PS-00603-2022

1/34  Expediente N.º: EXP202105363 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante la reclamante) con fecha 24/11/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. con NIF A08980153 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: la reclamante manifiesta que al ir a solicitar un préstamo se lo deniegan debido a que sus datos personales figuran en sistemas comunes de información crediticia a instancias de la reclamada, en relación con una deuda relacionada con la solicitud de una tarjeta de crédito Ikea asociada a la entidad reclamada. Aporta contrato supuestamente realizado, con sus datos personales que no le corresponden, y denuncia efectuada ante la policía. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/12/2021 como consta en el acuse de recibo que obra en el expediente. El reclamado en su respuesta del 07/01/2022 manifiesta, entre otros, los siguientes aspectos: - Existe un contrato de crédito con tarjeta Visa Ikea de fecha 13/01/2020 suscrito por la parte reclamante con el reclamado en el que aparecen, además de su nombre y apellidos, domicilio/dirección, DNI/NIF, teléfono, datos de domiciliación bancaria y límite de crédito autorizado. Al reclamado se le proporcionó, a través del establecimiento IKEA IBÉRICA, S.A. (…), el citado contrato suscrito por la parte reclamante para financiar sus compras realizadas a través de la tarjeta vinculada al mismo (contrato). - LOGALTY es un prestador de servicios electrónicos de confianza cualificado, acreditado por el Ministerio de Industria, Energía y Turismo de España de acuerdo a lo dispuesto en la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza y en el Reglamento (UE) 910/2014 del Parlamento Europeo y del Consejo, de 23/07/2014, relativo a la identificación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/34 electrónica y a los servicios de confianza para las transacciones electrónicas en el mercado interior. Hay que señalar que LOGALTY interviene en la firma del documento que es firmado con biometría manuscrita, según consta en el certificado, lo que no supone la utilización de firma eléctrica en un servicio de confianza de los definidos en el artículo 3 del Reglamento (UE) n.º 910/2014 del Parlamento Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación electrónica y los servicios de confianza para las transacciones electrónicas en el mercado interior, que considera «servicio de confianza»: “el servicio electrónico prestado habitualmente a cambio de una remuneración, consistente en:

1. a)la creación, verificación y validación de firmas electrónicas, sellos electrónicos o sellos de tiempo electrónicos, servicios de entrega electrónica certificada y certificados relativos a estos servicios, o
2. b)la creación, verificación y validación de certificados para la autenticación de sitios web, o
3. c)la preservación de firmas, sellos o certificados electrónicos relativos a estos servicios;” Por su parte, IKEA IBÉRICA, S.A. en su respuesta del 07/01/2022 manifiesta, entre otros, los siguientes aspectos: - Según el Acuerdo marco de colaboración entre el reclamado e Ikea celebrado en fecha 16/11/2020: “IKEA tratará los datos personales a los que tenga acceso como Encargado del Tratamiento únicamente conforme a las instrucciones del reclamado. Estas instrucciones comprenden las siguientes tareas: • El auxilio en la tramitación administrativa de la documentación relativa a las solicitudes de financiación y de suscripción de un seguro ofrecido por el reclamado consistente en: • La entrega de la información precontractual requerida por la normativa de crédito al consumo • La gestión de la documentación en papel necesaria para la formalización de la solicitud de financiación y su digitalización para el envío al responsable del tratamiento a través de los equipos de este” - Ikea suministra a petición de los clientes la documentación relativa para la solicitud de la contratación del crédito. Esta documentación se escanea y envía de inmediato a través de los terminales facilitados por el reclamado para su verificación, análisis y tramitación ante dicha entidad, no conservando Ikea en cumplimiento del acuerdo suscrito con la parte reclamada ninguna documentación al respecto ni ningún dato de carácter personal. TERCERO: Con fecha 24/02/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/34 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 23/05/2022 se solicitó información al reclamado y en fecha 30/06/2022 se remitió un nuevo escrito de ampliación de documentación. Las respuestas a dichos requerimientos tuvieron entrada en la sede electrónica de la Agencia Española de Protección de Datos con fecha 14/06, 22/07 y 01/09/2022, respectivamente. En la documentación recabada se describe el procedimiento establecido para la formalización de un contrato entre el reclamado y un cliente y, a continuación, se reproduce un extracto del contenido y se detalla cómo se ha acreditado la formalización del contrato entre el reclamado y la parte reclamante. o Identificación y verificación de la identidad El primer paso es dar de alta a la persona contratante como cliente del reclamado. El proceso de alta se inicia cuando el potencial cliente (en adelante, el Solicitante) se dirige al establecimiento de un Prescriptor (por ejemplo, Ikea) de forma presencial y solicita un producto. El Solicitante se encuentra de forma presencial en el comercio del Prescriptor y es el Prescriptor quien le solicita su documento de identidad físico (Documento Nacional de Identidad, NIE o Pasaporte) y realiza la verificación de la identidad del Solicitante. El empleado del Prescriptor realiza la verificación de la identidad del Solicitante que tiene enfrente mediante una comprobación visual, contrastando su cara con la fotografía que del mismo aparece en el documento de identidad que le ha aportado. o Solicitud de datos personales y socioeconómicos El Prescriptor utiliza la denominada “App de captación” para tramitar el alta de las operaciones de financiación. Se trata de un software facilitado por el reclamado y conectado a sus sistemas. La aplicación referenciada está instalada en una tableta digital que tiene el Prescriptor en su establecimiento y el alta en la misma se da de forma unipersonal a sus vendedores, asignándoles un código y contraseña de acceso único a cada uno de ellos. El vendedor, teniendo al Solicitante presente físicamente en su comercio, procede a solicitarle la siguiente información y a introducirla en el sistema: a. Documento de identidad del solicitante El vendedor realiza una fotografía del documento de identidad del solicitante con la tableta digitalizadora. El documento de identidad se sube a sistema intermedio (Middleware) y posteriormente al sistema de contratos Previsor (sistema propio del reclamado). Si la operación es denegada en el proceso, se elimina automáticamente el documento de identidad del solicitante subido a ese sistema intermedio. El reclamado acredita que el DNI de la reclamante consta en sus sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/34 La parte reclamante manifiesta en la denuncia aportada que jamás ha estado en el establecimiento de Ikea donde se suscribió el contrato. a. Datos personales adicionales Nombre, apellidos, DNI, fecha de caducidad, sexo, estado civil, personas dependientes, fecha de nacimiento, país de nacimiento, dirección, e-mail, teléfono móvil e idioma correspondencia. Los datos que constan en el documento de identidad del solicitante serán autocompletados en caso de que se trate de DNI 3.0 y se haya captado con el lector NFC de la tableta digitalizadora del Prescriptor. Los datos personales que constan en el sistema del reclamado, que coinciden con los que figuran en el contrato, y que la parte reclamante informa de que no le corresponden son: dirección, e-mail y teléfono móvil. a. Información socioeconómica El vendedor pregunta al Solicitante si es cliente de CAIXABANK S.A. Dependiendo de la respuesta del Solicitante, el vendedor le pregunta los siguientes datos: i. i. Si el solicitante SI es cliente, el vendedor le solicita:  Número de cuenta bancaria o número de tarjeta de crédito  Ingresos mensuales  Número de pagas Si el solicitante NO es cliente, el vendedor le solicita:  Número de cuenta bancaria  Antigüedad banco  Situación laboral  Ingresos mensuales  Número de pagas  Cargo  Profesión  Antigüedad  Empresa  Actividad de la empresa  Población El reclamado indica en su respuesta que: “La parte reclamante no informó, en ningún momento, durante el proceso de contratación, si era cliente de CAIXABANK ya que facilitó el número de cuenta bancaria que pertenece a otra entidad financiera. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/34 Por lo anterior, de conformidad con las políticas internas y los procesos en los que solicita una operación con un importe de hasta 600 €, la información socioeconómica que se solicitó y consta en los sistemas de CPC es la que se muestra en el contrato de la tarjeta VISA Ikea, sin que se requiriera información adicional”. La información socioeconómica que se muestra en el contrato de la tarjeta es el nombre de la empresa, población, C.P, actividad, número de pagas, trabajador por cuenta ajena, el número de cuenta y el límite de crédito autorizado. La parte reclamante manifiesta en la denuncia aportada que desconoce quién es el titular del número de cuenta que se incluye en el contrato. El número de cuenta se incluye en el apartado “DOMICILIO DE PAGOS ASOCIADOS A ESTE CONTRATO” donde no está marcada la casilla que indica “Si así se ha marcado, los pagos asociados a este contrato se integrarán en la factura de servicios de la Empresa Asociada/ Entidad Colaboradora, siempre que el Titular mantenga vigente un contrato de servicios con esta”. La información socioeconómica que consta en los sistemas del reclamado es el número de cuenta, número de pagas y límite de crédito; que coinciden con la información del contrato de la tarjeta; la antigüedad de la cuenta bancaria, la antigüedad de empresa, el importe de ingresos y el tipo de operación: sin nómina. El reclamado no ha aportado documentación que acredite la anterior información socioeconómica que consta en sus sistemas. Asimismo, a continuación, se reproduce información publicada en la web de Ikea (ver Diligencia FAQs): FAQs de financiación ¿Qué requisitos existen para solicitar mi Tarjeta? Solo tienes que presentar:  Un documento identificativo como el DNI o pasaporte  Un recibo bancario original con tu nombre y número de cuenta para la domiciliación.  