← España

PS-00280-2018

1/17 Procedimiento Nº PS/00280/2018 RESOLUCIÓN: R/01767/2018 En el procedimiento sancionador PS/00280/2018, instruido por la Agencia Española de Protección de Datos a la entidad NBQ TECHNOLOGY, S.A.U., vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 26/04/2018 tiene entrada en esta Agencia escrito de la Comandancia de la Guardia Civil de León por el que se traslada la denuncia presentada por Dña. A.A.A. (en lo sucesivo la denunciante) en la que manifiesta que se ha producido una usurpación de su identidad en la contratación de un préstamo de 225 € con la entidad NBQ TECHNOLOGY, S.A.U. (en lo sucesivo NBQ). Adjunta a su denuncia carta de NBQ de fecha 03/04/2018 en la que se le requiere el pago de un préstamo de 225 € solicitado en fecha 28/02/2018, y carta de la misma fecha en la que se le requiere el pago de 310,74 €. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a NBQ teniendo conocimiento de los siguientes extremos: 1. En los sistemas de NBQ constan los datos personales de la denunciante (nombre y apellidos y DNI) asociados a un préstamo por importe de 225 € solicitado en fecha 28/02/2018 con un importe a devolver de 298,51 € en el plazo de 33 días. Figuran asimismo los datos de email (***EMAIL.1), cuenta bancaria YYYY YYYY YYYY YYYYYYYYYY, teléfono ***TELEFONO.1 y dirección ***DIRECCION.1 (los dos últimos datos, distintos de los consignados como propios por la denunciante en su denuncia ante la Guardia Civil). 2. El préstamo fue solicitado y suscrito mediante un proceso on line de contratación electrónica que se detalla:

  1. a)Proceso de solicitud: se efectúa a través del formulario de recogida de datos incluido en el sitio web www.quebueno.es almacenándose, entre otros, los siguientes datos: o DNI: ***DNI.1 o Fecha de registro: 28/02/2018 o Fecha de solicitud: 28/02/2018 o Fecha envío dinero: 28/02/2018 o Cantidad prestada: 225 euros C/ Jorge Juan, 6 28001 – Madrid o Días: 33 o Nombre: A.A.A. www.agpd.es sedeagpd.gob.es 2/17 o Fecha de Nacimiento: 17/02/1961 o Email: ***EMAIL.1 o Pin enviado: ***PIN.1 (es el código que se genera y envía al teléfono móvil que el solicitante ha indicado en el formulario de contratación, para que, una vez recibido en su dispositivo móvil, lo introduzca en la pantalla correspondiente del formulario como medida de verificación del teléfono móvil y de que está en disposición en ese momento de tal dispositivo). o Móvil: ***TELEFONO.1 o Dirección: ***DIRECCION.1 o Ciudad: ***DIRECCION.1 o Código Postal: ***DIRECCION.1 o Entidad: YYYY o Oficina: YYYY o Digito Control YY o Número de cuenta: YYYYYYYYYY o Card Type: MASTERCARD o Propietario tarjeta: A.A.A. La verificación de la identidad de los clientes se efectúa a través de la verificación de subconjuntos de datos aportados por éstos: - DNI y nombre. Se verifica que la letra del DNI es correcta, que corresponde a su nombre y que el nombre completo facilitado y que se devuelve a través de la consulta realizada a través de diferentes fuentes o medios de información, coincide con el nombre completo del solicitante. - DNI, nombre, email y fecha de expedición del carné: para aquellos clientes que disponen de carné de conducir se solicita la fecha de expedición de la licencia, demostrando la posesión del solicitante del carné de conducir físico. - Teléfono móvil: se verifica para certificar que existe y que está en posesión del solicitante. Para verificar el teléfono se envía a través de SMS un código de cuatro dígitos que el usuario ha de introducir en el proceso de solicitud. El usuario puede enviar la solicitud de crédito únicamente sí el código es correcto. - Email: Se verifica para comprobar que existe y que está en posesión del solicitante. Para ello se envía u email con los Términos y Condiciones Particulares del contrato de concesión de préstamo con un link para Aceptar estos términos. Únicamente se concede la financiación si el solicitante ha verificado su email. - Teléfono fijo: Se verifica con las páginas blancas en caso de que el solicitante lo facilite en la solicitud. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/17 - Cuenta bancaria: se verifica que es una cuenta bancaria válida en un banco español. - Tarjeta de débito: se verifica que el titular de la tarjeta de crédito coincide con el solicitante y se verifica si es una tarjeta válida a través de un cargo de un céntimo que permite comprobar que los datos de la tarjeta no son erróneos, no ha sido reportada como fraude, y el cargo se hace con éxito. Se verifica que la tarjeta y cuenta bancaria pertenezcan al mismo banco. - Información adicional: el formulario de solicitud no es el mismo para todas las solicitudes con objeto que el defraudador no sepa qué conjunto de datos personales va a tener que aportar para solicitar un préstamo. Se solicitan los siguientes datos aleatoriamente (en el caso de la solicitud efectuada a nombre de la denunciante no se solicitó): o DNI, equipo de expedición y fecha de validez: para verificar que el solicitante posee el DNI físico y que dicho documento está en vigor se solicita el equipo de expedición y la fecha de validez de este para aquellos casos en los que la información obligatoria no permite identificar correctamente al solicitante. o Número de la seguridad social: se solicita en los casos en los que la información obligatoria no es suficiente para identificar al solicitante. o Banca online: solicitud de las credenciales de la banca online para certificar la identidad del solicitante.
