REPOSICION-PS-00280-2018

(0176)que ha de introducir en el proceso de solicitud. El usuario puede enviar la solicitud de crédito únicamente sí el código es correcto. El usuario introdujo el citado código por lo que se validó el envío de la solicitud de préstamo. CUARTO: Llegada la fecha de vencimiento del préstamo (02/04/2018) no se efectuó el pago por lo que se generó una deuda a nombre de la denunciante por importe de 298,51 €. QUINTO: NBQ remitió a la denunciante carta de fecha 03/04/2018 en la que se le requiere el pago de un préstamo de 225 € solicitado en fecha 28/02/2018, y carta de la misma fecha en la que se le requiere el pago de 310,74 €. SEXTO: En fecha 12/04/2018 la Guardia Civil remitió correo electrónico a NBQ solicitando información con motivo de la denuncia presentada por la denunciante por la presunta suplantación de su identidad en la solicitud de un préstamo. En esa fecha NBQ facilitó la información y procedió a bloquear los datos de la denunciante en su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 sistema de información marcando su ficha de cliente con la etiqueta de “Fraude” para que no fueran objeto de tratamiento.” TERCERO: NBQ TECHNOLOGY, S.A.U. (en lo sucesivo el recurrente) ha presentado en fecha 7 de enero de 2019, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en alegaciones ya formuladas en el procedimiento sancionador cuya resolución es objeto del presente recurso. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al IV ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 <<II Se imputa a NBQ el tratamiento sin consentimiento de los datos personales de la denunciante utilizados para solicitar y contratar un préstamo que ésta niega haber solicitado, lo cual podría suponer una vulneración del artículo 6.1 de la LOPD. Recordar que en los sistemas de NBQ constan los datos personales de la denunciante (nombre y apellidos y DNI) asociados a un préstamo por importe de 225 € solicitado en fecha 28/02/2018 (12:01) con un importe a devolver de 298,51 € en el plazo de 33 días. Figuran asimismo los datos de email (***EMAIL.1), cuenta bancaria XXXX XXXX XXXX XXXXXXXXXX, teléfono ***TELEFONO.2 y dirección ***DIRECCION.2 (estos dos últimos datos, teléfono y dirección, son distintos de los consignados como propios por la denunciante en su denuncia ante la Guardia Civil). La solicitud y contratación del referido préstamo se efectuó de forma electrónica y online, sin presencia física, haciendo uso de un proceso de contratación a distancia que se inicia con la solicitud de préstamo efectuada a través del formulario de recogida de datos incluido en el sitio web www.quebueno.es. En este formulario se introdujeron datos personales de la denunciante tales como su nombre y apellidos y DNI, junto a otros datos que, se acredita, no son suyos, tales como la línea móvil ***TELEFONO.2 y dirección ***DIRECCION.2 ***DIRECCION.2, y con otros tales como dirección de correo electrónico (***EMAIL.1) y cuenta bancaria (XXXX XXXX XXXX XXXXXXXXXX) cuya titularidad se desconoce. A este respecto NBQ acredita el protocolo implementado para validar la identidad del cliente que introduce los datos en el formulario de solicitud y posteriormente contrata el préstamo, que incluye los siguientes aspectos en el caso de la contratación del préstamo objeto de denuncia: - Se verifica que letra del DNI es correcta, que corresponde a su nombre y que el nombre completo facilitado y que se devuelve a través de la consulta realizada a través de diferentes fuentes o medios de información, coincide con el nombre completo del solicitante. - Se verifica que la cuenta bancaria es válida en un banco español. - Se verifica: C/ Jorge Juan, 6 28001 – Madrid o que no hay múltiples usuarios siendo la misma persona para evitar que los datos personales de una misma persona puedan utilizarse en varias solicitudes. Se comprobó que no había otras solicitudes en las que se hubieran incluido datos personales usados en la solicitud de la denunciante. o que desde el mismo dispositivo se hubiera efectuado otra solicitud de crédito a nombre de la denunciante (no se daba el caso en la solicitud a nombre de la denunciante) o que la solicitud no se haga desde otro dispositivo una vez rechazada desde un primero (no se daba el caso en la solicitud a nombre de la denunciante) o que el dato que del nombre y apellido que el solicitante introduce en el formulario de contratación tiene similitud con el dato del e-mail www.agpd.es sedeagpd.gob.es 7/12 introducido en el formulario. Tal similitud existe entre el nombre de la denunciante y la dirección de correo electrónico aportada. - Se verifica que