PS-00317-2018

1/30 938-0419 Procedimiento Nº: PS/00317/2018 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 12/11/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito presentado por D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que la entidad YOUNITED CREDIT, S.A., Sucursal en España, con NIF W2500913E, (en lo sucesivo, YOUNITED o la denunciada), ha consultado su solvencia en los ficheros ASNEF y BADEXCUG sin estar legitimada para el tratamiento efectuado. Anexa a su denuncia, entre otros, los documentos siguientes: - Carta de EXPERIAN firmada por el Servicio de Protección al Consumidor del Fichero Badexcug, de fecha 13/10/2017, en la que informa al denunciante de que por YOUNITED se han efectuado en los últimos seis meses consultas al fichero BADEXCUG asociadas a su NIF, ***NIF.1. - Un documento de EQUIFAX, de fecha 25/10/2017, que bajo la rúbrica “Histórico de consultas” informa de las efectuadas al fichero ASNEF asociadas al NIF del denunciante durante los últimos seis meses. Figuran las efectuadas por YOUNITED CREDIT el 04/10/2017, a las 14:01: 30.3 horas y el 16/08/2017 a las 16:14:29.5 horas. - Copia de una carta que el denunciante dirige a YOUNITED, que incorpora escaneada la copia de su DNI. En ella explica que en los últimos seis meses se han realizado consultas a los ficheros de solvencia patrimonial y crédito asociadas a su NIF; solicita que le informen de la causa y justificación de las consultas practicadas; de la identificación de las personas que las han realizado y de si YOUNITED ha concedido algún préstamo asociado al NIF del que él es titular. El denunciante no acredita el envío de esta carta a la denunciada. La carta lleva en el encabezado la anotación manuscrita “Enviado a Younited Credit- 04/11/2017”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a YOUNITED teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 1. (…) 2. (…) 3. (….) 4. YOUNITED CREDIT (YOUNITED, S.A., sucursal en España) Responde al requerimiento informativo (escrito de fecha 12/07/2018) explicando que ha accedió a la información asociada al NIF ***NIF.1 contenida en los ficheros ASNEF y BADEXCUG porque el afectado otorgó el consentimiento al aceptar las condiciones generales de cada una de las dos solicitudes de crédito que efectuó. - Aporta copia de las condiciones generales del contrato en cuyo apartado 5, “Protección de datos personales”, se indica que el titular consiente y autoriza expresamente a YOUNITED S.A., y a su sucursal en España a: “

1. a)Solicitar información relativa a sus antecedentes crediticios para el análisis y decisión sobre su solicitud de crédito y, en caso de concesión, para su gestión y análisis de futuras ofertas de crédito consultando los ficheros oportunos al respecto, y en particular, (…) Servicios de Información del Crédito de Asnef Equifax ….y Experian Bureau de Crédito”. - Aporta el detalle de las dos solicitudes recibidas vía telemática, “con los datos y registros del consentimiento”:
2. a)“Contract Reference –CES201710041ZLHJRK. Application Date -201710-04, 12:01:26.782849.” Entre la información que consta en ella cabe reseñar la siguiente: En el apartado “Project Información”, el importe del préstamo solicitado (3.000 euros) y la dirección email, “***EMAIL.1”. En el apartado “Marital and housing situation”, se informa del estado civil de casado. En el apartado “Employment situation”, de la fecha de inicio en el empleo, 01/06/2002; de su condición de directivo de grado medio perteneciente al sector público con empleo permanente. En el apartado “Personal Information” el nombre y apellidos de B.B.B., con NIF ***NIF.1. En el apartado “Contact Information”, la dirección de ***DIRECCION.1. El teléfono móvil ***TELEFONO.1
3. b)Contract Reference –CES201708162CSI8AW. Application Date -2017-0816, 14:14.27.29799.” La información que consta es la misma que la que se detalla en el apartado precedente. - YOUNITED, S.A., sucursal en España, es un establecimiento permanente de la sociedad francesa YOUNITED, S.A. Tiene el NIF W2500913E. - Para los establecimientos permanentes de entidades no residentes en territorio español, el número de identificación fiscal que la AEAT asigna comenzará con la letra W, que indicará su carácter de establecimiento permanente de entidad no residente en territorio español (NIF W) >> 3/30 TERCERO: El Real Decreto-Ley 5/2018, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos, de 27/07/2018, publicado en el BOE de 30/07/2018 y que entró en vigor el 31/07/2018, dedica su Disposición Transitoria primera al “Régimen transitorio de los procedimientos”, norma que señala: “1. Los procedimientos ya iniciados a la entrada en vigor de este Real DecretoLey se regirán por la normativa anterior, salvo que el régimen establecido en el mismo contenga disposiciones más favorables para el interesado. 2. Lo dispuesto en el apartado anterior será asimismo de aplicación a los procedimientos respecto de los cuales ya se hubieren iniciado las actuaciones previas a las que se refiere la Sección 2ª, del Capítulo III del Título IX del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre” El procedimiento administrativo sancionador comienza con la firma del acuerdo de apertura por la Directora de la AEPD. En el PS/317/2018 el acuerdo de inicio se firmó el 05/10/2018, más de dos meses después de que entrara en vigor el Real Decreto-Ley 5/2018. En consecuencia, por imperativo de la Disposición Transitoria Primera, punto 1, del Real Decreto-Ley 5/2018, las normas de procedimiento a las que quedó sometido el PS/317/2018 fueron las contenidas en el citado Real Decreto-Ley, capítulo II, artículos 7 a 14. Estas disposiciones estuvieron vigentes hasta la entrada en vigor el 07/12/2018 de la nueva legislación orgánica de protección de datos, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantías de los Derechos Digitales (LOPDGDD), cuyas normas de carácter procesal son en esencia idénticas a las del Real Decreto-Ley 5/2018. A ellas dedica el título VIII, “Procedimiento en caso de posible vulneración de la normativa de protección de datos”, artículos 63 a 69. Distinta de la normativa procesal es la normativa material aplicable a la conducta presuntamente infractora que origina la apertura del procedimiento sancionador. A ese respecto, se indica que la conducta que es objeto de valoración en el PS/317/2018 se rige por las normas de protección de datos que se encontraban vigentes en la fecha en la que se realizó el tratamiento ilícito. Razón por la cual la norma sustantiva aplicable es la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal y su reglamento de desarrollo (Reglamento aprobado por el Real Decreto 1720/2007, RLOPD), sin perjuicio de la aplicación, si procediera, del principio de retroactividad de la disposición sancionadora más favorable (artículo 9.3 de la Constitución Española, a sensu contrario), circunstancia que no se aprecia en el presente caso. CUARTO: Con fecha 05/10/2018, la Directora de la Agencia Española de Protección de Datos acuerda iniciar procedimiento sancionador a la denunciada por la presunta infracción del Artículo 6.1 de la LOPD, prevista como infracción grave en el artículo 44.3.
