← España

PS-00184-2018

1/15 Procedimiento Nº PS/00184/2018 RESOLUCIÓN: R/01645/2018 En el procedimiento sancionador PS/00184/2018, instruido por la Agencia Española de Protección de Datos a la entidad 4 FINANCE SPAIN FINANCIAL SERVICES, S.A.U., vista la denuncia presentada por D. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20/04/2017 tuvo entrada en esta Agencia una denuncia de D. A.A.A. (en adelante el denunciante) en el que declaraba que VIVUS FINANCE, S.A. (en la actualidad 4FINANCE SPAIN FINANCIAL SERVICES, S.A.U., en adelante 4FINANCE) en la que manifiesta que han suplantado su identidad utilizando sus datos personales para solicitar un crédito a 4FINANCE entidad que le ha incluido en un fichero de morosos. Adjunta los siguientes documentos: - Información del fichero asnef a fecha 23/01/2017 que acredita que los datos del denunciante fueron incluidos por 4FINANCE en fecha 20/05/2015 por una salgo impagado de 940 €. Como domicilio del denunciante figura ***DIRECCIÓN.1. - Denuncia presentada ante la Guardia Civil en fecha 24/01/2017 en la que manifiesta que ha al intentar realizar una portabilidad de compañía eléctrica ha tenido conocimiento que figura incluido en el fichero asnef por una deuda contraída con 4FINANCE por el impago de un préstamo personal concedido en fecha 20/05/2015 por la cantidad de 940 €. El nombre, apellidos y DNI incluidos en el fichero asnef son los suyos, no así el domicilio ***DIRECCIÓN.1 que es totalmente desconocido para él. - Ampliación de la denuncia anterior, efectuada en fecha 15/02/2017 en la que manifiesta que ha tenido conocimiento de la existencia a su nombre de la cuenta ***CC.1de ING abierta en fecha 30/01/2015 y que arroja un saldo de 0,30 €. - Carta de fecha 27/01/2017 de 4FINANCE en respuesta a su solicitud de acceso recibida en fecha 26/01/2017 en la cual se le informa que es titular del préstamo nº B.B.B., que los datos personales que obran en sus sistemas son su nombre y apellidos (A.A.A.), DNI (***DNI.1), dirección (***DIRECCIÓN.1), teléfono de contacto (***TLF.1), e-mail (***EMAIL.1), cuenta bancaria (***CC.1), y que a la vista de la documentación aportada (denuncia ante la Guardia Civil) excluyen sus datos personales de ficheros de solvencia en fecha 26/01/2017. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 los Servicios de Inspección de esta Agencia se llevaron a cabo actuaciones de investigación E/2776/2017 teniendo conocimiento de los siguientes hechos: 1. En los sistemas de 4FINANCE constan bloqueados desde 26/01/2017 los siguientes datos personales asociados al denunciante como titular del préstamo nº B.B.B. por importe de 300 € con fecha de alta 12/02/2015 y vencimiento 14/03/2015: - Nombre y apellidos: A.A.A. DNI: ***DNI.1 Dirección: ***DIRECCIÓN.1 Teléfono: ***TLF.1 e-mail: ***EMAIL.1 fecha de nacimiento: ***FECHA.1 cuenta bancaria: ***CC.1 2. El registro de los datos de denunciante en los sistemas de 4FINANCE y la contratación del préstamo se efectuó en fecha 12/02/2015 a través de la web www.vivus.es desde la dirección ***IP.1. La validación de la identidad del usuario registrado se efectuó a través del sistema Instantor verificando con ING la titularidad de la cuenta ***CC.1. 3. 4FINANCE emitió al denunciante factura en fecha 13/03/2015 dirigida a la dirección ***DIRECCIÓN.1 por un crédito por importe de 300 €. 4. 