el móvil existe y que está en posesión del solicitante. Así, se envía al móvil ***TELEFONO.2 a través de SMS un código de cuatro dígitos (se envió el código 0176) que el usuario introdujo en el proceso de solicitud con lo cual el sistema le permitió continuar con la solicitud de préstamo. - Se verifica que el e-mail ***EMAIL.1 e existe y que está en posesión del solicitante. Para ello se envía un email con los Términos y Condiciones Particulares del contrato de concesión de préstamo con un link para Aceptar estos términos. Únicamente se concede la financiación si el solicitante ha verificado su email. En el presente caso, en fecha 28/02/2018 (12:05 PM), se remite un correo electrónico a la dirección ***EMAIL.1 con el asunto: “Tu préstamo ha sido aprobado hasta 225,0 euros”, que contiene las condiciones particulares del contrato que se detallan: El tratamiento de los datos personales de un tercero exige contar con el consentimiento previo e inequívoco de su titular, exigencia de la que se dispensa al responsable del fichero, cuando el tratamiento en cuestión se refiera a las partes de un contrato o precontrato y sea necesario para su mantenimiento o cumplimiento, (artículo 6 LOPD). En el presente caso, NBQ aporta los campos que fueron solicitados en el formulario de contratación para ser cumplimentados con los datos de la denunciante e indica que los mismos fueron cumplimentados efectivamente con los datos personales del solicitante en el formulario de contratación, pero no acredita que dichos datos fueron aportados por la propia la denunciante por cuanto el protocolo descrito anteriormente para acreditar la identidad del solicitante del préstamo (en este caso de la denunciante) en modo alguno cumple dicho objetivo por cuanto, en esencia, se limita a determinar si el DNI y cuenta bancaria facilitados son válidos, si la dirección de correo electrónico tiene similitud con el nombre y apellidos del solicitante, y si se ha recibido en el móvil facilitado el SMS en el que se envía el código para continuar con la solicitud, y si se ha recibido y abierto el e-mail remitido a la dirección de correo electrónico facilitada, así como si se han aceptado las condiciones del contrato mediante el click en el enlace adjunto que se remite. Ninguno de estos mecanismos acredita que fue la denunciante quien solicitó y contrató el préstamo, por cuanto únicamente ponen de manifiesto que los datos personales consignados en el formulario online, (DNI y cuenta bancaria), existen, así como que se enviaron SMS y correo electrónico a un móvil (***TELEFONO.2) y a una dirección de correo (***EMAIL.1) que en modo alguno identifican a la denunciante como titular de los mismos. Así pues, NBQ aporta información sobre la “Máquina de riegos (CRE)”, y explica los servicios en que se basa o aporta la información que el usuario cumplimenta como el campo del código PIN que se genera, en este caso el nº 0176 y que se envía al solicitante para que pudiera incluirlo en el formulario de contratación, pero nada acredita con ello la entidad NBQ, ya que el código generado es enviado a un número de teléfono del cual NBQ no puede acreditar la titularidad con otra prueba que no sea la mera constancia del mismo introducido por “alguien” en sus sistemas, pero que no acredita haya sido la denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 En el mismo sentido, NBQ aporta los emails que el formulario de contratación genera y entre los que se encuentra el email que se envía al usuario bajo el asunto: “Solicitud aprobada, revisa y acepta las condiciones particulares del contrato” y se incluye un enlace con las “condiciones particulares" del crédito que el cliente debe expresamente. En este sentido, se aporta la trazabilidad de la información correspondiente al email, pero con ello no acredita, tanto que el email al cual se envía la información fuera proporcionado por la denunciante, como que fuera titular del mismo, pudiendo ser cualquier otra persona que realiza la contratación utilizando alguno de los datos de la denunciante (nombre y apellidos y DNI), como así sucedió. Examinadas las alegaciones y pruebas obrantes en el expediente se verifica la falta de diligencia de NBQ en la contratación del referido préstamo por cuanto no ha aportado prueba alguna que acredite la identidad e identificación de la persona solicitante como la titular de los datos personales utilizados en dicha contratación, por lo que cabe concluir que, en su condición del responsable del fichero al que se incorporaron los datos personales del afectado, NBQ es responsable de la infracción del artículo 6 de la LOPD. III El artículo 44.3.

