← España

PS-00354-2023

1/28 Expediente N.º: EXP202304146 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 8 de febrero de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra WENANCE LENDING DE ESPAÑA, S.A. con NIF A67194746 (en adelante, la parte reclamada, WELP o WENANCE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que WENANCE le imputa una deuda que no le corresponde, ya que procede de la contratación de un préstamo realizado de manera presuntamente fraudulenta. La contratación del crédito se habría producido el 21 de agosto de 2020. Junto a la notificación se aporta un burofax dirigido por la parte reclamante a WENANCE, de fecha 12 de agosto de 2022, mediante el cual le comunica que no reconoce la deuda, ni haber contratado crédito alguno con la parte reclamada; asimismo le requiere para que deje de tratar sus datos en lo sucesivo. Se deduce que el burofax fue remitido por la parte reclamante al haber recibido alguna notificación o requerimiento de pago del crédito celebrado. A dicho burofax la parte reclamante adjunta dos denuncias que interpuso ante la Policía Nacional por estos hechos (presentadas en octubre y diciembre de 2020). En la primera de ellas se contienen hechos que podrían explicar una posible suplantación de la identidad de la parte reclamante: “En fecha 21 de agosto [de 2020] vi en la página milanuncios una oferta de trabajo. Que en el anuncio daban el teléfono ***TELÉFONO.1 para contactar. La declarante contacta con este número, indicándole que debía enviar un Selfie suyo con la foto del DNI por delante y por detrás. Que la declarante lo hace y no vuelve a recibir respuesta. Que en el día de la fecha [06/10/2020] su madre ha recibido una llamada en la que una Aseguradora financiera le dice que debe 200 euros más intereses de un préstamo que había pedido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/28 Que la declarante llama por teléfono a dicha empresa al ***TELÉFONO.2, quien le informa de su préstamo, manifestando que debe 319 euros y que tiene que devolverlo. Y que hay asociada en el Banco Santander, pero no está a su nombre. Que la declarante se pone en contacto por e-mail cobranzas “welp.es” desde donde le aportan la captura del contrato, que aporta a las presentes”. Además, la parte reclamante aporta un documento denominado “Ejercicio del derecho de supresión” dirigido a la parte reclamada con fecha 02/02/2023. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a WENANCE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 31/03/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 04/05/2023 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: - La reclamante contrató efectivamente un préstamo con WENANCE con fecha de 21 de agosto de 2020. Aporta copia del mismo. - En su momento, solicitó supresión de sus datos personales, pero esta no pudo aceptarse por encontrarse vigente la ejecución del contrato - Afirma que considera “inverosímil” la versión de la reclamante, por varias razones: C/ Jorge Juan, 6 28001 – Madrid o Resulta imposible, a su juicio, que el mismo día que dio sus datos a un tercero, este abriera una cuenta corriente en el Banco Santander (para el ingreso del importe del crédito). o WENANCE solo admite el envío del importe del crédito solicitado en cuentas bancarias con más de tres meses de antigüedad o WENANCE realiza, a través de su proveedor de servicios de pago, un ingreso previo para comprobar la titularidad de la cuenta bancaria o Aparte, reseña que la parte reclamante aporta una denuncia de octubre de 2020, pero sin embargo se extraña de que dos años y medio después no exista ninguna querella ni ningún tipo de investigación judicial www.aepd.es sedeagpd.gob.es 3/28 Aporta un ejemplar de contrato que estaría firmado electrónicamente, a través de remisión del mismo a una dirección de correo electrónico y posterior confirmación a través de clave enviada por SMS al teléfono móvil. La dirección e-mail que consta es: ***EMAIL.1. y la línea telefónica de contacto para el envío del SMS: ***TELÉFONO.1 TERCERO: Con fecha 8 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento, en esencia, de los siguientes extremos: Fecha en la que tuvieron lugar los hechos reclamados: - Apertura del préstamo presuntamente fraudulento: 21/08/2020 Fechas de denuncias policiales: 06/10/20 y 16/12/2020 Fecha de presentación del burofax para derecho de supresión ante WENANCE: 12/08/2022. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Analizada la evidencia de firma electrónica del contrato aportado por la parte reclamada, se observa que: - Es un certificado emitido por el tercero de confianza LLEIDANETWORKS Serveis Telemàtics S.A. (en adelante ***URL.1), que es un prestador de servicios electrónicos de confianza cualificado conforme lo establecido en el Reglamento eIDAS para toda la Unión Europea y proporciona el Servicio cualificado de entrega electrónica certificada, según consta publicado en la web del Ministerio de Asuntos Económicos y Transformación Digital. - El CIF de WELP que se presenta en el certificado es incorrecto. En el certificado se muestra: Welp.es (A12345678), cuando el CIF real de WELP es A67194746. Se solicitará más adelante el contrato entre WELP y ***URL.1 y se confirmará que existe realmente un contrato entre ellos para entrega electrónica certificada, aunque en dicho contrato el CIF también contiene un error tipográfico: A97194746 en vez de A67194746. - Las evidencias de firma especificadas en el certificado son las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/28    2020-08-21 09:01:37 UTC-3: Ha enviado un EMAIL de tipo inicio de proceso certificado al correo electrónico ***EMAIL.1. 2020-08-21 09:03:00 UTC-3: Ha enviado un SMS de tipo notificación de OTP certificado al teléfono ***TELÉFONO.1. 