4. b)de la Ley Orgánica 15/1999, pudiendo ser sancionada con multa de 40.001 euros a 300.000 euros de conformidad con su artículo 45.2. QUINTO: Notificado el acuerdo de inicio, la denunciada solicita a esta Agencia, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es escrito de fecha 18/10/2018, una ampliación del plazo inicialmente otorgado para formular alegaciones. Al amparo del artículo 32 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), la AEPD responde en fecha 22/10/2018 y acuerda ampliar en cinco días el plazo inicialmente concedido. Mediante escrito de fecha 06/11/2018 la denunciada formula alegaciones al acuerdo de inicio en las que solicita el archivo del expediente sancionador. En apoyo de su pretensión de archivo del procedimiento invoca los argumentos que más adelante se detallan y hace una reseña de los hechos que considera relevantes: -Respecto a los hechos, indica: * En fechas 16/08/2017 y 04/10/2017 B.B.B. realizó dos “presolicitudes” de micro préstamo a YOUNITED a través del formulario habilitado a tales efectos en la página www.younited-credit.com * B.B.B. cumplimentó los datos obligatorios para el análisis de las presolicitudes: datos identificativos (como nombre, dos apellidos y NIF); datos de contacto (dirección postal, electrónica y teléfono) y datos relativos a su situación profesional. * Con carácter previo, el solicitante, B.B.B., “tuvo acceso y aceptó” las políticas comerciales de YOUNITED que contienen un apartado destinado a la Protección de Datos Personales. * YOUNITED verificó que el solicitante había aceptado las políticas comerciales y tras ello llevó a cabo las consultas a los ficheros de solvencia patrimonial y crédito ASNEF y BADEXCUG “con el fin de cumplir sus obligaciones de carácter regulatorio”. Reconoce que el “procedimiento habitual” para consultar los ficheros de solvencia patrimonial y crédito es a través del NIF (o dato equivalente, como el NIE) “puesto que es el único dato capaz de identificar inequívocamente a una persona”. * Indica que YOUNITED efectuó las consultas “utilizando el NIF aportado por” B.B.B.. * Que hasta que recibe el requerimiento informativo de la AEPD el 22/06/2018 no tiene noticia de la existencia de una reclamación asociada a las presolicitudes y será al acceder a la copia del expediente administrativo cuando conozca el “intento de estafa por parte de un estafador profesional”. * Afirma que no tiene constancia de que el denunciante se haya puesto en contacto con ella a través de alguno de los canales que la entidad tiene habilitados al efecto. - Respecto al fondo del asunto hace las alegaciones siguientes: Alegación primera: Invoca que “estaba legitimada para llevar a cabo el tratamiento de los datos”. Considera que, en el presente supuesto, la legitimación para el tratamiento efectuado no deriva del consentimiento del titular sino de la concurrencia de estas 5/30 causas de legitimación: A. El cumplimiento de una obligación legal al amparo del artículo 6.1 LOPD. - Explica que el artículo 6.1 LOPD exige contar con el consentimiento del afectado “salvo que la Ley disponga otra cosa”. Así pues, dice, la existencia de una obligación legal o habilitación legal será suficiente para que el tratamiento de los datos del afectado se considere legítimo. - Declara que está sujeta a un régimen normativo sectorial que le obliga a analizar la solvencia económica de sus clientes o potenciales clientes con carácter previo a la concesión de financiación. Normativa constituida por (
5. i)la Directiva 2008/48/CE, relativa a los contratos de crédito al consumo, (artículo 8); (
6. ii)la Ley 16/2011 que traspone la Directiva al ordenamiento español (artículo 14) y la normativa de transparencia bancaria y protección a la clientela constituida por (iii) la Ley 2/2011 de Economía sostenible, (
7. iv)la Orden EHA/2899/2011, de 28 de octubre, de transparencia y protección del cliente de servicios bancarios y (
8. v)la Circular 5/2012, del Banco de España sobre transparencia de los servicios bancarios y responsabilidad en la concesión de préstamos. - Considera por ello que el deber de cumplir con la obligación legal de llevar a cabo un análisis de solvencia de clientes o potenciales clientes antes de concederle financiación, en conexión con la solicitud del potencial cliente de una financiación, es lo que legitima a la entidad a tratar los datos con una finalidad de “scoring” y análisis de solvencia. B. El tratamiento efectuado es necesario para la ejecución de un contrato en el que el cliente es parte o para la aplicación de medidas precontractuales de conformidad con el artículo 6.2 LOPD. - Afirma YOUNITED que concurre también la legitimación que deriva de ser necesario el tratamiento efectuado para el desenvolvimiento o ejecución del contrato. Invoca en apoyo de su argumentación el Informe del Gabinete Jurídico de la AEPD 0195/2017. C. La existencia de un interés legítimo reconocido en el artículo 7.1.
9. f)de la Directiva 95/46/CE: si “es necesario para la satisfacción de un interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos siempre que no prevalezca el interés o los derecho y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”. - YOUNITED manifiesta que el interés legítimo está constituido por el interés general del mercado de analizar la solvencia económica de los “potenciales clientes”, que un exponente de tal interés legítimo es el artículo 42 del RLOPD y que “dispone de intereses legítimos suficientes que le habilitan para enjuiciar la solvencia en el marco de la Pre-solicitud de un producto financiero de micro-crédito”. - Indica que “analizada la magnitud del interés legítimo” la ponderación se completa con el examen del “interés o los derechos y libertades del interesado”. Sobre esta segunda magnitud dice que el denunciante no ha visto menoscabados sus derechos y libertades fundamentales como consecuencia de la mera consulta en los ficheros de solvencia patrimonial llevada a cabo por YOUNITED a efectos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es cumplir con sus obligaciones legales y garantizar la mayor diligencia posible”. Añade que la “supuesta afectación al denunciante se diluye más si cabe, en la medida que las Consultas no han supuesto la denegación al Denunciante de ningún producto o servicio”. Y finaliza advirtiendo que de existir dicha afectación sería de escasa importancia por lo que deberá prevalecer el interés legítimo de YOUNITED de realizar verificaciones de solvencia patrimonial de los sujetos que pretendan contratar con ella un micro préstamo. Alegación segunda: “Actuación conforme a la normativa aplicable y apariencia de buen derecho de las presolicitudes”. - Frente a lo manifestado por la AEPD en el acuerdo de inicio -a saber, que no había acreditado tener implementadas medidas para validar la identidad de la persona que facilita como suyo el dato del NIF-, la denunciada dice que los procedimientos implementados respecto a las presolicitudes de micro préstamos “han sido conformes a derecho y a las prácticas de mercado habituales admitidas por los órganos regulatorios competentes”. - Que en el presenta caso estamos ante la presolicitud de un préstamo por medios de contratación a distancia que se regula por la Ley 22/2007, Ley 16/2011 y normas sobre transparencia y protección del cliente de servicios bancarios. Todas esas normas le imponen una obligación de analizar la solvencia económica del solicitante de un producto financiero, pero “ninguna de las normas anteriormente citadas impone o recomienda a YOUNITED que, en la fase de presolicitud, adopte medidas específicas encaminadas a acreditar la identidad del solicitante de un producto financiero”. - Declara que sí dispone de mecanismos y procedimientos de autenticación de identidad que son implementados durante el proceso de pre-contratación: En el proceso de contratación se solicita copia del NIF o NIE. Mecanismos “que impiden que se produzcan contrataciones fraudulentas y a que la aportación de copia del NIF o documento equivalente es requisito indispensable para que se haga efectiva la contratación. Así (…) en el presente caso -en el que se ha producido un intento de estafa- no hubiese sido posible que el Estafador llevase a cabo la contratación fraudulenta”. - Destaca la importancia del contexto on line y del mercado pues dice “sería utópico el considerar que en cualquier tipo de solicitud de contratación y en cualquier fase del proceso de contratación (incluso en el más inicial) se deba acreditar la identidad del solicitante con el fin de evitar una eventual suplantación de identidad”. Alegación tercera: “Falta de culpabilidad en la actuación de YOUNITED”. - Recuerda que no es admisible en el Derecho Administrativo sancionador la exigencia de responsabilidad objetiva y afirma que “la actuación de YOUNITED no puede ser considerada culpable en la eventual comisión del ilícito administrativo”. - Argumenta en su defensa que “la apreciación del elemento subjetivo de la infracción viene determinada por el grado de previsibilidad que tenía para el sujeto afectado el que su conducta pudiera ser considerada típica y antijurídica y, por tanto, susceptible de ser sancionada”. Afirma también -con mención a las SSTS, Sala Tercera, de 08/05/2003 (ref. Aranzadi RJ4209), de 07/07/2003 (ref. Aranzadi RJ5832), de 28/01/2010 (ref. Aranzadi RJ 1362) y de 27/01/2010 (ref. Aranzadi RJ 1357)- que el elemento subjetivo sólo puede concurrir cuando, a la vista de la 7/30 situación existente en el momento de realizarse la conducta, el sujeto pudiera anticipar razonablemente que estaba cometiendo una infracción. - Aduce que la “doctrina de los Tribunales contencioso-administrativos ha excluido la concurrencia del imprescindible elemento culpabalísitico cuando el sujeto que haya cometido objetivamente la infracción haya actuado con base en una razonable interpretación del ordenamiento jurídico”, “(…) especialmente en aquellos casos en los que las normas jurídicas aplicables no sean claras o unívocas”. - Afirma que “ha cumplido con la normativa de contratación y precontratación, tanto en el ámbito bancario, como en el regulatorio, como en el relativo a la normativa de servicios de la sociedad de la información”. Y añade que las consultas realizadas a los ficheros no respondieron a una decisión arbitraria sino que fueron el resultado de una análisis previo de la solicitud de pre contratación, efectuada sobre la base de una relación precontractual para la consulta de un dato concreto relativo a una persona concreta cuya relevancia hacía necesario conocerlo además de cumplir sus obligaciones regulatorias, “Por ello no resultaba para YOUNITED previsible que su conducta fuera ilícita (y, mucho menos, constitutiva de una infracción grave como la que le ha sido imputada” - La denunciada concluye que, a la luz del criterio jurisprudencial según el cual “sólo concurre el elemento de la culpabilidad cuando es previsible para el sujeto que su conducta pueda ser típica y antijurídica”, queda acreditada su falta de culpabilidad SEXTO: Con fecha 14/02/2019, de acuerdo con lo dispuesto en el artículo 77 de la Ley 39/2015, de Procedimiento Administrativo Común (LPACAP), se abre un periodo de prueba en el que se acuerda la práctica de las siguientes diligencias probatorias: 1. Dar por reproducidos a efectos de prueba la denuncia interpuesta por A.A.A. y su documentación; los documentos obtenidos y generados por los Servicios de Inspección ante la entidad denunciada así como el Informe de actuaciones previas de Inspección; documentos todos ellos que integran el expediente E/03815/2018. 2. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio PS/00317/2018 presentadas por la reclamada. SÉPTIMO: Con fecha 18/03/2019 se formula propuesta procedimiento sancionador en los términos siguientes: de resolución de << Que por la Directora de la Agencia Española de Protección de Datos se sancione a YOUNITED CREDIT, S.A., Sucursal en España, con NIF W2500913E, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
10. b)de la citada Ley Orgánica con una sanción de 40.010 euros (cuarenta mil diez euros)>> La notificación se efectuó por medios electrónicos, siendo la fecha de puesta a disposición el 18/03/2019 y la fecha de “rechazo automático” el 29/03/2019. OCTAVO: El 10/04/2019 tienen entrada en esta Agencia las alegaciones de la denunciada a la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Solicita, como ya hizo en las alegaciones al acuerdo de inicio, que se proceda al archivo de las presentes actuaciones y, subsidiariamente, para el caso de que no se admita tal pretensión, pide en la alegación cuarta de su escrito una reducción de la sanción propuesta al amparo de los artículos 45.4 y 45.5 LOPD. Las alegaciones a la propuesta de resolución son en su inmensa mayoría una reiteración de las que había formulado al cuerdo de inicio del expediente sancionador. Así, por lo que respecta a la alegación “Preliminar” y a las alegaciones Primera a Tercera, ambas inclusive, se puede afirmar que los argumentos expuestos son idénticos a los del anterior escrito. Las novedades introducidas no tienen carácter esencial sino accesorio, como la mención a que la entidad viene operando en España desde hace poco tiempo -desde el 10/03/2017-; a que desde sus inicios ha estado comprometida en dar cumplimiento a la legalidad vigente, adaptando sus procedimientos a las exigencias legales y regulatorias, y la referencia a que el denunciante no interpuso denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado. La novedad del escrito de alegaciones a la propuesta de resolución respecto al anterior es su alegación Cuarta. Alegación a la que la denunciada otorga carácter subsidiario frente a las tres precedentes pues, dice, opera únicamente si la AEPD no acepta la ausencia “culpa” que ha invocado en su defensa. La citada alegación versa sobre el “carácter desproporcionado de la sanción” propuesta por la Agencia. En particular, la denunciada solicita: - Que se aplique la circunstancia del apartado
11. a)del artículo 45.5 LOPD -concurrencia significativa de varios de los apartados del artículo 45.4 LOPD-, petición que justifica en la presencia, a su entender, de las atenuantes siguientes: *El carácter continuado de la infracción (artículo 45.4.a). Argumenta que “no ha existido continuidad de la infracción. Es más, la duración de la infracción (…) y de los efectos ha sido un tiempo ínfimo.” * El volumen de los tratamientos efectuados (artículo 45.4. b). El volumen de tratamientos ha sido muy limitado y se ha circunscrito al dato del NIF del denunciante. * Los beneficios obtenidos como consecuencia de la comisión de la infracción (artículo 45.4.
12. e)Afirma que no llegó a obtener ningún beneficio y no llegó a celebrar un contrato. * El grado de intencionalidad (artículo 45.4.f). Declara que no ha existido ninguna intencionalidad de infringir la LOPD. * La reincidencia, (apartado g, del artículo 45.4) pues, dice, no ha habido reincidencia. * La naturaleza de los perjuicios causados a las personas interesadas o a terceros (artículo 45.4 h). Afirma que “no hay evidencia ni dato alguno de que el bien jurídico protegido por la norma legal sufriera daños concretos o especialmente graves”. * El apartado
13. i)del artículo 45.4 LOPD -acreditación de que, con anterioridad a los hechos, tenía implementado un protocolo de actuación adecuado-. La 9/30 entidad manifiesta que estos protocolos existían pero que “la apariencia de buen derecho de las Pre-solicitudes y la sofisticación de la conducta ilícita llevada a cabo por el Estafador impidieron el correcto funcionamiento de los procedimientos”. * Invoca también “otras circunstancias que son relevantes para determinar el grado de antijuridicidad y culpabilidad de la conducta infractora” (prevista en el apartado j del artículo 45.4 LOPD. A saber: 1) que se produjo una “anomalía” que “tiene su origen en una suplantación de identidad que tenía como fin estafar a Younited”; 2) que YOUNITED tiene establecidas garantías en el proceso de contratación; 3) que YOUNITED cumple la normativa regulatoria bancaria; 4) que YOUNITED ha desarrollado mecanismos “para evitar que pueda volver a ocurrir un supuesto como el que nos ocupa”. Estos mecanismos, a los que se alude en los folios 12 y 13 del escrito de alegaciones a la propuesta de resolución consisten en medidas “para evitar un menor impacto en los derechos de los solicitantes”, como la consulta a un único fichero de solvencia y no a dos ficheros; la inmediatez de las consultas al fichero; la inmediatez en la respuesta sobre pre-aceptación o rechazo de la solicitud del préstamo. -Solicita que se aplique el artículo 45.5
14. b)LOPD. Argumenta que “Younited ha regularizado sus procesos de forma diligente: Los procesos relativos a la precontratación y a la contratación de productos son objeto de revisión y actualización constantemente”. La denunciada afirma que “el estafador intentó llevar a cabo dos nuevos intentos de fraude que fueron detectados por Younited con carácter previo al tratamiento de los datos…”. -Invoca también la aplicación del apartado
15. c)del artículo 45.5 LOPD alegando que “la conducta del Estafador ha inducido claramente a la comisión de la infracción" A la vista de todo lo actuado en el procedimiento se consideran probados los siguientes, HECHOS 1º: A.A.A. denuncia que YOUNITED ha efectuado consultas, asociadas a su NIF, en los ficheros ASNEF y BADEXCUG sin estar legitimada para ese tratamiento. Las consultas a estos ficheros de solvencia patrimonial se realizan utilizando como identificador el número de NIF. (Folio 1) 2º: A.A.A. es titular del NIF ***NIF.1, cuya copia ha facilitado y obra, entre otros, en los folios 12, 15, 16,17 y 18 del expediente administrativo. 3º: Constan en el expediente, aportadas por el denunciante, dos cartas que le remitió el Servicio de Protección al Consumidor del fichero BADEXCUG, de fechas 13/10/2017, referencia C20171013000197 (folio 7) y 23/10/2017, referencia C20171023000191 (folio 21). En ambas le comunican que el identificador “***NIF.1 ha sido consultado en los últimos seis meses por las siguientes entidades: (…) YOUNITED, DROUOT, PARÍS, 75009, PARÍS”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4º: Obra en el expediente -aportado por el denunciante- un documento con el anagrama de EQUIFAX, de fecha 25/10/2017, en el que bajo la rúbrica “Histórico de Consultas” le informa de las consultas realizadas asociadas al identificador ***NIF.1 por “YOUNITED CREDIT”: el 04/10/2017, a las 14.01:30.3, y el 16/08/2017, a las 16:14:29.5, (Folio 13) 5º: Obra en el expediente un documento aportado por el denunciante, del que se ignora su procedencia y entidad emisora, de fecha 06/10/2017, que lleva la indicación “Oficina 0001 OVIEDO O.P.” Versa sobre “Riesgos. Experian. Detalle Operación”. En el documento consta junto al NIF del denunciante, el nombre de “B.B.B.”, el importe máximo impagado, 680,23 euros, y la “fecha de alta”, el 06/08/2017. (Folio 34) 6º: YOUNITED CREDIT informó a la Inspección de Datos de la AEPD en el curso de la investigación previa que el motivo por el cual había consultado en los ficheros ASNEF y BADEXCUG la información asociada al NIF ***NIF.1 era, conforme al artículo 14 de la Ley de Créditos al Consumo, la necesidad de “evaluar la solvencia patrimonial de los clientes para la concesión o no de un crédito, con el consentimiento del cliente otorgado al aceptar éste las condiciones generales en cada una de las dos solicitudes de crédito recibidas” (Folio 42) 7º: YOUNITED CREDIT, en respuesta al requerimiento de la Inspección de Datos de la AEPD para que aportara “Justificación documental de la relación contractual mantenida con el afectado o de la solicitud de celebración de algún contrato por su parte” (folio 41), declaró que aportaba adjuntos los “Detalles de las solicitudes realizadas on line, con los datos y registros del consentimiento dispuestos en el orden que se recabaron” y la “Copia de las Condiciones Generales aceptadas” (folio 42) 8º: La documentación remitida por YOUNITED relativa a los “Detalles de las solicitudes realizadas on line, con los datos y registros del consentimiento dispuestos en el orden que se recabaron”, que obra en los folios 43 a 48, se encuentra escrita en inglés y presenta las siguientes características relevantes: 1. Consta una solicitud con el número de referencia de contrato “CES201708162CS18AW” de fecha 16/08/2017 a las “14:14:27.29799” horas. 