1/31
Expediente nº.: EXP202105363
RESOLUCIÓN DE RECURSO DE REPOSICIÓN
Examinado el recurso de reposición interpuesto por CAIXABANK PAYMENTS &
CONSUMER EFC, EP, S.A.U. (en lo sucesivo, la parte recurrente) contra la resolución
dictada por la Directora de la Agencia Española de Protección de Datos de fecha
13/11/2023, y en base a los siguientes
HECHOS
PRIMERO: Con fecha 13/11/2023, se dictó resolución por la Directora de la Agencia
Española de Protección de Datos en el expediente EXP202105363, en virtud de la
cual se imponía a CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U., por (…)
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, una
sanción de 70.000 euros (setenta mil euros).
Dicha resolución, que fue notificada a la parte recurrente en fecha 14/11/2023, fue
dictada previa la tramitación del correspondiente procedimiento sancionador, de
conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y
supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de
tramitación de procedimientos sancionadores.
SEGUNDO: Como hechos probados del citado procedimiento sancionador,
PS/00603/2022, quedó constancia de los siguientes:
PRIMERO. El 24/11/2021 tiene entrada en la AEPD, escrito de la reclamante
manifestando su sorpresa cuando al ir a solicitar un préstamo le es denegado porque
sus datos de carácter personal figuran en sistemas comunes de información crediticia
Asnef y Badexcug, a instancias del reclamado, como consecuencia de una deuda
relacionada con una tarjeta de crédito Ikea vinculada a la entidad reclamada.
SEGUNDO. Consta aportada copia del DNI de la reclamante.
TERCERO. Consta aportado solicitud-contrato de crédito Ikea nº ***NÚMERO.1, de
13/01/2020, suscrito a través del establecimiento lkea Iberica, S.A., ***DIRECCIÓN.1;
figuran los datos de carácter personal de la reclamante: nombre y apellidos, domicilio,
nº de DNI, fecha de nacimiento, sexo, estado civil; también figuran los datos
profesionales. La firma que figura no coincide con la de la reclamante.
CUARTO. Consta la denuncia formulada por la reclamante ante la Comandancia de la
Guardia Civil en Pinto (Madrid), ampliatoria de la realizada en Puente de Vallecas ante
la Comisaria de la Policía Nacional motivadas por los hechos reclamados y en los que
las reclamada manifiesta además que el contrato de tarjeta Ikea, el número de móvil,
la cuenta de correo electrónico, el domicilio, el número de cuenta bancaria, nombre de
la empresa y la firma que figura en el citado contrato no le corresponden.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/31
QUINTO. Consta aportado por el reclamado “detalle del fichero que se remitió a
ASNEF, en fecha 29 de junio del 2020” que “Al día siguiente, fue dado de alta de forma
efectiva en ASNEF; por lo que el alta se realizó el día 30 de junio de 2020.
Los datos de la reclamante fueron incluidos en los ficheros semanales que se remitían
a ASNEF hasta el día 8 de agosto de 2020”.
SEXTO. Constan aportados copia de los requerimientos de pago, de fechas
13/06/2020 y 21/06/2020, que fueron enviados a la reclamante por el reclamado en
relación a la deuda existente, como paso previo a la inclusión de sus datos personales
en el fichero ASNEF.
SEPTIMO. El reclamado en escrito de 31/12/2021 ha manifestado que “Por lo tanto,
tal como ya se ha manifestado precedentemente, CaixaBank Payments & Consumer,
tan pronto tuvo conocimiento de un presunto fraude/falsificación en la contratación,
procedió a la supresión/bloqueo de los datos personales de la interesada,
procediendo, igualmente, a dar de baja inmediatamente a la misma en los sistemas de
información crediticia”.
Sin embargo, el reclamado en escrito de 14/06/2022 ha señalado que “La anterior
manifestación era errónea ya que los datos de la afectada y reclamante, referentes al
contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de
baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como
consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha
29 de julio de 2021”.
OCTAVO. Consta que CaixaBank Payments & Consumer y la empresa InvestCapital
Ltd. (cesionaria), formalizaron contrato elevándolo a escritura pública otorgada ante el
notario de Madrid Don A.A.A., el 16/09/2021 la cesión de determinados créditos entre
los que se hallaba la deuda derivada del contrato de crédito con la tarjeta Ikea Visa de
fecha 13/01/2020.
NOVENO. El 08/02/2022, la reclamante envió un correo electrónico al Servicio de
Atención al Cliente de CPC, asunto: suplantación de identidad y en el que señalaba:
“Me pongo en contacto con ustedes porque hace unos meses tuve un problema por
vuestra identidad por una deuda que reclamabais a mi nombre, tratándose esta de
una suplantación de identidad demostrable. Alguien solicito una tarjeta de crédito IKEA
usando mi nombre y DNI, el número de solicitud de contrato es ***NÚMERO.1, con
esa tarjeta retiro dinero y se me reclamo a mi esa deuda. Tras este suceso puse una
denuncia por suplantación de identidad y una reclamación a la AEPD. Después de
varios tramites al final se eliminó mi nombre de la lista de morosos Equifax.
A día de hoy otra empresa de cobro de morosos ha intentado ponerse en contacto
conmigo y reclamándome dicho pago por una tarjeta, que repito, yo no solicite y
adquirieron con mi nombre y DNI. Dicha empresa se llama KRUK ESPAÑA S.L.U y ya
no solo es que me esté pidiendo un cobro que no me corresponde, si no que aun así
acosa a gente de mi alrededor para solicitar mis datos cuando eso no está permitido.
El número de referencia es (...).
Por favor, solicito que mi identidad sea eliminada de KRUK ESPAÑA así que dejen de
reclamarme una deuda que no me corresponde, y si mi identidad la tiene cualquier
otra
empresa de cobros también solicito que se elimine, ya que este asunto me está
causando muchos daños personales y laborales.
A continuación, adjunto la denuncia y la reclamación realizada en su día”.
El 10/2/2022 la reclamante remitía al Servicio de Atención al Cliente del reclamado e-
mail, Asunto: [EXTERNAL] SOLICITUD COMPROBANTE DEUDAS (URGENTE),
indicando:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/31
“Debido a problemas anteriores de suplantación de identidad por la solicitud de una
tarjeta de crédito sin mi consentimiento ni permiso, Caixabank Payment&Consumer
me reclamó una deuda que a día de hoy ya fue solucionada y eliminada. Por ello, me
gustaría disponer de un escrito por parte de Caixabank Payment&Consumer donde
conste que mi persona, B.B.B. con DNI ***NIF.1 no tiene ninguna deuda impaga ni
pendiente con vosotros.
Adjunto a continuación mi DNI”.
Lo que motivo una serie de correos cruzados remitidos desde la cuenta:
***EMAIL.1
para ***EMAIL.2
Asunto: SOLICITUD COMPROBANTE DEUDAS (URGENTE): Re: RV: [EXTERNAL]
SUPLANTACION DE IDENTIDAD
En el penúltimo de los cuales, de fecha 17/05/2022, figura lo siguiente:
(…)
Por favor, necesitamos dar respuesta a la reclamación que os fue comunicada hace
unos días por parte del buzón de Venta de Carteras.
¿Podríais indicarnos si habéis realizado alguna gestión al respecto de este expediente
para ir coordinados?
Necesitaríamos respuesta entre hoy y mañana para poder dar respuesta en plazo.
(…)”
Y en esa misma fecha figura el correo de respuesta:
De: ***EMAIL.3
Enviado el: martes, 17 de mayo de 2022 12:11
Para: (…)
CC: (…)
Asunto: RE: [External Mail] RE: Rv: SOLICITUD COMPROBANTE DEUDAS
(URGENTE): Re: RV: [EXTERNAL] SUPLANTACION DE IDENTIDAD
“(…)
Conforme te trasladé esta mañana, las acciones que han tenido lugar en relación con
el expediente (…), Doña B.B.B., cursan del siguiente modo:
• En fecha 3 y 8 de febrero de 2022 la clienta nos contacta mediante correo electrónico
pidiendo que sea eliminada del fichero de morosidad e informa que la presente deuda
se debe a una suplantación de identidad y que ha acudido a presentar denuncia ante
la comisaria y la AEPD. En tales fechas procedimos a darle contestación solicitando
nos enviase la denuncia de fraude para poder paralizar las acciones de recobro.
• En fecha 16 de marzo de 2022 nos facilitasteis correo electrónico del cliente en
donde solicita documentación e información del caso adjuntando denuncia de fraude.
Dimos contestación al cliente en fecha 09/03/2022 con dicha información y
documentación del caso e indicamos que se paralizan las acciones de recobro, a la
espera de la Sentencia judicial que confirme el hecho de que ha sufrido un fraude.
• Por lo que a fecha de hoy el expediente se encuentra paralizado por presunto fraude
a espera de Sentencia.
• Por último, en fecha 28/04/2022 recibimos burofax con reclamación de la AEPD, de
la cual hemos notificado a nuestro DPO para que se encargue de gestionarla.
(…)”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/31
DECIMO. Consta aportada la imagen grafológica de la firma de la solicitante de la
tarjeta Ikea que no coincide con la firma de la reclamante.
DECIMOPRIMERO. Ikea en escrito de 07/01/2021 ha manifestado que “…las
funciones de IKEA y del personal de IKEA se limitan al cumplimiento de la función de
auxiliar de “CAIXABANK P&C” para la tramitación administrativa de la documentación
relativa a las solicitudes de financiación”
(…)
A estos efectos, y tal y como se puede comprobar en la documentación obrante en el
expediente, en concreto en la referida, solicitud- contrato de crédito, la entidad
responsable de la contratación del crédito y, en su caso, la entidad responsable del
tratamiento de los datos personales de los clientes que solicitan financiación es
CAIXABANK P&C.
