REPOSICION-PS-00603-2022

1/31  Expediente nº.: EXP202105363 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 13/11/2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 13/11/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202105363, en virtud de la cual se imponía a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., por (…) infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

a)del RGPD, una sanción de 70.000 euros (setenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 14/11/2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00603/2022, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. El 24/11/2021 tiene entrada en la AEPD, escrito de la reclamante manifestando su sorpresa cuando al ir a solicitar un préstamo le es denegado porque sus datos de carácter personal figuran en sistemas comunes de información crediticia Asnef y Badexcug, a instancias del reclamado, como consecuencia de una deuda relacionada con una tarjeta de crédito Ikea vinculada a la entidad reclamada. SEGUNDO. Consta aportada copia del DNI de la reclamante. TERCERO. Consta aportado solicitud-contrato de crédito Ikea nº ***NÚMERO.1, de 13/01/2020, suscrito a través del establecimiento lkea Iberica, S.A., ***DIRECCIÓN.1; figuran los datos de carácter personal de la reclamante: nombre y apellidos, domicilio, nº de DNI, fecha de nacimiento, sexo, estado civil; también figuran los datos profesionales. La firma que figura no coincide con la de la reclamante. CUARTO. Consta la denuncia formulada por la reclamante ante la Comandancia de la Guardia Civil en Pinto (Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la Policía Nacional motivadas por los hechos reclamados y en los que las reclamada manifiesta además que el contrato de tarjeta Ikea, el número de móvil, la cuenta de correo electrónico, el domicilio, el número de cuenta bancaria, nombre de la empresa y la firma que figura en el citado contrato no le corresponden. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/31 QUINTO. Consta aportado por el reclamado “detalle del fichero que se remitió a ASNEF, en fecha 29 de junio del 2020” que “Al día siguiente, fue dado de alta de forma efectiva en ASNEF; por lo que el alta se realizó el día 30 de junio de 2020. Los datos de la reclamante fueron incluidos en los ficheros semanales que se remitían a ASNEF hasta el día 8 de agosto de 2020”. SEXTO. Constan aportados copia de los requerimientos de pago, de fechas 13/06/2020 y 21/06/2020, que fueron enviados a la reclamante por el reclamado en relación a la deuda existente, como paso previo a la inclusión de sus datos personales en el fichero ASNEF. SEPTIMO. El reclamado en escrito de 31/12/2021 ha manifestado que “Por lo tanto, tal como ya se ha manifestado precedentemente, CaixaBank Payments & Consumer, tan pronto tuvo conocimiento de un presunto fraude/falsificación en la contratación, procedió a la supresión/bloqueo de los datos personales de la interesada, procediendo, igualmente, a dar de baja inmediatamente a la misma en los sistemas de información crediticia”. Sin embargo, el reclamado en escrito de 14/06/2022 ha señalado que “La anterior manifestación era errónea ya que los datos de la afectada y reclamante, referentes al contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29 de julio de 2021”. OCTAVO. Consta que CaixaBank Payments & Consumer y la empresa InvestCapital Ltd. (cesionaria), formalizaron contrato elevándolo a escritura pública otorgada ante el notario de Madrid Don A.A.A., el 16/09/2021 la cesión de determinados créditos entre los que se hallaba la deuda derivada del contrato de crédito con la tarjeta Ikea Visa de fecha 13/01/2020. NOVENO. El 08/02/2022, la reclamante envió un correo electrónico al Servicio de Atención al Cliente de CPC, asunto: suplantación de identidad y en el que señalaba: “Me pongo en contacto con ustedes porque hace unos meses tuve un problema por vuestra identidad por una deuda que reclamabais a mi nombre, tratándose esta de una suplantación de identidad demostrable. Alguien solicito una tarjeta de crédito IKEA usando mi nombre y DNI, el número de solicitud de contrato es ***NÚMERO.1, con esa tarjeta retiro dinero y se me reclamo a mi esa deuda. Tras este suceso puse una denuncia por suplantación de identidad y una reclamación a la AEPD. Después de varios tramites al final se eliminó mi nombre de la lista de morosos Equifax. A día de hoy otra empresa de cobro de morosos ha intentado ponerse en contacto conmigo y reclamándome dicho pago por una tarjeta, que repito, yo no solicite y adquirieron con mi nombre y DNI. Dicha empresa se llama KRUK ESPAÑA S.L.U y ya no solo es que me esté pidiendo un cobro que no me corresponde, si no que aun así acosa a gente de mi alrededor para solicitar mis datos cuando eso no está permitido. El número de referencia es (...). Por favor, solicito que mi identidad sea eliminada de KRUK ESPAÑA así que dejen de reclamarme una deuda que no me corresponde, y si mi identidad la tiene cualquier otra empresa de cobros también solicito que se elimine, ya que este asunto me está causando muchos daños personales y laborales. A continuación, adjunto la denuncia y la reclamación realizada en su día”. El 10/2/2022 la reclamante remitía al Servicio de Atención al Cliente del reclamado email, Asunto: [EXTERNAL] SOLICITUD COMPROBANTE DEUDAS (URGENTE), indicando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/31 “Debido a problemas anteriores de suplantación de identidad por la solicitud de una tarjeta de crédito sin mi consentimiento ni permiso, Caixabank Payment&Consumer me reclamó una deuda que a día de hoy ya fue solucionada y eliminada. Por ello, me gustaría disponer de un escrito por parte de Caixabank Payment&Consumer donde conste que mi persona, B.B.B. con DNI ***NIF.1 no tiene ninguna deuda impaga ni pendiente con vosotros. Adjunto a continuación mi DNI”. Lo que motivo una serie de correos cruzados remitidos desde la cuenta: ***EMAIL.1 para ***EMAIL.2 Asunto: SOLICITUD COMPROBANTE DEUDAS (URGENTE): Re: RV: [EXTERNAL] SUPLANTACION DE IDENTIDAD En el penúltimo de los cuales, de fecha 17/05/2022, figura lo siguiente: (…) Por favor, necesitamos dar respuesta a la reclamación que os fue comunicada hace unos días por parte del buzón de Venta de Carteras. ¿Podríais indicarnos si habéis realizado alguna gestión al respecto de este expediente para ir coordinados? Necesitaríamos respuesta entre hoy y mañana para poder dar respuesta en plazo. (…)” Y en esa misma fecha figura el correo de respuesta: De: ***EMAIL.3 Enviado el: martes, 17 de mayo de 2022 12:11 Para: (…) CC: (…) Asunto: RE: [External Mail] RE: Rv: SOLICITUD COMPROBANTE DEUDAS (URGENTE): Re: RV: [EXTERNAL] SUPLANTACION DE IDENTIDAD “(…) Conforme te trasladé esta mañana, las acciones que han tenido lugar en relación con el expediente (…), Doña B.B.B., cursan del siguiente modo: • En fecha 3 y 8 de febrero de 2022 la clienta nos contacta mediante correo electrónico pidiendo que sea eliminada del fichero de morosidad e informa que la presente deuda se debe a una suplantación de identidad y que ha acudido a presentar denuncia ante la comisaria y la AEPD. En tales fechas procedimos a darle contestación solicitando nos enviase la denuncia de fraude para poder paralizar las acciones de recobro. • En fecha 16 de marzo de 2022 nos facilitasteis correo electrónico del cliente en donde solicita documentación e información del caso adjuntando denuncia de fraude. Dimos contestación al cliente en fecha 09/03/2022 con dicha información y documentación del caso e indicamos que se paralizan las acciones de recobro, a la espera de la Sentencia judicial que confirme el hecho de que ha sufrido un fraude. • Por lo que a fecha de hoy el expediente se encuentra paralizado por presunto fraude a espera de Sentencia. • Por último, en fecha 28/04/2022 recibimos burofax con reclamación de la AEPD, de la cual hemos notificado a nuestro DPO para que se encargue de gestionarla. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/31 DECIMO. Consta aportada la imagen grafológica de la firma de la solicitante de la tarjeta Ikea que no coincide con la firma de la reclamante. DECIMOPRIMERO. Ikea en escrito de 07/01/2021 ha manifestado que “…las funciones de IKEA y del personal de IKEA se limitan al cumplimiento de la función de auxiliar de “CAIXABANK P&C” para la tramitación administrativa de la documentación relativa a las solicitudes de financiación” (…) A estos efectos, y tal y como se puede comprobar en la documentación obrante en el expediente, en concreto en la referida, solicitud- contrato de crédito, la entidad responsable de la contratación del crédito y, en su caso, la entidad responsable del tratamiento de los datos personales de los clientes que solicitan financiación es CAIXABANK P&C. En este sentido, hemos de señalar que existe un Acuerdo marco de colaboración entre CAIXABANK e IKEA celebrado en fecha 16 de diciembre de 2020 mediante el cual: IKEA tratará los datos personales a los que tenga acceso como Encargado del Tratamiento únicamente conforme a las instrucciones de CAIXABANK PAYMENTS & CONSUMER. Estas instrucciones comprenden las siguientes tareas: • El auxilio en la tramitación administrativa de la documentación relativa a las solicitudes de financiación y de suscripción de un seguro ofrecido por CAIXABANK PAYMENTS & CONSUMER consistente en: • La entrega de la información precontractual requerida por la normativa de crédito al consumo • La gestión de la documentación en papel necesaria para a formalización de la solicitud de financiación y su digitalización para el envío al Responsable del tratamiento a través de los equipos de este”. (…)“ DECIMOSEGUNDO. CGI en relación con el asunto CERTIFICADO DE ENVIO CPC, ha señalado en escrito de 01/03/2023: Que la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la información facilitada por el reclamado …, para su impresión (Fichero: (…); Sobre: XXXX) y posterior puesta a disposición del distribuidor postal que se encargó de su envío a la dirección: ***DIRECCIÓN.2 Una vez efectuado el proceso establecido y desde la puesta a disposición en CORREOS, consta que no ha habido incidencia y tampoco devolución alguna de dicha carta hasta la fecha”. DECIMOTERCERO. En los sistemas informáticos del reclamado figuran registrados los datos de la reclamante: nombre y apellidos, domicilio, nº DNI, nº móvil, dirección correo electrónico, nº cuenta bancaria, fecha de nacimiento, antigüedad en la empresa, ingresos mensuales (figura sin nomina), etc. DECIMOCUARTO. En relación con la cuenta aportada por la contratante ING BANK NV SUCURSAL EN ESPAÑA en escrito de 23/072023 ha señalado que “La cuenta ***CUENTA.1 fue contratada telefónicamente por Doña C.C.C. en fecha 06 de septiembre de 2018. ING envió un mensajero a su domicilio postal para verificar la identidad de la titular y para entregar el “Welcome Pack” que contenía las Condiciones particulares de contratación para la apertura de la cuenta Nómina mencionada, tal y como consta en el siguiente pantallazo (…) La ratificación de la contratación fue recibida por ING en fecha 20 de septiembre de 2018. Las Condiciones particulares de contratación de Cuenta Nómina y el albarán se adjuntan…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/31 DECIMOQUINTO. En relación con el domicilio aportado por la contratante, el Ayuntamiento de Madrid, Departamento de Cartografía, Unidad Técnica de Callejero, en escrito de 07/08/2023 ha señalado que “Actualmente no existe ningún vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por lo tanto tampoco el número 75 de esta vía”. DECIMOSEXTO. El reclamado en escrito de 14/03/2023 ha confirmado la suplantación de la reclamante manifestando que “sólo la utilización de un sistema creado con el ánimo de estafar a la Entidad impidió que ésta pudiera detectar la falsificación de la documentación entregada por la solicitante del crédito, quien, en su caso, suplantó la personalidad de la hoy reclamante, provocando los hechos que motivaron, en su día, la reclamación presentada por la misma ante esa Agencia y la apertura de las presentes actuaciones”. TERCERO: La parte recurrente ha presentado en fecha 14/12/2023, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente, en las alegaciones formuladas durante el procedimiento y, además, su disconformidad con la resolución emitida ya que la deuda que accedió al fichero era cierta vencida y exigible por falta de pago, siendo requerida de pago; que cuando se cedió la deuda no se tenía conocimiento alguno del uso fraudulento de los datos de la reclamante por tercero y que no se pude hacer recaer la responsabilidad sobre el reclamado de la suplantación de la identidad; vulneración del principio non bis in ídem y la ausencia de culpabilidad del reclamado. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a VII, de la Resolución recurrida, tal como se transcribe a continuación: “II Los hechos denunciados se materializan en la inclusión de los datos de carácter personal de la reclamante en sistemas comunes de información crediticia a instancias del reclamado, en relación a una deuda relacionada con la solicitud de una tarjeta de crédito IKEA vinculada con el reclamado, que la reclamante manifiesta no haber suscrito, así como la cesión de la deuda a la empresa InvestCapital Ltd., quien a su vez incluyo lo datos en ficheros de morosidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/31 El RGPD en su artículo 5 establece los principios que deben presidir el tratamiento de los datos personales, y en su apartado 1 señala que: “1. Los datos personales serán:
a)tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y transparencia>>). (…)” Y en su apartado 2, establece que: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>).” Por otra parte, el artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/31 identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece que: “1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando se cumplan los siguientes requisitos:
a)Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta o interés.
b)Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes.
c)Que el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe. La entidad que mantenga el sistema de información crediticia con datos relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo bloqueados los datos durante ese plazo.
d)Que los datos únicamente se mantengan en el sistema mientras persista el incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de la obligación dineraria, financiera o de crédito.
e)Que los datos referidos a un deudor determinado solamente puedan ser consultados cuando quien consulte el sistema mantuviese una relación contractual con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera solicitado la celebración de un contrato que suponga financiación, pago aplazado o facturación periódica, como sucede, entre otros supuestos, en los previstos en la legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/31 Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.
a)del Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud del afectado.
f)Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya consultado el sistema informe al afectado del resultado de dicha consulta. 2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento de los datos referidos a sus deudores, tendrán la condición de corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del Reglamento (UE) 2016/679. Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud. 3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los supuestos en que la información crediticia fuese asociada por la entidad que mantuviera el sistema a informaciones adicionales a las contempladas en dicho apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de calificación crediticia”. III El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/31 artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) V 1. Hay que señalar que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando acreditada ninguna de las bases de legitimación previstas en el citado artículo en relación con el tratamiento relacionado con los datos de la reclamante. 2. El reclamado llevó a cabo el tratamiento de los datos de la reclamante sin legitimación alguna pues no se han respetado las garantías que prevé el artículo 20 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/31 la LOPDGDD, dado que la deuda no era cierta, vencida ni exigible, deuda que no correspondía a la reclamante al derivarse de una contratación fraudulenta. El Dictamen 757/2017 del Consejo de Estado, emitido en el expediente relativo al anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal, dispone en cuanto a la licitud de una ponderación del interés legítimo hecha en un texto normativo lo siguiente: “Sin perjuicio de cuanto acaba de observarse, ante la indudable conveniencia de garantizar el máximo grado de seguridad jurídica posible ofreciendo a los operadores ciertas guías en su actuación, sin perjuicio de respetar la aplicabilidad directa del Reglamento Europeo y, en todo caso, con el objetivo de asegurar su efecto útil, el Consejo de Estado desea apuntar, como solución alternativa, la posibilidad de introducir por vía legislativa, en casos puntuales, simples presunciones iuris tantum favorables a la prevalencia del interés legítimo del responsable del tratamiento cuando se cumplan determinados requisitos o condiciones. Esta solución podría resultar conforme a la flexibilidad en la ponderación de intereses y al principio de responsabilidad proactiva del responsable del tratamiento que, como se indicó, persigue la nueva regulación comunitaria. Asimismo, la previsión de simples presunciones salvo prueba en contrario tendría encaje en la jurisprudencia analizada, que prohíbe establecer en una norma nacional el resultado de la citada ponderación "con carácter definitivo (...), sin permitir un resultado diferente", obstáculo que la solución alternativa aquí propuesta permitiría, en principio, evitar.” Siguiendo esta previsión, la LOPDGDD introduce una presunción «iuris tantum» de prevalencia del interés legítimo del responsable del tratamiento en algunos supuestos determinados, entre ellos, el relativo al tratamiento de los datos en sistemas de información crediticia. Así las cosas, cuando se observen las garantías que el art. 20 de la LOPDGDD prevé, el tratamiento podrá presumirse lícito al amparo del artículo 6.1.
