← España

PS-00196-2024

1/19  Expediente N.º: EXP202310007 (PS/00196/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 5 de junio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra KVIKU SPAIN, S.L. con NIF B09804295 (en adelante, KVIKU). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, tras solicitar un préstamo en el sitio web crezu.es en el momento de firma online, se carga la web kviku.es, ingresando un importe de dinero no solicitado en su cuenta bancaria. Señala que al día siguiente procede a la devolución de la deuda con los intereses requeridos, remitiendo a KVIKU información relativa a la deuda abonada y solicitando la supresión de sus datos personales, respondiéndole que debe proceder al pago o en caso contrario se incluirán sus datos en sistemas de información crediticia. Junto a su reclamación aporta justificante de pago de 1 de septiembre de 2022, denuncia presentada en un Juzgado de Guardia de ***LOCALIDAD.1 de 15 de octubre de 2022, correos de reclamación de deuda posteriores enviados por la reclamada y auto de sobreseimiento provisional de noviembre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a KVIKU, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 1 de agosto de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 16 de agosto de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 5 de septiembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 Respecto a crezu.es o La página web crezu.es incluye sendos enlaces a los “Términos y Condiciones” y a la “Política de Privacidad”. o Consta en los Términos y Condiciones lo siguiente: “El fin de esta Web es recopilar las ofertas de préstamos online, dar información sobre las ofertas del mercado y elegir la mejor oferta para Usted. El uso de esta Web (www.crezu.

  1. es)es gratuito. Los proveedores de préstamos pagan a Fininity Ltd. por el servicio de envío los solicitudes y datos de clientes. La Web no proporciona préstamos sino recopila y compara las ofertas de terceros. La Web muestra los enlaces desde esta Web a sitios web de terceros únicamente con fines informativos. No nos hacemos responsables de su contenido, ya que no comprobamos estos sitios web y ellos no pertenecen a nosotros. Fininity Ltd. también recopila todos los datos relativos de usted y los proporciona a los proveedores de préstamos de Crezu via API para encontrar mejor oferta para usted. Fininity Ltd. no es capaz de reenviar información crediticia sobre usted y sobre el préstamo que desea recibir, a menos que rellene todas las casillas del formulario de la solicitud y clique el botón.” Respecto a la solicitud de supresión de los datos personales o La parte reclamante manifiesta que solicitó un crédito, pero le fue ingresada una cantidad distinta a la solicitada, por lo que procedió a su devolución. Aporta copia de documentación justificativa del ingreso en su cuenta de una cantidad y de la devolución de esta. o Aporta copia de un correo electrónico de fecha 1 de septiembre de 2022, dirigido a varios destinatarios incluido support@kviku.es, dirección de correo que consta en la política de privacidad de kviku.es como medio para ejercer los derechos de protección de datos. El contenido del correo informa de que ha procedido a la cancelación del crédito y solicita la supresión de sus datos de carácter personal. Aporta copia de un correo electrónico de fecha 23 de octubre de 2022 remitido desde support@kviku.es a la parte reclamante requiriendo el pago de la deuda. o No consta que la deuda haya sido incluida en ficheros de información de solvencia patrimonial y crédito. o Aporta copia del Auto de Sobreseimiento Provisional del Juzgado de Instrucción Número X de ***LOCALIDAD.1, Auto dictado como consecuencia de las Diligencia Previas iniciadas por la denuncia interpuesta por el aquí reclamante por los mismos hechos aquí reclamados. El procedimiento se sobresee por irrelevancia penal. o Respecto a la conservación de los datos del interesado, en la política de Privacidad publicada en la página web kviku.es consta lo siguiente: “KVIKU mantendrá los datos proporcionados mientras no se solicite su supresión por el interesado incluso cuando la solicitud de préstamo no haya sido aceptada, con la finalidad de evitar duplicidades en el estudio de nuevas solicitudes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 - Con fecha de 8/11/2023, se solicitó al reclamado mediante notificación electrónica, información y documentación con objeto de aclarar los hechos denunciados, resultando expirado por no haber sido retirada por el destinatario. Con fecha 20/11/2023 se solicitó al reclamado mediante notificación postal información y documentación con objeto de aclarar los hechos denunciados, siendo entregado a su destinatario con fecha 5/12/2023, según consta en el acuse de recibo del servicio de correos. No se ha recibido respuesta de este requerimiento, por lo que con fecha de 13/3/2024 fuer reiterado el requerimiento mediante notificación postal, entregado a su destinatario con fecha de 21/3/2024, sin que se haya obtenido respuesta. QUINTO: Con fecha 2 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 5.1.