  2. b)“Máquina de riesgos”: riesgo fraude/identidad Con los datos aportados en el formulario de contratación efectuado a nombre de la denunciante la “máquina de riesgos”, en virtud del algoritmo matemático que contiene para llevar a cabo un análisis del “riesgo fraude/identidad” chequeó dichos datos dando como resultado un fiabilidad elevada y razonable para considerar la solicitud como válida. Se analizan los siguientes supuestos: C/ Jorge Juan, 6 28001 – Madrid o que no hay múltiples usuarios siendo la misma persona para evitar que los datos personales de una misma persona puedan utilizarse en varias solicitudes. Se comprobó que no había otras solicitudes en las que se hubieran incluido datos personales usados en la solicitud de A.A.A.. o Que desde el mismo dispositivo se hubiera efectuado otra solicitud de crédito a nombre de la denunciante (no se daba el caso en la solicitud a nombre de la denunciante) o Que la solicitud no se haga desde otro dispositivo una vez rechazada desde un primero (no se daba el caso en la solicitud a nombre de la denunciante) o Que el propietario o titular de la tarjeta de débito que se aporta en el formulario de contratación coincide con la persona que está cumplimentando dicho formulario (titular de tarjeta es el solicitante). Esta coincidencia se da en el caso que nos ocupa. o Que el dato que del nombre y apellido que el solicitante introduce en el formulario de contratación tiene similitud con el dato del e-mail www.agpd.es sedeagpd.gob.es 4/17 introducido en el formulario. Tal similitud existe entre el nombre de la denunciante y la dirección de correo electrónico aportada.
  3. c)Comportamiento: se analiza el comportamiento del usuario durante la cumplimentación del formulario de solicitud.
  4. d)Emails: el formulario de contratación genera una serie de emails remitidos al usuario, uno de los cuales es esencial para la aceptación del crédito, y así se remitió en fecha 28/02/2018 a la dirección de correo electrónico ***EMAIL.1 aportada en la solicitud.
