← España

PS-00210-2017

1/16 Procedimiento Nº PS/00210/2017 RESOLUCIÓN: R/02843/2017 En el procedimiento sancionador PS/00210/2017, instruido por la Agencia Española de Protección de Datos a la entidad OK MONEY SPAIN S.L.U., vista la denuncia presentada por Dña. C.C.C., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 23/05/2016 tiene entrada en esta Agencia Española de Protección de Datos (AEPD) denuncia de Dña. C.C.C. (en lo sucesivo la denunciante) en la que pone de manifiesto los siguientes hechos: En fecha 07/04/2015 recibe un SMS de OK MONEY SPAIN, S.L. (en lo sucesivo OK MONEY) informándole de que su solicitud se había tramitado con éxito. Señala que, si bien en otra ocasión había solicitado un préstamo a la entidad denunciada del que estaba al corriente del pago de todas las cuotas, ella no había realizado nuevamente ninguna solicitud. Posteriormente OK MONEY le reclama una deuda por impago de dicho préstamo que reitera no ha contratado, e incluye sus datos en el fichero de solvencia patrimonial y de crédito ASNEF. Aporta, entre otra, copia de la siguiente documentación:  Certificado de transferencia recibida con membrete y sello de “BANKIA” expedido el 04/01/2016, que hace constar que, con fecha 18/09/2014, la denunciante recibió una transferencia por importe de 500,00 euros en la cuenta número D.D.D., cuyo ordenante fue OK MONEY.  Certificado con membrete y sello de “BANKIA” expedido con fecha 04/01/2016, que hace constar que, asociados al número de cuenta D.D.D. (a nombre de la denunciante), figuran los siguientes movimientos: C/ Jorge Juan, 6 28001 – Madrid o Con fecha 25/11/2014, en concepto de “Cargo compra ***URL.1”, un importe de 216, 00 euros. o Con fecha 04/12/2014, en concepto de “Cargo compra ***URL.1”, un importe de 504,00 euros. www.agpd.es sedeagpd.gob.es 2/16  Extracto fechado el 12/3/2015 y sellado por “BANKIA” que contiene el listado de movimientos de la cuenta número D.D.D. entre las fechas 01/08/2014 y 12/03/

  1. En dicho listado figuran los siguientes movimientos: o Con fecha 25/11/2014, en concepto de “CARGO COMPRA”, un importe de 216, 00 euros. o Con fecha 04/12/2014, en concepto de “CARGO COMPRA”, un importe de 504,00 euros.  Notificación de inclusión en ASNEF de fecha 21/07/2015 referenciada e individualizada a nombre de la denunciante a la dirección A.A.A. con referencia a una situación de incumplimiento con OK MONEY y detalle de la deuda cuya fecha de alta es 20/07/2015 y cuyo saldo impagado asciende a 762,30 euros en calidad de “AVALISTA”.  Reclamación presentada por la denunciante ante la Oficina Municipal de Información al Consumidor (OMIC) de ***LOC.1 con fecha 08/01/2016 frente a OK MONEY en la que solicita que sus datos sean cancelados del fichero de solvencia patrimonial y crédito ya que la deuda por la que ha sido inscrita la denunciante no ha sido contraída por ella. A esta reclamación, con número de expediente ***EXP.1, la denunciante adjuntó copia de los siguientes documentos: o Escrito de fecha 01/02/2016 dirigido por la OMIC de ***LOC.1 a OK MONEY en el que le traslada la reclamación presentada por la denunciante. o Escrito de fecha 05/05/2016, presentado ante la OMIC de ***LOC.1 por la denunciante con relación al expediente ***EXP.
