1/5 Procedimiento nº.: PS/00615/2016 ASUNTO: Recurso de Reposición Nº RR/00583/2017 Examinado el recurso de reposición interpuesto por la entidad OK MONEY SPAIN SLU. (OK MONEY), contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, en el procedimiento sancionador PS/615/2016, y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 30/05/17 se dicta resolución por parte la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/615/2016, por la que se acuerda Imponer a la entidad OK MONEY, una multa de 50.000 (cincuenta mil euros), por una infracción del artículo 4.3) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (en adelante LOPD), tipificada como grave en su artículo 44.3.c). Dicha resolución, que fue notificada a la entidad recurrente, con fecha 05/06/17, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, quedó constancia en la resolución, de lo siguiente: 1º.- El 25/03/15, se solicita un crédito de 200 € a OK MONEY, con vencimiento el 24/04/
- La entidad, en su escrito, de fecha 17/10/16, remitido a la Inspección de Datos de esta Agencia, hace constar que, asociados a dicho crédito figuran los siguientes datos personales: D.D.D., DNI.- J.J.J.; IP F.F.F.; PC; I.I.I. / H.H.H.; E.E.E.; C.C.C.; calle B.B.B.. 2º.- El 10/04/15, se solicita un crédito de 400 € a OK MONEY, con vencimiento el 24/04/
- La entidad, en su escrito, de fecha 17/10/16, remitido a la Inspección de Datos de esta Agencia, hace constar que, asociados a dicho crédito figuran los siguientes datos personales: D.D.D.; DNI.- J.J.J.; IP G.G.G.; PC; I.I.I. / H.H.H.; E.E.E.; C.C.C.; calle B.B.B.. 3º.- Las impresiones de pantallas de ordenador conteniendo los mensajes enviados al solicitante de crédito por email recordándole la deuda pendiente y la posible inclusión en ficheros de morosos -que se adjunta al informe a la Inspección citado- carecen de fecha de envío y de destinatario; al igual que los que se refieren a los contactos habidos con la persona denunciante. 4º.- El 31/07/15, la entidad OK MONEY da de alta en Asnef el DNI J.J.J. del denunciante asociado a una deuda de 568 €, como avalista de un préstamo personal de 400 € (solicitado el 10/04/15 y vencido el 01/05/15). La dirección postal es: A.A.A.. 5º.- El 28/12/15, causa baja cautelar en Asnef la anotación de los datos personales del denunciante efectuada por OK MONEY, tras la solicitud de cancelación presentada 10 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 días antes por la persona denunciante. 6º.- El 05/01/16, D.D.D., presenta en la comisaria de la Policía Nacional de ***LOC.1 denuncia en la cual alega: “no ha solicitado ni autorizado a persona alguna para la solicitud de préstamo alguno, habiendo estando siempre en su poder su DNI, el cual no ha sido extraviado ni sustraído. Ha enviado comunicación a la empresa ASNEF informando de todo lo acontecido, indicando que ha sido dado de baja de forma cautelar de la citada lista”. 7º.- El 05/01/17, fecha del escrito de alegaciones al acuerdo de inicio presentado por OK MONEY, con el que presenta, como documento 3, copia del informe y sus anexos, donde se puede comprobar que, el anexo III que presenta, es totalmente distinto al presentado como tal en el citado informe; nada tienen que ver con lo que este anunciaba: "Se adjunta comunicaciones y resguardos de nuestra plataforma intercambiados con el cliente como anexo III". TERCERO: La entidad OK MONEY ha presentado, con fecha 07/07/16, recurso de reposición fundamentándolo, básicamente, en: “a).- la nulidad de la resolución de la AEPD por vulneración y lesión del contenido esencial del derecho a la tutela efectiva de los derechos de los administrados, concretado en la vulneración del derecho de defensa ya que la resolución de la AEPD, en su antecedente séptimo, indica que OK MONEY reiteró las alegaciones efectuadas frente al acuerdo de inicio con las alegaciones efectuadas frente a la propuesta de resolución; b).- La existencia de circunstancias atenuantes adicionales no tenidas en cuenta; c).- La existencia de mejoras en las operaciones de verificación de identidad de OK MONEY que han de ser tenidas en cuenta”. OK MONEY solicita que: a).- sea declarado nula resolución y se proceda al archivo del expediente o subsidiariamente reducir el importe de las dos sanciones impuestas en base a las alegaciones segundas y que se reiteran en este escrito; b).- se suspenda la ejecución de la resolución y c).- que se acumulen los expedientes abiertos en la Agencia por hechos similares. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por la entidad OK MONEY, en su escrito de recurso de reposición, debe señalarse, en primer lugar que, las alegaciones presentadas frente a la propuesta de resolución son, en el fondo, reiteración de las presentadas frente a la incoación del expediente sancionador, y por otra indicar que, las cuestiones planteadas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la resolución del expediente sancionador, el 30/05/
- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 III Los hechos que han sido declarados probados no han sido puestos en cuestión por la entidad recurrente y además, se constata que, la persona denunciante no había contratado con OK MONEY ningún micro-préstamo y por razones no justificadas fue dada de alta en la base de datos de clientes con su número de DNI como identificador de: “titular de micro-crédito”. Como consecuencia de los impagos, emitió comunicaciones incluyendo su DNI en gestiones de recobro y en el fichero de morosos ASNEF. Tampoco aclara la entidad denunciada en sus diferentes escritos de alegaciones por el motivo de: “No notificación de los requerimientos de pago previos a la inclusión en los ficheros de solvencia”. La entidad recurrente no ha aportado, en ningún momento del procedimiento sancionador las pruebas necesarias que acrediten la inexistencia de infracción a la LOPD. Argumenta la entidad denunciada, en el apartado “tercero” del recurso que, se ha producido una mejora radical en los procesos internos de OK MONEY, desde el 01/01/16, manifestando que ha sido expuesta ya ante esta AEPD de forma específica, acompañando como “anexo I” explicación detallada del proceso antes del 01/01/16 y como “anexo II” el proceso de solicitud de préstamo después del 01/01/
- Sobre ese particular, una vez valoradas por esta Agencia las explicaciones ofrecidas por los representantes de la compañía denunciada relativas a las medidas de seguridad que había implementado en el proceso de solicitud de préstamos a partir del 01/01/2016 -medidas que a juicio de OK MONEY se adecuarían a la diligencia que es exigible a fin de dar cumplimiento a la normativa de protección de datos personales en la contratación on-line de sus servicios- se concluye lo siguiente:
- Es sobradamente conocido por OK MONEY que el procedimiento que tenía implementado antes del 01/01/2016 –integrado por una fase de “Scoring”, Validación de cuenta bancaria y Validación de teléfono móvil- era absolutamente inconsistente para los fines que debe cumplir: acreditar la identidad de la persona que facilita como suyos determinados datos personales. El Scoring tiene transcendencia únicamente sobre la solvencia económica de la persona cuyos datos se ofrecen al tiempo de la contratación –cuestión que en nada atañe a la validación de la identidad-. Sobre la validación de la cuenta bancaria –cuyo procedimiento se describe por OK MONEY en el requerimiento informativo que precedió a este expediente sancionador- basta indicar que no ha aportado prueba alguna sobre él lo que por otra parte parece lógico habida cuenta de que dicho procedimiento es jurídicamente imposible. Y respecto al mecanismo de validación del teléfono móvil, la escasa información que nos facilita permite sin problemas afirmar que a través de él en ningún caso sería factible que la entidad conociera la identidad del titular del móvil a lo que se añade el hecho de que el contratante no tiene por qué ser su titular bastando con que sea el usuario. Se subraya también que el procedimiento “mejorado” a partir del 01/01/2016 que OK MONEY hizo valer ante esta Agencia sigue careciendo por completo de virtualidad para acreditar la identidad de la persona que contrata con ella un microcrédito y facilita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 como suyos datos personales. Si bien se añaden al protocolo inicialmente previsto nuevas fases (como la “Validación documento identificativo Verificación PB-FT” y la “Validación Instator”) la denunciada no ha explicado en qué consisten tales mecanismos ni su transcendencia a los fines de identificar a la persona del contratante. Se desprende de lo expuesto que incluso en la hipótesis de que no hubiera impedimentos procedimentales para que el nuevo protocolo implementado por OK MONEY pudiera operar como atenuante de la sanción impuesta en el expediente sancionador que nos ocupa (habida cuenta de que los hechos acontecieron en el año 2015 y estaban sujetos al protocolo anterior al 01/01/2016), el resultado de la resolución sería invariable. Esto, porque toda vez que el llamado protocolo “mejorado” de solicitud de préstamos a partir del 01/01/2016 no ofrece ninguna medida consistente con virtualidad para identificar al cliente que contrata con ella, no cabría apreciar a favor de OK MONEY una circunstancia atenuante que inicialmente no se hubiera considerado, de forma que la sanción impuesta sería la misma prevista en el Acuerdo de inicio del expediente sancionador. En resumen, el escrito de recurso de reposición presentado por la entidad OK MONEY, no contiene nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por OK MONEY, contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 30/05/17, en el procedimiento sancionador PS/615/
- SEGUNDO: NOTIFICAR la presente resolución a la entidad OK MONEY SPAIN SLU. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es