4FINANCE remitió al denunciante las siguientes comunicaciones: - - Fecha 12/02/2015: e-mail dirigido a ***EMAIL.1 en la que se confirma su registro en la web www.vivus.es y se recuerda que debe identificarse para lo cual puede hacerlo mediante banca online o enviando documentación por fax o mail. Fecha 12/02/015: SMS remitido al número ***TLF.1 en el que se informa de un préstamo pre aprobado y se recuerda que debe identificarse para finalizar el proceso. Fecha 12/02/2015: e-mail dirigido a ***EMAIL.1 reiterando la confirmación de registro y necesidad de identificarse. Fecha 12/02/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito ha sido concedido y se ha transferido el importe a su cuenta corriente. Fecha 12/02/015: SMS remitido al número ***TLF.1 informando que el crédito ha sido concedido y se ha transferido el importe a su cuenta corriente. Fecha 11/03/2015: SMS remitido al número ***TLF.1 informando que el crédito vence el 14/03/2015 y posibilidad de ampliar el plazo de pago. Fecha 11/03/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito vence el 14/03/2015 y posibilidad de ampliar el plazo de pago. Fecha 12/03/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito vence el 14/03/2015 y posibilidad de ampliar el plazo de pago. Se adjunta la factura. Fecha 16/03/2015: SMS remitido al número ***TLF.1 informando que el crédito ha vencido, posibilidad de ampliar plazo de pago, y medios de pago. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 - Fecha 16/03/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito ha vencido, posibilidad de ampliar plazo de pago, y medios de pago. Fecha 17/03/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado y se ponga en contacto urgentemente. Fecha 17/03/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado y se ponga en contacto urgentemente. Fecha 20/03/2015: SMS remitido al número ***TLF.1 recordando el plazo de pago se ha excedido en 6 días. Fecha 20/03/2015: e-mail dirigido a ***EMAIL.1 recordando que el plazo de crédito ha expirado y que contacte con urgencia. Fecha 24/03/2015: SMS remitido al número ***TLF.1 recordando el plazo de pago se ha excedido en 10 días. Fecha 24/03/2015: e-mail dirigido a ***EMAIL.1 recordando que el plazo de crédito ha expirado y que contacte con urgencia. Fecha 26/03/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado. Fecha 26/03/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado. Fecha 29/03/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado a pesar de los requerimientos. Fecha 29/03/2015: SMS remitido al número ***TLF.1 instando el pago. Fecha 08/04/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado. Fecha 08/04/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado e instando a que pague. Fecha 14/04/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado a pesar de los requerimientos. Fecha 14/04/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado. Fecha 28/04/2015: e-mail dirigido a ***EMAIL.1 informando que podrán una demanda de reclamación de cantidad correspondiente al crédito impagado. Fecha 28/04/2015: SMS remitido al número ***TLF.1 informando que podrán una demanda de reclamación de cantidad correspondiente al crédito impagado. Fecha 13/05/2015: e-mail dirigido a ***EMAIL.1 en el que se le ofrece la oportunidad de cancelar la deuda para no figurar en ficheros de morosidad. 5. En fecha 03/02/2017 4FINANCE presentó denuncia ante la Policía por un presunto delito de estafa contra la persona que suplantó la identidad del denunciante solicitando como diligencia de investigación que se identifique quien tenía asignada la dirección IP desde la que se cometió la estafa. 6. Los datos del denunciante fueron incluidos en el fichero asnef por 4FINANCE con fecha de alta 20/05/2015 por una salgo impagado de 940 €, datos que fueron dados de baja en fecha 26/01/2017. Como domicilio del denunciante figuró ***DIRECCIÓN.1. TERCERO: Con fecha 18 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a 4FINANCE, por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 presunta infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la LOPD, tipificadas ambas como graves en el artículos 44.3.