  5. e)SMS: se envía al usuario un SMS con un código de cuatro dígitos que ha de introducir para continuar con su solicitud de crédito. El código fue enviado al número ***TELEFONO.1 aportado en la solicitud. 3. Llegada la fecha de vencimiento del préstamo (02/04/2018) no se efectuó el pago por lo que se generó una deuda a nombre de la denunciante por importe de 298,51 €. 4. En fecha 12/04/2018 la Guardia Civil remitió correo electrónico a NBQ solicitando información con motivo de la denuncia presentada por la presunta suplantación de identidad de la denunciante en la solicitud de un préstamo. En esa fecha NBQ facilitó la información y procedió a bloquear los datos de la denunciante en su sistema de información marcando su ficha de cliente con la etiqueta de “Fraude” para que no fueran objeto de tratamiento. TERCERO: Con fecha 27 de junio de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a NBQ por presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  6. b)de dicha norma, pudiendo ser sancionada con multa de 40.000, de acuerdo con el artículo 45.1, 4 y 5 de dicha Ley Orgánica, sin perjuicio de lo resultante de la instrucción del procedimiento. CUARTO: Notificado el acuerdo de inicio, NBQ formuló las siguientes alegaciones: 1ª. Existencia de un fichero “log” de aceptación de NBQ. La solicitud de préstamo en la web www.quebueno.es, la cumplimentación del formulario de solicitud del referido préstamo y la suscripción del contrato fueron realizadas de forma electrónica y online, sin presencia física, haciendo uso de un proceso de contratación a distancia. En fase de investigación se aportó un archivo denominado “behavioral” o “comportamiento” que constituye la evidencia o prueba técnica de la forma en cómo y en qué momento se estaban cumplimentando y aceptando, por parte del usuario (la denunciante), todos y cada uno de los diferentes campos del formulario online de la página web www.quebueno.es. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/17 Desde un punto de vista técnico, el “behavioral” o “comportamiento” interno de NBQ constituye el denominado fichero “log” en el que se registran todos los datos y toda la información relacionada con el usuario que se va cumplimentando durante el proceso de contratación en el formulario ubicado en la web www.quebueno.es. Asimismo, dicho fichero “log” registra y almacena todas las aceptaciones y todos los consentimientos prestados por el respectivo usuario durante dicho proceso de contratación como prueba de aceptación, entre otras cuestiones, de las condiciones del contrato de préstamo. Toda la información generada y almacenada en el fichero log derivada de las acciones realizadas por el usuario (en este caso, la denunciante), en el formulario de contratación electrónica de la web www.quebueno.es constituye la prueba que acredita que dicho usuario realizó la solicitud de préstamo en la mencionada que a través del correspondiente formulario. El fichero log es evidencia del comportamiento del usuario durante la cumplimentación del formulario con sus datos personales y la aceptación, en su caso, de las correspondientes casillas o “check boxes” de aceptación dispuestas a lo largo del formulario de contratación de las condiciones contractuales del préstamo. En dicho fichero log, las acciones o eventos (en este caso, todos y cada uno de los pasos que el usuario realiza en el formulario de solicitud de préstamo cuando va introduciendo sus datos personales y, en su caso, marcando los correspondientes check boxes o casillas de aceptación de las condiciones contractuales del préstamo) quedan guardados o “logueados” a través de un proceso de grabación en el “log”, que se denomina “logger” o “registrador”. Estos eventos o acciones “logueados” vienen anotados en el fichero “log” con la siguiente información: - El momento exacto (fecha, hora, minuto y segundo) en el que ocurrió el evento o acción del usuario, lo que permite analizar paso a paso la actividad. - Una o más categorizaciones del acontecimiento registrado: C/ Jorge Juan, 6 28001 – Madrid o Fieldname (nombre del campo a cumplimentar por el usuario o nombre del check box o casilla a marcar por el usuario). o usedID (el identificador del usuario o cliente que cumplimenta el formulario o que marca la correspondiente casilla de aceptación de condiciones) o url (nombre de la web de quebueno.es desde la que se cumplimenta el formulario o se acepta la casilla correspondiente). o Value (indica si el campo o la casilla está correctamente cumplimentado o marcado mediante un estado de “true” o “false”). www.agpd.es sedeagpd.gob.es 6/17 o Tag (categorización que a su vez tiene tres estados diferentes en función de que el campo o casilla sea visible para el usuario y7o se haya marcado por el mismo). En definitiva, que NBQ dispone del correspondiente fichero “log”, y en concreto del fichero “log” de aceptación, como archivo de registro que contiene toda la información de interacción del usuario (la denunciante), en el proceso de contratación del préstamo a través del formulario incluido en el sitio web www.quebueno.es. 2ª. Aceptación de las condiciones (particulares y generales) del contrato registrada en el fichero “log”. 