← España

PS-00329-2018

1/18 Procedimiento Nº PS/00329/2018 RESOLUCIÓN: R/00141/2019 En el procedimiento sancionador PS/00329/2018, instruido por la Agencia Española de Protección de Datos a la entidad FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, EFC, S.A., vista la denuncia presentada por D. A.A.A. y en consideración a los siguientes ANTECEDENTES PRIMERO: En fecha 12/11/2017 tiene entrada en la Agencia Española de Protección de Datos (AEPD) un escrito presentado por D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que la entidad FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, E.F.C., S.L., (en lo sucesivo, FINDIRECT o la denunciada), ha accedido a la información que, asociada a su NIF, obra en el fichero de solvencia patrimonial BADEXCUG careciendo de legitimación para el tratamiento realizado. Anexa a la denuncia, entre otros, los documentos siguientes: - Carta con el anagrama de EXPERIAN, firmada por el Servicio de Protección al Consumidor del Fichero Badexcug, de fecha 13/10/2017, en la que, además de comunicarle que proceden a cancelar una incidencia asociada a su NIF que había sido incluida en el fichero por una tercera entidad le informan de que FINDIRECT ha efectuado consultas al fichero BADEXCUG en los últimos seis meses asociadas a su NIF - “el identificador Nº ***DNI.1”-. - Copia de la carta que el denunciante envió a FINDIRECT, que incorpora escaneado su DNI, en la que denuncia que en los últimos seis meses han practicado consultas a los ficheros de solvencia patrimonial y crédito asociadas a su NIF y solicita que le informen de la causa de las consultas y de la identidad de las personas que las han realizado. - Copia de la carta que FINDIRECT (Departamento de Ventas y Atención al Cliente) envió al denunciante, de fecha 23/10/2017, en la que acusa recibo de su escrito y responde en los siguientes términos: “con el DNI ***DNI.1 y con el nombre de A.A.A. no consta ningún cliente en nuestra base de datos, por lo que no podemos proceder a su petición”. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de la Agencia se solicita información a FINDIRECT teniendo conocimiento de los siguientes extremos que se recogen en el Informe de Actuaciones Previas de Inspección: <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 1. FINDIRECT (FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, E.F.C, S.A.), previa concesión de una ampliación del plazo para responder al requerimiento informativo, responde en escrito de fecha 13/07/2018 en el que explica que el motivo por el cual accedió a la información contenida en ficheros de solvencia fue “proceder a la valoración de la concesión de un préstamo tras la solicitud de información realizada el día 4 de octubre de 2017 por el Sr. A.A.A. a través de un Landing de esta entidad (doc 1), a la que pudo acceder desde una comunicación que había recibido de la mercantil Arvato y en la que el propio interesado a través de un link puesto a su disposición cumplimentó los datos del DNI, nombre, fecha de nacimiento, teléfono fijo y teléfono móvil y se los facilitó a mi representada” - Aporta la captura de dos impresiones de pantalla genéricas, no las que el Sr. A.A.A. supuestamente había cumplimentado cuando hizo su solicitud. Corresponden al formulario de solicitud del préstamo y al formulario de respuesta denegando la concesión. - Declara que la consulta al fichero se efectuó el 04/10/2017 a las 13:45 horas y que se informó al cliente de la imposibilidad de la concesión del préstamo solicitado. (…) >> TERCERO: Con fecha 11/10/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, S.A., por una presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en relación con el artículo 42 del Reglamento de Desarrollo de la LOPD, tipificada como infracción grave en el artículo 44.3.

  1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de conformidad con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, FINDIRECT, mediante escrito que tuvo entrada en el Registro de esta Agencia en fecha 29/10/2018, formuló alegaciones en las que solicitó que se procediera a “sobreseer las actuaciones por no haber incurrido en comportamiento u omisión constitutivos de infracción de ningún tipo”. En apoyo de su pretensión invocó los argumentos siguientes: - - C/ Jorge Juan, 6 28001 – Madrid Comenzó su alegato exponiendo el procedimiento a través del cual contactó con el solicitante del préstamo: una campaña promocional sobre direcciones email puesta a su disposición por la agencia Arvato de la que es responsable la sociedad Leads The Leads. Los destinatarios de los emails recibían un link desde el cual podían acceder a la “landing page” de FINDIRECT. La denunciada afirma que sólo llegó a contactar con los destinatarios que respondieron a través de dicha página y que sólo incorporó a sus ficheros a los que acabaron contratando el crédito. Aporta los datos que recabó y que dieron lugar a que efectuara la consulta al fichero BADEXCUG de conformidad con el artículo 42 del www.agpd.es sedeagpd.gob.es 3/18 - - - - Real Decreto 1720/2017 “en tanto se pretendía celebrar un contrato con un tercero que implicaba el pago aplazado del precio”. Explica que para realizar la consulta a los