1/10 Procedimiento PS/181/2018 Resolución del Recurso de Reposición Nº RR/775/2018. Examinado el recurso de reposición interpuesto por la entidad NBQ TECHNOLOGY SAU (NBQ), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/181/2018, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 10/10/18 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/181/2018, por la que se acuerda Imponer a la entidad NBQ, una multa de de 64.000 EUROS (SESENTA Y CUATRO MIL EUROS) por infracción de los artículos 6.1 y 4.3 de la LOPD, (32.000 euros por cada infracción), de conformidad con lo establecido en el artículo 45 de la citada Ley, Argumentándolo en que: “la entidad NBQ aporta protocolo implementado para validar la identidad del cliente que accede a su página web, entre los que se encuentra, por ejemplo, el envío de SMS con el código de identificación, o el email con el link para aceptar las condiciones de contratación. Además, y según indica la entidad NBQ, la descripción completa del proceso de contratación ha sido puesto a disposición de la AEPD en el marco del Plan de Inspección Sectorial que la AEPD está actualmente realizando a las entidades que conceden préstamos, pero en este caso eso no significa que no haya existido infracción por parte de la entidad a la LOPD. El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6 LOPD). NBQ aporta los campos que fueron solicitados en el formulario de contratación para ser cumplimentados con los datos del Sr. A.A.A. e indica que los mismos fueron cumplimentados efectivamente con los datos personales del solicitante en el formulario de contratación, pero no acredita que dichos datos fueron aportados por el propio Sr. A.A.A. o con su consentimiento. NBQ también aporta información sobre la “Máquina de riegos (CRE)”, y explica los servicios en que se basa o aporta la información que el usuario cumplimenta como el campo del código PIN que se genera, en este caso el nº 3019 y que se envía al solicitante para que pudiera incluirlo en el formulario de contratación, o el dato del equipo de expedición del DNI, pero nada acredita con ello la entidad NBQ, ya que el código generado y enviado a un número de teléfono, no justifica que haya sido el proporcionado por el Sr. A.A.A., ni tampoco la inclusión del en el formulario del número del equipo de expedición del DNI del cliente, ya que no se relaciona mediante ningún algoritmo con el nombre o con número identificativo del DNI. Se aportan también los emails que el formulario de contratación genera y entre los que se encuentra el email que se envía al usuario bajo el asunto: “Solicitud C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/10 aprobada, revisa y acepta las condiciones particulares del contrato” y se incluye un enlace con las “condiciones particulares" del crédito que el cliente debe expresamente. En este sentido, se aporta la trazabilidad de la información correspondiente al email pero con ello no acredita que el email al cual se envía la información sea el proporcionado por el Sr. A.A.A., pudiendo ser cualquier otro, como pudiera haber sido el suministrado por la persona que realiza la contratación con los datos del Sr. A.A.A.. Se aportan los SMS que se generan y son remitidos a los usuarios que solicitan un crédito a través del formulario de contratación, entre los que se encuentra el enviado con el código PIN que posteriormente debe introducir en el formulario para continuar con su solicitud de crédito. Dicho código fue enviado, recibido correctamente en el teléfono móvil indicado en el formulario de contratación por el denunciante y a su vez incluido también correctamente en dicho formulario, pero nada acredita que el número de teléfono indicado en el formulario fuera el del Sr. A.A.A., pudiendo ser cualquier otro, como el de la persona que realiza la contratación con los datos del Sr. A.A.A. No obstante, se constata la falta de diligencia de NBQ al tiempo de la contratación de los servicios controvertidos por cuanto no ha aportado prueba alguna que acredite la identidad e identificación de la persona solicitante como la titular del dato personal. Identidad que pudo hacerse por el DNI en formato físico o electrónico o certificado electrónico sustitutorio (previsto en la página web de la compañía). Por otra parte, NBQ aporta, en el periodo de alegaciones a la incoación del expediente, copia de la carta de requerimiento previo de pago que remite, el 13/12/17 al denunciante, a la dirección que posee en su base de datos; aporta certificado expedido por EQUIFAX IBÉRICA que acredita la