f)del RGPD, sin perjuicio de que la legitimidad deba ser valorada caso a caso y sin perjuicio de que el responsable pueda realizar la ponderación legalmente exigible cuando no se cumplan las citadas garantías, como aclara el preámbulo de la ley al recoger: “En el Título IV se recogen «Disposiciones aplicables a tratamientos concretos», incorporando una serie de supuestos que en ningún caso debe considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe apreciar, en primer lugar, aquellos respecto de los que el legislador establece una presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de tratamientos cuando no se cumplen estrictamente las condiciones previstas en el texto, si bien en este caso el responsable deberá llevar a cabo la ponderación legalmente exigible, al no presumirse la prevalencia de su interés legítimo.” Entre las citadas garantías, el artículo 20 de la LOPDGG contempla la consistente en que “los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o mediante un procedimiento alternativo de resolución de disputas vinculante entre las partes” (art. 20.1.
b)RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/31 Y como se ha expuesto, en este caso, la deuda no correspondía a la reclamante, por lo que no era cierta, ni vencida ni exigible al resultar inexistente, por lo que no puede ser aplicable la presunción de licitud prevista en el citado artículo 20, debiendo la parte reclamada realizar su propia ponderación al no resultar aplicable la ponderación hecha legalmente. Sin embargo, en este caso no consta que la parte reclamada haya realizado tal ponderación y en consecuencia que sus intereses legítimos prevalezcan sobre los intereses, derechos y libertades de la parte reclamada. Así en este caso, en fecha 16/12/2020 el reclamado e IKEA formalizaron Acuerdo de colaboración en virtud del cual “IKEA tratará los datos personales a los que tenga acceso como Encargado del Tratamiento únicamente conforme a las instrucciones del reclamado”. En la página web de Ikea se relaciona la documentación que es necesaria presentar para solicitar la tarjeta Visa Ikea: documento identificativo, un recibo bancario original con el nombre del titular, número de cuenta para la domiciliación y original de un justificante de ingresos. El responsable de la contratación del crédito y del tratamiento de los datos personales de los clientes que solicitan financiación es el reclamado, en el procedimiento establecido para la formalización de un contrato de crédito para obtener la tarjeta Ikea, el empleado/vendedor de Ikea utiliza una aplicación instalada en la tableta digital que está conectada a los sistemas informáticos del reclamado; de esta forma, los datos obtenidos son remitidos de manera inmediata a los sistemas informáticos del reclamado para su verificación, análisis y tramitación ante dicha mercantil, no conservando Ikea en cumplimiento del acuerdo suscrito ninguna documentación al respecto ni ningún dato de carácter personal. Pues bien, la firma que figura en el DNI y la que consta en el contrato aportado no coinciden; además, el reclamado tiene una serie de datos socioeconómicos que no consta que se le facilitaran durante la contratación; como así consta en el informe de actuaciones “El reclamado no ha aportado documentación que acredite la anterior información socioeconómica que consta en sus sistemas”. Entre esa documentación figura el número de cuenta en la que se domiciliaron los pagos; según la FAQs (Frequently Asked Questions o preguntas frecuentes) de financiación: ¿Qué requisitos existen para solicitar mi Tarjeta? Solo tienes que presentar:  Un documento identificativo como el DNI o pasaporte  Un recibo bancario original con tu nombre y número de cuenta para la domiciliación.  Original de un justificante de ingresos: • Última nómina • Autónomos, gerentes y administradores: último IRPF o trimestre • Pensionistas: hoja de revalorización de la pensión Si eres cliente de CaixaBank solo necesitas tu DNI/NIE y tu tarjeta de crédito o débito para tramitar tu solicitud. Sin embargo, dicha documentación que el solicitante debe aportar ni figura ni le consta a la reclamada, es decir, no fue aportada pues no hay que olvidar que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/31 reclamante no era la titular de la cuenta bancaria según consta en los hechos probados. El vendedor de Ikea, teniendo al solicitante presente físicamente en el establecimiento comercial debe proceder a identificar al cliente a través de su documento de identidad. Posteriormente, teniendo al cliente delante realiza una fotografía de su documento de identidad con la tableta digitalizadora y solicita datos personales adicionales, datos de tipo socioeconómicos (situación laboral, ingresos mensuales, pagas, cargo, Profesión, empresa, etc.) e introduce la información en el sistema. Por último, la aplicación cuenta con un proceso de firma a través de la tableta digitalizadora y los datos obtenidos son remitidos de manera inmediata a los sistemas informáticos del reclamado para su verificación, análisis y tramitación ante dicha mercantil. Pues bien, tal y como manifiesta la reclamante tanto en reclamación ante la AEPD como en su denuncia ante la Comandancia de la Guardia Civil en Pinto (Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la Policía Nacional, nunca estuvo en el citado centro comercial por lo que nunca pudo suscribir el contrato de tarjeta Ikea y ni aportar los datos contenidos en el mismo; tal es así que el número de móvil, cuenta de correo electrónico, domicilio, número de cuenta bancaria, empresa y firma que figuran en el citado contrato no le corresponden. De lo anterior se desprende la actuación negligente de la reclamada que no procedió a realizar las verificaciones oportunas ni a comprobar que la documentación necesaria para la contratación había sido remitida por el establecimiento de IKEA. En relación con el nº de cuenta aportada, ING BANK NV SUCURSAL EN ESPAÑA en escrito de 23/072023 ha señalado que la citada cuenta fue contratada telefónicamente por persona que no es la reclamante el 06/09/2018. Y en relación con la firma estampada en el contrato no se corresponde con la firma de la reclamante. A este respecto, el T.S. en sentencia de 13/12/2021, nº 1.456/2021 y en relación con la contratación de un microcrédito y la diligencia desplegada, señalaba en su Fundamento Segundo “Respecto de la primera cuestión (falta de diligencia en la actuación) en el recurso de casación se reiteran las alegaciones que la entonces demandante hizo en el proceso de instancia, en el sentido de que Dineo Crédito, S.L. adoptó todas las medidas necesarias y oportunas, desde el punto de vista de la protección de datos personales, para tramitar la solicitud de microcrédito (registro en la plataforma; validación del DNI: con verificación de doble factor de 2 algoritmos que garantizan tanto la veracidad del número y la letra del documento como que el solicitante tiene en su poder el DNI, por original o copia; validación del número de teléfono móvil a través de un código PIN, validación de datos bancarios y validación de la tarjeta de crédito/débito aportada por el solicitante); y pese a la adopción de tales medidas, se podría haber cometido el delito de suplantación de identidad, de estafa y/o de uso indebido de documento verdadero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/31 Pues bien, hemos visto que el fundamento jurídico cuarto de la sentencia de instancia da cumplida respuesta a tales alegaciones. Señala allí la Sala de la Audiencia Nacional que en la resolución sancionadora se analiza de manera detallada el mecanismo de verificación de identidad del solicitante del crédito que Dineo Crédito, S.L. tenía establecido y queda de manifiesto su insuficiencia. Así, con el denominado "registro en la plataforma", trámite en el que se recaban del cliente determinados datos (entre ellos, el número de D.N.I., dos teléfonos y el correo electrónico) únicamente se demuestra que desde ese momento existe un tratamiento de datos personales, pero se ignora es si los datos facilitados por el cliente y recogidos por Dineo, son de la persona que los facilita como suyos o de un tercero. En cuanto a la fase que la recurrente denomina de "validación del DNI" (un algoritmo que permite determinar si el DNI facilitado por el cliente se corresponde o no con un DNI real o válido), tal medida únicamente demuestra que se trata de un número de documento que existe y que "alguien" es titular de ese DNI. Por su parte, la llamada "validación del número de móvil", que consiste en el envío al terminal móvil del contratante de una clave o pin de cuatro cifras que, posteriormente, el cliente debe introducir en el formulario al que accede desde la página web de Dineo, únicamente acredita que quien pretende contratar con Dineo, tiene acceso a ese número de móvil, pero nada dice sobre la identidad del contratante. La fase del procedimiento de contratación del préstamo denominada "validación de datos bancarios", que consiste en verificar si la cuenta bancaria "es real" y está asociada efectivamente a una cuenta bancaria, es también irrelevante desde el punto de vista del respeto a las obligaciones impuestas por la normativa de protección de datos, pues sólo