← España

PS-00476-2024

1/19  Expediente N.º: EXP202410843 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a KVIKU SPAIN, S.L. (en adelante, KVIKU). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 3 de diciembre de 2025 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente N.º: EXP202410843 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 6 de junio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a KVIKU SPAIN, S.L. con NIF B09804295 (en adelante, KVIKU). Los hechos que se pone en conocimiento de esta autoridad: Quien reclama manifiesta que suscribió un préstamo con KVIKU. Añade que, al darse cuenta de que las comisiones eran abusivas, contactó con KVIKU con el fin de cancelación el contrato. Afirma que la entidad le ha requerido para poder tramitar la solicitud de cancelación del préstamo, la aportación de "su foto con DNI a mano". Junto a la reclamación aporta: -Capturas de pantalla relativos al historial de préstamos, con la parte reclamada, así como justificante de la transferencia realizada, en fecha 21 de mayo de 2024, relativa al reembolso total efectuado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/19 -Capturas de pantalla de los mensajes de correo electrónico intercambiados con KVIKU, relativos a las solicitudes de pagos pendientes. -Respuestas relativas al modo de solicitar el reembolso anticipado. -Mensaje relativo a la solicitud de reembolso. -Comunicación de fecha 8 de mayo de 2024, relativa al pago realizado, así como respuesta recibida en la que la parte reclamada indica lo siguiente: "Buenos días, aquí es la respuesta a su solicitud (...): su foto con DNI a mano". -Copia de la foto del DNI solicitada. -Copia de mensajes de correos electrónicos posteriores, de fecha 17 y 18 de mayo de 2024, a través de los que el reclamante reitera la solicitud la cancelación del préstamo, adjuntando dos archivos entre los que consta justificante de la transferencia realizada del reembolso total y copia de distintas respuestas de la parte reclamada indicando, por un lado, que está procesando su solicitud y, por otro lado, copia de una respuesta genérica haciendo alusión a una cláusula del contrato. -Mensajes de correo electrónicos de la parte reclamada, de fecha 23 y 27 de mayo de 2024, reclamando pagos pendientes. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a KVIKU, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 12/08/2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó por medios electrónicos, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 21/08/2024. En dicha notificación, se le recordaba a la parte reclamada su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Cabe señalar que no se recibió respuesta al escrito de traslado en el plazo de un mes tal y como se establecía; no obstante, transcurrido aproximadamente un año desde su notificación y fuera del plazo establecido, con fecha 10 de junio de 2025, KVIKU remite contestación al mismo, en el que, en síntesis, manifestaba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 1) KVIKU no ha podido proceder a la supresión de los datos personales del interesado, toda vez que este no ha satisfecho la totalidad del préstamo otorgado. 2) KVIKU debe cumplir con lo establecido en la Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo, la cual obliga a las entidades financieras a verificar de forma fehaciente la identidad de sus clientes mediante la presentación del Documento Nacional. 3) En relación con las medidas adoptadas para evitar que se produzcan incidencias similares no se ha adoptado ninguna medida, dado que no se ha producido ninguna incidencia que lo justifique. La base legítima para el tratamiento de los datos personales del interesado reside en la relación contractual existente entre las partes. 4) En cuanto a la solicitud de una imagen del interesado con su DNI en mano, si la Agencia Española de Protección de Datos (AEPD) considera que dicha práctica no se ajusta a la normativa vigente en materia de protección de datos y requiere expresamente su cese, esta entidad procederá a su eliminación. TERCERO: Con fecha 6 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad KVIKU SPAIN, S.L. es una PYME (Microempresa), constituida en el año 2022 con un capital social de 3.000 euros, de la que no se dispone de información de su cuenta de resultados. QUINTO: Con fecha 3 de febrero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 5.1.