generación, impresión y puesta en el servicio de envíos postales de la carta de requerimiento de pago dirigida al denunciante a su dirección; certifica que no existe constancia de que sobre dicha carta se haya producido su devolución y aporta copia del documento acreditativo del gestor postal CORREOS en el que figura la remisión de la carta, en nombre de NBQ, sin individualizar y validada por el gestor postal. Los datos del Sr A.A.A. son incluidos en el fichero de solvencia patrimonial ASNEF y BADEXCUG el 04/01/18 Y 07/01/18, respectivamente, 22 días después del envío del requerimiento previo de pago. Cuando la entidad NBQ tiene conocimiento de la reclamación del denunciante, a través de EQUIFAX, el 03/03/18, procede a regularizar la situación y a resolver el contrato del crédito, dando de baja datos personales del denunciante del fichero ANEF el 05/03/18. La baja de los datos personales del fichero BADEXCUG fue realizada el 12/02/18, como consecuencia del derecho de cancelación de los mismos, ejercido el 02/02/18, por el propio Sr. A.A.A. ante dicho fichero. No obstante, aunque la entidad NBQ acredita el envío de la carta de requerimiento previo de pago al denunciante, a la dirección que posee en su base de datos cumpliendo los requisitos establecidos legalmente, al haberse acreditado la infracción del artículo 6.1 por un tratamiento inadecuado de los datos personales del denunciante en la contratación fraudulenta de un crédito a su nombre imposibilita, per se, la inclusión de los datos personales en los ficheros de solvencia patrimonial y crédito atendiendo a lo establecido en el artículo 38.1.
- a)del RLOPD, donde se indica: “1. Sólo será posible la inclusión en estos ficheros de datos de carácter personal que sean determinantes para enjuiciar la solvencia económica del afectado, siempre que C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/10 concurran los siguientes requisitos:
- a)Existencia previa de una deuda cierta, vencida, exigible, que haya resultado impagada y respecto de la cual no se haya entablado reclamación judicial, arbitral o administrativa, o tratándose de servicios financieros, no se haya planteado una reclamación en los términos previstos en el Reglamento de los Comisionados para la defensa del cliente de servicios financieros, aprobado por Real Decreto 303/2004, de 20 de febrero”. SEGUNDO: Dicha resolución, que fue notificada a la entidad recurrente, con fecha 23/10/18, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. TERCERO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de lo siguiente: A).- Respecto de los acontecimientos acaecidos en la contratación del crédito: 1º.- El 20/09/17, a través de la página web www.quebueno.es, se solicita un crédito de 225 euros, a nombre del Sr. A.A.A., a devolver en un solo pago el 29/09/17. Llegado el día de vencimiento, la devolución del crédito no tuvo lugar. 2º.- El 13/12/17, NBQ envió carta de requerimiento previo de pago a la dirección contractual facilitada en el formulario de contratación. Se aporta el certificado emitido por SERVINFORM. S.A., en el que se acredita el envío de la comunicación individualizada; se aporta el albarán de entrega debidamente sellado y validado por el servicio de Correo y se adjunta acreditación de la no devolución emitida por la entidad EQUIFAX. 3º.- El 04/01/18, los datos personales del Sr. A.A.A., fueron incluidos en el fichero ASNEF, dados de baja del mismo el 05/03/18. 4º.- El 07/01/18, los datos personales del Sr. A.A.A., fueron incluidos en el fichero BADEXCUG y dados de baja del mismo el 12/02/18. 5º.- El 01/02/18, el Sr. A.A.A., denuncia ante la Guardia Civil “que la empresa DEENERO, utilizando mis datos ha concedido un crédito a una persona que no soy yo y depositando el dinero en una cuenta de la que no soy titular, incluyendo además los datos personales en los ficheros ASNEF y BADEXCUG. 6º.- El 05/02/18, El Sr. A.A.A., remite a EXPERIAN, solicitud de cancelación de sus datos en el fichero BADEXCUG. 7º.- El 12/02/18, EXPERIAN comunica al Sr. A.A.A., que ha procedido a la baja de sus datos personales del fichero BADEXCUG, informados por NBQ 8º.- El 23/02/18, El Sr. A.A.A., remite a EQUIFAX, solicitud de cancelación de sus datos en el fichero ASNEF. 9º.- El 05/03/18, EQUIFAX comunica al Sr. A.A.A., ha procedido a la baja de sus datos personales del fichero ASNEF informados por NBQ. 10º.