← España

PS-00469-2016

1/13 Procedimiento Nº PS/00469/2016 RESOLUCIÓN: R/00835/2017 En el procedimiento sancionador PS/00469/2016, instruido por la Agencia Española de Protección de Datos a la entidad OK MONEY SPAIN S.L.U., vista la denuncia presentada por D. D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fechas 25 de octubre y 1 de noviembre de 2015 se reciben en el registro de la Agencia Española de Protección de Datos escritos de B.B.B. en el que se pone de manifiesto los siguientes hechos: El denunciante manifiesta haber tenido conocimiento de la inclusión de sus datos en el fichero Asnef a instancia de OK Money Spain SLU (OK Money), en calidad de Avalista, con fecha de alta en el fichero el 18 de septiembre de 2015, sin que está entidad haya requerido fehacientemente el pago de la deuda ni notificada la inclusión. Además manifiesta que la inclusión fue realizada con posterioridad al ejercicio de revocación. Adjunto a la denuncia ha aportado la siguiente documentación: -Copia de un escrito remitido a OK Money Spain SLU, en fecha 29 de junio de 2015, donde solicita la revocación del consentimiento y el cese del tratamiento de sus datos junto con copia de la remisión del escrito por correo electrónico remitido desde la dirección C.C.C. y dirigido a la dirección .....@ okmoney .es. -Copia de la consulta realizada al fichero Asnef en fecha 21/10/2015 donde constan los datos del denunciante informados por OK Money Spain SLU con fecha de alta 18/09/2015, en calidad de Avalista y por un importe de 453,00 €. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad OK Money Spain SLU. Concluyen las actuaciones con el preceptivo informe de Inspección de Datos: <<< Con fecha 18 de enero de 2016, se solicita a OK Money Spain SLU información relativa al B.B.B. y en respuesta recibida, en fecha de registro de entrada en esta Agencia 3 de febrero de 2016 se desprende lo siguiente: 1. OK Money Spain SLU manifiesta que, con fecha 29 de junio de 2015, se recibió un correo electrónico del denunciante solicitando la revocación del consentimiento y el cese del tratamiento de datos, siendo contestado por la entidad, en fecha 30 de junio de 2015, a la dirección C.C.C., dirección que consta en sus ficheros y que fue aportada por el cliente, informando que no es posible realizar la baja de sus datos ya que mantiene un préstamo que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 ha sido saldado, teniendo un saldo pendiente de 411 €. A este respecto, la compañía ha aportado impresión de pantalla de los datos asociados al denunciante donde consta la dirección de correo C.C.C. que coincide con la dirección de correo desde la que él mismo ha remitido la solicitud de baja de sus datos. Asimismo han aportado impresión de pantalla de las gestiones realizadas con este cliente donde figura la remisión del correo electrónico en fecha 30.06.2015 a las 14:54. 2. Respecto de los requerimientos de deuda al denunciante, OK Money Spain SLU manifiesta que fueron remitidos por correo electrónico a la dirección C.C.C., en fechas 12 y 14 de agosto de 2015, y aporta impresión de pantalla donde figura la remisión de los correos en fecha 12.08.2015 a las 16:44 y en fecha 14.08.2015 a las 13:36 junto con los escritos de requerimiento de deuda donde se le informa de la posible inclusión de sus datos en ficheros de morosidad. 3. OK Money Spain SLU manifiesta que todas las comunicaciones son realizadas directamente por su entidad a través de un sistema automático de envío de notificaciones por email. Y que, en caso de que el correo no haya sido enviado, la entidad recibe una notificación, no recibiendo confirmación de su entrega y lectura. 4. OK Money Spain SLU manifiesta que en caso de impago se remite un primer correo a los 54 días después de haber vencido el pago del préstamo advirtiendo de la posible inclusión en ficheros de morosidad y se remite un nuevo mail a los 56 días, procediendo, si corresponde, a la comunicación del impago a los ficheros de morosidad a los 60 días después de haber vencido el pago del préstamo. 5. OK Money Spain SLU manifiesta que su compañía opera en el mercado de microcréditos on-line con un importe medio de préstamo de 320 € (mínimo 100 y máximo 800 €), por ello la compañía no insta a la reclamación judicial y por este mismo motivo realizan los requerimientos de pago por medios no certificados. >>> TERCERO: El 26/10/16 la Directora de la AEPD emitió resolución por la que se acordó iiniciar procedimiento sancionador a OK Money Spain SLU con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (aprobado por Real Decreto 1720/2007, de 21 de diciembre), por la presunta infracción del artículo 4.3 en relación con el 29.4 de la LOPD y el 38 del RLOPD, tipificada como grave en el artículo 44.3.

