PS-00615-2016

1/6 Procedimiento Nº PS/00615/2016 RESOLUCIÓN: R/01427/2017 En el procedimiento sancionador PS/00615/2016, instruido por la Agencia Española de Protección de Datos a la entidad OK MONEY SPAIN SLU, vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22/12/15, tiene entrada en esta Agencia escrito de D. A.A.A. en el que denuncia que ha sido incluido en los ficheros de morosos Asnef y Badexcug de forma ilícita. El origen de los hechos es que una tercera persona, que desconoce, le ha presentado como avalista de un microcrédito de forma fraudulenta. Al no devolver el microcrédito, la entidad financiadora, OK MONEY ha incluido sus datos en los ficheros de morosos. Debido a que la persona que le ha presentado como avalista ha puesto una dirección falsa, no ha recibido ninguna comunicación de su inclusión en Asnef ni en Badexcug y ha tenido conocimiento de los hechos porque su banco se niega a concederle un préstamo hipotecario. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a Equifax y OK MONEY. Recibidas las respuestas por la Inspección de Datos es emitido el correspondiente informe de actuaciones. TERCERO: Con fecha 19/12/16, la Directora de la Agencia Española de Protección de Datos acordó Iniciar procedimiento sancionador a OK MONEY, con arreglo a lo dispuesto en el artículo 127 del reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre (RLOPD), por la presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3

1. b)de la citada Ley Orgánica, y por la presunta infracción de los artículos 6.1 y 4.3 de la LOPD –en relación con el 29.4 de dicha norma y el 38.1.
2. c)del RLOPD-, tipificada como grave en el artículo 44.3.c y
3. b)de la citada Ley. CUARTO: Notificado el acuerdo de inicio el 22/12/16, OK MONEY formuló alegaciones solicitando el archivo de actuaciones, cuyo contenido se encuentra editado en la Propuesta de Resolución de fecha 08/03/17. QUINTO: Con fecha 12/01/17 se inició el período de práctica de pruebas, acordándose dar por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos obtenidos y generados por los Servicios de Inspección, el Informe de actuaciones previas de Inspección y las alegaciones al acuerdo de inicio. SEXTO: En fecha 08/03/17, se emitió propuesta de resolución en el sentido de imponer a OK MONEY una multa de 100.000 euros (cien mil euros), por la infracción de los artículos 4.3 y 6.1 de la LOPD, tipificadas como graves en el artículo 44.3.b y
4. c)de dicha norma, de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley Orgánica. SEPTIMO: Notificada la propuesta OK MONEY reiteró las alegaciones efectuadas al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 acuerdo de inicio del procedimiento y cuyo contenido no desvirtúa lo expresado en la Propuesta de Resolución. HECHOS PROBADOS 1º.- El 25/03/15, se solicita un crédito de 200 € a OK MONEY, con vencimiento el 24/04/15. La entidad, en su informe de 17/10/16 a la Inspección de Datos de esta Agencia, hace constar que asociados a dicho crédito figuran los siguientes datos personales A.A.A., DNI.-***DNI.1; IP ***IP.1; PC; ***TEL.1 / ***TEL.2; ***CCC.1; @ Outlook .com; calle (C/...1). 2º.- El 10/04/15, se solicita un crédito de 400 € a OK MONEY, con vencimiento el 24/04/15. La entidad, en su informe de 17/10/16, a la Inspección de Datos de esta Agencia, hace constar que asociados a dicho crédito figuran los siguientes datos personales: A.A.A.; DNI.- ***DNI.1; IP ***IP.2; PC; ***TEL.1 / ***TEL.2; ***CCC.1; .......@ Outlook .com; calle (C/...1). 3º.- Las impresiones de pantallas de ordenador conteniendo los mensajes enviados al solicitante de crédito por email recordándole la deuda pendiente y la posible inclusión en ficheros de morosos -que se adjunta al informe a la Inspección citado- carecen de fecha de envío y de destinatario; al igual que los que se refieren a los contactos habidos con la persona denunciante. 4º.- El 31/07/15 OK MONEY da de alta en Asnef el DNI ***DNI.1 del denunciante asociado a una deuda de 568 €, como avalista de un préstamo personal de 400 € (solicitado el 10/04/15 vencido el 01/05/15) y una dirección postal ((C/...1)<Albacete>). 5º.- El 28/12/15, causa baja cautelar en Asnef la anotación de los datos personales del denunciante efectuada por OK MONEY, tras la solicitud de cancelación presentada 10 días antes por la persona denunciante. 