Original de un justificante de ingresos:  Última nómina  Autónomos, gerentes y administradores: último IRPF o trimestre  Pensionistas: hoja de revalorización de la pensión Si eres cliente de CaixaBank solo necesitas tu DNI/NIE y tu tarjeta de crédito o débito para tramitar tu solicitud. o Realización de la evaluación de solvencia En el procedimiento se indica que una vez recopilada la información el reclamado procede a evaluar la solvencia del Solicitante a fin de tomar una decisión acerca de si se aprueba o no la operación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/34 o Habilitación de la firma del contrato y proceso de firma En la App que se pone a disposición del Prescriptor se cuenta con un proceso de firma a través de la tableta digitalizadora. El proceso de firma es el siguiente: a. Validación de la operación, de los datos del contrato, así como confirmación de correo electrónico y de teléfono del Solicitante. El vendedor, tras revisar los datos de la solicitud de financiación y los del contrato junto con el Solicitante, confirma sus datos telefónicos y de la dirección de correo electrónico a la que se enviará el contrato, tratándose de un paso obligado por la App. a. Acreditación de la entrega de la información INE (Información Normalizada Europea donde se recogen los términos de financiación) al Solicitante y recogida de consentimientos comerciales. Se pone a disposición del Solicitante la información INE en la pantalla del dispositivo remitiéndole la citada INE a la dirección de email designada por correo electrónico certificado. Al final de este proceso, la App hace un resumen de todos los pasos realizados y muestra el contrato al Solicitante en versión pdf. a. Firma del contrato El solicitante procede a realizar su firma grafométrica en la tableta digitalizadora. LOGALTY es una tercera parte interpuesta que interviene en la formalización de contratos del reclamado para que esta pueda hacerse por medios electrónicos. Para rubricar un contrato con LOGALTY, el Solicitante firmante accede a los sistemas de LOGALTY desde los del reclamado. Los datos de la firma se almacenan de manera cifrada por parte del proveedor tercero de confianza, LOGALTY, con quien se ha suscrito contrato de encargado de tratamiento. Se aporta copia del contrato de crédito con tarjeta VISA Ikea firmado mediante firma grafométrica, certificado de LOGALTY, imagen del grafo del Solicitante firmante y archivo correspondiente a los puntos de presión, inclinación, etc. En el certificado de LOGALTY el cliente manifiesta: o Haber sido informado y consentido sobre el tratamiento que el reclamado precise realizar de sus datos personales para el estudio de la viabilidad de esta operación de financiación. o Haber recibido el documento INE y con antelación suficiente al contrato de financiación para comparar sus condiciones con otras ofrecidas en el mercado. La firma del contrato no coincide con la firma del DNI y la reclamante manifiesta en la denuncia que aporta que la firma no es la suya. En las CONDICIONES GENERALES DE LA SOLICITUD-CONTRATO DE CRÉDITO se establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/34  - 39.2.2. Obtención de la Firma Digitalizada: El contratante del crédito podrá ser requerido para que efectúe su firma utilizando un instrumento tecnológico que permita recabar los datos necesarios para transformarla en firma digitalizada. La no aceptación de este medio de firma puede comportar la imposibilidad de contratar con el reclamado la referida financiación si el establecimiento no dispone de la documentación física o no está autorizado para poder contratar con prestación del consentimiento en la forma tradicional; es decir, mediante su firma en papel. - 39.2.3. Aceptación y consentimiento: Será válido y eficaz el consentimiento al contrato de financiación suscrito cuando este (el consentimiento) se haya prestado mediante la Firma Digitalizada del firmante y aceptante del contrato al que se incorpore; esto es, mediante la ejecución de la firma por parte de su autor en un instrumento que permita recabar los datos de la misma para convertirlos en Firma Digitalizada y la incorpore al contenido que configurar el contrato de Cuenta de Crédito que se acepta. Activación tarjeta VISA Ikea El reclamado informa de que: - La tarjeta VISA Ikea es una tarjeta no nominativa que fue entregada por el vendedor del Prescriptor tras la formalización del contrato el día 13/01/2020 en el mismo establecimiento de IKEA. - El vendedor identificó y verificó la identidad del contratante, tanto al inicio de la fase de contratación como al final, en el momento de la entrega de la tarjeta, mediante la solicitud del DNI original y la verificación de que corresponde a la persona que tiene delante. - La tarjeta fue activada por el vendedor el día 13/01/2020 y el PIN de la tarjeta VISA Ikea se envió por SMS al teléfono que figura en el contrato, que consta también en el sistema del reclamado y que la reclamante manifiesta, en la denuncia que aporta, que desconoce a quién pertenece. Se aporta extracción de los sistemas informáticos con la información del número de teléfono, fecha y hora de envío del PIN. o Deuda generada y sistemas de información crediticia El reclamado acredita que la deuda de la tarjeta Visa Ikea ascendió a 690,25 € e informa de que con fecha 29/06/2020 se remitió fichero a ASNEF y en fecha 30/06/2020 fue dada de alta de forma efectiva. Los datos de la reclamante fueron incluidos en los ficheros semanales que se remitían a ASNEF hasta el día 08/08/2020 y fueron dados de baja del fichero ASNEF de forma efectiva en fecha 11/08/2021. Con fecha 23/05/2022 se envía una solicitud de información a LOGALTY para que, entre otros aspectos, acredite el procedimiento seguido para la formalización del contrato de crédito con tarjeta Visa Ikea de fecha 13/01/2020 entre el reclamado y la reclamante. Este requerimiento de información que tiene de fecha de acuse de recibo el 03/06/2022 no ha sido atendido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/34 QUINTO: Con fecha 20/02/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
4. a)del citado RGPD. SEXTO: Notificado el acuerdo de inicio, el reclamado en fecha 07/03/2023 solicito ampliación del plazo para presentar alegaciones; plazo que le fue concedido mediante escrito del instructor de misma fecha. El reclamado mediante escrito de 15/03/2023 presento escrito de alegaciones manifestando en síntesis lo siguiente: que no ha existido actuación contraria a lo dispuesto en la legislación vigente sobre protección de datos de carácter personal, por lo que no se comparte lo señalado en el acuerdo de inicio y la inclusión de los datos de la reclamante en los sistemas de información crediticia fue legítima desde el momento inicial de su comunicación hasta la fecha en que fueron dados de baja; que en la fecha de la inclusión de los datos en los sistemas de información crediticia, la existencia o cuantía de la deuda no había sido objeto de reclamación administrativa o judicial por el deudor y en el momento de requerir el pago se informó a la interesada acerca de la posibilidad de la inclusión de sus datos personales en los sistemas de información crediticia; que no cabe apreciar culpabilidad en la actuación del reclamado pues no ha vulnerado el artículo 6.1 del RGPD y tampoco cabe la presunción de culpabilidad; que el reclamado actúo en todo momento en la creencia de que la persona con la que contrataba era quien decía ser y se identificaba como tal; que el acuerdo de inicio no se ajusta al principio de proporcionalidad y que la sanción señalada es desproporcionada; que se proceda al archivo del procedimiento o subsidiariamente se imponga la sanción de apercibimiento. SEPTIMO: Con fecha 20/12/2021 se inició un período de práctica de pruebas, acordándose las siguientes Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. Solicitar a TELEFONICA MOVILES ESPAÑA, S.A. U., que aporte contrato de la línea de telefonía móvil ***TELÉFONO.1 e información del titular o titulares de la línea. Solicitar a ING BANK N.V., SUCURSAL EN ESPAÑA, que aporte contrato de cuenta bancaria nº ***CUENTA.1 e información sobre el titular o titulares de la cuenta. Solicitar al AYUNTAMIENTO DE MADRID que informe si en el callejero municipal figura calle con el nombre de (...). BANK N.V., SUCURSAL EN ESPAÑA y el AYUNTAMIENTO DE MADRID dieron respuesta a la prueba practicada cuyo contenido obra en el expediente. OCTAVO: Con fecha 06/09/2023 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por una infracción del artículo 6.1 del RGPD (inclusión de deuda en sistemas de información crediticia), tipificada en el artículo 83.5.
