← España

PS-00124-2018

1/17 Procedimiento Nº: PS/00124/2018 RESOLUCIÓN R/01654/2018 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00124/2018, instruido por la Agencia Española de Protección de Datos a OK MONEY SPAIN, S.L.U., vista la denuncia presentada por A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 16 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OK MONEY SPAIN, S.L.U.. Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 29 de agosto de 2018 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento nº.: PS/00124/2018 Mediante Acuerdo de fecha 16 de mayo de 2018 se inició procedimiento sancionador nº PS/00124/2018 instruido por la Agencia Española de Protección de Datos a OK MONEY SPAIN, S.L.U. por presunta infracción a la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 15/09/2017 tuvo entrada en esta Agencia denuncia de D. A.A.A. (en lo sucesivo el denunciante) contra OK MONEY SPAIN, S.L.U. (en lo sucesivo OK MONEY) por haber utilizado sus datos personales para contratar un crédito sin su consentimiento, sin comprobar inequívocamente la identidad del contratante, crear un fichero con esos datos personales y cederlos a un tercero sin su consentimiento. La contratación del crédito ocurrió en 2015. De la cesión de los datos (y de la deuda) a un tercero, el denunciante tuvo constancia el 30/08/2017. Y, entre otra, anexa la siguiente documentación:  Carta fechada el 30/08/2017, en la que ESPAND SOLUCIONES DE GESTION S.L. (actualmente KRUK ESPAÑA, S.L.) reclama al denunciante el pago de una deuda por cuenta de INVESTCAPITAL MALTA LTD (en lo sucesivo INVESTCAPITAL), indicándole que es una deuda que tenía mantenía el denunciante con OK MONEY por un total de 463,36 €.  Denuncia presentada el 05/09/2017 en la Comisaría de Policía de Telde, en la que el denunciante indica lo que venía en dicha carta y manifiesta que se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 puesto en contacto con la empresa INVESTCAPITAL para indicarles que él no había contraído ninguna deuda con ella y que desconocía quién había facilitado sus datos. En fecha de 23/10/2017, se recibe escrito del denunciante en contestación a solicitud de información. Y anexa, entre otra, la siguiente documentación:  Fotocopia del DNI del denunciante.  Solicitud del denunciante, con resguardo de su envío vía fax del 05/09/2017, de que se eliminen sus datos personales y las grabaciones de sus llamadas que tengan registradas. En esta solicitud indica que se envía la denuncia.  Carta fechada el 06/09/2017, en la que ESPAND SOLUCIONES DE GESTION SL, como gestora del cobro del crédito por cuenta de INVESTCAPITAL, paraliza las acciones de recobro, y le solicita al denunciante que, para hacer ejercicio de sus derechos de acceso, rectificación, cancelación y oposición, envíe de nuevo su solicitud indicando el derecho a ejercitar y adjuntando copia de su DNI.  En su escrito, el denunciante manifiesta que nunca se le enviaron facturas y que no tiene constancia de estar inscrito en ningún fichero de morosos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a las entidades INVESTCAPITAL, KRUK ESPAÑA S.L. y OK MONEY, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones previas de inspección E/5458/2017 que se trascribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En contestación a solicitud de información, se presenta escrito en representación de OK MONEY SPAIN, S.L.U., con fecha de entrada el 04/12/2017, en el que se aporta, entre otra, la siguiente información: 1. Se adjunta copia del contrato de préstamo, celebrado el 13/03/2015, en el que aparecen los datos de OK MONEY SPAIN, S.L.U. (como prestamista) y del denunciante (como prestatario). En cuanto a los datos del denunciante, aparecen su nombre, primer apellido y DNI (iguales a los que aparecen en su DNI), el domicilio aparece vacío y aparecen el número de teléfono ***TLF.1 y la dirección de correo electrónico ***EMAIL.1. 2. Se adjunta factura recordatorio de cobro por un total de 453,00 € fechada el 31/05/2016 en la que figura el nombre y apellidos del denunciante, y una dirección postal distinta a la que tiene el denunciante en su DNI y a la que presenta como domicilio en su denuncia. 