En este sentido, hemos de señalar que existe un Acuerdo marco de colaboración entre
CAIXABANK e IKEA celebrado en fecha 16 de diciembre de 2020 mediante el cual:
IKEA tratará los datos personales a los que tenga acceso como Encargado del
Tratamiento únicamente conforme a las instrucciones de CAIXABANK PAYMENTS &
CONSUMER. Estas instrucciones comprenden las siguientes tareas:
• El auxilio en la tramitación administrativa de la documentación relativa a las
solicitudes de financiación y de suscripción de un seguro ofrecido por CAIXABANK
PAYMENTS & CONSUMER consistente en:
• La entrega de la información precontractual requerida por la normativa de crédito al
consumo
• La gestión de la documentación en papel necesaria para a formalización de la
solicitud de financiación y su digitalización para el envío al Responsable del
tratamiento a través de los equipos de este”.
(…)“
DECIMOSEGUNDO. CGI en relación con el asunto CERTIFICADO DE ENVIO CPC,
ha señalado en escrito de 01/03/2023:
Que la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la
información facilitada por el reclamado …, para su impresión (Fichero: (…); Sobre:
XXXX) y posterior puesta a disposición del distribuidor postal que se encargó de su
envío a la dirección:
***DIRECCIÓN.2
Una vez efectuado el proceso establecido y desde la puesta a disposición en
CORREOS, consta que no ha habido incidencia y tampoco devolución alguna de
dicha carta hasta la fecha”.
DECIMOTERCERO. En los sistemas informáticos del reclamado figuran registrados
los datos de la reclamante: nombre y apellidos, domicilio, nº DNI, nº móvil, dirección
correo electrónico, nº cuenta bancaria, fecha de nacimiento, antigüedad en la
empresa, ingresos mensuales (figura sin nomina), etc.
DECIMOCUARTO. En relación con la cuenta aportada por la contratante ING BANK
NV SUCURSAL EN ESPAÑA en escrito de 23/072023 ha señalado que “La cuenta
***CUENTA.1 fue contratada telefónicamente por Doña C.C.C. en fecha 06 de
septiembre de 2018. ING envió un mensajero a su domicilio postal para verificar la
identidad de la titular y para entregar el “Welcome Pack” que contenía las Condiciones
particulares de contratación para la apertura de la cuenta Nómina mencionada, tal y
como consta en el siguiente pantallazo (…) La ratificación de la contratación fue
recibida por ING en fecha 20 de septiembre de 2018. Las Condiciones particulares de
contratación de Cuenta Nómina y el albarán se adjuntan…”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/31
DECIMOQUINTO. En relación con el domicilio aportado por la contratante, el
Ayuntamiento de Madrid, Departamento de Cartografía, Unidad Técnica de Callejero,
en escrito de 07/08/2023 ha señalado que “Actualmente no existe ningún vial en el
callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por lo tanto
tampoco el número 75 de esta vía”.
DECIMOSEXTO. El reclamado en escrito de 14/03/2023 ha confirmado la
suplantación de la reclamante manifestando que “sólo la utilización de un sistema
creado con el ánimo de estafar a la Entidad impidió que ésta pudiera detectar la
falsificación de la documentación entregada por la solicitante del crédito, quien, en su
caso, suplantó la personalidad de la hoy reclamante, provocando los hechos que
motivaron, en su día, la reclamación presentada por la misma ante esa Agencia y la
apertura de las presentes actuaciones”.
TERCERO: La parte recurrente ha presentado en fecha 14/12/2023, en esta Agencia
Española de Protección de Datos, recurso de reposición fundamentándolo,
básicamente, en las alegaciones formuladas durante el procedimiento y, además, su
disconformidad con la resolución emitida ya que la deuda que accedió al fichero era
cierta vencida y exigible por falta de pago, siendo requerida de pago; que cuando se
cedió la deuda no se tenía conocimiento alguno del uso fraudulento de los datos de la
reclamante por tercero y que no se pude hacer recaer la responsabilidad sobre el
reclamado de la suplantación de la identidad; vulneración del principio non bis in ídem
y la ausencia de culpabilidad del reclamado.
FUNDAMENTOS DE DERECHO
I
Es competente para resolver el presente recurso la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123
de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD).
II
En relación con las manifestaciones efectuadas por la parte recurrente,
reiterándose básicamente en las alegaciones ya presentadas a lo largo del
procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y
desestimadas en los Fundamentos de Derecho II a VII, de la Resolución recurrida, tal
como se transcribe a continuación:
“II
Los hechos denunciados se materializan en la inclusión de los datos de
carácter personal de la reclamante en sistemas comunes de información crediticia a
instancias del reclamado, en relación a una deuda relacionada con la solicitud de una
tarjeta de crédito IKEA vinculada con el reclamado, que la reclamante manifiesta no
haber suscrito, así como la cesión de la deuda a la empresa InvestCapital Ltd., quien a
su vez incluyo lo datos en ficheros de morosidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/31
El RGPD en su artículo 5 establece los principios que deben presidir el
tratamiento de los datos personales, y en su apartado 1 señala que:
“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente con el interesado (<<licitud,
lealtad y transparencia>>).
(…)”
Y en su apartado 2, establece que:
“2. El responsable del tratamiento será responsable del cumplimiento de lo
dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>).”
Por otra parte, el artículo 6, Licitud del tratamiento, del RGPD en su apartado 1,
establece que:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”.
Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11,
señala que:
“1) «datos personales»: toda información sobre una persona física identificada
o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador, como por ejemplo un nombre, un número de identificación,
datos de localización, un identificador en línea o uno o varios elementos propios de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/31
identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha
persona;
“2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;
“11) «consentimiento del interesado»: toda manifestación de voluntad libre,
específica, informada e inequívoca por la que el interesado acepta, ya sea mediante
una declaración o una clara acción afirmativa, el tratamiento de datos personales que
le conciernen”.
Y el artículo 20 de la LOPDGDD, Sistemas de información crediticia, establece
que:
“1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos
personales relativos al incumplimiento de obligaciones dinerarias, financieras o de
crédito por sistemas comunes de información crediticia cuando se cumplan los
siguientes requisitos:
a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su
cuenta o interés.
b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya
existencia o cuantía no hubiese sido objeto de reclamación administrativa o
judicial por el deudor o mediante un procedimiento alternativo de resolución de
disputas vinculante entre las partes.
c) Que el acreedor haya informado al afectado en el contrato o en el momento
de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas,
con indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos
relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito
deberá notificar al afectado la inclusión de tales datos y le informará sobre la
posibilidad de ejercitar los derechos establecidos en los artículos 15 a22 del
Reglamento (UE) 2016/679 dentro de los treinta días siguientes a la
notificación de la deuda al sistema, permaneciendo bloqueados los datos
durante ese plazo.
d) Que los datos únicamente se mantengan en el sistema mientras persista el
incumplimiento, con el límite máximo de cinco años desde la fecha de
vencimiento de la obligación dineraria, financiera o de crédito.
e) Que los datos referidos a un deudor determinado solamente puedan ser
consultados cuando quien consulte el sistema mantuviese una relación
contractual con el afectado que implique el abono de una cuantía pecuniaria o
este le hubiera solicitado la celebración de un contrato que suponga
financiación, pago aplazado o facturación periódica, como sucede, entre otros
supuestos, en los previstos en la legislación de contratos de crédito al consumo
y de contratos de crédito inmobiliario.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/31
Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del
tratamiento de los datos impugnando su exactitud conforme a lo previsto en el
artículo 18.1.a) del Reglamento (UE) 2016/679, el sistema informará a quienes
pudieran consultarlo con arreglo al párrafo anterior acerca de la mera
existencia de dicha circunstancia, sin facilitar los datos concretos respecto de
los que se hubiera ejercitado el derecho, en tanto se resuelve sobre la solicitud
del afectado.
f) Que, en el caso de que se denegase la solicitud de celebración del contrato,
o éste no llegara a celebrarse, como consecuencia de la consulta efectuada,
quien haya consultado el sistema informe al afectado del resultado de dicha
consulta.
2. Las entidades que mantengan el sistema y las acreedoras, respecto del
tratamiento de los datos referidos a sus deudores, tendrán la condición de
corresponsables del tratamiento de los datos, siendo de aplicación lo establecido por
el artículo 26 del Reglamento (UE) 2016/679.
Corresponderá al acreedor garantizar que concurren los requisitos exigidos
para la inclusión en el sistema de la deuda, respondiendo de su inexistencia o
inexactitud.
3. La presunción a la que se refiere el apartado 1 de este artículo no ampara
los supuestos en que la información crediticia fuese asociada por la entidad que
mantuviera el sistema a informaciones adicionales a las contempladas en dicho
apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a
cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de
calificación crediticia”.
III
El artículo 58 del RGPD, Poderes, señala:
“2. Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando
proceda, de una determinada manera y dentro de un plazo especificado;
(…)
i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las
circunstancias de cada caso particular;
(…)”
IV
La infracción que se le atribuye a la reclamada se encuentra tipificada en el
artículo 83.5 a) del RGPD, que considera que la infracción de “los principios básicos
para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/31
artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado
artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.
Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones
consideradas muy graves:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.
(…)
V
1. Hay que señalar que el tratamiento de datos requiere la existencia de una
base legal que lo legitime.
De conformidad con el artículo 6.1 del RGPD, además del consentimiento,
existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de
contar con la autorización de su titular, en particular, cuando sea necesario para la
ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición
de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de
intereses legítimos perseguidos por el responsable del tratamiento o por un tercero,
siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y
libertades fundamentales del afectado que requieran la protección de tales datos. El
tratamiento también se considera lícito cuando sea necesario para el cumplimiento de
una obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.
En el presente caso, se imputa al reclamado la vulneración del artículo 6.1 del
RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo no constando
acreditada ninguna de las bases de legitimación previstas en el citado artículo en
relación con el tratamiento relacionado con los datos de la reclamante.