ficheros de solvencia es requisito que, con carácter previo, el interesado haya accedido a las Condiciones Generales y a la política de privacidad de la página. En ella se le informa de que la aceptación de las condiciones conlleva la aceptación y autorización a FINDIRECT para consultar sus datos en los ficheros de solvencia. En la hipótesis de que el interesado no acepte las condiciones la página no le permitiría continuar con el proceso ni, por tanto, habría lugar a la consulta posterior de sus datos en ficheros de solvencia. Indica que todos los datos personales fueron recabados en el mismo acto de quien contestó al mail recibido y que se procedió a la consulta al fichero de solvencia a efectos de analizar la viabilidad de la contratación interesada. Añade que la solicitud fue desestimada sin que se ofrecieran más datos al respecto al solicitante. Manifiesta que en el momento en que se lleva a cabo la consulta a ficheros de solvencia, sobre la premisa de presunción de veracidad de los datos ofrecidos por el interesado y “el deber de ponderación y adecuación a la hora de solicitar información, parece correcto no requerir mayor información para una solicitud inicial”. Dice que en caso de que la solicitud hubiera sido aceptada el interesado debería haber facilitado “una copia de su documentación para poder efectuar, en su caso, efectiva contratación del crédito y posterior transferencia, por lo que se hubiera producido una nueva validación”. Entiende acreditado que desplegó la diligencia que era exigible atendidas las circunstancias del caso, “a fin de asegurarse de que quien facilita como propios datos personales es quien dice ser”. Y que, habida cuenta de que la operación no fue autorizada, los datos facilitados en dicha solicitud no llegaron a ser incorporados a la base de datos de FINDIRECT, “manteniéndose únicamente la información de las transacciones realizadas a los efectos acreditativos oportunos tal y como ahora ha sido posible recuperar”. Aporta copia de los documentos siguientes: - El contrato firmado con Arvato Services Iberia, S.A. - El email enviado que incluía un enlace para acceder a la página de FINDIRECT. - Un documento denominado “Condiciones Generales de cuenta de crédito” en cuyo lateral izquierdo incorpora el nombre de la entidad, la indicación del domicilio, CIF y número de registro del Banco de España. La estipulación 19 del Condicionado, Protección de Datos Personales, señala: “El Cliente queda informado del tratamiento automatizado del que van a ser objeto sus datos y los datos a los que FINDIRECT tenga acceso como consecuencia de la ejecución del contrato y de consulta, solicitud …de cualquier transacción u operación realizada por cualquier vía…Asimismo, actuando en nombre propio tanto el Cliente como el tercero en su caso, cuyos datos se hayan facilitado en el marco del contrato suscrito …quedan informados en este acto del derecho que asiste a FINDIRECT a consultar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/18 los ficheros de solvencia patrimonial”. -Captura de pantalla de la solicitud de préstamo cumplimentada. En ella constan los siguientes datos personales: “B.B.B.”, “***FECHA NACIMIENTO.1”, figura marcada la opción “Hombre”; el NIF ***DNI.1”, el número móvil ***TELEFONO.1 y el fijo ***TELEFONO.2. Figura marcada la casilla que precede a la leyenda “Acepto las condiciones generales, el uso de Vedacon y la Política de privacidad”. QUINTO: Con fecha 07/11/2019, de conformidad con lo establecido en el artículo 77 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se abrió un periodo de prueba en el que se acordó la práctica de las siguientes diligencias: 1. Dar por reproducida a efectos probatorios la denuncia interpuesta y su documentación anexa, los documentos obtenidos y generados por los Servicios de Inspección ante FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, S.A., y el Informe de actuaciones previas de Inspección; documentos que integran el expediente E/03815/2018. 2. Dar por reproducidas a efectos probatorios las alegaciones al acuerdo de inicio del PS/00329/2018 presentadas por FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 20/03/2018 se formula propuesta de resolución del PS/329/2018 en los siguientes términos: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, S.A., (FINDIRECT) con NIF A84101682, con una multa de 40.010 euros (cuarenta mil diez euros) por la infracción del artículo 6 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  2. b)de la citada Ley Orgánica.>> La propuesta de resolución se notificó a la denunciada a través de la aplicación notifc@. Obra en el expediente el certificado emitido por el servicio de Soporte de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la FNMT que deja constancia de que en fecha 20/03/2019 se puso a disposición de la denunciada un escrito remitido por la AEPD. Se deja constancia, asimismo, de que en fecha 21/03/2019 FINDIRECT aceptó la notificación. SÉPTIMO: De conformidad con lo prevenido en el artículo 73.1 de la Ley 39/2015 en relación con el artículo el artículo 30.2 del mismo texto legal, habiendo sido aceptada la notificación de la propuesta en fecha 21/03/2019 el plazo otorgado por la primera de las disposiciones invocadas para formular alegaciones a la propuesta de resolución finalizó el jueves 04/04/2019. A fecha 09/04/2019 no se tiene noticia de que la denunciada haya formulado alegaciones a dicha propuesta. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/18 De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: A.A.A. denuncia que FINDIRECT ha efectuado consultas asociadas a su NIF al fichero BADEXCUG sin estar legitimada para ese tratamiento. Las consultas a estos ficheros de solvencia patrimonial se realizan utilizando como identificador el número de NIF. (Folio 1) SEGUNDO: A.A.A. es titular del NIF ***DNI.1, cuya copia ha facilitado y obra, entre otros, en los folios 12, 15, 16,17 y 18 del expediente administrativo. TERCERO: Obran en el expediente, aportadas por el denunciante, dos cartas que le remitió el Servicio de Protección al Consumidor del fichero BADEXCUG, de fechas 13/10/2017, referencia C20171013000197 (folio 7) y 23/10/2017, referencia C20171023000191 (folio 21). En ambas le comunican que el identificador "***DNI.1 ha sido consultado en los últimos seis meses por las siguientes entidades: (...) FINDIRECT, Avda. Fuente de la Mora, 4, Madrid, 28050, Madrid" CUARTO: FINDIRECT manifestó que el motivo por el cual había accedido a la información relativa al titular del NIF ***DNI.1 contenida en los ficheros de solvencia “…no es otro que proceder a la valoración de la concesión de un préstamo tras la solicitud de información realizada el día 4 de octubre de 2017 por el Sr. A.A.A. a través de un landing de esta entidad (.. .) a la que pudo acceder desde una comunicación que había recibido de la mercantil Arvato y en la que el propio interesado a través del link puesto a su disposición cumplimentó los datos de DNI, nombre, fecha de nacimiento, teléfono fijo y teléfono móvil y se los facilitó a mi representada." (Folio 46) QUINTO: En sus alegaciones al acuerdo de inicio del expediente sancionador FINDIRECT manifestó que "para realizar la consulta en ficheros de solvencia, es imprescindible que el interesado acceda de forma previa a las Condiciones Generales y a la política de privacidad de la página, siendo informado en ese momento que la aceptación de dichas condiciones y políticas conllevan a la aceptación y autorización por parte del interesado a que la empresa pueda proceder a la consulta en tales ficheros de solvencia. En caso de que el interesado no acepte los mentados términos y condiciones, la propia "landing page" no permite la continuación del proceso y, por tanto, la posterior consulta en ficheros de solvencia del interesado". (Folio 63) SEXTO: Con la rúbrica "Flujo del proceso de landing Findirect octubre 2017' (folios 105 a 108) la denunciada facilito las siguientes explicaciones y documentación: El cliente recibe un email (se aporta captura de pantalla) con una imagen y un link que informa sobre la posibilidad de solicitar un préstamo de 3.000 euros. 2. Si el cliente entra en el link se procede a una simulación del préstamo y si está de acuerdo con tal simulación continúa accediendo a través del botón "solicítelo ahora" 1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 Entra en el primer formulario de datos que debe llenar para continuar el proceso, además de aceptar las condiciones: "Acepto las Condiciones Generales, el uso de Vedacon y la Política de privacidad". (Folio 110) 4. "El sistema procede a realizar consultas internas para evaluar si admite la operación, entre ellas está la consulta a Experian, la cual fue realizada automáticamente; en el caso del cliente DNI ***DNI.1, fue el día 04/10/2017 a las 13:45.36 horas" 5. “El sistema al NO admitir la operación emite el siguiente mensaje informativo al cliente: Lo sentimos…” 3. SÉPTIMO: FINDIRECT ha aportado una captura de pantalla del formulario de solicitud del préstamo cumplimentada con los datos personales que facilitó el solicitante del préstamo: En la parte superior del documento aparece subrayada la leyenda: “2. Envíe la solicitud web”. En un recuadro y debajo de la rúbrica “Solicitud”, dice: “Ha elegido un préstamo de 3.000 €. Está a menos de 10 minutos de cumplir sus sueños”. Seguidamente incorpora el nombre y apellidos “B.B.B.”; la fecha ***FECHA NACIMIENTO.1; aparece activada la casilla “Hombre”; el NIF ***DNI.1; el teléfono móvil ***TELEFONO.1 y el fijo ***TELEFONO.2. En la línea inferior aparece activada la casilla con la indicación “Acepto las condiciones generales, el uso de Vedacan y la Política de Privacidad”. No consta ni se hace mención al dato de la dirección electrónica del solicitante. (Folio 102) OCTAVO: FINDIRECT ha aportado una copia con “los datos del LOG guardado del formulario que llenó el cliente en el momento de aceptar condiciones y solicitar financiación” (folio 109) En ese documento y en la columna “Descripción del dato” se precisan los tipos de datos recogidos. Entre ellos figuran todos los que aparecen en la captura de pantalla a la que hace mención el Hecho probado séptimo (es decir, “DNI/NIF”; “Nombre”; “Primer apellido”; “Segundo Apellido”; “Fecha de nacimiento”; “Teléfono 1”; “Teléfono 2 ) y a otros distintos, entre los que cabe mencionar los relativos a “Fecha y hora de creación, momento