  1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado Acuerdo de Inicio conforme a lo establecido en la LPACAP, y siendo obligatoria en este caso la notificación por medios electrónicos no consta que la interesada accediera a su contenido. De acuerdo con la normativa aplicable, cuando la notificación electrónica sea obligatoria, se entenderá rechazada una vez transcurridos diez días naturales desde su puesta a disposición sin que se haya accedido a su contenido. SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el procedimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 PRIMERO: Las partes, KVIKU y el reclamante, mantienen un contrato de préstamo identificado con el número (...). SEGUNDO: Para tramitar la cancelación de un préstamo, la entidad KVIKU requiere al reclamante la aportación de una fotografía en la que aparezca sosteniendo su DNI, con el fin de verificar su identidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Contestación al escrito con fecha 10 de junio de 2025 de respuesta al traslado de la reclamación En respuesta al escrito presentado con fecha 10 de junio de 2025 por la entidad reclamada se debe señalar lo siguiente: Sobre no atender el derecho de supresión de datos personales del interesado: Según el reclamado el derecho de supresión no puede ser atendido, dado que las partes mantienen un contrato de préstamo en vigor y la conservación de los datos resulta necesaria para su ejecución. Conforme al artículo 17.3.
  2. b)del RGPD, el responsable del tratamiento podrá denegar la supresión cuando el tratamiento sea necesario para el cumplimiento de una obligación legal. Asimismo, el artículo 6.1.
  3. b)del RGPD legitima el tratamiento de los datos personales cuando sea necesario para la ejecución de un contrato en el que el interesado es parte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 En este sentido, esta Agencia desea señalar que no es objeto del presente procedimiento la no atención de una solicitud de supresión de datos personales. Cumplimiento de la normativa sectorial. Principio de minimización de datos: La entidad alega que debe ajustarse a su normativa sectorial, en concreto, la Ley de Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo. Al respecto, esta Agencia desea señalar que la normativa sectorial aplicable no resulta contraria ni incompatible con los principios establecidos en la legislación de protección de datos. Por el contrario, ambos marcos normativos pueden y deben aplicarse de forma concurrente, sin que el cumplimiento de uno excluya o impida el cumplimiento del otro. En este sentido, el RGPD tiene carácter transversal y se aplica a todos los tratamientos de datos personales, con independencia del sector, salvo previsión expresa en contrario. La normativa sectorial no exime del respeto a los principios fundamentales del tratamiento, en particular los de licitud, lealtad, transparencia, minimización y limitación de la finalidad. Por ello, la entidad está obligada a adoptar las medidas necesarias para compatibilizar las exigencias de su regulación sectorial con el pleno cumplimiento de la normativa de protección de datos, sin que pueda invocarse una supuesta incompatibilidad que no existe. Pues bien, la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo (en lo sucesivo LPBC) impone a los sujetos obligados, en este caso la parte reclamada, como medida de diligencia debida la obligación de identificar a las personas que pretendan establecer con ellos relaciones de negocio o intervenir en cualesquiera operaciones. El artículo 7.3 LPBC impide a los sujetos obligados establecer relaciones de negocio o ejecutar operaciones cuando no puedan aplicar las anteriores medidas de diligencia Por tanto, la parte reclamada debe identificar a las personas que realicen una operación de cancelación anticipada de préstamo. Las operaciones no presenciales exigen las medidas de diligencia debida para la identificación del cliente establecidas en el art. 12 de la LPBC y art. 21 del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la LPBC, que disponen lo siguiente: Art. 12 LPBC Relaciones de negocio y operaciones no presenciales 1. Los sujetos obligados podrán establecer relaciones de negocio o ejecutar operaciones a través de medios telefónicos, electrónicos o telemáticos con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 clientes que no se encuentren físicamente presentes, siempre que concurra alguna de las siguientes circunstancias:
  4. a)La identidad del cliente quede acreditada mediante la firma electrónica cualificada regulada en el Reglamento (UE) n.° 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior y por la que se deroga la Directiva 1999/93/CE. En este caso no será necesaria la obtención de la copia del documento, si bien será preceptiva la conservación de los datos de identificación que justifiquen la validez del procedimiento. En el resto de casos, cuando la firma electrónica utilizada no reuniese los requisitos de la firma electrónica cualificada seguirá siendo preceptiva la obtención en un mes de una copia del documento de identificación.
  5. b)El primer ingreso proceda de una cuenta a nombre del mismo cliente abierta en una entidad domiciliada en España, en la Unión Europea o en países terceros equivalentes.