3. Descripción del proceso de contratación de préstamos que se realizaba en su página www.okmoney.es en el momento en que se contrató el préstamo con el denunciante. El proceso se realizaba totalmente “online”, y, de su descripción, se desprende que la identificación del cliente se realizaba rellenando una serie de datos en una solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 4. Se indica que, a partir del 01/01/2016, el procedimiento se modificó para que los contratantes adjuntasen una fotocopia de documento acreditativo de la identidad (DNI, pasaporte u otro), junto con unas comprobaciones automáticas basadas en el reconocimiento óptico de caracteres presentes en el documento acreditativo de la identidad. En contestación a solicitud de información, se presenta escrito en representación de KRUK ESPAÑA SL (ESPAND SOLUCIONES DE GESTION SL), con fecha de entrada el 15/12/2017, en el que se aporta, entre otra, la siguiente información: 1. Carta enviada al denunciante, fechada el 27/03/2017, a la dirección que aparecía en la factura de OK MONEY SPAIN, S.L.U. (distinta a la que aparece en el DNI del denunciante) en la que se informa de que su deuda de 453,00 € fue vendida por OK MONEY SPAIN, S.L.U. a INVESTCAPITAL MALTA LTD. EL 21/12/2016, que ESPAND SOLUCIONES DE GESTION SL gestionará el cobro de dicha deuda, y se le insta a pagar dicha deuda en el plazo de 14 días hábiles. 2. Se adjuntan pantallas del aplicativo de gestión en el que se incluyen los datos del denunciante. En estas pantallas se pueden observar dos direcciones postales: la misma que aparece en su DNI (que aparece dos veces, con fechas de verificación 17/08/2017 y 29/08/2017) y la dirección que aparecía en la factura de OK MONEY. 3. verificación 17/08/2017). También aparecen dos direcciones de correo electrónico distintas: ***EMAIL.1 (con fecha de verificación 15/02/2017 e indicando que se recibió del acreedor) y ***EMAIL.2 (con fecha de verificación 05/09/2017 e indicando que se recibió del cliente). En contestación a solicitud de información, se presenta escrito en representación de OK MONEY SPAIN, S.L.U., con fecha de entrada el 02/03/2018, en el que se aporta la siguiente información: 1. Contrato de venta de cartera de créditos adquiridos por INVESTCAPITAL MALTA LTD., y vendidos por varias entidades afectadas por la legislación española, entre las que se encuentra OK MONEY SPAIN, S.L.U. La fecha de firma (que es la misma que la fecha de efectos del contrato) es el 21/12/2016. En el contrato se indica que (es un extracto traducido del considerando II y la cláusula 5.i del contrato) todos los créditos fueron acordados y establecidos válidamente según la legislación española, y que están identificados como ciertos, vencidos y exigibles, pero no han sido pagados. En el contrato también se indica que (extracto traducido de la cláusula 6.1) los vendedores no serán responsables de la insolvencia, obligaciones y responsabilidad de los deudores ni por la falta de éxito en el cobro de los créditos; sin embargo, (extracto traducido de las cláusulas 6.4.

  1. iv)los vendedores de la cartera de créditos sí que serán responsables de haber utilizado prácticas de recobro ilícitas o ilegales 2. Se manifiesta que el crédito que origina esta denuncia está incluido dentro de la cartera de créditos vendidos a INVESTCAPITAL MALTA LTD. a través de dicho contrato. 3. Se manifiesta que dicho contrato de venta de cartera de créditos tiene un carácter confidencial.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 TERCERO: Con fecha 16 de mayo de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a OK MONEY por presunta infracción de los artículos 6.1 y 11.1 de la LOPD, tipificadas ambas como graves en el artículo 44.3.
  2. b)y
  3. k)respectivamente, de la citada norma. CUARTO: Notificado el acuerdo de inicio, OK MONEY formuló las siguientes alegaciones: 1. La presunta cesión inconsentida de los datos del denunciante (art. 11.1 LOPD) deriva necesariamente de la presunta infracción del artículo 6.1 de la LOPD por lo que existe un concurso medial de infracciones siendo de aplicación lo dispuesto en el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). 2. Existencia de circunstancias atenuantes a la hora de cuantificar las sanciones propuestas: - OK MONEY no es una gran empresa (art. 45.4.
