PS-00181-2018

1/11 Procedimiento Nº PS/00181/2018 RESOLUCIÓN: R/01689/2018 En el procedimiento sancionador PS/181/2018, instruido por la Agencia Española de Protección de Datos, a la entidad NBQ TECHNOLOGY SAU (NBQ), vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 06/02/18 y 22/02/18, tienen entrada en esta Agencia, escritos de D. A.A.A., donde denuncia que: “que la empresa DEENERO, utilizando mis datos ha concedido un crédito a una persona que no soy yo y depositando el dinero en una cuenta de la que no soy titular, incluyendo además los datos personales en los ficheros ASNEF y BADEXCUG”. Se aporta, entre otra, la siguiente documentación: a).- Denuncia de los hechos ante la Guardia Civil el 01/02/18. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa NBQ, remite, entre otras, la información que se detalla en la incoación del expediente y en la propuesta de resolución: TERCERO: Con fecha 24/04/18, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad NBQ, por presunta infracción de los artículos 6.1) y 4.3) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.b y

1. c)respectivamente, de dicha norma, pudiendo ser sancionada, cada una de las infracciones, con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica, fundamentándolo en: Respecto de la infracción del artículo 6.1: “la entidad no ha presentado ninguna prueba del consentimiento inequívoco del denunciante en la contratación del crédito, ni ha aportado tampoco prueba alguna que demuestre que articuló los mecanismos necesarios que evitaran el fraude en dicha contratación y que, por tanto, evidenciaran una diligencia debida en el proceso de contratación del crédito, solamente se limita a relatar los protocolos generales y no concretos sobre el denunciante”. Respecto de la infracción del artículo 4.3: “en la documentación presentada por la entidad NBQ, no consta que exista carta de requerimiento previo de pago al denunciante advirtiéndole de su posible inclusión en los ficheros de solvencia si no regulariza la situación; NO aporta certificado de generación, impresión y puesta en el servicio de envío postales del requerimiento previo de pago; NO aporta albarán del servicio de envíos postales referenciado y validado por el organismo y NO aporta el certificado de “NO devolución” del requerimiento previo de pago. Solamente se indica en el escrito que: “La inclusión se realizó en cumplimiento del protocolo de requerimiento previo de pago según los estándares del servicio “Notificación RPP” de la entidad EQUIFAX con el que NBQ tienen contratado dicho servicio”. En cuento a la inclusión de los datos personales en el fichero ASNEF, los mismos fueron dados de alta el 14/01/18 y dados de baja el 05/03/18 (un mes y 22 días después). En el fichero BADEXCUG, los datos personales fueron incluidos el 07/01/18 y dados de baja cautelar, a petición del denunciante, el 02/02/18, sin que la empresa, en ambos casos, haya justificado que dicha inclusión cumpla los requisitos marcados por la LOPD”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia, mediante escrito de fecha 25/05/18, formuló las alegaciones ya indicadas en la propuesta de resolución. QUINTO: Con fecha 30/05/18, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/1096/2018 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/181/2018, presentadas por la representación de la entidad denunciada. SEXTO: Con fecha 17/09/18, se notifica la propuesta de resolución sancionadora consistente en que por parte de la Directora de la Agencia Española de Protección de Datos se sancione a la entidad NBQ TECHNOLOGY SAU., por infracción de los artículos 6.1 y 4.3 de la LOPD, (en relación con el art. 38.1.a del RLOPD), con una multa total de 64.000 (sesenta y cuatro mil euros), 32.000 euros por cada infracción, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS hábiles pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el art 89.2 en relación con el art. 82.