1. b)de la LOPD considera infracción grave: “
2. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo. En este caso, NBQ ha incurrido en la infracción descrita ya que ha vulnerado el principio del consentimiento consagrado en el artículo 6.1 de la LOPD, al tratar los datos personales de la denunciante sin su consentimiento utilizados para solicitar y contratar un préstamo, hecho que encuentra su tipificación en el artículo referido 44.3.
3. b)de la citada Ley Orgánica. IV El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
4. a)El carácter continuado de la infracción.
5. b)El volumen de los tratamientos efectuados.
6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
7. d)El volumen de negocio o actividad del infractor.
8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12
9. f)El grado de intencionalidad.
10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” La Sentencia de 21/01/2004 de la Audiencia Nacional, en su recurso 1939/2001, señaló que dicho precepto <<…no es sino manifestación del llamado principio de proporcionalidad (artículo 131.1 de la LRJPAC), incluido en el más general de la prohibición de exceso, reconocido por la jurisprudencia como principio general del Derecho. Ahora bien, la presente regla debe aplicarse con exquisita ponderación y sólo en los casos en los que la culpabilidad y la antijuridicidad resulten sustancialmente atenuadas, atendidas las circunstancias del caso concreto. Lo cual insistimos puede darse, por excepción, en casos muy extremos (de aquí la expresión “especialmente cualificada”) y concretos. En lo que respecta a la falta de perjuicios causados a la denunciante, la Audiencia Nacional, en Sentencia de 19/10/2005, declara que “Los perjuicios directamente causados o beneficios obtenidos por la entidad recurrente son circunstancias que no admiten ser incluidas dentro de los que deben ser objeto de valoración al amparo de lo previsto por el artículo 45 de la LO 15/1999”. Conforme a los hechos probados en el expediente se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, habida cuenta de concurrir la circunstancia recogida C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 en el apartado
19. b)del referido art. 45.5 de la LOPD, por cuanto se regularizó la situación el mismo día en que tuvo conocimiento de la existencia de una presunta suplantación de la identidad de la denunciante utilizando sus datos en la contratación del préstamo objeto de denuncia, y con anterioridad a recibir requerimiento de información por parte de esta Agencia. En cuanto a la graduación de la sanción, conforme a los criterios que establece el art. 45.4 de la LOPD debe concluirse que operan como circunstancias agravantes de la conducta que se enjuicia: - El apartado
20. a)“El carácter continuado de la infracción” por cuanto el tratamiento sin consentimiento de los datos de la denunciante se verificó desde fecha 28/02/2018 hasta fecha 12/04/2018 en la cual NBQ procedió a bloquear los datos de la denunciante en su sistema de información marcando su ficha de cliente con la etiqueta de “Fraude” para que no fueran objeto de tratamiento, con motivo de la recepción de un correo electrónico de la Guardia Civil solicitando información con motivo de la denuncia presentada por la denunciante por la presunta suplantación de su identidad en la solicitud de un préstamo. - El apartado
21. c)“La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal” ya que la actividad empresarial de la denunciada exige un continuo tratamiento de datos de carácter personal. - El apartado
22. d)“El volumen de negocio o actividad del infractor”, toda vez que estamos ante una de las principales empresas del sector. - El apartado
23. g)“Reincidencia en la comisión de infracciones de la misma naturaleza”, habida cuenta que la entidad ha sido sancionada por la AEPD por vulneración del artículo 6.1 de la LOPD al tratar datos personales sin el consentimiento previo de su titular. - El apartado
24. j)“Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora” toda vez que el protocolo utilizado al realizar el tratamiento de los datos de carácter personal en el proceso de alta no garantiza la identificación del cliente, por lo que es susceptible de producir situaciones de fraude. En atención a los hechos y fundamentos de derecho anteriores procede imponer a NBQ una multa de 40.000 € por la infracción del artículo 6.1 de la LOPD.>> III En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por NBQ TECHNOLOGY, S.A.U. contra la Resolución de esta Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 de Datos dictada con fecha 4 de diciembre de 2018, en el procedimiento sancionador PS/00280/2018. SEGUNDO: NOTIFICAR la presente resolución a la entidad NBQ TECHNOLOGY, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
25. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
26. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es