2020-08-21 09:03:26 UTC-3: Ha recibido una petición HTTPS desde la IP ***IP.1 correspondiente al evento de firma. -    Analizando las evidencias proporcionadas junto a los datos anteriores, se percibe que: El email de inicio del proceso se ha originado en UTC-3 y en el pie de firma del contrato consta Buenos Aires, Argentina. (Aclaración del inspector: Este origen es común en los certificados de comunicaciones electrónicas con WELP emitidos por ***URL.1.) Los datos donde se envía el mail con la documentación y el SMS con el código de firma del contrato son: ***EMAIL.1 y ***TELÉFONO.1. Este número de teléfono coincide con el teléfono que consta en la denuncia presentada ante la policía por la parte reclamante, teléfono con el que presuntamente contactó para enviar las fotos y solicitar el empleo. Los datos que constan en la Orden de domiciliación de adeudo directo SEPA como Deudor son: o o o o Nombre y apellidos: A.A.A. Domicilio: Calle ***DIRECCIÓN.1 Entidad bancaria: BANCO SANTANDER IBAN: ***IBAN.1 (Número de cuenta donde se recibió el préstamo, cuyo titular es supuestamente la parte reclamante) Trámite de requerimiento a la parte reclamante Con fecha 16 de junio de 2023 se solicita a la parte reclamante información adicional para recabar aclaraciones sobre la fecha y los datos aportados para la oferta de trabajo, sobre el medio utilizado para aportar dichos datos y sobre los resultados obtenidos de cualquier investigación relacionada con el asunto, originada por la presentación de las denuncias policiales. No ha sido recibida contestación de la parte reclamante. Requerimiento al BANCO SANTANDER Con fecha 16 de junio de 2023 se remite un requerimiento de información a BANCO SANTANDER en el que se le solicita, entre otros temas, los datos de la parte reclamante de los que disponen en sus sistemas, información sobre todos los contratos formalizados con la parte reclamante, así como los datos de identificación y contacto del titular de la cuenta bancaria ***CUENTA.1 y su fecha de alta y baja. (Recuérdese que esta cuenta bancaria es aquella a la que WELP remitió el importe del crédito concedido). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/28 BANCO SANTANDER envía su escrito de contestación con fecha 26 de junio de 2023, en el que manifiesta que: 1.- El titular de la cuenta bancaria ***CUENTA.1 corresponde con la clienta B.B.B., DNI ***NIF.1, como única interviniente/titular con fecha de alta 20/08/2020 y baja 15/01/2021. Aporta captura de pantalla de los contratos de la clienta B.B.B. junto con sus fechas de alta y baja. Se observa por lo tanto que la cuenta receptora del importe del crédito no es de titularidad de la parte reclamante. 2.- Aporta el siguiente detalle de la clienta B.B.B.: - Email: ***EMAIL.2 - Teléfono: ***TELÉFONO.3 - Domicilio: Calle ***DIRECCIÓN.2. - Clienta desde el 14 de abril de 2020. 3.- Aporta el siguiente detalle de la parte reclamante: - Email: ***EMAIL.1 - Teléfono: ***TELÉFONO.1 - Domicilio: Calle ***DIRECCIÓN.1. - Clienta desde el 30 de junio de 2021. 4.- Aporta los contratos activos de la parte reclamante. Entre ellos figura una cuenta corriente cuya numeración no coincide con los datos facilitados por WELP. Requerimiento de información a WELP. Con fecha 16 de junio de 2023 se remite un requerimiento de información a WELP en el que se le solicita, entre otros temas, los datos de la parte reclamante de los que disponen en sus sistemas, información sobre todos los contratos formalizados con la parte reclamante, así como la descripción detallada del procedimiento para la contratación de este préstamo bancario y copia de los contactos mantenidos con la parte reclamante y de las reclamaciones recibidas por la misma en relación con los hechos denunciados. WELP envía su escrito de alegaciones con fecha 26 de junio de 2023 y lo amplía con fecha 3 de julio de 2023, juntos con los que remite la siguiente documentación: 1.- Primer escrito de respuesta al requerimiento. 2.- Acuerdo de designación de DPO de WELP. 3.- “Conjunto Documental”: Documento que engloba la siguiente documentación: 1- Datos de la parte reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/28 2345- Relación de todos los productos contratados. Procedimiento de contratación de préstamos bancarios de WELP. Procedimiento de contratación del préstamo origen de la reclamación. Anexo de Validación del Agente, que validó la documentación de forma manual. 6- Documentación recabada en la formalización del contrato para verificar la identidad de la parte reclamante. 7- Documentos donde constan registros y comunicaciones recibidas por la parte reclamante. Págs. 8- Contrato suscrito entre WELP y ***URL.1. 4.- Vídeo con los audios de las comunicaciones mantenidas entre la parte reclamante y WENANCE en octubre de 2020. 5.- Segundo escrito de respuesta al requerimiento. 6.- Certificado de BANCO SANTANDER con fecha 28 de junio de 2023, emisión del importe del préstamo a la cuenta de la beneficiaria “A.A.A.”, ***CUENTA.1. Punto 1.- Solicitados los datos de la parte reclamante de los que disponen en sus sistemas, WELP remite capturas de pantalla de los distintos sistemas donde constan los datos y/o información relativa a la parte reclamante Es reseñable la siguiente información: Correo electrónico: ***EMAIL.1 y ***TELÉFONO.1. Teléfonos: (…). Este último número de teléfono coincide con el que consta en los sistemas de SANTANDER. IBAN: ***CUENTA.1. Casos (incidencias) con fechas 06/10/2020, 06/10/2020, 07/10/2020, 21/01/2021 y 21/06/2021. Captura de incidencia, con el texto “Soy A.A.A. con Dni ***NIF.1 y me pongo en contacto con ustedes porque tengo que denunciar que han suplantado mi identidad, firmando un contrato con ustedes y la policía me ha solicitado que les pida un justificante donde figure la deuda que está a mi nombre y el teléfono desde donde se ha realizado para proceder a la denuncia, me gustaría que me lo falicitaran. Muchas gracias” Justificante de transferencia con fecha 21/08/2020 a favor de ***NIF.1 CONCEPTO Welp - 235212 También aporta el contrato firmado (similar al aportado en la respuesta al traslado) y capturas de pantalla con información sobre dicho contrato. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/28 Punto 2.- Respecto a los productos contratados por la parte reclamante, WELP muestra Préstamo Welp Bronce SI Full de cantidad 200€ con fecha de suscripción 21/08/2020. Punto 3.- Requerido el Procedimiento de contratación de préstamos bancarios, la parte reclamada indica: I. Solicitud del préstamo El préstamo se solicitaba online. La solicitud podía realizarse por cualquier persona física con conexión a internet y acceso a la página que reuniera los siguientes requisitos: a. Ser residente legal en España. b. Ser mayor de edad. c. Tener una cuenta bancaria a nombre del titular que pide el préstamo. d. Demostrar ingresos recurrentes. e. Contar con un número de teléfono. f. Disponer de una dirección de correo electrónico. II. Clasificación de la solicitud y solicitud de documentación Dentro de las operaciones habituales de Wenance, cuando la solicitud del préstamo al consumo era de un valor inferior a mil euros (1.000€), de acuerdo con el Manual de Prevención de Blanqueo de Capitales y Financiación del Terrorismo interno de Wenance y, concretamente, con su Política de Aceptación de Clientes de fecha 18 de enero de 2019, correspondía aplicar medidas simplificadas de diligencia debida, tal y como se establecía en el artículo 16