en que acepta condiciones y solicita financiación con el primer formulario lleno”; “Importe solicitado” y “Plazos solicitados”. No hay ningún campo de datos destinado a la dirección electrónica del solicitante del préstamo. NOVENO: La denunciada ha aportado la “Auditoría Landing Page”, de fecha 22/10/2018, realizada por la empresa SECOND WINDOW, S.L., con CIF B85872109. (Folios 111 a 124). La Auditoría concluye que “un usuario, a través de su navegador web y haciendo uso normal del sitio web, no podría haber hecho click en el link recibido en el email y realizar una solicitud por error o desconocimiento, sin antes rellenar los campos obligatorios del formulario y aceptar las Condiciones Generales y la política de privacidad de la página, marcando la casilla prevista al efecto”. (Folio 124) DÉCIMO: FINDIRECT manifiesta que en caso de que hubiera aceptado la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 préstamo recibida, asociada al NIF ***DNI.1, el interesado debería haber facilitado copia de su documentación para hacer efectiva la contratación del crédito por lo que se habría producido una nueva validación. (Folio 63) UNDÉCIMO: FINDIRECT declara que, habida cuenta de que la operación de crédito no fue autorizada, “los datos facilitados en su día en dicha solicitud no fueron incorporados a la base de clientes de FINDIRECT, manteniéndose únicamente la información de las transacciones realizadas a los efectos acreditativos oportunos”. (Folio 64) DUODÉCIMO: El documento denominado Condiciones Generales (folios 90 a 96), que FINDIRECT afirmó que habían sido aceptadas por el solicitante del crédito, prevén en su estipulación 19 (“Protección de Datos Personales”): “El Cliente queda informado del tratamiento automatizado del que van a ser objeto sus datos y los datos a los que FINDIRECT tenga acceso como consecuencia de la ejecución del contrato y de consulta, solicitud o… de cualquier transacción u operación realizada por cualquier vía., (…) Asimismo, actuando en nombre propio tanto el Cliente como el tercero en su caso, cuyos datos se hayan facilitado en el marco del contrato suscrito, y en aras de una correcta evaluación de la financiación solicitada y de la información remitida, quedan informados en el acto , del derecho que asiste a FINDIRECT a consultar los ficheros de solvencia patrimonial”. (Folio 91) FUNDAMENTOS DE DERECHO I De acuerdo con lo establecido en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos. II Los principios generales de protección de datos regulados en los artículos 4 a 12 de la LOPD, que integran el Título II de la citada Ley Orgánica, constituyen el contenido esencial de este derecho fundamental. La Audiencia Nacional, en diversas sentencias (entre otras SSAN de 24/03/2004 y 7/07/2006) ha señalado que los principios generales descritos en dicho Título definen las pautas a las que debe atenerse la recogida, el tratamiento y el uso de los datos de carácter personal. En esa línea, la SAN de 25/07/2006 manifiesta: “…dichos principios sirven para delimitar el marco en el que debe desenvolverse cualquier uso o cesión de los datos de carácter personal y para integrar la definición de los tipos de infracción definidos en el artículo 44 de la LOPD, pues este precepto aborda la tipificación de las distintas infracciones mediante una remisión a los principios definidos en la propia Ley”. (El subrayado es de la AEPD) La LOPD en su artículo 6 se refiere al principio del consentimiento en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 tratamiento de los datos de carácter personal y dispone bajo la rúbrica “Consentimiento del afectado”: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento;(…) El artículo 4 de la LOPD, “Calidad de los datos”, establece en su apartado 3: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Por otra parte, el Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2017 (RLOPD), en el capítulo I del Título IV, que lleva por rúbrica “Ficheros de información sobre solvencia patrimonial y crédito”, se ocupa en su artículo 42 del “Acceso a la información contenida en el fichero” y dispone: “1. Los datos contenidos en el fichero común sólo podrán ser consultados por terceros cuando precisen enjuiciar la solvencia económica del afectado. En particular, se considerará que concurre dicha circunstancia en los siguientes supuestos:
  3. a)Que el afectado mantenga con el tercero algún tipo de relación contractual que aún no se encuentre vencida.
  4. b)Que el afectado pretenda celebrar con el tercero un contrato que implique el pago aplazado del precio.
  5. c)Que el afectado pretenda contratar con el tercero la prestación de un servicio de facturación periódica. 2. Los terceros deberán informar por escrito a las personas en las que concurran los supuestos contemplados en las letras
  6. b)y
  7. c)precedentes de su derecho a consultar el fichero. En los supuestos de contratación telefónica de los productos o servicios a los que se refiere el párrafo anterior, la información podrá realizarse de forma no escrita, correspondiendo al tercero la prueba del cumplimiento del deber de informar”. La infracción del principio del consentimiento se tipifica como grave en el artículo 44.3.