1 El apartado del documento denominado “Proyect Information” recoge el importe del préstamo solicitado (3.000 euros); la dirección electrónica del solicitante, ***EMAIL.1 y la indicación “OK” en el epígrafe “Opt-in Política Comercial Younited Credit” 2 El apartado “Personal Information” incluye el nombre y apellidos de B.B.B.; la fecha de nacimiento, 12/10/1978; como tipo de documento identificativo consta “NIF” y el número “***NIF.1”. 3 El apartado “Contact Information” incluye la dirección de ***DIRECCION.1” y el número de teléfono móvil ***TELEFONO.1. 4 El apartado “Experian Information” informa de la existencia de un incidente de impago; de una cuantía total impagada de 534,15 euros; del origen del impago en una tarjeta de crédito y de la fecha del importe máximo impagado (13/08/2017). 2. Consta una solicitud con el número de referencia de contrato “CES201710041ZLHJRK” de fecha 10/04/2017 a las “12:01:26.782849” horas. 11/30 5 La información que ofrece este documento en los apartados anteriormente citados –“Proyect Information”, “Personal Information”, “Contact Information” y “Experian Information”- es exactamente la misma que la que figura en la solicitud con referencia CES201708162CS18AW descrita en el punto 1 de este Hecho Probado. 9º: El documento denominado “Condiciones Generales” (folios 49 y 50), que YOUNITED declaró que habían sido aceptadas por el solicitante de los créditos, contiene, entre otras, estas estipulaciones: 6 - “2. Aceptación del contrato de crédito La presente solicitud tendrá carácter contractual y producirá efectos cuando: -La oferta de contrato de crédito haya sido aceptada por el titular, -Haya sido aprobada por YOUNITED S.A. -El titular no haya ejercido su derecho de desistimiento”. “5. Protección de datos personales El titular (…), consiente y autoriza expresamente a YOUNITED SA y a su sucursal en España a:
16. a)Solicitar información relativa a sus antecedentes crediticios para el análisis y decisión sobre su solicitud de crédito …consultando los ficheros oportunos al respecto y en particular …, Servicios de Información del Crédito de ASNEF /EQUIFAX…y EXPERIAN Bureau de Crédito (Los subrayados son de la AEPD) 10º: Con su escrito de alegaciones al acuerdo de inicio YOUNITED remitió a la AEPD diversas capturas de pantalla que presentó bajo las siguientes rúbricas: - “Copia del pop-up que se muestra a los solicitantes pre-rechazados”, documento 1.a. (Folio 86) - “Copia del email que se envía a los solicitantes pre-rechazados”, documento 1.b. (Folio 87) - “Extractos del procedimiento de Younited por el que se solicita documentación adicional y, concretamente, se verifica la identidad del solicitante”, documento 2 (Folios 88 y 89) - “Extractos de los procedimientos de Younited que explican la utilización de las herramientas Simple ID y Checkify”, documento 3 (Folios 90 a 93) 11º: El documento 2 de los que se relacionan en el Hecho Probado precedente “Extractos del procedimiento de Younited por el que se solicita documentación adicional y, concretamente, se verifica la identidad del solicitante”- presenta estas características dignas de mención: En el encabezado izquierdo aparece el nombre de la entidad y en el centro la indicación “SERVICIO DE FIRMA EN LÍNEA” El siguiente párrafo dice: “Hola SHEILA TEST ACERO: Estás a punto de firmar. Lea los documentos, acepte las condiciones y a continuación firme.” Inmediatamente debajo y en un recuadro aparece esta información: “PARA FIRMAR DOCUMENTO 1: CREDITAGREMENTOFFER” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es ¿Cómo conseguir rápidamente tu préstamo? (…) Has elegido YOUNITED, S.A., para la financiación de tu proyecto y agradecemos tu confianza. (…) damos nuestra aprobación definitiva de financiación en un plazo de 48 h desde la recepción de tu expediente completo y de tu contrato firmado. (…) Instrucciones. Sigue estos sencillos pasos para completar tu expediente. DOCUMENTOS: 1. Reúne: -Copia del DNI en vigor o NIE (fotocopia de ambas caras) -Justificante de ingresos: * Asalariado: última nómina * Pensionista/Jubilado (…) - Titularidad bancaria con el número de cuenta IBAN - Último extracto bancario para importes superiores a 10.000€ 2. Envía un email con esta documentación a la dirección: clientes@younited-credit.es (Los subrayados son de la AEPD) Las restantes capturas de pantalla que integran el documento que la denunciada identifica con el número 2 versan sobre el procedimiento a seguir por el contratante para incorporar electrónicamente y facilitar a la entidad la copia de su documento de identidad. 12º: El documento 3 de los que se relacionan en el Hecho probado décimo consiste en una explicación, a través de diversas capturas de pantalla, de dos procedimientos -CHECKIFY y Simple ID- mediante los cuales YOUNITED, como paso previo a la “aprobación” del crédito, verifica la validez del documento de identidad aportado por quien pretende contratar con ella. FUNDAMENTOS DE DERECHO I En virtud lo establecido en los artículos 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se atribuye a la denunciada la vulneración del artículo 6 de la LOPD que bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen 13/30 los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” (El subrayado es de la AEPD) El artículo 44.3.
17. b)LOPD contempla como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Conforme al artículo 45.2 LOPD las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. Paralelamente, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2017 (RLOPD), en el capítulo I del Título IV -“Ficheros de información sobre solvencia patrimonial y crédito”-, se ocupa en su artículo 42 del “Acceso a la información contenida en el fichero”: “1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
18. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
19. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
20. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
21. b)y
22. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. III La conducta que constituye el objeto del presente expediente sancionador es el tratamiento efectuado por YOUNITED del dato del NIF del denunciante sin su consentimiento y sin que concurra una causa legitimadora del tratamiento que dispense a la responsable de obtener el consentimiento del titular de los datos tratados. El tratamiento del dato personal del tercero se concretó en las consultas que YOUNITED hizo a los ficheros comunes ASNEF y BADEXCUG utilizando como criterio de búsqueda el NIF del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es A. Obran en el expediente los documentos que acreditan la realidad de las consultas que la denunciada hizo a los ficheros de solvencia patrimonial utilizando como criterio el NIF del denunciante. En tal sentido, existen documentos emitidos por Experian Bureau de Crédito, S.A., responsable del fichero BADEXCUG, de fechas 13/10/2017 y 23/10/2017, que informan de que, en los seis meses anteriores, la entidad “YOUNITED, DROUOT, PARÍS, 75009, PARÍS” (la denunciada) realizó consultas a ese fichero de solvencia relativas al identificador ***NIF.1 (Hecho probado 3º). Asimismo, obra en el expediente un documento de EQUIFAX, de fecha 25/10/2017, en el que se indica que “YOUNITED CREDIT” realizó consultas asociadas al identificador ***NIF.1 en fechas 04/10/2017, a las 14.01:30.3, y 16/08/2017, a las 16:14:29.5, (Hecho probado 4º) Igualmente, está acreditado en el expediente (Hecho probado 2º en relación con el 8º) que el NIF ***NIF.1, que fue objeto de tratamiento por YOUNITED, no pertenece a la persona que lo facilitó como suyo, esto es, a B.B.B., sino que su titular es el denunciante, A.A.A., quien no solicitó a la denunciada la contratación de un crédito ni tampoco otorgó su consentimiento al tratamiento de sus datos personales con la finalidad de consultar ficheros de solvencia patrimonial. Paralelamente, los documentos relativos a la presolicitud del préstamo que la denunciada remitió a la Inspección de Datos -en respuesta al requerimiento que le hizo para que acreditara que existía un contrato o una solicitud de contrato que justificaba las consultas a los ficheros de solvencia asociadas al NIF ***NIF.1 -, documentos que se describen en el Hecho Probado 8º de esta resolución, evidencian que en ellos figura como solicitante el nombre de un tercero y el NIF del denunciante. Los documentos consisten en dos solicitudes de contrato, identificadas con las referencias CES201708162CS18AW y CES201710041ZLHJRK, de fechas, respectivamente, 16/08/207 y 04/10/2017, en cuyo apartado de información personal (“Personal Information”), folios 44 y 47, incorporan los siguientes datos del solicitante del préstamo: el nombre de B.B.B. y el NIF ***NIF.1 del que es titular el denunciante. La denunciada ha explicado en sus alegaciones que B.B.B. realizó dos “presolicitudes” de micro préstamos a YOUNITED a través de un formulario habilitado a tal fin que existe en la página www.younited-credit.com; que cumplimentó los datos obligatorios para el análisis de dichas “presolicitudes”, entre ellos el NIF, y que previamente había accedido y aceptado las políticas comerciales de la compañía que contienen un apartado destinado a los Datos Personales. La denunciada añadió que, después de verificar que el pre solicitante había aceptado sus políticas comerciales, llevó a cabo las consultas a los ficheros ASNEF y BADEXCUG. B. Llegados a este punto se ha de señalar que, conforme al artículo 6 de la LOPD, el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco de su titular del que se dispensa al responsable del tratamiento -entre otros supuestos previstos en la Ley Orgánica 15/1999 y en la 15/30 Directiva 95/46 CE que aquella traspuso a nuestro ordenamiento interno-, cuando el tratamiento se refiere a las partes de un precontrato y es necesario para su mantenimiento o cumplimiento (ex artículo 6.2 LOPD). No obstante, para que el tratamiento de los datos personales pueda ampararse en el consentimiento prestado o en la existencia de una relación precontractual, es esencial que quien otorgue el consentimiento en el primer supuesto o quien intervenga en el precontrato, en el segundo, sea efectivamente el titular de los datos personales objeto del tratamiento. Así lo expresa con toda claridad el artículo 3.