- NBQ indica que no tuvo conocimiento de la reclamación del presunto fraude hasta que la entidad EQUIFAX informó de dicha situación el 26/02/17, e indica C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/10 que cuando tuvo conocimiento del presunto fraude procedió a bloquear la operación y los datos personales, marcándola en el sistema con la etiqueta de "fraud'. B).- Respecto de las operaciones realizadas en la contratación, NBQ aporta: 1º.- NBQ aporta los datos que se registraron durante el proceso de contratación del crédito a través del formularlo de recogida de datos incluido en el sitio web www.quebueno.es. 2º.- NBQ aporta información sobre la “Máquina de riegos (CRE)”, y explica los servicios en que se basa: Servicio PERSONA; Servicio DEVICE; Servicio CONECTED DEVICE; Servicio CC HOLDER SCORE y Servicio EMAIL MATCHER 3º.- NBQ aporta información sobre el “Behavíoural (comportamiento)”, que analiza la interacción del usuario durante la cumplimentación del formulario de contratación. En este sentido se aporta la información que el usuario cumplimenta como por ejemplo: el campo del código PIN que se generó 3019 y que se envió al solicitante al número de teléfono indicado en el formulario, para que pudiera incluirlo en el formulario de contratación, o el dato del equipo de expedición del DNI. 4º.- NBQ aporta los emails que el formulario de contratación genera y entre los que se encuentra el email que se envía al usuario a la dirección electrónica indicada en el formulario, bajo el asunto: “Solicitud aprobada, revisa y acepta las condiciones particulares del contrato” y se incluye un enlace con las “condiciones particulares" del crédito que el cliente debe expresamente. En este sentido, se aporta la trazabilidad de la información correspondiente al email: 5º.- NBQ aporta los SMS que se generan y son remitidos a los usuarios al número de teléfono indicado en el formulario, que solicitan un crédito a través del formulario de contratación, entre los que se encuentra el enviado con el código PIN que posteriormente debe introducir en el formulario para continuar con su solicitud de crédito. Dicho código fue enviado, recibido correctamente en el teléfono móvil indicado en el formulario de contratación y a su vez incluido también correctamente en dicho formulario. 6º.- NBQ indica que no solicita a sus clientes copia del documento acreditativo de identidad, DNI o pasaporte, para llevar a cabo la contratación, acogiéndose a los indicado en la Ley 16/2011 de 24 de junio que regula la concesión de crédito al consumo y al Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, en su artículo 4. Tampoco consta contemplado que haya protocolo de comprobación del número de teléfono y dirección de email indicado en el formulario de solicitud 7º.- La descripción completa del proceso de contratación se aporta como anexo. En ese documento se identifican todos los pasos que un usuario debe seguir así como todos los campos con datos que debe cumplimentar para poder solicitar el préstamo. Para verificar la identidad del solicitante NBQ utiliza los mecanismos establecidos en el documento denominado "Proceso de Identificación de Clientes“. Dicho documento, ha sido puesto a disposición de la AEPD en el marco del Plan de Inspección Sectorial que la AEPD está actualmente realizando a las entidades que conceden préstamos. C).- Respecto del Requerimiento Previo realizado antes de la inclusión de los datos personales del denunciante en los ficheros de solvencia patrimonial: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/10 1º.- Copia de la carta, fechada el 13/12/17 (referencia NT17120269201) que remite la entidad NBQ, a través de la entidad EQUIFAX IBÉRICA, al denunciante a la dirección indicada en el formulario y en la que se reclama el pago de la deuda contraída por importe de 393,70 euros y se advierte de que sus datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de mantenerse la situación de impago, dando un plazo de 15 días para que regularice la situación. 2).- Aporta certificado expedido por EQUIFAX IBÉRICA que acredita la generación, impresión y puesta en el servicio de envíos postales de la carta de requerimiento de pago dirigida a la denunciante a su dirección. Certifica que no existe constancia de que sobre dicha carta se haya recibido su devolución. 3).