asegura el buen fin del préstamo, esto es, que el importe prestado se dirigirá a una cuenta abierta y activa, pero nada aporta en cuanto a que el titular de esa cuenta sea precisamente la persona que figura en el DNI utilizado. Y, por último, la fase denominada validación de la "tarjeta de crédito", consistente en que se carga en ella un céntimo que automáticamente resulta reintegrado, no consta que en el caso que nos ocupa se llevara a cabo, al no aparecer en los registros informáticos de la recurrente. En definitiva, ninguna de las medidas adoptadas por la recurrente está destinada a acreditar que la persona que solicita el microcrédito coincide con el titular del DNI aportado. Y, en efecto, continua explicando la sentencia recurrida, las pruebas practicadas en la vía administrativa vinieron a poner de manifiesto que, respecto de la línea de teléfono facilitada cuando se solicitó el crédito, ni el nombre, apellidos y NIF del titular de la línea coinciden con los datos personales del denunciante (titular del DNI); y en relación con la cuenta bancaria que figura en los registros de Dineo, a la que se habría transferido el importe del micro préstamo, los datos del titular de la cuenta en la fecha de la contratación del crédito tampoco coinciden con los datos personales del denunciante. Ni siquiera el titular del móvil y el de la cuenta bancaria son la misma persona. Estas apreciaciones de la Sala de instancia sobre la insuficiencia de las medidas adoptadas en el procedimiento de contratación on line, y, en definitiva, sobre falta de diligencia en la actuación por la recurrente, en modo alguno han quedado desvirtuadas en casación, donde la representación de Dineo Crédito, S.L. ha reiterado las manifestaciones que hizo en el proceso de instancia pero nada ha aportado que sirva para rebatir las conclusiones de la Sala sentenciadora. En fin, compartimos el parecer de la Sala de la Audiencia Nacional acerca de la insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/31 contratación. A las consideraciones que se exponen en la sentencia recurrida, que compartimos y hacemos nuestras, únicamente añadiremos dos observaciones: En primer lugar, las medidas de verificación aplicadas por la recurrente parecen enteramente encaminadas asegurar el buen fin del préstamo, pero, en cambio, se desentienden enteramente del objetivo de verificar la veracidad y exactitud de los datos, y, en particular, de comprobar que quien solicita el crédito es precisamente quien dice ser. De este modo, en cualquier caso en el que un tercero utilice indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los datos personales del titular del documento, aunque éste hubiese denunciado en su día ante las autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar que ese resultado se produzca. En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí es exigible a dicha empresa contratante, como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la implantación de medidas de control tendentes a verificar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado. Por lo demás, en concordancia con lo que llevamos expuesto, también compartimos el parecer de la Sala de la Audiencia Nacional (fundamento jurídico quinto de la sentencia recurrida) en lo que se refiere a la vulneración de la exigencia de exactitud y veracidad de los datos (principio de calidad de datos recogido en el artículo 4.3 LOPD puesto en relación con el artículo 29 de la misma Ley Orgánica y el artículo 38 del Reglamento aprobado por Real Decreto 1.720/2007, de 21 de diciembre), al haber incorporado la recurrente a sus sistemas informáticos, dando luego traslado de ello al fichero de solvencia patrimonial Asnef, datos personales del denunciante asociados a una deuda que no era cierta, vencida ni exigible ya que el denunciante no había contratado el microcrédito”. Y como ocurre en el supuesto analizado por la citada sentencia, en este caso la reclamada tampoco verificó de forma diligente la veracidad y exactitud de los datos, y, en particular, que quien solicitaba el crédito era precisamente quien decía ser. A mayor abundamiento, consta en los hechos probados que la empresa CGI en escrito de 01/03/2023 y en relación con el envío del requerimiento de pago a la reclamante que “la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la información facilitada por el reclamado …, para su impresión (Fichero: RECINFENV20200620.PDF; Sobre: 1347) y posterior puesta a disposición del distribuidor postal que se encargó de su envío a la dirección: ***DIRECCIÓN.2 Una vez efectuado el proceso establecido y desde la puesta a disposición en CORREOS, consta que no ha habido incidencia y tampoco devolución alguna de dicha carta hasta la fecha”, es decir, se da por bueno que la carta llegó a su destinatario cuando el propio Ayuntamiento de Madrid, a través de la Unidad Técnica del Callejero en escrito de 07/08/2023 ha señalado que “Actualmente no existe ningún C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/31 vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por lo tanto tampoco el número 75 de esta vía” . Por lo que se trata de otro elemento que debió ser tenido en cuenta por la reclamada a la hora de verificar la certeza de la información facilitada en el momento de la contratación. 3. El reclamado, manifiesta que ante la posibilidad de que se hubiera producido suplantación en la identidad de la reclamante y el consiguiente tratamiento de sus datos de manera ilegitima, los dio de baja bloqueando sus datos. De esta forma en escrito de 14/03/2023 el reclamado confirmaba que “sólo la utilización de un sistema creado con el ánimo de estafar a la Entidad impidió que ésta pudiera detectar la falsificación de la documentación entregada por la solicitante del crédito, quien, en su caso, suplantó la personalidad de la hoy reclamante, provocando los hechos que motivaron, en su día, la reclamación presentada por la misma ante esa Agencia y la apertura de las presentes actuaciones”. No obstante, en su respuesta de fecha 14/06/2022 al requerimiento efectuado por este centro directivo indicaba que la deuda de la tarjeta Visa Ikea ascendió a 690,25 € y que el 29/06/2020 remitió al fichero ASNEF la información pertinente y que, al día siguiente, 30/06/2020, los datos de la reclamante fueron dados de alta en el fichero de solvencia patrimonial ASNEF de forma efectiva al ser incluidos en los ficheros semanales que se remitían hasta el día 20/08/2020. Y que “De conformidad con el procedimiento de comunicación de altas y bajas a sistemas de información crediticia, los datos fueron dados de baja del fichero ASNEF de forma efectiva en fecha 11 de agosto del 2021”. Es decir, los datos de la reclamante fueron incluidos en los ficheros llamados comúnmente de morosos el 30/06/2020 y dados de baja de forma efectiva en fecha 11/08/2021. Por tanto, los datos de la reclamante durante el periodo en el que estuvieron contenidos en el citado fichero continuaron siendo tratados hasta su baja efectiva por el reclamado de manera ilegitima, al no constar acreditada base legal alguna para su tratamiento, por no resultar aplicable la presunción de licitud contemplada en el artículo 20.1 puesto que la deuda ni era cierta, ni vencida ni exigible al no constar acreditada la contratación de la tarjeta Ikea con la reclamante. 4. A mayor abundamiento, consta en los hechos probados que el reclamado en escrito de 31/12/2021 manifestaba “CaixaBank Payments & Consumer, tan pronto tuvo conocimiento de un presunto fraude/falsificación en la contratación, procedió a la supresión/bloqueo de los datos personales de la interesada, procediendo, igualmente, a dar de baja inmediatamente a la misma en los sistemas de información crediticia”. Pero, en escrito posterior de 14/06/2022 manifestaba “La anterior manifestación era errónea ya que los datos de la afectada y reclamante, referentes al contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29 de julio de 2021”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/31 Por tanto, el reclamado no procedió a la baja de los datos en los ficheros de morosos ni al bloqueo de los datos porque tuviera conocimiento de la supuesta suplantación de la personalidad de la reclamante y un presunto fraude en la contratación, sino que la baja en los ficheros vino motivada porque el crédito fue objeto de cesión mediante contrato de compraventa formalizado en Madrid, ante el notario Don A.A.A. con la empresa Invest Capital Ltd., en fecha 16/09/2021, mercantil que a su vez incluyo los datos en el fichero. Por tanto, como se señalaba con anterioridad la actuación del reclamado supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo 20.1 de la LOPDGDD, infracción del principio de licitud en el tratamiento de los datos que requiere la existencia de una base legal que lo legitime; infracción que ocasionó que los datos de la reclamante fueran incluidos en los sistemas de información crediticia sin que la deuda fuera cierta, vencida y exigible y sin que el reclamado haya acreditado haber realizado la ponderación legalmente establecida, y en consecuencia sin que conste que sus intereses legítimos prevalezcan sobre los intereses, derechos y libertades de la reclamante, infracción tipificada en el artículo 83.5.