23. h)de la LOPD que, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Exigencia que es consecuencia del principio de exactitud de los datos, a tenor del cual los datos objeto de tratamiento han de ser exactos y veraces (ex artículo 4.3 LOPD) y que está en armonía con la STC 292/2000 que, al referirse al contenido del derecho fundamental a la protección de datos, alude a las facultades que confiere a su titular. Así, dice que “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién tiene esos datos y para qué…” A propósito del consentimiento como causa legitimadora del tratamiento, se ha de traer a colación la SAN de 31/05/2006 (Rec 539/2004), Fundamento de Derecho Cuarto, que advierte que corresponde al responsable no sólo la carga de acreditar que recabó el consentimiento al tratamiento sino también la carga de asegurarse de que la persona que otorga el consentimiento es efectivamente el titular de los datos tratados: “(…) es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley” (El subrayado es de la AEPD) Además, será lícito el tratamiento de datos personales de un tercero sin necesidad de recabar su consentimiento, si una norma con rango de Ley así lo autoriza. A esta hipótesis alude el inciso último del artículo 6.1 LOPD al hacer la salvedad de que “la Ley disponga otra cosa”. El artículo 7
24. c)de la Directiva 95/46 CE consideraba legítimo el tratamiento que fuera necesario para el cumplimiento de una obligación jurídica a la que estuviera sujeto el responsable del tratamiento. También es lícito el tratamiento de datos de terceros sin necesidad de su consentimiento cuando exista un interés legítimo en el tratamiento. Esta causa legitimadora del tratamiento se plasmó en el apartado
25. f)del artículo 7 de la Directiva 95/46 CE: cuando el tratamiento “es necesario para la satisfacción de un interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es apartado 1 del artículo 1 de la presente Directiva” (El subrayado es de la AEPD) El artículo 42 del RLOPD, transcrito en el Fundamento precedente, habilita a quien precise enjuiciar la solvencia económica del afectado a consultar sus datos personales en ficheros de solvencia patrimonial. Si bien el precepto artículo 42.1, relaciona tres supuestos en los que se entiende que existe un interés legítimo -valorar la solvencia económica de una persona- la Audiencia Nacional, Sala de lo contencioso administrativo, ha precisado que no es necesario que exista una relación contractual o precontractual para que se pueda hacer uso de la habilitación que otorga el artículo 42.1 del RLOPD, pues el listado de supuestos contemplado por la norma -los tres que el precepto describe en su punto 1 apartados a, b, y c,- tiene carácter de numerus apertus, siendo por ello suficiente con que exista un interés legítimo de quien accede al fichero. La consulta a los ficheros de solvencia, ha dicho, no puede ser indiscriminada, sino que tiene realizarse con una finalidad legítima (por todas SSAN de 26/10/2018, Rec. 130/2017 y de 15/02/2019, Rec. 32/2018). C. Sentado lo anterior, conviene aclarar que la controversia planteada en el supuesto que examinamos no cuestiona la legitimación de quien interviene como pre solicitante o pre contratante de un micro préstamo para consultar ficheros de solvencia patrimonial mediante el tratamiento del NIF de quien manifiesta su voluntad precontractual. Por el contrario, la controversia se centra en determinar si es lícito ese tratamiento cuando quien pre solicita un microcrédito y el titular del NIF que aquél ha facilitado como suyo, con el fin de identificarse, no son la misma persona y, además, como aquí acontece, el responsable del tratamiento no tiene implementada absolutamente ninguna medida para verificar, antes de proceder al tratamiento en cuestión -la consulta al fichero común-, que los datos identificativos son efectivamente de titularidad de la persona que los ha ofrecido como propios. En el presente caso, el hecho relevante es que el denunciante, titular del NIF ***NIF.1 sobre el que versaron las consultas a los ficheros comunes, no era la persona que pre solicitó el crédito a YOUNITED; ni era cliente de la entidad; ni mantenía con ella alguna otra relación por la cual la denunciada tuviera necesidad de enjuiciar su solvencia económica. Como está acreditado en el expediente -y así viene a reconocerlo la denunciada en sus alegaciones al acuerdo de inicio- quien efectuó las dos presolicitudes de préstamo fue un tercero, B.B.B., que, además, facilitó a la entidad como propio el NIF del denunciante. Recordemos que la denunciada, en su escrito de alegaciones, cuando explica que las consultas a los ficheros de solvencia se realizan por el NIF, comenta cuál es el motivo: “puesto que es el único dato capaz de identificar inequívocamente a una persona”. 17/30 Pues bien, llama poderosamente la atención que, siendo la denunciada conocedora de tal extremo y de que, una vez recibidos los datos personales a través de la “presolicitud” cumplimentada telemáticamente, a tenor de su protocolo de actuación se inicia el tratamiento de los datos personales recabados -tratamiento que comprende inexorablemente la consulta a ficheros de solvencia como requisito para dar curso a la gestión de la presolicitud-, no tuviera implementada ninguna medida al objeto de validar la identidad de la persona que le facilitó como propio un NIF que no le pertenecía. Así pues, a la luz de los hechos declarados probados es evidente que YOUNITED no contaba con el consentimiento del afectado para el tratamiento del dato de su NIF vinculado a dos solicitudes de préstamo pues la persona que solicitó el micro préstamo no era el titular de ese dato personal. Se concluye también que, el tratamiento del dato personal de un tercero -el NIF del denunciante- no puede ampararse en el cumplimiento de obligaciones legales impuestas a YOUNITED para valorar la solvencia económica de las personas que solicitan financiación. Sería imprescindible para tal habilitación que el titular del dato objeto de tratamiento fuera, al tiempo, la persona que solicitó la financiación. Se concluye asimismo que no existía entre YOUNITED y el titular del NIF un vínculo precontractual que le dispensara (ex artículo 6.2 LOPD) de la obligación de recabar su consentimiento y que tampoco puede ampararse el tratamiento efectuado en el “interés legítimo” de la entidad en analizar la solvencia de sus clientes o futuros clientes (ex artículo 7.f de la Directiva 95/46) pues aquél no puede prevalecer sobre el derecho a la protección de datos de quien ni es cliente ni ha pretendido serlo. En el asunto analizado YOUNITED trató el dato personal de un tercero -el denunciante- sin su consentimiento y sin que el citado tratamiento pueda estimarse legítimo con arreglo a la normativa de protección de datos de carácter personal, por lo que la conducta examinada vulnera el artículo 6.1 de la LOPD. Este ha sido el criterio seguido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, en diversas resoluciones entre las que citamos la SAN de 09/07/2015 (Rec. 40/2014) IV YOUNITED ha manifestado (alegaciones a la propuesta, folio 4) que el tratamiento de los datos del denunciante que ha realizado “en contra de lo que considera la Agencia, no estaría legitimado en la obtención del consentimiento del interesado sino que encontraría su fundamento en la concurrencia de otras causas de legitimación de entre las reconocidas por la normativa”, tras lo cual pasa a mencionar (
26. i)el cumplimiento de una obligación legal; (
27. ii)el tratamiento necesario para la ejecución de un contrato (iii) la existencia de un interés legítimo y (
28. iv)la actuación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es conforme a la normativa vigente y la apariencia de buen derecho de las presolicitudes. Puesto que las alegaciones formuladas por la denunciada se reproducen con detalle en los Antecedentes de esta resolución, nos limitaremos ahora a la mención que sea necesaria a efectos dialécticos remitiéndonos en cuanto al resto al Antecedente Quinto de la resolución. La denunciada ha invocado como causa legitimadora del tratamiento de los datos del denunciante la existencia de una obligación legal y, a tal fin, ha descrito con detenimiento la normativa específica aplicable a la concesión de créditos al consumo y la normativa bancaria de transparencia y protección a la clientela, integrada por Directivas, Leyes, Órdenes Ministeriales y una Circular del Banco de España. Las disposiciones que YOUNITED menciona le sirven de base para afirmar que está sujeta a un régimen normativo sectorial que le impone una serie de obligaciones, entre las que se encuentra expresamente la obligación de llevar a cabo un análisis de solvencia de clientes o de potenciales clientes previo a la concesión de financiación. Y añade que tal verificación es un requisito legal específico de su actividad. Esta Agencia no ha puesto en entredicho la existencia de la normativa que se invoca ni la imposición en estas normas de obligaciones de control de solvencia de sus clientes o de los potenciales clientes. Después de relacionar las normas de las que deriva la obligación de “evaluar la solvencia” de sus clientes o potenciales clientes, YOUNITED hace esta afirmación: “el deber de cumplir con esta obligación legal en conexión con la solicitud por parte del potencial cliente de la financiación, es lo que legitima el tratamiento con finalidades de scoring y análisis de solvencia”. Sin embargo, esta habilitación legal podrá operar, exclusivamente, en relación al tratamiento de datos de aquellas personas que, efectivamente, sean potenciales clientes de la entidad por haber solicitado una financiación. Y tal condición, como presupuesto para la aplicación de la norma habilitadora, ha de ser acreditada por el responsable del tratamiento sin que en el presente caso exista ninguna prueba o indicio de que el denunciante hubiera intentado contratar un microcrédito. No parece admisible amparar el tratamiento de los datos personales de quien ni es un potencial cliente de la denunciada, ni lo ha sido -pues nunca le ha solicitado un micro préstamo-, en el cumplimiento de las obligaciones legales de control de solvencia a las que aquella está sujeta por el carácter de la actividad empresarial que desarrolla. Máxime, cuando, como aquí acontece, se da la circunstancia de que la denunciada, en su condición de responsable del tratamiento, obró con una absoluta falta de diligencia a fin de verificar que los datos de identificación facilitados por quien pre solicitó un micro préstamo eran de su titularidad. 