1/8 Procedimiento Nº PS/00281/2017 RESOLUCIÓN: R/02658/2017 En el procedimiento sancionador PS/281/2017, instruido por la Agencia Española de Protección de Datos, a la entidad WONGA CONSUMER FINANCE SPAIN SLU (anteriormente denominada TWICE LAMDA INVESTIMENS SL. (WONGA), vista la denuncia presentada por C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 13/07/16 tiene entrada en esta Agencia, denuncia de C.C.C., contra la entidad WONGA, por los siguientes hechos: “Su identidad ha sido suplantada en la contratación de un préstamo financiero. Derivado de dicho préstamo se ha producido una deuda que ha motivado su inclusión en ficheros de solvencia patrimonial y de crédito. Ha denunciado los hechos ante la Policía y ha remitido reclamación a la entidad acreedora de dicha deuda”. La documentación aportada por el denunciante se encuentra detallada tanto en el acuerdo de incoación del expediente como en la propuesta de resolución. SEGUNDO: A la vista de los hechos denunciados, en fase actuaciones previas, la empresa WONGA, remite la información detallada tanto en el acuerdo de inicio del expediente como en la propuesta de resolución TERCERO: Con fecha 14/06/17, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a la entidad WONGA, por presunta infracción de los artículos 6.1 y 4.3) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificadas como grave en el artículo 44.3.
- b)y
- c)respectivamente, de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros cada una, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia, mediante escrito de fecha 12/07/17, formuló alegaciones, cuyo contenido se encuentra en el expediente sancionador y que en síntesis, ya se expusieron en la propuesta de resolución. QUINTO: Con fecha 21/07/17, se inició el período de práctica de pruebas, acordándose: a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la denunciante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/6277/2015 y b).- dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/281/2017, presentadas por la representación de la entidad denunciada. En base a lo estipulado en el escrito de apertura de periodo de pruebas, con fecha 10/08/17 se requiere a la empresa EXPERIAN que envíe la información referente a la inclusión de los datos personales del denunciante en el fichero de solvencia y crédito BADEXCUG. SEXTO: Con fecha 31/08/17, se recibe informe de EXPERIAN, a requerimiento de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Agencia, en cuyo punto nº 1.2 de “Histórico de Actualizaciones de BADEXCUG”, aporta como documento nº 4.- información relativa a la operación aportada por la entidad WONGA: - “Operación nº ***OP.1: Esta deuda se dio de alta el día 08/05/16 y se dio de baja el 18/05/16 por proceso automático semanal de actualización de a datos” SEPTIMO: Con fecha 05/09/17, se firma la propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad WONGA, por infracción de los artículos 4.3) y 6.1) de la LOPD, tipificada como grave en los artículos 44.3.
- c)y
- b)respectivamente, de dicha norma, con una multa de 50.000 (cincuenta mil euros) por cada una de las infracciones, dando un total de 100.000 (cien mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. OCTAVO: Notificada la propuesta de resolución, la representación de la entidad WONGA remite escrito, en el plazo concedido para ello, en las que, en síntesis, alega: a).- La Propuesta de Resolución propone la imposición de una sanción sobre la base de una presunta infracción de los artículos 4.3) y 6.1) de la LOPD, sin motivación alguna, comportando una fragante vulneración del principio de seguridad jurídica y defiende que, respecto al artículo 6.1), la entidad WONGA fue engañada a pesar de haber aplicado toda la diligencia exigible y en base a eso y además avalado por innumerables sentencias de la AN, la AEPD debe considerar este hecho y no apreciar culpabilidad alguna, tal y como ha ocurrido ya en otras ocasiones, incluido algún caso en el que se ha visto involucrada la entidad WONGA, Exige por tanto, a esta Agencia que explique los motivos por los que ahora, la Propuesta de Resolución se aparta del criterio seguido en asuntos similares, ya que una sanción en los términos propuestos generaría una inseguridad jurídica gravísima y contraria a los preceptos establecidos en la CE, y que de no tomarse en consideración, denotarían un claro cambio de criterio de la AEPD respecto a los casos de suplantación de identidad y verificación de la identidad del usuario, con el consiguiente perjuicio. b).