enero de 2023, y 15 a 16 de abril de 2023. La parte reclamada manifiesta que cuentan con el consentimiento de la parte reclamante al tratamiento de sus datos personales y la autorización para su posible inscripción en sistemas de información crediticia basándose en - un contrato en el que no consta ninguna firma de la parte reclamante - comunicaciones mediante SMS a la Numeración_1 - respuestas desde una dirección IP sin acreditar su relación con la parte reclamante, y - un certificado de titularidad de cuenta cuya información ha resultado refutada tras consultar a la entidad bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/42 La parte reclamada no recoge, en la lista de datos personales que manifiesta tratar, copias de imágenes de DNI. Ha quedado probado que la reclamada realizó el tratamiento de los datos de la parte reclamante, a la que inscribió en sistemas de información crediticia durante tres periodos entre los años 2020 y 2023. Como representante legal de la parte reclamante, FACUA Córdoba envió el 12 de septiembre de 2022 un correo electrónico a la reclamada solicitando la supresión de los datos personales de su representada. Esta solicitud no recibió respuesta. La parte reclamada atribuye esa falta de respuesta a un error involuntario por su parte. La parte reclamante envió el 1 de diciembre de 2022 un correo electrónico a la reclamada solicitando de nuevo la supresión de sus datos personales y recibió el 22 de diciembre respuesta de la reclamada, que considera la supresión improcedente por existir una deuda pendiente e insta a la parte reclamante a denunciar la suplantación de identidad y remitir copia de la denuncia. El 23 de enero de 2023 la parte reclamante solicitó de nuevo a supresión de sus datos a la reclamada y presentó reclamación ante la Agencia Española de Protección de Datos. La parte reclamada manifiesta que procedió al bloqueo de los datos el 6 de febrero de 2023, tras la recepción de la copia de la denuncia ante la Policía Nacional. Sin embargo, inscribió de nuevo a la parte reclamante en ASNEF-EQUIFAX entre los días 15 y 16 de abril de 2023. III Alegaciones al acuerdo de inicio La parte reclamada en su defensa ha realizado afirmaciones cuestionando la infracción del artículo 6 del RGPD, así como el agravante relativo a la negligencia en sus actuaciones. En respuesta a tales manifestaciones la AEPD ha de indicar que tales afirmaciones son en cierta medida contradictorias, ya que por un lado afirma que su actuación ha sido diligente pues ha dado de baja los datos personales de la parte reclamante, de conformidad con el procedimiento establecido en estos casos, cuando en marzo de 2023, a través de FACUA, tuvo conocimiento de la denuncia presentada por la parte reclamante, por suplantación de identidad al no reconocer la deuda que la parte reclamada le exige. Sin embargo, pese a indicarse que se ha procedido a la baja en el fichero de solvencia patrimonial a requerimiento de la entidad reclamada, la AEPD ha constatado que los datos de la parte reclamante fueron nuevamente dados de alta en los ficheros de solvencia patrimonial en abril de 2023 a solicitud de la parte reclamada. Por otro lado, la entidad reclamada afirma en un primer momento que esta nueva inclusión se ha debido a un fallo técnico, pero seguidamente dice que en realidad sólo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/42 se bloquearon los datos y que nunca se dio orden de baja, ya que no se ha acreditado que dicha suplantación de identidad se haya producido. La AEPD considera que la actuación de la entidad reclamada ha sido negligente y que existe una clara vulneración del artículo 6 del RGPD, pues los datos de la parte reclamante han sido incluidos en un fichero de solvencia de manera ilícita ya que la parte reclamada ha realizado un tratamiento de datos personales pese a no encontrarse en ninguno de los supuestos que legitiman dicho tratamiento de datos personales. La entidad reclamada alega un interés legítimo basado en que la parte reclamada es la titular de la deuda. Sin embargo, la titularidad de la deuda objeto de inclusión en el fichero de solvencia patrimonial no puede considerarse cierta, tras presentarse denuncia en marzo de 2023 ante la policía, por la parte reclamante, por suplantación de identidad, y ante la asociación de consumidores FACUA. Tales hechos evidencian que la parte reclamante no ha reconocido dicha deuda, y que cuestiona la misma pues no tiene ningún contrato firmado con la entidad reclamada. Por tanto, si la titularidad de la deuda objeto de inclusión en el fichero de solvencia patrimonial no puede acreditarse por la parte reclamada, ésta no puede solicitar su inclusión en ningún fichero de solvencia patrimonial hasta que no se acredite que la parte reclamante es el titular de dicha deuda. De manera que solicitar la inclusión de los datos personales de la parte reclamante en un fichero de solvencia patrimonial por una deuda cuya titularidad ha sido cuestionada y la entidad reclamada no ha podido acreditar, supone una clara infracción del artículo 6 del RGPD, pues se está realizando un tratamiento ilícito de datos personales. Tales hechos se encuentran agravados con una falta de diligencia por la entidad reclamada, ya que pese a haber sido informada por FACUA de que la parte reclamante no reconoce la deuda, no ha procedido a dar de baja la inscripción en el fichero de solvencia patrimonial de los datos de la parte reclamante. IV Artículo 6 del RGPD El RGPD en su artículo 4.11 define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/42
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En relación con los sistemas de información crediticia, hemos de acudir al artículo 20 de la LOPDGDD, destacando su apartado b), donde se establece lo siguiente: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