  6. c)Se verifiquen los requisitos que se determinen reglamentariamente. En todo caso, en el plazo de un mes desde el establecimiento de la relación de negocio, los sujetos obligados deberán obtener de estos clientes una copia de los documentos necesarios para practicar la diligencia debida. Cuando se aprecien discrepancias entre los datos facilitados por el cliente y otra información accesible o en poder del sujeto obligado, será preceptivo proceder a la identificación presencial. Los sujetos obligados adoptarán medidas adicionales de diligencia debida cuando en el curso de la relación de negocio aprecien riesgos superiores al riesgo promedio. 2. Los sujetos obligados establecerán políticas y procedimientos para afrontar los riesgos específicos asociados con las relaciones de negocio y operaciones no presenciales. Artículo 21. Requisitos en las relaciones de negocio y operaciones no presenciales. 1. Los sujetos obligados podrán establecer relaciones de negocio o ejecutar operaciones a través de medios telefónicos, electrónicos o telemáticos con clientes que no se encuentren físicamente presentes, siempre que concurra alguna de las siguientes circunstancias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19
  7. a)La identidad del cliente quede acreditada de conformidad con lo dispuesto en la normativa aplicable sobre firma electrónica.
  8. b)La identidad del cliente quede acreditada mediante copia del documento de identidad, de los establecidos en el artículo 6, que corresponda, siempre que dicha copia esté expedida por un fedatario público.
  9. c)El primer ingreso proceda de una cuenta a nombre del mismo cliente abierta en una entidad domiciliada en España, en la Unión Europea o en países terceros equivalentes.
  10. d)La identidad del cliente quede acreditada mediante el empleo de otros procedimientos seguros de identificación de clientes en operaciones no presenciales, siempre que tales procedimientos hayan sido previamente autorizados por el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (en adelante, Servicio Ejecutivo de la Comisión). En todo caso, en el plazo de un mes desde el establecimiento de la relación de negocios no presencial, los sujetos obligados deberán obtener de estos clientes una copia de los documentos necesarios para practicar la diligencia debida. 2. Los criterios para la acreditación de la identidad del cliente en relación con los sujetos obligados sometidos a la Ley 13/2011, de 27 de mayo, de regulación del juego, y en su normativa de desarrollo, se determinarán en el proceso de concesión de licencias generales por la Dirección General de Ordenación del Juego, previo informe favorable del Servicio Ejecutivo de la Comisión La normativa de prevención del blanqueo de capitales establece una obligación de identificación, pero no ha previsto la identificación de los clientes a través del sistema empleado por la parte reclamada. Por tanto, en el caso que nos ocupa, debe rechazarse esta alegación, por cuanto la parte reclamada habría establecido un procedimiento de identificación en operaciones de cancelación de préstamos con unos requisitos que no se amparan en la normativa sectorial. Por ello, la utilización de medios adicionales a los expresamente previstos en la ley debe respetar el principio de minimización de datos (artículo 5.1.c del RGPD). Por consiguiente, la verificación de identidad en este tipo de operaciones debe realizarse empleando únicamente los datos estrictamente necesarios para la finalidad perseguida. En este caso, existen medios menos intrusivos para cumplir con la normativa de prevención del blanqueo de capitales, como la aportación de la copia del DNI expedida por un fedatario público, o la firma electrónica, o al ser el reclamante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 cliente la verificación mediante sistemas de identificación ya habilitados por la entidad, que permiten acreditar la identidad del reclamante sin necesidad de recabar una fotografía sosteniendo el documento de identidad, medida que resulta más invasiva y que la parte reclamada no ha justificado su necesidad. Las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto establecen lo siguiente: el responsable del tratamiento debe verificar si los fines perseguidos pueden alcanzarse tratando una menor cantidad de datos personales, utilizando datos menos detallados o agregados, o incluso sin tratar datos personales en absoluto. Esta verificación debe realizarse antes de iniciar cualquier tratamiento, aunque también puede llevarse a cabo en cualquier momento del ciclo de vida del tratamiento. Medidas Correctivas a implementar en caso de infracción: Cabe señalar que de confirmarse la infracción, tal y como se indica en el Fundamento de Derecho Séptimo la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  11. c)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  12. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Por ello, nos remitimos al citado Fundamento de Derecho Séptimo III Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que KVIKU realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, DNI, correo electrónico, datos financieros. KVIKU realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Minimización de datos La letra