19/30 En la misma línea argumental, cabe recordar que las obligaciones legales a las que YOUNITED está sujeta no son sólo las de relevancia económica, únicas a las que la entidad alude en su escrito. Está sometida, además, a las obligaciones que le impone una Ley con rango de ley orgánica que regula un derecho fundamental de la persona reconocido en la C.E.: la LOPD. Es más, son las propias normas sectoriales que obligan a YOUNITED por razón de su actividad las que le recuerdan la obligación que tiene de cumplir la normativa de protección de datos de carácter personal. Citamos en tal sentido los artículos 14 de la Ley 16/2011 y 29.1 de la Ley 2/2011 que se refieren al deber de evaluar la solvencia económica de los clientes o futuros clientes y a la posibilidad de consultar con tal finalidad los ficheros de solvencia patrimonial, pero, en ambos casos, se insiste en que la consulta se realizará de acuerdo con la legislación vigente en materia de protección de datos. En idéntico sentido se pronuncia la Orden EHA/2899/2011, artículo 18. La denunciada invoca también como causa legitimadora del tratamiento del NIF del denunciante el interés legítimo en el tratamiento efectuado. Para que opere el interés legítimo como fundamento del tratamiento será imprescindible y esencial que el dato tratado sea efectivamente de la persona que lo facilita como suyo, pues el interés legítimo de la entidad para un determinado tratamiento está conectado con el control de la solvencia de la persona que se presenta como un futuro cliente, como un solicitante de sus servicios. Quien invoca un interés legítimo tiene que acreditarlo, lo que significa estar en condiciones de probar que “el solicitante” de la financiación es también titular de los datos personales facilitados para su identificación. De no ser así, habría que concluir que, por mor del particular carácter de la actividad empresarial que la denunciada desarrolla está legitimada para consultar en ficheros de solvencia los datos personales de terceros con quienes no mantiene ningún vínculo precontractual, aceptando de este modo que su legitimación está únicamente conectada con el carácter de la actividad que desarrolla y que es indiferente que exista o no vínculo con el titular de los datos. A propósito del interés legítimo -expresamente regulado en el artículo 7.f de la Directiva 95/46 CE- la sentencia del TJUE de 24/11/2011 afirmó que el tratamiento de datos personales es lícito si <<es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que prevalezca el interés o los derechos fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva>>” De esta forma el TJUE considera que la disposición precitada contiene dos requisitos acumulativos para que el tratamiento de datos personales sea lícito. Por una parte, que el tratamiento sea necesario para la satisfacción del interés legítimo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es perseguido por el responsable del tratamiento y, por otro, que prevalezcan los derechos y libertades fundamentales del interesado dignos de protección conforme al artículo 1.1 de la Directiva. Lo que, a su vez, exige una ponderación de los derechos e intereses en conflicto que dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confiere al interesado. El artículo 8 de la Carta se refiere al derecho a la protección de los datos de carácter personal en cuyo apartado 2 dice que los datos de carácter personal “se tratarán de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. …” Como ya se ha indicado al analizar otras causas legitimadoras del tratamiento invocadas por la denunciada, se debe señalar que, para que opere como fundamento del tratamiento el interés legítimo, es imprescindible que los datos tratados sean efectivamente de la persona que los facilita como suyos pues el interés legítimo de la entidad tiene que estar conectado con el control de la solvencia de la persona que se presenta como su futuro cliente, como solicitante de sus servicios. Así las cosas, atendidas las circunstancias que concurren -en las que la entidad realiza un tratamiento de datos concretado en las consultas a ficheros comunes sin haber adoptado ni tener implementada ninguna medida para contrastar la identidad de quien facilita como suyos datos personales- no es viable que la ponderación de los derechos e intereses en conflicto pueda resolverse a favor de quien trata los datos. Quien invoca un interés legítimo tiene que acreditarlo y ese requisito lleva implícito estar en condiciones de probar que “el solicitante” de la financiación es también titular de los datos personales facilitados para su identificación. Finalmente, hemos de referirnos al último de los motivos en los que YOUNITED ampara la licitud del tratamiento del dato del NIF del denunciante: su “actuación conforme a la normativa aplicable y la apariencia de buen derecho de las presolicitudes”. La denunciada reitera de nuevo el argumento de la obligación que le impone la normativa sectorial de analizar la solvencia económica “del solicitante de un producto financiero”; subraya el contexto on line en el que se produce la solicitud de contratación y afirma que sería utópico el considerar que “en cualquier tipo de solicitud de contratación y en cualquier fase del proceso de contratación (incluso en el más inicial) se deba acredita la identidad del solicitante con el fin de evitar una eventual suplantación de identidad”. Empezando por este último razonamiento señalar que, desde el momento en el que la entidad recoge los datos personales de un tercero, a través de una pre solicitud, -al cumplimentar el formulario de su página web -, se inicia el tratamiento de datos. Cuando, además, como es el caso, a partir de los datos que constan en el formulario 21/30 la entidad -tal y como exige su protocolo- procede como primer paso a hacer una consulta a dos ficheros de solvencia (ASNEF y BADEXCUG) para verificar el perfil de solvencia de esa persona, está efectuando un tratamiento de datos que tiene que cumplir con la normativa prevista en la LOPD. Como se expone en los Fundamentos precedentes en tanto la legitimación para el tratamiento está vinculada al hecho de que el solicitante y el titular de los datos sean la misma persona (pues es su condición de solicitante del préstamo lo que legitima este tratamiento) es preciso que la responsable del tratamiento haya adoptado alguna medida para verificar su identidad. No estamos ante una exigencia “utópica” -como la califica la denunciada- sino a ante una consecuencia directa de la aplicación de la LOPD y del respecto al derecho fundamental de la persona que a través de ella se protege. Los avances técnicos y las nuevas formas de contratación a distancia no pueden ser una vía para incumplir la normativa de protección de datos de carácter personal. El “cumplimiento de la normativa aplicable y la apariencia de buen derecho” que se invocan de contrario sería un argumento válido si el objeto de nuestra valoración fuera la observancia de las disposiciones de carácter económico (de solvencia y transparencia de mercado) a las que está sometida la denunciada. Sin embargo, en ningún caso es admisible ese argumento cuando, como es el caso, la valoración de su actuación debe hacerse desde el punto de vista del cumplimiento o no de las obligaciones que le impone la LOPD. Resulta de la exposición precedente que la denunciada no recabó el consentimiento del titular del dato (NIF) para su tratamiento; que no concurre ninguna de las causas legitimadoras del tratamiento que se invocan de contrario y que la entidad no desplegó una mínima diligencia para verificar que quien solicitó el microcrédito era efectivamente el titular del NIF facilitado para su identificación. V Es necesario, por último, referirse al elemento de la culpabilidad. Más aún cuando la denunciada niega su presencia y sobre tal base solicita el archivo del expediente. En materia sancionadora rige en nuestro Derecho el principio de culpabilidad que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento subjetivo o elemento culpabilístico como condición esencial para exigir responsabilidad sancionadora ha sido reconocida por el Tribunal Constitucional, entre otras, en STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es A su vez, la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”, “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en este último caso la mera inobservancia del deber de cuidado. Pues bien, si se toman en consideración las finalidades para las que YOUNITED tratará el dato personal del NIF -entre ellas las consultas a ficheros de solvencia-, dato que ha obtenido a través una presolicitud de préstamo efectuada telemáticamente, se revela más grave la falta de diligencia demostrada en el tratamiento que se somete a la consideración de esta Agencia. No puede obviarse que cuando YOUNITED recaba los