  1. b)y c), respectivamente, de la citada Ley Orgánica, pudiendo ser sancionada cada una, con multa de 24.000 euros, de acuerdo con el artículo 45.2, 4 y 5 de dicha Ley Orgánica, sin perjuicio de lo resultante de la instrucción. CUARTO: Notificado el acuerdo de inicio, 4FINANCE mediante escrito de fecha 26/04/2018 reconoció la responsabilidad en la infracción del artículo 4.3 con 29.4 de la LOPD, procediendo en dicha fecha al pago de la cuantía de 14.400 € haciendo uso de las reducciones en el importe de la sanción propuesta (24.000 €) por reconocimiento de responsabilidad (20%) y pago voluntario (20%), lo que implica la terminación del procedimiento respecto de la referida infracción. Por otra parte, alegó la prescripción de la infracción del artículo 6.1 de la LOPD puesto que el tratamiento sin consentimiento del denunciante se produjo en fecha 12/02/2015, y en caso de no admitirse dicha alegación argumenta que en este caso de suplantación de fraude y suplantación de identidad no existe infracción del referido artículo 6.1 de la LOPD ya que la entidad actuó engañada en la certeza de que contaba con el consentimiento. Solicita que se incorpore al expediente como prueba el informe KPMG aportado en el recurso de reposición interpuesto en el PS/479/2016. QUINTO: En fecha 19/07/2018 se emitió propuesta de resolución en el sentido de imponer a 4FINANCE una multa de 24.000 € por la infracción del artículo 6.1 de la LOPD. SEXTO: Notificada la propuesta 4FINANCE efectuó las siguientes alegaciones: 1ª Vulneración de la presunción de inocencia (art, 24.2 CE y 52.2.
  2. b)LPACAP) ya que se rechaza como prueba sin motivación alguna el informe de KPGM, que ayuda a acreditar que el sistema Instantor es un sistema de identificación on-line 0 de clientes admitido por toda Europa por la industria Fintech destinado a verificar la identidad de los solicitantes. Por tanto, se produce la nulidad de pleno derecho del procedimiento (art. 47 LPACAP). 2ª Falta de motivación y exhaustividad en la propuesta de resolución (nulidad de pleno derecho del art. 47 LPACAP): - Se ignora la alegación en la que se explica el contexto en el que ocurrió la infracción imputada y circunstancias posteriores (reunión de marzo de 2017 con la Agencia, revisión por KPGM posterior y la inspección de oficio efectuada por la Agencia y Acta de inspección E/0689/2018/I-1 que se pidió tener en cuenta a efectos probatorios). - No se rebaten las razones por las que en estos supuestos de fraude y suplantación de identidad no ha habido infracción del artículo 6.1 de la LOPD ya que 4FINANCE siempre actuó engañada en la certeza de que contaba con el consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 - Se sigue insistiendo en la propuesta en la imputación de la vulneración del principio de calidad de datos consagrado en el artículo 4.3 de la LOPD cuando 4FINANCE ha reconocido su responsabilidad y abonado la multa propuesta en el acuerdo de inicio respecto a esta infracción. 3ª Nulidad de la presunta prueba practicada consistente en el examen del sistema web de 4FINANCE prescindiendo del procedimiento legalmente establecido ya que no obran en la relación de documentos obrantes en el expediente las supuestas comprobaciones llevadas a cabo. La introducción de la medida adicional antifraude vía SMS fue, precisamente, una de las medidas de prueba que se introdujo en el sistema siguiendo las conversaciones con la dirección de la Agencia en marzo de 2017 para probar su efectividad, sin que, en cualquier caso, dicho sistema de comprobación elimine el riesgo de fraude por cuanto el “riesgo cero” no existe y sin que el hecho que el sistema no existiera en 2015 convierta en negligente a 4FINANCE. 4ª Reitera la alegación de prescripción de la infracción del artículo 6.1 de la LOPD. 5ª Subsidiariamente graduación de la sanción tenido en cuenta como circunstancias atenuantes los criterios del artículo 45.4.a),
  3. c)