  1. h)del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, el cual estipulaba lo siguiente: «Los sujetos obligados podrán aplicar, en función del riesgo, medidas simplificadas de diligencia debida respecto de los siguientes productos u operaciones:
  2. h)Los contratos de crédito al consumo por importe inferior a 2.500 euros siempre que el reembolso se realice exclusivamente mediante cargo en una cuenta corriente abierta a nombre del deudor en una entidad de crédito domiciliada en la Unión Europea o en países terceros equivalentes» Así, conforme a lo anterior, Wenance realizaba las siguientes comprobaciones para dichos préstamos:
  3. a)completar un formulario de solicitud en el que proporcionaban la siguiente información personal: 1. Nombre y apellidos. 2. Número de identificación (DNI/NIE). 3. Fecha de nacimiento. 4. Domicilio. 5. Ingresos. 6. Teléfono. 7. Correo electrónico. 8. Número de cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/28
  4. b)Posteriormente, si los clientes cumplían los requisitos, debían enviar la siguiente documentación, la cual sería posteriormente verificada por un agente del departamento de Ventas: 1. Foto del DNI/NIE, tanto la parte delantera como la trasera. 2. Selfie sosteniendo el documento de identidad en la mano. 3. Justificante de ingresos. 4. Justificante de titularidad de la cuenta bancaria. III. Validación Una vez recibida la documentación, el Agente del departamento de Ventas validaba que los datos proporcionados por el cliente coincidieran con la documentación facilitada. Además, verificaba que el cliente fuera el titular de la cuenta bancaria, que el DNI/NIE estuviera vigente y que la foto selfie coincidiera con la foto del DNI/NIE, (…). Si el cliente cumplía todos los requisitos, la solicitud de préstamo quedaba aprobada. IV. Contratación Posteriormente, el cliente recibía por correo electrónico el contrato para su firma y se le enviaba una clave a través de SMS para proceder con la firma del contrato. Una vez que se realizaba la firma del contrato, se emitía por el departamento de operaciones una orden de transferencia a la cuenta indicada de forma manual y se depositaba la cantidad solicitada. Punto 4.- Respecto a la contratación del préstamo de la parte reclamante, WELP refiere que se solicitó online y se aplicaron medidas simplificadas puesto que no superaba los mil euros:
  5. a)cumplimentado el formulario de solicitud e indicando los datos personales.
  6. b)Remitiendo la siguiente documentación: 1. Foto del DNI/NIE, tanto la parte delantera como la trasera. 2. Selfie sosteniendo el documento de identidad en la mano. 3. Justificante de ingresos y copia de la última nómina. 4. Comprobante de titularidad de la cuenta bancaria. “El préstamo fue preaprobado y la documentación fue verificada por C.C.C., una ex agente del departamento de Ventas, quien cotejó que los datos proporcionados por el cliente coincidieran con la documentación adjuntada. Además, verificó que los datos del DNI coincidieran con los reflejados en la cuenta bancaria. Asimismo, verificó que el DNI estuviera vigente y que la foto selfie coincidiera con la foto del DNI/NIE.” Punto 5.- Con relación a los mecanismos y medidas de seguridad utilizadas por WELP para asegurar la autenticidad de los datos aportados por el cliente, la parte reclamada refiere un listado de medidas, teniendo en cuenta lo explicado en los puntos anteriores respecto del procedimiento aplicable: “
  7. a)Solicitud de fotocopia de D.N.I.
  8. b)Solicitud de fotografía sujetando el documento, a fin de hacer un cotejo entre el sujeto solicitante y el portador.
  9. c)Solicitud de la última nómina y de recibo bancario de cobro, para cotejar manualmente que los datos obrantes en éstos correspondían con los de la titular del D.N.I. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/28
  10. d)Llamada de teléfono al número que constaba para comprobar su funcionamiento.
  11. e)Validación de toda la documentación de forma manual por la agente a cargo en dicho momento. “ Para esta validación, WELP aporta copia del Anexo de Validación del Agente (DOC#2.5) en la que en la Nota 2 se aprecia: “doc ok 21/08/2020 15:53 por C.C.C.” y “datos ok 21/08/2020 16:33 por D.D.D..” “
  12. f)Solicitud de doble factor de autenticación entre el email proporcionado y el teléfono, a fin de mitigar el riesgo de falseamiento en la firma del contrato.
  13. g)Transferencia manual del importe del préstamo a la cuenta del cliente.” Punto 6.- Solicitada la documentación aportada para la formalización del contrato, WELP remite una foto del anverso y una foto del reverso del DNI de la parte reclamante, una foto de la parte reclamante portando el DNI, un justificante de ingresos y una copia de la última nómina. Tanto el justificante de ingresos aportado para la formalización del contrato como la copia de la última nómina están incluidos en el (DOC#2.6) y en ellos se especifica el número de cuenta ***CUENTA.1, cuenta que se ha comprobado que no pertenece a la parte reclamante. Estos documentos podrían ser imágenes de los documentos originales enviados por la parte reclamante en los que se ha modificado posteriormente el número de cuenta, antes de su envío para la contratación del préstamo. La parte reclamada no ha facilitado el comprobante de titularidad de la cuenta bancaria que supuestamente había sido verificado por la ex agente departamento de Ventas C.C.C.. Punto 7.- Requerida la información sobre las comprobaciones realizadas por Unnax para verificar la correspondencia de los datos de la cuenta corriente con los datos facilitados en el proceso de solicitud del préstamo, WELP explica que “Tras sucesivas comprobaciones por parte de WENANCE, se ha comprobado que, en la fecha de contratación del préstamo por parte de Dña. A.A.A., el servicio de comprobación no era realizado por UNNAX REGULATORY SERVICES, E.D.E, S.L. (UNNAX ), sino de manera manual, conforme a lo indicado en los puntos 3 a 5”. Punto 8.- Con relación a los contactos mantenidos con la parte reclamante, WELP facilita documentos donde constan registros y comunicaciones recibidas por la parte reclamante y un vídeo con los audios de las comunicaciones mantenidas entre la parte reclamante y WELP en octubre de 2020. Se comprueba que el intercambio de correos se ha realizado entre las direcciones ***EMAIL.1 y ***EMAIL.3. En este intercambio de correos se aprecia que, ante la solicitud de la parte reclamante de un justificante donde figure la deuda que está a su nombre y el teléfono desde donde se ha realizado para proceder a la denuncia, WELP facilita el cuadro de amortización del préstamo. Posteriormente, la parte reclamante remite a WELP copia de la denuncia policial, atestado 14741/20. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/28 WELP no indica ninguna respuesta al burofax presentado por la parte reclamante con fecha 12 de agosto de 2022. El vídeo facilitado consta de cuatro audios, grabaciones de las llamadas efectuadas por la parte reclamante o por su madre. La información más relevante de las llamadas es la siguiente:  Audio 1 (06/10/22): Llamada de la madre de la parte reclamante a WELP. Reclama que WELP ha llamado a su teléfono (de la madre, E.E.E.), insiste que nunca han pedido un préstamo y solicita que borren todos los datos de su hija.  Audio 2 (06/10/22): WELP informa de que hay un comprobante de una transferencia. WELP pregunta si la cuenta que termina en 3689 pertenece a la parte reclamante. La parte reclamante confirma que no tiene ninguna cuenta en Banco Santander: (…). En el minuto 7:54, WELP indica: "Tiene que denunciar porque alguien tiene sus datos. Vamos a rastrear el teléfono de quien lo hizo porque tenemos una llamada de comprobación".  Audio 3 (07/10/22): WELP proporciona el correo donde la parte reclamante tiene que enviar la denuncia  Audio 4 (08/10/22): La parte reclamante informa que han puesto denuncia a policía y han enviado la denuncia por correo a ***EMAIL.3. En el minuto 14:06, la parte reclamante pregunta: “Esto, como ya está denunciado, no habrá ningún problema, ¿no?” a lo que WELP responde: “No, ahora el problema lo tiene la persona que hizo el crédito.” Punto 9.- WELP amplía su escrito de alegaciones aportando un certificado de BANCO SANTANDER con fecha 28 de junio de 2023, donde se hace constar la emisión del importe del préstamo a la cuenta de la beneficiaria “A.A.A.”, ***CUENTA.1. (DOC#4) WELP indica que “el anterior certificado es pertinente a los efectos de demostrar la verificación de autenticidad de la cuenta realizado por WENANCE. Esto porque, en tanto el proceso se realizó hace 2 años y no es posible consultar la verificación manual que realizo el agente adscrito a la cuenta, más allá de los documentos ya proporcionados que constan en el sistema informático de WENANCE, mediante el presente certificado se permite acreditar, a fecha de hoy, que la cuenta dada de alta en la solicitud del préstamo está asociada a la solicitante del mismo y que fue a quien se realizó la transferencia por el importe del préstamo.” Se ha comprobado que este documento es un certificado emitido y firmado por SANTANDER y en él se reflejan los datos que se especificaron a la hora de realizar la transferencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/28 El Artículo 59 (Identificadores únicos incorrectos) del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (en adelante, RDLSP) establece que: “1. Cuando una orden de pago se ejecute de acuerdo con el identificador único, se considerará correctamente ejecutada en relación con el beneficiario especificado en dicho identificador.” El extracto de la memoria de reclamaciones 2020 del Banco de España con relación al Identificador Único indica: “La normativa de servicios de pago señala que el identificador único consiste en una combinación de letras, números o signos especificados por el proveedor de servicios de pago al usuario de dichos servicios, que este último debe proporcionar a fin de identificar de forma inequívoca al otro usuario del servicio de pago o la cuenta de pago de ese otro usuario en una operación de pago, y que vendría dado por el número de cuenta (IBAN) facilitado para la ejecución de la orden de pago. Así, de conformidad con lo establecido en el artículo 59 del RDLSP, cuando una orden de pago se ejecute conforme al identificador único, dicha orden se considerará correctamente ejecutada en relación con el beneficiario indicado en dicho identificador, no siendo responsable el proveedor de servicios de pago de la no ejecución o ejecución defectuosa de la operación cuando el identificador único que le hubiera facilitado el usuario fuera incorrecto. No obstante, en esos casos se exige que la entidad proveedora de servicios de pago del ordenante de la operación realice esfuerzos razonables para recuperar los fondos, pudiendo repercutir por dichas gestiones los gastos de recuperación que se hubieran convenido en el contrato marco. La normativa de servicios de pago tampoco establece el deber de las entidades de comprobar que el nombre del beneficiario se corresponde con el del titular del número de cuenta de destino de la transferencia ni otros datos adicionales, más allá de la coincidencia del IBAN beneficiario con el indicado en la orden de pago.” Por lo tanto, el certificado facilitado por WELP no permite acreditar la titularidad de la cuenta bancaria. Se graban en el sistema SIGRID, como objetos asociados, la normativa RDLSP y el extracto de la memoria de reclamaciones 2020 del Banco de España con relación al Identificador Único. Deducciones del informe de inspección sobre las afirmaciones de la parte reclamada. Como resumen, se muestran las afirmaciones efectuadas por la parte reclamada y que se han comprobado contradichas: .- “En fin, que es imposible que con una mera foto de la reclamante con el DNI se haya abierto una cuenta bancaria online en el mismo día que se facilita dicha foto.” La cuenta bancaria estaba previamente creada y se ha confirmado que la titularidad de la cuenta no es de la parte reclamante. .- “A mayor abundamiento, mi representado, también como obligado bajo la normativa de Prevención del Blanqueo de Capitales, según tiene registrado en su manual de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/28 prevención del blanqueo y como parte de su política de riesgos, sólo admite la contratación de préstamos con personas con cuentas bancarias que tengan una antigüedad, mínima, de 3 meses.” Se ha comprobado que la cuenta se creó con fecha 20 de agosto de 2020, un día antes de la contratación del préstamo objeto de la reclamación. .- “Lo anterior es también evidente, pues realiza, a través del proveedor de pagos, debidamente acreditado bajo la directiva PSD2, Unnax un ingreso en la cuenta corriente del solicitante (previo permiso) para comprobar si los datos de la cuenta corriente se corresponden con los facilitados en el proceso de solicitud (DNI, nombre y apellidos, dirección, etc.) y para analizar los gastos, ingresos, etc. De cara a analizar la solvencia del solicitante.” La parte reclamada reconoce que la validación para verificar la correspondencia de los datos de la cuenta corriente con los datos facilitados en el proceso de solicitud del préstamo fue manual: “Tras sucesivas comprobaciones por parte de WENANCE, se ha comprobado que, en la fecha de contratación del préstamo por parte de Dña. A.A.A., el servicio de comprobación no era realizado por UNNAX REGULATORY SERVICES, E.D.E, S.L. (UNNAX), sino de manera manual, […]”. .