REPOSICION-PS-00076-2017

1/5 Procedimiento nº.: PS/00076/2017 ASUNTO: Recurso de Reposición Nº RR/00898/2017 Examinado el recurso de reposición interpuesto por la entidad OK MONEY SPAIN, S.L.U., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00076/2017, y en consideración a los siguientes HECHOS PRIMERO: Con fecha 25 de septiembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00076/2017, en virtud de la cual se imponían a OK MONEY SPAIN, S.L.U., sendas sanciones (de veinte mil y diez mil euros, respectivamente) por vulneración de lo dispuesto en los artículos 6.1 y 4.3, en relación con el 29.4, de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracciones tipificadas como graves en los artículos 44.3.b y 44.3.c, de conformidad con lo establecido en los artículos 45.2 en relación con el 45.5 y 45.1 de la citada Ley Orgánica. Dicha resolución, que fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre, fue notificada OK MONEY SPAIN, S.L.U. (en adelante la recurrente) electrónicamente, constando como fecha de puesta a disposición de la resolución el 25 de septiembre de 2017. SEGUNDO: Como hechos probados del citado procedimiento PS/00076/2017, en la resolución se dejó constancia de los siguientes: sancionador, <<PRIMERO: D.ª A.A.A. denuncia que OK MONEY ha incluido sus datos personales en ASNEF vinculados a un microcrédito que ella no ha contratado, extremo del que tuvo conocimiento por el Departamento de RRHH de su empresa al ser política de la compañía que ningún empleado puede estar incorporado a ficheros de esta naturaleza. (Folios 1 y 13) SEGUNDO: Los datos personales de la denunciante -nombre, dos apellidos y NIF ***NIF.1 fueron tratados por OK MONEY vinculados a la contratación de un microcrédito por un importe de 300 euros con fecha de alta 17/03/2015. En el fichero de OK MONEY consta, asociados a los datos personales de la denunciante, una dirección postal en la localidad de ***LOCALIDAD.1 (Murcia), una dirección electrónica ( ***EMAIL.1) y un número de móvil ***TLF.1.(Folios 22 a 24, 94 a 96, 149 y 150) TERCERO: Los datos personales de la denunciante (nombre, apellidos y NIF) se dieron de alta en el fichero ASNEF a instancia de “KIZOO (OK MONEY)”, con fecha 15/07/2015, por un producto de “Préstamos personales”. El saldo impagado asciende en la fecha en la que la afectada ejercita el derecho de acceso a 423 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Vinculados a esos datos se facilitó como dirección postal calle ***DIRECCIÓN.1, Murcia. En fecha 30/03/2016 la incidencia continuaba vigente. (Folios 7, 9 y 10) CUARTO: OK MONEY ha declarado que la contratación del microcrédito a nombre de la denunciante se efectuó a través de internet. (Folio 18) QUINTO: En respuesta a la pregunta de la Inspección de Datos de la AEPD sobre el procedimiento implementado para validar la identidad de las personas que contratan con ella, OK MONEY manifestó lo siguiente (folio 18): “A estos efectos se hace constar que OK MONEY cuenta con un sistema normalizado y estandarizado del proceso de contratación a través de internet, en el que el cliente tiene que cumplimentar sus datos personales (nombre, apellidos, NIF, dirección postal, dirección de correo electrónico etc) así como aportar los datos de su número de cuenta, el titular del número de cuenta y el número de contacto de su móvil. (…) al encontrarse el programa informático de contratación de OK MONEY conectado con los datos del Banco de España , en el caso de que el titular de la cuenta bancaria introducida no coincida con el número de cuenta aportado, el sistema automáticamente invalida la contratación del correspondiente producto. (El subrayado es de la AEPD) Añadió que para mayor seguridad en la identificación del potencial cliente, con carácter previo a la finalización del proceso de contratación OK MONEY remite un código al número de móvil facilitado por el potencial cliente para que éste introduzca el código en la plataforma de contratación antes dar por terminada la contratación del producto SEXTO: OK MONEY no ha facilitado - pese a que se le requirió expresamente por la Inspección de la AEPD- ningún documento que acredite el consentimiento prestado por el cliente a la contratación de un microcrédito del que derivan los hechos denunciados ni la adopción de medidas para validar la identidad del contratante. SÉPTIMO: La denunciante interpuso denuncia en la Comisaría de Policía de ***LOCALIDAD.2 en fecha 01/04/2016 (Atestado ***ATESTADO.1) por los hechos que son objeto de examen en el presente expediente sancionador (Folios 11 y 12) OCTAVO: La denunciante presentó en la OMIC del Ayuntamiento de ***LOCALIDAD.2 reclamación contra la empresa OK MONEY. Aporta copia del escrito de reclamación que lleva impreso el sello de presentación en el Registro de la OMIC en fecha 04/04/2016 (Folio 13) NOVENO: OK MONEY ha aportado copia de un Oficio recibido de la Dirección General de la Policía de fecha 04/04/2016 en el que le solicitan diversa información en el marco de la investigación por un presunto delito de estafa, Atestado ***ATESTADO.1.