  4. e)y f). HECHOS PROBADOS PRIMERO: Con fecha 20/04/2017 tuvo entrada en esta Agencia escrito del denunciante en el que manifiesta que han suplantado su identidad utilizando sus datos personales para solicitar un crédito a 4FINANCE entidad que le ha incluido en un fichero de morosos. SEGUNDO: En los sistemas de 4FINANCE constan bloqueados desde 26/01/2017 los siguientes datos personales asociados al denunciante (y de los que éste únicamente reconoce como propios el nombre y apellidos y DNI) como titular del préstamo ni B.B.B. por importe de 300 € con fecha de alta 12/02/2015 y vencimiento 14/03/2015: - Nombre y apellidos: A.A.A. DNI: ***DNI.1 Dirección: ***DIRECCIÓN.1 Teléfono: ***TLF.1 e-mail: ***EMAIL.1 fecha de nacimiento: ***FECHA.1 cuenta bancaria: ***CC.1 TERCERO: El registro de los datos de denunciante en los sistemas de 4FINANCE y la contratación del préstamo se efectuó en fecha 12/02/2015 a través de la web www.vivus.es desde la dirección ***IP.1. La validación de la identidad del usuario registrado se efectuó a través del sistema Instator verificando con ING la titularidad de la cuenta ***CC.1. CUARTO: 4FINANCE emitió al denunciante factura en fecha 13/03/2015 dirigida a la dirección ***DIRECCIÓN.1 por un crédito por importe de 300 €. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 QUINTO: 4FINANCE remitió las siguientes comunicaciones a la dirección de correo electrónico ***EMAIL.1: - - Fecha 12/02/2015: e-mail dirigido a ***EMAIL.1 en la que se confirma su registro en la web www.vivus.es y se recuerda que debe identificarse para lo cual puede hacerlo mediante banca online o enviando documentación por fax o mail. Fecha 12/02/015: SMS remitido al número ***TLF.1 en el que se informa de un préstamo pre aprobado y se recuerda que debe identificarse para finalizar el proceso. Fecha 12/02/2015: e-mail dirigido a ***EMAIL.1 reiterando la confirmación de registro y necesidad de identificarse. Fecha 12/02/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito ha sido concedido y se ha transferido el importe a su cuenta corriente. Fecha 12/02/015: SMS remitido al número ***TLF.1 informando que el crédito ha sido concedido y se ha transferido el importe a su cuenta corriente. Fecha 11/03/2015: SMS remitido al número ***TLF.1 informando que el crédito vence el 14/03/2015 y posibilidad de ampliar el plazo de pago. Fecha 11/03/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito vence el 14/03/2015 y posibilidad de ampliar el plazo de pago. Fecha 12/03/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito vence el 14/03/2015 y posibilidad de ampliar el plazo de pago. Se adjunta la factura. Fecha 16/03/2015: SMS remitido al número ***TLF.1 informando que el crédito ha vencido, posibilidad de ampliar plazo de pago, y medios de pago. Fecha 16/03/2015: e-mail dirigido a ***EMAIL.1 informando que el crédito ha vencido, posibilidad de ampliar plazo de pago, y medios de pago. Fecha 17/03/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado y se ponga en contacto urgentemente. Fecha 17/03/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado y se ponga en contacto urgentemente. Fecha 20/03/2015: SMS remitido al número ***TLF.1 recordando el plazo de pago se ha excedido en 6 días. Fecha 20/03/2015: e-mail dirigido a ***EMAIL.1 recordando que el plazo de crédito ha expirado y que contacte con urgencia. Fecha 24/03/2015: SMS remitido al número ***TLF.1 recordando el plazo de pago se ha excedido en 10 días. Fecha 24/03/2015: e-mail dirigido a ***EMAIL.1 recordando que el plazo de crédito ha expirado y que contacte con urgencia. Fecha 26/03/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado. Fecha 26/03/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado. Fecha 29/03/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado a pesar de los requerimientos. Fecha 29/03/2015: SMS remitido al número ***TLF.1 instando el pago. Fecha 08/04/2015: SMS remitido al