- “Por último (y no por ello menos importante), la reclamante aporta una denuncia de octubre de 2020. ¿Dos años y medio después no existe ninguna querella? ¿Ningún tipo de investigación judicial? Estamos hablando de que se recibieron 200 € en la cuenta corriente ***CUENTA.1, la cual figura a nombre de la reclamante.” La cuenta corriente no figura a nombre de la parte reclamante. Además, se ha comprobado que, en las grabaciones aportadas, WELP indica a la parte reclamante que van a realizar acciones internas: "Tiene que denunciar porque alguien tiene sus datos. Vamos a rastrear el teléfono de quien lo hizo porque tenemos una llamada de comprobación". WELP también tranquiliza a la parte reclamante: “Esto, como ya está denunciado, no habrá ningún problema, ¿no?” a lo que WELP responde: “No, ahora el problema lo tiene la persona que hizo el crédito.” .- “[…] mediante el presente certificado se permite acreditar, a fecha de hoy, que la cuenta dada de alta en la solicitud del préstamo está asociada a la solicitante del mismo y que fue a quien se realizó la transferencia por el importe del préstamo.” Se ha comprobado que este documento es un certificado emitido y firmado por SANTANDER y en él se reflejan los datos que se especificaron a la hora de realizar la transferencia, pero no permite acreditar la titularidad de la cuenta bancaria. CONCLUSIONES C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/28 Reclamación de deuda originada por la contratación de un préstamo realizado de manera presuntamente fraudulenta. Se ha evidenciado la existencia de una transferencia desde WELP a la cuenta beneficiaria del préstamo. Se ha confirmado que la cuenta beneficiaria del préstamo no pertenece a la parte reclamante sino a otra persona (B.B.B. DNI ***NIF.2) con fecha de alta 20/08/2020 y baja 15/01/2021. La cuenta se creó con fecha 20 de agosto de 2020, un día antes de la contratación del préstamo objeto de la reclamación. Se ha comprobado que la dirección de correo electrónico y el teléfono con los que se contrató el préstamo y que constan en las bases de datos de WELP no coinciden con la dirección de correo electrónico y el teléfono que tiene SANTANDER en sus bases de datos y que ha usado la parte reclamante para ponerse en contacto con WELP. Se ha constatado que WELP era conocedor de la presunta contratación fraudulenta desde el día 6 de octubre de 2020. WELP no ha aportado el comprobante de titularidad de la cuenta bancaria que supuestamente tenía que haber revisado manualmente para la contratación del préstamo. Solicitada la copia de los contactos mantenidos con la parte reclamante en relación con los hechos denunciados, WELP no indica ninguna respuesta al burofax presentado por la parte reclamante con fecha 12 de agosto de 2022, aunque en la respuesta al traslado explicaba que la parte reclamante solicitó el derecho de supresión de los datos, no pudiendo ser concedido por tener un contrato activo e impagado entre las partes. Se ha constatado que, en las grabaciones aportadas, la parte reclamante pide que se eliminen todos los datos relativos a este préstamo. En las grabaciones se avisa que WELP iba a rastrear el teléfono desde el que se hizo la contratación, aconseja a la parte reclamante que denuncie y la tranquiliza informándole que una vez denunciado ya no habrá ningún problema. La parte reclamante no ha recibido la notificación del requerimiento (por vía postal) a fecha de firma de este informe, pero es evidente que ella proporcionó mucha información (fotos de DNI, selfie con el DNI, nómina y justificante de transferencia de nómina). Se ha demostrado que las afirmaciones aportadas por la parte reclamada en sus alegaciones al traslado no son correctas. Se ha comprobado que el certificado de SANTANDER presentado por la parte reclamada, para acreditar que la cuenta dada de alta en la solicitud del préstamo está asociada a la solicitante del mismo, refleja los datos que se especificaron a la hora de realizar la transferencia, pero no permite acreditar la titularidad de la cuenta bancaria. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/28 QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad WENANCE LENDING DE ESPAÑA, S.A. es una empresa constituida en el año 2018, y con un (…). SEXTO: Con fecha 20 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 12 del RGPD y Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Consta fehacientemente la recepción por el interesado del citado acuerdo de inicio, que ha sido notificado conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). Transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  14. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  15. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO. La parte reclamante declara que en fecha 21 de agosto de 2020 vio en la página web “milanuncios” una oferta de trabajo. En el anuncio se daba el teléfono ***TELÉFONO.1 para contactar. Tras contactar con ese número, la parte reclamante afirma haber enviado un selfie suyo con la foto del anverso y reverso del DNI. SEGUNDO. Con fecha de 21/08/2020, WENANCE celebró un contrato de crédito al consumo, en el que, como tomador del préstamo figuran los siguientes datos: “1. Datos del cliente Nombre y apellidos: A.A.A. Fecha de nacimiento: XXXXXX Domicilio: ***DIRECCIÓN.1 Teléfono móvil: ***TELÉFONO.1 Correo electrónico: ***EMAIL.1 NIF/NIE: ***NIF.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/28 TERCERO. La formalización de la celebración del contrato al que se refiere el hecho probado anterior se realizó a través del siguiente procedimiento: Conforme a los datos que aparecen en el certificado expedido por “la operadora de telecomunicaciones LLEIDANETWORKS Serveis Telemàtics S.A. en calidad de prestador de servicios de confianza se siguieron los siguientes pasos para la celebración del contrato por vía electrónica: - (…). CUARTO. El importe de crédito fue depositado en la cuenta corriente con código ***CUENTA.1. Conforme certificado del Banco Santander que consta en el expediente: 1.- El titular de la cuenta bancaria ***CUENTA.1 corresponde con la clienta B.B.B., DNI ***NIF.2, (…). 2.- Se aporta el siguiente detalle de la clienta B.B.B.: - Email: ***EMAIL.2 - Teléfono: ***TELÉFONO.2 - Domicilio: ***DIRECCIÓN.2. - Clienta desde XXXXXXXXX Con ello queda acreditado que el importe del crédito fue depositado en una cuenta bancaria de titularidad de persona diferente a la parte reclamante. QUINTO. El procedimiento de otorgamiento del crédito establecido por la parte reclamada, en función de la cuantía del mismo, era el siguiente:
  16. a)Cumplimentación del formulario de solicitud indicando los datos personales.