  2. Solicita que, ante su disconformidad con la respuesta o ausencia de ésta por parte de OK MONEY, se dé traslado de su expediente a la AEPD, como organismo competente en la materia. o Escrito dirigido por la OMIC de ***LOC.1 a la AEPD a fecha 09/05/2016 en el que le da traslado de la denuncia con número de expediente ***EXP.1 interpuesta por la denunciante ante sus oficinas.  Fotocopia del Documento de Régimen Comunitario de Extranjeros en España. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad OK MONEY, teniendo conocimiento de los siguientes extremos conforme al informe de actuaciones de inspección E/3286/2016 que se trascribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa OK MONEY EXCHANGE en su escrito de fecha de registro 26/07/2016 (número de registro ***REG.1) ha remitido la siguiente información pertinente a los efectos de la investigación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/16  Copia impresa de pantalla de los datos que figuran en sus sistemas relativos a la denunciante. Entre los mismos consta como dirección de la denunciante A.A.A.). Esta dirección coincide con la que figura en su DNI. Consta igualmente el número de cuenta D.D.D..  Copia impresa de sus sistemas en la que constan los productos asociados a la denunciante. Figuran un total de doce productos distintos, todos ellos en estado “PAID” a excepción del siguiente (que consta en estado “IN COLLECTION”): o Préstamo número ***PREST.
  3.     Fecha de apertura: 7/4/2015 Cantidad: 630 Total pagado: 0 Total remanente: 762,30  Se adjunta, como ANEXO 1.3, copia de facturas emitidas a nombre de la denunciante y que fueron satisfechas satisfactoriamente.  Se adjunta, como ANEXO 1.3bis, copia de dos facturas emitidas a nombre de la denunciante que manifiesta que no han sido abonadas. Expone que “se emitieron como consecuencia de la cancelación por parte del Cliente de un pago que se había producido efectivamente con anterioridad”. Estas facturas son: o Factura con número de referencia ***REF.1 de fecha de emisión 28/04/2015 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A.)) por importe de 674,10 euros en concepto de “RECORDATORIO DE PAGO” y referencia al préstamo nº ***PREST.
  4. o Factura con número de referencia ***REF.1 de fecha de emisión 31/05/2015 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A.)) por importe de 762,30 euros en concepto de “RECORDATORIO DE PAGO” y referencia al préstamo nº ***PREST.
  5.  Copia impresa de pantalla donde figuran los detalles de las comunicaciones enviadas por la entidad denunciada al email ( B.B.B.) y al teléfono de contacto de la denunciante ( G.G.G.) entre las fechas 07/04/2015 al 19/10/
  6. En ellas se requiere importe pendiente de pago asociado a la referencia ***REF.
  7. En la comunicación del 14/10/2015 vía email le informan de que sus datos personales serían transferidos a la Agencia de Calificación Crediticia (ASNEF-EQUIFAX) de no proceder al pago de la deuda, sin indicar el plazo concreto de pago previo a la inclusión.  La entidad denunciada aporta copia del DNI de la denunciante con número F.F.F., así como de un extracto bancario, con membrete “BANKIA”, relativo al nº de cuenta D.D.D. en concepto de “NÓMINA”.  En el escrito de respuesta a la solicitud de información manifiesta que no han existido reclamaciones por escrito del cliente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/16  En su escrito de respuesta, la entidad denunciada explica el proceso que debe seguirse para contratar un préstamo de la siguiente forma: “OK MONEY cuenta con un sistema normalizado y estandarizado del proceso de contratación a través de internet, en el que el cliente tiene que cumplimentar sus datos personales (nombre, apellidos, NIF, dirección postal, dirección de correo electrónico, etc.) así como aportar los datos de su número de cuenta, el titular del número de cuenta y el número de contacto de su móvil. En este sentido, al encontrarse el programa informático de contratación de OK MONEY conectado con los datos del Banco de España, en el caso de que el titular de la cuenta bancaria introducida no coincida con el número de cuenta aportado, el sistema automáticamente invalida la contratación del correspondiente producto. Asimismo, para mayor seguridad de identificación del potencial cliente, con carácter previo a que finalice el proceso de contratación, OK MONEY remite un código al número de móvil facilitado por el potencial cliente, para que éste tenga que introducir dicho código en la plataforma de contratación antes de que finalice la contratación del correspondiente producto. Finalmente, para ejecutar satisfactoriamente el proceso de contratación, el potencial cliente tiene la obligación de leer y estudiar la información precontractual remitida y de revisar los datos personales facilitados, pudiendo en ese momento optar entre seguir adelante con el proceso de contratación o mostrar su disconformidad y optar por la decisión de no seguir adelante con la contratación. Por lo que aquí interesa, cabe hacer constar que el Cliente aceptó y mostró expresamente su conformidad efectuando el preceptivo click en la casilla en la que expresamente se afirma que el Cliente ha entendido las condiciones aplicables al producto contratado, que está conforme con los mismos, que todos los datos personales facilitados son correctos y que presta su consentimiento para contratar el correspondiente producto.”  