  13. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  14. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" Cabe traer a colación las consideraciones acerca del principio de minimización de datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente. En el apartado 74 de dichas directrices se establece que: “En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera necesidad de tratar datos personales para sus fines pertinentes. El responsable debe verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales, o utilizando datos personales menos detallados o agregados, o sin tener que tratar datos personales en modo alguno. Dicha verificación debe tener lugar antes de cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento durante el ciclo de tratamiento.” Y en su apartado 76, estas Directrices 4/2019 indican que pueden ser “Elementos esenciales desde el diseño y por defecto con respecto a la minimización de datos” entre otros, los siguientes:      Evitación de datos: Se evitará todo tratamiento de datos personales cuando ello sea posible para cumplir la finalidad pertinente. Limitación: Se limitará la cantidad de datos personales recogidos a lo estrictamente necesario para el fin previsto. Limitación de acceso: Se configurará el tratamiento de datos de manera que se minimice el número de personas que necesiten acceder a datos personales para desempeñar sus funciones, y se limitará el acceso en consecuencia. Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en cuestión, y el responsable del tratamiento deberá poder acreditar dicha pertinencia. Necesidad: Cada categoría de datos personales será necesaria para los fines especificados y solo deberá ser objeto de tratamiento si no es posible cumplir la finalidad por otros medios.” Por otro lado, la STJUE de 4 de octubre de 2024, en el asunto C-446/21, establece que “En tercer lugar, por lo que respecta al hecho de que los datos personales a los que se refiere el litigio principal se recojan, se agreguen, se analicen y se traten con el fin de proponer publicidad específica, sin distinción en función de la naturaleza de dichos datos, es importante recordar que el Tribunal de Justicia ya ha declarado que, teniendo en cuenta el principio de minimización de datos establecido en el artículo 5, apartado 1, letra c), del RGPD, el responsable del tratamiento no puede proceder, de manera generalizada e indiferenciada, a la recogida de datos personales y que debe abstenerse de recoger datos que no sean estrictamente necesarios en relación con los fines del tratamiento [sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales), C 175/20, EU:C:2022:124, apartado 74]”. El citado principio de minimización tiene como fin garantizar que únicamente se traten estrictamente necesarios para alcanzar el propósito legítimo del tratamiento, evitando el tratamiento excesivo o desproporcionado de datos personales. Su objetivo principal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 es proteger los derechos y libertades de las personas físicas, reduciendo los riesgos asociados al tratamiento innecesario de datos personales. En el presente caso, de la reclamación presentada se desprende que KVIKU habría solicitado la foto de quien reclama con el DNI en la mano para cancelar un préstamo. Sin embargo, el tratamiento de los datos personales del reclamante que realiza KVIKU para poner fin a sus servicios debe estar presidido por los principios que relaciona el artículo 5 del RGPD y en especial el denominado “Principio de minimización de datos” previsto, en concreto, en el artículo 5.1.c. RGPD que exige que no se soliciten datos innecesarios para acreditar la identidad real del interesado. En definitiva, la obligación de identificación puede cumplirse sin necesidad de solicitar una fotografía de la parte reclamante con el DNI en la mano, pues existen otras alternativas igualmente válidas y de menor riesgo para los derechos y libertades de las personas que permiten realizar esta comprobación de una forma igualmente eficaz y menos intrusiva. Vistas las circunstancias concurrentes, se entiende que el requerimiento de la entrega de una foto del reclamante con el documento de identidad en la mano para cancelar un préstamo previamente contratado supone un tratamiento excesivo de datos personales, puesto que éstos son inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento de que se trata. Por tanto, de conformidad con los hechos probados den esta propuesta de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a KVIKU, por vulneración del artículo transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
  15. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  16. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
  17. b)los derechos de los interesados a tenor de los artículos 12 a 22;
  18. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
  19. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
  20. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  22. a)a
  23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  25. b)la intencionalidad o negligencia en la infracción;
  26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  30. g)las categorías de los datos de carácter personal afectados por la infracción;
  31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19
  32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  36. a)El carácter continuado de la infracción.