2. El reclamado llevó a cabo el tratamiento de los datos de la reclamante sin
legitimación alguna pues no se han respetado las garantías que prevé el artículo 20 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/31
la LOPDGDD, dado que la deuda no era cierta, vencida ni exigible, deuda que no
correspondía a la reclamante al derivarse de una contratación fraudulenta.
El Dictamen 757/2017 del Consejo de Estado, emitido en el expediente relativo
al anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal,
dispone en cuanto a la licitud de una ponderación del interés legítimo hecha en un
texto normativo lo siguiente:
“Sin perjuicio de cuanto acaba de observarse, ante la indudable conveniencia
de garantizar el máximo grado de seguridad jurídica posible ofreciendo a los
operadores ciertas guías en su actuación, sin perjuicio de respetar la aplicabilidad
directa del Reglamento Europeo y, en todo caso, con el objetivo de asegurar su efecto
útil, el Consejo de Estado desea apuntar, como solución alternativa, la posibilidad de
introducir por vía legislativa, en casos puntuales, simples presunciones iuris tantum
favorables a la prevalencia del interés legítimo del responsable del tratamiento cuando
se cumplan determinados requisitos o condiciones.
Esta solución podría resultar conforme a la flexibilidad en la ponderación de
intereses y al principio de responsabilidad proactiva del responsable del tratamiento
que, como se indicó, persigue la nueva regulación comunitaria. Asimismo, la previsión
de simples presunciones salvo prueba en contrario tendría encaje en la jurisprudencia
analizada, que prohíbe establecer en una norma nacional el resultado de la citada
ponderación "con carácter definitivo (...), sin permitir un resultado diferente", obstáculo
que la solución alternativa aquí propuesta permitiría, en principio, evitar.”
Siguiendo esta previsión, la LOPDGDD introduce una presunción «iuris
tantum» de prevalencia del interés legítimo del responsable del tratamiento en algunos
supuestos determinados, entre ellos, el relativo al tratamiento de los datos en sistemas
de información crediticia. Así las cosas, cuando se observen las garantías que el art.
20 de la LOPDGDD prevé, el tratamiento podrá presumirse lícito al amparo del artículo
6.1.f) del RGPD, sin perjuicio de que la legitimidad deba ser valorada caso a caso y
sin perjuicio de que el responsable pueda realizar la ponderación legalmente exigible
cuando no se cumplan las citadas garantías, como aclara el preámbulo de la ley al
recoger:
“En el Título IV se recogen «Disposiciones aplicables a tratamientos
concretos», incorporando una serie de supuestos que en ningún caso debe
considerarse exhaustiva de todos los tratamientos lícitos. Dentro de ellos cabe
apreciar, en primer lugar, aquellos respecto de los que el legislador establece una
presunción «iuris tantum» de prevalencia del interés legítimo del responsable cuando
se lleven a cabo con una serie de requisitos, lo que no excluye la licitud de este tipo de
tratamientos cuando no se cumplen estrictamente las condiciones previstas en el
texto, si bien en este caso el responsable deberá llevar a cabo la ponderación
legalmente exigible, al no presumirse la prevalencia de su interés legítimo.”
Entre las citadas garantías, el artículo 20 de la LOPDGG contempla la
consistente en que “los datos se refieran a deudas ciertas, vencidas y exigibles, cuya
existencia o cuantía no hubiese sido objeto de reclamación administrativa o judicial por
el deudor o mediante un procedimiento alternativo de resolución de disputas
vinculante entre las partes” (art. 20.1.b) RGPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/31
Y como se ha expuesto, en este caso, la deuda no correspondía a la
reclamante, por lo que no era cierta, ni vencida ni exigible al resultar inexistente, por lo
que no puede ser aplicable la presunción de licitud prevista en el citado artículo 20,
debiendo la parte reclamada realizar su propia ponderación al no resultar aplicable la
ponderación hecha legalmente. Sin embargo, en este caso no consta que la parte
reclamada haya realizado tal ponderación y en consecuencia que sus intereses
legítimos prevalezcan sobre los intereses, derechos y libertades de la parte
reclamada.
Así en este caso, en fecha 16/12/2020 el reclamado e IKEA formalizaron
Acuerdo de colaboración en virtud del cual “IKEA tratará los datos personales a los
que tenga acceso como Encargado del Tratamiento únicamente conforme a las
instrucciones del reclamado”.
En la página web de Ikea se relaciona la documentación que es necesaria
presentar para solicitar la tarjeta Visa Ikea: documento identificativo, un recibo
bancario original con el nombre del titular, número de cuenta para la domiciliación y
original de un justificante de ingresos.
El responsable de la contratación del crédito y del tratamiento de los datos
personales de los clientes que solicitan financiación es el reclamado, en el
procedimiento establecido para la formalización de un contrato de crédito para obtener
la tarjeta Ikea, el empleado/vendedor de Ikea utiliza una aplicación instalada en la
tableta digital que está conectada a los sistemas informáticos del reclamado; de esta
forma, los datos obtenidos son remitidos de manera inmediata a los sistemas
informáticos del reclamado para su verificación, análisis y tramitación ante dicha
mercantil, no conservando Ikea en cumplimiento del acuerdo suscrito ninguna
documentación al respecto ni ningún dato de carácter personal.
Pues bien, la firma que figura en el DNI y la que consta en el contrato aportado
no coinciden; además, el reclamado tiene una serie de datos socioeconómicos que no
consta que se le facilitaran durante la contratación; como así consta en el informe de
actuaciones “El reclamado no ha aportado documentación que acredite la anterior
información socioeconómica que consta en sus sistemas”. Entre esa documentación
figura el número de cuenta en la que se domiciliaron los pagos; según la FAQs
(Frequently Asked Questions o preguntas frecuentes) de financiación:
¿Qué requisitos existen para solicitar mi Tarjeta?
Solo tienes que presentar:
Un documento identificativo como el DNI o pasaporte
Un recibo bancario original con tu nombre y número de cuenta para la
domiciliación.
Original de un justificante de ingresos:
• Última nómina
• Autónomos, gerentes y administradores: último IRPF o trimestre
• Pensionistas: hoja de revalorización de la pensión
Si eres cliente de CaixaBank solo necesitas tu DNI/NIE y tu tarjeta de crédito o
débito para tramitar tu solicitud.
Sin embargo, dicha documentación que el solicitante debe aportar ni figura ni le
consta a la reclamada, es decir, no fue aportada pues no hay que olvidar que la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/31
reclamante no era la titular de la cuenta bancaria según consta en los hechos
probados.
El vendedor de Ikea, teniendo al solicitante presente físicamente en el
establecimiento comercial debe proceder a identificar al cliente a través de su
documento de identidad.
Posteriormente, teniendo al cliente delante realiza una fotografía de su
documento de identidad con la tableta digitalizadora y solicita datos personales
adicionales, datos de tipo socioeconómicos (situación laboral, ingresos mensuales,
pagas, cargo, Profesión, empresa, etc.) e introduce la información en el sistema.
Por último, la aplicación cuenta con un proceso de firma a través de la tableta
digitalizadora y los datos obtenidos son remitidos de manera inmediata a los sistemas
informáticos del reclamado para su verificación, análisis y tramitación ante dicha
mercantil.
Pues bien, tal y como manifiesta la reclamante tanto en reclamación ante la
AEPD como en su denuncia ante la Comandancia de la Guardia Civil en Pinto
(Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la
Policía Nacional, nunca estuvo en el citado centro comercial por lo que nunca pudo
suscribir el contrato de tarjeta Ikea y ni aportar los datos contenidos en el mismo; tal
es así que el número de móvil, cuenta de correo electrónico, domicilio, número de
cuenta bancaria, empresa y firma que figuran en el citado contrato no le corresponden.
De lo anterior se desprende la actuación negligente de la reclamada que no procedió a
realizar las verificaciones oportunas ni a comprobar que la documentación necesaria
para la contratación había sido remitida por el establecimiento de IKEA.
En relación con el nº de cuenta aportada, ING BANK NV SUCURSAL EN
ESPAÑA en escrito de 23/072023 ha señalado que la citada cuenta fue contratada
telefónicamente por persona que no es la reclamante el 06/09/2018.
Y en relación con la firma estampada en el contrato no se corresponde con la
firma de la reclamante.
A este respecto, el T.S. en sentencia de 13/12/2021, nº 1.456/2021 y en
relación con la contratación de un microcrédito y la diligencia desplegada, señalaba en
su Fundamento Segundo “Respecto de la primera cuestión (falta de diligencia en la
actuación) en el recurso de casación se reiteran las alegaciones que la entonces
demandante hizo en el proceso de instancia, en el sentido de que Dineo Crédito, S.L.
adoptó todas las medidas necesarias y oportunas, desde el punto de vista de la
protección de datos personales, para tramitar la solicitud de microcrédito (registro en
la plataforma; validación del DNI: con verificación de doble factor de 2 algoritmos que
garantizan tanto la veracidad del número y la letra del documento como que el
solicitante tiene en su poder el DNI, por original o copia; validación del número de
teléfono móvil a través de un código PIN, validación de datos bancarios y validación
de la tarjeta de crédito/débito aportada por el solicitante); y pese a la adopción de tales
medidas, se podría haber cometido el delito de suplantación de identidad, de estafa
y/o de uso indebido de documento verdadero.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/31
Pues bien, hemos visto que el fundamento jurídico cuarto de la sentencia de
instancia da cumplida respuesta a tales alegaciones. Señala allí la Sala de la
Audiencia Nacional que en la resolución sancionadora se analiza de manera detallada
el mecanismo de verificación de identidad del solicitante del crédito que Dineo Crédito,
S.L. tenía establecido y queda de manifiesto su insuficiencia. Así, con el denominado
"registro en la plataforma", trámite en el que se recaban del cliente determinados
datos (entre ellos, el número de D.N.I., dos teléfonos y el correo electrónico)
únicamente se demuestra que desde ese momento existe un tratamiento de datos
personales, pero se ignora es si los datos facilitados por el cliente y recogidos por
Dineo, son de la persona que los facilita como suyos o de un tercero. En cuanto a la
fase que la recurrente denomina de "validación del DNI" (un algoritmo que permite
determinar si el DNI facilitado por el cliente se corresponde o no con un DNI real o
válido), tal medida únicamente demuestra que se trata de un número de documento
que existe y que "alguien" es titular de ese DNI. Por su parte, la llamada "validación
del número de móvil", que consiste en el envío al terminal móvil del contratante de una
clave o pin de cuatro cifras que, posteriormente, el cliente debe introducir en el
formulario al que accede desde la página web de Dineo, únicamente acredita que
quien pretende contratar con Dineo, tiene acceso a ese número de móvil, pero nada
dice sobre la identidad del contratante.