  1. c)en la citada ley orgánica. CUARTO: La resolución fue notificada a la denunciada el 27/10/16 y presentó alegaciones el 11/11/16. Solicita el archivo del procedimiento sancionador sin imposición de sanción alguna. Alega: que la deuda no ha sido cuestionada; que incluyó los datos de la persona denunciante en el fichero Asnef cumpliendo todos los requisitos exigidos por la LOPD y el RLOPD; que se efectuaron numerosos requerimientos de pago por correo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 electrónico a la dirección facilitada por el cliente y que había sido utilizada hasta esa fecha; que en el momento de la contratación y en los requerimientos de pago se le advirtió de que en caso de impago podía ser incluido en los ficheros de morosos; que por medio de la misma cuenta de correo electrónico el 29/06/15 comunicó solicitud de revocación del consentimiento y cese del tratamiento de datos, y se le envió respuesta denegatoria al día siguiente pues mantenía una relación contractual de préstamo con un saldo pendiente de pago de 411 €. QUINTO: Con fecha 17/11/16 se inició el período de práctica de pruebas, acordándose las siguientes: Se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por B.B.B. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio presentadas por OK Money Spain SLU, y la documentación que a ellas acompaña. 2. Se requiere a B.B.B. para que, en el plazo de diez días, aporte al presente procedimiento copia de todos los documentos recibidos de OK Money Spain SLU, Asnef/Equifax o Badexcug/Experian relacionados con los hechos denunciados. 3. Se requiere a OK Money Spain SLU para que, en el plazo de diez días, aporte al presente procedimiento copia de todos los documentos enviados a/ o recibidos del denunciante que no hayan sido aportados hasta la fecha. 4. Se requiere a Equifax Ibérica SL para que, en el plazo de diez días, aporte al presente procedimiento copia impresa de los datos que figuran en los ficheros que a continuación se relacionan, de los que es encargada de tratamiento esa entidad, respecto de B.B.B. con NIF G.G.G. en relación con deudas informadas por OK Money Spain SLU: ASNEF, NOTIFICACIONES DE ASNEF, HISTÓRICO DE CONSULTAS DE ASNEF, FOTOCLI y copia de toda la documentación incluida en los expedientes asociados al afectado, incluyendo, en su caso, la impresión de los resultados de las consultas efectuadas al fichero ASNEF motivadas por el ejercicio de sus derechos y copia de toda la documentación aportada por el solicitante. 5. Se requiere a Experian Bureau de Crédito SA para que, en el plazo de diez días, aporte al presente procedimiento copia impresa de los datos que figuran en los ficheros que a continuación se relacionan, de los que es encargada de tratamiento esa entidad, respecto de B.B.B. con NIF G.G.G. en relación con deudas informadas por OK Money Spain SLU: BADEXCUG, HISTÓRICO DE ACTUALIZACIONES DE BADEXCUG, NOTIFICACIONES DE BADEXCUG, BADEXESPACIO y copia de toda la documentación incluida en los expedientes asociados al afectado, incluyendo, en su caso, la impresión de los resultados de las consultas efectuadas al fichero BADEXCUG motivadas por el ejercicio de sus derechos. Se recibieron respuestas de la denunciada, de Equifax y de Experian. SEXTO: En fecha 13/02/2017 se emitió propuesta de resolución en el sentido de imponer a OK Money Spain SLU una multa de 50.000 € por la infracción del artículo 4.3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 en relación con el 29.4 de la LOPD. SEPTIMO: Notificada la propuesta OK Money Spain SLU solicitó se dicte resolución acordando la imposición de una sanción de 30.000 €, en atención a las siguientes alegaciones: 1ª.Reconoce la culpa y responsabilidad en la infracción del artículo 4.3 en relación con el 29.4 de la LOPD por comunicar los datos personales del denunciante en el fichero asnef sin comunicárselo previamente por medios efectivos y fehacientes. 2ª.A efectos de valorar la responsabilidad en dicha infracción solicita que se valoran determinadas circunstancias: - que en el contrato de préstamo que suscribe con sus clientes se les informa expresamente que sus datos podrán ser comunicados al fichero asnef en caso de que no cumplen sus obligaciones de pago. - que se ha procedido a implementar medidas para verificar la identidad real del contratante y regular las comunicaciones y el envío de comunicaciones y notificaciones por la entidad por medios seguros y de los que se tenga prueba fehaciente de su envió y notificación. 3ª.