- Aporta copia acreditativa del gestor postal CORREOS en el que figura la remisión de las cartas con fecha 15/12/17, en nombre de NBQ, sin individualizar una referencia a la carta de la denunciante, validado por el gestor postal. CUARTO: La entidad NBQ ha presentado, con fecha 21/11/18, escrito de Recurso de Reposición, según sello de entrada en la oficina postal, en el cual, se alegan, entre otras, lo siguiente: “En primer lugar, la AEPD en el Acuerdo de inicio del PS indicó textualmente lo siguiente: “La entidad NBQ manifestó que la contratación se hizo a través de su página web pero no remite el “log de aceptación”. Como se puede observar, la AEPD mencionaba que NBQ no había aportado el "log de aceptación” relativo al consentimiento otorgado por el afectado para la contratación online, a distancia, del préstamo solicitado a través de la web. Pues bien, en el escrito de alegaciones contra el Acuerdo de Inicio del PS, así como en el escrito de alegaciones contra la Propuesta de Resolución del PS, NBQ Si que aportó el “log de aceptación” al que la AEPD se refirió en su Acuerdo de Inicio del PS. En este sentido, esta parte no entiende por qué no se admite el “log de aceptación" como prueba ineludible para acreditar el consentimiento del afectado para el tratamiento de sus datos, cuando precisamente la propia AEPD es la que menciona tal prueba o evidencia como forma de acreditar la contratación y, por ende, el tratamiento legítimo de los datos personales del afectado. En todo caso, esta parte vuelve a transcribir literal v textualmente el “log de aceptación” al que, insistimos, la AEPD fue quien hizo referencia al mismo entendiendo que podía ser una evidencia que demostrara el consentimiento del afectado (…). En consecuencia, entendemos que hemos aportado el “log de aceptación” que la propia AEPD indicó que serviría para poder demostrar la obtención del consentimiento y, por lo tanto, consideramos que ha quedado acreditado tal consentimiento y procede el archivo del presente procedimiento sancionador. A los efectos de una mejor comprensión de los campos del “log de aceptación" a continuación se realiza una breve explicación de lo que significa cada uno de los referidos campos que conforman el referido “log de aceptación“. Por último, y a efectos de demostrar que el “log de aceptación transcrito se corresponde con el “log" perteneciente al usuario de A.A.A., debemos fijarnos en el campo “refID: 72198581765926037619,” que aparece en el referido “log“ y que C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/10 coincide exactamente con el “refID” que se incluye en la ficha cliente perteneciente al Sr. A.A.A. (ficha cliente que se transcribe a continuación al presente escrito con el fm de comparar que el “refID” es coincidente y que están asociados a los datos personales dicho usuario). En consecuencia, expuesto todo lo anterior no cabe afirmar que NBQ no haya aportado prueba alguna al respecto de la obtención del consentimiento del usuario para el tratamiento de sus datos personales. En segundo lugar, la AEPD continuaba indicando en su Acuerdo de Inicio de PS lo siguiente: “[…] NO aporta ningún formulario o contrato suscrito por el denunciante con la compañía y avalado con firma digital (…)” A este respecto nuestro proceso de contratación online de nuestros préstamos, a través de nuestra página web www.quebueno.es, se procede a “firmar" mediante el uso de la “firma digital”. El simple hecho de que el usuario cuando solicite un préstamo en nuestra página web esté “firmando“ mediante la aceptación de un check box o casilla incluida a tales efectos en nuestro formulario de contratación, ya implica que está firmando electrónica o digitalmente. La vigente Ley de Firma Electrónica permite el uso de cualquier tipo de firma digital o electrónica, desde la firma electrónica simple, hasta la firma electrónica o digital en su modalidad más avanzada o reconocida. En todo caso, si nos vamos a la normativa europea y en concreto al Reglamento eI DAS, normativa de aplicación directa a todos los Estados miembros de la Unión Europea, en el mismo ya se establece que no se puede discriminar en cuanto al uso de un tipo u otro de firma electrónica o digital. En este sentido. lo que viene a decirnos el Reglamento eI DAS es que cualquier tipo de firma electrónica o digital es válida a todos los efectos legales, se trate de un sistema de firma electrónico o digital simple o avanzado o reconocido. En consecuencia, cuando el usuario está haciendo “click" en la casilla que tenemos habilitada en nuestro formulario de contratación online, para aceptar los términos y condiciones del contrato de préstamo, el usuario está “firmando" de forma digital o electrónica (aunque sea bajo la modalidad de firma electrónica simple). Es a todos los efectos una forma válida y aceptada en derecho de firmar digital o electrónicamente. De ahí que no pueda decirse que nuestro proceso de contratación no se encuentra avalado