  13. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
  14. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
  15. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
  16. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
  17. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/42 solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
  18. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
  19. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia.” V Tipificación y calificación de la infracción del artículo 6 del RGPD De confirmarse, la citada infracción del artículo 6 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/42 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” Se considera que, los hechos denunciados, suponen una infracción del artículo 6.1 del RGPD. En este sentido, y de acuerdo con la información disponible tras las actuaciones de investigación realizadas, la parte reclamante no contrató deuda alguna con la parte reclamada, por lo que el presupuesto que motivó el tratamiento de datos personales de la parte reclamante y su inscripción en el fichero de solvencia patrimonial no ha quedado justificado. En este sentido, se aprecia la inexistencia de una base legitimadora del tratamiento de datos personales realizado y, por lo tanto, una presunta infracción del artículo 6 del RGPD. Por otro lado, aunque la parte reclamada afirma haber bloqueado los datos de la reclamante el 6 de febrero de 2023, tras tener conocimiento de la denuncia presentada por la parte reclamante ante la Policía Nacional por suplantación de identidad, se ha constatado que la parte reclamada volvió a incluir los datos de la parte reclamante en el fichero de solvencia ASNEF-EQUIFAX, los días 15 y 16 de abril de 2023, circunstancia que demuestra que continuaba el tratamiento de los datos personales de la parte reclamante VI Artículo 17 del RGPD El artículo 17 del RGPD, en relación con el derecho de supresión («el derecho al olvido») establece lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  22. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  23. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/42
  24. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  25. d)los datos personales hayan sido tratados ilícitamente;
  26. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  27. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  28. a)para ejercer el derecho a la libertad de expresión e información;
  29. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  30. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  31. h)e i), y apartado 3;
  32. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  33. e)para la formulación, el ejercicio o la defensa de reclamaciones.” VII Tipificación y calificación del artículo 17 del RGPD De confirmarse, la citada infracción del artículo 17 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/42 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  34. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  35. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” Se considera que los hechos denunciados suponen una infracción del artículo 17 del RGPD, relativo al derecho de supresión de datos personales, por cuanto la primera solicitud, realizada por FACUA en nombre de la reclamante en septiembre de 2022 no fue respondida debido a lo que la parte reclamada califica como un “error involuntario”. Ejercido de nuevo su derecho por la parte reclamante, actuando en nombre propio, recibe una respuesta en la que se le comunica la existencia de una deuda que impide que puedan suprimirse sus datos del fichero de solvencia patrimonial. En dicha respuesta, se le requiere que aporte, en su caso, denuncia policial que hubiera presentado en caso de sospechase haber sido víctima de un fraude; un documento que ya había sido aportado por la parte reclamante en la solicitud a la que se estaba dando respuesta. Finalmente, la parte reclamante presenta una nueva solicitud, a través de su representante, que es objeto de respuesta y en la que se indica que se ha procedido al bloqueo de sus datos. No obstante, tal y como demuestra el hecho de que, con posterioridad a esa respuesta y, por lo tanto, al presunto bloqueo de los datos personales de la reclamante, sus datos fueron de nuevo incorporados al fichero de solvencia patrimonial, el derecho a la supresión de sus datos personales no fue efectivamente satisfecho. Por lo tanto, nos encontramos ante la vulneración reiterada del derecho de supresión ejercido por la parte reclamante. VIII Artículo 37.7 del RGPD El artículo 37 del RGPD, relativo a la designación del delegado de protección de datos establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/42 “1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
  36. a)el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
  37. b)las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
  38. c)las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos personales con arreglo al artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el artículo 10. 2. Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento. 3. Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño. 4. En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados. 5. El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39. 6. El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios. 7. El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control.” En relación con el precepto anteriormente indicado, el artículo 34 de la LOPDGDD, relativo a la designación de un delegado de protección de datos, establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/42 “1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:
  39. a)Los colegios profesionales y sus consejos generales.