datos del pre solicitante del crédito es cuando inicia el tratamiento y, por tanto, cuando debe de asegurarse de que quien ha facilitado como propios determinados datos es su verdadero titular. La entidad es consciente de la relevancia que tiene el tratamiento de los datos y en particular y, por lo que aquí interesa, el dato del NIF que ella define como el único capaz de identificar a la persona de forma indiscutible. A propósito del grado de diligencia que el responsable del fichero está obligado a desplegar en el cumplimiento de las obligaciones que le impone la LOPD, la SAN de 17/10/2007 (rec. 63/2006) después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. (El subrayado es de la AEPD) Especialmente significativa es también la SAN de 29/04/2010 que, en su Fundamento Jurídico sexto, indicó: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. (El subrayado es de la AEPD) La denunciada ha manifestado que “la apreciación del elemento subjetivo de la infracción viene determinada por el grado de previsibilidad que tenía para el sujeto afectado el que su conducta pudiera ser considerada típica y antijurídica y, por tanto, susceptible de ser sancionada”. Afirma también que el elemento subjetivo sólo puede concurrir cuando, a la vista de la situación existente en el momento de realizarse la conducta, el sujeto pudiera anticipar razonablemente que estaba cometiendo una 23/30 infracción.” Y añade que la “doctrina de los Tribunales contencioso-administrativos ha excluido la concurrencia del imprescindible elemento culpabalísitico cuando el sujeto que haya cometido objetivamente la infracción haya actuado con base en una razonable interpretación del ordenamiento jurídico”, “(…) especialmente en aquellos casos en los que las normas jurídicas aplicables no sean claras o unívocas”. (El subrayado es de la AEPD) Frente a los argumentos esgrimidos respecto a la ausencia del elemento de la culpabilidad debemos traer a colación la esclarecedora STS de 22/05/2015 (Rec. 95/2014) . En ella, frente al alegato de la recurrente que invocaba que la Sala de la Audiencia Nacional no se había pronunciado sobre el elemento de la culpabilidad, dice lo siguiente: “Comparte la Sala el razonamiento de la sentencia de la Audiencia Nacional, que no desconoce en ningún momento que sea necesario apreciar culpabilidad en la entidad que ahora recurre, no confunde ésta con la ilegalidad de la conducta y no aprecia, en fin, que exista una responsabilidad objetiva. Afirma por el contrario (FJ 3 in fine) que " el conjunto de elementos tomados por la resolución impugnada van ligados a la voluntad como elemento de la culpabilidad " (sic), por lo que la censura que se le formula resulta infundada. (…) En el caso de infracciones administrativas cometidas por personas jurídicas no se suprime el elemento subjetivo de la culpa pero el mismo se debe aplicar de forma distinta a como se hace respecto de las personas físicas. Recuerda el Auto del Tribunal Constitucional 193/2007, de 26 de marzo, que esa construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden las personas jurídicas. Falta en ellas el elemento volitivo en sentido estricto pero no la capacidad de infringir las normas a las que están sometidas. Esa capacidad de infracción conduce a la reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y de la necesidad de que dicha protección sea realmente eficaz. Así se ha afirmado en la jurisprudencia del Tribunal Constitucional desde la capital STC 246/1991 de 19 de diciembre. La responsabilidad a efectos sancionadores de las personas jurídicas existe sin que por ello abandone el Alto Tribunal el elemento de la culpa, necesario en nuestro Estado de Derecho. El principio de culpabilidad no impide que el Derecho Administrativo admita la responsabilidad directa de las personas jurídicas, reconociéndoles capacidad infractora Esto no significa, en absoluto, que para el caso de las infracciones administrativas cometidas por personas jurídicas se haya suprimido el elemento subjetivo de la culpa, sino simplemente que ese principio se ha de aplicar necesariamente de forma distinta a cómo se hace respecto de las personas físicas.” (El subrayado es de la AEPD) El protocolo de actuación que YOUNITED ha detallado en sus alegaciones pone de manifiesto que la entidad no tenía prevista ninguna medida -menos aún una medida “que sea eficaz”- para verificar si los datos facilitados con la presolicitud efectivamente pertenecían a quien los facilitaba como propios. La copia del documento identificativo -NIF o NIE- al que YOUNITED hace mención para justificar que adopta todas las medidas que la diligencia exige no se solicita al pre contratante hasta la fase que denomina de “solicitud”, esto es, después de la “presolicitud” y por tanto -según el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es protocolo de la entidad- después de que se hayan realizado consultas a los ficheros de solvencia utilizando como criterio de búsqueda el NIF que el pre solicitante le ha facilitado. No es hasta concluido el “scoring”, después de haber consultado los ficheros de solvencia, cuando, si la presolicitud ha sido aceptada por la compañía y el pre solicitante del préstamo decide seguir adelante, le exigirá que firme el documento contractual y le remita junto a él la copia, entre otros documentos, del NIF o NIE. A juicio de la denunciada no es preciso en el trámite de la “presolicitud” validar la identidad de quien facilita los datos personales -ello pese al tratamiento al que serán sometidos, esto es, la consulta a los ficheros-. Argumenta que los “procedimientos de YOUNITED van mucho más allá y que en aquellos casos en los que una pre-solicitud es pre-aceptada (lo cual no significa que vaya a producirse la contratación del producto financiero) Younited despliega una batería de medidas destinadas a cumplir sus obligaciones legales y garantiza el buen fin de la operación”. En esa línea argumental invoca el principio general de “accountability” y el principio de minimización de datos “según el cual cualquier organización …debe procurar que sus procedimientos garanticen el máximo nivel de privacidad desde el diseño y por defecto, lo que significa que sólo sean recogidos los datos estrictamente necesarios e imprescindibles para los fines de tratamiento concretos.” Y concluye que, en virtud de tales principios, opta por solicitar en la fase de presolicitud la información que considera estrictamente necesaria, entre la que, obviamente, no incluye ninguna medida, documento o información conducente a validar la identidad de quien solicita el préstamo pese a que sus datos serán tratados de inmediato con el fin de consultar los ficheros de solvencia. En definitiva, la omisión por parte de YOUNITED de toda diligencia con ocasión del tratamiento del NIF del denunciante sin legitimación para ello, evidencia la existencia de culpabilidad grave en su actuación. Conducta que constituye una infracción del artículo 6.1 LOPD y es subsumible en el tipo infractor del artículo 44.3.
29. b)LOPD VI El artículo 45 de la LOPD establece en sus apartados 1 a 5 lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
30. a)El carácter continuado de la infracción.
31. b)El volumen de los tratamientos efectuados.
32. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
33. d)El volumen de negocio o actividad del infractor.
34. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
35. f)El grado de intencionalidad. 25/30
36. g)La reincidencia por comisión de infracciones de la misma naturaleza.
37. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
38. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
39. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
40. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
41. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
42. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
43. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
44. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El artículo 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer su cuantía “aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario que concurra bien una cualificada disminución de la culpabilidad del imputado, bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Tanto en el acuerdo de inicio como en la propuesta de resolución la Agencia ha mantenido la tesis de que no concurren elementos que justifiquen la aplicación de ninguna de las atenuantes cualificadas del artículo 45.5 LOPD. La denunciada, por el contrario, defiende en sus alegaciones a la propuesta de resolución que es aplicable el artículo 45.5 LOPD. Solicita la aplicación del efecto jurídico de esta disposición por considerar que concurren los apartados a),
45. b)y
46. c)del precepto. Respecto al artículo 45.5 apartado a), lo justifica en la presencia, a su juicio, de varias de las circunstancias modificativas de la responsabilidad descritas en el artículo 45.4 LOPD. Pasamos a examinar cada una de las circunstancias invocadas haciendo referencia al motivo por el que no procede su estimación: - Se alega como atenuante el “carácter continuado de la infracción” (artículo 45.4.
47. a)y se argumenta que “no ha existido continuidad de la infracción. Es más, la duración de la infracción (…) y de los efectos ha sido un tiempo ínfimo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es La pretensión de la denunciada de que se valore como atenuante el artículo 45.4.
48. a)no puede ser aceptada. Esta circunstancia, por su misma configuración, únicamente podría operar como agravante -siempre que estén presentes los elementos que la integran- pero en ningún caso como atenuante. - Se alega como atenuante el “volumen de los tratamientos efectuados” (artículo 45.4.