Adjunta (ANEXO 4) una presentación del proceso estándar de contratación con OK MONEY EXCHANGE. Dentro de ésta figuran las siguientes pantallas:  o Pantalla de configuración del préstamo a solicitar (cantidad, plazo, comisión) o Pantalla de introducción de datos personales (nombre, apellidos, DNI, fecha de nacimiento, teléfono, email, domicilio, cuenta bancaria) o Pantalla de introducción de datos de la tarjeta de crédito (al parecer potestativo, ya que especifica que “aumentará las posibilidades de aprobación del préstamo”): nombre, número de tarjeta, caducidad, “CVV”. o Pantalla de introducción de información personal adicional: ocupación, sector, ingresos, nivel de estudios, estado civil, propietario de vivienda, coche propio. o Pantalla con el resultado del proceso de la solicitud (aprobado / denegado) o Pantalla en la que se solicita el código de confirmación enviado al teléfono móvil.  En su escrito de respuesta a la solicitud de información manifiesta que el impago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/16 de la factura con número de referencia ***REF.1 de fecha de emisión 28/04/2015 dirigida por la entidad denunciada a la denunciante (a la dirección A.A.A.) por importe de 674,10 euros en concepto de “RECORDATORIO DE PAGO” y referencia al préstamo nº ***PREST.10, motivó la inclusión de los datos de la denunciante en el fichero ASNEF.  Se adjunta, como documento ANEXO 6.2, varios pantallazos en los que figura la siguiente información: o Registro de la comunicación con fecha 08/04/2015 que la entidad denunciada envía al correo de la denunciante ( B.B.B.) informándole de que había cancelado el pago del préstamo, por lo que tendría que volver a abonar su importe.  En relación al punto anterior, la entidad denunciada manifiesta que la denunciante, en un primer momento pagó el importe de 630,00 euros adeudado. Sin embargo con posterioridad, la transacción realizada vía tarjeta de crédito por la denunciante fue anulada, por lo que la deuda se mantuvo impagada. Como documento ANEXO 6.3 adjunta comunicación de Worldpay (UK) Ltd. de fecha 9/10/2014 en la que consta que se ha cancelado una transacción por importe de 630,00 euros realizada con fecha de proceso 4/9/2014 por motivo “Fraud-Card Absent Environment” y en el campo otra información refiere que el dueño de la tarjeta no ha autorizado la transacción.  En su escrito de respuesta a la solicitud de información manifiesta que no ha solicitado la exclusión de los datos de la denunciante del fichero de solvencia patrimonial y de crédito. En respuesta a la solicitud de información por parte de la AEPD relativa al requerimiento previo de pago por parte de la entidad denunciada, ésta aporta la siguiente documentación:  Copia impresa de pantalla de los datos que figuran en sus sistemas relativos a la denunciante. Entre los mismos consta como dirección de la denunciante A.A.A.). Esta dirección coincide con la que figura en su DNI. Asociada a su registro consta el número de cuenta D.D.D..  Registro de la comunicación con fecha 08/04/2015 que la entidad denunciada envía al correo de la denunciante ( B.B.B.) informándole de que había cancelado el pago del préstamo, por lo que tendría que volver a abonar su importe. Adjunta copia del contenido de dicha comunicación.  Registro de la comunicación enviada al correo de la denunciante ( B.B.B.) con fecha 14/10/2015 informándole de que “sus datos personales y los detalles de la deuda han sido comunicados a las Agencias de Calificación Crediticia y de Prevención de Fraude”. Adjunta copia del contenido de dicha comunicación.  En su escrito de respuesta a la solicitud de información expone que OK MONEY EXCHANGE realiza directamente el envío de los requerimientos de pago. Manifiesta que sus notificaciones son completamente automáticas y que se efectúan principalmente por email (salvo que otra cosa se pacte expresamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/16 con el cliente) y que debido a la forma automatizada en la que se envían estas notificaciones no puede aportar documento alguno que acredite la recepción de la comunicación por parte de la denunciante.  En su escrito de respuesta a la solicitud de información, la entidad denunciada manifiesta que la denunciante, en un primer momento, pagó el importe de 630,00 euros del préstamo pero que con posterioridad, éste fue anulado, por lo que la deuda se mantuvo impagada, provocando su inclusión en el fichero ASNEF. Como documento ANEXO 4 se adjunta comunicación de Worldpay (UK) en la que consta que se ha cancelado una transacción por importe de 630,00 euros con fecha 09/10/2014

(1)por motivo “Fraud-Card Absent Environment”.