  4. d)ni en cuanto a capital social, ni en cuanto a número de empleados como así se recoge en las resoluciones de los procedimientos sancionadores PS/182/2017 y PS/149/2016. - La mejora de los procedimientos, tanto de validación y comprobación de la identidad de los contratantes. como de recobro de deudas e inclusión en ficheros de solvencia, a partir del 1 de enero de 2016 debe tomarse en consideración como atenuante (art. 45.4.
  5. j)QUINTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes hechos probados: 1º En fecha 15/09/2017 tuvo entrada en esta Agencia escrito del denunciante contra OK MONEY por haber utilizado sus datos personales para contratar un crédito sin su consentimiento, sin comprobar inequívocamente la identidad del contratante, crear un fichero con esos datos personales y cederlos a un tercero sin su consentimiento. La contratación del crédito ocurrió en 2015. De la cesión de los datos (y de la deuda) a un tercero, el denunciante tuvo constancia el 30/08/2017. 2º Consta en el expediente carta fechada el 30/08/2017, en la que ESPAND SOLUCIONES DE GESTION S.L. (actualmente KRUK) reclama al denunciante el pago de una deuda por cuenta de INVESTCAPITAL, indicándole que es una deuda que tenía mantenía el denunciante con OK MONEY por un total de 463,36 € (300 € de principal más intereses moratorio y legal). 3º Consta en el expediente denuncia presentada el 05/09/2017 en la Comisaría de Policía de Telde, en la que el denunciante acredita tener domicilio en ***DIRECCIÓN.1 y manifiesta ser titular de la línea ***TLF.2 y que KRUK se ha puesto en contacto con él informándole que tiene una deuda con INVESTCAPITAL, entidad con la que él no ha tenido relación alguna, desconociendo quién había facilitado sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 4º Consta en el expediente fax remitido por el denunciante en fecha 05/09/2017 a OK MONEY en el que remite la denuncia presentada ante la Policía y solicita que se eliminen sus datos personales y las grabaciones de sus llamadas que tengan registradas. 5º Consta en el expediente carta fechada el 06/09/2017, en la que ESPAND SOLUCIONES DE GESTION S.L., (actualmente KRUK) como gestora del cobro del crédito por cuenta de INVESTCAPITAL, paraliza las acciones de recobro, y le solicita al denunciante que, para hacer ejercicio de sus derechos de acceso, rectificación, cancelación y oposición, envíe de nuevo su solicitud indicando el derecho a ejercitar y adjuntando copia de su DNI. 6º En los sistemas de OK MONEY consta el nombre y apellidos y DNI del denunciante como titular de un préstamo a 30 días por importe de 300 € solicitado en fecha 12/03/2015 y con una deuda por impago de 453 €. Figuran asociados otros datos tales como: 7º - Email: ***EMAIL.1 - Teléfono móvil: ***TLF.1 (distinto del que el denunciante manifiesta en su denuncia policial ser titular y que es el ***TLF.2) - Domicilio: ***DIRECCIÓN.2 (distinto del que figura en su DNI y manifiesta en su denuncia policial y que es ***DIRECCIÓN.1). - Cuenta bancaria ingreso préstamo: ***CC.1 La contratación el préstamo de realizó online a través de la página www.okmoney.es mediante un proceso con los siguientes pasos: 8º El cliente rellena su información profesional, económica y sus datos identificativos. Se procede a la validación de la cuenta bancaria. Se le solicita un número de teléfono móvil válido al cual se le envía un mensaje con un código alfanumérico, que tendrá que introducir para continuar con la aplicación. Se envía a través de la página web los términos y condiciones del contrato siendo necesaria su aceptación para la continuidad del proceso, en el caso de no aceptarlos, la solicitud es inmediatamente rechazada. Cuando se han aceptado los términos y condiciones del contrato, se enviaba un email al correo facilitado por el cliente con los términos y condiciones. Una vez aceptados los términos y condiciones, se procede a aprobar la solicitud notificándoselo al cliente a través de correo electrónico y SMS. Finalmente se envía el contrato de préstamo para conocimiento del cliente. Consta en el expediente factura de fecha 12/03/2015 emitida al denunciante por OK MONEY por un importe de 390 € en concepto de préstamo (300 €) más operaciones de gestión/comisiones (90 €). En la factura figura como dirección ***DIRECCIÓN.2 . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 9º Consta en el expediente requerimiento de pago de 411 € (300 € de principal más gastos) fechado el 18/04/2015 y dirigido por OK MONEY al denunciante a la dirección ***DIRECCIÓN.2 . 10º Consta en el expediente requerimiento de pago de 453 € (300 € de principal más gastos) fechado el 31/05/2015 y dirigido por OK MONEY al denunciante a la dirección ***DIRECCIÓN.2 . 