5. a)del RGPD, con multa de 70.000 € (setenta mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/34 Notificada el 07/09/2023 la citada Propuesta, el reclamado en fecha 21/09/2023 solicito ampliación del plazo para presentar alegaciones; plazo que le fue concedido mediante escrito del instructor de misma fecha por otros 3 días más. El 27/09/2023 el reclamado presente escrito de alegaciones formulando, en síntesis, las siguientes: que no se ha vulnerado el artículo 6.1 del RGPD, puesto que se realizó comunicación a los ficheros de morosidad por impago de una deuda derivada de un contrato llevado a cabo con engaño por lo que no puede recaer la responsabilidad por la utilización fraudulenta del DNI; que la deuda que accedió al fichero era cierta, vencida y exigible; la vulneración de los actos propios; la ausencia de culpabilidad en la actuación del reclamado y la vulneración del principio de proporcionalidad en la imposición de la sanción, la improcedencia de la Propuesta y que se proceda al archivo de las actuaciones. NOVENO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 24/11/2021 tiene entrada en la AEPD, escrito de la reclamante manifestando su sorpresa cuando al ir a solicitar un préstamo le es denegado porque sus datos de carácter personal figuran en sistemas comunes de información crediticia Asnef y Badexcug, a instancias del reclamado, como consecuencia de una deuda relacionada con una tarjeta de crédito Ikea vinculada a la entidad reclamada. SEGUNDO. Consta aportado copia del DNI de la reclamante. TERCERO. Consta aportado solicitud-contrato de crédito Ikea nº (...), de 13/01/2020, suscrito a través del establecimiento lkea Iberica, S.A., (...); figuran los datos de carácter personal de la reclamante: nombre y apellidos, domicilio, nº de DNI, fecha de nacimiento, sexo, estado civil; también figuran los datos profesionales. La firma que figura no coincide con la de la reclamante. CUARTO. Consta la denuncia formulada por la reclamante ante la Comandancia de la Guardia Civil en Pinto (Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la Policía Nacional motivadas por los hechos reclamados y en los que las reclamada manifiesta además que el contrato de tarjeta Ikea, el número de móvil, la cuenta de correo electrónico, el domicilio, el número de cuenta bancaria, nombre de la empresa y la firma que figura en el citado contrato no le corresponden. QUINTO. Consta aportado por el reclamado “detalle del fichero que se remitió a ASNEF, en fecha 29 de junio del 2020” que “Al día siguiente, fue dado de alta de forma efectiva en ASNEF; por lo que el alta se realizó el día 30 de junio de 2020. Los datos de la reclamante fueron incluidos en los ficheros semanales que se remitían a ASNEF hasta el día 8 de agosto de 2020”. SEXTO. Constan aportados copia de los requerimientos de pago, de fechas 13/06/2020 y 21/06/2020, que fueron enviados a la reclamante por el reclamado en relación a la deuda existente, como paso previo a la inclusión de sus datos personales en el fichero ASNEF. SEPTIMO. El reclamado en escrito de 31/12/2021 ha manifestado que “Por lo tanto, tal como ya se ha manifestado precedentemente, CaixaBank Payments & Consumer, tan pronto tuvo conocimiento de un presunto fraude/falsificación en la contratación, procedió a la supresión/bloqueo de los datos personales de la interesada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/34 procediendo, igualmente, a dar de baja inmediatamente a la misma en los sistemas de información crediticia”. Sin embargo, el reclamado en escrito de 14/06/2022 ha señalado que “La anterior manifestación era errónea ya que los datos de la afectada y reclamante, referentes al contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29 de julio de 2021”. OCTAVO. Consta que CaixaBank Payments & Consumer y la empresa InvestCapital Ltd. (cesionaria), formalizaron contrato elevándolo a escritura pública otorgada ante el notario de Madrid Don B.B.B., el 16/09/2021 la cesión de determinados créditos entre los que se hallaba la deuda derivada del contrato de crédito con la tarjeta Ikea Visa de fecha 13/01/2020. NOVENO. El 08/02/2022, la reclamante envió un correo electrónico al Servicio de Atención al Cliente de CPC, asunto: suplantación de identidad y en el que señalaba: “Me pongo en contacto con ustedes porque hace unos meses tuve un problema por vuestra identidad por una deuda que reclamabais a mi nombre, tratándose esta de una suplantación de identidad demostrable. Alguien solicito una tarjeta de crédito IKEA usando mi nombre y DNI, el número de solicitud de contrato es (...), con esa tarjeta retiro dinero y se me reclamo a mi esa deuda. Tras este suceso puse una denuncia por suplantación de identidad y una reclamación a la AEPD. Después de varios tramites al final se eliminó mi nombre de la lista de morosos Equifax. A día de hoy otra empresa de cobro de morosos ha intentado ponerse en contacto conmigo y reclamándome dicho pago por una tarjeta, que repito, yo no solicite y adquirieron con mi nombre y DNI. Dicha empresa se llama KRUK ESPAÑA S.L.U y ya no solo es que me esté pidiendo un cobro que no me corresponde, si no que aun así acosa a gente de mi alrededor para solicitar mis datos cuando eso no está permitido. El número de referencia es ***REFERENCIA.1. Por favor, solicito que mi identidad sea eliminada de KRUK ESPAÑA así que dejen de reclamarme una deuda que no me corresponde, y si mi identidad la tiene cualquier otra empresa de cobros también solicito que se elimine, ya que este asunto me está causando muchos daños personales y laborales. A continuación, adjunto la denuncia y la reclamación realizada en su día”. El 10/2/2022 la reclamante remitía al Servicio de Atención al Cliente del reclamado email, Asunto: [EXTERNAL] SOLICITUD COMPROBANTE DEUDAS (URGENTE), indicando: “Debido a problemas anteriores de suplantación de identidad por la solicitud de una tarjeta de crédito sin mi consentimiento ni permiso, Caixabank Payment&Consumer me reclamó una deuda que a día de hoy ya fue solucionada y eliminada. Por ello, me gustaría disponer de un escrito por parte de Caixabank Payment&Consumer donde conste que mi persona, A.A.A. con DNI ***NIF.1 no tiene ninguna deuda impaga ni pendiente con vosotros. Adjunto a continuación mi DNI”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/34 Lo que motivo una serie de correos cruzados remitidos desde la cuenta: ***EMAIL.1 para ***EMAIL.2 Asunto: SOLICITUD COMPROBANTE DEUDAS (URGENTE): Re: RV: [EXTERNAL] SUPLANTACION DE IDENTIDAD En el penúltimo de los cuales, de fecha 17/05/2022, figura lo siguiente: (…) Por favor, necesitamos dar respuesta a la reclamación que os fue comunicada hace unos días por parte del buzón de Venta de Carteras. ¿Podríais indicarnos si habéis realizado alguna gestión al respecto de este expediente para ir coordinados? Necesitaríamos respuesta entre hoy y mañana para poder dar respuesta en plazo. (…)” Y en esa misma fecha figura el correo de respuesta: De: ***EMAIL.3 Enviado el: martes, ***FECHA.1 Para: ***EMAIL.4 CC: Info_ES; Buzón Atención Venta Carteras Asunto: RE: [External Mail] RE: Rv: SOLICITUD COMPROBANTE DEUDAS (URGENTE): Re: RV: [EXTERNAL] SUPLANTACION DE IDENTIDAD “(…) Conforme te trasladé esta mañana, las acciones que han tenido lugar en relación con el expediente (...), Doña A.A.A., cursan del siguiente modo:  En fecha 3 y 8 de febrero de 2022 la clienta nos contacta mediante correo electrónico pidiendo que sea eliminada del fichero de morosidad e informa que la presente deuda se debe a una suplantación de identidad y que ha acudido a presentar denuncia ante la comisaria y la AEPD. En tales fechas procedimos a darle contestación solicitando nos enviase la denuncia de fraude para poder paralizar las acciones de recobro.  En fecha 16 de marzo de 2022 nos facilitasteis correo electrónico del cliente en donde solicita documentación e información del caso adjuntando denuncia de fraude. Dimos contestación al cliente en fecha 09/03/2022 con dicha información y documentación del caso e indicamos que se paralizan las acciones de recobro, a la espera de la Sentencia judicial que confirme el hecho de que ha sufrido un fraude. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/34  Por lo que a fecha de hoy el expediente se encuentra paralizado por presunto fraude a espera de Sentencia.  