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, dicho plazo finalizaría el 01/10/18 SEPTIMO: Con fecha 20/09/18, se recibe en esta Agencia solicitud de la entidad NBQ solicitando ampliación de plazos de alegaciones en 5 días hábiles. Dicha solicitud es admitida siendo el plazo máximo para la realización de alegaciones el 08/10/18. OCTAVO: Notificada la propuesta de resolución, la entidad NBQ, ha presentado, con fecha 08/10/18 escrito, en el periodo concedido al efecto, alegando esencialmente que: PREVIA. — SOLICITUD DE CONFIDENCIALIDAD EN RELACIÓN CON LA INFORMACIÓN QUE CONSTITUYE SECRETO COMERCIAL PARA LA EMPRESA PRIMERA. — SOBRE LA INFRACCIÓN RELATIVA AL (AR' 6.1. LOPD): Tanto las normas de prevención de Blanqueo de Capitales como las normas reguladoras sobre la contratación de créditos al consumo de forma no presencial sólo exigen la acreditación de la identidad mediante una copia del DNI en aquellos casos en que la cantidad a prestar supera los 1.000 €, según el artículo 4 del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba del Reglamento de la Ley 10/2010, de 28 de abril. A nuestro modo de ver, no resulta defendible que se considere automáticamente la ausencia de la debida diligencia por no haber requerido el DNI en el proceso de verificación, cuando, en la actualidad, la tecnología permite contar con otros mecanismos de identificación Apuesta de NBQ por el desarrollo tecnológico del sector y preocupación de la entidad por el uso indebido de los datos de los ciudadanos. Concretos mecanismos de verificación de la identidad aplicados en el proceso de contratación online del Sr. B.B.B.. Aportación del fichero log de aceptación: Sin perjuicio de ello, a simple modo de recordatorio, señalar que, en el proceso de contratación del Sr. B.B.B., se realizaron, entre otras, las siguientes comprobaciones: - Autenticación de la identidad mediante la inserción de un código de verificación que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 el sistema remitió por SMS; El sistema de verificación de la identidad mediante el envío de un código PIN a través de SMS al número de teléfono; a fin de verificar la identidad del solicitante, el sistema asimismo realiza el cargo de 1 € en la tarjeta indicada por el solicitante (como puede comprobarse en el mensaje de confirmación que se aportó en fase de requerimiento de información E/01096/2018). Una vez que el sistema recibió el código de autenticación y la confirmación del cargo en la tarjeta indicada por el solicitante. que permiten comprobar que el teléfono móvil existe y que está en poder del solicitante, y que la cuenta correspondiente a la tarjeta designada efectivamente está activada. se dio de alta al Sr. B.B.B. como cliente. Estos dos sistemas de verificación aportan por si solos un alto grado de autenticidad a los datos introducidos en el formulario. pues en ambos casos las normas reguladoras exigen a las compañías telefónicas identificar suficientemente a los usuarios de las líneas telefónicas y a los titulares de cuentas bancarias, de modo que mediante la investigación del titular de la linea y de la cuenta utilizada, la policía puede localizar al verdadero solicitante del crédito. En este sentido, una vez verificado el e—mail, el solicitante recibió un correo electrónico de confirmación de la validez de esa cuenta en el que se le adjuntaba un link al contrato que debía clicar y aceptar para poder recibir el dinero del préstamo (véase documento nº 2 del requerimiento de información E/01098/2018 y documento nº 5 de las alegaciones al Inicio de Procedimiento Sancionador). Asimismo, es importante destacar que una de las evidencias técnicas que demuestran que efectivamente el solicitante aceptó el contrato de crédito y, en consecuencia, que éste CONSINTIÓ y otorgó su CONSENTIMIENTO en los términos dispuestos en la normativa vigente sobre protección de datos. es el fichero LOG de aceptación de las condiciones contractuales del crédito a nombre del Sr. A.A.A.. En este sentido, este fichero LOG de aceptación de las referidas condiciones contractuales del crédito se crea y se genera en los sistemas de NBQ cuando el solicitante. en el proceso de contratación online del crédito. hace "click” de forma expresa en la casilla o "check box” de aceptación del contrato que se incluye en el propio formulario de contratación que NBQ pone a disposición de los solicitantes de créditos. En este preciso momento, el solicitante lo que está haciendo mediante el citado “click" es aceptar las condiciones del contrato otorgando su con5entimiento para ello v para el tratamiento de sus datos personales a los efectos establecidos en la nomativa vigente sobre protección de datos personales. En consecuencia. esta es la prueba clara de la aceptación expresa por parte del solicitante de las condiciones contractuales del crédito. En este sentido si ponemos en relación todas y cada una de