(1)El crédito controvertido y cuyo impago motivo la inclusión de los datos de la denunciante en el fichero ASNEF fue contratado en fecha 07/04/2015, con lo cual no existe congruencia entre esta fecha y aquella en la cual, según OK MONEY, se produjo el impago. TERCERO: Con fecha 18 de mayo de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a OK MONEY, por presunta infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas ambas como graves en el artículos 44.3.
  1. b)y c), respectivamente, de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio OK MONEY formuló las siguientes alegaciones relativas a la aplicación del artículo 45.5.
  2. a)por concurrencia de varios criterios atenuantes del artículo 45.4 (d, e, f y j), esto es: - Respecto a la infracción del artículo 6.1 de la LOPD no cabe apreciar como circunstancia agravante que los protocolos de identificación implantados por la entidad no fueran consistentes por cuanto si bien no son tan sólidos como en la actualidad, sí existía un procedimiento de verificación de la identidad de los usuarios mediante conexión con el Banco de España, el cual contrastaba los datos del titular de la cuenta con el número de cuenta proporcionado a la hora de solicitar cualquier préstamo a través de OK MONEY. Por tanto no puede decirse que no se intentó por medios que consideró adecuados comprobar la identidad del contratante (art. 45.4.j). - OK MONEY no es una gran empresa ni en cuanto a capital social ni en cuanto al número de empleados (art. 45.4.d). - No se ha obtenido ningún beneficio económico, sino que OK MONEY ha sido perjudicada por la concesión de un préstamo que no va a recuperar (art. 45.4.e). - Ausencia de intencionalidad ha de valorarse como atenuante ya que se ha procedido a la mejora de los procedimientos de identificación de clientes y recobro de deudas, implantándose desde fecha 01/01/2016 (art. 45.4.
  3. f)Solicita la acumulación de los procedimientos sancionadores indicados
(13)por la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/16 Agencia. QUINTO: En fecha 27/09/2017 se emitió propuesta de resolución en el sentido de imponer a OK MONEY sendas multas de 50.000 € cada una por la infracción de los artículos 6.1 y 4.3 en relación con el 29.4 de la LOPD, tipificadas ambas como graves en el artículo 44.3.
  1. b)y
  2. c)de dicha norma. SEXTO: Dicha propuesta fue notificada por medios electrónicos resultando rechazada por el transcurso de diez días desde su puesta a disposición sin que OK MONEY accediera a su contenido (art. 43 LPACAP). HECHOS PROBADOS PRIMERO: En fecha 23/05/2016 tiene entrada en esta AEPD escrito de la denunciante en el que pone de manifiesto los siguientes hechos: En fecha 07/04/2015 recibe un SMS de OK MONEY informándole de que su solicitud se había tramitado con éxito. Señala que, si bien en otra ocasión había solicitado un préstamo a dicha entidad del que estaba al corriente del pago de todas las cuotas, ella no había realizado ninguna solicitud de nuevo préstamo. Posteriormente OK MONEY le reclama una deuda por impago de dicho préstamo que reitera no ha contratado, e incluye sus datos en el fichero de solvencia patrimonial y de crédito ASNEF. SEGUNDO: En fecha 08/01/2016 la denunciante presentó en la Oficina Municipal de Información al Consumidor (OMIC) de ***LOC.1 frente a OK MONEY en la que solicita que sus datos sean cancelados del fichero de solvencia patrimonial y crédito ya que la deuda por la que ha sido inscrita no ha sido contraída por ella. En fecha 01/02/2016 la OMIC trasladó la reclamación a OK MONEY. En fecha 05/05/2016 la denunciante presentó ante la OMIC escrito solicitando que, “no estando conforme con la respuesta obtenida por parte de la entidad reclamada o ante la ausencia de respuesta de la empresa” se dé traslado de su expediente a la AEPD, como organismo competente en la materia. En fecha 09/05/2016 la OMIC da traslado de la reclamación a la AEPD. TERCERO: En los sistemas de OK MONEY constan los datos personales de la denunciante (nombre y apellidos, NIE, domicilio, email, teléfono y cuenta bancaria) como titular de los siguientes préstamos: Nº Préstamo Fecha Importe Total devolver Plazo/días Estado ***PREST.1 08/01/2014 200 € 258 € 30 PAGADO ***PREST.2 10/03/2014 400 € 516 € 30 PAGADO ***PREST.3 20/05/2014 100 € 130 € 30 PAGADO ***PREST.4 16/06/2014 300 € 390 € 30 PAGADO ***PREST.5 18/07/2014 500 € 650 € 30 PAGADO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/16 ***PREST.6 28/07/2014 500 € 650 € 30 PAGADO ***PREST.7 08/08/2014 500 € 650 € 30 PAGADO ***PREST.8 04/09/2014 500 € 650 € 30 PAGADO ***PREST.9 17/09/2014 500 € 720 € 30 PAGADO 07/04/2015 630 € 630 €