Por último, en fecha 28/04/2022 recibimos burofax con reclamación de la AEPD, de la cual hemos notificado a nuestro DPO para que se encargue de gestionarla. (…)” DECIMO. Consta aportada la imagen grafológica de la firma de la solicitante de la tarjeta Ikea que no coincide con la firma de la reclamante. DECIMOPRIMERO. Ikea en escrito de 07/01/2021 ha manifestado que “…las funciones de IKEA y del personal de IKEA se limitan al cumplimiento de la función de auxiliar de “CAIXABANK P&C” para la tramitación administrativa de la documentación relativa a las solicitudes de financiación” (…) A estos efectos, y tal y como se puede comprobar en la documentación obrante en el expediente, en concreto en la referida, solicitud- contrato de crédito, la entidad responsable de la contratación del crédito y, en su caso, la entidad responsable del tratamiento de los datos personales de los clientes que solicitan financiación es CAIXABANK P&C. En este sentido, hemos de señalar que existe un Acuerdo marco de colaboración entre CAIXABANK e IKEA celebrado en fecha 16 de diciembre de 2020 mediante el cual: IKEA tratará los datos personales a los que tenga acceso como Encargado del Tratamiento únicamente conforme a las instrucciones de CAIXABANK PAYMENTS & CONSUMER. Estas instrucciones comprenden las siguientes tareas: • El auxilio en la tramitación administrativa de la documentación relativa a las solicitudes de financiación y de suscripción de un seguro ofrecido por CAIXABANK PAYMENTS & CONSUMER consistente en: • La entrega de la información precontractual requerida por la normativa de crédito al consumo • La gestión de la documentación en papel necesaria para a formalización de la solicitud de financiación y su digitalización para el envío al Responsable del tratamiento a través de los equipos de este”. (…)“ DECIMOSEGUNDO. CGI en relación con el asunto CERTIFICADO DE ENVIO CPC, ha señalado en escrito de 01/03/2023: Que la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la información facilitada por el reclamado …, para su impresión (Fichero: (...).PDF; Sobre: (...)) y posterior puesta a disposición del distribuidor postal que se encargó de su envío a la dirección: ***DIRECCIÓN.1 Una vez efectuado el proceso establecido y desde la puesta a disposición en CORREOS, consta que no ha habido incidencia y tampoco devolución alguna de dicha carta hasta la fecha”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/34 DECIMOTERCERO. En los sistemas informáticos del reclamado figuran registrados los datos de la reclamante: nombre y apellidos, domicilio, nº DNI, nº móvil, dirección correo electrónico, nº cuenta bancaria, fecha de nacimiento, antigüedad en la empresa, ingresos mensuales (figura sin nomina), etc. DECIMOCUARTO. En relación con la cuenta aportada por la contratante ING BANK NV SUCURSAL EN ESPAÑA en escrito de 23/072023 ha señalado que “La cuenta ***CUENTA.1 fue contratada telefónicamente por Doña C.C.C. en fecha 06 de septiembre de 2018. ING envió un mensajero a su domicilio postal para verificar la identidad de la titular y para entregar el “Welcome Pack” que contenía las Condiciones particulares de contratación para la apertura de la cuenta Nómina mencionada, tal y como consta en el siguiente pantallazo (…) La ratificación de la contratación fue recibida por ING en fecha 20 de septiembre de 2018. Las Condiciones particulares de contratación de Cuenta Nómina y el albarán se adjuntan…” DECIMOQUINTO. En relación con el domicilio aportado por la contratante, el Ayuntamiento de Madrid, Departamento de Cartografía, Unidad Técnica de Callejero, en escrito de 07/08/2023 ha señalado que “Actualmente no existe ningún vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por lo tanto tampoco el número 75 de esta vía”. DECIMOSEXTO. El reclamado en escrito de 14/03/2023 ha confirmado la suplantación de la reclamante manifestando que “sólo la utilización de un sistema creado con el ánimo de estafar a la Entidad impidió que ésta pudiera detectar la falsificación de la documentación entregada por la solicitante del crédito, quien, en su caso, suplantó la personalidad de la hoy reclamante, provocando los hechos que motivaron, en su día, la reclamación presentada por la misma ante esa Agencia y la apertura de las presentes actuaciones”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Los hechos denunciados se materializan en la inclusión de los datos de carácter personal de la reclamante en sistemas comunes de información crediticia a instancias del reclamado, en relación a una deuda relacionada con la solicitud de una tarjeta de crédito IKEA vinculada con el reclamado, que la reclamante manifiesta no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/34 haber suscrito, así como la cesión de la deuda a la empresa InvestCapital Ltd., quien a su vez incluyo lo datos en ficheros de morosidad. El RGPD en su artículo 5 establece los principios que deben presidir el tratamiento de los datos personales, y en su apartado 1 señala que: “1. Los datos personales serán:
6. a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>). (…)” Y en su apartado 2, establece que: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>).” Por otra parte, el artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/34 mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece que: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
14. a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
15. b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
16. c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
17. d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
18. e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/34 supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
19. a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
20. f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia”. III El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
21. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
22. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/34 La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
23. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
24. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) V 1. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/34 2. El reclamado llevó a cabo el tratamiento de los datos de la reclamante sin legitimación alguna pues no se han respetado las garantías que prevé el artículo 20 de la LOPDGDD, dado que la deuda no era cierta, vencida ni exigible, deuda que no correspondía a la reclamante al derivarse de una contratación fraudulenta. El Dictamen 757/2017 del Consejo de Estado, emitido en el expediente relativo al anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal, dispone en cuanto a la licitud de una ponderación del interés legítimo hecha en un texto normativo lo siguiente: “Sin perjuicio de cuanto acaba de observarse, ante la indudable conveniencia de garantizar el máximo grado de seguridad jurídica posible ofreciendo a los operadores ciertas guías en su actuación, sin perjuicio de respetar la aplicabilidad directa del Reglamento Europeo y, en todo caso, con el objetivo de asegurar su efecto útil, el Consejo de Estado desea apuntar, como solución alternativa, la posibilidad de introducir por vía legislativa, en casos puntuales, simples presunciones iuris tantum favorables a la prevalencia del interés legítimo del responsable del tratamiento cuando se cumplan determinados requisitos o condiciones. Esta solución podría resultar conforme a la flexibilidad en la ponderación de intereses y al principio de responsabilidad proactiva del responsable del tratamiento que, como se indicó, persigue la nueva regulación comunitaria. Asimismo, la previsión de simples presunciones salvo prueba en contrario tendría encaje en la jurisprudencia analizada, que prohíbe establecer en una norma nacional el resultado de la citada ponderación "con carácter definitivo (...), sin permitir un resultado diferente", obstáculo que la solución alternativa aquí propuesta permitiría, en principio, evitar.” Siguiendo esta previsión, la LOPDGDD introduce una presunción «iuris tantum» de prevalencia del interés legítimo del responsable del tratamiento en algunos supuestos determinados, entre ellos, el relativo al tratamiento de los datos en sistemas de información crediticia. Así las cosas, cuando se observen las garantías que el art. 20 de la LOPDGDD prevé, el tratamiento podrá presumirse lícito al amparo del artículo 6.1.