- Medidas correctivas adoptadas: - Procedimiento de validación y comprobación de la identidad real de los consumidores: o C/ Jorge Juan, 6 28001 – Madrid los contratantes deben adjuntar fotocopia de documento acreditativo de la identidad (DNI, Pasaporte, u otro documento acreditativo de la identidad) y la verificación de su identidad se lleva a cabo a través del siguiente procedimiento:  Validación del DNI o documento acreditativo de la identidad. Cuando el contratante aporta su documento escaneado antes de la contratación del préstamo, este es examinado a través de un Lector OCR (Lector “Reconocimiento Óptico de Caracteres") que comprueba si ciertos caracteres corresponden con el documento de identidad indicado o si por el contrario éste no es válido o no corresponde con lo que se dice que se está aportando para acreditar la identidad.  Algoritmo de verificación: A través de un algoritmo se verifica si el número del documento de identidad corresponde con la fecha de nacimiento del contratante y así es posible comprobar que se aporta un documenta válido o no.  PEP's (“Politically Exposed Person"): Mediante este protocolo se verifica si el contratante tiene un carácter público o si está incluido en alguna lista de Interpol o de www.agpd.es sedeagpd.gob.es 5/13 servicios de seguridad internacional o algún organismo similar.  - La implementación de un doble procedimiento de verificación de la identidad real, por un lado, a través de la comprobación de la operatividad del número de teléfono aportado por el contratante y, por otro lado, se está implementado un procedimiento idéntico para detectar si la dirección del correo electrónico es una cuenta verdadera y la correspondiente al contratante. Certificación del envío y entrega de correos electrónicos: o En febrero de 2017 se ha suscrito un contrato de prestación de servicios con la empresa Pricewin Networks, S.L. (Pricewin) para la implementación de un servicio de certificación en relación con los correos electrónicos enviados a los clientes, con las siguientes funcionalidades:  El sistema de aporta una prueba de contenido de la comunicación enviada. Esta prueba de contenido se lleva a cabo mediante un mecanismo de criptografía que certifica tanto el contenido del mensaje como el de los ficheros adjuntos.  Un sistema de confirmación y aceptación de entrega de las comunicaciones: en la entrega del mensaje se registran todos los datos relevantes de su transmisión, incluido el código de respuesta confirmando que el mensaje.  Se proporciona una evidencia inmutable de las comunicaciones: se emite un certificado de evidencia que empaqueta una copia del mensaje original, el contenido asociado y el detalle de la transmisión, firmándose electrónicamente posteriormente Este sistema de certificación se aplicará a los correos electrónicos que incorporen: •Comunicaciones de concesión de préstamo y envío del contrato de contratación de préstamo. •Recordatorios de pago a los contratantes. •Comunicación a gestión de cobros. •Comunicación previa de inclusión en ficheros de solvencia patrimonial en consecuencia de cuotas impagadas (i.e.: aviso previo a inclusión de datos del afectado en los ficheros ASNEF-EQUIFAX). - Comunicaciones con el Fichero de morosos ASNEF-EQUIFAX. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 Se ha establecido un estricto procedimiento que llevará a cabo antes de incluir y comunicar los datos personales de sus clientes a las listas de morosos ASNEFEQUIFAX. El procedimiento consiste en lo siguiente: - En primera instancia se le comunicará al afectado que como consecuencia de estar incumpliendo con sus obligaciones de pago se va a proceder a incluir sus datos personales en las listas de morosos ASNEF-EQUIFAX. Adicionalmente, se le otorgará un plazo para cumplir con sus obligaciones de pago y contestar al mencionado requerimiento. Esta primera comunicación se realizará a través del sistema contratado con Pricewin. - En el caso de no recibir respuesta se procederá a incluir los datos personales del afectado en las listas de morosos ASNEF- EQUIFAX. - Asimismo, se han suscrito un contrato con ASNEF-EQUIFAX en el que EQUIFAX se compromete a comunicar fehacientemente a los afectados que sus datos personales han sido incluidos en sus ficheros de morosidad. 4ª.Reducción de la sanción propuesta a 30.000 € por pago voluntario y reconocimiento de la responsabilidad. HECHOS PROBADOS PRIMERO: En fecha 19/05/15, OK Money envía un SMS al denunciante ( F.F.F.): “su solicitud ha sido recibida con éxito”, por medio de email dirigido al denunciante B.B.B. ( C.C.C.) le envía una copia de su contrato de préstamo que entrará en vigor cuando le ingresen el dinero en su cuenta. (Folios 259, 245) SEGUNDO: En fecha 20/05/15, OK Money envía un SMS al denunciante ( F.F.F.): “acabamos de transferir el préstamo a su cuenta bancaria y estará disponible en las próximas horas”. Con esa fecha la persona denunciante ( B.B.B., DNI G.G.G., domicilio en A.A.A., teléfonos fijo E.E.E. y móvil F.F.F., email C.C.C.,) figura de alta como cliente nº ***CLIENTE.1 en la base de datos de OK Money como titular del préstamo ***PRÉSTAMO.1 abierto en esa fecha por importe de 300 € por 30 días, con vencimiento el 19/06/15 por importe de 453 €. (Folios 260, 1-11, 21, 26, 93) TERCERO: En fecha 24/06/15, OK Money envía un SMS al denunciante ( F.F.F.): “su préstamo venció el 19/06/15 estás a tiempo de aplazar la fecha de pago aquí”. Por SMS y email remitió al denunciante numerosos recordatorios de pago. (Folio 245, 261-278) CUARTO: En fecha 29/06/15, la persona denunciante por medio de email ( C.C.C.) y por papel escrito (fechado 29/07/15) por correo ordinario remite a la denunciada (.....@ okmoney .