  17. b)Remisión la siguiente documentación: a. b. c. d. Foto del DNI/NIE, tanto la parte delantera como la trasera. Selfie sosteniendo el documento de identidad en la mano. Justificante de ingresos y copia de la última nómina. Comprobante de titularidad de la cuenta bancaria. SEXTO: La parte reclamada no ha facilitado el comprobante de titularidad de la cuenta bancaria que supuestamente habría sido verificado por la ex agente departamento de Ventas. SÉPTIMO. En relación con la comprobación de la titularidad de la cuenta bancaria en que debía ingresarse el importe del crédito solicitado, la parte reclamada afirmó tener contratado un proveedor de pagos, debidamente acreditado bajo la directiva PSD2, Unnax un ingreso en la cuenta corriente del solicitante (previo permiso) para comprobar si los datos de la cuenta corriente se corresponden con los facilitados en el proceso de solicitud (DNI, nombre y apellidos, dirección, etc.) y para analizar los gastos, ingresos, etc. De cara a analizar la solvencia del solicitante. No obstante, con posterioridad afirma que tras sucesivas comprobaciones por parte de WENANCE, se ha comprobado que, en la fecha de contratación del préstamo por parte de Dña. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/28 A.A.A., el servicio de comprobación no era realizado por UNNAX REGULATORY SERVICES, E.D.E, S.L. (UNNAX), sino de manera manual. La parte reclamada no aporta documentación alguna sobre dicha comprobación. OCTAVO. La parte reclamada afirma disponer de un mecanismo para evitar el fraude, consistente en exigir como requisito que la cuenta bancaria en la que se realiza el ingreso tenga una antigüedad superior a tres meses. Dicho requisito no fue cumplido, ya que conforme a la documentación que obra en el expediente las fechas son las siguientes: - Fecha de apertura de la cuenta receptora en el Banco Santander: 20/08/2020 - Fecha de celebración del contrato de préstamo: 21/08/2020 - Fecha de ingreso de la cantidad en la cuenta bancaria: 21/08/2020 NOVENO. Consta un burofax dirigido por la parte reclamante a WENANCE, de fecha 12 de agosto de 2022, mediante el cual le comunica que no reconoce la deuda, ni haber contratado crédito alguno con la parte reclamada; asimismo le requiere para que deje de tratar sus datos en lo sucesivo. WENANCE reconoce haberlo recibido, indicando que la supresión no pudo aceptarse por encontrarse vigente la ejecución del contrato, a su juicio. Conforme se hace constar en el informe de actuaciones previas de investigación, solicitada la copia de los contactos mantenidos con la parte reclamante en relación con los hechos denunciados, WELP no indica ninguna respuesta al burofax presentado por la parte reclamante con fecha 12 de agosto de 2022. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/28 II. Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que WENANCE LENDING DE ESPAÑA, S.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «Responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina. III Disposiciones aplicables El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán:
  18. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>) [...] El apartado 2 del artículo 5 del RGPD establece que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” El artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  19. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  20. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  21. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  22. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  23. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  24. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/28 Lo dispuesto en la letra
  25. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Obligación incumplida Se atribuye a la parte reclamada en este acuerdo de inicio una infracción del artículo 6.1. del RGPD. La documentación que obra en el expediente ofrece evidencias de que WENANCE trató los datos personales de la parte reclamante (nombre, apellidos, domicilio, fecha de nacimiento, nº DNI) sin que concurriera ninguno de los fundamentos de licitud del tratamiento establecidos en el artículo 6.1. del RGPD. En efecto, como se desarrollará más adelante, la parte reclamada no ha aportado documentación ni información que permita constatar que el crédito fuera efectivamente contratado por la parte reclamante. El Considerando 40 del RGPD señala sobre esa cuestión: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” Obra en el expediente administrativo un contrato de crédito al consumo, correspondientes, en cuyas condiciones particulares figuran como “datos del cliente” los siguientes: “1. Datos del cliente Nombre y apellidos: A.A.A. Fecha de nacimiento: XXXXXXX Domicilio: ***DIRECCIÓN.1 Teléfono móvil: ***TELÉFONO.1 Correo electrónico: ***EMAIL.1 NIF/NIE: ***NIF.1 La reclamante ha negado haber otorgado su consentimiento a esas contrataciones y haber facilitado sus datos personales a WENANCE. Ha presentado denuncia ante las Fuerzas y Cuerpos de Seguridad y ha ejercido su derecho de supresión frente a la parte reclamada. Como se detallará posteriormente, WENANCE no realizó las actuaciones necesarias para asegurarse de que quien contrataba el crédito era realmente la parte reclamante. Además, tampoco se aseguró de manera adecuada de que el importe del crédito era recibido por quien constaba como tomadora del préstamo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/28 Debe tenerse en cuenta que, en virtud del principio de responsabilidad proactiva (artículo 5.2 del RGPD), que obliga al responsable del tratamiento de datos personales a cumplir los principios que lo presiden, por lo que aquí interesa, el principio de licitud, y a poder acreditar su cumplimiento, incumbe al responsable la carga de la prueba de que el tratamiento que efectuó de los datos personales de la parte reclamante estaba amparado en alguna de las circunstancias de licitud previstas en el artículo 6.1 del RGPD. En el supuesto que nos ocupa, el elemento de la culpabilidad, necesario para que nazca responsabilidad sancionadora, resulta de la falta de diligencia demostrada por la parte reclamada en el cumplimiento del artículo 6.1 del RGPD. Como se ha visto en los antecedentes de la reclamación y posteriores alegaciones en la fase de actuaciones previas de investigación, los argumentos esgrimidos por la parte reclamada son básicamente los siguientes: - Celebración del contrato de préstamos y confirmación del mismo a través de un sistema certificado de firma electrónica WENANCE aporta un contrato de crédito al consumo. En él figuran aparentemente los datos de la parte reclamante. Conforme a los datos que aparecen en el certificado expedido por “la operadora de telecomunicaciones LLEIDANETWORKS Serveis Telemàtics S.A. en calidad de prestador de servicios de confianza se siguieron los siguientes pasos para la celebración del contrato por vía electrónica: (…). Existe una apariencia de contrato válidamente celebrado. No obstante, como se afirma en el informe de actuaciones previas de investigación, analizando las evidencias proporcionadas junto a los datos anteriores, se percibe que: - Los datos donde se envía el mail con la documentación y el SMS con el código de firma del contrato son: ***EMAIL.1 y ***TELÉFONO.1. - Este número de teléfono coincide con el teléfono que consta en la denuncia presentada ante la policía por la parte reclamante, teléfono con el que presuntamente contactó para enviar las fotos y solicitar el crédito. - Sin embargo, esos datos de contacto no coinciden con los que la propia parte