  8. b)LOPD, que dispone: “Son infracciones graves: (…) “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. III El objeto del expediente sancionador que nos ocupa es el tratamiento realizado por FINDIRECT del dato del NIF del denunciante. El tratamiento de este dato personal se materializó, entre otras conductas, en la consulta a la información que, asociada a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 él, constaba en el fichero de solvencia patrimonial BADEXCUG. A) Obran en el expediente sendos documentos emitidos por Experian Bureau de Crédito, S.A., responsable del fichero BADEXCUG, de fechas 13/10/2017 y 23/10/2017, que informan de que en los seis meses anteriores la entidad “FINDIRECT, Avda. Fuente de la Mora,4, Madrid, 28050, Madrid” realizó consultas a ese fichero de solvencia relativas al identificador ***DNI.1 (Hecho probado tercero). Asimismo, la denunciada ha reconocido que en fecha 04/10/2017 a las 13:45:36 horas se realizó la consulta a BADEXUCUG asociada al citado NIF (folio 108) y ha aportado un documento denominado “Datos del LOG guardado en Base de datos de la respuesta de Experian” que ofrece idéntica información (folio 104). Que el NIF ***DNI.1 es titularidad del denunciante, A.A.A., ha quedado plenamente acreditado en el expediente a través de la abundante documentación aportada al efecto, entre ella varias copias del DNI (ver Hecho probado primero). En respuesta al requerimiento informativo que la Inspección de Datos de la AEPD hizo a FINDIRECT en el curso de las actuaciones de investigación previa sobre el motivo por el cual había consultado el NIF del denunciante en el fichero BADEXCUG, la entidad denunciada respondió: “…no es otro que proceder a la valoración de la concesión de un préstamo tras la solicitud de información realizada el día 4 de octubre de 2017 por el Sr. A.A.A. a través de un landing de esta entidad (.. .) a la que pudo acceder desde una comunicación que había recibido de la mercantil Arvato y en la que el propio interesado a través del link puesto a su disposición cumplimentó los datos de DNI, nombre, fecha de nacimiento, teléfono fijo y teléfono móvil y se los facilitó a mi representada." (Hecho probado cuarto. El subrayado es de la AEPD) La denunciada ha aportado dos documentos en los que constan los datos que le facilitó el solicitante del crédito cuando cumplimentó el formulario de petición de préstamo desde la landing-page de FINDIRECT: Por una parte, nos facilita una captura de pantalla del mencionado formulario (se describe en el Hecho probado séptimo de esta resolución) en la que figuran tanto el nombre de B.B.B. como el NIF ***DNI.1. Por otra, aporta un documento con los “datos del LOG guardado del formulario que llenó el cliente en el momento de aceptar condiciones y solicitar financiación”, obrante al folio 109, que se describe en el Hecho probado octavo de esta resolución. En este documento consta igualmente que el solicitante del préstamo se identificó con el NIF ***DNI.1 y el nombre de B.B.B.. Se concluye de lo expuesto que el dato del NIF ***DNI.1 tratado por FINDIRECT, quien realizó una consulta al fichero BADEXCUG asociada a ese identificador, no pertenece a la persona que lo facilitó como propio y se identificó como B.B.B., sino que su titular es el denunciante, quien niega haber solicitado a la denunciada la contratación de un préstamo o algún otro producto que la habilitara para consultar los ficheros de solvencia patrimonial. La denunciada en defensa de la legitimidad del tratamiento realizado -la consulta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 a BADEXCUG asociada al dato del NIF del denunciante- invoca el artículo 42 del Reglamento de desarrollo de la LOPD. En este sentido, en sus alegaciones al acuerdo de inicio (folio 63), a propósito de la remisión a esta Agencia de la documentación relativa al formulario de solicitud de préstamo, declaró: “Se acompaña la concreta y completa información recabada que fue recibida por mi representada y que originó la consulta al fichero de solvencia BADEXCUG de conformidad con el art. 42 del Real Decreto 1720/2017 en tanto se pretendía celebrar un contrato con un tercero que implicaba el pago aplazado del precio.” El artículo 42 del RLOPD, reproducido en el Fundamento precedente, habilita a consultar los datos contenidos en un fichero común -dispensando así, para ese tratamiento específico, de la obligación de recabar el consentimiento del titular de los datos- cuando existe una circunstancia particular que es exponente del interés legítimo que asiste a quien hace la consulta: la necesidad de enjuiciar la solvencia económica del titular de los datos personales tratados. Si bien el precepto, artículo 42.1, RLOPD, relaciona tres casos en los que está presente el interés legítimo de valorar la solvencia económica de una persona -entre ellos el invocado por la denunciada, la pretensión del “titular de los datos” de celebrar un contrato que implique el pago aplazado del precio- la Audiencia Nacional, Sala de lo contencioso administrativo, ha precisado que la relación de supuestos recogidos en la norma tiene carácter de numerus apertus, siendo por ello bastante que exista un interés legítimo de quien accede al fichero que no necesariamente debe derivar de la existencia de una relación contractual o precontractual, siendo indispensable en todo caso que exista una finalidad legitima para las consultas que en ningún caso pueden ser indiscriminadas (por todas SSAN de 26/10/2018, Rec. 130/2017 de 15/02/2019, Rec. 32/2018 y de 09/07/2015, Rec. 40/2014, F.J. quinto) En el asunto que nos ocupa no existe controversia alguna acerca de si la solicitud de un préstamo sería encuadrable en la habilitación para consultar datos en ficheros de solvencia que deriva del artículo 42.1 del RLOPD. Ninguna duda existe de que quien recibe una solicitud de préstamo está legitimado ex articulo 42.1 RLOPD para consultar los “datos de los que es titular el solicitante”. Sin embargo, la cuestión controvertida que aquí se plantea es otra: si la entidad financiera que consulta un fichero común ostenta la habilitación legal del artículo 42 del RLOPD pese a que el tercero que solicitó el préstamo le facilitó como propio un NIF que no le pertenecía, del que no era titular y habida cuenta de que la entidad financiera no había adoptado ninguna medida para verificar que el solicitante del préstamo era efectivamente quien decía ser y titular del NIF facilitado para su identificación. FINDIRECT argumenta