las gestiones que técnicamente se realizan por parte de NBQ. A título de ejemplo. Expediente Nº: E/02471/2017, y en un proceso de alta online en una empresa de apuestas, la AEPD estableció el nivel de diligencia en el cumplimiento de la normativa sectorial del juego, sin exigir la petición de una copia del documento de identidad del solicitante para operar y apostar en la página web. En todos los supuestos citados, aun habiendo quedado probada la comisión del fraude, se terminó considerando que no se había infringido lo dispuesto en el artículo 6.1 de la LOPD, aunque, insistimos, en ninguno de estos supuestos los filtros aplicados fuesen, a nuestro entender. más garantistas, que los aplicados por NBQ. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 SEGUNDA. -— SOBRE LA INFRACCIÓN RELATIVA ART. 4.3. LOPD: En el trámite de alegaciones al Inicio del presente Procedimiento Sancionador, NBQ ya justificó y aportó toda la documentación acreditativa de haber enviado el requerimiento previo de pago que debe remitirse al usuario antes de incluirlo en los ficheros de morosidad. a la dirección contractual facilitada por el solicitante en el formulario de contratación, y a través del servicio contratado "Notifica RP” con Equifax, incluyendo el certificado emitido por EQUIFAX de la no devolución de dicha comunicación remitida al domicilio del solicitante. NBQ obró, en consecuencia, en todo momento de buena fe, habiendo actuado con diligencia al comunicar los datos del usuario a los ficheros de solvencia patrimonial, por cuanto se cumplieron todos los requisitos legales para comunicarle la citada inclusión. En consecuencia. se dio escrupuloso cumplimiento a los requisitos legalmente exigidos -atendiendo a lo di5puesto en el Artículo 38 del RD 1720/2007 (RLOPD)— esto es, que la deuda fuera vencida, líquida y exigible y que se hubiese requerido previamente el pago. NBQ no tuvo conocimiento de reclamación alguna efectuada directamente por el Sr. B.B.B.. sino que tuvo conocimiento del presunto fraude a través de la entidad EQUIFAX quien le remitió una copia de la denuncia interpuesta por el Sr. A.A.A. y del derecho de cancelación por éste ejercitado ante dicha entidad, por lo que cuando NBQ remitió los datos del Sr. B.B.B. a los ficheros de morosidad no tenía ningún indicio de que pudiese existir ninguna anomalía en la contratación. Además, tan pronto como NBQ tuvo conocimiento del presunto fraude, de forma inmediata, diligente y sin demora alguna, procedió a calificar el préstamo en cuestión, formalizado a nombre del Sr. B.B.B., como fraude a todos los efectos, bloqueando cualquier tratamiento que con los datos del citado afectado pudiese llevarse a cabo y solicitando la baja en los dicheros de solvencia patrimonial y crédito a los que había comunicado la deuda. TERCERA. - SOLICITUD DE GRADUACIÓN DE LA SANCIÓN Sin perjuicio de que consideramos que el presente expediente debería quedar archivado, queremos solicitar que, en todo caso, se proceda a aplicar el principio de proporcionalidad y a graduar la sanción propuesta imponer a NBQ. A tal efecto, en la propuesta de resolución, la AEPD, en atención a lo estipulado en el articulo 45.5
2. b)de la LOPD, aplica la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por NBQ a la hora de regularizar la situación irregular del afectado. Sin embargo, aun aplicando la sanción de la escala relativa a las infracciones leves, la AEPD propone sancionar los hechos con una multa total de 64.000 euros, lo que no nos parece ajustado al principio de proporcionalidad, especialmente por la ausencia total de intencionalidad en la comisión de la infracción por parte de NBQ. En efecto, tal y como se ha expuesto y acreditado, NBQ es una “Fintech” que desarrolla su actividad valiéndose de las últimas tecnologías existentes para poner en el mercado servicios financieros innovadores, orientados a mejorar la eficacia de los procesos tradicionales y a mejorar la experiencia de los usuarios, asi como los costes tradicionalmente asociados, lo que consigue, además, aplicando todos los mecanismos de seguridad y diligencia para evitar el uso fraudulento de los datos de sus usuarios. Mecanismos de identificación de la identidad de los solicitantes. además. que según lo que se ha expuesto y probado en este escrito, en ningún caso resultan menos eficaces que los aplicados en otros procesos que han merecido el archivo por parte de la AEPD, lo