reclamante proporcionó al BANCO SANTANDER (recordemos que ella misma era también cliente de dicha entidad bancaria). Ni con el número telefónico de la parte reclamante que se incluye en la denuncia. En todo caso, la celebración del contrato por vía electrónica únicamente presupone que el presunto suplantador habría obtenido y facilitado dichos datos de contacto (email y teléfono para la confirmación de la contratación), siendo necesario que, bien en el momento de la petición de la contratación, bien en el de la remisión del importe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/28 concedido, se asegurase la parte reclamada de que coincidieran el peticionario del crédito con el titular de la cuenta bancario de destino. - Aseguramiento de la titularidad de la cuenta de destino Conforme a las alegaciones de la parte reclamada, esta disponía de un doble mecanismo para asegurarse de que la cantidad del crédito solicitada fuera recibida en una cuenta bancaria de titularidad de quien realmente la solicitaba. Dichos mecanismos eran los siguientes: - Realización de un ingreso previo, de manera que se constatase dicha titularidad. Necesidad de que la cuenta bancaria en que se deposita la cantidad tuviera una antigüedad mínima de tres meses. Ambas efectivamente son precauciones básicas. Mediante la primera se recibe la constatación de la titularidad de la cuenta, de manera que se evite la remisión del importe solicitado a quien no es el verdadero titular. Y mediante la segunda se evitan supuestos en que se haya realizado la suplantación de la titularidad en la propia cuenta bancaria, de modo que hasta que no hayan transcurrido tres meses desde la apertura no se podrá recibir un crédito en ella. Este último aspecto es especialmente importante, ya que, como se detalló en la narración fáctica, el crédito fue solicitado el mismo día en que la reclamante había enviado sus datos a un tercero, presumiblemente con intenciones defraudatorias en la actuación de este último. Pues bien, ambas precauciones fueron negligentemente ignoradas por la parte reclamante. En relación con el envío de un ingreso previo para determinar la titularidad de la cuenta corriente, (a través de su proveedor de servicios de pago), WENANCE ha afirmado, en su contestación a la inspección, que “Tras sucesivas comprobaciones por parte de WENANCE, se ha comprobado que, en la fecha de contratación del préstamo por parte de Dña. A.A.A., el servicio de comprobación no era realizado por UNNAX REGULATORY SERVICES, E.D.E, S.L.(UNNAX), sino de manera manual, conforme a lo indicado en los puntos 3 a 5”. Con ello, esta comprobación no fue realizada. Y lo que es más importante: de la investigación llevada a cabo por esta Agencia, existen evidencias de que la cuenta corriente de destino no era de titularidad de la parte reclamante sino de un tercero. En efecto, conforme a la información suministrada por el Banco Santander a la inspección: ´ “1.- El titular de la cuenta bancaria ***CUENTA.1 corresponde con la clienta B.B.B., DNI ***NIF.2, como única interviniente/titular con fecha de alta 20/08/2020 y baja 15/01/2021. Aporta captura de pantalla de los contratos de la clienta B.B.B. junto con sus fechas de alta y baja. 2.- Aporta el siguiente detalle de la clienta B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/28 - Email: ***EMAIL.2 - Teléfono: ***TELÉFONO.1 - Domicilio: ***DIRECCIÓN.2 - Clienta desde el XXXXXXXX” La ausencia de controles, por lo tanto, permitió que el importe del crédito fuera transferido a una persona distinta de la que afirmó contratar. A este respecto, casi no es necesario rebatir la insuficiencia del certificado de transferencia emitido a petición de WENANCE por el BANCO SANTANDER. En efecto, lo único que acreditaría es que la petición de transferencia se realizó a favor de la reclamante, y con destino a la cuenta corriente número ***CUENTA.1. Es decir, como bien advierte el informe del inspector: “La normativa de servicios de pago tampoco establece el deber de las entidades de comprobar que el nombre del beneficiario se corresponde con el del titular del número de cuenta de destino de la transferencia ni otros datos adicionales, más allá de la coincidencia del IBAN beneficiario con el indicado en la orden de pago. Por lo tanto, el certificado facilitado por WELP no permite acreditar la titularidad de la cuenta bancaria.” En cuanto al segundo mecanismo, esto es, la necesaria antigüedad de 3 meses en la cuenta bancaria de destino del importe del préstamo, las fechas relevantes son las siguientes: - Contratación del crédito: 21/08/2020 (confirmado por la propia parte reclamada) - Depósito del importe del préstamo (200€) en la cuenta bancaria: 21/08/2020 (confirmado por el certificado de transferencia emitido por el Banco Santander) - Fecha de apertura de la cuenta de destino nº ***CUENTA.1.: 20/08/2020 (confirmado por certificado Banco Santander) Con ello, queda constatado que la cuenta bancaria fue abierta tan solo un día antes de la contratación del crédito y de la remisión a la misma del importe contratado. No se cumplió la medida que la propia parte reclamada afirma tener implantada. Es importante resaltar el necesario cumplimiento de medidas de seguridad como las detalladas (pero no cumplidas) por la parte reclamante. En efecto, mediante la comprobación de la titularidad de la cuenta corriente se habría evitado el envío del importe a persona distinta de la que aparentemente había solicitado el crédito. Y mediante la comprobación de la antigüedad de la cuenta se habría también evitado este supuesto incluso aunque el suplantador hubiera (mediante la documentación previamente obtenida) podido abrir una cuenta corriente a nombre de la reclamante, ya que habría sido necesario esperar el período de tres meses. Con la falta de medidas de la que existen evidencias que se produjo en la operativa de la parte reclamada, el resultado fue no solo el tratamiento de datos sin legitimación alguna por parte del responsable del tratamiento, sino que el resultado del impago por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/28 parte del suplantador ha derivado en la exigencia de responsabilidad a la propia parte reclamante, a cuyo nombre figura el crédito indebidamente contratado. Ello aparte de la posible inclusión en tratamientos de datos sobre solvencia patrimonial. Por todo ellos se considera que WENANCE trató los datos personales de la parte reclamación sin legitimación, ya que se contrató un crédito al consumo a su nombre sin que esta hubiera dado su contestación, o solicitado el contrato, o concurriera ninguna otra base de legitimación del artículo 6.1. del RGPD. V Tipificación y calificación de la infracción De conformidad con las evidencias que constan en el expediente se considera acreditado que el tratamiento de los datos personales de la reclamante efectuados por WENANCE, que dio alta un contratos de crédito al consumo a su nombre, no estaba amparado en ninguna de las bases jurídicas establecidas en el artículo 6.1 del RGPD. Por tanto, los hechos conocidos son constitutivos de una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  26. a)del RGPD, precepto que previene: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  27. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A fin de determinar el plazo de prescripción de las infracciones se estará a lo dispuesto en la LOPDGDD, que califica la infracción imputada a la reclamada de muy grave y fija para ella un plazo de prescripción de tres años. El artículo 72.1.
  28. a)de la LOPDGDD dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: [...]