- La Propuesta de Resolución no adolece únicamente de una vulneración de los principios de confianza legítima, buena fe, igualdad y seguridad jurídica, si no que incurre también en un claro vicio de falta de motivación. c).- Se reiteran en lo expuesto en las alegaciones de 12/07/17. Defienden que, a pesar de todo lo expuesto y de los documentos acreditativos aportados en el citado escrito de alegaciones, en la Propuesta de Resolución se incluye como único Fundamento de Derecho para imputar a Wonga una infracción del artículo 4.3 de la LOPD que: “según informe de EXPERIAN BUREAU, los datos de C.C.C. fueron incluidos en el fichero BADEXCUG por la entidad WONGA con numero ***OP.1 el día 08/05/16 y dados de baja el 18/05/16” y que las alegaciones vertidas por Wonga en el escrito de fecha 12/07/17 han sido contempladas por la Agencia como meras alegaciones de parte, sin tomar en consideración que las mismas se sustentaban en la prueba documental aportada junto con dicho escrito, aportando ahora un Dictamen Pericial emitido por la empresa Masandrada Consulting S.L. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 En dicho Dictamen Pericial se describen técnica y pormenorizadamente las acciones registradas en los sistemas informáticos de Wonga donde acredita que la orden de baja fue emitida por Wonga el 04/05/17 ejecutada por Experian el 15/05/16, sin que esta parte conozca los motivos de la tardía ejecución de la orden por dicha empresa. d).- No discuten la eventual inclusión de los datos del C.C.C. en el fichero Badexcug, sino que lo que acreditan es que dicha inclusión no se realizó a instancias de Wonga, puesto que lo que esta entidad ordenó fue la eliminación de los mismos. Dicha inclusión pudo producirse por un error de Experian o, por el retraso de Experian en ejecutar la orden emitida por Wonga, circunstancia que en absoluto puede imputarse a ésta, sin embargo no consta que se haya realizado una mínima investigación encaminada a esclarecer los motivos de la inclusión, ni la responsabilidad de la misma. En este sentido, los documentos aportados por Wonga a lo largo del procedimiento, y en especial el Dictamen Pericial que se aporta ahora analizan pormenorizadamente todo el proceso de comunicación de Wonga con Experian, mientras que el informe presentado por Experian únicamente acredita un resultado (derivado de su propia actuación de procesamiento de los datos comunicados), la inclusión de los datos en el fichero de Badexcug, pero no analiza el proceso que dio lugar a dicho resultado ni, por tanto, quién es responsable del mismo. No se discute que se haya producido una eventual inclusión errónea de los datos del C.C.C. en el fichero Badexcug. Sin embargo, Wonga ha aportado todas las pruebas a su alcance para acreditar que no es responsable de dicha inclusión, sin que las mismas hayan sido desvirtuadas en el marco del presente procedimiento sancionador, lo cual determina la aplicación del principio in dubio pro reo. e).- No obstante, de forma subsidiaria, y sólo para el improbable supuesto en que la Agencia no estimase las alegaciones formuladas hacen referencia a la necesaria aplicación del principio de proporcionalidad al concurrir los requisitos necesarios para su preceptiva aplicación contemplados en el artículo 45,5 de la LOPD Por último se solicita que se acuerde el archivo de las actuaciones sobre la base de que no cabe reproche alguno a las actuaciones de Wonga ni debe ser considerado como responsable de la comunicación de los datos del C.C.C. al fichero Badexcug de Experian, dando lugar a un supuesto de ausencia total de culpabilidad, Subsidiariamente, se aplique el artículo 45.5 de la LOPD o subsidiariamente, de no apreciar que se reúnen las circunstancias del precitado artículo 45.5, de conformidad con lo previsto en el artículo 45,4 se gradúe la cuantía de la sanción, imponiendo el importe mínimo correspondiente a las sanciones graves. HECHOS PROBADOS a).- Existe una notificación de inclusión en ASNEF, referenciada e individualizada a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 nombre del denunciante, en la dirección A.A.A., con referencia a una situación de incumplimiento con la entidad WONGA, alta el 05/04/16 y saldo impagado de 416,50 euros. b).- Existe una denuncia interpuesta ante la Policía Nacional el 19/04/16 alegando no haber realizado dicha operación. c).- Existe una carta certificada que se envía el 25/04/16, a WONGA denunciando los hechos y adjuntando copia de la denuncia ante la Policía Nacional. d).