25. f)del RGPD, sin perjuicio de que la legitimidad deba ser valorada caso a caso y sin perjuicio de que el responsable pueda realizar la ponderación legalmente exigible cuando no se cumplan las citadas garantías, como aclara el preámbulo de la ley al recoger: “En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos», incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquellos respecto de los que el legislador establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo.” Entre las citadas garantías, el artículo 20 de la LOPDGG contempla la consistente en que “los datos se refieran a deudas ciertas, vencidas y exigibles, cuya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/34 existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes” (art. 20.1.
26. b)RGPD). Y como se ha expuesto, en este caso, la deuda no correspondía a la reclamante, por lo que no era cierta, ni vencida ni exigible al resultar inexistente, por lo que no puede ser aplicable la presunción de licitud prevista en el citado artículo 20, debiendo la parte reclamada realizar su propia ponderación al no resultar aplicable la ponderación hecha legalmente. Sin embargo, en este caso no consta que la parte reclamada haya realizado tal ponderación y en consecuencia que sus intereses legítimos prevalezcan sobre los intereses, derechos y libertades de la parte reclamada. Así en este caso, en fecha 16/12/2020 el reclamado e IKEA formalizaron Acuerdo de colaboración en virtud del cual “IKEA tratará los datos personales a los que tenga acceso como Encargado del Tratamiento únicamente conforme a las instrucciones del reclamado”. En la página web de Ikea se relaciona la documentación que es necesaria presentar para solicitar la tarjeta Visa Ikea: documento identificativo, un recibo bancario original con el nombre del titular, número de cuenta para la domiciliación y original de un justificante de ingresos. El responsable de la contratación del crédito y del tratamiento de los datos personales de los clientes que solicitan financiación es el reclamado, en el procedimiento establecido para la formalización de un contrato de crédito para obtener la tarjeta Ikea, el empleado/vendedor de Ikea utiliza una aplicación instalada en la tableta digital que está conectada a los sistemas informáticos del reclamado; de esta forma, los datos obtenidos son remitidos de manera inmediata a los sistemas informáticos del reclamado para su verificación, análisis y tramitación ante dicha mercantil, no conservando Ikea en cumplimiento del acuerdo suscrito ninguna documentación al respecto ni ningún dato de carácter personal. Pues bien, la firma que figura en el DNI y la que consta en el contrato aportado no coinciden; además, el reclamado tiene una serie de datos socioeconómicos que no consta que se le facilitaran durante la contratación; como así consta en el informe de actuaciones “El reclamado no ha aportado documentación que acredite la anterior información socioeconómica que consta en sus sistemas”. Entre esa documentación figura el número de cuenta en la que se domiciliaron los pagos; según la FAQs (Frequently Asked Questions o preguntas frecuentes) de financiación: ¿Qué requisitos existen para solicitar mi Tarjeta? Solo tienes que presentar:  Un documento identificativo como el DNI o pasaporte  Un recibo bancario original con tu nombre y número de cuenta para la domiciliación.  Original de un justificante de ingresos: • Última nómina • Autónomos, gerentes y administradores: último IRPF o trimestre • Pensionistas: hoja de revalorización de la pensión Si eres cliente de CaixaBank solo necesitas tu DNI/NIE y tu tarjeta de crédito o débito para tramitar tu solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/34 Sin embargo, dicha documentación que el solicitante debe aportar ni figura ni le consta a la reclamada, es decir, no fue aportada pues no hay que olvidar que la reclamante no era la titular de la cuenta bancaria según consta en los hechos probados. El vendedor de Ikea, teniendo al solicitante presente físicamente en el establecimiento comercial debe proceder a identificar al cliente a través de su documento de identidad. Posteriormente, teniendo al cliente delante realiza una fotografía de su documento de identidad con la tableta digitalizadora y solicita datos personales adicionales, datos de tipo socioeconómicos (situación laboral, ingresos mensuales, pagas, cargo, Profesión, empresa, etc.) e introduce la información en el sistema. Por último, la aplicación cuenta con un proceso de firma a través de la tableta digitalizadora y los datos obtenidos son remitidos de manera inmediata a los sistemas informáticos del reclamado para su verificación, análisis y tramitación ante dicha mercantil. Pues bien, tal y como manifiesta la reclamante tanto en reclamación ante la AEPD como en su denuncia ante la Comandancia de la Guardia Civil en Pinto (Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la Policía Nacional, nunca estuvo en el citado centro comercial por lo que nunca pudo suscribir el contrato de tarjeta Ikea y ni aportar los datos contenidos en el mismo; tal es así que el número de móvil, cuenta de correo electrónico, domicilio, número de cuenta bancaria, empresa y firma que figuran en el citado contrato no le corresponden. De lo anterior se desprende la actuación negligente de la reclamada que no procedió a realizar las verificaciones oportunas ni a comprobar que la documentación necesaria para la contratación había sido remitida por el establecimiento de IKEA. En relación con el nº de cuenta aportada, ING BANK NV SUCURSAL EN ESPAÑA en escrito de 23/072023 ha señalado que la citada cuenta fue contratada telefónicamente por persona que no es la reclamante el 06/09/2018. Y en relación con la firma estampada en el contrato no se corresponde con la firma de la reclamante. A este respecto, el T.S. en sentencia de 13/12/2021, nº 1.456/2021 y en relación con la contratación de un microcrédito y la diligencia desplegada, señalaba en su Fundamento Segundo “Respecto de la primera cuestión (falta de diligencia en la actuación) en el recurso de casación se reiteran las alegaciones que la entonces demandante hizo en el proceso de instancia, en el sentido de que Dineo Crédito, S.L. adoptó todas las medidas necesarias y oportunas, desde el punto de vista de la protección de datos personales, para tramitar la solicitud de microcrédito (registro en la plataforma; validación del DNI: con verificación de doble factor de 2 algoritmos que garantizan tanto la veracidad del número y la letra del documento como que el solicitante tiene en su poder el DNI, por original o copia; validación del número de teléfono móvil a través de un código PIN, validación de datos bancarios y validación de la tarjeta de crédito/débito aportada por el solicitante); y pese a la adopción de tales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/34 medidas, se podría haber cometido el delito de suplantación de identidad, de estafa y/o de uso indebido de documento verdadero. Pues bien, hemos visto que el fundamento jurídico cuarto de la sentencia de instancia da cumplida respuesta a tales alegaciones. Señala allí la Sala de la Audiencia Nacional que en la resolución sancionadora se analiza de manera detallada el mecanismo de verificación de identidad del solicitante del crédito que Dineo Crédito, S.L. tenía establecido y queda de manifiesto su insuficiencia. Así, con el denominado "registro en la plataforma", trámite en el que se recaban del cliente determinados datos (entre ellos, el número de D.N.I., dos teléfonos y el correo electrónico) únicamente se demuestra que desde ese momento existe un tratamiento de datos personales, pero se ignora es si los datos facilitados por el cliente y recogidos por Dineo, son de la persona que los facilita como suyos o de un tercero. En cuanto a la fase que la recurrente denomina de "validación del DNI" (un algoritmo que permite determinar si el DNI facilitado por el cliente se corresponde o no con un DNI real o válido), tal medida únicamente demuestra que se trata de un número de documento que existe y que "alguien" es titular de ese DNI. Por su parte, la llamada "validación del número de móvil", que consiste en el envío al terminal móvil del contratante de una clave o pin de cuatro cifras que, posteriormente, el cliente debe introducir en el formulario al que accede desde la página web de Dineo, únicamente acredita que quien pretende contratar con Dineo, tiene acceso a ese número de móvil, pero nada dice sobre la identidad del contratante. La fase del procedimiento de contratación del préstamo denominada "validación de datos bancarios", que consiste en verificar si la cuenta bancaria "es real" y está asociada efectivamente a una cuenta bancaria, es también irrelevante desde el punto de vista del respeto a las obligaciones impuestas por la normativa de protección de datos, pues sólo asegura el buen fin del préstamo, esto es, que el importe prestado se dirigirá a una cuenta abierta y activa, pero nada aporta en cuanto a