(1)14 IMPAGADO ***PREST.1 0
(1)ante el impago OK MONEY emite factura en fecha 28/04/2015 (674,10 €) y fecha 31/05/2016 (762,30 €). CUARTO: OK MONEY ha declarado que la contratación del préstamo nº ***PREST.10 a nombre de la denunciante se efectuó (como los anteriores citados en el punto anterior) a través de internet. QUINTO: OK MONEY manifestó lo siguiente sobre el procedimiento implementado para validar la identidad de las personas que contratan con ella: “A estos efectos se hace constar que OK MONEY cuenta con un sistema normalizado y estandarizado del proceso de contratación a través de internet, en el que el cliente tiene que cumplimentar sus datos personales (nombre, apellidos, NIF, dirección postal, dirección de correo electrónico etc) así como aportar los datos de su número de cuenta, el titular del número de cuenta y el número de contacto de su móvil. (…) al encontrarse el programa informático de contratación de OK MONEY conectado con los datos del Banco de España , en el caso de que el titular de la cuenta bancaria introducida no coincida con el número de cuenta aportado, el sistema automáticamente invalida la contratación del correspondiente producto. (El subrayado es de la AEPD) Añadió que para mayor seguridad en la identificación del potencial cliente, con carácter previo a la finalización del proceso de contratación OK MONEY remite un código al número de móvil facilitado por el potencial cliente para que éste introduzca el código en la plataforma de contratación antes dar por terminada la contratación del producto. SEXTO: OK MONEY no ha facilitado ningún documento que acredite el consentimiento prestado por el cliente a la contratación de préstamo nº ***PREST.10 objeto de denuncia ni la adopción de medidas para validar la identidad del contratante. SEPTIMO: En fecha 20/07/2015 los datos personales de la denunciante (nombre y apellidos, NIE y domicilio) fueron incluidos por OK MONEY en el fichero en ASNEF por una deuda de 762,30 € en calidad de “AVALISTA”, sin que acredite haber instado la baja de dichos datos. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/16 Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. El artículo 6 LOPD se refiere al principio del consentimiento en el tratamiento de los datos de carácter personal y bajo la rúbrica “Consentimiento del afectado” establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;...”. El artículo 4 de la LOPD se ocupa de la “Calidad de los datos” y establece en el apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado”. El artículo 29 de la Ley Orgánica 15/1999 señala en sus apartados 2 y 4: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos en la presente Ley”. “Sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Los preceptos de la LOPD antes transcritos deben integrarse con la definición legal de “datos de carácter personal”, “tratamiento de datos” y “consentimiento del interesado”, que ofrecen, respectivamente, los artículos 3 a), 3 c), y 3
  2. h)de la Ley Orgánica: “cualquier información concerniente a personas físicas identificadas o identificables”; “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”; “toda manifestación de voluntad, libre, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/16 inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD se ocupa (capítulo I del Título IV) de los “Ficheros de información sobre solvencia patrimonial y crédito” y dispone en el artículo 38, bajo la rúbrica “Requisitos para la inclusión de los datos”: “ 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que concurran los siguientes requisitos:
  3. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada (….) . El artículo 38 apartado 3 añade que “El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente”. (El subrayado es de la AEPD). III Se atribuye a OK MONEY en el presente expediente sancionador la comisión de dos infracciones de la LOPD, artículos 6.1 y 4.3, materializadas en haber tratado los datos personales de la denunciante vinculados a la contratación de un préstamo sin su consentimiento y en la posterior inclusión en ficheros de morosidad de sus datos personales asociados a la deuda derivada de aquél, a la que la denunciante es ajena, por lo que respecto a ella la deuda informada a ASNEF no era cierta, ni vencida ni exigible. A. Por lo que concierne a la infracción del artículo 6.1 de la LOPD se hacen las siguientes consideraciones 1. A tenor del artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular, del que se dispensa al responsable del fichero -entre otros supuestos previstos en la Ley Orgánica 15/1999-, cuando el tratamiento se refiere a las partes de un contrato o precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). Esto, porque el consentimiento para el tratamiento de los datos está implícito en el consentimiento otorgado a la contratación, pero únicamente si quien facilita los datos personales con ocasión de ella es efectivamente su titular y en la medida en que el referido tratamiento sea preciso para la ejecución del contrato. Ha quedado acreditado a través de la documentación obrante en el expediente que los datos personales de la denunciante (nombre y apellidos, NIE, domicilio, email, teléfono y cuenta bancaria) se incorporaron a los registros informáticos de OK MONEY vinculados a la contratación del préstamo nº ***PREST.10 con fecha de alta de la operación el 07/04/2015, préstamo cuya contratación ha negado la denunciante tanto en la denuncia que presentó ante esta Agencia como en la reclamación formulada en la OMIC el 08/01/2016. 2. OK MONEY manifiesta que la contratación del citado préstamo a nombre de la denunciante se realizó a través de internet. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/16 Se le requirió por la Inspección de Datos para que aportara algún documento que hiciera prueba de la supuesta contratación y se solicitó explicación y documentación relativa al protocolo seguido para validar la identidad del cliente que facilita como suyos los datos personales. Sin embargo, OK MONEY no aportó ningún documento que acreditara tal extremo. Respecto al protocolo que OK MONEY tiene implementado para comprobar la identidad de la persona que contrata con ella a través de internet un préstamo la información que esa entidad ha facilitado pone de manifiesto que dicho protocolo carece totalmente de virtualidad para cumplir su función. El protocolo descrito por OK MONEY consiste, por una parte, “en un programa informático de contratación … conectado con los datos del Banco de España” y que, supuestamente, invalida las contrataciones en las que el número de cuenta bancaria introducido por el contratante no coincida con el número de cuenta aportado. Afirmación difícilmente creíble y sobre la cual, evidentemente, OK MONEY no ha acreditado ningún extremo. Por otra parte, la denunciada explica que el protocolo de validación de la identidad de la persona que contrata con ella a través de internet consiste en un código que OK MONEY remite al móvil del contratante antes de que el proceso de contratación finalice y que éste deberá introducir en la plataforma de contratación para que el proceso contractual se dé por terminado. Sin embargo, a través de este protocolo lo único que es posible conocer es el número de móvil del que hace uso el contratante, sin que pueda inferirse de este hecho que la entidad denunciada ha verificado la identidad del contratante ni, por consiguiente, tampoco que esa entidad, responsable del tratamiento de los datos personales, haya obrado diligentemente en el cumplimiento de las obligaciones que le impone la LOPD con objeto de comprobar que quien facilita como suyos determinados datos es efectivamente su titular. Incumbe a quien trata los datos la carga de acreditar que ha recabado el consentimiento inequívoco de su titular o, al menos, que han adoptado las medidas que exige el cumplimiento diligente de la obligación impuesta por la LOPD, artículo 6. Muy esclarecedora resulta en tal sentido la SAN de SAN de 29/04/2010, en la que el Tribunal, (Fundamento de Derecho SEXTO) señaló que “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD Trasladando las reflexiones precedentes a los hechos que nos ocupan, habida cuenta de que OK MONEY trató los datos personales de la afectada vinculados a un contrato que ella niega haber celebrado y toda vez que no ha quedado probado que obró diligentemente en el cumplimiento de la obligación impuesta por la LOPD (ex artículo 6.1), se concluye que su actuación ha sido contraria al principio del consentimiento, infracción tipificada como grave en el artículo 44.3.