a)del RGPD. VI En alegaciones a la Propuesta de Resolución el reclamado ha alegado su disconformidad con la misma, alegando que: 1. La inexistencia de infracción del artículo 6.1 del RGPD, puesto que la presunta infracción tiene como origen el engaño ejercido sobre la persona del vendedor suplantando maliciosamente la identidad de la reclamante en el momento de validad su identidad como solicitante físicamente presente en el establecimiento comercial. El artículo 8.1 de la LOPSC establece que el DNI “es el único documento con suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y los datos personales de su titular” y que la comprobación por parte del encargado del reclamado de la identidad del interesado en el momento de la solicitud-contratación de la tarjeta se considera licito y necesario para contratar. Según el diccionario de la Real Academia de la Lengua Española (RAE) define el término “identificación” como “acción y efecto de identificar o identificarse” y el término “identificar” como “Reconocer si una persona o cosa es la misma que se supone o se busca.” El término “identidad” (en su segunda acepción) como “conjunto de rasgos propios de un individuo o de una colectividad que los caracterizan frente a los demás” En definitiva, la obligación de “identificar” que recae sobre el vendedor del prescriptor se traduce en “reconocer” si los datos de identidad, esto es, los elementos o rasgos que caracterizan la persona que pretende suscribir la solicitud-contrato de la tarjeta (nombre, apellidos, número del documento identificativo y naturaleza del documento e incluso su imagen física) son los que figuran en el “documento” “acreditativo de la personalidad”. Como se señalaba en el punto 2 del fundamento V, de conformidad con el Acuerdo suscrito entre el reclamado e IKEA, el vendedor teniendo al solicitante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/31 presente físicamente en el establecimiento comercial procede a identificarlo a través de su documento de identidad. Pues bien, sorprende que el reclamado señale que se actuó con la diligencia necesaria ya que tiene implantados en sus procesos de contratación medidas de verificación de la identidad basándose en el DNI, resultando paradójico que el vendedor teniendo delante al solicitante y requiriéndole el DNI a fin de verificar su identidad mediante la comprobación visual de los elementos y rasgos que caracterizan la persona que pretendía contratar, no se diera cuenta que no era la misma. Por tanto, no se trata como intenta argüir el reclamado de un error invencible, sino de una falta de negligencia que hubiera sido superada si se hubieran adoptado las medidas necesarias y oportunas que hubieran inducido a concluir que la persona que acudió al establecimiento comercial no era aquélla que decía ser y cuyo documento portaba, lo que además resulta chocante a la luz de los hechos acreditados en el procedimiento: la firma no se correspondía con la existente en el DNI y aun así el empleado, como se señalaba anteriormente, procedió a efectuar el registro de la imagen grafológica de la firma en los sistemas de la entidad, la afirmación de la propia entidad que ha señalado que no se realizó una correcta identificación de la persona, por lo que estamos ante un comportamiento de una negligencia grave, fácilmente vencible si se hubieran adoptado los protocolos y cautelas adecuadas, pues ni coincidían las firmas, ni existía el domicilio aportado, ni se presentó la documentación necesaria para acreditar que el número de cuenta bancaria que se aportaba correspondía a la contratante. No se trata de que las personas que intervienen en la identificación de los posibles clientes tengan dificultades por el hecho de no ser especialistas para detectar dichas suplantaciones; lo racional es que se adopten las medidas apropiadas y cautelas adecuadas y necesarias para que dichas incidencias no tengan lugar. La A.N. en sentencia de 01/10/2012 señala que: “Aplicando la anterior normativa al supuesto enjuiciado, resulta que ha quedado acreditado, y no desvirtuado mediante prueba en contrario, que se suscribió un contrato mercantil de distribución, por parte de la entidad actora y en el que figuraban datos personales de la denunciante, concretamente su nombre, apellidos y su DNI, pero sin que correspondieran a la misma ni su supuesto domicilio, ni su supuesto número de teléfono y tampoco su dirección de email. Contrato que carece de firma alguna y cuya formalización ha sido negada por tal denunciante. Habiendo sido asimismo probado que, una vez impagada la factura generada por los servicios derivados del referido contrato, Avon Cosmetics incluyó el nombre y número de DNI de la referida denunciante en el fichero de morosidad Asnef. Se trata en definitiva de que la entidad actora inició una relación comercial con una tercera persona sin control ni supervisión suficiente en cuanto no fue capaz de detectar que realmente, la persona que estaba manifestando su voluntad de contratar, no era quien decía ser. Tal y como deriva del referido RGPD, AVON, en cuanto responsable del tratamiento, y a pesar de sus extensas argumentaciones de la demanda, no ha sido ser capaz de demostrar que la denunciante había dado su consentimiento a la operación de tratamiento de sus datos personales. De haber tomado AVON las necesarias precauciones, a fin de asegurarse de la identidad la persona contratante, para lo que hubiera sido bastante verificar algún tipo de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/31 infracción del artículo 6.1 del RGPD imputada por la AEPD. En definitiva, al no haberse actuado con la necesaria diligencia, se trataron los datos de la afectada sin contar con su consentimiento, lo que supone una vulneración de tal esencial principio de licitud, dado que tampoco concurre en el supuesto ninguna de las circunstancias excepcionales que eximirían de la necesidad de dicho consentimiento. De todo lo cual deriva que los hechos descritos revisten entidad suficiente para ser tipificados como infracción grave del artículo 86.5 del RGPD. No es posible apreciar, por otra parte, el error invencible que insistentemente se invoca en la demanda, pues además de que el mismo debe demostrarse ( STS de 23 de junio de 2014) en definitiva, como ya se ha indicado, y sin perjuicio del fraude cometido, lo cierto es que no existió diligencia suficiente por parte Avon Cosmetics ni en el momento de incluir los datos de la denunciante en sus bases informáticas, ni en el momento de notificar los mismos al fichero de solvencia patrimonial y crédito. Sin que tampoco pueda tomarse en consideración, por último, la invocada ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad "a título de dolo o culpa", no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito administrativo es más flexible que en el derecho penal, y así, conforme a reiterada Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia exigible ( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas), diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon Cosmetics. De todo lo cual deriva que la sanción impuesta a la entidad actora en tal resolución combatida resulta ajustada a derecho y proporcionada, por lo que la misma ha de ser confirmada”. Por otra parte, en cuanto a la opinión desfavorable de la AEPD a la iniciativa planteada de la posibilidad de utilizar datos de reconocimiento facial en el momento de alta de los clientes, se debe señalar que cualquier tratamiento de datos de carácter personal debe contar con una base de legitimación, debiendo atenderse al caso concreto y la posible injerencia en el derecho a la protección de datos, y al cumplimiento de los principios recogidos en el art. 5 del RGPD, entre ellos los principios de licitud y de minimización de datos. 