← España

PS-00207-2020

1/7  Procedimiento Nº: PS/00207/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 9 de abril de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Servicios Prescriptor y Medios de Pago, E.F.C., S.A.U. con NIF A86373701 (en adelante, la reclamada). La reclamante manifiesta que la reclamada le requiere el pago de un tratamiento del que solo había solicitado presupuesto sin formalizar contrato alguno de financiación. Añade, que sus datos fueron informados al fichero de solvencia patrimonial y crédito BADEXCUG. Expone que los hechos tuvieron lugar el ***FECHA.1. Y, entre otra, aporta la siguiente documentación:  Cartas remitidas por TEAM4 con fechas de 18 de octubre, 5 de noviembre y 12 de diciembre de 2018.  Carta remitida por EXPERIAN BUREAU DE CRÉDITO S.A. con fecha de 15 de enero de 2019 informando a la reclamante de la inclusión de sus datos en el fichero BADEXCUG.  Carta remitida por ASNEF-EQUIFAX con fecha de 15 de enero de 2019 informando a la reclamante de la inclusión de sus datos en el fichero ASNEF.  Queja presentada ante la Oficina Municipal de Información al Consumidor de Madrid con fecha 12 de diciembre de 2018. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante, con fecha 6 de mayo de 2019 se acordó no admitir a trámite la reclamación presentada por la reclamante, de conformidad con lo estipulado en el artículo 65.2 de la LOPDGDD, tras el análisis realizado sobre los documentos aportados y las circunstancias concurrentes, no se apreciaron indicios racionales de la existencia de una infracción en el ámbito competencial de la Agencia Española de Protección de Datos. TERCERO: La reclamante presentó en fecha 20 de mayo de 2019, recurso de reposición, aportando nueva documentación, destacando el contrato, sin firmar, de un tratamiento médico que la afectada manifiesta que nunca llegó a realizarse y del que únicamente había solicitado presupuesto, decantándose finalmente por otro tratamiento de presupuesto menor y del que no era necesaria una financiación. Y aporta, entre otros, los siguientes documentos:  Presupuesto de operación de reducción de estómago.  Solicitud de contrato de préstamo no firmado por la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7    Boletín de adhesión al seguro por fallecimiento, desempleo, incapacidad, etc. no firmado. Comunicación de EVO FINANCE indicando el plan de pagos mensual. Solicitud a la entidad BANKIA de devolución de cargo indebido procedentes de EVO FINANCE y modificación de orden de domiciliación de adeudo SEPA. Con fecha 2 de julio de 2019 la Directora de la Agencia Española de Protección de Datos, acuerda estimar el recurso de reposición interpuesto por la reclamante contra la Resolución de esta Agencia dictada en fecha 6 de mayo de 2019, al haberse aportado nueva documentación relevante a los efectos de considerar que la cuestión planteada podría ser contraria a la normativa vigente en materia de protección de datos. CUARTO: Solicitada información a EQUIFAX IBERICA, S.L. (en adelante, EQUIFAX) sobre los datos de la reclamante informados al fichero ASNEF, con fecha de 3 de junio de 2020 se recibe en esta Agencia, contestación al requerimiento remitido por EQUIFAX manifestando que no constan registros de la reclamante de ninguna entidad en el fichero ASNEF. Solicitada información a EXPERIAN BUREAU de CRÉDITO, S.A. sobre los datos de la reclamante informados al fichero BADEXCUG, con fecha de 1 de julio de 2020 se recibe en esta Agencia contestación al requerimiento remitido por esta compañía indicando que en la actualidad no existen datos informados al fichero BADEXCUG de la reclamante, aunque en su fichero histórico, existió un alta informada por EVO FINANCE el día 13 de enero de 2019, por un importe impagado de XXX €, que se dio de baja el 23 de junio de 2019 como consecuencia de la actualización automática semanal de fichero de datos enviado por la entidad. QUINTO: Con fecha 11 de agosto de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el acuerdo de inicio, la entidad reclamada, mediante escrito de fecha 17 de septiembre de este año, formuló, en síntesis, las siguientes alegaciones: “La reclamada cuenta con un contrato de préstamo y crédito debidamente firmado a través de un proceso de firma electrónica con intervención de tercero de confianza en el que se identificó a la solicitante del préstamo y se recabó su consentimiento contractual, el cual fue prestado a través del referido proceso de firma electrónica. 