11º En los sistemas de OK MONEY constan las siguientes comunicaciones: - Email de fecha 23/03/2015 enviado a ***EMAIL.1 remitiendo copia del contrato de préstamo. SMS de fecha 12/03/2015 enviado a la línea ***TLF.1 en donde se informa que el préstamo acaba de ser trasferido a su cuenta bancaria. Email de fecha 13/03/2015 enviado a ***EMAIL.1 remitiendo la factura del préstamo por importe de 390 € (300 € principal más 90 € de costes). SMS de fecha 08/04/2015 enviado a la línea ***TLF.1 informando de la fecha del vencimiento del préstamo el 11/04/2015, así como de la posibilidad de aplazar el pago. Email de fecha 14/04/2015 enviado a ***EMAIL.1 informando que el plazo de devolución del préstamo ha finalizado, e instando su pago o aplazamiento. SMS de fecha 07/05/2015 enviado a la línea ***TLF.1 informando que sus datos personales y deuda serán comunicados a los ficheros de solvencia. Email de fecha 04/06/2015 enviado a ***EMAIL.1 informando que el plazo de devolución del préstamo ha finalizado, e instando su pago o aplazamiento. SMS de fecha 11/06/2015 enviado a la línea ***TLF.1 informando que sus datos personales y deuda han sido comunicados a los ficheros de solvencia. Email de fecha 06/07/2015 enviado a ***EMAIL.1 informando que el plazo de devolución del préstamo ha finalizado, y que sus datos personales y deuda han sido comunicados a los ficheros de solvencia. 12º Los datos del denunciante fueron incluidos por OK MONEY en el fichero asnef en fecha 10/07/2015 por un importe de 453 €, siendo dados de baja en fecha 01/09/2015, nuevamente dados de alta en fecha 04/09/2015 y de baja en fecha 28/10/2015. 13º En fecha 21/12/2016 OK MONEY y INVESTCAPITAL suscribieron un contrato de venta de cartera de crédito entre los cuales se encontraba un crédito a nombre del denunciante por importe 453 €, cediéndose por tanto los datos personales del denunciante. FUNDAMENTOS DE DERECHO I La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. OK MONEY es la persona jurídica responsable de dichos hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por la denunciada relacionados con la exigencia del principio del consentimiento contenido en los artículos 6.1 y 11.1 de la LOPD. El denunciante manifiesta no haber contratado con OK MONEY ningún préstamo y, por razones no acreditadas por la entidad, fue dada de alta en su base de datos de clientes su número DNI, nombre y dos apellidos, pero no la dirección postal, el número de teléfono, y el correo electrónico; pues las que obran en sus registros no coincide con la del afectado y figuran vinculados a la contratación, en fecha 12/03/2015, de un crédito por importe de 300 €. OK MONEY ha manifestado que la contratación del crédito se efectuó por el denunciante a través de internet pero no ha aportado pruebas o indicios razonables de los que se infiera que tal hecho se verificó por parte de éste, ya que la única prueba aportada se circunscribe a que determinados datos personales del denunciante (nombre y apellidos y DNI) fueron dados de alta en sus sistemas, sin que la entidad acredite que fue el denunciante quién aportó dichos datos y consintió su tratamiento por cuanto no ha aportado prueba alguna que acredite que llevó a cabo alguna actuación tendente a comprobar la identidad del contratante. A ello se añade que los demás datos asociados al nombre y apellidos del denunciante y utilizados como propios de éste en la contratación (domicilio, teléfono, email) se reputan como falsos por cuanto el propio denunciante manifiesta que no le corresponden y la entidad tampoco aporta indicio alguno en sentido contrario. Como consecuencia de dichos servicios emitió un contrato, y comunicaciones incluyendo su DNI asociado al impago del crédito vencido que no fue pagado y que más tarde fue el motivo de las gestiones de recobro y de la inclusión de sus datos (número de DNI y nombre con primer apellido) en el fichero de morosos Asnef. Posteriormente cedió los datos del denunciante a INVESTCAPITAL con ocasión del contrato de venta de cartera de crédito suscrito entre ambas entidades. Ha de concluirse por tanto que OK MONEY ha realizado tanto un tratamiento, como una cesión de datos personales sin consentimiento del denunciante asociándole además una deuda que no le corresponde. II Se imputa a OK MONEY una vulneración del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 vulneren los derechos y libertades fundamentales del interesado.” En este caso, consta documentado que en los ficheros de OK MONEY se encuentran registrados el dato nombre y apellidos y DNI del denunciante asociados a un contrato de préstamo no solicitado por éste, tratados para la emisión de contrato, comunicaciones gestiones de cobro e inclusión en fichero de solvencia patrimonial y crédito. El tratamiento realizado por parte de OK