  2. e)del RGPD, tipificada en el artículo 83.5.
  3. a)del RGPD, y por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.
  4. b)del RGPD. En dicho Acuerdo de Inicio se le indicaba a KVIKU que tenía un plazo de diez días para presentar alegaciones. Este Acuerdo de Inicio, que se notificó el 19 de septiembre de 2024 a KVIKU conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), como consta en el acuse de recibo que obra en el expediente. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de KVIKU. El artículo 64.2.
  5. f)de la LPACAP -disposición de la que se informó a KVIKU en el acuerdo de inicio del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a KVIKU y la sanción que podría imponerse. Por ello, tomando en consideración que KVIKU no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  6. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta la celebración de un contrato entre KVIKU y la parte reclamante (pág. 23 del expediente), bajo el título “Condiciones individuales del Contrato de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Préstamo al Consumidor № (...) de 01- Sep-2022 país”, en el que se detalla lo siguiente: “Kviku Global Ltd (número de registro 2002071), en adelante el "Prestador", por un lado, envía una propuesta para celebrar un Contrato de crédito al consumidor en las condiciones que se detallan a continuación, A.A.A., (…) en adelante “Prestatario”, acepta la oferta para concluir un acuerdo de préstamo al consumidor en las siguientes condiciones: 1. Monto del préstamo o límite del crédito y cómo cambiarlo. ***CANTIDAD.1 […] 16. ¿A dónde se depositan los fondos? A la cuenta bancaria del Prestatario ***CUENTA.1 […]” SEGUNDO: Consta una serie de movimientos bancarios (pág. 5 del expediente) realizados en la cuenta de la parte reclamante. La imagen de la web www.bbva.es contiene los “Últimos movimientos” de la cuenta bancaria con número ***CUENTA.1. De estos movimientos, con fecha “1 de septiembre”, existe una transferencia recibida de “Trustly group ab” por un importe de ***CANTIDAD.1. TERCERO: Según imagen de la web KVIKU (pág. 5 del expediente), en una sesión del usuario “A.A.A.”, en el submenú “Mis prestamos”, puede comprobarse que, del “Contrato (...)”, con estado “Expedido”, consta la siguiente información: (…) Información de pago: Fecha de pago: (…) Monto total, €: ***CANTIDAD.1 Forma de pago: Banca en línea Estado del pago: Pagado” CUARTO: De la documentación aportada por la parte reclamante junto a la reclamación, se constata el intercambio de mensajes de correo electrónico entre KVIKU y la parte reclamante que se reproducen a continuación: Con fecha 1 de septiembre de 2022, a las 19:53 horas (pág. 17 del expediente), desde el correo electrónico ***EMAIL.1, dirección que pertenece a la parte reclamante según consta en la reclamación presentada ante esta Agencia, se envió un correo electrónico, entre otras a las direcciones “support@kvivu.es”, “contacto@crezu.es” y “support@trustly.com”, con el asunto “CANCELACIÓN TOTAL PRÉSTAMO KVIKU NÚMERO (...)” y el siguiente mensaje: “Buenos días, Contrato Kviku Adjunto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 A través de la web crezu.es solicité un préstamo (…) y devolución en 90 días, la web hizo una serie de redirecciones, hasta la web de kviku.es, y se me aceptó el crédito, en mi cuenta bancaria he recibido una transferencia de ***CANTIDAD.1 del ordenante TRUSTLY GROPU AB, lo cual me aleja más de la primera web crezu.es y me lleva a total confusión. Al haber una serie de cambios, que no me dan confianza, voy a solicitar a mi banco donde se ha hecho el ingreso de ***CANTIDAD.1, la devolución del mismo y solicito, la cancelación de todos los préstamos, relacionados con Kviku, Crezu y Trustly Group AB, así como el borrado legal de todos mis datos. Gracias y saludos A.A.A.” Con fecha 6 de septiembre de 2022, a las 16:42 horas (págs. 43 y 44 del expediente), desde el correo “contactus@trustly.com”: “Hola A.A.A., Gracias por usar Trustly. Por supuesto, podemos investigar esto por usted. Sin embargo, para que podamos investigar y proporcionar información, se