que nos coloca en una situación de desventaja competitiva y resulta contrario al desarrollo de la economía digital en España, además del perjuicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 directo de tener que hacer frente a una importante sanción para la cuenta de explotación de una entidad como NBQ. Respecto a esa ausencia total de intencionalidad en la comisión de los hechos que se nos imputan y, no habiendo tenido ocasión de contactar directamente con el Sr. B.B.B. al no haberse dirigido éste en ningún caso a NBQ para denunciar los hechos, es por lo que. con fecha 08 de octubre de 2018 se le ha remitido una carta en la que. además de facilitar1e todo tipo de explicaciones acerca de lo ocurrido, se le informa acerca de las medidas adoptadas por NBQ para evitar que pueda repetirse en el futuro. Se acompaña. como ANEXO Nº 2, copia de la referida carta. HECHOS PROBADOS De la información y documentación presentada por las partes, han quedado constatados los siguientes puntos: A).- Respecto de los acontecimientos acaecidos en la contratación del crédito: 1º.- El 20/09/17, a través de la página web www.quebueno.es, se solicita un crédito de 225 euros, a nombre del Sr. B.B.B., a devolver en un solo pago el 29/09/17. Llegado el día de vencimiento, la devolución del crédito no tuvo lugar. 2º.- El 13/12/17, NBQ envió carta de requerimiento previo de pago a la dirección contractual facilitada en el formulario de contratación. Se aporta el certificado emitido por SERVINFORM. S.A., en el que se acredita el envío de la comunicación individualizada; se aporta el albarán de entrega debidamente sellado y validado por el servicio de Correo y se adjunta acreditación de la no devolución emitida por la entidad EQUIFAX. 3º.- El 04/01/18, los datos personales del Sr. B.B.B., fueron incluidos en el fichero ASNEF, dados de baja del mismo el 05/03/18. 4º.- El 07/01/18, los datos personales del Sr. B.B.B., fueron incluidos en el fichero BADEXCUG y dados de baja del mismo el 12/02/18. 5º.- El 01/02/18, el Sr. B.B.B., denuncia ante la Guardia Civil “que la empresa DEENERO, utilizando mis datos ha concedido un crédito a una persona que no soy yo y depositando el dinero en una cuenta de la que no soy titular, incluyendo además los datos personales en los ficheros ASNEF y BADEXCUG. 6º.- El 05/02/18, El Sr. B.B.B., remite a EXPERIAN, solicitud de cancelación de sus datos en el fichero BADEXCUG. 7º.- El 12/02/18, EXPERIAN comunica al Sr. B.B.B., que ha procedido a la baja de sus datos personales del fichero BADEXCUG, informados por NBQ 8º.- El 23/02/18, El Sr. B.B.B., remite a EQUIFAX, solicitud de cancelación de sus datos en el fichero ASNEF. 9º.- El 05/03/18, EQUIFAX comunica al Sr. B.B.B., ha procedido a la baja de sus datos personales del fichero ASNEF informados por NBQ. 10º.- NBQ indica que no tuvo conocimiento de la reclamación del presunto fraude hasta que la entidad EQUIFAX informó de dicha situación el 26/02/17, e indica que cuando tuvo conocimiento del presunto fraude procedió a bloquear la operación y los datos personales, marcándola en el sistema con la etiqueta de "fraud'. B).- Respecto de las operaciones realizadas en la contratación, NBQ aporta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 1º.- NBQ aporta los datos que se registraron durante el proceso de contratación del crédito a través del formularlo de recogida de datos incluido en el sitio web www.quebueno.es. 2º.- NBQ aporta información sobre la “Máquina de riegos (CRE)”, y explica los servicios en que se basa: Servicio PERSONA; Servicio DEVICE; Servicio CONECTED DEVICE; Servicio CC HOLDER SCORE y Servicio EMAIL MATCHER 3º.- NBQ aporta información sobre el “Behavíoural (comportamiento)”, que analiza la interacción del usuario durante la cumplimentación del formulario de contratación. En este sentido se aporta la información que el usuario cumplimenta como por ejemplo: el campo del código PIN que se generó ***PIN.1 y que se envió al solicitante al número de teléfono indicado en el formulario, para que pudiera incluirlo en el formulario de contratación, o el dato del equipo de expedición del DNI. 4º.- NBQ aporta los emails que el formulario de contratación genera y entre los que se encuentra el email que se envía al usuario a la dirección electrónica indicada en el formulario, bajo el asunto: “Solicitud aprobada, revisa y acepta las condiciones particulares del contrato” y se incluye un enlace con las “condiciones particulares" del crédito que el cliente debe expresamente. En este sentido, se aporta la trazabilidad de la información correspondiente al email: 5º.