número ***TLF.1 recordando que no se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 - pagado. Fecha 08/04/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado e instando a que pague. Fecha 14/04/2015: e-mail dirigido a ***EMAIL.1 recordando que no se ha pagado a pesar de los requerimientos. Fecha 14/04/2015: SMS remitido al número ***TLF.1 recordando que no se ha pagado. Fecha 28/04/2015: e-mail dirigido a ***EMAIL.1 informando que podrán una demanda de reclamación de cantidad correspondiente al crédito impagado. Fecha 28/04/2015: SMS remitido al número ***TLF.1 informando que podrán una demanda de reclamación de cantidad correspondiente al crédito impagado. Fecha 13/05/2015: e-mail dirigido a ***EMAIL.1 en el que se le ofrece la oportunidad de cancelar la deuda para no figurar en ficheros de morosidad. SEXTO: Los datos del denunciante fueron incluidos en el fichero asnef por 4FINANCE en fecha 20/05/2015 por una salgo impagado de 940 €. Como domicilio del denunciante figura ***DIRECCIÓN.1. SEPTIMO: En fecha 24/01/2017 el denunciante presentó denuncia ante la Guardia Civil en la que manifiesta que al intentar realizar una portabilidad de compañía eléctrica tuvo conocimiento que figuraba incluido en el fichero asnef por una deuda contraída con 4FINANCE por el impago de un préstamo personal concedido en fecha 20/05/2015 por la cantidad de 940 €. El nombre, apellidos y DNI incluidos en el fichero asnef son los suyos, no así el domicilio ***DIRECCIÓN.1 que es totalmente desconocido para él. Amplió la denuncia en fecha 15/02/2017 manifestando que tuvo tenido conocimiento de la existencia a su nombre de la cuenta ***CC.1 de ING aperturada en fecha 30/01/2015 y que arroja un saldo de 0,30 €. OCTAVO: Consta en el expediente carta de fecha 27/01/2017 de 4FINANCE en respuesta a la solicitud de acceso del denunciante recibida en fecha 26/01/2017 en la cual se le informa que es titular del préstamo nº B.B.B., que los datos personales que obran en sus sistemas son su nombre y apellidos (A.A.A.), DNI (***DNI.1), dirección (***DIRECCIÓN.1), teléfono de contacto (***TLF.1), e-mail (***EMAIL.1), cuenta bancaria (***CC.1), y que a la vista de la documentación aportada (denuncia ante la Guardia Civil) excluyen sus datos personales de ficheros de solvencia en fecha 26/01/2017. NOVENO: En fecha 03/02/2017 4FINANCE presentó denuncia ante la Policía por un presunto delito de estafa contra la persona que suplantó la identidad del denunciante solicitando como diligencia de investigación que se identifique quien tenía asignada la dirección IP desde la que se cometió la estafa. DECIMO: Los datos del denunciante fueron incluidos en el fichero asnef por 4 FINANCE con fecha de alta 20/05/2015 por un saldo impagado de 940 €, datos que fueron dados de baja en fecha 26/01/2017. Como domicilio del denunciante figuró ***DIRECCIÓN.1. UNDECIMO: En fecha 26/04/2018 4FINANCE reconoció la responsabilidad en la infracción del artículo 4.3 con 29.4 de la LOPD, procediendo al pago voluntario de la cuantía de 14.400 € haciendo uso de las reducciones en el importe de la sanción propuesta (24.000 €) por reconocimiento de responsabilidad (20%) y pago voluntario C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 (20%). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  5. g)en relación con el artículo 36 de la LOPD. II Con carácter previo y conforme a lo dispuesto en el artículo 77.3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas se rechaza la incorporación como prueba del informe de la entidad KPMG aludido en el escrito de alegaciones de 4FINANCE habida cuenta que su contenido no alteraría el sentido de la resolución del procedimiento por cuanto el mismo se limita a concluir que la entidad debe introducir elementos adicionales a los ya utilizados dentro del proceso de identificación de sus clientes. Alega 4FINANCE que la propuesta vulnera la presunción de inocencia (art, 24.2 CE y 52.2.