49. b)indicando que el tratamiento se ha circunscrito al dato del NIF del denunciante. Se ha de poner de relieve que constan acreditadas al menos tres consultas a ficheros de solvencia vinculadas al NIF del denunciante: dos al fichero ASNEF y al menos una a BADEXCUG pues Experian se limita en su respuesta al denunciante a informarle que en los seis meses anteriores se hicieron consultas al fichero entre otras entidades por YOUNITED pero sin detallar el número de las consultas realizadas. Razones que conducen a no estimar la atenuante que se invoca. - Se defiende también la presencia en calidad de atenuantes de los supuestos del artículo 45.4 LOPD descritos en los apartados
50. e)- “Los beneficios obtenidos como consecuencia de la comisión de la infracción”- y
51. g)- “La reincidencia”-, argumentando que ni han existido beneficios ni existe reincidencia de la entidad. En ese sentido se ha de señalar que la ausencia de reincidencia no puede implicar una atenuación de la sanción pues la sanción, para tal caso, será la prevista por la norma para el tipo infractor. Por su propia esencia la reincidencia únicamente puede operar agravando y no atenuando la sanción. Respecto a la pretendida “ausencia de beneficios” se ha de destacar que el tratamiento ilícito de los datos del denunciante tuvo lugar con ocasión del intento de contratación de un producto con la denunciada, “por lo que la actuación de la entidad estuvo motivada por la búsqueda de beneficio económico”. La Audiencia Nacional, Sala de lo Contencioso Administrativo, en SAN de 17/04/2018 (Rec. 254/2017) rechazó la pretensión de la recurrente para que se estimara como atenuante el artículo 45.4.
52. e)LOPD, ausencia de beneficios, argumentando (Fundamento Jurídico tercero) que “En cuanto a la ausencia de beneficios, no cabe sino reiterar lo argumentado por la resolución recurrida, respecto a que lo relevante es que la actuación de Abanca sí estuvo motivada por la búsqueda de beneficio económico, por lo que el hecho de que aquél no llegara finalmente a obtenerse no puede servir de fundamento a una atenuación de culpabilidad o antijuridicidad de su conducta”. (El subrayado es de la AEPD) - Alega asimismo el apartado
53. f)del artículo 45.4 LOPD: falta de intencionalidad. La expresión utilizada por el precepto es equivalente a falta de culpabilidad, comprensiva tanto del dolo como de la culpa en cualquiera de sus grados. Y sobre esta cuestión basta decir que, como se expone en el fundamento precedente se aprecia en la actuación de la denunciada una “grave falta de diligencia”. La SAN de 12/11/2007 (Rec. 351/2006) indicó sobre esta cuestión que “ (…)Cuando concurre una falta de diligencia, como aquí acontece, existe culpabilidad y la conducta merece sin duda un reproche sancionador sin que el hecho de que no exista actuación dolosa deba conllevar necesariamente una disminución aún mayor de la sanción cuando ésta ha sido impuesta en su grado mínimo”. - Respecto a los apartados
54. h)-relativo a la naturaleza de los perjuicios causados a las personas interesadas o a terceros- e
55. i)del artículo 45.4 LOPD, ambos invocados como atenuantes por la denunciada, cabe señalar lo siguiente. 27/30 Afirma YOUNITED que “no hay evidencia ni dato alguno de que el bien jurídico protegido por la norma legal sufriera daños concretos o especialmente graves” a lo que hemos de responder que el bien jurídico protegido es el derecho fundamental a la protección de datos del denunciante y que es obvio que este derecho ha sido lesionado con la actuación de la entidad. Es evidente también que esta actuación ha provocado que el afectado tuviera que hacer las gestiones oportunas para la salvaguarda de su derecho, como es acudir a esta Agencia y presentar la correspondiente denuncia. Si bien no podemos calificar de “especialmente graves” los daños sufridos -razón por la cual tal circunstancia no fue valorada por esta Agencia como agravante de la responsabilidad de la denunciada- no cabe tampoco afirmar que exista una ausencia de daños al afectado que sirva de fundamento a la admisión de una atenuante al amparo del apartado
56. h)del artículo 45.4 LOPD. Y por lo que atañe al apartado
57. i)del artículo 45.4 LOPD es claramente improcedente la pretensión de la denunciada de que se acepte en calidad de atenuante. Nos limitamos sobre el particular a remitirnos a lo expuesto a propósito del elemento de la culpabilidad de la entidad. - Invoca también “otras circunstancias que son relevantes para determinar el grado de antijuridicidad y culpabilidad de la conducta infractora” (apartado j del artículo 45.4 LOPD) A saber:
58. i)que se produjo una “anomalía” que “tiene su origen en una suplantación de identidad que tenía como fin estafar a Younited”;
59. ii)que YOUNITED tiene establecidas garantías en el proceso de contratación; iii) que YOUNITED cumple la normativa regulatoria bancaria;
60. iv)que YOUNITED ha desarrollado mecanismos “para evitar que pueda volver a ocurrir un supuesto como el que nos ocupa”. Estos mecanismos, a los que se alude en los folios 12 y 13 del escrito de alegaciones a la propuesta de resolución consisten en medidas “para evitar un menor impacto en los derechos de los solicitantes”, como la consulta a un único fichero de solvencia y no a dos ficheros; la inmediatez de las consultas al fichero y la inmediatez en la respuesta sobre pre -aceptación o rechazo de la solicitud del préstamo. Ninguno de los factores que describe conducen a admitir la atenuante del articulo 45.4
61. j)LOPD. La razón es que resulta indiferente cuál sea el origen de los hechos, pues lo determinante es que la entidad no tenía prevista ninguna medida para validar la identidad del pre solicitante del micro préstamo; igualmente irrelevante a los efectos que aquí se valoran es que la entidad hubiera cumplido las obligaciones que le impone la normativa bancaria o que al tiempo de la contratación (esto es, después de que se hubieran consultado los ficheros de solvencia) tuviera implementadas fórmulas de validación de la identidad del cliente. Y finalmente, respecto a los mecanismos que dice haber implementado para evitar hechos como el que ha motivado la apertura de este expediente, la denunciada no ha aportado prueba alguna. Por tanto, no apreciándose, como exige el apartado a, del artículo 45.5 LOPD, la concurrencia de “varias” de las circunstancias del artículo 45.4 LOPD -y menos aún una concurrencia “significativa”, tal y como prevé la norma- que impliquen disminución de la culpabilidad o de la antijuridicidad de la conducta, no se estima aplicable la atenuante cualificada solicitada (45.5.a, LOPD) Por lo que atañe a las restantes atenuantes privilegiadas cuya aplicación se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es solicitado (artículo 45.5.b, y 45.5.
62. c)llegamos a idéntica conclusión. -Respecto a la aplicación del artículo 45.5
63. b)LOPD. Argumenta que “Younited ha regularizado sus procesos de forma diligente: Los procesos relativos a la precontratación y a la contratación de productos son objeto de revisión y actualización constantemente”. La denunciada afirma que “el estafador intentó llevar a cabo dos nuevos intentos de fraude que fueron detectados por Younited con carácter previo al tratamiento de los datos…”. Indicar a propósito de este apartado
64. b)del artículo 45.5 LOPD, que el precepto alude a la regularización por la entidad de la situación irregular y que la denunciada no ha aportado ninguna prueba de las medidas que dice haber implementado y que habrían impedido que se llegaran a tratar mediante la consulta a ficheros de solvencia los datos personales de terceros. Por el contrario, la denuncia se ha limitado a alegar que no es exigible, ni procedente -hasta el punto de calificarla de “utópica”- la pretensión de que se valide de algún modo la identidad de quien facilita datos personales al tiempo de formular telemáticamente una presolicitud de contratación de un microcrédito cuando, como aquí ocure, el mero hecho de la presolicitud conlleva la consulta a los ficheros de solvencia. -En cuanto a la aplicación del apartado
65. c)del artículo 45.5 LOPD, manifiesta que “la conducta del Estafador ha inducido claramente a la comisión de la infracción”. Señalar únicamente que el “Estafador” no es el “afectado”, por lo que no se cumple el presupuesto fáctico descrito en el apartado
66. c)del artículo 45.5 LOPD. Además de no considerar procedente la aplicación del artículo 45.5 LOPD, paralelamente, atendiendo a las reflexiones realizadas, se aprecia la agravante descrita en el apartado
67. c)del artículo 45.4 LOPD: -“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”. La actividad empresarial de YOUNITED, por su propia naturaleza, exige un continuo tratamiento de datos de carácter personal tanto de clientes como de terceros. Así las cosas, de acuerdo con la legislación aplicable, valorados todos los factores de graduación de la sanción cuya existencia ha quedado acreditada y a la luz del principio de proporcionalidad, que ha de presidir la imposición de la sanción, se acuerda imponer a la denunciada por la infracción del artículo 6.1 LOPD, tipificada en el artículo 44.3.b, LOPD, una multa de 40.010 euros, cuantía mínima de la sanción prevista en la Ley para las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a YOUNITED CREDIT, con NIF W2500913E, por una infracción del Artículo 6.1 de la LOPD, tipificada en el Artículo 44.3.
68. b)de la LOPD, una multa de 40.010 euros (cuarenta mil diez euros) 29/30 SEGUNDO: NOTIFICAR la presente resolución a YOUNITED CREDIT. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
69. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
70. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es