La fase del procedimiento de contratación del préstamo denominada
"validación de datos bancarios", que consiste en verificar si la cuenta bancaria "es
real" y está asociada efectivamente a una cuenta bancaria, es también irrelevante
desde el punto de vista del respeto a las obligaciones impuestas por la normativa de
protección de datos, pues sólo asegura el buen fin del préstamo, esto es, que el
importe prestado se dirigirá a una cuenta abierta y activa, pero nada aporta en cuanto
a que el titular de esa cuenta sea precisamente la persona que figura en el DNI
utilizado. Y, por último, la fase denominada validación de la "tarjeta de crédito",
consistente en que se carga en ella un céntimo que automáticamente resulta
reintegrado, no consta que en el caso que nos ocupa se llevara a cabo, al no aparecer
en los registros informáticos de la recurrente.
En definitiva, ninguna de las medidas adoptadas por la recurrente está
destinada a acreditar que la persona que solicita el microcrédito coincide con el titular
del DNI aportado. Y, en efecto, continua explicando la sentencia recurrida, las pruebas
practicadas en la vía administrativa vinieron a poner de manifiesto que, respecto de la
línea de teléfono facilitada cuando se solicitó el crédito, ni el nombre, apellidos y NIF
del titular de la línea coinciden con los datos personales del denunciante (titular del
DNI); y en relación con la cuenta bancaria que figura en los registros de Dineo, a la
que se habría transferido el importe del micro préstamo, los datos del titular de la
cuenta en la fecha de la contratación del crédito tampoco coinciden con los datos
personales del denunciante. Ni siquiera el titular del móvil y el de la cuenta bancaria
son la misma persona.
Estas apreciaciones de la Sala de instancia sobre la insuficiencia de las
medidas adoptadas en el procedimiento de contratación on line, y, en definitiva, sobre
falta de diligencia en la actuación por la recurrente, en modo alguno han quedado
desvirtuadas en casación, donde la representación de Dineo Crédito, S.L. ha reiterado
las manifestaciones que hizo en el proceso de instancia pero nada ha aportado que
sirva para rebatir las conclusiones de la Sala sentenciadora.
En fin, compartimos el parecer de la Sala de la Audiencia Nacional acerca de la
insuficiencia de las medidas aplicadas por la recurrente en el procedimiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/31
contratación. A las consideraciones que se exponen en la sentencia recurrida, que
compartimos y hacemos nuestras, únicamente añadiremos dos observaciones:
En primer lugar, las medidas de verificación aplicadas por la recurrente
parecen enteramente encaminadas asegurar el buen fin del préstamo, pero, en
cambio, se desentienden enteramente del objetivo de verificar la veracidad y exactitud
de los datos, y, en particular, de comprobar que quien solicita el crédito es
precisamente quien dice ser. De este modo, en cualquier caso en el que un tercero
utilice indebidamente un DNI sustraído o extraviado para realizar una compra o
solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los
datos personales del titular del documento, aunque éste hubiese denunciado en su día
ante las autoridades la pérdida o sustracción de su DNI, pues ninguna de las medidas
enunciadas por la recurrente aparece mínimamente orientada a impedir o dificultar
que ese resultado se produzca.
En segundo lugar, lo anterior no significa que se haga recaer sobre la empresa
contratante la responsabilidad de impedir que se produzca un hecho ilícito o delictivo
como es la utilización fraudulenta de un DNI por parte de quien no es su titular. Pero sí
es exigible a dicha empresa contratante, como diligencia necesaria para que no se le
pueda reprochar el incumplimiento de sus obligaciones en materia de protección de
datos de carácter personal -tanto en lo que se refiere a la exigencia de consentimiento
del interesado como en lo relativo al principio de veracidad y exactitud de los datos- la
implantación de medidas de control tendentes a verificar que la persona que pretende
contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado.
Por lo demás, en concordancia con lo que llevamos expuesto, también
compartimos el parecer de la Sala de la Audiencia Nacional (fundamento jurídico
quinto de la sentencia recurrida) en lo que se refiere a la vulneración de la exigencia
de exactitud y veracidad de los datos (principio de calidad de datos recogido en el
artículo 4.3 LOPD puesto en relación con el artículo 29 de la misma Ley Orgánica y el
artículo 38 del Reglamento aprobado por Real Decreto 1.720/2007, de 21 de
diciembre), al haber incorporado la recurrente a sus sistemas informáticos, dando
luego traslado de ello al fichero de solvencia patrimonial Asnef, datos personales del
denunciante asociados a una deuda que no era cierta, vencida ni exigible ya que el
denunciante no había contratado el microcrédito”.
Y como ocurre en el supuesto analizado por la citada sentencia, en este caso
la reclamada tampoco verificó de forma diligente la veracidad y exactitud de los datos,
y, en particular, que quien solicitaba el crédito era precisamente quien decía ser.
A mayor abundamiento, consta en los hechos probados que la empresa CGI en
escrito de 01/03/2023 y en relación con el envío del requerimiento de pago a la
reclamante que “la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada
con la información facilitada por el reclamado …, para su impresión (Fichero:
RECINFENV20200620.PDF; Sobre: 1347) y posterior puesta a disposición del
distribuidor postal que se encargó de su envío a la dirección:
***DIRECCIÓN.2
Una vez efectuado el proceso establecido y desde la puesta a disposición en
CORREOS, consta que no ha habido incidencia y tampoco devolución alguna de
dicha carta hasta la fecha”, es decir, se da por bueno que la carta llegó a su
destinatario cuando el propio Ayuntamiento de Madrid, a través de la Unidad Técnica
del Callejero en escrito de 07/08/2023 ha señalado que “Actualmente no existe ningún
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/31
vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por
lo tanto tampoco el número 75 de esta vía” . Por lo que se trata de otro elemento que
debió ser tenido en cuenta por la reclamada a la hora de verificar la certeza de la
información facilitada en el momento de la contratación.
3. El reclamado, manifiesta que ante la posibilidad de que se hubiera producido
suplantación en la identidad de la reclamante y el consiguiente tratamiento de sus
datos de manera ilegitima, los dio de baja bloqueando sus datos.
De esta forma en escrito de 14/03/2023 el reclamado confirmaba que “sólo la
utilización de un sistema creado con el ánimo de estafar a la Entidad impidió que ésta
pudiera detectar la falsificación de la documentación entregada por la solicitante del
crédito, quien, en su caso, suplantó la personalidad de la hoy reclamante, provocando
los hechos que motivaron, en su día, la reclamación presentada por la misma ante esa
Agencia y la apertura de las presentes actuaciones”.
No obstante, en su respuesta de fecha 14/06/2022 al requerimiento efectuado
por este centro directivo indicaba que la deuda de la tarjeta Visa Ikea ascendió a
690,25 € y que el 29/06/2020 remitió al fichero ASNEF la información pertinente y que,
al día siguiente, 30/06/2020, los datos de la reclamante fueron dados de alta en el
fichero de solvencia patrimonial ASNEF de forma efectiva al ser incluidos en los
ficheros semanales que se remitían hasta el día 20/08/2020.
Y que “De conformidad con el procedimiento de comunicación de altas y bajas
a sistemas de información crediticia, los datos fueron dados de baja del fichero ASNEF
de forma efectiva en fecha 11 de agosto del 2021”.
Es decir, los datos de la reclamante fueron incluidos en los ficheros llamados
comúnmente de morosos el 30/06/2020 y dados de baja de forma efectiva en fecha
11/08/2021. Por tanto, los datos de la reclamante durante el periodo en el que
estuvieron contenidos en el citado fichero continuaron siendo tratados hasta su baja
efectiva por el reclamado de manera ilegitima, al no constar acreditada base legal
alguna para su tratamiento, por no resultar aplicable la presunción de licitud
contemplada en el artículo 20.1 puesto que la deuda ni era cierta, ni vencida ni
exigible al no constar acreditada la contratación de la tarjeta Ikea con la reclamante.
4. A mayor abundamiento, consta en los hechos probados que el reclamado en
escrito de 31/12/2021 manifestaba “CaixaBank Payments & Consumer, tan pronto tuvo
conocimiento de un presunto fraude/falsificación en la contratación, procedió a la
supresión/bloqueo de los datos personales de la interesada, procediendo, igualmente,
a dar de baja inmediatamente a la misma en los sistemas de información crediticia”.
Pero, en escrito posterior de 14/06/2022 manifestaba “La anterior
manifestación era errónea ya que los datos de la afectada y reclamante, referentes al
contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de
baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como
consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha
29 de julio de 2021”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/31
Por tanto, el reclamado no procedió a la baja de los datos en los ficheros de
morosos ni al bloqueo de los datos porque tuviera conocimiento de la supuesta
suplantación de la personalidad de la reclamante y un presunto fraude en la
contratación, sino que la baja en los ficheros vino motivada porque el crédito fue
objeto de cesión mediante contrato de compraventa formalizado en Madrid, ante el
notario Don A.A.A. con la empresa Invest Capital Ltd., en fecha 16/09/2021, mercantil
que a su vez incluyo los datos en el fichero.