  6. b)LPACAP) ya que se rechaza como prueba sin motivación alguna el informe de KPGM que ayuda a acreditar que el sistema Instator es un sistema de identificación on-line de clientes admitido por toda Europa por la industria Fintech destinado a verificar la identidad de los solicitantes, y por lo tanto se produce la nulidad de pleno derecho del procedimiento (art. 47 LPACAP). Debe aclararse a la entidad investigada que el referido informe de KPGM en modo alguno ayuda a acreditar que el sistema Instantor es un sistema de identificación on-line de clientes por cuanto el mismo refleja que KPGM se limita a señalar que 4FINANCE les ha informado que “el mecanismo implementado para identificar al cliente a través de la herramienta proveida por la entidad sueca Instantor AB, ampliamente utilizado a nivel europeo en el sector Fintech y respondería a los estándares de identificación de clientes on-line sectoriales. No obstante, KPGM, no ha realizado ninguna comprobación acerca de este aspecto, ni ha realizado ningún benchmarking comparativo entre posibles herramientas”. Difícilmente puede argumentarse que KPGM ayuda a acreditar que es sistema Instantor es fiable en la identificación de clientes on-line cuándo el informe refleja claramente que la consultoría no ha realizado comprobación alguna sobre este sistema, ni comparativa con otras herramientas, limitándose a reproducir la afirmación de 4FINANCE sobre su idoneidad para tal fin. El referido informe, como ya hemos señalado, se limita a sugerir la adopción de mecanismos de identificación adicionales como pueden ser: la identificación biométrica del cliente través de foto, envío de código adicional al correo electrónico o SMS al teléfono móvil que el cliente debe introducir en un espacio de tiempo determinado, o la aportación de un documento electrónico de identidad que mediante certificado digital acredite la identidad del cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 Por tanto no puede apreciarse la existencia de vulneración de la presunción de inocencia al rechazar el informe de KPGM por cuanto en el mismo no se incluye elemento alguno que permita refutar la inexistencia de consentimiento del denunciante para el tratamiento de sus datos, o de modo más general 4FINANCE acredite la identidad de los clientes que facilitan sus datos al contratar ya que en el referido KPGM se limita a señalar que 4FINANCE le manifiesta la idoneidad del sistema Instante, sobre el cual ellos no han efectuado comprobación o análisis alguno. III Asimismo, y también con carácter previo respecto a la prescripción de la infracción del artículo 6.1 de la LOPD alegada por 4FINANCE debe acudirse al artículo 47 de la LOPD: “Artículo 47. Prescripción 1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor.” Alega 4FINANCE que la infracción se cometió en fecha 12/05/2015 en que se dio de alta en sus sistemas el préstamo asociado a los datos personales del denunciante por lo que ha transcurrido en exceso en plazo de prescripción de dos años establecido para las infracciones graves. La conducta imputada consiste en el tratamiento sin consentimiento de los datos del denunciante, tiramiento que efectivamente se inició en fecha 12/05/2015 y que se mantuvo hasta la menos fecha 26/01/2017 en que los datos fueron bloqueados. En este punto debe recordarse que la LOPD el tratamiento de datos como: “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Así pues, el mantenimiento de los datos del denunciante en los ficheros de 4FINANCE constituye un tratamiento de datos y no se ha acreditado la existencia de consentimiento para ello. Por tanto, no cabe admitir la prescripción alegada por 4FINANCE. Se imputa a 4FINANCE la vulneración del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En el presente caso consta acreditado que en los sistemas de 4FINANCE constan bloqueados desde 26/01/2017 los siguientes datos personales asociados al denunciante (y de los que éste únicamente reconoce como propios el nombre y apellidos y DNI) como titular del préstamo nº B.B.B. por importe de 300 € con fecha de alta 12/02/2015 y vencimiento 14/03/2015: - Nombre y apellidos: A.A.A. DNI: ***DNI.1 Dirección: ***DIRECCIÓN.1 Teléfono: ***TLF.1 e-mail: ***EMAIL.1 fecha de nacimiento: ***FECHA.1 cuenta bancaria: ***CC.1 Así pues, el nombre y apellidos y DNI del denunciante fueron registrados en los ficheros de la empresa y tratados para la suscripción de un préstamo, emisión de factura, gestiones de cobro e inclusión en fichero de solvencia patrimonial y crédito. El tratamiento realizado por parte de 4FINANCE no se ajusta a lo establecido en la LOPD. Para que dicho tratamiento resultara conforme con los preceptos de la LOPD, hubieran debido concurrir en el procedimiento examinado alguno de los supuestos contemplados en el artículo 6 de la Ley mencionada. Por tanto, corresponde a 4FINANCE acreditar que contaba con el consentimiento del denunciante para el tratamiento de sus datos personales y no consta que lo tuviera con posterioridad. Resulta, por tanto, evidente la existencia de, al menos, una falta de la diligencia debida en los hechos imputados por parte de dicha operadora, que trató los datos de la denunciante sin su consentimiento. El sistema web de la entidad prestamista utiliza herramientas informáticas para la obtención de los datos personales del solicitante y la aceptación