  37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  41. f)La afectación a los derechos de los menores.
  42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados den esta propuesta de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 A este respecto, conviene remarcar que el número de afectados es elevado, aun cuando únicamente se haya recibido una reclamación, puesto que afecta a la totalidad de los clientes de la parte reclamada que quieran realizar una operación de cancelación de un préstamo. • La intencionalidad o negligencia en la infracción: (artículo 83.2, letra b), del RGPD): La entidad actuó de forma negligente al solicitar una fotografía del reclamante sosteniendo su DNI sin valorar adecuadamente que esta práctica podía resultar excesiva y contraria al principio de minimización de datos. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): El tratamiento afecta a la fotografía del reclamante junto su DNI. La obtención de ambas imágenes ocasiona riesgos adicionales de suplantación. Como criterio de graduación del artículo 76.2 de la LOPDGDD, aplicado como agravante:  La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): Esta circunstancia resulta aplicable a una entidad financiera dedicada a la concesión de préstamos online, ya que su actividad principal está intrínsecamente vinculada al tratamiento intensivo de datos personales. Este tipo de entidades gestionan información identificativa, financiera y patrimonial de personas físicas, lo cual exige un cumplimiento riguroso de la normativa de protección de datos debido a los riesgos elevados que supone para los derechos y libertades de dichas personas. En consecuencia, el incumplimiento de la normativa en este contexto reviste una mayor gravedad al no ser el tratamiento de datos una característica accesoria, sino un aspecto central en la actividad de la entidad reclamada, justificando la concurrencia de esta circunstancia en el marco del procedimiento sancionador. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se dispone en el presente momento de propuesta de resolución del procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  44. c)del RGPD, permite proponer una sanción de multa administrativa de 10.000,00 euros. VII Medidas correctivas La resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  45. c)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con los hechos probados de que se dispone en el presente momento de propuesta de procedimiento sancionador, se propone que en la resolución que se adopte se requiera a KVIKU para que, en el plazo de UN MES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: -Acredite haber adoptado medidas para que la acreditación de identidad en los procedimientos de cancelación de préstamos se realice mediante opciones que garanticen el cumplimiento del artículo 5.1 c del RGPD. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. A la vista de lo expuesto se procede a emitir la siguiente PROPUESTA DE RESOLUCIÓN Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a KVIKU SPAIN, S.L., con NIF B09804295, por una infracción del Artículo 5.1.
  47. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 10.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a KVIKU SPAIN, S.L., con NIF B09804295, que en virtud del artículo 58.2.
  48. d)del RGPD, en el plazo máximo de un mes: -Acredite haber adoptado medidas por las que la acreditación de identidad en los procedimientos de cancelación de préstamos se realice mediante opciones que garanticen el cumplimiento del artículo 5.1 c del RGPD. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-00000000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  49. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. 926-250625 A.A.A. INSPECTOR/INSTRUCTOR C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 ANEXO Índice del expediente EXP202410843 06/06/2024 Reclamación de B.B.B. 01/08/2024 Traslado reclamación a KVIKU SPAIN, S.L. 12/08/2024 Reiteración a KVIKU SPAIN, S.L. 06/09/2024 Escrito a B.B.B. 04/02/2025 Acuerdo de inicio a KVIKU SPAIN, S.L. 15/02/2025 Escrito a B.B.B. 10/06/2025 Respuesta requerimiento de KVIKU SPAIN, S.L >> SEGUNDO: En fecha 9 de diciembre de 2025, KVIKU ha procedido al pago de la sanción en la cuantía de 8.000,00 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa, de acuerdo con lo establecido en el citado artículo 58.2
  50. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte de esta autoridad, KVIKU, en fecha 9 de diciembre de 2025, procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva de la propuesta de resolución transcrita en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 10.000,00 euros. Tras haber procedido KVIKU SPAIN, S.L. al pago voluntario, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 8.000,00 euros. La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202410843, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a KVIKU SPAIN, S.L. para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho de la propuesta de resolución transcrita en la presente resolución. CUARTO: NOTIFICAR la presente resolución a KVIKU SPAIN, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  51. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 No obstante, conforme a lo previsto en el artículo 90.3
  52. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1331-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.