por ninguna firma digital cuando ello no es así. Nuestro proceso de contratación utiliza un mecanismo de firma electrónica o digital simple que consiste en la marcación de una casilla, mediante un “click“, por la que el cliente está aceptando los términos y condiciones del contrato mercantil y cuya prueba o evidencia técnica queda reflejada en el “loa de aceptación”. En tercer lugar, la AEPD menciona además de todo lo anterior lo siguiente en el Acuerdo de Inicio del PS: “[…] NO aporta la aceptación de las condiciones del contrato mercantil, solamente se transcriben los correos electrónicos enviados a la dirección ***EMAIL.1 pero no acredita que fueran recibidos ni comunicados al denunciante y NO aporta el “loa de aceptación” realizado por web". En este punto volemos a reiterar en que esta parte si ha aportado y, como prueba de ello, volvemos a transcribirlo a continuación (de igual forma que ya lo hemos hecho anteriormente en el presente escrito) el “log de aceptación” de las condiciones generales del contrato (que se genera cuando el usuario hace “click” en la casilla que está incluida en el propio formulario de contratación) como el “log de aceptación" de las condiciones C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/10 `particulares del contrato (que se genera cuando el usuario hace “click" en el enlace que se envía por correo electrónico el una vez finalizado el proceso de cumplimentación de información en el formulario de contratación) (…). De la transcripción del fichero “log de aceptación" de las condiciones particulares del contrato. es decir, de la transcripción del registro del evento en el que el usuario A.A.A. acepta expresamente la aceptación de las condiciones particulares del contrato, se acreditan claramente los siguientes extremos que denotan en última instancia la entrega, apertura y aceptación del as referidas condiciones particulares: Que el correo electrónico enviado al usuario con las condiciones particulares fue ENTREGADO de forma correcta dado que la siguiente información asi lo acredite: "delivered" : true, - Que el correo electrónico enviado al usuario con las condiciones particulares fue ABIERTO de forma correcta dado que la siguiente información así lo acredita: "opened" : true. — Que el correo electrónico enviado al usuario con las condiciones particulares fue ABIERTO v ACEPTADO en el siquiente día y hora: "opening Date" lSODate("2018-O3-16T14:37:03.508+02:00"). En consecuencia de lo anterior, resulta acreditado mediante la aportación del fichero “log” de aceptación de las condiciones particulares la efectiva contratación online a través de la web www.quebueno.es de un préstamo mercantil y, lo más importante, la RECEPCIÓN del correo electrónico con las condiciones particulares asociadas en forma de enlace al cuerpo del correo electrónico en cuestión ("delivered: true”) ¡¿ la APERTURA ¿ACEPTACIÓN del citado correo electrónico v de las condiciones particulares asociadas al mismo (“opened: true” v “opening Date: lSODate 2018-03-16T14:37:03.508+02:00"L SEGUNDA.- EXPLICACIÓN TECNICA DEL “LOG DE ACEPTACIÓN” DE NBQ QUE ACREDITA LA OBTENClÓN DEL CONSENTIMIENTO POR PARTE DEL AFECTADO. El “loq de aceptación" constituye la evidencia o prueba técnica, de la forma en cómo y en qué momento se estaban cumplimentado y aceptando, por parte del usuario, todos y cada uno de los diferentes campos del formulario online de la página web www.quebueno.es. Desde un punto de vista técnico, en el “log de aceptación” se registran todos los datos y toda la información relacionada con el usuario, que se va cumplimentando durante el proceso de contratación en el formulario ubicado en la web www.quebueno.es. Así mismo, dicho “loq de aceptación“; registra y almacena todas las aceptaciones y todos los consentimientos prestados por el respectivo usuario durante dicho proceso de contratación como prueba de aceptación, entre otras cuestiones, de las condiciones del contrato de préstamo. En general, toda la información generada y almacenada en el “log de aceptación”, derivada de las acciones realizadas por el usuario en el formulario de contratación electrónica de la página web www.quebueno.es. El “log de aceptación" constituye la prueba que acredita que dicho usuario consintió la contratación del préstamo en la mencionada web www.ouebueno.es a través del correspondiente formulario. El '*loche aceptación”, constituye igualmente la grabación secuencial en un archivo de todos los acontecimientos (eventos o acciones) que afectan a un proceso particular (en nuestro caso, todos