requiere verificación. Envíenos un comprobante de pago o una captura de pantalla que muestre todo lo siguiente: - Nombre del titular de la cuenta - Cantidad - Fecha de transferencia - Número de la cuenta receptora - Número de cuenta remitente - Número de referencia El texto que haya copiado/pegado o escrito usted mismo no se acepta como comprobante de pago. Los formatos aceptados son pdf, png y jpeg. Esta información es fácilmente accesible en su Banco Online al elegir la vista detallada de la transacción específica (puede variar ligeramente entre diferentes bancos). Por lo general, también habrá una opción para "Imprimir/Descargar como PDF". Gracias de antemano. Saludos, B.B.B. Payment Support Agent” Ese mismo día, a las 21:15 horas (pág. 43 del expediente), desde el correo “***EMAIL.1” se envía un mensaje a “contactus@trustly.com”, con el siguiente contenido: “Buenos días, No estoy conforme con nada desde el principio. Me daría más confianza hablar, por teléfono con una persona responsable, antes de enviar más datos. A.A.A..” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 Con fecha 7 de septiembre de 2022 (página 31 del expediente), desde el correo “contactus@trustly.com” se remite el siguiente correo a la parte reclamante: “Hola A.A.A., Gracias por contactarnos, lamentablemente no ofrecemos soporte telefónico en este momento. Actualmente solo podemos ayudar a través de correo electrónico. Gracias de antemano por su cooperación, esperamos tener noticias suyas. Saludos, B.B.B. Payment Support Agent” Con fecha 11 de septiembre 2022 (página 31 del expediente), desde el correo “***EMAIL.1” se envía un mensaje a “contactus@trustly.com”, con el siguiente contenido: Buenos días, respondiendo a su petición, les adjunto de la oficina física de mi banco, los movimientos referentes a mi solicitud, también la captura de pantalla de hace unos minutos. El día 1 de septiembre 2022, recibí en mi cuenta, (después de solicitar otro importe diferente en la web crezu.es esta hizo una redirección a kviku.es y se ingresó en mi cuenta de Trustly group ab, un importe de ***CANTIDAD.1 que no había solicitado). El día 2 de septiembre 2022, realice el pago y devolución, por trasferencia del importe no solicitado, el cual me cobraron ***CANTIDAD.2 de intereses y ***CANTIDAD.3 de comisión. Hoy día 11 de septiembre 2022 accedo a la web de kviku (adjunto capturas de pantalla) y veo que el saldo esta pagado. Quiero solicitar la respuesta de confirmación de que no tengo deuda con ustedes y si pueden cerrar mi contrato con numero (...) en la web kviku.es y dar de baja mi cuenta en su sistema. Esperando noticias, saludos. A.A.A.. Con fecha 23 de octubre de 2022 (pág. 40 del expediente), desde “support@kviku.es” se envió un mensaje al correo “***EMAIL.1”, con el siguiente contenido: “Buenos días, En relación con la violación de la fecha límite para el pago bajo el número de crédito № (...), se le cobrará una multa por el período de demora correspondiente, así como también el interés adquirido por cada día de la demora. En el caso de que no cumpla con la obligación de pagar el próximo pago en los próximos 3 (tres) días calendarios completos, los datos de los retrasos se transferirán a las agencias de crédito y ASNEF, lo que afectará negativamente su capacidad para tomar cualquier préstamo en el futuro. Así mismo, no podrá utilizar los beneficios de nuestros servicios. Póngase en contacto con nosotros de inmediato si tiene alguna pregunta sobre el pago del crédito. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 Saludos, Atención al Cliente de Kviku www.kviku.es” Con fecha 30 de octubre de 2022 (pág. 29 del expediente), desde Kviku “support@kviku.es” se envió un correo a “***EMAIL.1”, con el siguiente mensaje: “Desafortunadamente, no hemos logrado contactar con Usted. No contestar las llamadas no solucionará sus problemas, solo los complicará. Los términos de pago de su línea de crédito fueron violados. Nos acercamos lealmente a su situación, pero usted no respondió a esto con su lealtad. La totalidad de su deuda ante Kviku Global Ltd (Kviku), con multas e intereses incluidos, se