de las condiciones contractuales anejos a la solicitud, y la ratificación de esta por respuesta de SMS. Igualmente –para verificar la solvencia patrimonial del solicitante- utiliza otra herramienta informatica (Instantor) que obliga al solicitante a acceder a su cuenta bancaria con el nombre de usuario y contraseña que le otorgó su entidad financiera. Una vez que el acceso a los datos que contiene la cuenta bancaria se ha producido por 4FINANCE, está decide si otorga o no el crédito, se lo comunica al solicitante y transfiere el importe solicitado a la cuenta bancaria comprobada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 En el procedimiento sancionador no se ha acreditado la utilización de procedimiento alguno que verifique la identidad de la persona solicitante. Al solicitante para acreditar su identidad le dan la opción de utilizar el sistema Instantor accediendo a su cuenta bancaria con su usuario y contraseña, o remitir copia de su DNI y documento que acredite su cuenta bancaria. En este caso el solicitante optó por el Instantor. Todas las herramientas arriba esbozadas van encaminadas a conocer la solvencia del solicitante en el banco donde está la cuenta designada para la tramitación del préstamo. La verificación de identidad pudo hacerse a través de certificado o DNI electrónicos para una mayor celeridad o con documentos analógicos para trámite más lento –la opción de envío de copia de DNI-. En todo caso el fin ha de ser que solo el titular de los datos personales realice la solicitud o quien (identificado) le represente (documentada la representación) para hacerlo en su nombre. La falta de pruebas que acrediten que la persona denunciante otorgó su consentimiento efectivo a la entidad denunciada en el tratamiento pone de manifiesto que esta operadora no ajustó su comportamiento, en el presente caso, a la diligencia que a la actividad profesional que desarrolla debe exigirse, a fin de garantizar el respeto al derecho fundamental a la protección de los datos personales. Alega 4FINANCE falta de motivación y exhaustividad en la propuesta de resolución (nulidad de pleno derecho del art. 47 LPACAP) argumentando que: - se ignora la alegación en la que se explica el contexto en el que ocurrió la infracción imputada y circunstancias posteriores (reunión de marzo de 2017 con la Agencia, revisión por KPGM posterior y la inspección de oficio efectuada por la Agencia y Acta de inspección E/0689/2018/I-1 que se pidió tener en cuenta a efectos probatorios). En cuanto al informe de KPGM la Agencia se remite a lo señalado sobre el mismo en el fundamento de derecho anterior. Respecto al Acta de inspección E/0689/2018/I-1, y en lo referido a la contratación on-line la misma se limita a reproducir lo ya expuesto por 4FINANCE en este procedimiento (tanto en fase de actuaciones de inspección, como en alegaciones) señalando el sistema Instantor como mecanismo para acreditar la identidad de los clientes. - no se rebaten las razones por las que en estos supuestos de fraude y suplantación de identidad no ha habido infracción del artículo 6.1 de la LOPD ya que 4FINANCE siempre actuó engañada en la certeza de que contaba con el consentimiento. Corresponde a 4FIANANCE acredita el consentimiento de aquel cuyos datos trata, lo que implica estar en condiciones de acreditar que es el titular de los datos el que los aporta para su tratamiento y consiente en el mismo, lo que no se ha verificado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Asimismo, alega la nulidad de la presunta prueba practicada consistente en el examen del sistema web de 4FINANCE prescindiendo del procedimiento legalmente establecido ya que no obran en la relación de documentos obrantes en el expediente las supuestas comprobaciones llevadas a cabo. La introducción de la medida adicional antifraude vía SMS fue, precisamente, una de las medidas de prueba que se introdujo en el sistema siguiendo las conversaciones con la dirección de la Agencia en marzo de 2017 para probar su efectividad, sin que, en cualquier caso, dicho sistema de comprobación elimine el riesgo de fraude por cuanto el “riesgo cero” no existe y sin que el hecho que el sistema no existiera en 2015 convierta en negligente a 4FINANCE. Yerra la entidad en sui argumento por cuanto efectivamente ninguna prueba se ha practicado sobre su sistema informático. La argumentación de la propuesta de resolución tiene su apoyo fáctico en Lam propia información facilitada por 4FINANCE tanto en fase de actuaciones de inspección, como en la instrucción del procedimiento y que acredita que, para la solicitud de un crédito, los datos del denunciante (nombre y apellidos y DNI) fueron registrados en sus sistemas a través de su web www.vivius.es y que el método de utilizado para verificar la identidad del titular de esos datos fue el sistema Instantor, que según manifiesta, obliga al solicitante a acceder a su cuenta bancaria con el nombre de usuario y contraseña que le otorgó su entidad financiera, de tal modo que se desplaza la responsabilidad de acreditar el consentimiento por el titular de los datos (4FINANCE) a otra entidad distinta (entidad bancaria) de aquella que registra y trata los datos para la concesión de un crédito (4FINANCE). En consecuencia, vistos los hechos y fundamentos de derecho se considera infringido el artículo 6.1 de la LOPD. IV El artículo 44.3.