2. La vulneración de la doctrina de los actos propios al archivarse reclamaciones similares en las que existe identidad de hechos y sujetos a los del presente procedimiento entre ellos el EXP2022022936. Sin embargo, la cuestión invocada por el reclamado nada tienen que ver con la vulneración de la doctrina de los actos propios y debe ser desestimada. En primer lugar, el citado expediente se dirigía contra KRUK ESPAÑA S.L. al serle reclamada a la interesada una deuda cuyo acreedor original era el ahora reclamado (CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.), siendo la reclamante la misma persona que interpone la reclamación que dio lugar al presente procedimiento por infracción del articulo 6.1 RGPD en relación con el artículo 20 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/31 Como se señalaba en el punto 4 del fundamento anterior el reclamado y la entidad INVESTCAPITAL, LTD formalizaron contrato de compraventa de cartera de créditos en Madrid, ante el notario Don A.A.A. en fecha 16/09/2021, entre el que se encontraba el de la reclamante, remitiendo a esta carta informando sobre dicha cesión del derecho de crédito. A su vez la entidad KRUK, en su condición de encargado del tratamiento, prestaba a InvestCapital, responsable del tratamiento y acreedor actual, los servicios de recuperación de deuda. Como consta en los hechos probados la reclamante remitió correos electrónicos en el que solicitaba saber si constaba como deudora en sus sistemas y que no era titular de la citada deuda, indicándole haber sufrido una suplantación de identidad respecto a la contratación de la tarjeta de CaixaBank, por lo que solicitaba la supresión de sus datos. En fecha 09/03/2022 KRUK respondió a la reclamante confirmando el importe de la deuda. Respecto a la solicitud de supresión de los datos, KRUK le indicaba que no podían atenderlo ya que el nuevo acreedor (InvestCapital) tenía constancia de la deuda, pero que, dado que había aportado indicios de posible fraude al haber denunciado a la policía una suplantación de identidad, KRUK le informaba que acordaba paralizar el expediente hasta tener evidencias de la suplantación de identidad que permitiera cerrar definitivamente el expediente. Y además, olvida el reclamado que el tratamiento de los datos de la reclamante efectuados por InvestCapital, en su condición de responsable del tratamiento y, KRUK, en su condición de encargado del tratamiento, en tanto que es fruto de la adquisición de un paquete de deudas al reclamado (CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.) confiaban en la apariencia de veracidad de los créditos cedidos y dado que en el tratamiento efectuado se produce como adquirente de buena fe, no puede ser constitutivo de una infracción del artículo 6.1 del RGPD. Todo lo contrario del reclamado cuya actuación es contraria al principio de licitud consagrado en el artículo 6.1 del RGPD; tratamiento se inicia con la contratación fraudulenta de la tarjeta de crédito Ikea nº ***NÚMERO.1, de fecha 13/01/2020, suscrito en el establecimiento lkea Iberica, S.A., de ***DIRECCIÓN.1 y que es permanente en el tiempo con la posterior inclusión de los datos de la reclamante en el fichero Asnef por una deuda que no le correspondía, desde 30/06/2020 hasta el 11/08/2021, baja que es consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29/07/2021. Esta manera de proceder es contraria al artículo 6.1 del RGPD y encuentra su tipificación en el artículo 83.5.
a)del RGPD. 3. También alega el reclamado la ausencia de culpabilidad en su actuación y que nadie puede ser condenado o sancionado sino por hechos a título de dolo o culpa. La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que el elemento subjetivo o culpabilístico es una condición indispensable para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/31 que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” En definitiva, la conducta del reclamado, concretada en la infracción del principio de licitud, en relación con el artículo 20 de la LOPDGDD, al incluir los datos de carácter personal de la reclamante en sistemas comunes de información crediticia sin base de legitimación, ya que la reclamante no podía ser la contratante de la tarjeta Ikea, vulnera el artículo 6.1 del RGPD, actuación subsumible en el tipo sancionador del artículo 83.5.
a)del RGPD 4. Por último, alega el reclamado proporcionalidad en la imposición de la sanción. la vulneración del principio de El artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasoria”. Las multas por tanto según se deduce del precepto han de ser efectivas, proporcionadas y disuasorias para la consecución de la finalidad pretendida por el RGPD. Es cierto, que para que dicho sistema funcione con todas sus garantías es necesario que varios elementos se desplieguen de forma íntegra y completa. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/31 aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en cada uno de los Estados miembros aplicando su derecho nacional, ya sea por circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que las multas impuestas por distintas infracciones dejarían de ser efectivas, proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme del RGPD. Se disminuirían los mecanismos de protección de los derechos y las libertades de los ciudadanos y sería contrario con el espíritu del RGPD. El RGPD está dotado de su propio principio de proporcionalidad que ha de ser aplicado en sus estrictos términos. En cuanto al principio de proporcionalidad de las sanciones, la Audiencia Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras. Pues bien, de conformidad con las circunstancias que concurren en el presente caso la presente resolución no vulnera el principio de proporcionalidad en la determinación de las sanciones impuestas, resultando ponderada y proporcionada a la gravedad de la infracción cometida, la importancia de los hechos, así como las circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5 del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Pues bien, la entidad es una gran empresa dentro de su sector de actividad; en el año 2021 (último ejercicio presentado) tuvo ventas superiores a los 750 millones de euros y un resultado de ejercicio de más de 218 millones de euros. VI A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/31 Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/31
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
a)y artículo 6.1 del RGPD (inclusión de deuda en ficheros de morosos), de la que se responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto afectan a un principio básico relativo al tratamiento de los datos de carácter personal, como es el de legitimidad, que la norma sanciona con la mayor gravedad; el nivel de los perjuicios sufridos por la reclamante que afectan a su solvencia económica al habérsele denegado un préstamo como consecuencia de que sus datos personales figuraban en sistemas comunes de información crediticia a instancias del reclamado en relación con una deuda procedente de una tarjeta de crédito Ikea que ascendía a 690,25 € vinculada con el reclamado, siendo dados de alta el 30/06/2020 y figurando hasta el 11/08/2021, al ser dados de baja por el reclamado, como consecuencia de la cesión de la deuda a la mercantil Invest Capital Ltd (artículo 83.2.
a)del RGPD). La actividad de la entidad presuntamente infractora está vinculada con el tratamiento de datos de carácter personal tanto de clientes como de terceros. En la actividad de la entidad reclamada es imprescindible el tratamiento de datos de carácter personal por lo que, dado volumen de negocio de la misma la transcendencia de la conducta objeto de la presente reclamación es innegable (artículo 76.2.
b)de la LOPDGDD en relación con el artículo 83.2.k). La intencionalidad o negligencia en la infracción, pues el reclamado incluyo los datos en ficheros de morosos sin que la deuda cumpliera los requisitos del artículo 20.1 de la LOPDGDD y sin efectuar la necesaria ponderación. Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
b)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/31 La entidad investigada es una gran empresa dentro de su sector de actividad y en el año 2021 (último ejercicio presentado) tuvo unas ventas de 752.310.000 € y un resultado de ejercicio de 218.701.000 € según datos Axesor (artículo 83.2.