- NBQ aporta los SMS que se generan y son remitidos a los usuarios al número de teléfono indicado en el formulario, que solicitan un crédito a través del formulario de contratación, entre los que se encuentra el enviado con el código PIN que posteriormente debe introducir en el formulario para continuar con su solicitud de crédito. Dicho código fue enviado, recibido correctamente en el teléfono móvil indicado en el formulario de contratación y a su vez incluido también correctamente en dicho formulario. 6º.- NBQ indica que no solicita a sus clientes copia del documento acreditativo de identidad, DNI o pasaporte, para llevar a cabo la contratación, acogiéndose a los indicado en la Ley 16/2011 de 24 de junio que regula la concesión de crédito al consumo y al Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, en su artículo 4. Tampoco consta contemplado que haya protocolo de comprobación del número de teléfono y dirección de email indicado en el formulario de solicitud 7º.- La descripción completa del proceso de contratación se aporta como anexo. En ese documento se identifican todos los pasos que un usuario debe seguir así como todos los campos con datos que debe cumplimentar para poder solicitar el préstamo. Para verificar la identidad del solicitante NBQ utiliza los mecanismos establecidos en el documento denominado "Proceso de Identificación de Clientes“. Dicho documento, ha sido puesto a disposición de la AEPD en el marco del Plan de Inspección Sectorial que la AEPD está actualmente realizando a las entidades que conceden préstamos. C).- Respecto del Requerimiento Previo realizado antes de la inclusión de los datos personales del denunciante en los ficheros de solvencia patrimonial: 1º.- Copia de la carta, fechada el 13/12/17 (referencia NT17120269201) que remite la entidad NBQ, a través de la entidad EQUIFAX IBÉRICA, al denunciante a la dirección indicada en el formulario y en la que se reclama el pago de la deuda contraída por importe de 393,70 euros y se advierte de que sus datos podrían incluirse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago, dando un plazo de 15 días para que regularice la situación. 2).- Aporta certificado expedido por EQUIFAX IBÉRICA que acredita la generación, impresión y puesta en el servicio de envíos postales de la carta de requerimiento de pago dirigida a la denunciante a su dirección. Certifica que no existe constancia de que sobre dicha carta se haya recibido su devolución. 3).- Aporta copia acreditativa del gestor postal CORREOS en el que figura la remisión de las cartas con fecha 15/12/17, en nombre de NBQ, sin individualizar una referencia a la carta de la denunciante, validado por el gestor postal. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a NBQ, que ha quedado reflejada en los hechos declarados probados arriba relatados. NBQ, es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia relacionados con los artículos 6.1 y 4.3 de la LOPD, donde se establece la necesidad de que los datos personales tratados y que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En el presente caso, la entidad NBQ aporta protocolo implementado para validar la identidad del cliente que accede a su página web, entre los que se encuentra, por ejemplo, el envío de SMS con el código de identificación, o el email con el link para aceptar las condiciones de contratación. Además, y según indica la entidad NBQ, la descripción completa del proceso de contratación ha sido puesto a disposición de la AEPD en el marco del Plan de Inspección Sectorial que la AEPD está actualmente realizando a las entidades que conceden préstamos, pero en este caso eso no significa que no haya existido infracción por parte de la entidad a la LOPD. El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6 LOPD). NBQ aporta los campos que fueron solicitados en el formulario de contratación para ser cumplimentados con los datos del Sr. B.B.B. e indica que los mismos fueron cumplimentados efectivamente con los datos personales del solicitante en el formulario de contratación, pero no acredita que dichos datos fueron aportados por el propio Sr. B.B.B. o con su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 NBQ también aporta información sobre la “Máquina de riegos (CRE)”, y explica los servicios en que se basa o aporta la información que el usuario cumplimenta como el campo del código PIN que se genera, en este caso el nº ***PIN.1 y que se envía al solicitante para que pudiera incluirlo en el formulario de contratación, o el dato del equipo de expedición del DNI, pero nada acredita con ello la entidad NBQ, ya que el código generado y enviado a un número de teléfono, no justifica que haya sido el proporcionado por el Sr. B.B.B., ni tampoco la inclusión del en el formulario del número del equipo de expedición del DNI del cliente, ya que no se relaciona mediante ningún algoritmo con el nombre o con número identificativo del DNI. Se aportan también los emails que el formulario de contratación genera y entre los que se encuentra el email que se envía al usuario bajo el asunto: “Solicitud aprobada, revisa y acepta las condiciones particulares del contrato” y se incluye un enlace con las “condiciones particulares" del crédito que el cliente debe expresamente. En este sentido, se aporta la trazabilidad de la información correspondiente al email pero con ello no acredita que el email al cual se envía la información sea el proporcionado por el Sr. B.B.B., pudiendo ser cualquier otro, como pudiera haber sido el suministrado por la persona que realiza la contratación con los datos del Sr. B.B.B.. Se aportan los SMS que se generan y son remitidos a los usuarios que solicitan un crédito a través del formulario de contratación, entre los que se encuentra el enviado con el código PIN que posteriormente debe introducir en el formulario para continuar con su solicitud de crédito. Dicho código fue enviado, recibido correctamente en el teléfono móvil indicado en el formulario de contratación por el denunciante y a su vez incluido también correctamente en dicho formulario, pero nada acredita que el número de teléfono indicado en el formulario fuera el del Sr. B.B.B., pudiendo ser cualquier otro, como el de la persona que realiza la contratación con los datos del Sr. B.B.B. No obstante, se constata la falta de diligencia de NBQ al tiempo de la contratación de los servicios controvertidos por cuanto no ha aportado prueba alguna que acredite la identidad e identificación de la persona solicitante como la titular del dato personal. Identidad que pudo hacerse por el DNI en formato físico o electrónico o certificado electrónico sustitutorio (previsto en la página web de la compañía). Por otra parte, NBQ aporta, en el periodo de alegaciones a la incoación del expediente, copia de la carta de requerimiento previo de pago que remite, el 13/12/17 al denunciante, a la dirección que posee en su base de datos; aporta certificado expedido por EQUIFAX IBÉRICA que acredita la generación, impresión y puesta en el servicio de envíos postales de la carta de requerimiento de pago dirigida al denunciante a su dirección; certifica que no existe constancia de que sobre dicha carta se haya producido su devolución y aporta copia del documento acreditativo del gestor postal CORREOS en el que figura la remisión de la carta, en nombre de NBQ, sin individualizar y validada por el gestor postal. Los datos del Sr B.B.B. son incluidos en el fichero de solvencia patrimonial ASNEF y BADEXCUG el 04/01/18 Y 07/01/18, respectivamente, 22 días después del envío del requerimiento previo de pago. Cuando la entidad NBQ tiene conocimiento de la reclamación del denunciante, a través de EQUIFAX, el 03/03/18, procede a regularizar la situación y a resolver el contrato del crédito, dando de baja datos personales del denunciante del fichero ANEF el 05/03/18. La baja de los datos personales del fichero BADEXCUG fue realizada el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 12/02/18, como consecuencia del derecho de cancelación de los mismos, ejercido el 02/02/18, por el propio Sr. B.B.B. ante dicho fichero. No obstante, aunque la entidad NBQ acredita el envío de la carta de requerimiento previo de pago al denunciante, a la dirección que posee en su base de datos cumpliendo los requisitos establecidos legalmente, al haberse acreditado la infracción del artículo 6.1 por un tratamiento inadecuado de los datos personales del denunciante en la contratación fraudulenta de un crédito a su nombre imposibilita, per se, la inclusión de los datos personales en los ficheros de solvencia patrimonial y crédito atendiendo a lo establecido en el artículo 38.1.