  40. b)Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
  41. c)Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
  42. d)Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
  43. e)Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
  44. f)Los establecimientos financieros de crédito.
  45. g)Las entidades aseguradoras y reaseguradoras.
  46. h)Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
  47. i)Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
  48. j)Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
  49. k)Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
  50. l)Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
  51. m)Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/42
  52. n)Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego. ñ) Las empresas de seguridad privada.
  53. o)Las federaciones deportivas cuando traten datos de menores de edad. 2. Los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar de manera voluntaria un delegado de protección de datos, que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica. 3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria. 4. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos. 5. En el cumplimiento de las obligaciones de este artículo los responsables y encargados del tratamiento podrán establecer la dedicación completa o a tiempo parcial del delegado, entre otros criterios, en función del volumen de los tratamientos, la categoría especial de los datos tratados o de los riesgos para los derechos o libertades de los interesados.” IX Tipificación y calificación del artículo 37.7 del RGPD De confirmarse, la citada infracción del artículo 37.7 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  54. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/42 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente forma de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y en particular, los siguientes:
  55. p)No publicar los datos de contacto del delegado de protección de datos o no comunicarlos a la autoridad de protección de datos, cuando su nombramiento sea exigible de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34 de esta Ley Orgánica.” Se considera que, los hechos denunciados, suponen una infracción del artículo 37.7 del RGPD, en relación con el artículo 34.1
  56. f)de la LOPDGDD, relativos a la designación del delegado de protección de datos y a su comunicación a la autoridad de control , ya que se ha constatado a través de las actuaciones previas realizadas el 18/01/2024, que la parte reclamada hasta el momento de la realización de tales actuaciones de investigación no había comunicado su Delegado de Protección de Datos a la AEPD. Por lo tanto, se considera que la parte reclamada habría incurrido en infracción de los preceptos señalados al haber quedado acreditado que no consta que haya nombrado a un delegado de protección de datos, publicado sus datos ni realizado la debida comunicación a la AEPD de éstos. X Graduación de las sanciones El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  57. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  58. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  59. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/42 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  60. a)a
  61. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  62. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  63. b)la intencionalidad o negligencia en la infracción;
  64. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  65. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  66. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  67. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  68. g)las categorías de los datos de carácter personal afectados por la infracción;
  69. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  70. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  71. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  72. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/42 (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  73. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  74. a)El carácter continuado de la infracción.
  75. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  76. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  77. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  78. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  79. f)La afectación a los derechos de los menores.
  80. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  81. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Sanción por la infracción del artículo 6 del RGPD. De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción por cada infracción, se procede a graduar la multa por la infracción del artículo 6 teniendo en cuenta: Como agravante: Artículo 83.2.