6º.- El 05/01/16, D. A.A.A., presenta en la comisaria de la Policía Nacional de Málaga denuncia de “no ha solicitado ni autorizado a persona alguna para la solicitud de préstamo alguno, habiendo estando siempre en su poder su DNI, el cual no ha sido extraviado/sustraído. Ha enviado comunicación a la empresa ASNEF informando de todo lo acontecido, indicando que ha sido dado de baja de forma cautelar de la citada lista”. 7º.- El 05/01/17, fecha del escrito de alegaciones al acuerdo de inicio presentado por OK MONEY, con el que presenta como documento 3 copia del informe y sus anexos. El anexo III que presenta es totalmente distinto al presentado como tal en el citado informe; nada tienen que ver con lo que este anunciaba "Se adjunta comunicaciones y resguardos de nuestra plataforma intercambiados con el cliente como anexo III". FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
5. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. OK MONEY es la persona jurídica responsable de dichos hechos. Responsabilidad circunscrita, por razones de competencia, a los tratamientos de datos personales efectuados por el denunciante, relacionados con las exigencias de los principios del consentimiento y de la calidad de datos contenidos en los artículos 6.1 y 4.3 de la LOPD. La persona denunciante no ha contratado con OK MONEY ningún micropréstamo y por razones no justificadas fue dada de alta en su base de datos de clientes su número de DNI como identificador del titular de un solicitante de micro-crédito. Como consecuencia de dichos servicios emitió comunicaciones incluyendo su DNI asociado al impago del crédito vencido que no fue pagado y que más tarde fue el motivo de las gestiones de recobro y de la inclusión de su número de DNI personal en el fichero de morosos Asnef. No consta que le fueran notificados los requerimientos de pago previos a la inclusión. La persona denunciante tuvo conocimiento de dichos tratamientos y su inclusión en ASNEF al intentar una contratación de servicios y más tarde acudir a su entidad financiera para que le informara. Solicitó la cancelación de datos en Asnef acompañando copia de su DNI. Ha de concluirse que OK MONEY ha realizado un tratamiento de datos personales del denunciante sin consentimiento y asociados a una deuda que no le corresponde, y lo incluyó en fichero de morosos sin acreditar haber notificado el requerimiento previo a las inclusiones. IV Se imputa a OK MONEY una vulneración del artículo 6.1 de la LOPD. En el procedimiento sancionador no se ha acreditado la utilización de procedimiento alguno que verifique la identidad de la persona solicitante. La falta de pruebas que acrediten que la persona denunciante otorgó su consentimiento efectivo a la entidad denunciada en el tratamiento pone de manifiesto que la entidad no ajustó su comportamiento, en el presente caso, a la diligencia que a la actividad profesional que desarrolla debe exigirse, a fin de garantizar el respeto al derecho fundamental a la protección de los datos personales. En consecuencia, se considera infringido el artículo 6.1 de la LOPD. De la documentación aportada al expediente no consta acreditado que el denunciante contratara con la entidad denunciada. También se imputa a OK MONEY la vulneración del artículo 4.3 de la citada Ley, especificado en el artículo 29, donde se regula de forma específica los ficheros establecidos para prestar servicios de información sobre solvencia patrimonial y crédito, y desarrollado en los artículos 38 a 43 del Reglamento por el que se desarrolla la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 De acuerdo con lo señalado, es requisito indispensable para que los datos del deudor puedan ser incluidos en un fichero de los creados al amparo del artículo 29.2, que quede acreditada la existencia de una deuda cierta vencida y exigible, y que ésta haya sido requerida previamente de pago antes de comunicar los datos del deudor al responsable del fichero común. Además, la obligación establecida en el artículo 4.3 de la Ley Orgánica 15/1999, implica que los datos que se incorporen a cualquier fichero deberán ser exactos y responder en todo momento a la situación actual de los afectados. La exigencia de que la deuda sea “cierta”, (artículo 38.1.