2.1. Aceptación de las condiciones generales Durante el proceso de contratación online en la página web www.quebueno.es el formulario que se muestra al usuario contiene, entre otros, un check box o casilla que este debe marcar de forma expresa para consentir y aceptar las condiciones generales del contrato de préstamo que dicho usuario está solicitando y, en consecuencia, poder continuar con el proceso de contratación. En el caso concreto del procedimiento, el check box o casilla de aceptación de las condiciones generales fue marcado de forma expresa por el usuario (la denunciante). Se aporta secuencia de log de aceptación. De la transcripción del citado “log” de aceptación se aprecia que el campo denominado “fieldname: accept Terms” (campo de las condiciones generales del contrato que se incluía en el formulario de contratación online) fue marcado y aceptado de forma expresa por el usuario (la denunciante) en fecha 2018-02-28 a las 12:01:21 horas. Asimismo, el campo “value: true” significa que la casilla en cuestión fue marcada correctamente sin incidencias por el usuario (la denunciante). Del mismo modo, al campo “tag: focus” denota que tal casilla fue visible para el usuario en cuestión y, además, que dicha casilla fuera marcada y aceptada con un check sin necesidad de tener que cumplimentar ningún tipo de información en tal campo. Por último, el campo “refID 44831162084733597367” que aparece en el referido “log” y que coincide exactamente con el “reíd” que se incluye en la ficha cliente perteneciente a la denunciante (se aporta ficha) y al que están asociados los datos de la denunciante. 2.2. Aceptación de las condiciones particulares. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/17 Respecto a las condiciones particulares del referido contrato, el sistema genera un e-mail dirigido a la cuenta de correo electrónico facilitada por el usuario en el proceso de contratación online de la página web www.quebueno.es y en el que se incluye en el propio cuerpo del e-mail un enlace con las citadas condiciones particulares que el usuario debe aceptar haciendo click sobre dicho enlace. El fichero o registro de almacenamiento “log” tiene almacenada la interacción o evento del momento en que el usuario (la denunciante) recibió el e-mail con las condiciones particulares, lo abrió, y, en consecuencia, de forma simultánea, las aceptó (se adjunta transcripción de copia del fichero log de aceptación de las condiciones particulares). De la transcripción de este “log” se acreditan los siguientes extremos: - Que el correo electrónico enviado al usuario (la denunciante) con las condiciones particulares fue entregado de forma correcta dado que figura la información: “delivered: true”. - Que el correo electrónico enviado al usuario (la denunciante) con las condiciones particulares fue abierto de forma correcta dado que figura la información: “opened: true”. - Que el correo electrónico enviado al usuario (la denunciante) con las condiciones particulares fue abierto y aceptado en el siguiente día y hora: “openingDate”: ISODate(“2018-02-28T13: 14:06.709+02.00”). 3º. Graduación de la sanción. En cuanto NBQ tuvo conocimiento de la suplantación de identidad regularizó la situación de manera diligente (artículo 45.5.
  7. b)QUINTO: En fecha 15/11/2018 se emitió propuesta de resolución en el sentido de imponer a NBQ una multa de 40.000 € por la infracción del artículo 6.1 de las LOPD. SEXTO: Notificada la propuesta NBQ reiteró que la acreditación de la realización de la solicitud del préstamo y aceptación de las condiciones del contrato ha resultado probada por la aportación del “log de aceptación” realizado en la web. HECHOS PROBADOS PRIMERA: En fecha 26/04/2018 tiene entrada en esta Agencia escrito de la Comandancia de la Guardia Civil de León por el que se traslada la denuncia presentada por la denunciante en la que manifiesta que se ha producido una usurpación de su identidad en la contratación de un préstamo de 225 € con la entidad NBQ. La denunciante se identifica en la denuncia como titular del DNI ***DNI.1 y teléfono móvil ***TELEFONO.2, y con domicilio en ***DIRECCION.2. SEGUNDO: En los sistemas de NBQ constan los datos personales de la denunciante (nombre y apellidos y DNI) asociados a un préstamo por importe de 225 € solicitado en fecha 28/02/2018 (12:01) con un importe a devolver de 298,51 € en el plazo de 33 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/17 días. Figuran asimismo los datos de email (***EMAIL.1), cuenta bancaria YYYY YYYY YYYY YYYYYYYYYY, teléfono ***TELEFONO.1 y dirección ***DIRECCION.1 (estos dos últimos datos, teléfono y dirección, son distintos de los consignados como propios por la denunciante en su denuncia ante la Guardia Civil). TERCERO: La solicitud del referido préstamo en la web www.quebueno.es, la cumplimentación del formulario de solicitud de este y la suscripción del contrato fueron realizadas de forma electrónica y online, sin presencia física, haciendo uso de un proceso de contratación a distancia que se detalla:
  8. a)Proceso de solicitud: se efectúa a través del formulario de recogida de datos incluido en el sitio web www.quebueno.es almacenándose, entre otros, los siguientes datos: o DNI: ***DNI.1 o Fecha de registro: 28/02/2018 o Fecha de solicitud: 28/02/2018 o Fecha envío dinero: 28/02/2018 o Cantidad prestada: 225 euros o Días: 33 o Nombre: A.A.A. o Fecha de Nacimiento: 17/02/1961 o Email: ***EMAIL.1 o Pin enviado: ***PIN.1 (es el código que se genera y envía al teléfono móvil que el solicitante ha indicado en el formulario de contratación, para que, una vez recibido en su dispositivo móvil, lo introduzca en la pantalla correspondiente del formulario como medida de verificación del teléfono móvil y de que está en disposición en ese momento de tal dispositivo). o Móvil: ***TELEFONO.1 (la denunciante manifiesta en su denuncia ante la Guardia Civil que su móvil es el ***TELEFONO.2) o Dirección: ***DIRECCION.1 o Ciudad: ***DIRECCION.1 o Código Postal: ***DIRECCION.1 o Entidad: YYYY o Oficina: YYYY o Digito Control: YY o Número de cuenta: YYYYYYYYYY o Card Type: MASTERCARD o Propietario tarjeta: A.A.A. La verificación de la identidad del referido cliente se efectúa a través de la verificación de los datos aportados por éste: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/17 - DNI y nombre. Se verifica que letra del DNI es correcta, que corresponde a su nombre y que el nombre completo facilitado y que se devuelve a través de la consulta realizada a través de diferentes fuentes o medios de información, coincide con el nombre completo del solicitante. - Teléfono móvil: se verifica para certificar que existe y que está en posesión del solicitante. Para verificar el teléfono se envía al móvil ***TELEFONO.1 a través de SMS un código de cuatro dígitos (se envió el código ***PIN.1) que el usuario ha de introducir en el proceso de solicitud. El usuario puede enviar la solicitud de crédito únicamente sí el código es correcto. El usuario introdujo el citado código por lo que se validó el envío de la solicitud de préstamo. - Email: Se verifica para comprobar que existe y que está en posesión del solicitante. Para ello se envía un email con los Términos y Condiciones Particulares del contrato de concesión de préstamo con un link para Aceptar estos términos. Únicamente se concede la financiación si el solicitante ha verificado su email. En el presente caso, en fecha 28/02/2018 (12:05 PM), se remite un correo electrónico a la dirección ***EMAIL.1 con el asunto: “Tu préstamo ha sido aprobado hasta 225,0 euros”, que contiene las condiciones particulares del contrato que se detallan: - Importe del préstamo: 225,0 euros - Comisión de apertura: 0,0 euros - Intereses: 73,51 euros - Tasa Anual Equivalente (TAE): 2180,24 %) - Cantidad total a pagar: 298,51 euros - Duración del préstamo: 33 días - Fecha de vencimiento: 02/04/2018 - Devolución del préstamo: El día 02/04/2018 debes realizar el pago de 289,51 €. Ese mismo día recibirás un correo electrónico con instrucciones detalladas sobre cómo realizar al pago - Amortización anticipada. Paga el préstamo antes de vencimiento y ahórrate dinero. - Reclamación de posiciones deudoras vencidas: 2,23 €/días 10 € fijos desde la fecha de incumplimiento + 10 € adicionales durante el periodo de recobro anterior a la inclusión en fichero de solvencia - Email del prestatario: ***EMAIL.1 El correo contiene un enlace “Acepto las condiciones particulares del contrato” en el que se aceptan al hacer click en el mismo. El correo electrónico adjunta un documento en formato “pdf” con el precontrato. El referido correo fue abierto y recibido en la dirección ***EMAIL.1 y en fecha 28/02/2018(14:06). - Cuenta bancaria: se verifica que es una cuenta bancaria válida en un banco español. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/17
  9. b)“Máquina de riesgos”: riesgo fraude/identidad Con los datos aportados en el formulario de contratación efectuado a nombre de la denunciante la “máquina de riesgos”, en virtud del algoritmo matemático que contiene para llevar a cabo un análisis del “riesgo fraude/identidad” chequeó dichos datos dando como resultado un fiabilidad elevada y razonable para considerar la solicitud como válida. Se analizan los siguientes supuestos: o que no hay múltiples usuarios siendo la misma persona para evitar que los datos personales de una misma persona puedan utilizarse en varias solicitudes. Se comprobó que no había otras solicitudes en las que se hubieran incluido datos personales usados en la solicitud de la denunciante. o Que desde el mismo dispositivo se hubiera efectuado otra solicitud de crédito a nombre de la denunciante (no se daba el caso en la solicitud a nombre de la denunciante) o Que la solicitud no se haga desde otro dispositivo una vez rechazada desde un primero (no se daba el caso en la solicitud a nombre de la denunciante) o Que el propietario o titular de la tarjeta de débito que se aporta en el formulario de contratación coincide con la persona que está cumplimentando dicho formulario (titular de tarjeta es el solicitante). Esta coincidencia se da en el caso que nos ocupa. o Que el dato que del nombre y apellido que el solicitante introduce en el formulario de contratación tiene similitud con el dato del e-mail introducido en el formulario. Tal similitud existe entre el nombre de la denunciante y la dirección de correo electrónico aportada.