- Existe una carta expedida por WONGA (sin fechar), de contestación a dicha reclamación, donde se le solicita que aporte documentación adicional y se le especifica que la cuenta creada a su nombre ha sido temporalmente suspendida y se ha procedido a dar de baja sus datos de los ficheros solvencia mientras dura la investigación. e).- WONGA manifiesta que, el mismo día en que se recibe la carta, se paralizan las acciones de recobro, procede al bloqueo de los datos personales del denunciante y le solicita información adicional a fin de poder investigar el caso de posible fraude, procediéndose a dar de baja sus datos del fichero de solvencia. f).- La copia del contrato de préstamo (sin firmar) consta como peticionario el denunciante junto con la copia de su DNI y un recibo de domiciliación bancaria. g).- Existe impresión del fichero ASNEF, a fecha 05/05/16, en el que consta que los datos del denunciante no están incluidos en el mismo. h).- Existe una notificación de inclusión en BADEXCUG de fecha 10/05/16 sin referenciar e individualizada a nombre del denunciante, con referencia a una situación de incumplimiento con WONGA, de fecha de alta el 08/05/16 y saldo impagado de 416,50 euros. i).- Respecto al requerimiento previo de pago, se constata que: Existe carta, de número de referencia ***NREF.1 fechada a 07/03/2016, que remite la entidad denunciada al denunciante advirtiéndole advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago en el plazo de 20 días. Existe certificado expedido por SERVINFORM, S.A. de la generación, impresión y puesta en el servicio de envíos postales con fecha 08/03/16 de la carta de requerimiento de pago con número de referencia ***NREF.1 dirigida al denunciante a su dirección. Existe copia del documento acreditativo del gestor postal Correos de referencia “***NREF.2” en el que figura la remisión de 106 cartas con fecha 08/03/16 en nombre de EQUIFAX IBERICA, S.L. sin individualizar una referencia a la carta al denunciante, y validado por el gestor postal. Existe certificado expedido por EQUIFAX IBERICA, S.L. a fecha 13/12/16 que acredita que no consta que el requerimiento previo de pago de referencia ***NREF.1 haya sido devuelto. j).- En su escrito de respuesta a la solicitud de información manifiesta que el alta en ASNEF de la deuda asociada al denunciante se produjo a 05/04/16, transcurridos los 20 días indicados en el requerimiento previo de pago. k).- En su escrito de respuesta a la solicitud de información manifiesta que los datos se dieron de baja a fecha 28/04/16 tras recibir la comunicación del denunciante en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 que manifestaba no haber contratado préstamo alguno con TWICE LAMDA INVESTMENTS S.L. Señala también que los datos no han vuelto a ser dados de alta por haber confirmado la entidad el caso de fraude. Adjunta impresión de pantalla de consulta a las bases de datos de la entidad que refiere las fechas de alta y baja señaladas. l).- El informe de EXPERIAN BOREAU DE CRÉDITO indica que la operación aportada por la entidad WONGA, con número ***OP.1, es dada alta el día 08/05/16 y dada de baja el 18/05/16, por proceso automático semanal de actualización de a datos. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g), en relación con el artículo 36 de la LOPD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada a WONGA, que ha quedado reflejada en los hechos declarados probados arriba relatados. WONGA, es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia relacionados con los artículos 4.3 y 6.1 de la LOPD, donde se establece la necesidad de que los datos personales que se recojan en cualquier fichero sean tratados previo consentimiento expreso del interesado y además sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. En el caso que nos ocupa, tal y como reconoce la propia entidad WONGA, no es la primera vez que la empresa es denunciada por fallos en los protocolos de actuación respecto a la seguridad de los datos personales, su verificación y la lucha contra la usurpación de la identidad y que anteriormente habían solucionado este problema de una posible sanción por parte de la AEPD, con la aplicación de una diligencia debida a la hora de cancelar y bloquear la duda y eliminar la inclusión de los datos personales en los ficheros de solvencia. No obstante, aunque la representación de la entidad WONGA pretenda identificar todos los casos por igual, incluidos las innumerables sentencias expuestas en las alegaciones de la AN, el caso que nos ocupa no tiene ninguna semejanza los expuestos en las alegaciones, ya que en éste, existe