  4. b)LOPD que dispone: “Son infracciones graves, (..) d)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a los dispuesto en esta Ley y sus disposiciones de desarrollo”. B. Por lo que concierne a la infracción del artículo 4.3 de la LOPD, en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/16 con el artículo 29.4, que se atribuye a OK MONEY han de hacerse las siguientes reflexiones: 1. Las normas jurídicas reproducidas en el Fundamento de Derecho I ponen de manifiesto que la comunicación de los datos de un tercero a un fichero de solvencia patrimonial exige que la deuda sea cierta, vencida, exigible y que haya resultado impagada. Conviene recordar, además, que el acreedor que informa los datos al fichero es el responsable de comprobar que tal inclusión se ajusta a los requisitos establecidos en el artículo 4 de la LOPD y su normativa de desarrollo. En tal sentido ha de traerse a colación la disposición del artículo 43.1 del RLOPD que establece: “1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. (El subrayado es de la AEPD) 2. Constituye un hecho probado que OK MONEY trató los datos personales de la denunciante (su nombre, apellidos y NIE) asociados a la contratación de un préstamo. Como se ha expuesto en el Fundamento Jurídico precedente la denunciada no ha podido acreditar que la afectada hubiera otorgado el consentimiento a la contratación de dicho producto. El tratamiento de sus datos vinculado a la contratación de un préstamo determinó que OK MONEY, ante el impago, le imputara una deuda que, respecto a ella, no era cierta, ni vencida ni exigible. Ante el impago de la deuda generada OK MONEY procedió a comunicar al fichero ASNEF una incidencia a nombre de la afectada por una deuda de 762,30 € en calidad de “AVALISTA” con fecha de alta 20/07/2015 sin que acredite haber instado la baja de dichos datos. En definitiva, los datos personales de la denunciante fueron incluidos por OK MONEY en un fichero de solvencia patrimonial vinculados a una deuda a la que ella ajena; deuda que no era cierta, ni vencida ni exigible desde la perspectiva de la afectada por cuanto la entidad informante, OK MONEY, no ha podido acreditar su condición de deudora en tanto en cuanto no ha acreditado que ella contratara dicho préstamo. Resulta por ello que la información que OK MONEY comunicó a ASNEF no se ajustó al principio de exactitud y veracidad, corolario del principio de calidad del dato que proclama el artículo 4.3 de la LOPD. La conducta anteriormente descrita, vulnera el principio de calidad del dato consagrado en el artículo 4.3 en relación con el 29.4 de la LOPD, infracción tipificada en el artículo 44.3.
  5. c)de la citada norma, que dispone: “Son infracciones graves, (..)
  6. c)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo IV El artículo 45.2, 4 y 5 de la LOPD establece que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/16 "2. Las infracciones graves serán sancionadas con multa de 40.001 € a 300.000 € (…) 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  7. a)El carácter continuado de la infracción.
  8. b)El volumen de los tratamientos efectuados.
  9. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  10. d)El volumen de negocio o actividad del infractor.
  11. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  12. f)El grado de intencionalidad.
  13. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  14. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  15. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  16. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. En cuanto a la graduación de la sanción por infracción del artículo 6.1 de la LOPD establecida en el acuerdo de inicio cabe señalar lo siguiente: 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  17. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  18. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  19. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  20. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  21. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/16 la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. En el presente caso se considera, de conformidad con el art. 45.5.
  22. a)de la LOPD alegado por OK MONEY, no procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso habida cuenta que la entidad alega la concurrencia de estas circunstancias lo cual no se produce ya que respecto al volumen de negocio o actividad (art 45.4.