Por tanto, como se señalaba con anterioridad la actuación del reclamado
supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo 20.1 de la
LOPDGDD, infracción del principio de licitud en el tratamiento de los datos que
requiere la existencia de una base legal que lo legitime; infracción que ocasionó que
los datos de la reclamante fueran incluidos en los sistemas de información crediticia
sin que la deuda fuera cierta, vencida y exigible y sin que el reclamado haya
acreditado haber realizado la ponderación legalmente establecida, y en consecuencia
sin que conste que sus intereses legítimos prevalezcan sobre los intereses, derechos
y libertades de la reclamante, infracción tipificada en el artículo 83.5.a) del RGPD.
VI
En alegaciones a la Propuesta de Resolución el reclamado ha alegado su
disconformidad con la misma, alegando que:
1. La inexistencia de infracción del artículo 6.1 del RGPD, puesto que la
presunta infracción tiene como origen el engaño ejercido sobre la persona del
vendedor suplantando maliciosamente la identidad de la reclamante en el momento de
validad su identidad como solicitante físicamente presente en el establecimiento
comercial.
El artículo 8.1 de la LOPSC establece que el DNI “es el único documento con
suficiente valor por sí solo para la acreditación, a todos los efectos, de la identidad y
los datos personales de su titular” y que la comprobación por parte del encargado del
reclamado de la identidad del interesado en el momento de la solicitud-contratación de
la tarjeta se considera licito y necesario para contratar.
Según el diccionario de la Real Academia de la Lengua Española (RAE) define
el término “identificación” como “acción y efecto de identificar o identificarse” y el
término “identificar” como “Reconocer si una persona o cosa es la misma que se
supone o se busca.” El término “identidad” (en su segunda acepción) como “conjunto
de rasgos propios de un individuo o de una colectividad que los caracterizan frente a
los demás”
En definitiva, la obligación de “identificar” que recae sobre el vendedor del
prescriptor se traduce en “reconocer” si los datos de identidad, esto es, los elementos
o rasgos que caracterizan la persona que pretende suscribir la solicitud-contrato de la
tarjeta (nombre, apellidos, número del documento identificativo y naturaleza del
documento e incluso su imagen física) son los que figuran en el “documento”
“acreditativo de la personalidad”.
Como se señalaba en el punto 2 del fundamento V, de conformidad con el
Acuerdo suscrito entre el reclamado e IKEA, el vendedor teniendo al solicitante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/31
presente físicamente en el establecimiento comercial procede a identificarlo a través
de su documento de identidad.
Pues bien, sorprende que el reclamado señale que se actuó con la diligencia
necesaria ya que tiene implantados en sus procesos de contratación medidas de
verificación de la identidad basándose en el DNI, resultando paradójico que el
vendedor teniendo delante al solicitante y requiriéndole el DNI a fin de verificar su
identidad mediante la comprobación visual de los elementos y rasgos que caracterizan
la persona que pretendía contratar, no se diera cuenta que no era la misma. Por tanto,
no se trata como intenta argüir el reclamado de un error invencible, sino de una falta
de negligencia que hubiera sido superada si se hubieran adoptado las medidas
necesarias y oportunas que hubieran inducido a concluir que la persona que acudió al
establecimiento comercial no era aquélla que decía ser y cuyo documento portaba, lo
que además resulta chocante a la luz de los hechos acreditados en el procedimiento:
la firma no se correspondía con la existente en el DNI y aun así el empleado, como se
señalaba anteriormente, procedió a efectuar el registro de la imagen grafológica de la
firma en los sistemas de la entidad, la afirmación de la propia entidad que ha señalado
que no se realizó una correcta identificación de la persona, por lo que estamos ante un
comportamiento de una negligencia grave, fácilmente vencible si se hubieran
adoptado los protocolos y cautelas adecuadas, pues ni coincidían las firmas, ni existía
el domicilio aportado, ni se presentó la documentación necesaria para acreditar que el
número de cuenta bancaria que se aportaba correspondía a la contratante.
No se trata de que las personas que intervienen en la identificación de los
posibles clientes tengan dificultades por el hecho de no ser especialistas para detectar
dichas suplantaciones; lo racional es que se adopten las medidas apropiadas y
cautelas adecuadas y necesarias para que dichas incidencias no tengan lugar.
La A.N. en sentencia de 01/10/2012 señala que: “Aplicando la anterior
normativa al supuesto enjuiciado, resulta que ha quedado acreditado, y no desvirtuado
mediante prueba en contrario, que se suscribió un contrato mercantil de distribución,
por parte de la entidad actora y en el que figuraban datos personales de la
denunciante, concretamente su nombre, apellidos y su DNI, pero sin que
correspondieran a la misma ni su supuesto domicilio, ni su supuesto número de
teléfono y tampoco su dirección de email.
Contrato que carece de firma alguna y cuya formalización ha sido negada por
tal denunciante.
Habiendo sido asimismo probado que, una vez impagada la factura generada
por los servicios derivados del referido contrato, Avon Cosmetics incluyó el nombre y
número de DNI de la referida denunciante en el fichero de morosidad Asnef.
Se trata en definitiva de que la entidad actora inició una relación comercial con
una tercera persona sin control ni supervisión suficiente en cuanto no fue capaz de
detectar que realmente, la persona que estaba manifestando su voluntad de contratar,
no era quien decía ser. Tal y como deriva del referido RGPD, AVON, en cuanto
responsable del tratamiento, y a pesar de sus extensas argumentaciones de la
demanda, no ha sido ser capaz de demostrar que la denunciante había dado su
consentimiento a la operación de tratamiento de sus datos personales.
De haber tomado AVON las necesarias precauciones, a fin de asegurarse de la
identidad la persona contratante, para lo que hubiera sido bastante verificar algún tipo
de documentación identificativa (incluso por medios telemáticos), se hubiera evitado la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/31
infracción del artículo 6.1 del RGPD imputada por la AEPD. En definitiva, al no
haberse actuado con la necesaria diligencia, se trataron los datos de la afectada sin
contar con su consentimiento, lo que supone una vulneración de tal esencial principio
de licitud, dado que tampoco concurre en el supuesto ninguna de las circunstancias
excepcionales que eximirían de la necesidad de dicho consentimiento. De todo lo cual
deriva que los hechos descritos revisten entidad suficiente para ser tipificados como
infracción grave del artículo 86.5 del RGPD.
No es posible apreciar, por otra parte, el error invencible que insistentemente
se invoca en la demanda, pues además de que el mismo debe demostrarse ( STS de
23 de junio de 2014) en definitiva, como ya se ha indicado, y sin perjuicio del fraude
cometido, lo cierto es que no existió diligencia suficiente por parte Avon Cosmetics ni
en el momento de incluir los datos de la denunciante en sus bases informáticas, ni en
el momento de notificar los mismos al fichero de solvencia patrimonial y crédito.
Sin que tampoco pueda tomarse en consideración, por último, la invocada
ausencia de responsabilidad por haber sido víctima de un fraude, pues si bien en la
actualidad el artículo 28 de la LRJPAC solo reconoce la responsabilidad "a título de
dolo o culpa", no cabe ninguna duda de que la exigencia de culpabilidad en el ilícito
administrativo es más flexible que en el derecho penal, y así, conforme a reiterada
Jurisprudencia, ante un comportamiento claramente antijurídico no basta con invocar
la ausencia de culpa, sino que debe acreditarse que se ha empleado la diligencia
exigible ( SSTS 23 de marzo de 2011 y 21 de octubre de 2014, entre otras muchas),
diligencia que, por todo lo manifestado, no puede apreciarse en la conducta Avon
Cosmetics.
De todo lo cual deriva que la sanción impuesta a la entidad actora en tal
resolución combatida resulta ajustada a derecho y proporcionada, por lo que la misma
ha de ser confirmada”.
Por otra parte, en cuanto a la opinión desfavorable de la AEPD a la iniciativa
planteada de la posibilidad de utilizar datos de reconocimiento facial en el momento de
alta de los clientes, se debe señalar que cualquier tratamiento de datos de carácter
personal debe contar con una base de legitimación, debiendo atenderse al caso
concreto y la posible injerencia en el derecho a la protección de datos, y al
cumplimiento de los principios recogidos en el art. 5 del RGPD, entre ellos los
principios de licitud y de minimización de datos.
2. La vulneración de la doctrina de los actos propios al archivarse
reclamaciones similares en las que existe identidad de hechos y sujetos a los del
presente procedimiento entre ellos el EXP2022022936.
Sin embargo, la cuestión invocada por el reclamado nada tienen que ver con la
vulneración de la doctrina de los actos propios y debe ser desestimada.
En primer lugar, el citado expediente se dirigía contra KRUK ESPAÑA S.L. al
serle reclamada a la interesada una deuda cuyo acreedor original era el ahora
reclamado (CAIXABANK PAYMENTS & CONSUMER EFC, EP, S.A.U.), siendo la
reclamante la misma persona que interpone la reclamación que dio lugar al presente
procedimiento por infracción del articulo 6.1 RGPD en relación con el artículo 20 de la
LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/31
Como se señalaba en el punto 4 del fundamento anterior el reclamado y la
entidad INVESTCAPITAL, LTD formalizaron contrato de compraventa de cartera de
créditos en Madrid, ante el notario Don A.A.A. en fecha 16/09/2021, entre el que se
encontraba el de la reclamante, remitiendo a esta carta informando sobre dicha cesión
del derecho de crédito.
A su vez la entidad KRUK, en su condición de encargado del tratamiento,
prestaba a InvestCapital, responsable del tratamiento y acreedor actual, los servicios
de recuperación de deuda.