  10. c)Comportamiento: se analiza el comportamiento del usuario durante la cumplimentación del formulario de solicitud.
  11. d)Emails: el formulario de contratación genera una serie de emails remitidos al usuario a la dirección de correo electrónico ***EMAIL.1 aportada en la solicitud: - 28/02/2018 (12:05 PM): “Tu préstamo ha sido aprobado hasta 225,0 euros”. - 28/02/2018 (12:06 PM): “Préstamo concedido. QueBueno!” - 28/02/2018 (1.29 PM): “El dinero ha sido enviado a tu cuenta, QueBueno!” - 30/03/2018 (11.01 AM): “Información de QueBueno” - 01/04/2018: (11.00 AM): “Tu préstamo termina mañana”. - 02/04/2018: (3:02 AM): “Tu préstamo vence hoy”. - 03/04/2018 (2:00 AM): “Préstamo cumplido”. - 07/04/2018 (9:43 AM): “Cambio de contraseña QueBueno!”
  12. e)SMS: se envía al usuario al móvil ***TELEFONO.1 un código (***PIN.1) que ha de introducir en el proceso de solicitud. El usuario puede enviar la solicitud de crédito únicamente sí el código es correcto. El usuario introdujo el citado código por lo que se validó el envío de la solicitud de préstamo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/17 CUARTO: Llegada la fecha de vencimiento del préstamo (02/04/2018) no se efectuó el pago por lo que se generó una deuda a nombre de la denunciante por importe de 298,51 €. QUINTO: NBQ remitió a la denunciante carta de fecha 03/04/2018 en la que se le requiere el pago de un préstamo de 225 € solicitado en fecha 28/02/2018, y carta de la misma fecha en la que se le requiere el pago de 310,74 €. SEXTO: En fecha 12/04/2018 la Guardia Civil remitió correo electrónico a NBQ solicitando información con motivo de la denuncia presentada por la denunciante por la presunta suplantación de su identidad en la solicitud de un préstamo. En esa fecha NBQ facilitó la información y procedió a bloquear los datos de la denunciante en su sistema de información marcando su ficha de cliente con la etiqueta de “Fraude” para que no fueran objeto de tratamiento. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  13. g)en relación con el artículo 36 de la LOPD. II Se imputa a NBQ el tratamiento sin consentimiento de los datos personales de la denunciante utilizados para solicitar y contratar un préstamo que ésta niega haber solicitado, lo cual podría suponer una vulneración del artículo 6.1 de la LOPD. Recordar que en los sistemas de NBQ constan los datos personales de la denunciante (nombre y apellidos y DNI) asociados a un préstamo por importe de 225 € solicitado en fecha 28/02/2018 (12:01) con un importe a devolver de 298,51 € en el plazo de 33 días. Figuran asimismo los datos de email (***EMAIL.1), cuenta bancaria YYYY YYYY YYYY YYYYYYYYYY, teléfono ***TELEFONO.1 y dirección ***DIRECCION.1 (estos dos últimos datos, teléfono y dirección, son distintos de los consignados como propios por la denunciante en su denuncia ante la Guardia Civil). La solicitud y contratación del referido préstamo se efectuó de forma electrónica y online, sin presencia física, haciendo uso de un proceso de contratación a distancia que se inicia con la solicitud de préstamo efectuada a través del formulario de recogida de datos incluido en el sitio web www.quebueno.es. En este formulario se introdujeron datos personales de la denunciante tales como su nombre y apellidos y DNI, junto a otros datos que, se acredita, no son suyos, tales como la línea móvil ***TELEFONO.1 y dirección ***DIRECCION.1 ***DIRECCION.1, y con otros tales como dirección de correo electrónico (***EMAIL.1) y cuenta bancaria (YYYY YYYY YYYY YYYYYYYYYY) cuya titularidad se desconoce. A este respecto NBQ acredita el protocolo implementado para validar la identidad del cliente que introduce los datos en el formulario de solicitud y posteriormente contrata el préstamo, que incluye los siguientes aspectos en el caso de la contratación del préstamo objeto de denuncia: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/17 - Se verifica que letra del DNI es correcta, que corresponde a su nombre y que el nombre completo facilitado y que se devuelve a través de la consulta realizada a través de diferentes fuentes o medios de información, coincide con el nombre completo del solicitante. - Se verifica que la cuenta bancaria es válida en un banco español. - Se verifica: o que no hay múltiples usuarios siendo la misma persona para evitar que los datos personales de una misma persona puedan utilizarse en varias solicitudes. Se comprobó que no había otras solicitudes en las que se hubieran incluido datos personales usados en la solicitud de la denunciante. o que desde el mismo dispositivo se hubiera efectuado otra solicitud de crédito a nombre de la denunciante (no se daba el caso en la solicitud a nombre de la denunciante) o que la solicitud no se haga desde otro dispositivo una vez rechazada desde un primero (no se daba el caso en la solicitud a nombre de la denunciante) o que el dato que del nombre y apellido que el solicitante introduce en el formulario de contratación tiene similitud con el dato del e-mail introducido en el formulario. Tal similitud existe entre el nombre de la denunciante y la dirección de correo electrónico aportada. - Se verifica que el móvil existe y que está en posesión del solicitante. Así, se envía al móvil ***TELEFONO.1 a través de SMS un código de cuatro dígitos (se envió el código ***PIN.1) que el usuario introdujo en el proceso de solicitud con lo cual el sistema le permitió continuar con la solicitud de préstamo. - Se verifica que el e-mail ***EMAIL.1 existe y que está en posesión del solicitante. Para ello se envía un email con los Términos y Condiciones Particulares del contrato de concesión de préstamo con un link para Aceptar estos términos. Únicamente se concede la financiación si el solicitante ha verificado su email. En el presente caso, en fecha 28/02/2018 (12:05 PM), se remite un correo electrónico a la dirección ***EMAIL.1 con el asunto: “Tu préstamo ha sido aprobado hasta 225,0 euros”, que contiene las condiciones particulares del contrato que se detallan: El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6 LOPD). En el presente caso, NBQ aporta los campos que fueron solicitados en el formulario de contratación para ser cumplimentados con los datos de la denunciante e indica que los mismos fueron cumplimentados efectivamente con los datos personales del solicitante en el formulario de contratación, pero no acredita que dichos datos fueron aportados por la propia la denunciante por cuanto el protocolo descrito anteriormente para acreditar la identidad del solicitante del préstamo (en este caso de la denunciante) en modo alguno cumple dicho objetivo por cuanto, en esencia, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/17 limita a determinar si el DNI y cuenta bancaria facilitados son válidos, si la dirección de correo electrónico tiene similitud con el nombre y apellidos del solicitante, y si se ha recibido en el móvil facilitado el SMS en el que se envía el código para continuar con la solicitud, y si se ha recibido y abierto el e-mail remitido a la dirección de correo electrónico facilitada, así como si se han aceptado las condiciones del contrato mediante el click en el enlace adjunto que se remite. Ninguno de estos mecanismos acredita que fue la denunciante quien solicitó y contrató el préstamo, por cuanto únicamente ponen de manifiesto que los datos personales consignados en el formulario online, (DNI y cuenta bancaria), existen, así como que se enviaron SMS y correo electrónico a un móvil (***TELEFONO.1) y a una dirección de correo (***EMAIL.1) que en modo alguno identifican a la denunciante como titular de los mismos. Así pues, NBQ aporta información sobre la “Máquina de riegos (CRE)”, y explica los servicios en que se basa o aporta la información que el usuario cumplimenta como el campo del código PIN que se genera, en este caso el nº ***PIN.1 y que se envía al solicitante para que pudiera incluirlo en el formulario de contratación, pero nada acredita con ello la entidad NBQ, ya que el código generado es enviado a un número de teléfono del cual NBQ no puede acreditar la titularidad con otra prueba que no sea la mera constancia del mismo introducido por “alguien” en sus sistemas, pero que no acredita haya sido la denunciante. En el mismo sentido, NBQ aporta los emails que el formulario de contratación genera y entre los que se encuentra el email que se envía al usuario bajo el asunto: “Solicitud aprobada, revisa y acepta las condiciones particulares del contrato” y se incluye un enlace con las “condiciones particulares" del crédito que el cliente debe expresamente. En este sentido, se aporta la trazabilidad de la información correspondiente al email, pero con ello no acredita, tanto que el email al cual se envía la información fuera proporcionado por la denunciante, como que fuera titular del mismo, pudiendo ser cualquier otra persona que realiza la contratación utilizando alguno de los datos de la denunciante (nombre y apellidos y DNI), como así sucedió. Examinadas las alegaciones y pruebas obrantes en el expediente se verifica la falta de diligencia de NBQ en la contratación del referido préstamo por cuanto no ha aportado prueba alguna que acredite la identidad e identificación de la persona solicitante como la titular de los datos personales utilizados en dicha contratación, por lo que cabe concluir que, en su condición del responsable del fichero al que se incorporaron los datos personales del afectado, NBQ es responsable de la infracción del artículo 6 de la LOPD. III El artículo 44.3.