  29. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” VI Propuesta de sanción Los poderes correctivos atribuidos a esta Agencia como autoridad de control se relacionan en el artículo 58.2 del RGPD, apartados
  30. a)a j). El precepto menciona entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). También, la potestad de ordenar al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/28 responsable del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d). En el presente caso, se impone a WENANCE por la infracción del artículo 6.1 del RGPD una sanción de multa administrativa conforme al artículo 58.2.
  31. i)del RGPD. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad exige una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD determina la técnica a seguir para lograr esa adecuación entre la sanción y la infracción cometida y ofrece una relación de criterios o factores que deben ser tenidos en cuenta para graduar la sanción. En relación con los hechos constatados, se aprecia la concurrencia de los siguientes factores que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de la entidad infractora: - Circunstancia del artículo 83.2.
  32. a)RGPD:
  33. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; Debe ponerse de manifiesto la especial gravedad de la conducta infractora. En efecto, la negligencia que concurre en este supuesto ha producido especial repercusión en la esfera jurídica y la vida de la reclamante, toda vez que se ha visto obligada a actuaciones como la necesaria interposición de dos denuncias ante las fuerzas y cuerpos de seguridad; el ejercicio del derecho de supresión ante el reclamado, y soportar acciones de recobro por una deuda de la que no era la verdadera titular. Todo ello propiciado por el tratamiento sin legitimación llevado a cabo por la parte reclamada - Circunstancia del artículo 83.2.
  34. k)RGPD: En relación con el artículo 76.2.
  35. b)LOPDGDD: La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales. WENANCE tiene como objeto social, entre otros, la prestación al público de servicios financieros. La ejecución de los contratos que celebre con los consumidores en el desarrollo de esa actividad le obliga a tratar numerosos datos de carácter personal de sus clientes o, incluso, de terceros, desde datos identificativos -como el nombre, apellidos y NIF-, datos bancarios para la domiciliación de cobros o pagos y la dirección postal Esta característica de su actividad le obliga a extremar la diligencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/28 cumplimiento de las obligaciones que le impone la normativa de protección de datos de carácter personal. No se aprecia la concurrencia de circunstancias atenuantes. De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, la infracción del artículo 6.1 del RGPD atribuida a WENANCE se sanciona con la imposición de una multa administrativa por importe de 70.000€ (SETENTA MIL euros) VII Ejercicio del derecho de supresión Junto a la reclamación se adjuntaba un burofax dirigido a WENANCE, de fecha 12 de agosto de 2022, mediante el cual le comunica que no reconoce la deuda, ni haber contratado crédito alguno con la parte reclamada; asimismo le requiere para que deje de tratar sus datos en lo sucesivo. WENANCE reconoce haberlo recibido, indicando que la supresión no pudo aceptarse por encontrarse vigente la ejecución del contrato, a su juicio. Conforme se hace constar en el informe de actuaciones previas de investigación, solicitada la copia de los contactos mantenidos con la parte reclamante en relación con los hechos denunciados, WELP no indica ninguna respuesta al burofax presentado por la parte reclamante con fecha 12 de agosto de 2022. A este respecto, el artículo 17 del RGPD establece lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  36. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  37. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  38. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  39. d)los datos personales hayan sido tratados ilícitamente;
  40. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/28
  41. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.” En relación con el ejercicio de este derecho, los apartados 2 y 3 del artículo 12 del RGPD establece lo siguiente: “2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” Conforme a la documentación obrante en el expediente se ha constatado que la parte reclamada ha incumplido el artículo 12 del Reglamento ya que, con independencia de los motivos de fondo alegados por ella en relación con la procedencia de atender el derecho de supresión, debió contestar a la parte reclamante en el plazo de un mes en relación con la solicitud de ejercicio del derecho de supresión. VIII Derecho de supresión. Tipificación de la infracción De conformidad con las evidencias de las que se dispone en este expediente, se acredita que la parte reclamante no contestó al ejercicio del derecho de supresión conforme a lo establecido en el artículo 12 del RGPD Por tanto, los hechos conocidos podrían ser constitutivos de una infracción del artículo 12 del RGPD, tipificada en el artículo 83.5.
  42. a)del RGPD, precepto que previene: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  43. b)los derechos de los interesados a tenor de los artículos 12 a 22; A fin de determinar el plazo de prescripción de las infracciones se estará a lo dispuesto en la LOPDGDD, que califica la infracción imputada a la reclamada de muy grave y fija C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/28 para ella un plazo de prescripción de tres años. El artículo 72.1.de la LOPDGDD dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: [...]
  44. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. IX Propuesta de sanción Los poderes correctivos atribuidos a esta Agencia como autoridad de control se relacionan en el artículo 58.2 del RGPD, apartados
  45. a)a j). El precepto menciona entre ellos la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i). También, la potestad de ordenar al responsable del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d). En el presente caso se impone a WENANCE por la infracción del artículo 12 del RGPD una sanción de multa administrativa conforme al artículo 58.2.
  46. i)del RGPD. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad exige una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD determina la técnica a seguir para lograr esa adecuación entre la sanción y la infracción cometida y ofrece una relación de criterios o factores que deben ser tenidos en cuenta para graduar la sanción. De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, la infracción del artículo 12 del RGPD atribuida a WENANCE se sanciona con la imposición de una multa administrativa por importe de 2.000€ (dos mil euros) X Adopción de medidas Constatadas las infracciones, se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  47. d)del RGPD, según el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/28 cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se considera que debe ordenarse a la parte reclamada que proceda a contestar la solicitud del derecho de supresión ejercido por la parte reclamante, en el plazo de un mes desde la firmeza administrativa de esta resolución Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE: PRIMERO: IMPONER a WENANCE LENDING DE ESPAÑA, S.A., con NIF A67194746, por una infracción del Artículo 6.1 del RGPD y una infracción del Artículo 12 del RGPD, tipificadas ambas en el Artículo 83.5 del RGPD, - una multa de SETENTA MIL EUROS (70.000€) por la infracción del artículo 6.1 del RGPD una multa de DOS MIL EUROS (2.000€) por la infracción del artículo 12 del RGPD SEGUNDO: ORDENAR a WENANCE LENDING DE ESPAÑA, S.A., con NIF A67194746, que en virtud del artículo 58.2.
  48. d)del RGPD, en el plazo de UN MES, acredite haber procedido a la contestación de la solicitud del derecho de supresión ejercido por la parte reclamante. TERCERO: NOTIFICAR la presente resolución a WENANCE LENDING DE ESPAÑA, S.A.. con NIF A67194746 CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  49. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ESXX XXXX XXXX XXXX XXXX XXXX (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/28 la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  50. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.