  7. b)de la LOPD, de 4 de marzo, considera infracción grave: “
  8. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. El principio del consentimiento, cuya vulneración se imputa a 4FINANCE, se configura como principio básico en materia de protección de datos, y así se recoge en numerosas Sentencias de la Audiencia Nacional, entre otras, las de fechas 25/05/01 y 05/04/02. En este caso, ha incurrido en la infracción descrita ya que ha vulnerado el principio consagrado en el artículo 6.1 de la LOPD, cuando mantuvo los datos personales de la persona denunciante en sus ficheros sin su consentimiento, hecho que encuentra su tipificación en el artículo 44.3.
  9. b)de la citada Ley Orgánica. V El artículo 45 de la LOPD, establece, en sus apartados 1 a 3 las sanciones previstas para cada uno de los tres tipos de infracción: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  10. a)El carácter continuado de la infracción.
  11. b)El volumen de los tratamientos efectuados.
  12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  13. d)El volumen de negocio o actividad del infractor.
  14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  15. f)El grado de intencionalidad.
  16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» De conformidad con el art. 45.5 LOPD procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, habida cuenta de concurrir la circunstancia recogida en el apartado
  25. b)del referido art. 45.5 de la LOPD, por cuanto una vez recibida en fecha 26/01/2017 la solicitud de acceso del denunciante adjuntando su denuncia ante la Guardia Civil por suplantación de su identidad, al día siguiente (27/01/2017) la entidad bloqueó los datos en sus sistemas y dejó de reclamarle la deuda. Asimismo, procede graduar la sanción propuesta por infracción del artículo 6.1 de la LOOPD, de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 Operan como circunstancias agravantes de la conducta que se enjuicia: - El apartado
  26. a)“El carácter continuado de la infracción” pues los datos personales del denunciante fueron tratados sin su consentimiento desde el 12/05/2015 hasta que fueron bloqueados en sus sistemas en fecha 27/01/2017. - El apartado
  27. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal. Solicita la entidad que se gradúe la sanción tenido en cuenta como circunstancias atenuantes los criterios del artículo 45.4.a),
  28. c)
  29. e)y f). En este punto señalar que los apartados
  30. a)y
  31. c)del artículo 45.4 han sido tomados en consideración sin que quepa atender a lo argumentado por la entidad en el sentido de no considerar el tratamiento sin consentimiento de los datos del denunciante como infracción continuada, sino como vulneración del principio de calidad de datos ya que se trata de infracción distintas (la entidad trató los datos sin consentimiento y además, como decisión independiente de la anterior, los incluyó en un fichero de solvencia). Asimismo, el hecho que el índice de fraude por suplantación de identidad detectado por la entidad sea del 0,0033% no guarda relación alguna con el criterio de graduación que exige espacial diligencia a las entidades cuya actividad (como es el caso de 4FINANCE) está vinculada al tratamiento de datos personales. Respecto a la ausencia de beneficios (art. 45.4.
  32. e)señala la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Por todo ello, procede imponer una sanción por vulneración del artículo 6.1 de la LOPD, en la cuantía de 24.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad 4 FINANCE SPAIN FINANCIAL SERVICES, S.A.U. por una infracción del artículo 6.1 de la LOPD, de la LOPD, tipificada como Grave en el artículo 44.3.
  33. b)de la dicha norma, una multa de 24.000 €, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a 4 FINANCE SPAIN FINANCIAL SERVICES, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  34. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  35. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.