Como consta en los hechos probados la reclamante remitió correos
electrónicos en el que solicitaba saber si constaba como deudora en sus sistemas y
que no era titular de la citada deuda, indicándole haber sufrido una suplantación de
identidad respecto a la contratación de la tarjeta de CaixaBank, por lo que solicitaba la
supresión de sus datos.
En fecha 09/03/2022 KRUK respondió a la reclamante confirmando el importe
de la deuda. Respecto a la solicitud de supresión de los datos, KRUK le indicaba que
no podían atenderlo ya que el nuevo acreedor (InvestCapital) tenía constancia de la
deuda, pero que, dado que había aportado indicios de posible fraude al haber
denunciado a la policía una suplantación de identidad, KRUK le informaba que
acordaba paralizar el expediente hasta tener evidencias de la suplantación de
identidad que permitiera cerrar definitivamente el expediente.
Y además, olvida el reclamado que el tratamiento de los datos de la reclamante
efectuados por InvestCapital, en su condición de responsable del tratamiento y,
KRUK, en su condición de encargado del tratamiento, en tanto que es fruto de la
adquisición de un paquete de deudas al reclamado (CAIXABANK PAYMENTS &
CONSUMER EFC, EP, S.A.U.) confiaban en la apariencia de veracidad de los créditos
cedidos y dado que en el tratamiento efectuado se produce como adquirente de buena
fe, no puede ser constitutivo de una infracción del artículo 6.1 del RGPD.
Todo lo contrario del reclamado cuya actuación es contraria al principio de
licitud consagrado en el artículo 6.1 del RGPD; tratamiento se inicia con la
contratación fraudulenta de la tarjeta de crédito Ikea nº ***NÚMERO.1, de fecha
13/01/2020, suscrito en el establecimiento lkea Iberica, S.A., de ***DIRECCIÓN.1 y
que es permanente en el tiempo con la posterior inclusión de los datos de la
reclamante en el fichero Asnef por una deuda que no le correspondía, desde
30/06/2020 hasta el 11/08/2021, baja que es consecuencia del mencionado contrato
de compraventa y cesión de créditos de fecha 29/07/2021.
Esta manera de proceder es contraria al artículo 6.1 del RGPD y encuentra su
tipificación en el artículo 83.5.a) del RGPD.
3. También alega el reclamado la ausencia de culpabilidad en su actuación y
que nadie puede ser condenado o sancionado sino por hechos a título de dolo o culpa.
La responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En
el ámbito del Derecho Administrativo sancionador rige el principio de culpabilidad, de
forma que el elemento subjetivo o culpabilístico es una condición indispensable para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/31
que nazca la responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de
Régimen Jurídico del Sector Público (LRJSP) regula el principio de culpabilidad y
dispone: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción
administrativa las personas físicas y jurídicas, así como, cuando una Ley les
reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin
personalidad jurídica y los patrimonios independientes o autónomos, que resulten
responsables de los mismos a título de dolo o culpa.”
A la luz de este precepto, la responsabilidad sancionadora puede exigirse a
título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del
deber de cuidado.
El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que
las sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.
A propósito de la culpabilidad de la persona jurídica cabe citar la STC
246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las
personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente
de forma distinta a como se hace respecto de las personas físicas y añade que “Esta
construcción distinta de la imputabilidad de la autoría de la infracción a la persona
jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos
sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de
infringir las normas a las que están sometidos. Capacidad de infracción y, por ende,
reprochabilidad directa que deriva del bien jurídico protegido por la norma que se
infringe y la necesidad de que dicha protección sea realmente eficaz [...]”
En definitiva, la conducta del reclamado, concretada en la infracción del
principio de licitud, en relación con el artículo 20 de la LOPDGDD, al incluir los datos
de carácter personal de la reclamante en sistemas comunes de información crediticia
sin base de legitimación, ya que la reclamante no podía ser la contratante de la tarjeta
Ikea, vulnera el artículo 6.1 del RGPD, actuación subsumible en el tipo sancionador
del artículo 83.5.a) del RGPD
4. Por último, alega el reclamado la vulneración del principio de
proporcionalidad en la imposición de la sanción.
El artículo 83.1 del RGPD previene que “Cada autoridad de control garantizará
que la imposición de las multas administrativas con arreglo al presente artículo por las
infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en
cada caso individual efectivas, proporcionadas y disuasoria”.
Las multas por tanto según se deduce del precepto han de ser efectivas,
proporcionadas y disuasorias para la consecución de la finalidad pretendida por el
RGPD.
Es cierto, que para que dicho sistema funcione con todas sus garantías es
necesario que varios elementos se desplieguen de forma íntegra y completa. La
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/31
aplicación de reglas ajenas al RGPD respecto de la determinación de las multas en
cada uno de los Estados miembros aplicando su derecho nacional, ya sea por
circunstancias agravantes o atenuantes no previstas en el RGPD -o en la LOPDGDD
en el caso español al permitirlo el propio RGPD-, restaría efectividad al sistema que
perdería su sentido, su finalidad teleológica, la voluntad del legislador, resultando que
las multas impuestas por distintas infracciones dejarían de ser efectivas,
proporcionadas y disuasorias. Y de esta forma también se hurtaría a los interesados
de la garantía efectiva de sus derechos y libertades, debilitando la aplicación uniforme
del RGPD. Se disminuirían los mecanismos de protección de los derechos y las
libertades de los ciudadanos y sería contrario con el espíritu del RGPD.
El RGPD está dotado de su propio principio de proporcionalidad que ha de ser
aplicado en sus estrictos términos.
En cuanto al principio de proporcionalidad de las sanciones, la Audiencia
Nacional en numerosas sentencias ha señalado que el principio de proporcionalidad
no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se
otorga a la Administración en la imposición de sanciones dentro de los límites
legalmente previstos, debe ser desarrollado ponderando en todo caso, las
circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción
entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe
determinarse en congruencia con la entidad de la infracción cometida y según un
criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que
la proporcionalidad constituye un principio normativo que se impone a la
Administración y que reduce el ámbito de sus potestades sancionadoras.
Pues bien, de conformidad con las circunstancias que concurren en el presente
caso la presente resolución no vulnera el principio de proporcionalidad en la
determinación de las sanciones impuestas, resultando ponderada y proporcionada a la
gravedad de la infracción cometida, la importancia de los hechos, así como las
circunstancias tenidas en cuenta para graduar la sanción, sin que se aprecien razones
que justifiquen aún más la minoración efectuada, sobre todo teniendo en cuenta la
cuantía a la que pueden ascender dichas sanciones de conformidad con el art. 83.5
del RGDP, que prevé para la infracción del artículo 6.1 del RGDP, “con multas
administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4% como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía”.
Pues bien, la entidad es una gran empresa dentro de su sector de actividad; en
el año 2021 (último ejercicio presentado) tuvo ventas superiores a los 750 millones de
euros y un resultado de ejercicio de más de 218 millones de euros.
VI
A fin de establecer la multa administrativa que procede imponer han de
observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que
señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/31
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas contempladas
en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.
En relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su
artículo 76, “Sanciones y medidas correctivas”, establece que:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/31
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
- De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la
sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a)
y artículo 6.1 del RGPD (inclusión de deuda en ficheros de morosos), de la que se
responsabiliza al reclamado, en una valoración inicial, se estiman concurrentes los
siguientes factores:
Son circunstancias agravantes:
La naturaleza y gravedad de la infracción; los hechos puestos de manifiesto
afectan a un principio básico relativo al tratamiento de los datos de carácter personal,
como es el de legitimidad, que la norma sanciona con la mayor gravedad; el nivel de
los perjuicios sufridos por la reclamante que afectan a su solvencia económica al
habérsele denegado un préstamo como consecuencia de que sus datos personales
figuraban en sistemas comunes de información crediticia a instancias del reclamado
en relación con una deuda procedente de una tarjeta de crédito Ikea que ascendía a
690,25 € vinculada con el reclamado, siendo dados de alta el 30/06/2020 y figurando
hasta el 11/08/2021, al ser dados de baja por el reclamado, como consecuencia de la
cesión de la deuda a la mercantil Invest Capital Ltd (artículo 83.2.a) del RGPD).
La actividad de la entidad presuntamente infractora está vinculada con el
tratamiento de datos de carácter personal tanto de clientes como de terceros. En la
actividad de la entidad reclamada es imprescindible el tratamiento de datos de
carácter personal por lo que, dado volumen de negocio de la misma la transcendencia
de la conducta objeto de la presente reclamación es innegable (artículo 76.2.b) de la
LOPDGDD en relación con el artículo 83.2.k).
La intencionalidad o negligencia en la infracción, pues el reclamado incluyo los
datos en ficheros de morosos sin que la deuda cumpliera los requisitos del artículo
20.1 de la LOPDGDD y sin efectuar la necesaria ponderación. Conectada también con
el grado de diligencia que el responsable del tratamiento está obligado a desplegar en
el cumplimiento de las obligaciones que le impone la normativa de protección de datos
puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del
RGPD su pronunciamiento es perfectamente extrapolable al supuesto que
analizamos. La sentencia, después de aludir a que las entidades en las que el
desarrollo de su actividad conlleva un continuo tratamiento de datos de clientes y
terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el
Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con
la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso
ahora examinado, cuando la actividad de la recurrente es de constante y abundante
manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado
por ajustarse a las prevenciones legales al respecto” (artículo 83.2, b) del RGPD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/31
La entidad investigada es una gran empresa dentro de su sector de actividad y
en el año 2021 (último ejercicio presentado) tuvo unas ventas de 752.310.000 € y un
resultado de ejercicio de 218.701.000 € según datos Axesor (artículo 83.2.k) del
RGPD).
VII
Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de
control se relacionan en su artículo 58.2, apartados a) a j).
Al haberse confirmado la infracción, procede imponer al responsable la
adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada
en este acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá “d) ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado”.