en su defensa que en la fase de “solicitud” del préstamo no procede pedir ningún documento ni adoptar ninguna medida para comprobar la veracidad de los datos personales facilitados y afirma que “desplegó la diligencia que era exigible atendidas las circunstancias del caso” (folio 64). Manifiesta a ese respecto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 (folio 63, penúltimo párrafo) que “En dicho momento y sobre las bases de presunción de veracidad de los datos ofrecidos por el interesado, así como el deber de ponderación y adecuación a la hora de solicitar información, parece correcto no requerir mayor información para una solicitud inicial”. Efectivamente el artículo 8 del RLOPD - “Principios relativos a la calidad de los datos”- dispone en el punto 5: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste” Esta presunción de veracidad del inciso último del precepto parte de una premisa que la condiciona, como no podría ser de otro modo habida cuenta de que uno de los principios que configuran el contenido del derecho fundamental a la protección de datos personales es el de exactitud, manifestación del principio de calidad del dato, que exige que “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado”. Es presupuesto indispensable para poder aplicar la presunción de veracidad del artículo 8.5 del RLOPD que se tenga una mínima certeza de que el afectado es quien dice ser. Cuando, como sucede en el caso examinado, la denunciada no ha desplegado ninguna actividad encaminada a constatar que quien se identificó con determinados datos era efectivamente su titular, ni podemos utilizar el término “afectado” para quien ha facilitado como propios los datos de un tercero ni por ende predicar de tales datos la presunción legal del artículo 8.5 del RLOPD. El principio de calidad del dato obliga al responsable del fichero o tratamiento a desplegar una diligencia adecuada a fin de garantizar que los datos personales tratados son exactos y veraces. Y ninguna exactitud o veracidad puede predicarse de un dato que no pertenece a quien lo ha facilitado. La presunción del artículo 8.5 del RLOPD y la habilitación legal del artículo 42.1 RLOPD sólo pueden entenderse en ese contexto. En defensa de su pretensión de archivo del expediente, FINDIRECT añade a la afirmación de que en la fase de “solicitud inicial” del préstamo parece correcto no requerir mayor información esta declaración: “Evidentemente, en caso de haber resultado aceptada la solicitud, el interesado debería haber facilitado copia de su documentación para poder efectuar, en su caso, efectiva contratación del crédito y posterior transferencia, por lo que se habría producido una nueva validación”. (Folio 63, último párrafo) Es indispensable, por ello, subrayar que el tratamiento de los datos personales realizado por FINDIRECT no se inicia en la fase en la que la entidad ha decidido -previa consulta a los ficheros de solvencia patrimonial- conceder el préstamo y requerir entonces al solicitante que le aporte los documentos que acrediten su identidad. La única cuestión sobre la que esta Agencia ha de pronunciarse es sobre el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 respeto y cumplimiento de la denunciada a las obligaciones que le impone la normativa de protección de datos de carácter personal; obligaciones a las que está sujeta desde que inicia el tratamiento de los datos de un tercero. Ese tratamiento no comienza ni con la aceptación de una solicitud de préstamo ni con la firma del contrato -que es el momento en el que el protocolo de actuación de la denunciada prevé desplegar una actuación diligente para verificar la identidad del solicitante-, sino mucho antes, con la cumplimentación del formulario y solicitud del préstamo. Además, se debe de destacar, ante el argumento que la denunciada ofrece para justificar que no haya adoptado, ni tenga previsto hacerlo, ninguna medida de diligencia encaminada a verificar la identidad del solicitante -nos referimos a la invocada “ponderación y adecuación” de la información que es exigible al solicitante de un préstamo- que la ponderación a la que alude obliga a tomar en consideración un elemento como la finalidad para la que FINDIRECT tratará los datos personales que recoge de quien solicita el préstamo, pues el Condicionado General menciona entre las finalidades del tratamiento la consulta a diversos ficheros, entre ellos, a los ficheros de solvencia patrimonial. Como ha explicado con reiteración la denunciada, en esa fase de solicitud del préstamo en la que a su juicio no procedía medida alguna para verificar la identidad del solicitante, éste aceptó las Condiciones Generales en las que se estipula que sus datos (los que ha facilitado como propios) serán consultados en ficheros de solvencia patrimonial (Hechos probados quinto, séptimo y duodécimo) En definitiva, la denunciada trató un dato personal del denunciante, su NIF, dato personal por excelencia toda vez que identifica a la persona de forma indubitada, sin que sea admisible estimar que ese tratamiento estuviera habilitado por Ley (ex artículo 6.1 LOPD, inciso último) al amparo del artículo 42 del RLOPD, tal y como ha sostenido la denunciada en sus alegaciones al acuerdo de inicio. B. Conforme al artículo 6.1 de la LOPD el tratamiento de los datos personales de un tercero exige contar con el consentimiento inequívoco del titular “salvo que la Ley disponga otra cosa”. Excluida la posibilidad de que el tratamiento sobre el que versa la denuncia éste habilitado por el artículo 42 del RLOPD procede analizar las otras hipótesis expuestas por la entidad denunciada: la dispensa del consentimiento prevista en el artículo 6.2 LOPD -la norma dispensa al responsable del fichero de recabar el consentimiento del titular para tratar sus datos personales, entre otros supuestos, cuando el tratamiento se refiere a las partes de un precontrato y es necesario para su mantenimiento o cumplimiento- y en el consentimiento expreso otorgado al aceptar el condicionado general. No obstante, para que el tratamiento de los datos personales pueda ampararse en alguna de esas disposiciones -el consentimiento prestado o la dispensa del consentimiento en atención a que el afectado es parte en un precontrato- resulta imprescindible que quien otorgue el consentimiento en el primer supuesto o quien suscriba el precontrato, en el segundo, sea efectivamente el titular de los datos personales objeto del tratamiento. Así lo expresa con toda claridad el artículo 3.