(Folios 85 y 86) Declara que recibido el oficio de la Dirección General de la Policía “procedió de inmediato a paralizar el proceso de recobro de la deuda y notificó a EQUIFAX esta circunstancia, al objeto de que los datos personales del Cliente fueran excluidos del fichero ASNEF”. (Folios 19 y 91)>> TERCERO: OK MONEY SPAIN, S.L.U. (en adelante la recurrente) ha presentado en fecha 29 de noviembre de 2017, en esta Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 recurso de reposición en el que solicita que por la Directora de la AEPD “se declare la caducidad del procedimiento sancionador con número de referencia PS/00076/2017, procediendo al archivo del mismo sobre la base de los artículos 48 LOPD y 25.1.b de la LPACAP”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II OK MONEY SPAIN, S.L.U., (en adelante, OK MONEY o la recurrente), en su escrito de fecha 29 de noviembre de 2017 manifiesta que el procedimiento sancionador PS/00076/2017 abierto a esa entidad por la Agencia Española de Protección de Datos había caducado el 31 de septiembre de 2017. Justifica tal afirmación en el artículo 48 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), a tenor del cual los procedimientos sancionadores tendrán una duración máxima de seis meses, y en el artículo 25.1.

1. b)de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones (LPACAP), conforme al cual el vencimiento del plazo máximo de duración del procedimiento sin que se haya dictado y notificado resolución expresa producirá la caducidad. Sin embargo, la Directora de la Agencia Española de Protección de Datos dictó en fecha 25 de septiembre de 2017 la resolución sancionadora del PS/00076/2017 que fue notificada a OK MONEY el 25/09/2017. Así pues, no concurriendo la hipótesis prevista en el artículo 25.1.b de la LPACAP que se invoca por la recurrente como fundamento de su pretensión, es evidente que no se produjo la caducidad del procedimiento PS/00076/2017. Al hilo de lo anterior se ha de indicar que el artículo 40 de la LPACAP, relativo a la “Notificación”, se refiere en su apartado 4 a la hipótesis en la que se entiende “cumplida” la “obligación de notificar dentro del plazo máximo de duración de los procedimientos”. Señala esta norma que, a esos solos efectos, –esto es, que la resolución se ha notificado dentro del plazo máximo de duración del procedimiento- es suficiente “el intento de notificación debidamente acreditado”. (El subrayado es de la AEPD) La disposición indicada está en íntima conexión con el artículo 43, “Práctica de las notificaciones a través de medios electrónicos”. El apartado 3 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 de esta norma dice: “ Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única”. (El subrayado es de la AEPD) A su vez, el apartado 2 del artículo 43 de la LPACAP, en su párrafo segundo, indica que “Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido” En el supuesto que nos ocupa el “cumplimiento” de la obligación de notificar, concretado en el “intento de notificación debidamente acreditado” queda probado mediante el Certificado emitido por el servicio de la Fábrica Nacional de Moneda y Timbre, Real Casa de la Moneda, que tiene encomendado el Soporte de Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada. En él figura que el 25 de septiembre de 2017, a las 11 horas 53 minutos, se “puso a disposición” de OK MONEY, en la dirección electrónica habilitada, la citada resolución. La notificación fue rechazada automáticamente el 5 de octubre de 2017. La obligación de efectuar la notificación a través de medios electrónicos viene impuesta por el artículo 14 de la LPACAP que dispone: “En todo caso, estarán obligados a relacionarse a través de medios electrónico con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:
2. a)Las personas jurídicas…”. Así las cosas, en relación con el PS/00076/2017 que nos ocupa, toda vez que el plazo de seis meses de duración máxima de los procedimientos sancionadores (ex artículo 48 LOPD) finalizó el 30 de septiembre de 2017 y que la resolución sancionadora se había firmado y notificado a OK MONEY el 25 de septiembre de 2017, en ningún caso se ha producido la caducidad del expediente sancionador. Por último, le recordamos que las resoluciones sancionadoras son ejecutivas una vez firmes en vía administrativa (ex artículo 98.1. LPACAP) Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por OK MONEY SPAIN, S.L., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 25 de septiembre de 2017 en el procedimiento sancionador PS/00076/2017. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 SEGUNDO: NOTIFICAR la presente resolución a la entidad OK MONEY SPAIN, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
3. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es