k)del RGPD). VII Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
a)a j). Al haberse confirmado la infracción, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. En el presente caso, se requiere al reclamado para que en el plazo de seis meses a partir de la notificación de la presente resolución: - Acredite la adopción de medidas adecuadas para evitar que en el futuro se produzcan incidencias como las que han provocado la apertura del presente procedimiento sancionador evitando incidentes como el señalado al tratar datos de carácter personal en sistemas de información crediticia, sin legitimación alguna de las contempladas en el artículo 6.1 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. III El recurrente en su escrito de recurso manifiesta su disconformidad con lo señalado en la Resolución recurrida en relación con la vulneración del artículo 6.1 del RGPD y ha realizado las siguientes alegaciones: En primer lugar, insiste el reclamado el tratamiento de los datos personales de la deudora tanto en la cesión como en el tratamiento de éstos por la cesionaria del crédito (InvestCapital Ltd), encuentra su base jurídica en el artículo 6.1 RGPD y que cuando se realizó la cesión no tenía conocimiento alguno del posible uso fraudulento de los datos de la reclamante, siendo posteriormente a la citada venta cuando conoció de la suplantación de identidad y que por tal motivo no existe culpabilidad. Sin embargo, tal alegato no puede ser admitido; la entidad reclamada es la responsable del tratamiento, quien decide sobre el tratamiento de los datos personales de los interesados, los fines y los medios de dicho tratamiento y de aplicar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales con motivo de dicho tratamiento; además, debe asegurarse que el tratamiento responde a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/31 los principios consagrados en el artículo 5 del RGPD y, como sucede en el presente caso, del principio de licitud. Pues bien, el reclamado no ha acreditado el mecanismo o protocolo que verifique la identidad del solicitante del crédito y se le recuerda al recurrente que no ha desvirtuado ninguna de las cuestiones recogidas en la Resolución con respecto a la forma de acreditar la identidad y el motivo de que no le conste la documentación que era necesaria para llevar a cabo la contratación. El responsable de la contratación del crédito y del tratamiento de los datos personales de los clientes que solicitan financiación es el reclamado, en el procedimiento establecido para la formalización de un contrato de crédito para obtener la tarjeta Ikea, el empleado/vendedor de Ikea utiliza una aplicación instalada en la tableta digital que está conectada a los sistemas informáticos del reclamado; de esta forma, los datos obtenidos son remitidos de manera inmediata a los sistemas informáticos del reclamado para su verificación, análisis y tramitación ante dicha mercantil, no conservando Ikea en cumplimiento del acuerdo suscrito ninguna documentación al respecto ni ningún dato de carácter personal. Pues bien, la firma que figura en el DNI y la que consta en el contrato aportado no coinciden; además, el reclamado tiene una serie de datos socioeconómicos que no consta que se le facilitaran durante la contratación; como así consta en el informe de actuaciones “El reclamado no ha aportado documentación que acredite la anterior información socioeconómica que consta en sus sistemas”. Entre esa documentación figura el número de cuenta en la que se domiciliaron los pagos; según la FAQs (Frequently Asked Questions o preguntas frecuentes) de financiación: ¿Qué requisitos existen para solicitar mi Tarjeta? Solo tienes que presentar:  Un documento identificativo como el DNI o pasaporte  Un recibo bancario original con tu nombre y número de cuenta para la domiciliación.  Original de un justificante de ingresos: • Última nómina • Autónomos, gerentes y administradores: último IRPF o trimestre • Pensionistas: hoja de revalorización de la pensión Si eres cliente de CaixaBank solo necesitas tu DNI/NIE y tu tarjeta de crédito o débito para tramitar tu solicitud. Sin embargo, dicha documentación que el solicitante debe aportar ni figura ni le consta a la reclamada, es decir, no fue aportada pues no hay que olvidar que la reclamante no era la titular de la cuenta bancaria según consta en los hechos probados. El vendedor de Ikea, teniendo al solicitante presente físicamente en el establecimiento comercial debe proceder a identificar al cliente a través de su documento de identidad. Posteriormente, teniendo al cliente delante realiza una fotografía de su documento de identidad con la tableta digitalizadora y solicita datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/31 adicionales, datos de tipo socioeconómicos (situación laboral, ingresos mensuales, pagas, cargo, Profesión, empresa, etc.) e introduce la información en el sistema. Por último, la aplicación cuenta con un proceso de firma a través de la tableta digitalizadora y los datos obtenidos son remitidos de manera inmediata a los sistemas informáticos del reclamado para su verificación, análisis y tramitación ante dicha mercantil. Pues bien, tal y como manifiesta la reclamante tanto en reclamación ante la AEPD como en su denuncia ante la Comandancia de la Guardia Civil en Pinto (Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la Policía Nacional, nunca estuvo en el citado centro comercial por lo que nunca pudo suscribir el contrato de tarjeta Ikea y ni aportar los datos contenidos en el mismo; tal es así que el número de móvil, cuenta de correo electrónico, domicilio, número de cuenta bancaria, empresa y firma que figuran en el citado contrato no le corresponden. De lo anterior se desprende la actuación negligente de la reclamada que no procedió a realizar las verificaciones oportunas ni a comprobar que la documentación necesaria para la contratación había sido remitida por el establecimiento de IKEA. En relación con el nº de cuenta aportada, ING BANK NV SUCURSAL EN ESPAÑA en escrito de 23/072023 ha señalado que la citada cuenta fue contratada telefónicamente por persona que no es la reclamante el 06/09/2018. Y en relación con la firma estampada en el contrato no se corresponde con la firma de la reclamante”. Por tanto, no se ha acreditado el mecanismo para verificar la identidad del solicitante del crédito, ¿Como es posible que teniendo delante a la solicitante de la tarjeta el suscriptor verificara la identidad de la misma sin coincidir, no solo la persona que pretendía contratar, además de ninguno de los documentos que eran necesarios para llevar a cabo la contratación? Salvo por la grave negligencia en el actuar que hubiera sido superada de haberse seguido el mecanismo o protocolo que hubiera concluido con que la persona que acudió al establecimiento comercial no era aquélla que decía ser y que el documento que portaba, no era el suyo y, para más inri, procediera a efectuar el registro de la imagen grafológica de la firma en los sistemas de la entidad; la propia entidad ha señalado que no se realizó una correcta identificación de la persona, por lo que estamos ante un comportamiento ausente de diligencia alguna. No se trata únicamente de acreditar que la contratación ha existido, el responsable debe estar en condiciones de acreditar que la contratación se realizó por la persona que dice ser quien es. - Alega igualmente el recurrente que la inclusión de los datos de la reclamante en los sistemas comunes de información crediticia fue debida a la falta de pago de la deuda correspondiente al contrato de crédito con tarjeta Ikea y que obran los requerimientos de pago remitidos a la reclamante como paso previo a la citada inclusión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/31 Se hace necesario volver a reiterar que la deuda a la que el recurrente se refiere procedía de un contrato que la reclamante no había suscrito como consta acreditado en el procedimiento, por lo que la deuda vinculada a la citada tarjeta de crédito Ikea no podía ser cierta, vencida ni exigible al no corresponder a la reclamante. Para más inri y en cuanto a los requerimientos de deuda remitidos a la reclamante, figura en los hechos probados que no han sido desvirtuados por el recurrente, que la empresa CGI mediante escrito de 01/03/2023 remitido a la reclamante “la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la información facilitada por el reclamado …, para su impresión (Fichero:(…); Sobre: XXXX) y posterior puesta a disposición del distribuidor postal que se encargó de su envío a la dirección: ***DIRECCIÓN.2 Y que realizado el proceso establecido para su remisión y desde la puesta a disposición en CORREOS, que no se había recibido incidencia alguna y tampoco devolución de dicha carta; se daba por aceptado y admitido que la carta había llegado a su destinatario cuando el Ayuntamiento de Madrid, a través de la Unidad Técnica del Callejero en escrito de 07/08/2023 ha establecido que “Actualmente no existe ningún vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por lo tanto tampoco el número 75 de esta