  2. es)solicitud de revocación del consentimiento a partir de los diez días siguientes a recibir su escrito y que se le comunique en el cese de los tratamientos y la cancelación a los posibles cesionarios. (Folios 10, 5-8, 27-30, 57-62, 282-285) QUINTO: En fecha 30/06/15, OK Money responde por email al denunciante informando que no puede atender su petición pues mantiene un préstamo abierto y que el saldo pendiente de pago es de 411 €. No consta acuse de recibo, ni acreditación de entrega al destinatario. (Folios 31, 94, 280) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 SEXTO: En fecha 12/08/15, OK Money comunica por email al denunciante que tiene pendiente de pago una deuda de 432 €, que encargaran su gestión a una agencia de recobros y que lo comunicaran al fichero Asnef en caso de impago. Requiere el pago inmediato. Requerimiento de pago que reitera por el mismo medio dos días más tarde. No consta acuse de recibo, ni acreditación de entrega al destinatario. Envía recordatorios de pago todos los meses siguientes del año. (Folios 32-33, 95-96, 252256) SEPTIMO: En fecha 18/09/15, OK Money incluye por 1ª vez en el fichero de morosos Asnef los datos personales del denunciante asociados a un impago de 453 € por el vencimiento impagado de 19/06/15 en su calidad de avalista de un préstamo personal. Consta anotada que fue emitida el 19/06/15 notificación de inclusión en el fichero Asnef dirigida al domicilio del afectado. Tras la solicitud de cancelación del afectado de 23/10/15 causó baja cautelar el 30/10/15, que le fue comunicada por email al denunciante. (Folios 108-112, 144-162, 139) OCTAVO: En fecha 02/11/15, OK Money incluye por 2ª vez en el fichero de morosos Asnef los datos personales del denunciante asociados a un impago de 453 € por el vencimiento impagado de 19/06/15 en su calidad de avalista de un préstamo personal. Consta anotada que fue emitida el 03/11/15 notificación de inclusión en el fichero Asnef dirigida al domicilio del afectado. Tras la solicitud de cancelación del afectado de 02/11/15 causó baja cautelar el 11/11/15, que le fue comunicada por email al denunciante. (Folios 108-113, 163-183, 129) NOVENO: En fecha 13/11/15, OK Money incluye por 3ª vez en el fichero de morosos Asnef los datos personales del denunciante asociados a un impago de 453 € por el vencimiento impagado de 19/06/15 en su calidad de avalista de un préstamo personal. Consta anotada que fue emitida el 14/11/15 notificación de inclusión en el fichero Asnef dirigida al domicilio del afectado. Tras la solicitud de cancelación del afectado de 11/11/15 causó baja cautelar el 19/11/15, que le fue comunicada por email al denunciante. (Folios 108-114, 184-208, 131) DECIMO: En fecha 23/11/15, OK Money incluye por 4ª vez en el fichero de morosos Asnef los datos personales del denunciante asociados a un impago de 453 € por el vencimiento impagado de 19/06/15 en su calidad de avalista de un préstamo personal. Consta anotada que fue emitida el 24/11/15 notificación de inclusión en el fichero Asnef dirigida al domicilio del afectado. Tras la solicitud de cancelación del afectado de 23/11/15 causó baja cautelar el 01/12/15, que le fue comunicada por email al denunciante. (Folios 109-115, 209-233, 141) UNDECIMO: En fecha 04/12/15, OK Money incluye por 5ª vez en el fichero de morosos Asnef los datos personales del denunciante asociados a un impago de 453 € por el vencimiento impagado de 19/06/15 en su calidad de avalista de un préstamo personal. Consta anotada que fue emitida el 05/12/15 notificación de inclusión en el fichero Asnef dirigida al domicilio del afectado. Causó baja el 04/03/16. (Folios 109-116, 133) DUODECIMO: En fecha 29/01/16, OK Money, recibido el traslado de la denuncia ante la AEPD, emite informe para la Inspección de Datos haciendo constar que todas las comunicaciones con el cliente son hechas por email. Las reclamaciones o requerimientos de pago antes de la inclusión en Asnef también. No recibe confirmación de que dicha comunicación ha sido entregada y leída por el cliente. (Folios 21-25) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 DECIMOTERCERO: En fecha 07/03/16, OK Money incluye por 6ª vez en el fichero de morosos Asnef los datos personales del denunciante asociados a un impago de 453 € por el vencimiento impagado de 19/06/15 