  14. b)de la LOPD considera infracción grave: “
  15. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. En este caso, NBQ ha incurrido en la infracción descrita ya que ha vulnerado el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, al tratar los datos personales de la denunciante sin su consentimiento utilizados para solicitar y contratar un préstamo, hecho que encuentra su tipificación en el artículo referido C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/17 44.3.
  16. b)de la citada Ley Orgánica. IV El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  17. a)El carácter continuado de la infracción.
  18. b)El volumen de los tratamientos efectuados.
  19. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  20. d)El volumen de negocio o actividad del infractor.
  21. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. f)El grado de intencionalidad.
  23. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  24. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  25. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  26. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  27. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  28. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  29. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  30. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  31. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/17 absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de la prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Conforme a los hechos probados en el expediente se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, habida cuenta de concurrir la circunstancia recogida en el apartado
  32. b)del referido art. 45.5 de la LOPD, por cuanto se regularizó la situación el mismo día en que tuvo conocimiento de la existencia de una presunta suplantación de la identidad de la denunciante utilizando sus datos en la contratación del préstamo objeto de denuncia, y con anterioridad a recibir requerimiento de información por parte de esta Agencia. En cuanto a la graduación de la sanción, conforme a los criterios que establece el art. 45.4 de la LOPD debe concluirse que operan como circunstancias agravantes de la conducta que se enjuicia: - El apartado
  33. a)“El carácter continuado de la infracción” por cuanto el tratamiento sin consentimiento de los datos de la denunciante se verificó desde fecha 28/02/2018 hasta fecha 12/04/2018 en la cual NBQ procedió a bloquear los datos de la denunciante en su sistema de información marcando su ficha de cliente con la etiqueta de “Fraude” para que no fueran objeto de tratamiento, con motivo de la recepción de un correo electrónico de la Guardia Civil solicitando información con motivo de la denuncia presentada por la denunciante por la presunta suplantación de su identidad en la solicitud de un préstamo. - El apartado
  34. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal. - El apartado
  35. d)“El volumen de negocio o actividad del infractor”, toda vez que estamos ante una de las principales empresas del sector. - El apartado
  36. g)“Reincidencia en la comisión de infracciones de la misma naturaleza”, habida cuenta que la entidad ha sido sancionada por la AEPD por vulneración del artículo 6.1 de la LOPD al tratar datos personales sin el consentimiento previo de su titular. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/17 - El apartado
  37. j)“Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” toda vez que el protocolo utilizado al realizar el tratamiento de los datos de carácter personal en el proceso de alta no garantiza la identificación del cliente, por lo que es susceptible de producir situaciones de fraude. En atención a los hechos y fundamentos de derecho anteriores procede imponer a NBQ una multa de 40.000 € por la infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad NBQ TECHNOLOGY, S.A.U. con NIF A65559296, por una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como Grave en el artículo 6.1 de la LOPD, una multa de 40.000 €, de conformidad con lo establecido en el artículo 45.1, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a NBQ TECHNOLOGY, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  38. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/17 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  39. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.