6. a)del R.D. 1720/2007) responde al principio de calidad de los datos plasmado en el artículo 4.3 de la LOPD. En este caso, OK MONEY ha emitido contrato, reclamaciones de pago asociadas al dato personal del DNI y primer apellido del denunciante por servicios que no había contratado, asociándolo a una deuda que no le correspondía y, sin haberle requerido previamente, aquella entidad instó el alta de sus datos personales en ficheros de morosos, según el detalle que consta en los Hechos Probados. La denunciada no ha acreditado que requiriera el pago previamente a la inclusión de los datos del denunciante en el fichero de solvencia. V No se ha observado circunstancias que permitan aplicar alguno de los apartados del 45.5. No ha habido diligencia en la regularización, no se ha acreditado decisión de cancelación del dato del DNI o su bloqueo, ni cancelación de la deuda asociada; la cancelación en Asnef es producto de la solicitud del denunciante y de la corrección del dato por Equifax. Tampoco se estima concurren significativamente criterios atenuantes del 45.4. Para que el importe de la sanción pueda ser fijado han sido examinadas las siguientes circunstancias: a).- El carácter continuado de la infracción, pues el dato personal del denunciante ha sido tratado sin consentimiento y ha permanecido en el fichero de clientes de OK MONEY desde marzo de 2015, en los ficheros de Asnef y no se ha acreditado la cancelación o bloqueo del dato del DNI y primer apellido en la base de datos de la compañía. (45.4.a). b).- La vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que OK MONEY es una empresa que tiene como actividad la prestación de servicios de micro-créditos. Esta empresa tiene un constante tratamiento de datos de carácter personal. (45.4.c). c).- El grado de intencionalidad no puede ser valorado como el de una persona física, ha de contemplarse como el de una entidad jurídica que realiza su actividad dirigida por los órganos de dirección que toman las decisiones relevantes y que son puestas en práctica por los empleados de todos los niveles. Es probable que en el tratamiento inconsentido y en la inclusión de los datos personales de la denunciante en los ficheros propios y más tarde en Asnef no tuviera intención de infringir norma alguna pero es evidente que alguno de los procedimientos aprobados fue incumplido por los empleados. Todos esos incumplimientos a lo largo del tratamiento de datos incorrecto, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 perfilan el grado de intencionalidad de la entidad al no tomar las medidas de control que hubieran evitado los hechos. (45.4.f). d).- Los procedimientos implantados no han sido efectivos, y todo hace pensar en que no es una anomalía de funcionamiento de dichos procedimientos, sino un claro incumplimiento de los mismos. (45.4.i). El balance de todas las circunstancias contemplados por el 45.4 de la LOPD permite graduar cada una de las sanciones por importe de 50.000 euros. La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad OK MONEY SPAIN SLU, por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
7. b)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. SEGUNDO: IMPONER a la entidad OK MONEY SPAIN SLU, por una infracción del artículo 4.3 en relación con el 29.4 de la LOPD, tipificada como grave en el artículo 44.3.
8. c)de la LOPD, una multa de 50.000 € (cincuenta mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada LOPD. TERCERO: NOTIFICAR la presente resolución a OK MONEY SPAIN SLU. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva, una vez sea ejecutiva la presente resolución de conformidad con lo dispuesto en el artículo 98.1.
9. b)de la Ley 39/2015, de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es