en su calidad de avalista de un préstamo personal. Consta anotada que fue emitida el 08/03/16 notificación de inclusión en el fichero Asnef dirigida al domicilio del afectado. Causo baja el 03/11/16. (Folios 110-118, 136) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II El artículo 4.3 de la citada Ley dispone: “Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. La obligación establecida en el artículo 4 trascrito impone la necesidad de que los datos personales que se recojan en cualquier fichero sean exactos y respondan, en todo momento, a la situación actual de los afectados, siendo los responsables de los ficheros quienes responden del cumplimiento de esta obligación. El artículo 29 de la LOPD regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y distingue dentro de ellos dos supuestos, uno de los cuales son los ficheros en los que se tratan datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. Así, dispone en este sentido, en su apartado 2: “Podrán tratarse también datos de carácter personal relativos al cumplimiento o incumplimiento de obligaciones dinerarias facilitados por el acreedor o por quien actúe por su cuenta o interés. En estos casos se notificará a los interesados respecto de los que hayan registrado datos de carácter personal en ficheros, en el plazo de treinta días desde dicho registro, una referencia de los que hubiesen sido incluidos y se les informará de su derecho a recabar información de la totalidad de ellos, en los términos establecidos por la presente Ley”. Añadiendo el párrafo 4 del mismo artículo que “sólo se podrán registrar y ceder los datos de carácter personal que sean determinantes para enjuiciar la solvencia económica de los interesados y que no se refieran, cuando sean adversos, a más de seis años, siempre que respondan con veracidad a la situación actual de aquellos”. Asimismo, el Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en vigor desde el 19/04/2008, establece en sus artículos 38, 39 y 43 lo siguiente: “Artículo 38. Requisitos para la inclusión de los datos. 1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 que concurran los siguientes requisitos:
  4. a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada.
  5. c)Requerimiento previo de pago a quien corresponda el cumplimiento de la obligación. 3. El acreedor o quien actúe por su cuenta o interés estará obligado a conservar a disposición del responsable del fichero común y de la Agencia Española de Protección de Datos documentación suficiente que acredite el cumplimiento de los requisitos establecidos en este artículo y del requerimiento previo al que se refiere el artículo siguiente. Artículo 39. Información previa a la inclusión. El acreedor deberá informar al deudor, en el momento en que se celebre el contrato y, en todo caso, al tiempo de efectuar el requerimiento al que se refiere la letra
  6. c)del apartado 1 del artículo anterior, que en caso de no producirse el pago en el término previsto para ello y cumplirse los requisitos previstos en el citado artículo, los datos relativos al impago podrán ser comunicados a ficheros relativos al cumplimiento o incumplimiento de obligaciones dinerarias. Artículo 43. Responsabilidad. 1. El acreedor o quien actúe por su cuenta o interés deberá asegurarse que concurren todos los requisitos exigidos en los artículos 38 y 39 en el momento de notificar los datos adversos al responsable del fichero común. 2. El acreedor o quien actúe por su cuenta o interés será responsable de la inexistencia o inexactitud de los datos que hubiera facilitado para su inclusión en el fichero, en los términos previstos en la Ley Orgánica 15/1999, de 13 de diciembre”. Es, por tanto, el acreedor el responsable de que los datos cumplan los requisitos establecidos en el artículo 4 de la LOPD, puesto que como acreedor es el único que tiene la posibilidad de incluir los datos en el fichero y de instar la cancelación de los mismos, toda vez que es quien conoce si la deuda anotada realmente existe. Por tanto, de acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que le haya sido notificado el requerimiento de pago previo a la inclusión. En este caso OK Money, incluye en seis ocasiones los datos personales del denunciante sin haber acreditado la notificación al denunciante del requerimiento de pago previo a la inclusión, indicándole el importe a pagar, el plazo, la forma y el lugar, advirtiéndole que en caso contrario puede ser incluido en fichero de morosos. La última inclusión es efectuada después de tener conocimiento de la denuncia ante la AEPD. Los documentos aportados muestran el envío de mensajes (contenido similar al descrito pero sin fijar el plazo para el pago) por email, pero no acreditan su entrega y recepción por el destinatario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 III El artículo 44.3.