1. Contrato de préstamo y crédito Evo Finance a nombre de la reclamante debidamente firmado de manera electrónica a través de prestador de servicios electrónicos de confianza mediante la consignación de un código OTP “One Time Pasword” 1.1 Servicio electrónico de confianza de contratación electrónica certificada contratado por Servicios Prescriptor con la entidad prestadora de servicios electrónicos de confianza Logalty Servicios de Tercero de Confianza, S.L. (en adelante Logalty) dirigido a acreditar la validez de la contratación, la identidad del contratante y la prestación de su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Servicios Prescriptor (antes, “Evo Finance”) tiene contratado con la entidad prestadora de servicios electrónicos de confianza Logalty un servicio de Contratación Electrónica Certificada. Logalty es un prestador de servicios electrónicos de confianza y otros servicios de acuerdo con lo dispuesto en el RGPD. De acuerdo con el artículo 30.2 de la Ley de Firma Electrónica, Logalty está incluida en la lista de prestadores de servicios electrónicos de confianza, tanto cualificados como no cualificados, del Ministerio de Asuntos Económicos y Transformación Digital. Todas las comunicaciones entre Cliente y Logalty se realizan mediante transacciones telemáticas firmadas electrónicamente bajo un sistema seguro de comunicaciones. La Contratación Electrónica Certificada de Logalty incluye de manera estándar la copia certificada del documento perfeccionado por las partes, con mecanismo de control de la integridad del contenido y realizándose deposito notarial de la función resumen del contenido de todos los contratos A tal se aporta como documento nº 4 la siguiente prueba documental: I. Contrato de préstamo y crédito de fecha 02/08/2018 a nombre de la reclamante con su DNI suscrito mediante firma electrónica con sello de Logalty, identificador único y sellado de tiempo, II. Condiciones Generales remitidas por correo electrónico a la reclamante y accesibles adicionalmente a través de la dirección ***URL.1, según se indica en el contrato; III. Documentación aportada por la reclamante durante el proceso de contratación:

  1. a)copia de su DNI,
  2. b)nómina de la reclamante correspondiente al mes de junio de 2018 y
  3. c)libreta de ahorro a su favor acreditativa de la cuenta bancaria incorporada al contrato en la Orden de domiciliación de adeudo directo SEPA, cuenta IBAN. IV. Certificado emitido por Logalty de conformidad anteriormente acreditativo de la perfección contractual con lo indicado Este acuerdo concreto, así como la definición del proceso de perfección contractual electrónica viene recogido en dos lugares distintos de la documentación contractual que fue remitida por correo electrónico a la reclamante a la dirección de su correo electrónico Por todo, no se puede esperar encontrar que el documento contractual que se aporta venga firmado de forma manuscrita en las casillas habilitadas por la solicitante del préstamo. Las citadas casillas figuran en blanco pues el acto de la firma viene constituida por la serie de evidencias electrónicas que se acreditan con el certificado aportado como documento no manipulable con identificador único, firmado digitalmente por Logalty y con sellado de tiempo que incluye las evidencias electrónicas obtenidas durante el proceso de contratación así como el contrato suscrito electrónicamente. A este respecto, se observa que como parte de los servicios prestados por Logalty se encuentra el envío de dos SMS en caso de firma por móvil para la perfección/firma del contrato por parte del receptor. El certificado de contratación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 electrónica incluye el contrato descargado por la cliente previa recepción de email remitido a su dirección electrónica cuyas condiciones particulares y generales fueron leídas y posteriormente aceptadas a través del código OTP que le fue remitido a su número d teléfono móvil. El certificado lleva un código de identificación único coincidente con el sellado