En el presente caso, se requiere al reclamado para que en el plazo de seis
meses a partir de la notificación de la presente resolución:
- Acredite la adopción de medidas adecuadas para evitar que en el futuro se
produzcan incidencias como las que han provocado la apertura del presente
procedimiento sancionador evitando incidentes como el señalado al tratar datos de
carácter personal en sistemas de información crediticia, sin legitimación alguna de las
contempladas en el artículo 6.1 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas
impuestas por este organismo en la resolución sancionadora podrá ser considerado
como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada
como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura
de un ulterior procedimiento administrativo sancionador.
III
El recurrente en su escrito de recurso manifiesta su disconformidad con lo
señalado en la Resolución recurrida en relación con la vulneración del artículo 6.1 del
RGPD y ha realizado las siguientes alegaciones:
En primer lugar, insiste el reclamado el tratamiento de los datos personales de
la deudora tanto en la cesión como en el tratamiento de éstos por la cesionaria del
crédito (InvestCapital Ltd), encuentra su base jurídica en el artículo 6.1 RGPD y que
cuando se realizó la cesión no tenía conocimiento alguno del posible uso fraudulento
de los datos de la reclamante, siendo posteriormente a la citada venta cuando conoció
de la suplantación de identidad y que por tal motivo no existe culpabilidad.
Sin embargo, tal alegato no puede ser admitido; la entidad reclamada es la
responsable del tratamiento, quien decide sobre el tratamiento de los datos personales
de los interesados, los fines y los medios de dicho tratamiento y de aplicar las medidas
técnicas y organizativas que garanticen la seguridad de los datos personales con
motivo de dicho tratamiento; además, debe asegurarse que el tratamiento responde a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/31
los principios consagrados en el artículo 5 del RGPD y, como sucede en el presente
caso, del principio de licitud.
Pues bien, el reclamado no ha acreditado el mecanismo o protocolo que
verifique la identidad del solicitante del crédito y se le recuerda al recurrente que no ha
desvirtuado ninguna de las cuestiones recogidas en la Resolución con respecto a la
forma de acreditar la identidad y el motivo de que no le conste la documentación que
era necesaria para llevar a cabo la contratación.
El responsable de la contratación del crédito y del tratamiento de los datos
personales de los clientes que solicitan financiación es el reclamado, en el
procedimiento establecido para la formalización de un contrato de crédito para obtener
la tarjeta Ikea, el empleado/vendedor de Ikea utiliza una aplicación instalada en la
tableta digital que está conectada a los sistemas informáticos del reclamado; de esta
forma, los datos obtenidos son remitidos de manera inmediata a los sistemas
informáticos del reclamado para su verificación, análisis y tramitación ante dicha
mercantil, no conservando Ikea en cumplimiento del acuerdo suscrito ninguna
documentación al respecto ni ningún dato de carácter personal.
Pues bien, la firma que figura en el DNI y la que consta en el contrato aportado
no coinciden; además, el reclamado tiene una serie de datos socioeconómicos que no
consta que se le facilitaran durante la contratación; como así consta en el informe de
actuaciones “El reclamado no ha aportado documentación que acredite la anterior
información socioeconómica que consta en sus sistemas”. Entre esa documentación
figura el número de cuenta en la que se domiciliaron los pagos; según la FAQs
(Frequently Asked Questions o preguntas frecuentes) de financiación:
¿Qué requisitos existen para solicitar mi Tarjeta?
Solo tienes que presentar:
Un documento identificativo como el DNI o pasaporte
Un recibo bancario original con tu nombre y número de cuenta para la
domiciliación.
Original de un justificante de ingresos:
• Última nómina
• Autónomos, gerentes y administradores: último IRPF o trimestre
• Pensionistas: hoja de revalorización de la pensión
Si eres cliente de CaixaBank solo necesitas tu DNI/NIE y tu tarjeta de crédito o
débito para tramitar tu solicitud.
Sin embargo, dicha documentación que el solicitante debe aportar ni figura ni le
consta a la reclamada, es decir, no fue aportada pues no hay que olvidar que la
reclamante no era la titular de la cuenta bancaria según consta en los hechos
probados.
El vendedor de Ikea, teniendo al solicitante presente físicamente en el
establecimiento comercial debe proceder a identificar al cliente a través de su
documento de identidad.
Posteriormente, teniendo al cliente delante realiza una fotografía de su
documento de identidad con la tableta digitalizadora y solicita datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/31
adicionales, datos de tipo socioeconómicos (situación laboral, ingresos mensuales,
pagas, cargo, Profesión, empresa, etc.) e introduce la información en el sistema.
Por último, la aplicación cuenta con un proceso de firma a través de la tableta
digitalizadora y los datos obtenidos son remitidos de manera inmediata a los sistemas
informáticos del reclamado para su verificación, análisis y tramitación ante dicha
mercantil.
Pues bien, tal y como manifiesta la reclamante tanto en reclamación ante la
AEPD como en su denuncia ante la Comandancia de la Guardia Civil en Pinto
(Madrid), ampliatoria de la realizada en Puente de Vallecas ante la Comisaria de la
Policía Nacional, nunca estuvo en el citado centro comercial por lo que nunca pudo
suscribir el contrato de tarjeta Ikea y ni aportar los datos contenidos en el mismo; tal
es así que el número de móvil, cuenta de correo electrónico, domicilio, número de
cuenta bancaria, empresa y firma que figuran en el citado contrato no le corresponden.
De lo anterior se desprende la actuación negligente de la reclamada que no procedió a
realizar las verificaciones oportunas ni a comprobar que la documentación necesaria
para la contratación había sido remitida por el establecimiento de IKEA.
En relación con el nº de cuenta aportada, ING BANK NV SUCURSAL EN
ESPAÑA en escrito de 23/072023 ha señalado que la citada cuenta fue contratada
telefónicamente por persona que no es la reclamante el 06/09/2018.
Y en relación con la firma estampada en el contrato no se corresponde con la
firma de la reclamante”.
Por tanto, no se ha acreditado el mecanismo para verificar la identidad del
solicitante del crédito, ¿Como es posible que teniendo delante a la solicitante de la
tarjeta el suscriptor verificara la identidad de la misma sin coincidir, no solo la persona
que pretendía contratar, además de ninguno de los documentos que eran necesarios
para llevar a cabo la contratación? Salvo por la grave negligencia en el actuar que
hubiera sido superada de haberse seguido el mecanismo o protocolo que hubiera
concluido con que la persona que acudió al establecimiento comercial no era aquélla
que decía ser y que el documento que portaba, no era el suyo y, para más inri,
procediera a efectuar el registro de la imagen grafológica de la firma en los sistemas
de la entidad; la propia entidad ha señalado que no se realizó una correcta
identificación de la persona, por lo que estamos ante un comportamiento ausente de
diligencia alguna.
No se trata únicamente de acreditar que la contratación ha existido, el
responsable debe estar en condiciones de acreditar que la contratación se realizó por
la persona que dice ser quien es.
- Alega igualmente el recurrente que la inclusión de los datos de la reclamante
en los sistemas comunes de información crediticia fue debida a la falta de pago de la
deuda correspondiente al contrato de crédito con tarjeta Ikea y que obran los
requerimientos de pago remitidos a la reclamante como paso previo a la citada
inclusión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/31
Se hace necesario volver a reiterar que la deuda a la que el recurrente se
refiere procedía de un contrato que la reclamante no había suscrito como consta
acreditado en el procedimiento, por lo que la deuda vinculada a la citada tarjeta de
crédito Ikea no podía ser cierta, vencida ni exigible al no corresponder a la reclamante.
Para más inri y en cuanto a los requerimientos de deuda remitidos a la
reclamante, figura en los hechos probados que no han sido desvirtuados por el
recurrente, que la empresa CGI mediante escrito de 01/03/2023 remitido a la
reclamante “la carta de fecha 21/06/2020, cuya copia se adjunta, fue generada con la
información facilitada por el reclamado …, para su impresión (Fichero:(…); Sobre:
XXXX) y posterior puesta a disposición del distribuidor postal que se encargó de su
envío a la dirección:
***DIRECCIÓN.2
Y que realizado el proceso establecido para su remisión y desde la puesta a
disposición en CORREOS, que no se había recibido incidencia alguna y tampoco
devolución de dicha carta; se daba por aceptado y admitido que la carta había llegado
a su destinatario cuando el Ayuntamiento de Madrid, a través de la Unidad Técnica del
Callejero en escrito de 07/08/2023 ha establecido que “Actualmente no existe ningún
vial en el callejero municipal de la ciudad de Madrid con el nombre de Calle (...) y por
lo tanto tampoco el número 75 de esta vía”. ¿Cómo es posible admitir que la carta de
requerimiento llego a su destinatario si la dirección de envío era inexistente?
El recurrente llevó a cabo el tratamiento de los datos de la reclamante sin
legitimación alguna pues no se han respetado las garantías que prevé el artículo 20 de
la LOPDGDD, dado que la deuda no era cierta, vencida ni exigible, deuda que no
correspondía a la reclamante al derivarse de una contratación fraudulenta.
Por tanto, incluyó los datos de la reclamante en sistemas de información
crediticia sin haber acreditado diligencia en la contratación, por lo que resulta
responsable de la inexactitud de los datos, al haber incluido en el fichero datos de una
deuda que no correspondía a la reclamante. Además, comunicó los datos de la
reclamante al vender una cartera de créditos siendo la deuda inexistente
- Alega igualmente el reclamante la vulneración del principio non bis in ídem;
señala que la AEPD ya se ha pronunciado sobre dichos hechos en el Exp.202202936
cuya Resolución dictada el 14/06/2022 acordaba el archivo de las actuaciones.
Sin embargo, el citado alegato tampoco puede ser aceptado; en el
Exp.202202936 se analizaban unos hechos puestos de manifiesto por la reclamante
en febrero de 2022 en reclamación dirigida contra KRUK.