  7. c)de la LOPD considera infracción grave: “
  8. c)Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave”´. Ninguna de las cuatro circunstancias necesarias para ser considerada falta muy grave (44.4 de LOPD) se da en el presente caso. En este caso, OK Money ha incurrido en la infracción descrita, ha vulnerado el principio de calidad de datos, consagrado en el artículo 4.3 en relación con el artículo 29 de la LOPD y 38 y 39 del Reglamento de Desarrollo relativa a la prestación de servicios de información sobre solvencia patrimonial y crédito, cuando informó para su inclusión en ficheros de solvencia patrimonial, los datos personales de la persona denunciante, asociado a deudas, sin que conste acreditada la notificación del requerimiento de pago previo exigido. La falta de diligencia observada, configura el elemento de culpabilidad de la infracción administrativa imputable. IV El artículo 45. LOPD dispone lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Los hechos probados, según han quedado redactados, ponen de manifiesto una falta de la diligencia debida que ha provocado la incidencia que motiva el presente procedimiento sancionador. Los criterios de graduación de las sanciones establecidas en el artículo 45.4, aplicados a las circunstancias del presente procedimiento, dan lugar a las siguientes observaciones: --- Es claro el carácter continuo de la infracción desde la primera inclusión en Asnef e septiembre de 2015, hasta la cancelación de la 6ª inclusión en Asnef el 03/11/16. --- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que OK Money es una empresa que tiene como actividad la prestación de servicios de micropréstamos a todo tipo de personas y tiene un constante tratamiento de datos de carácter personal derivado del importante volumen de negocio y clientes que tiene, estando, por tanto, su actividad estrechamente relacionada con el tratamiento de datos personales. --- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 puestas en práctica por los empleados de todos los niveles. Todos los incumplimientos de toda la cadena de ejecución perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. --- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. El balance de todas las circunstancias contemplados por el 45.4 de la LOPD permite fijar la sanción en 50.000 €. En cuanto a su solicitud de reducción de la sanción propuesta a 30.000 € por pago voluntario y reconocimiento de la responsabilidad, no cabe acceder a la misma por cuanto el artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas dispone que: - - el reconocimiento de la responsabilidad supondrá la aplicación de una reducción de al menos el 20% de la sanción propuesta condicionado a que éste se verifique iniciado el procedimiento sancionador, hecho que no se ha producido en el presente caso habida cuenta que OK Money efectuó alegaciones tras el inicio del procedimiento, y una vez instruido éste y formulada la propuesta de resolución, es cuando ha reconocido la responsabilidad en los hechos constitutivos de infracción del artículo 4.3 en relación con el 29.4 de la LOPD. el pago voluntario antes de la resolución supondrá la aplicación de una reducción de al menos el 20% de la sanción propuesta, hecho que tampoco se ha verificado por parte de la entidad imputada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN S.L.U., por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, y en relación con el artículo 38 del RLOPD, tipificada como grave en el artículo 44.3.
  24. c)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a a la entidad OK MONEY SPAIN S.L.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. Informar igualmente que, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 conforme a lo establecido en el artículo 65 de la Ley 58/2003, de 17 de diciembre, y el artículo 46 del Real Decreto 939/2005, de 29 de julio, por el que se aprueba el Reglamento General de Recaudación podrá solicitar el aplazamiento y/o fraccionamiento del pago de la sanción. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.