los eventos o acciones realizadas, por parte del usuario en el formulario de contratación, durante el proceso online de solicitud del préstamo a través de la página web www.muebueno.es). De esta forma, el “log de aceptación" constituye una evidencia del comportamiento del sistema y lo que resulta C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/10 más importante, una evidencia del comportamiento del usuario durante la cumplimentación del formulario con sus datos personales y la aceptación, en su caso, de las correspondientes casillas o “check boxes" de aceptación dispuestas a lo largo del formulario de contratación de las condiciones contractuales del préstamo. En dicho “log de aceptación“, las acciones o eventos (en nuestro caso todos y cada uno de los pasos que el usuario realiza en el formulario de solicitud de préstamo cuando va introduciendo sus datos personales y, en su caso, marcando los correspondientes check boxes o casillas de aceptación de las condiciones contractuales del préstamo) quedan guardados 0 “logueados” a través de un proceso de grabación en el “log” que se denomina “!ogger” o “registradof'. Asimismo, cabe indicar que los eventos o acciones “!ogueados" vienen anotados en el “log”, entre otros, con la siguiente información: - El momento exacto (fecha, hora, minuto, segundo) en el que ocurrió el evento o acción del usuario, lo que permite analizar paso a paso la actividad. - Una o más categorízaciones del acontecimiento registrado. Por ejemplo; tal y como se puede apreciar en el “log de aceptación" de NBQ se aprecian en todos los “logs” las siguientes categorízaciones o campos (…). En definitiva, esta parte quiere poner de manifiesto que NBQ dispone del correspondiente “log de aceptación” como archivo de registro que contiene toda la información e interacción del usuario en el proceso de contratación del préstamo a través del formulario incluido en el sitio web www.quebueno.es. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II El artículo 124 de la LPACAP, establece el plazo de un mes para la interposición del recurso de reposición, si el acto fuera expreso, añadiendo el artículo 119 de la misma Ley que la resolución del recurso estimará, en todo o en parte, o desestimará las pretensiones formuladas en el mismo o declarará su inadmisión. Resaltar, en primer lugar que, en la incoación del expediente se argumentó su apertura por: “En el presente caso, la empresa NBQ, en su escrito de información, NO aporta ningún documento que acredite que el Sr A.A.A. realizó el proceso de alta; NO aporta ningún formulario o contrato suscrito por el denunciante con la compañía y avalado con firma digital, como se indica en el escrito de alegaciones; se aporta correo electrónico enviado al cliente para darse de alta pero NO aporta la aceptación de las condiciones del contrato mercantil, solamente se trascriben los correos electrónicos enviados a la dirección ***EMAIL.1 pero no acredita que fueran recibidos (abiertos) ni comunicados al denunciante y NO aporta el “log de aceptación” realizado por web”, y no exclusivamente por la “no presentación del log de aceptación” como alega la entidad denunciada. La LOPD expone en su articulado que el tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, cuando el tratamiento en C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 9/10 cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6 LOPD). En nuestro caso, NBQ aporta los campos que fueron solicitados en el formulario de contratación para ser cumplimentados con los datos del Sr. A.A.A. y asegura que los mismos fueron cumplimentados efectivamente con los datos personales del solicitante en el formulario de contratación mediante la aportación de un “log de aceptación”, pero no acredita que dichos datos fueran introducidos por el propio Sr. A.A.A. o con su consentimiento, tampoco el número indicado como “refID” indicado en las alegaciones del recurso de reposición es un dato que demuestre, que el Sr. A.A.A. realizó la contratación aunque este indicado en varios sitios. Por otra parte, el “check box o casilla incluida a tales efectos” que alega la entidad, no es firma digital reconocida. Además, los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por NBQ TECHNOLOGY SAU, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 10/10/18, en el procedimiento sancionador PS/181/2018 SEGUNDO: NOTIFICAR la presente resolución a la entidad NBQ TECHNOLOGY SAU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 10/10 C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es