MONEY no se ajusta a lo establecido en la LOPD. Para que dicho tratamiento resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el procedimiento examinado alguno de los supuestos contemplados en el artículo 6 de la Ley mencionada. Por tanto, corresponde a OK MONEY acreditar que cuenta con el consentimiento del denunciante para el tratamiento de sus datos personales o en su caso la existencia de una relación contractual entre las partes (art.6.2 LOPD) que le eximiría del requisito de consentimiento, y que es precisamente lo alegado por la entidad, resultando que no ha aportado prueba alguna que acredite la existencia de dicha relación (contrato del préstamo suscrito por el denunciante) ya que únicamente ha aportado como `prueba de la existencia de dicha relación contractual el hecho que el nombre y apellidos y DNI del denunciante figuran registrados en sus sistemas asociados a dicho préstamo, datos personales unidos a otros que no corresponden al denunciante. Recordar sobre el particular que incumbe a OK MONEY la carga de acreditar, o bien que cuenta con el consentimiento inequívoco del titular de los datos que han sido objeto de tratamiento o, bien la existencia de relación contractual con el mismo, lo que en ninguno de los caos se ha producido en el expediente. Resulta muy esclarecedora en este sentido la SAN de 31/05/2006, Recurso 539/2004, que en su Fundamento Derecho Cuarto dice: “Por otra parte es el responsable del tratamiento (por todas, sentencias de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de estos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD). Al hilo de lo anterior, la falta de pruebas que acrediten que la persona denunciante otorgó su consentimiento efectivo a la entidad denunciada en el tratamiento pone de manifiesto que esta denunciada no ajustó su comportamiento, en el presente caso, a la diligencia que a la actividad profesional que desarrolla debe exigirse, a fin de garantizar el respeto al derecho fundamental a la protección de los datos personales. En consecuencia, se considera infringido el artículo 6.1 de la LOPD. III Asimismo, se imputa a OK MONEY una vulneración del artículo 11.1 de la LOPD, que dispone lo siguiente: “Artículo 11 Comunicación de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  6. a)Cuando la cesión está autorizada en una ley.” Sobre el fundamento jurídico de la cesión de datos (artículo 11.1 de la LOPD) ha incidido el Tribunal Constitucional en su STC 292/2000, en la que se pronuncia en los siguientes términos (Fundamento Jurídico 13ª): “….el derecho a consentir la recogida y el tratamiento de los datos personales (artículo 6 de la LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho a la protección de tales datos. Y por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (artículo 4.2 de la LOPD), supone una nueva posesión y un uso que requiere el consentimiento del interesado. Una facultad que sólo cabe limitar en atención a derechos y bienes de relevancia constitucional y por tanto esté justificada, sea proporcionada y, además se establezca por Ley, pues el derecho fundamental a la protección de datos personales no admite otros límites” Consta acreditado que en fecha 21/12/2016 OK MONEY y INVESTCAPITAL suscribieron un contrato de venta de cartera de crédito entre los cuales se encontraba un crédito a nombre del denunciante por importe 453 €, cediéndose por tanto los datos personales del denunciante (nombre y apellidos y DNI) asociados a una deuda incierta por cuanto OK MONEY no ha acreditado que el denunciante suscribiera el crédito cuyo impago originó la deuda posteriormente cedida a INVESTCAPITAL. Esta comunicación de datos del denunciante no puede ampararse, como alega OK MONEY, en las disposiciones de los artículos 11.2.a, LOPD y 347 del Código de Comercio. A tenor de esos preceptos se dispensa de la obligación que el artículo 11.1 LOPD impone –que exige recabar el consentimiento del titular para comunicar sus datos a un tercero- cuando tal comunicación sea consecuencia de una operación de venta de créditos. En esa hipótesis –cesión o venta de créditos- la única condición exigida es informa al deudor de la cesión y de la identidad del nuevo acreedor. Pero resulta evidente que para que dicha cesión de crédito resulte acorde a dicha normativa es requisito previo la existencia de una deuda asociada a los datos personales del denunciante, lo cual no se verifica en el presente caso toda vez que el denunciante no era deudor de OK MONEY habida cuenta que la entidad no ha podido acreditar que éste suscribió el crédito ya mencionado con dicha entidad, y por tanto no ostentaba ningún derecho de crédito frente a él. Así las cosas, la cesión efectuada por OK MONEY a INVESTCAPITAL, no tenía amparo en los artículos 11.2.