  9. h)de la LOPD que, al definir el consentimiento, se refiere a la manifestación de voluntad que el interesado hace respecto a los “datos que le conciernan”. Exigencia que es también C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 consecuencia del principio de exactitud de los datos a tenor del cual los datos objeto de tratamiento han de ser exactos y veraces (ex artículo 4.3 LOPD) Es ese el criterio reiteradamente mantenido por la Sala de lo contencioso administrativo de la Audiencia Nacional. A título de ejemplo podemos citar la SAN de 31/05/2006 (Rec. 539/2004), Fundamento de Derecho Cuarto, que señala: “(…) es al responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la Ley”. También la antigua SAN de 11/05/2001 indicaba: “...quien gestiona la base, debe estar en condiciones de acreditar el consentimiento del afectado, siendo carga de la prueba del mismo su justificación, y la entidad recurrente en ningún momento ha realizado esfuerzo probatorio tendente a la acreditación del consentimiento de las personas en las que se basa la sanción”. En definitiva, como ya se ha indicado, en el supuesto que se somete a la valoración de esta Agencia el denunciante, titular del NIF ***DNI.1 que fue tratado por FINDIRECT para consultar al fichero BADEXCUG, ni había solicitado un préstamo a dicha entidad, ni era cliente suyo, ni concurría circunstancia alguna que justificara la necesidad de la denunciada en enjuiciar su solvencia económica. Todo lo cual impide amparar el tratamiento del NIF del denunciante en el artículo 42 del RLOPD. Tampoco cabe amparar el tratamiento del NIF del denunciante realizado por la denunciada en el consentimiento prestado por su titular, pues no fue el titular (esto es, el denunciante) sino un tercero, B.B.B., quien facilitó el dato como propio. Por idéntica razón tampoco puede entenderse que el tratamiento del dato del NIF del denunciante encuentre su legitimación en el artículo 6.2 LOPD, pues la solicitud de préstamo no la hizo el afectado sino un tercero y fue también el tercero quien aceptó el Condicionado General, en cuyas estipulaciones se contempla la consulta a ficheros de solvencia patrimonial. Así las cosas, la conducta de FINDIRECT sobre la que versa la denuncia constituye una infracción del principio del consentimiento, artículo 6.1 LOPD. Este ha sido el criterio seguido por la Audiencia Nacional, Sala de lo Contencioso Administrativo, en diversas resoluciones entre las que citamos la SAN de 09/07/2015 (Rec. 40/2014) que en su F.J. cuarto decía: “En el caso de autos consta acreditado que el denunciante ha tenido dos contratos con FT siendo el último de fecha de baja 2/1/2011 sin que a esa fecha existieran facturas pendientes de pago, ni relación alguna con la citada entidad, habiendo manifestado el denunciante que con posterioridad no ha vuelto a tener C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 relación con F.T. (…) . Ante lo cual y habiéndose acreditado que F.T. accedió a los datos que del denunciante figuraban en el fichero Badexcug con posterioridad, entre el 3/10/2011 y el 3/4/2012, correspondía acreditar a la citada entidad que contaba con el consentimiento del denunciante o estaba legitimada para consultar sus datos en el fichero de solvencia patrimonial Badexcug, lo que no ha hecho, sin que conste acredita la concurrencia del citado supuesto previsto en el citado artículo 42.1.