  82. b)RGPD: “negligencia en el tratamiento de los datos” ya que realiza el tratamiento de datos personales, solicitando la inclusión de los datos personales en ficheros de solvencia patrimonial, sin contar con base legitimadora para dicho tratamiento, teniendo en cuenta que la parte reclamante alega no haber contraído la deuda al haber sido objeto de una presunta suplantación de identidad hechos que denuncia ante la Policía. Aunque la parte reclamada procedió al bloqueo de los datos personales de la parte reclamante el 6 de febrero de 2023, tras la recepción de la copia de la denuncia ante la Policía Nacional, donde denunciaba que había sido víctima de una suplantación de identidad, entre los días 15 y 16 de abril de 2023, volvió a solicitar su inscripción en ASNEF-EQUIFAX. Artículo 76.2
  83. b)LOPDGDD:” La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad reclamada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/42 exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad reclamada realiza para el desarrollo de su actividad, un elevado volumen de tratamiento de datos personales. Considerando los factores expuestos, es decir, la negligencia en el tratamiento de datos, la vinculación de la actividad del infractor con la realización de tratamientos de datos personales y la reiteración en la comisión de la misma infracción por la entidad reclamada, permiten que la valoración inicial de la cuantía de la multa sea de 100.000 € por la infracción del artículo 6 del citado RGPD. Sanción por la infracción del artículo 17 del RGPD De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción por cada infracción, se procede a graduar la multa por la infracción del artículo 17 teniendo en cuenta: Como agravante: Artículo 83.2.
  84. b)RGPD: “negligencia en el tratamiento de los datos” ya que la parte reclamada pese a tener conocimiento de la solicitud de supresión de los datos personales de la parte reclamada, no procede de forma efectiva a su supresión. La negligencia en el tratamiento de los datos personales se deriva de los hechos que constan en el expediente: la primera solicitud de supresión realizada por la parte reclamante no fue atendida, la segunda fue respondida sin considerar la denuncia realizada ante la policía que la parte reclamada indica fue remitida junto con la solicitud de supresión y, finalmente, a pesar de que en respuesta proporcionada con fecha 6 de febrero de 2023 se indica haber atendido la solicitud de la reclamante, la inclusión nuevamente en un momento posterior en el fichero de solvencia patrimonial parece acreditar no fue así. Artículo 76.2
  85. b)LOPDGDD:” La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”, ya que la actividad de la entidad reclamada exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad reclamada realiza para el desarrollo de su actividad, un elevado volumen de tratamiento de datos personales. Considerando los factores expuestos, es decir, la negligencia en el tratamiento de datos, la vinculación de la actividad del infractor con la realización de tratamientos de datos personales y la reiteración en la comisión de la misma infracción por la entidad reclamada, permiten que la valoración inicial que alcanza la cuantía de la multa sea de 100.000 € por infracción del artículo 17 del RGPD, por adolecer de las medidas necesarias para responder de forma eficiente ante el ejercicio de derecho de supresión realizado por la parte reclamante. Sanción por la infracción del artículo 37.7 del RGPD De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción por cada infracción, se procede a graduar la multa por la infracción del artículo 37 teniendo en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/42 cuenta: Como agravante: Artículo 83.2.
  86. b)RGPD: “negligencia en el tratamiento de los datos” ya que, pese a tener conocimiento de la reclamación presentada por la parte reclamante ante la AEPD, y haber realizado alegaciones en las que identifica las actuaciones llevadas a cabo por su delegado de protección de datos, no consta el efectivo nombramiento de éste ni la comunicación formal de sus datos por la parte reclamada a esta Agencia, lo que demuestra una falta de diligencia por parte de la entidad reclamada. Artículo 76.2
  87. b)LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”, ya que la actividad de la entidad reclamada exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad reclamada realiza para el desarrollo de su actividad, un elevado volumen de tratamiento de datos personales. Considerando los factores expuestos, es decir, la negligencia en el tratamiento de datos, la vinculación de la actividad del infractor con la realización de tratamientos de datos personales y la reiteración en la comisión de la misma infracción por la entidad reclamada, permiten que la valoración inicial que alcanza la cuantía de la multa sea de 25.000 € por infracción del artículo 37.7 del RGPD en relación con el artículo 34.1