  7. a)de la LOPD en relación con el artículo 347 del Código de Comercio, de modo que para que la comunicación de datos realizada fuera ajustada a Derecho hubiera sido necesario recabar previamente el consentimiento del titular (ex artículo 11.1 LOPD), lo que en ningún caso llegó a producirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 De la exposición precedente concluimos que OK MONEY vulneró el artículo 11.1 de la LOPD al haber comunicado los datos personales del denunciante (nombre, apellidos y domicilio) a una tercera entidad, asociados a una deuda inexistente sin haber recabado con carácter previo el consentimiento a tal comunicación. Consentimiento exigido por el artículo 11.1 de la LOPD, en la medida de que la comunicación de datos no podía ampararse en la excepción del artículo 11.2.a LOPD, en relación con el artículo 347 del Código de Comercio español, pues OK MONEY no era titular de ningún crédito frente al denunciante. IV El artículo 44.3.
  8. b)y
  9. k)de la LOPD considera infracción grave: “
  10. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.
  11. k)“La comunicación o cesión de datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. El principio cuya vulneración se imputa a OK MONEY, el del consentimiento, tanto para el tratamiento, como para la cesión de datos, se configura como principio básico en materia de protección de datos. En este caso, ha incurrido en las infracciones descritas ya que ha vulnerado dicho principio, consagrado en los artículos 6.1 y 11.1 de la LOPD, cuando trató los datos personales del denunciante en sus ficheros sin su consentimiento, y posteriormente los cedió, asimismo sin su consentimiento, a INVESTCAPITAL, datos asociados a una deuda que no le correspondía, hechos que encuentran su tipificación en el artículo 44.3.
  12. b)y
  13. k)de la citada Ley Orgánica. En este punto alega OK MONEY que la presunta cesión inconsentida de los datos del denunciante (art. 11.1 LOPD) deriva necesariamente de la presunta infracción del artículo 6.1 de la LOPD por lo que existe un concurso medial de infracciones siendo de aplicación lo dispuesto en el artículo 29.5 de la LRJSP que dispone que “Cuando de la comisiуn de una infracciуn derive necesariamente la comisiуn de otra u otras, se deberб imponer ъnicamente la sanciуn correspondiente a la infracciуn mбs grave cometida.” En este caso, no procede la aplicación del precepto transcrito, dado que del tratamiento sin consentimiento (infracción del artículo 6.1 de la LOPD) no deriva necesariamente la cesión de los datos sin consentimiento (infracción del artículo 11.1), dado que OK MONEY no se limitó al tratamiento de los datos del denunciante sino que, además, los comunicó a un tercero (INVESTCAPITAL), decisión esta independiente y autónoma del tratamiento anterior y que en modo alguno deriva necesariamente de la primera. Son, por tanto, dos infracciones totalmente diferentes e independientes, sin que la comisión de una de ellas implique necesariamente la comisión de la otra. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 El artículo 45 de la LOPD, apartados 1 a 5 establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 del prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Con respecto a la infracción del artículo 6.1 de la LOPD, tras las evidencias obtenidas en la fase de investigaciones previas, y en la instrucción del procedimiento, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. Operan como circunstancias agravantes de la conducta que se enjuicia: - El apartado
  29. a)“El carácter continuado de la infracción” por cuanto el tratamiento sin consentimiento de los datos del denunciante se verificó desde fecha 13/03/2015 hasta que se cedieron a INVESTCAPITAL MALTA LTD. en fecha 21/12/2016. - El apartado
  30. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - El apartado
  31. g)“Reincidencia en la comisión de infracciones de la misma naturaleza”, habida cuenta que la entidad ha sido sancionada por la AEPD por vulneración del artículo 6.1 de la LOPD al tratar datos personales sin el consentimiento previo de su titular. - El apartado