  10. c)del RLOPD ni la información prevista en el mismo. En definitiva, resulta acreditada la vulneración del principio del consentimiento exigido en el artículo 6.1 LOPD, que constituye una garantía fundamental en materia de protección de datos, al haber tratado la operadora recurrente los datos del denunciante sin su consentimiento y sin que concurra ninguna de las causas que eximan de su prestación según el artículo 6.2 LOPD, conducta que integra la infracción.” C. El nacimiento de responsabilidad sancionadora exige como presupuesto la existencia de culpabilidad en cualquiera de sus manifestaciones: dolo, culpa o culpa levísima. En el ámbito del Derecho Administrativo Sancionador no es posible imponer sanciones basadas en la responsabilidad objetiva del presunto infractor, pues las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones de la potestad punitiva del Estado y, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible que este elemento esté presente como presupuesto para su imposición (STC 76/1999) La Ley 40/2015, de “Régimen Jurídico del Sector Público”, dispone en su artículo 28 bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas,(…), que resulten responsables de los mismos a título de dolo o culpa”. En relación al principio de culpabilidad cabe citar la STS de 24/11/2011 (Rec. 258/2009) que señala: “No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma” El Tribunal Supremo añade a lo anterior (por todas STS 23/01/1998, transcrita parcialmente en STS de 23/10/2010, Rec. 1067/2006) que “aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquella forman parte de la conducta típica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 probada, y que su exclusión requiere que se acredite la ausencia de tales elementos o, en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” Es necesario, por ello, valorar si en la conducta de FINDIRECT -concretada en el tratamiento del NIF del denunciante vinculado a una solicitud de préstamo y en su consulta al fichero de solvencia BADEXCUG- concurre el elemento subjetivo de la infracción; en definitiva, si se aprecia en la actuación de la denunciada omisión de la diligencia debida en el cumplimiento de las obligaciones que le impone la normativa de protección de datos de carácter personal. Un análisis del protocolo de actuación que FINDIRECT ha detallado en sus alegaciones al acuerdo de inicio del expediente pone de manifiesto que la entidad no adopta medida alguna para verificar si los datos facilitados con “la solicitud” del préstamo efectivamente pertenecen a su titular. Por lo que respecta a la copia del documento que identifica al solicitante del préstamo, la denunciada ha declarado reiteradamente que no pide ningún documento hasta que concluye la fase de solicitud inicial. Esto es, una vez recabados los datos, aceptado el condicionado por el solicitante, consultados los ficheros de solvencia por la entidad y cuando ésta responde afirmativamente a la solicitud formulada. Es entonces cuando se recaba del solicitante la firma del contrato y los documentos que acrediten su identidad. Además de no recabar en la fase de solicitud del préstamo una copia del documento acreditativo de la identidad, FINDIRECT no hace mención a ningún otro mecanismo implementado para la validación de la identidad de la persona que ha facilitado como propios determinados datos personales. Si se toman en consideración las finalidades para las que la denunciada tratará el dato personal del NIF durante la denominada fase de “solicitud” del préstamo -entre ellas las consultas a ficheros de solvencia- se revela aún más grave la falta de diligencia demostrada en el tratamiento de datos personales que se somete a la consideración de esta Agencia. No puede obviarse que cuando FINDIRECT recaba los datos del solicitante del crédito es cuando inicia su tratamiento y, por tanto, cuando debe de asegurarse de que quien ha facilitado como propios determinados datos es su verdadero titular. Sobre el grado de diligencia que el responsable del fichero está obligado a desplegar en el cumplimiento de las obligaciones que le impone la LOPD, la SAN de 17/10/2007 (rec. 63/2006) después de referirse a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia precisó que “….el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Especialmente significativa es también la SAN de 29/04/2010 que, en su Fundamento Jurídico sexto, indicó: “La cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con la que suscribió el contrato”. En atención a las consideraciones precedentes, el tratamiento efectuado por FINDIRECT del dato personal del denunciante, su NIF, sin legitimación para ello constituye una infracción del artículo 6.1 LOPD y es subsumible en el tipo infractor del artículo 44.3.
  11. b)LOPD. IV El artículo 45 de la LOPD establece en sus apartados 1 a 5: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  12. a)El carácter continuado de la infracción.
  13. b)El volumen de los tratamientos efectuados.
  14. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  15. d)El volumen de negocio o actividad del infractor.
  16. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  17. f)El grado de intencionalidad.
  18. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  19. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  20. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  21. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  22. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  23. b)Cuando la entidad infractora haya regularizado la situación irregular de forma C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 diligente.
  24. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  25. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  26. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Teniendo la infracción tipificada en el artículo 44.3.
  27. b)LOPD, de la que se responsabiliza a FINDIRECT, el carácter de infracción grave la sanción a imponer será la prevista en el artículo 45.2. LOPD. En el presente asunto no se aprecian elementos que justifiquen la aplicación de ninguna de las atenuantes privilegiadas del artículo 45.5 LOPD, razón por la cual la graduación de la sanción se hará, dentro de los límites que fija el artículo 45.2, tomando en consideración, exclusivamente, los criterios del artículo 45.4 LOPD. En particular, se estima, como ya hiciera el acuerdo de inicio del expediente sancionador, que concurre en calidad de agravante la circunstancia descrita en el apartado
  28. c)del artículo 45.4 LOPD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal”. Esto, porque la actividad empresarial de FINDIRECT -con ocasión de la cual se vulneró la LOPD- exige, por su propia naturaleza, un continuo tratamiento de datos personales. Valorada la ausencia de circunstancias atenuantes de la antijuridicidad o la culpabilidad de la denunciada y valorada la concurrencia de la agravante descrita en el apartado
  29. c)del artículo 45.4 LOPD, se acuerda sancionar la infracción del artículo 6.1 LOPD, tipificada como infracción grave en el artículo 44.3.
  30. b)LOPD, de la que es responsable FINDIRECT, con una multa de 40.010 euros, cuantía próxima al mínimo previsto en el artículo 45.2 para la sanción de las infracciones graves. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, EFC, S.A., con NIF A84101682, por una infracción del artículo 6.1 de la LOPD, tipificada como infracción grave en el artículo 44.3.
  31. b)de la LOPD, una multa de 40.010 € (cuarenta mil diez euros) de conformidad con lo establecido en el artículo 45.2. de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a FINANCIERA ESPAÑOLA DE CRÉDITO A DISTANCIA, EFC, S.A., con NIF A84101682 TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  32. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa, y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.