estima a ***CANTIDAD.4 y sigue creciendo cada día. La información sobre su deuda ha sido enviada a la oficina de crédito y ASNEF. Las notificaciones no se detendrán hasta que no pague completamente su préstamo. Una vez más le pedimos que se tome en serio la situación y que intente resolver el problema hasta que no se empeore por completo. Tarde o temprano tendrá que comenzar a pagar la deuda, ¡pero su totalidad puede ser mucho mayor de lo que es ahora!” Con fecha 6 de noviembre de 2022 (pág. 28 del expediente), desde “suport@kviku.es” se envió un mensaje al correo electrónico “***EMAIL.1”, con el siguiente contenido: “Buenos días: A partir de hoy, el monto total de su deuda con Kviku Global Ltd (Kviku), incluida la multa y los intereses, es ***CANTIDAD.5. Le informamos que conforme al contrato de crédito, su caso puede ser transferido a una agencia de cobranza. En un futuro próximo, en su lugar de residencia, así como en su lugar de trabajo, pueden comenzar las llamadas y visitas de terceros. Además, por el presente le informamos que conforme al contrato de crédito, próximamente incluimos sus datos personales en una lista negra. Le pedimos que intente detener su deuda, hasta que su totalidad no se haya duplicado. Saludos, Atención al Cliente de Kviku” Con fecha 8 de noviembre de 2022 (pág. 30 del expediente), desde “support@kviku.es” se envió un mensaje al correo electrónico “***EMAIL.1”, con el siguiente contenido: ¡A.A.A., gracias por usar nuestros servicios! ¡Ahora en tu cuenta personal puedes recibir dinero a cualquiera de tus cuentas con un solo clic! Sinceramente, Equipo Kviku. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 QUINTO: En la “Política de privacidad” de KVIKU SPAIN S.L. (págs.. 378 a 380 del expediente), se expresa lo siguiente: “¿Por cuánto tiempo se conservan sus datos? KVIKU mantendrá los datos proporcionados mientras no se solicite su supresión por el interesado incluso cuando la solicitud de préstamo no haya sido aceptada, con la finalidad de evitar duplicidades en el estudio de nuevas solicitudes. En caso de ejercicio del derecho de supresión o cancelación en que los datos de carácter personal suministrados por el usuario estén asociados a una operación en activo, serán mantenidos mientras la relación mercantil entre KVIKU y el usuario no haya finalizado, así como una vez finalizada, no haya transcurrido el plazo obligatorio legalmente establecido de conservación de facturas y libros contables.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que KVIKU, en el desarrollo de su actividad empresarial, realiza la recogida y conservación de datos personales de personas físicas, entre otros tratamientos. KVIKU realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Por su parte, según sus Términos y condiciones, la página web crezu.es, no proporciona préstamos sino recopila y compara las ofertas de terceros, habiendo redirigido a la parte reclamante a la web de KVIKU. Dentro de los principios del tratamiento previstos en el artículo 5.1 del RGPD, se encuentran, en su apartado
  7. c)el de minimización de datos, por su parte, en el 13 del RGPD regula la “información que deberá facilitarse cuando los datos personales se obtengan del interesado”. III Limitación del plazo de conservación El artículo 5 del RGPD, “Principios relativos al tratamiento”, establece que los datos personales serán: “
  8. a)[…]
  9. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); […] El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” En este sentido, el Considerando 39 del RGPD dispone: “…Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica.” (el subrayado es nuestro) En el presente caso, consta que la política de Privacidad publicada en la página web “kviku.es” consta lo siguiente: “KVIKU mantendrá los datos proporcionados mientras no se solicite su supresión por el interesado incluso cuando la solicitud de préstamo no haya sido aceptada, con la finalidad de evitar duplicidades en el estudio de nuevas solicitudes.” La STJUE de 20 de octubre de 2022 ha venido a confirmar el alcance de este principio contenido en el artículo 5.1.