que el titular de esa cuenta sea precisamente la persona que figura en el DNI utilizado. Y, por último, la fase denominada validación de la "tarjeta de crédito", consistente en que se carga en ella un céntimo que automáticamente resulta reintegrado, no consta que en el caso que nos ocupa se llevara a cabo, al no aparecer en los registros informáticos de la recurrente. En definitiva, ninguna de las medidas adoptadas por la recurrente está destinada a acreditar que la persona que solicita el microcrédito coincide con el titular del DNI aportado. Y, en efecto, continua explicando la sentencia recurrida, las pruebas practicadas en la vía administrativa vinieron a poner de manifiesto que, respecto de la línea de teléfono facilitada cuando se solicitó el crédito, ni el nombre, apellidos y NIF del titular de la línea coinciden con los datos personales del denunciante (titular del DNI); y en relación con la cuenta bancaria que figura en los registros de Dineo, a la que se habría transferido el importe del micro préstamo, los datos del titular de la cuenta en la fecha de la contratación del crédito tampoco coinciden con los datos personales del denunciante. Ni siquiera el titular del móvil y el de la cuenta bancaria son la misma persona. Estas apreciaciones de la Sala de instancia sobre la insuficiencia de las medidas adoptadas en el procedimiento de contratación on line, y, en definitiva, sobre falta de diligencia en la actuación por la recurrente, en modo alguno han quedado desvirtuadas en casación, donde la representación de Dineo Crédito, S.L. ha reiterado las manifestaciones que hizo en el proceso de instancia, pero nada ha aportado que sirva para rebatir las conclusiones de la Sala sentenciadora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/34 En fin, compartimos el parecer de la Sala de la Audiencia Nacional acerca de la insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de contratación. A las consideraciones que se exponen en la sentencia recurrida, que compartimos y hacemos nuestras, únicamente añadiremos dos observaciones: En primer lugar, las medidas de verificación aplicadas por la recurrente parecen enteramente encaminadas asegurar el buen fin del préstamo, pero, en cambio, se desentienden enteramente del objetivo de verificar la veracidad y exactitud de los datos, y, en particular, de comprobar que quien solicita el crédito es precisamente quien dice ser. De este modo, en cualquier caso en el que un tercero utilice indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los datos personales del titular del documento, aunque éste hubiese denunciado en su día ante las autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar que ese resultado se produzca. En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control tendentes a verificar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado. Por lo demás, en concordancia con lo que llevamos expuesto, también compartimos el parecer de la Sala de la Audiencia Nacional (fundamento jurídico quinto de la sentencia recurrida) en lo que se refiere a la vulneración de la exigencia de exactitud y veracidad de los datos (principio de calidad de datos recogido en el artículo 4.3 LOPD puesto en relación con el artículo 29 de la misma Ley Orgánica y el artículo 38 del Reglamento aprobado por Real Decreto 1.720/2007, de 21 de diciembre), al haber incorporado la recurrente a sus sistemas informáticos, dando luego traslado de ello al fichero de solvencia patrimonial Asnef, datos personales del denunciante asociados a una deuda que no era cierta, vencida ni exigible ya que el denunciante no había contratado el microcrédito”. Y como ocurre en el supuesto analizado por la citada sentencia, en este caso la reclamada tampoco verificó de forma diligente la veracidad y exactitud de los datos, y, en particular, que quien solicitaba el crédito era precisamente quien decía ser. A mayor abundamiento, consta en los hechos probados que la empresa CGI en escrito de 01/03/2023 y en relación con el envío del requerimiento de pago a la reclamante que “la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la información facilitada por el reclamado …, para su impresión (Fichero: (...).PDF; Sobre: (...)) y posterior puesta a disposición del distribuidor postal que se encargó de su envío a la dirección: ***DIRECCIÓN.1 Una vez efectuado el proceso establecido y desde la puesta a disposición en CORREOS, consta que no ha habido incidencia y tampoco devolución alguna de dicha carta hasta la fecha”, es decir, se da por bueno que la carta llegó a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/34 destinatario cuando el propio Ayuntamiento de Madrid, a través de la Unidad Técnica del Callejero en escrito de 07/08/2023 ha señalado que “Actualmente no existe ningún vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por lo tanto tampoco el número 75 de esta vía” . Por lo que se trata de otro elemento que debió ser tenido en cuenta por la reclamada a la hora de verificar la certeza de la información facilitada en el momento de la contratación. 3. El reclamado, manifiesta que ante la posibilidad de que se hubiera producido suplantación en la identidad de la reclamante y el consiguiente tratamiento de sus datos de manera ilegitima, los dio de baja bloqueando sus datos. De esta forma en escrito de 14/03/2023 el reclamado confirmaba que “sólo la utilización de un sistema creado con el ánimo de estafar a la Entidad impidió que ésta pudiera detectar la falsificación de la documentación entregada por la solicitante del crédito, quien, en su caso, suplantó la personalidad de la hoy reclamante, provocando los hechos que motivaron, en su día, la reclamación presentada por la misma ante esa Agencia y la apertura de las presentes actuaciones”. No obstante, en su respuesta de fecha 14/06/2022 al requerimiento efectuado por este centro directivo indicaba que la deuda de la tarjeta Visa Ikea ascendió a 690,25 € y que el 29/06/2020 remitió al fichero ASNEF la información pertinente y que, al día siguiente, 30/06/2020, los datos de la reclamante fueron dados de alta en el fichero de solvencia patrimonial ASNEF de forma efectiva al ser incluidos en los ficheros semanales que se remitían hasta el día 20/08/2020. Y que “De conformidad con el procedimiento de comunicación de altas y bajas a sistemas de información crediticia, los datos fueron dados de baja del fichero ASNEF de forma efectiva en fecha 11 de agosto del 2021”. Es decir, los datos de la reclamante fueron incluidos en los ficheros llamados comúnmente de morosos el 30/06/2020 y dados de baja de forma efectiva en fecha 11/08/2021. Por tanto, los datos de la reclamante durante el periodo en el que estuvieron contenidos en el citado fichero continuaron siendo tratados hasta su baja efectiva por el reclamado de manera ilegitima, al no constar acreditada base legal alguna para su tratamiento, por no resultar aplicable la presunción de licitud contemplada en el artículo 20.1 puesto que la deuda ni era cierta, ni vencida ni exigible al no constar acreditada la contratación de la tarjeta Ikea con la reclamante. 4. A mayor abundamiento, consta en los hechos probados que el reclamado en escrito de 31/12/2021 manifestaba “CaixaBank Payments & Consumer, tan pronto tuvo conocimiento de un presunto fraude/falsificación en la contratación, procedió a la supresión/bloqueo de los datos personales de la interesada, procediendo, igualmente, a dar de baja inmediatamente a la misma en los sistemas de información crediticia”. Pero, en escrito posterior de 14/06/2022 manifestaba “La anterior manifestación era errónea ya que los datos de la afectada y reclamante, referentes al contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29 de julio de 2021”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/34 Por tanto, el reclamado no procedió a la baja de los datos en los ficheros de morosos ni al bloqueo de los datos porque tuviera conocimiento de la supuesta suplantación de la personalidad de la reclamante y un presunto fraude en la contratación, sino que la baja en los ficheros vino motivada porque el crédito fue objeto de cesión mediante contrato de compraventa formalizado en Madrid, ante el notario Don B.B.B. con la empresa Invest Capital Ltd., en fecha 16/09/2021, mercantil que a su vez incluyo los datos en el fichero. Por tanto, como se señalaba con anterioridad la actuación del reclamado supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo 20.1 de la LOPDGDD, infracción del principio de licitud en el tratamiento de los datos que requiere la existencia de una base legal que lo legitime; infracción que ocasionó que los datos de la reclamante fueran incluidos en los sistemas de información crediticia sin que la deuda fuera cierta, vencida y exigible y sin que el reclamado haya acreditado haber realizado la ponderación legalmente establecida, y en consecuencia sin que conste que sus intereses legítimos prevalezcan sobre los intereses, derechos y libertades de la reclamante, infracción tipificada en el artículo 83.5.