electrónico de tiempo que figura en el margen derecho del contrato. En conclusión, la reclamante firmó electrónicamente el Contrato de Préstamo y Crédito prestando su consentimiento al mismo y la cláusula de tratamiento de datos de carácter personal incluida en el mismo Como confirmación de la firma electrónica del contrato de préstamo Servicios Precriptor transfirió el importe solicitado al establecimiento designado por la reclamante”. QUINTO: Con fecha 26 de octubre de 2020, se notificó a la reclamada la apertura del período de pruebas, teniéndose por incorporadas todas las actuaciones previas, así como los documentos aportados por la entidad reclamada. HECHOS PROBADOS 1º El 9 de abril de 2019, la reclamante manifiesta que la reclamada le requiere el pago de un tratamiento del que sólo ha solicitado presupuesto sin formalizar contrato alguno de financiación. 2º El 17 de septiembre de 2020, la reclamada manifiesta que la reclamante aceptó las condiciones particulares y generales del Contrato de Préstamo y Crédito prestando su consentimiento a través de proceso de firma electrónica cuya validez jurídica es la misma que si fuera manuscrita. Prueba de ello es el certificado de contratación electrónica emitido por Logalty. 3º Consta en el contrato de préstamo y crédito de fecha 02/08/2018 el nombre de la reclamante con su DNI suscrito mediante firma electrónica con sello de Logalty, identificador único y sellado de tiempo, Consta la remisión de las Condiciones Generales remitidas por correo electrónico a la reclamante y accesibles adicionalmente a través de la dirección ***URL.1, según se indica en el contrato; Asimismo, consta la documentación aportada por la reclamante durante el proceso de contratación:
  4. a)copia de su DNI,
  5. b)nómina de la reclamante correspondiente al mes de junio de 2018 y
  6. c)libreta de ahorro a su favor acreditativa de la cuenta bancaria incorporada al contrato en la Orden de domiciliación de adeudo directo SEPA, cuenta IBAN. Igualmente, el certificado emitido por Logalty de conformidad con lo indicado anteriormente acreditativo de la perfección contractual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II La Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) establece en su artículo 89.1 que se “resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción del procedimiento se ponga de manifiesto que concurre alguna de las circunstancias siguientes:
  7. a)La inexistencia de los hechos que pudieran constituir la infracción”. III Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  8. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  9. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  11. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV En el supuesto que nos ocupa, tras el estudio pormenorizado de los documentos obrantes en el presente procedimiento, y las alegaciones del reclamado, debemos señalar que consta en el expediente el contrato de préstamo y crédito de fecha 02/08/2018 el nombre de la reclamante con su DNI suscrito mediante firma electrónica con sello de Logalty, identificador único y sellado de tiempo, Consta la remisión de las Condiciones Generales remitidas por correo electrónico a la reclamante y accesibles adicionalmente a través de la dirección ***URL.1, según se indica en el contrato. Asimismo, consta la documentación aportada por la reclamante durante el proceso de contratación:
  12. a)copia de su DNI,
  13. b)nómina de la reclamante correspondiente al mes de junio de 2018 y
  14. c)libreta de ahorro a su favor acreditativa de la cuenta bancaria incorporada al contrato en la Orden de domiciliación de adeudo directo SEPA, cuenta IBAN. Igualmente, el certificado emitido por Logalty acreditativo de la perfección contractual. Por lo tanto, procede el archivo del presente procedimiento sancionador. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00207/2020, instruido a Servicios Prescriptor y Medios de Pago, E.F.C., S.A.U. con NIF A86373701, por haber acreditado que empleó una razonable diligencia, ya que la reclamante formalizo un contrato de financiación. SEGUNDO: NOTIFICAR la presente resolución a Servicios Prescriptor y Medios de Pago, E.F.C., S.A.U. con NIF A86373701 De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.