  10. e)del RGPD relativo al principio de limitación del plazo de conservación: “Así pues, como se desprende sin ambigüedad de los términos en que está redactado dicho precepto, el principio de «limitación del plazo de conservación» exige que el responsable del tratamiento sea capaz de demostrar, en virtud del principio de responsabilidad proactiva recordado en el apartado 24 de la presente sentencia, que los datos personales se conservan únicamente durante el tiempo necesario para la consecución de los fines para los cuales fueron recogidos o para los que han sido tratados ulteriormente. De ello se deduce que incluso un tratamiento de datos inicialmente lícito puede devenir, con el tiempo, incompatible con el Reglamento 2016/679 (LCEur 2016, 605) cuando los datos ya no sean necesarios para la consecución de tales fines [ sentencia de 24 de septiembre de 2019 (TJCE 2019, 201) , GC y otros (Retirada de enlaces a datos sensibles), C-136/17, EU:C:2019:773, apartado 74] y que los datos deben suprimirse cuando se cumplan dichos fines (véase, en este sentido, la sentencia de 7 de mayo de 2009, Rijkeboer, C-553/07 (TJCE 2009, 119) , EU:C:2009:293, apartado 33)”(el subrayado es nuestro). Por todo lo expuesto, se determina que la cláusula de la política de Privacidad de KVIKU incumple lo dispuesto en el artículo 5.1.
  11. e)del RGPD, ya que actualmente conserva los datos personales de sus clientes con carácter indefinido, no contemplando un plazo límite de conservación de los datos y haciendo depender su supresión al ejercicio del derecho correspondiente por parte del interesado. Por tanto, de conformidad con las evidencias que constan en el procedimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a KVIKU, por vulneración del artículo 5.1.
  12. e)del RGPD. IV Tipificación y calificación de la infracción La citada vulneración del artículo 5.1.
  13. e)del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. V Sanción por la infracción del artículo 5.1.
  16. e)del RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en el artículo 83 del RGPD, que señala: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  17. a)a
  18. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  19. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  20. b)la intencionalidad o negligencia en la infracción;
  21. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19
  22. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  23. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  24. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  25. g)las categorías de los datos de carácter personal afectados por la infracción;
  26. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  27. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  28. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  29. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto de este último apartado
  30. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  31. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  32. a)El carácter continuado de la infracción.
  33. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  34. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  35. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  36. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  37. f)La afectación a los derechos de los menores.
  38. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19
  39. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción de lo dispuesto en el artículo 5.1.
  40. e)del RGPD, tipificada en el artículo 83.5.
  41. a)del RGPD, se estiman concurrentes en el presente caso los siguientes factores: Como circunstancias del 83.2 del RGPD a efectos de determinar el grado de gravedad de la infracción: Artículo 83.2.
  42. a)del RGPD: La naturaleza, gravedad y duración de la infracción. La gravedad se ve incrementada porque el propósito del tratamiento está relacionado con la actividad principal del responsable del mismo. Artículo 83.2.
  43. g)del RGPD: Las categorías de los datos de carácter personal afectados por la infracción. El tratamiento afectaba, entre otros, a datos personales de carácter financiero, los cuales merecen una especial protección. En el apartado 4.2.3 de las Directrices 04/2022 sobre el cálculo de las sanciones administrativas bajo el RGPD, elaboradas por el CEPD, se expresa lo siguiente (traducción no oficial): “Categorías de datos personales afectados 58. En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado 26 (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito).” Como criterio de graduación del artículo 76.2 de la LOPDGDD, aplicado como agravante: Artículo 76.2.