27. a)del RGPD. VI En alegaciones a la Propuesta de Resolución el reclamado ha alegado su disconformidad con la misma, alegando que: 1. La inexistencia de infracción del artículo 6.1 del RGPD, puesto que la presunta infracción tiene como origen el engaño ejercido sobre la persona del vendedor suplantando maliciosamente la identidad de la reclamante en el momento de validad su identidad como solicitante físicamente presente en el establecimiento comercial. El artículo 8.1 de la LOPSC establece que el DNI “es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular” y que la comprobación por parte del encargado del reclamado de la identidad del interesado en el momento de la solicitud-contratación de la tarjeta se considera licito y necesario para contratar. Según el diccionario de la Real Academia de la Lengua Española (RAE) define el término “identificación” como “acción y efecto de identificar o identificarse” y el término “identificar” como “Reconocer si una persona o cosa es la misma que se supone o se busca.” El término “identidad” (en su segunda acepción) como “conjunto de rasgos propios de un individuo o de una colectividad que los caracterizan frente a los demás” En definitiva, la obligación de “identificar” que recae sobre el vendedor del prescriptor se traduce en “reconocer” si los datos de identidad, esto es, los elementos o rasgos que caracterizan la persona que pretende suscribir la solicitud-contrato de la tarjeta (nombre, apellidos, número del documento identificativo y naturaleza del documento e incluso su imagen física) son los que figuran en el “documento” “acreditativo de la personalidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/34 Como se señalaba en el punto 2 del fundamento V, de conformidad con el Acuerdo suscrito entre el reclamado e IKEA, el vendedor teniendo al solicitante presente físicamente en el establecimiento comercial procede a identificarlo a través de su documento de identidad. Pues bien, sorprende que el reclamado señale que se actuó con la diligencia necesaria ya que tiene implantados en sus procesos de contratación medidas de verificación de la identidad basándose en el DNI, resultando paradójico que el vendedor teniendo delante al solicitante y requiriéndole el DNI a fin de verificar su identidad mediante la comprobación visual de los elementos y rasgos que caracterizan la persona que pretendía contratar, no se diera cuenta que no era la misma. Por tanto, no se trata como intenta argüir el reclamado de un error invencible, sino de una falta de negligencia que hubiera sido superada si se hubieran adoptado las medidas necesarias y oportunas que hubieran inducido a concluir que la persona que acudió al establecimiento comercial no era aquélla que decía ser y cuyo documento portaba, lo que además resulta chocante a la luz de los hechos acreditados en el procedimiento: la firma no se correspondía con la existente en el DNI y aun así el empleado, como se señalaba anteriormente, procedió a efectuar el registro de la imagen grafológica de la firma en los sistemas de la entidad, la afirmación de la propia entidad que ha señalado que no se realizó una correcta identificación de la persona, por lo que estamos ante un comportamiento de una negligencia grave, fácilmente vencible si se hubieran adoptado los protocolos y cautelas adecuadas, pues ni coincidían las firmas, ni existía el domicilio aportado, ni se presentó la documentación necesaria para acreditar que el número de cuenta bancaria que se aportaba correspondía a la contratante. No se trata de que las personas que intervienen en la identificación de los posibles clientes tengan dificultades por el hecho de no ser especialistas para detectar dichas suplantaciones; lo racional es que se adopten las medidas apropiadas y cautelas adecuadas y necesarias para que dichas incidencias no tengan lugar. La A.N. en sentencia de 01/10/2012 señala que: “Aplicando la anterior normativa al supuesto enjuiciado, resulta que ha quedado acreditado, y no desvirtuado mediante prueba en contrario, que se suscribió un contrato mercantil de distribución, por parte de la entidad actora y en el que figuraban datos personales de la denunciante, concretamente su nombre, apellidos y su DNI, pero sin que correspondieran a la misma ni su supuesto domicilio, ni su supuesto número de teléfono y tampoco su dirección de email. Contrato que carece de firma alguna y cuya formalización ha sido negada por tal denunciante. Habiendo sido asimismo probado que, una vez impagada la factura generada por los servicios derivados del referido contrato, Avon Cosmetics incluyó el nombre y número de DNI de la referida denunciante en el fichero de morosidad Asnef. Se trata en definitiva de que la entidad actora inició una relación comercial con una tercera persona sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. Tal y como deriva del referido RGPD, AVON, en cuanto responsable del tratamiento, y a pesar de sus extensas argumentaciones de la demanda, no ha sido ser capaz de demostrar que la denunciante había dado su consentimiento a la operación de tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/34 De haber tomado AVON las necesarias precauciones, a fin de asegurarse de la identidad la persona contratante, para lo que hubiera sido bastante verificar algún tipo de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la infracción del artículo 6.1 del RGPD imputada por la AEPD. En definitiva, al no haberse actuado con la necesaria diligencia, se trataron los datos de la afectada sin contar con su consentimiento, lo que supone una vulneración de tal esencial principio de licitud, dado que tampoco concurre en el supuesto ninguna de las circunstancias excepcionales que eximirían de la necesidad de dicho consentimiento. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados como infracción grave del artículo 86.5 del RGPD. No es posible apreciar, por otra parte, el error invencible que insistentemente se invoca en la demanda, pues además de que el mismo debe demostrarse ( STS de 23 de junio de 2014) en definitiva, como ya se ha indicado, y sin perjuicio del fraude cometido, lo cierto es que no existió diligencia suficiente por parte Avon Cosmetics ni en el momento de incluir los datos de la denunciante en sus bases informáticas, ni en el momento de notificar los mismos al fichero de solvencia patrimonial y crédito. Sin que tampoco pueda tomarse en consideración, por último, la invocada ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad "a título de dolo o culpa", no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito administrativo es más flexible que en el derecho penal, y así, conforme a reiterada Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia exigible ( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas), diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon Cosmetics. De todo lo cual deriva que la sanción impuesta a la entidad actora en tal resolución combatida resulta ajustada a derecho y proporcionada, por lo que la misma ha de ser confirmada”. Por otra parte, en cuanto a la opinión desfavorable de la AEPD a la iniciativa planteada de la posibilidad de utilizar datos de reconocimiento facial en el momento de alta de los clientes, se debe señalar que cualquier tratamiento de datos de carácter personal debe contar con una base de legitimación, debiendo atenderse al caso concreto y la posible injerencia en el derecho a la protección de datos, y al cumplimiento de los principios recogidos en el art. 5 del RGPD, entre ellos los principios de licitud y de minimización de datos. 