  88. f)de la LOPDGDD, por no haber comunicado los datos relativos al Delegado de Protección de Datos de la entidad reclamada. XI Medidas Como consecuencia de cada una de las infracciones indicadas, se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  89. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Medidas por el artículo 6 del RGPD En relación con la infracción del artículo 6 del RGPD, las medidas consisten en notificar en el plazo máximo de un mes desde la notificación de la resolución que se adopte en el marco de este procedimiento sancionador la adopción de las siguientes medidas:  Certificación de que no consta inscripción, solicitada por la parte reclamante y en relación con la deuda de la que es objeto el presente procedimiento, de los datos personales de la parte reclamante en el fichero de solvencia patrimonial ASNEF-EQUIFAX, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/42  Mejoras efectivas en el procedimiento de comprobación de la identidad que permitan verificar adecuadamente la identidad de los usuarios solicitantes de créditos y que garanticen el cumplimiento del principio de minimización de datos previsto en el artículo 5.1
  90. c)del RGPD Medidas por el artículo 17 del RGPD En relación con la infracción del artículo 17 del RGPD, las medidas consisten en notificar, en el plazo de un mes, desde la notificación de la resolución de este procedimiento sancionador la adopción de las siguientes medidas:  La aprobación de un procedimiento adecuado que garantice que no produce un tratamiento de datos personales, después de haberse confirmado su supresión, como consecuencia de un ejercicio de derecho de supresión.  La aprobación de un procedimiento que garantice dar una respuesta ágil y efectiva, de las solicitudes de ejercicio de derecho de supresión por parte de sus clientes. Medidas por el artículo 37.7 del RGPD en relación con el artículo 34.1
  91. f)de LOPDGDD En relación con la infracción del artículo 37.7 del RGPD en relación con el artículo 34.1
  92. f)de LOPDGDD, las medidas consisten en notificar, en el plazo de un mes, desde la resolución que se adopte del presente procedimiento sancionador, los datos del delegado de protección de datos de la entidad reclamada a la AEPD. Se advierte que no atender a los requerimientos de esta Agencia puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a IDFINANCE SPAIN, S.A.U., con NIF A66487190, por las infracciones de los artículos 6, 17 y 37.7 del RGPD, tipificadas en el artículo 83.5.a), 83.5
  93. b)y 83.4
  94. a)del RGPD con una sanción de 100.000€ por la infracción del artículo 6 del RGPD, 100.000€ por la infracción del artículo 17 del RGPD, y 25.000€ por la infracción del artículo 37.7 del RGPD en relación con el artículo 34.1
  95. f)de la LOPDGDD, lo que implica una sanción por un importe total de 225.000 euros (doscientos veinticinco mil euros). Que por la Directora de la Agencia Española de Protección de Datos se ordene a IDFINANCE SPAIN, S.A.U., con NIF A66487190, que en virtud del artículo 58.2.
  96. d)del RGPD, en el plazo de un mes acredite desde la resolución que se adopte del presente procedimiento sancionador, haber procedido al cumplimiento de las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/42  Certificación de que no consta inscripción, solicitada por la parte reclamante y en relación con la deuda de la que es objeto el presente procedimiento, de los datos personales de la parte reclamante en el fichero de solvencia patrimonial ASNEF-EQUIFAX,  Mejoras efectivas en el procedimiento de comprobación de la identidad que permitan verificar adecuadamente la identidad de los usuarios solicitantes de créditos y que garanticen el cumplimiento del principio de minimización de datos previsto en el artículo 5.1
  97. c)del RGPD  La aprobación de un procedimiento adecuado que garantice que no produce un tratamiento de datos personales, después de haberse confirmado su supresión, como consecuencia de un ejercicio de derecho de supresión.  La aprobación de un procedimiento que garantice dar una respuesta ágil y efectiva, de las solicitudes de ejercicio de derecho de supresión por parte de sus clientes.  Notificar, los datos del delegado de protección de datos de la entidad reclamada a la AEPD. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 180.000 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000 0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-070623 B.B.B. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/42 >> SEGUNDO: En fecha 5 de julio de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 180000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
  98. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/42 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202302929, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a IDFINANCE SPAIN, S.A.U. para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. TERCERO: NOTIFICAR la presente resolución a IDFINANCE SPAIN, S.A.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  99. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1331-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.