En el citado expediente manifestaba la reclamante que “La empresa KRUK
ESPAÑA SL ha accedido a mis datos personales, como domicilio, número de teléfono
y correo electrónico sin yo haber dado consentimiento ninguno para que esta empresa
trate mis datos. Me reclaman una deuda a CaixaBank Payment&Consumer la cual ya
ha sido denunciada por suplantación de identidad hace más de 6 meses, fruto de lo
cual esta empresa retiro la deuda. En el falso contrato de la tarjeta de crédito pedida a
mi nombre además no aparecen ninguno de mis datos reales, solo el nombre y el dni.
Por lo tanto esta empresa, KRUK ESPAÑA SL, ha tenido que acceder a mis datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/31
personales de alguna manera ilícita ya que yo no di ningún consentimiento para que
ellos accedieran. Como resultado, KRUK ESPAÑA SL me está reclamando una deuda
que ya no existe con llamadas telefónicas y acoso a mí y mis familiares.”
KRUK, prestaba a InvestCapital servicios de recuperación de deuda, actuando
como encargado del tratamiento. La deuda reclamada, cuyo acreedor original fue el
recurrente, derivaba de la contratación fraudulenta de la tarjeta de crédito con IKEA.
No hay que olvidar que el 29/07/2021 InvestCapital, Ltd., adquirió los derechos
de crédito de una cartera de deuda de la recurrente, pasando InvestCapital, Ltd., a
ostentar la posición de acreedor.
Los días 3 y 8/02/2022, la interesada remitió dos correos electrónicos a KRUK,
en el primero de los cuales solicitaba saber si ella constaba como deudora en sus
sistemas, y en el segundo, le indicaba que ella no era titular de dicha deuda, que todo
era fruto de una suplantación de su identidad respecto a la contratación de la tarjeta
con el ahora recurrente solicitando la supresión de sus datos, y además le informaba
que había denunciado dicha circunstancia a la policía y a la AEPD. Ninguna de estas
denuncias se dirigía contra KRUK o InvestCapital.
KRUK respondió a la reclamante confirmando el importe de la deuda e
informando de la cesión de la deuda, junto con copia del contrato de tarjeta de crédito
original suscrito con la recurrente y los movimientos de la tarjeta. Respecto a la
solicitud de supresión de los datos, KRUK le indicaba que de momento no se podían
suprimir puesto que el acreedor (InvestCapital) tenía constancia de la deuda, pero
dado que había aportado indicios de posible fraude al haber denunciado a la policía
una suplantación de identidad, KRUK le informó que acordaba paralizar el expediente
temporalmente hasta obtener evidencias de la suplantación de identidad que permitan
cerrar definitivamente el expediente.
Por tanto, la resolución de archivo tan solo entró a examinar la actuación y
legitimidad de KRUK en cuanto al tratamiento de datos de la reclamante, pero en
ningún caso en el citado expediente se analizó ni cuestiono la actuación de la
recurrente.
Señalábamos anteriormente que el 29/07/2021 InvestCapital, Ltd., adquirió los
derechos de crédito de una cartera de deuda de la recurrente, pasando InvestCapital,
Ltd., a ostentar la posición de acreedor remitiendo a los deudores carta informando
sobre dicha cesión del derecho de crédito.
El recurrente respondió al traslado de la reclamación de la reclamante de
13/11/2023 indicando en escrito de 31/12/2021 que "tan pronto como tuvo
conocimiento del presento fraude en la contratación, procedió a la supresión/bloqueo
de los datos personales de la afectada, y procediendo igualmente a dar de baja sus
datos de los sistemas comunes de información crediticia".
Si bien, en escrito posterior de 14/06/2022 manifestaba “La anterior
manifestación era errónea ya que los datos de la afectada y reclamante, referentes al
contrato de crédito con tarjeta Ikea Visa anteriormente citado, habían sido dados de
baja de los sistemas de información crediticia en fecha 11 de agosto de 2021, como
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/31
consecuencia del mencionado contrato de compraventa y cesión de créditos de fecha
29 de julio de 2021”.
Por tanto, como así se señala en la Resolución recurrida el reclamado no
procedió a la baja de los datos en los ficheros de morosos ni al bloqueo de los datos
porque tuviera conocimiento de la supuesta suplantación de la personalidad de la
reclamante y un presunto fraude en la contratación, sino que la baja en los ficheros
vino motivada porque el crédito fue objeto de cesión mediante contrato de
compraventa formalizado en Madrid, con la empresa InvestCapital Ltd., en fecha
16/09/2021.
InvestCapital, como acreedor, nunca dio de alta a la interesada en ningún
sistema de información crediticia, tal responsabilidad recae únicamente sobre el
recurrente que fue quien informó la inclusión de los datos de carácter personal de la
reclamante en los ficheros ASNEF y BADEXCUG, por una deuda ilícita ya que no
cumpla ninguno de los requisitos del artículo 20.1 de la LOPDGDD.
El tratamiento de los datos llevado a cabo por InvestCapital, Ltd., como
responsable del tratamiento, y por KRUK ESPAÑA S.L., en su condición de encargado
del tratamiento, es fruto de la adquisición del paquete de deuda, créditos
supuestamente impagados procedentes del recurrente y, quienes confiando en la
apariencia de veracidad de los créditos cedidos, llevaron a cabo un tratamiento de
datos provocado como adquiriente de buena fe, no pudiendo ser constitutivo dicha
conducta constitutiva de infracción del artículo 6.1 del RGPD.
Comportamiento que no es predicable del recurrente cuya conducta es
contraria al principio de licitud consagrado en el artículo 6.1 del RGPD; tratamiento se
inicia con la contratación fraudulenta de la tarjeta de crédito Ikea nº ***NÚMERO.1 y
que persiste con la posterior inclusión de los datos de la reclamante en el fichero
Asnef por una deuda que no le correspondía, desde 30/06/2020 hasta el 11/08/2021,
baja que se produce como consecuencia del mencionado contrato de cesión de
créditos de fecha 29/07/2021.
Por tanto, como se señalaba con anterioridad la actuación del reclamado
supone la vulneración del artículo 6.1 del RGPD, en relación con el artículo 20.1 de la
LOPDGDD, infracción del principio de licitud en el tratamiento de los datos que
requiere la existencia de una base legal que lo legitime; infracción que ocasionó que
los datos de la reclamante fueran incluidos en los sistemas de información crediticia
sin que la deuda fuera cierta, vencida y exigible y sin que el reclamado haya
acreditado haber realizado la ponderación legalmente establecida, y en consecuencia
sin que conste que sus intereses legítimos prevalezcan sobre los intereses, derechos y
libertades de la reclamante, infracción tipificada en el artículo 83.5.a) del RGPD.
- Por último, insiste el recurrente en la ausencia de responsabilidad y
culpabilidad en su actuación y que nadie puede ser condenado o sancionado sino por
hechos a título de dolo o culpa.
Ya en la resolución recurrida se le señalaba al ahora recurrente que la
responsabilidad objetiva está proscrita en nuestro ordenamiento jurídico. En el ámbito
del Derecho Administrativo sancionador rige el principio de culpabilidad, de forma que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/31
el elemento subjetivo o culpabilístico es una condición indispensable para que nazca la
responsabilidad sancionadora. El artículo 28 de la Ley 40/2015, de Régimen Jurídico
del Sector Público (LRJSP) regula el principio de culpabilidad y dispone: “1. Sólo
podrán ser sancionadas por hechos constitutivos de infracción administrativa las
personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de
obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los
patrimonios independientes o autónomos, que resulten responsables de los mismos a
título de dolo o culpa.”
A la luz de este precepto, la responsabilidad sancionadora puede exigirse a
título de dolo o de culpa, siendo suficiente en el último caso la mera inobservancia del
deber de cuidado.
El Tribunal Constitucional, entre otras, en su STC 76/1999, ha declarado que
las sanciones administrativas participan de la misma naturaleza que las penales, al ser
una de las manifestaciones del ius puniendi del Estado, y que, como exigencia
derivada de los principios de seguridad jurídica y legalidad penal consagrados en los
artículos 9.3 y 25.1 de la CE, es imprescindible su existencia para imponerlas.
A propósito de la culpabilidad de la persona jurídica cabe citar la STC
246/1991, 19 de diciembre de 1991 (F.J. 2), conforme a la cual, respecto a las
personas jurídicas, el elemento subjetivo de la culpa se ha de aplicar necesariamente
de forma distinta a como se hace respecto de las personas físicas y añade que “Esta
construcción distinta de la imputabilidad de la autoría de la infracción a la persona
jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos
sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de
infringir las normas a las que están sometidos. Capacidad de infracción y, por ende,
reprochabilidad directa que deriva del bien jurídico protegido por la norma que se
infringe y la necesidad de que dicha protección sea realmente eficaz [...]”
En definitiva, la conducta del reclamado, concretada en la infracción del
principio de licitud, en relación con el artículo 20 de la LOPDGDD, vulnera el artículo
6.1 del RGPD, actuación subsumible en el tipo sancionador del artículo 83.5.a) del
RGPD
IV
En consecuencia, en el presente recurso la parte recurrente no ha aportado
nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la
resolución impugnada.
Vistos los preceptos citados y demás de general aplicación,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DESESTIMAR el recurso de reposición interpuesto por CAIXABANK
PAYMENTS & CONSUMER EFC, EP, S.A.U. contra la resolución de esta Agencia
Española de Protección de Datos dictada con fecha 13/11/2023, en el expediente
EXP202105363.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/31
SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK PAYMENTS &
CONSUMER EFC, EP, S.A.U.
TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva
una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el
artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el
artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto
939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000
0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco
CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período
ejecutivo.
Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes,
ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes
siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de
cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes
siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), los interesados podrán interponer recurso
contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite
la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no
tuviese conocimiento de la interposición del recurso contencioso-administrativo en el
plazo de dos meses desde el día siguiente a la notificación de la presente resolución,
daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es