  23. d)si cabe estimarse ya que no estamos ante una gran empresa, sino ante un PYME que cuenta con ocho empleados y cuyo capital social es de 960.000 euros. Sin embargo respecto a los beneficios obtenidos (art. 44.4.
  24. e)no puede aceptarse puesto que su intención era precisamente la de obtenerlos; es cierto, que el préstamo no ha podido ser reintegrado pero la entidad ha intentado no solo el cobro del mismo, sino también de sus intereses en relación con una persona, el denunciante, que no era el deudor. Asimismo respecto al grado de intencionalidad (art. 45.4.
  25. f)esta expresión debe entenderse en el sentido del grado de “culpabilidad”, esta interpretación ha sido corroborada por la Audiencia Nacional en su sentencia de 12/11/2007 (Rec. 351/2006), señalando “Comienza el recurrente invocando la no intencionalidad de su conducta. (…) Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. Por tal razón, si bien es cierto que no es posible sostener en el presente asunto que la entidad hubiera actuado intencionadamente o con dolo, hay que señalar que el tipo apreciado no requiere dolo para su perfección, pudiendo ser cometido a título de simple negligencia. En conclusión no cabe la aplicación de lo dispuesto en el artículo 45.4.
  26. a)al no concurrir varias de las circunstancias previstas en el artículo 45.4 de la LOPD. Por lo que respecta a la graduación de la sanción por infracción del artículo 6.1 de la LOPD cabe señalar lo siguiente: OK MONEY alega error considerando que no cabe apreciar como circunstancia agravante (art. 45.4.
  27. j)el hecho que la entidad contara con un protocolo de identificación de los contratantes que no era consistente por cuanto niega tal hecho. Debe argumentarse No obstante los hechos y antecedentes de derecho acreditan que dicho protocolo implementado para la identificación de los clientes que contratan con ella a través de internet –protocolo que describe en su respuesta al requerimiento informativo de la AEPD- es absolutamente inconsistente lo que implica que en la práctica la entidad carece de un mecanismo para verificar la identidad de las personas que contratan con ella. Extremo que es especialmente relevante si tenemos en cuenta que todas las operaciones crediticias –que son el objeto de su negocio- se efectúan a través de internet. En cuanto al carácter continuado de la infracción (art. 45.4.
  28. a)debe señalarse que los datos personales de la denunciante fueron tratados desde el 07/04/2015 y continuaron siendo tratados por OK MONEY a pesar de tener conocimiento de los hechos denunciados. En cuanto a la vinculación de la actividad del infractor con la realización de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/16 tratamientos de datos de carácter personal (art. 45.4.
  29. c)señalar que la actividad empresarial de OK MONEY exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. Por todo ello, procede imponer una sanción por vulneración del artículo 6.1 de la LOPD, en la cuantía de 50.000 euros. En cuanto a la graduación de la sanción por infracción del artículo 4.3 en relación con el 29.4 de la LOPD establecida en el acuerdo de inicio cabe señalar lo siguiente: En cuanto al carácter continuado de la infracción (art. 45.4.
  30. a)debe señalarse que los datos personales de la denunciante fueron incluidos en el fichero de solvencia patrimonial ASNEF desde el 20/07/2015 en donde, salvo prueba en contrario, se mantienen. En cuanto a la vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (art. 45.4.
  31. c)señalar que la actividad empresarial de OK MONEY exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. En cuanto a la reincidencia en la comisión de infracciones de la misma naturaleza, señalar que la entidad ha sido sancionada por la AEPD por vulneración del principio de calidad de datos en la inclusión de datos personales en ficheros de solvencia. Por todo ello, procede imponer una sanción por vulneración del artículo 4.3 en relación con el 29.4 de la LOPD, en la cuantía de 50.000 euros. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN S.L.U., por una infracción del artículo 6.1 de la LOPD, tipificada como Grave en el artículo 44.3.
  32. b)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada LOPD. SEGUNDO: IMPONER a la entidad OK MONEY SPAIN S.L.U., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como Grave en el artículo 44.3.
  33. c)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a OK MONEY SPAIN S.L.U. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  34. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/16 caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.