2. La vulneración de la doctrina de los actos propios al archivarse reclamaciones similares en las que existe identidad de hechos y sujetos a los del presente procedimiento entre ellos el EXP2022022936. Sin embargo, la cuestión invocada por el reclamado nada tienen que ver con la vulneración de la doctrina de los actos propios y debe ser desestimada. En primer lugar, el citado expediente se dirigía contra KRUK ESPAÑA S.L. al serle reclamada a la interesada una deuda cuyo acreedor original era el ahora reclamado (CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.), siendo la reclamante la misma persona que interpone la reclamación que dio lugar al presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/34 procedimiento por infracción del articulo 6.1 RGPD en relación con el artículo 20 de la LOPDGDD. Como se señalaba en el punto 4 del fundamento anterior el reclamado y la entidad INVESTCAPITAL, LTD formalizaron contrato de compraventa de cartera de créditos en Madrid, ante el notario Don B.B.B. en fecha 16/09/2021, entre el que se encontraba el de la reclamante, remitiendo a esta carta informando sobre dicha cesión del derecho de crédito. A su vez la entidad KRUK, en su condición de encargado del tratamiento, prestaba a InvestCapital, responsable del tratamiento y acreedor actual, los servicios de recuperación de deuda. Como consta en los hechos probados la reclamante remitió correos electrónicos en el que solicitaba saber si constaba como deudora en sus sistemas y que no era titular de la citada deuda, indicándole haber sufrido una suplantación de identidad respecto a la contratación de la tarjeta de CaixaBank, por lo que solicitaba la supresión de sus datos. En fecha 09/03/2022 KRUK respondió a la reclamante confirmando el importe de la deuda. Respecto a la solicitud de supresión de los datos, KRUK le indicaba que no podían atenderlo ya que el nuevo acreedor (InvestCapital) tenía constancia de la deuda, pero que, dado que había aportado indicios de posible fraude al haber denunciado a la policía una suplantación de identidad, KRUK le informaba que acordaba paralizar el expediente hasta tener evidencias de la suplantación de identidad que permitiera cerrar definitivamente el expediente. Y además, olvida el reclamado que el tratamiento de los datos de la reclamante efectuados por InvestCapital, en su condición de responsable del tratamiento y, KRUK, en su condición de encargado del tratamiento, en tanto que es fruto de la adquisición de un paquete de deudas al reclamado (CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.) confiaban en la apariencia de veracidad de los créditos cedidos y dado que en el tratamiento efectuado se produce como adquirente de buena fe, no puede ser constitutivo de una infracción del artículo 6.1 del RGPD. Todo lo contrario del reclamado cuya actuación es contraria al principio de licitud consagrado en el artículo 6.1 del RGPD; tratamiento se inicia con la contratación fraudulenta de la tarjeta de crédito Ikea nº (...), de fecha 13/01/2020, suscrito en el establecimiento lkea Iberica, S.A., de la (…) y que es permanente en el tiempo con la posterior inclusión de los datos de la reclamante en el fichero Asnef por una deuda que no le correspondía, desde 30/06/2020 hasta el 11/08/2021, baja que es consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29/07/2021. Esta manera de proceder es contraria al artículo 6.1 del RGPD y encuentra su tipificación en el artículo 83.5.
28. a)del RGPD. 3. También alega el reclamado la ausencia de culpabilidad en su actuación y que nadie puede ser condenado o sancionado sino por hechos a título de dolo o culpa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/34 La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” En definitiva, la conducta del reclamado, concretada en la infracción del principio de licitud, en relación con el artículo 20 de la LOPDGDD, al incluir los datos de carácter personal de la reclamante en sistemas comunes de información crediticia sin base de legitimación, ya que la reclamante no podía ser la contratante de la tarjeta Ikea, vulnera el artículo 6.1 del RGPD, actuación subsumible en el tipo sancionador del artículo 83.5.
29. a)del RGPD 4. Por último, alega el reclamado proporcionalidad en la imposición de la sanción. la vulneración del principio de El artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas por tanto según se deduce del precepto han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/34 Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanciones impuestas, resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Pues bien, la entidad es una gran empresa dentro de su sector de actividad; en el año 2021 (último ejercicio presentado) tuvo ventas superiores a los 750 millones de euros y un resultado de ejercicio de más de 218 millones de euros. VI A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/34 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
30. a)a
31. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
32. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
33. b)la intencionalidad o negligencia en la infracción;
34. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
35. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
36. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
37. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
38. g)las categorías de los datos de carácter personal afectados por la infracción;
39. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
40. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
41. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
42. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
43. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
44. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
45. a)El carácter continuado de la infracción.
46. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
47. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
48. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/34
49. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
50. f)La afectación a los derechos de los menores.
51. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
52. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
53. a)y artículo 6.1 del RGPD (inclusión de deuda en ficheros de morosos), de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad; el nivel de los perjuicios sufridos por la reclamante que afectan a su solvencia económica al habérsele denegado un préstamo como consecuencia de que sus datos personales figuraban en sistemas comunes de información crediticia a instancias del reclamado en relación con una deuda procedente de una tarjeta de crédito Ikea que ascendía a 690,25 € vinculada con el reclamado, siendo dados de alta el 30/06/2020 y figurando hasta el 11/08/2021, al ser dados de baja por el reclamado, como consecuencia de la cesión de la deuda a la mercantil Invest Capital Ltd (artículo 83.2.
54. a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
55. b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción, pues el reclamado incluyo los datos en ficheros de morosos sin que la deuda cumpliera los requisitos del artículo 20.1 de la LOPDGDD y sin efectuar la necesaria ponderación. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/34 cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
56. b)del RGPD). La entidad investigada es una gran empresa dentro de su sector de actividad y en el año 2021 (último ejercicio presentado) tuvo unas ventas de 752.310.000 € y un resultado de ejercicio de 218.701.000 € según datos Axesor (artículo 83.2.
57. k)del RGPD). VII Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
58. a)a j). Al haberse confirmado la infracción, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
59. d)del RGPD, según el cual cada autoridad de control podrá “
60. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. En el presente caso, se requiere al reclamado para que en el plazo de seis meses a partir de la notificación de la presente resolución: - Acredite la adopción de medidas adecuadas para evitar que en el futuro se produzcan incidencias como las que han provocado la apertura del presente procedimiento sancionador evitando incidentes como el señalado al tratar datos de carácter personal en sistemas de información crediticia, sin legitimación alguna de las contempladas en el artículo 6.1 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., con NIF A08980153, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
61. a)del RGPD, una multa de 70.000 euros (setenta mil euros). SEGUNDO: ORDENAR a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., con NIF A08980153, que en virtud del artículo 58.2.
62. d)del RGPD, en el plazo de seis meses desde la notificación de la presente resolución, acredite haber procedido al cumplimiento y adopción de medidas adecuadas evitando incidentes como el que dio lugar al procedimiento al tratar datos de carácter personal en sistemas de información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/34 crediticia sin legitimación alguna de las contempladas en el artículo 6.1 del RGPD del RGPD. TERCERO: NOTIFICAR la presente resolución a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
63. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
64. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/34 contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es