vía”. ¿Cómo es posible admitir que la carta de requerimiento llego a su destinatario si la dirección de envío era inexistente? El recurrente llevó a cabo el tratamiento de los datos de la reclamante sin legitimación alguna pues no se han respetado las garantías que prevé el artículo 20 de la LOPDGDD, dado que la deuda no era cierta, vencida ni exigible, deuda que no correspondía a la reclamante al derivarse de una contratación fraudulenta. Por tanto, incluyó los datos de la reclamante en sistemas de información crediticia sin haber acreditado diligencia en la contratación, por lo que resulta responsable de la inexactitud de los datos, al haber incluido en el fichero datos de una deuda que no correspondía a la reclamante. Además, comunicó los datos de la reclamante al vender una cartera de créditos siendo la deuda inexistente - Alega igualmente el reclamante la vulneración del principio non bis in ídem; señala que la AEPD ya se ha pronunciado sobre dichos hechos en el Exp.202202936 cuya Resolución dictada el 14/06/2022 acordaba el archivo de las actuaciones. Sin embargo, el citado alegato tampoco puede ser aceptado; en el Exp.202202936 se analizaban unos hechos puestos de manifiesto por la reclamante en febrero de 2022 en reclamación dirigida contra KRUK. En el citado expediente manifestaba la reclamante que “La empresa KRUK ESPAÑA SL ha accedido a mis datos personales, como domicilio, número de teléfono y correo electrónico sin yo haber dado consentimiento ninguno para que esta empresa trate mis datos. Me reclaman una deuda a CaixaBank Payment&Consumer la cual ya ha sido denunciada por suplantación de identidad hace más de 6 meses, fruto de lo cual esta empresa retiro la deuda. En el falso contrato de la tarjeta de crédito pedida a mi nombre además no aparecen ninguno de mis datos reales, solo el nombre y el dni. Por lo tanto esta empresa, KRUK ESPAÑA SL, ha tenido que acceder a mis datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/31 personales de alguna manera ilícita ya que yo no di ningún consentimiento para que ellos accedieran. Como resultado, KRUK ESPAÑA SL me está reclamando una deuda que ya no existe con llamadas telefónicas y acoso a mí y mis familiares.” KRUK, prestaba a InvestCapital servicios de recuperación de deuda, actuando como encargado del tratamiento. La deuda reclamada, cuyo acreedor original fue el recurrente, derivaba de la contratación fraudulenta de la tarjeta de crédito con IKEA. No hay que olvidar que el 29/07/2021 InvestCapital, Ltd., adquirió los derechos de crédito de una cartera de deuda de la recurrente, pasando InvestCapital, Ltd., a ostentar la posición de acreedor. Los días 3 y 8/02/2022, la interesada remitió dos correos electrónicos a KRUK, en el primero de los cuales solicitaba saber si ella constaba como deudora en sus sistemas, y en el segundo, le indicaba que ella no era titular de dicha deuda, que todo era fruto de una suplantación de su identidad respecto a la contratación de la tarjeta con el ahora recurrente solicitando la supresión de sus datos, y además le informaba que había denunciado dicha circunstancia a la policía y a la AEPD. Ninguna de estas denuncias se dirigía contra KRUK o InvestCapital. KRUK respondió a la reclamante confirmando el importe de la deuda e informando de la cesión de la deuda, junto con copia del contrato de tarjeta de crédito original suscrito con la recurrente y los movimientos de la tarjeta. Respecto a la solicitud de supresión de los datos, KRUK le indicaba que de momento no se podían suprimir puesto que el acreedor (InvestCapital) tenía constancia de la deuda, pero dado que había aportado indicios de posible fraude al haber denunciado a la policía una suplantación de identidad, KRUK le informó que acordaba paralizar el expediente temporalmente hasta obtener evidencias de la suplantación de identidad que permitan cerrar definitivamente el expediente. Por tanto, la resolución de archivo tan solo entró a examinar la actuación y legitimidad de KRUK en cuanto al tratamiento de datos de la reclamante, pero en ningún caso en el citado expediente se analizó ni cuestiono la actuación de la recurrente. Señalábamos anteriormente que el 29/07/2021 InvestCapital, Ltd., adquirió los derechos de crédito de una cartera de deuda de la recurrente, pasando InvestCapital, Ltd., a ostentar la posición de acreedor remitiendo a los deudores carta informando sobre dicha cesión del derecho de crédito. El recurrente respondió al traslado de la reclamación de la reclamante de 13/11/2023 indicando en escrito de 31/12/2021 que "tan pronto como tuvo conocimiento del presento fraude en la contratación, procedió a la supresión/bloqueo de los datos personales de la afectada, y procediendo igualmente a dar de baja sus datos de los sistemas comunes de información crediticia". Si bien, en escrito posterior de 14/06/2022 manifestaba “La anterior manifestación era errónea ya que los datos de la afectada y reclamante, referentes al contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/31 consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha 29 de julio de 2021”. Por tanto, como así se señala en la Resolución recurrida el reclamado no procedió a la baja de los datos en los ficheros de morosos ni al bloqueo de los datos porque tuviera conocimiento de la supuesta suplantación de la personalidad de la reclamante y un presunto fraude en la contratación, sino que la baja en los ficheros vino motivada porque el crédito fue objeto de cesión mediante contrato de compraventa formalizado en Madrid, con la empresa InvestCapital Ltd., en fecha 16/09/2021. InvestCapital, como acreedor, nunca dio de alta a la interesada en ningún sistema de información crediticia, tal responsabilidad recae únicamente sobre el recurrente que fue quien informó la inclusión de los datos de carácter personal de la reclamante en los ficheros ASNEF y BADEXCUG, por una deuda ilícita ya que no cumpla ninguno de los requisitos del artículo 20.1 de la LOPDGDD. El tratamiento de los datos llevado a cabo por InvestCapital, Ltd., como responsable del tratamiento, y por KRUK ESPAÑA S.L., en su condición de encargado del tratamiento, es fruto de la adquisición del paquete de deuda, créditos supuestamente impagados procedentes del recurrente y, quienes confiando en la apariencia de veracidad de los créditos cedidos, llevaron a cabo un tratamiento de datos provocado como adquiriente de buena fe, no pudiendo ser constitutivo dicha conducta constitutiva de infracción del artículo 6.1 del RGPD. Comportamiento que no es predicable del recurrente cuya conducta es contraria al principio de licitud consagrado en el artículo 6.1 del RGPD; tratamiento se inicia con la contratación fraudulenta de la tarjeta de crédito Ikea nº ***NÚMERO.1 y que persiste con la posterior inclusión de los datos de la reclamante en el fichero Asnef por una deuda que no le correspondía, desde 30/06/2020 hasta el 11/08/2021, baja que se produce como consecuencia del mencionado contrato de cesión de créditos de fecha 29/07/2021. Por tanto, como se señalaba con anterioridad la actuación del reclamado supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo 20.1 de la LOPDGDD, infracción del principio de licitud en el tratamiento de los datos que requiere la existencia de una base legal que lo legitime; infracción que ocasionó que los datos de la reclamante fueran incluidos en los sistemas de información crediticia sin que la deuda fuera cierta, vencida y exigible y sin que el reclamado haya acreditado haber realizado la ponderación legalmente establecida, y en consecuencia sin que conste que sus intereses legítimos prevalezcan sobre los intereses, derechos y libertades de la reclamante, infracción tipificada en el artículo 83.5.
a)del RGPD. - Por último, insiste el recurrente en la ausencia de responsabilidad y culpabilidad en su actuación y que nadie puede ser condenado o sancionado sino por hechos a título de dolo o culpa. Ya en la resolución recurrida se le señalaba al ahora recurrente que la responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/31 el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A la luz de este precepto, la responsabilidad sancionadora puede exigirse a título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del deber de cuidado. El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas. A propósito de la culpabilidad de la persona jurídica cabe citar la STC 246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente de forma distinta a como se hace respecto de las personas físicas y añade que “Esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz [...]” En definitiva, la conducta del reclamado, concretada en la infracción del principio de licitud, en relación con el artículo 20 de la LOPDGDD, vulnera el artículo 6.1 del RGPD, actuación subsumible en el tipo sancionador del artículo 83.5.
a)del RGPD IV En consecuencia, en el presente recurso la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 13/11/2023, en el expediente EXP202105363. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/31 SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.