3. a)del RLOPD, donde se indica: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero”. III Respecto de la infracción cometida del artículo 6.1 de la LOPD, se atiende a lo estipulado en el artículo 45.5.
5. b)de la LOPD, donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude procede a catalogar la operación como fraudulenta y a dar de baja los datos del denunciante del fichero de solvencia y crédito ASNEF. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: a).- El carácter continuado de la infracción, al estar los datos del denunciante gestionado por la empresa desde el 29/09/17 hasta el 05/03/18 (5 meses), sin su consentimiento, (apartado 4.a). b).- Por la vinculación de la empresa NBQ con la realización de tratamientos de datos de carácter personal, (apartado 4.c). c).- Por el volumen de negocio o actividad del infractor (apartado d). d).- El protocolo utilizado por la empresa NBQ al realizar el tratamiento de los datos de carácter personal en el proceso de alta, no garantiza la identificación del cliente, por lo que es susceptible de producir situaciones de fraude (apartado j, agravado). El balance de las circunstancias contempladas en el artículo 45 de la LOPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 de la LOPD, permite fijar una sanción de 32.000 (treinta y dos mil euros). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 IV Respecto de la infracción cometido del artículo 4.3 de la LOPD, se atiende a lo estipulado en el artículo 45.5.
6. b)de la LOPD, donde se desarrolla la aplicación de la sanción en la escala inmediatamente inferior a la gravedad estipulada, por la diligencia demostrada por la entidad a la hora de regularizar la situación irregular del afectado, ya que cuando se tiene conocimiento de la reclamación por fraude el 26/02/18, la empresa procede a dar de baja los datos del denunciante del fichero ASNEF con fecha 05/03/18. Por otra parte, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el art. 45.4 de la LOPD: a).- El carácter continuado de la infracción, al estar los datos incluidos en el fichero ASNEF desde el 14/01/18 hasta el 05/03/18 (un mes y 22 días después) y en el fichero BADEXCUG, desde el 07/01/18 hasta el 02/02/18, (apartado 4.a agravado). b).- Por la vinculación de la empresa NBQ con la realización de tratamientos de datos de carácter personal, (apartado 4.c). c).- Por el volumen de negocio o actividad del infractor (apartado d). d).- En este punto hay que recordar la doctrina que en la sentencia dictada por AN el 16/02/02 (recurso 1144/1999), donde recoge que: “... la inclusión equivocada o errónea de una persona en el registro de morosos, es un hecho de gran trascendencia de la que se pueden derivar consecuencias muy negativas para el afectado, en su vida profesional, comercial e incluso personal, que no es necesario detallar. En razón a ello, ha de extremarse la diligencia para que los posibles errores no se produzcan, (...)”, (apartado h). e).- En el presente caso concreto, se da además la circunstancia de que la inclusión como moroso del denunciante se realiza en dos ficheros comunes de solvencia, lo que supone un “mayor campo de difusión” de dicha condición y con ello del perjuicio causado (sentencia de la AN 18/05/2017; recurso 53/2016), (apartado f). Como criterios atenuantes, se deben considerar la NO reincidencia por comisión de infracciones de la misma naturaleza de la entidad denunciada (apartado 4.
7. g)del mismo artículo 45.4 de la LOPD. El balance de las circunstancias contempladas en el artículo 45 de la LOPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 4.3 de la LOPD, en relación con el artículo 38.1.
8. a)del RLOPD, permite fijar una sanción de 32.000 (treinta y dos mil euros). V Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 PRIMERO: IMPONER a la entidad NBQ TECHNOLOGY SAU, una sanción de 64.000 EUROS (SESENTA Y CUATRO MIL EUROS) por infracción de los artículos 6.1 y 4.3 de la LOPD, (32.000 euros por cada infracción), de conformidad con lo establecido en el artículo 45 de la citada Ley. SEGUNDO: NOTIFICAR la presente resolución a NBQ TECNOLOGY SAU. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
9. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es