  32. j)“Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora”. Se encuadra en este apartado, como exponente de una mayor antijuridicidad y culpabilidad de la entidad imputada, el hecho de que el “protocolo” que OK MONEY dice tenía implementado para la identificación de los clientes que contratan con ella a través de internet –protocolo que describe en su respuesta al requerimiento informativo de la AEPD- es absolutamente inconsistente, lo que implica que en la práctica carece de un mecanismo para verificar la identidad de las personas que contratan con ella. Extremo que es especialmente significativo si tenemos en cuenta que todas las operaciones crediticias –que son el objeto de su negocio- se efectúan a través de internet. Por todo ello, se propone la imposición de una sanción por vulneración del artículo 6.1 de la LOPD, en la cuantía de 70.000 euros. Con respecto a la infracción del artículo 11.1 de la LOPD, tras las evidencias obtenidas en la fase de investigaciones previas, y en la instrucción del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. Operan como circunstancias agravantes de la conducta que se enjuicia: - El apartado
  33. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. - El apartado
  34. e)“Los beneficios obtenidos como consecuencia de la comisión de la infracción”, ya que se obtuvo un beneficio por la venta de la deuda asociada a la denunciante. Por todo ello, se propone la imposición de una sanción por vulneración del artículo 11.1 de la LOPD, en la cuantía de 50.000 euros. Se acompaña relación de documentos obrantes en el procedimiento. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a OK MONEY SPAIN, S.L.U., con multa de 70.000 € (setenta mil euros) por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  35. b)de dicha norma. Que por la Directora de la Agencia Española de Protección de Datos se sancione a OK MONEY SPAIN, S.L.U., con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 11.1 de la LOPD, tipificada como grave en el artículo 44.3.
  36. k)de dicha norma. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 24.000 €. Con la aplicación de esta reducción, la sanción quedaría establecida en 96.000 € y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 en relación con el art. 73.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. O.O.O. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 ANEXO Relación de documentos obrantes en el Procedimiento nº.: PS/00124/2018 Se notifica la relación de documentos obrantes en el procedimiento a fin de que pueda obtener las copias de los que estime convenientes, previa solicitud. 1. Denuncia presentada por D. A.A.A.. 2. Notificación a D. A.A.A. de la recepción de su denuncia. 3. Solicitud de información a D. A.A.A. y su acuse de recibo. 4. Escrito de D. A.A.A.. 5. Requerimiento de información a OK MONEY SPAIN, S.L.U. 6. Requerimiento de información KRUK ESPAÑA S.L. 7. Información aportada por OK MONEY SPAIN, S.L.U. 8. Información aportada por KRUK ESPAÑA S.L. 9. Requerimiento de información a OK MONEY SPAIN, S.L.U. 10. Requerimiento de información a KRUK ESPAÑA S.L. 11. Requerimiento de información a EQUIFAX IBERICA, S.L. 12. Información aportada por EQUIFAX IBERICA, S.L. 13. Información aportada por KRUK ESPAÑA S.L. 14. Requerimiento de información a OK MONEY SPAIN, S.L.U. 15. Información aportada por OK MONEY SPAIN, S.L.U. 16. Informe de actuaciones previas de inspección E/5458/2017. 17. Acuerdo de apertura del procedimiento sancionador PS/00124/2018, su notificación a los interesados y acuse de recibo. 18. Escrito de alegaciones de OK MONEY SPAIN, S.L.U. al acuerdo de inicio del procedimiento PS/00124/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 >> SEGUNDO: En fecha 19 de septiembre de 2018, OK MONEY SPAIN, S.L.U. ha procedido al pago de la sanción en la cuantía de 96000 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. FUNDAMENTOS DE DERECHO I Es competente la Directora de la Agencia Española de Protección de Datos para sancionar las infracciones de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la citada norma; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  37. d)e
  38. i)y 38.4 d),
  39. g)y
  40. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento PS/00124/2018, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a OK MONEY SPAIN, S.L.U.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.