  44. b)de la LOPDGDD: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales: KVIKU en el desarrollo de su actividad financiera de concesión de préstamos online, necesita tratar de forma habitual datos personales, lo que supone que tiene experiencia suficiente y debería contar con el adecuado conocimiento para el tratamiento de dichos datos. Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 4.000 € (cuatro mil euros) por la infracción del artículo 5.1.
  45. e)del RGPD tipificada en el artículo 83.5
  46. a)RGPD. VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 Derecho de supresión («el derecho al olvido») El Artículo 17, “Derecho de supresión”, del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  47. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  48. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  49. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  50. d)los datos personales hayan sido tratados ilícitamente;
  51. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  52. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  53. a)para ejercer el derecho a la libertad de expresión e información;
  54. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  55. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  56. h)e i), y apartado 3; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19
  57. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  58. e)para la formulación, el ejercicio o la defensa de reclamaciones.” En el presente caso, con fecha 1 de septiembre de 2022 la parte reclamante solicitó por correo electrónico a KVIKU “el borrado legal de todos mis datos”, ejerciendo el derecho de supresión de sus datos conforme a lo previsto en el artículo 17 del RGPD. Sin embargo, por parte de KVIKU no se dio curso a la solicitud, y en los correos remitidos por KVIKU en las fechas 3 de septiembre de 2022, 23 de octubre de 2022, 30 de octubre de 2022 y 6 de noviembre de 2022 no se informa a la parte reclamante de las razones de su no actuación. KVIKU tenía que atender el ejercicio del derecho en el plazo de un mes desde la recepción de la solicitud, como estipula el artículo 12 del RGPD, o, en su defecto, haber informado a la parte reclamante de los motivos por los que no correspondía dar curso a su solicitud. Por tanto, de conformidad con las evidencias que constan en el procedimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a KVIKU, por vulneración del artículo 17 del RGPD. VII Tipificación y calificación de la infracción del artículo 17 del RGPD La citada vulneración del artículo 17 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  59. b)los derechos de los interesados a tenor de los artículos 12 a 22; “ A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19
  60. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 17 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias que constan en el procedimiento, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 17 del RGPD, permite imponer una sanción de 2.000€ (dos mil euros). IX Adopción de medidas De acuerdo con lo establecido en el citado artículo 58.2
  61. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, en la presente resolución se requiere a KVIKU para que en el plazo de 3 meses acredite a esta Agencia la adopción de las siguientes medidas: - Adaptar el plazo de conservación de los datos personales de sus clientes a lo dispuesto en el artículo 5.1.
  62. e)del RGPD, reflejándolo esta adaptación debidamente en su Política de privacidad. - Responder a la solicitud de ejercicio de derecho de supresión realizada por la parte reclamante Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a KVIKU SPAIN, S.L., con NIF B09804295: - Por la infracción del artículo 5.1.
  63. e)del RGPD, tipificada en el artículo 83.5.
  64. a)de dicha norma, una multa de 4.000 € (cuatro mil euros). - Por la infracción del artículo 17 del RGPD, tipificada en el artículo 83.5.
  65. b)de dicha norma, una multa de 2.000 € (dos mil euros). SEGUNDO: ORDENAR a KVIKU SPAIN, S.L., con NIF B09804295, que en virtud del artículo 58.2.
  66. d)del RGPD, en el plazo de 3 meses desde que la presente resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas indicadas en el Fundamento de Derecho IX, estas son: - Adaptar el plazo de conservación de los datos personales de sus clientes a lo dispuesto en el artículo 5.1.
  67. e)del RGPD, reflejándolo esta adaptación debidamente en su Política de privacidad. - Responder a la solicitud de ejercicio de derecho de supresión realizada por la parte reclamante. TERCERO: NOTIFICAR la presente resolución a KVIKU SPAIN, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  68. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  69. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.