una utilización de los datos personales del denunciante sin su consentimiento expreso el día 08/05/16 para su alta en el fichero BADEXCUG, después de que la entidad WONGA recibiera la denuncia de usurpación de identidad en la contratación de un crédito, el 25/04/16, actuación que por sí sola vulnera los principios recogidos en el artículo 6.1 de la LOPD. Por otra parte, de toda la documentación obrante en el expediente se desprende que, WONGA dio orden de inclusión de los datos del denunciante en el fichero ASNEF con fecha de alta el 05/04/16. Que el día 25/04/16, cuando recibe la denuncia del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 C.C.C. procede a dar de baja los datos en el fichero ASNEF, el 28/04/16 (3 días después de recibir la denuncia). Respecto del fichero BADEXCUG señalar que no existe ningún alta el 05/04/16 o fechas próximas a ésta tal y como defiende la entidad WONGA, sino que la fecha de alta es el 08/05/16 (un mes después de la fecha de alta en ASNEF y 13 días después de recibir la denuncia. Los datos de denunciante son dados de baja el 18/05/16 del fichero BADEXCUG, por lo que estuvieron incluidos en dicho fichero durante 11 días cuando la empresa conocía de la existencia de la denuncia interpuesta por el C.C.C. unos días antes de su alta. La representación de la empresa no niega los expuesto anteriormente, la inclusión de los datos del C.C.C. en el fichero BADEXCUG después de conocer la existencia de la denuncia pero se defiende diciendo que podría ser debido a un error en el tratamiento de los datos por la empresa EXPERIAN e indica que WONGA actuó con la debida diligencia, incluso aportando un informe pericial de empresa ajena. La conclusión es que, los datos del C.C.C. fueron incluidos en el fichero BADEXCUG de tal forma que vulneraron lo establecido en el artículo 4.3 de la LOPD. Que el responsable del tratamiento de dichos datos fue la empresa WONGA y que EXPERIAN certifica que, a instancia de ésta los datos fueron incluidos en el fichero BADEXCUG, sin que por parte WONGA se presente prueba en contra de esta afirmación, por lo que, la presunción de inocencia esgrimida por la representación de la entidad WONGA queda sin efecto en este caso. III El artículo 45 de la LOPD, distingue la división de las infracciones, su cuantía y su graduación atendiendo a diferentes argumentos. Se indica además que, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate. Para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Tras las evidencias obtenidas en las diferentes fases del procedimiento, no procede, en este caso considerar ninguna de las circunstancias especificadas en el artículo 45.5 para su aplicación en ambas infracciones. Además, se considera que procede graduar, para ambas infracciones, la sanción a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo 45.4 de la LOPD: El carácter continuado de ambas infracciones, al haber tratado los datos del denunciante sin consentimiento después de conocer la denuncia por usurpación de la identidad para notificar su alta en el fichero BADEXCUF y haber sido incluidos en dicho fichero desde el 08/05/16 hasta el 18/05/16. (apartado 4.a). Por la vinculación de la actividad del infractor con la realización de tratamientos de carácter personal (apartado 4.c), Por el grado de intencionalidad en la comisión de los hechos, al no tener C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 justificado su inclusión en el fichero de solvencia BADEXCUG (apartado 4.f), Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad WONGA una sanción de 50.000 (cincuenta mil euros) por una infracción del artículo 4.3 de la LOPD, en relación con la inclusión del os datos personales en los ficheros de solvencia y crédito, según el art. 29.4 de la LOPD, y los artículos 38.1
- c)39 y 43, del RLOPD, tipificada como GRAVE en el artículo 44.3
- c)de la citada Ley. Imponer además, una sanción de 50.000 (cincuenta mil euros), por una infracción del artículo 6.1 de la LOPD en relación con tratamiento de los datos sin el consentimiento del afectado, pues se han sido tratados en los ficheros de la entidad desde el 25/04/16, fecha de conocimiento de la denuncia, hasta el 18/05/16, fecha en que fueron definitivamente borrados de los ficheros de solvencia. Ambas infracciones dan como resultado una sanción conjunta de 100.000 (cien mil euros). SEGUNDO: NOTIFICAR la presente resolución a WONGA CONSUMER FINANCE SPAIN SLU. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida B.B.B., abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es