Kredi Kayıtlarının Silinmesi Talebi

1/42

Expediente N.º: EXP202302929

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 19 de abril de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a IDFINANCE SPAIN,
S.A.U. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar
las alegaciones presentadas, con fecha 3 de junio de 2024, se emitió la propuesta de
resolución que a continuación se transcribe:

Expediente N.º: EXP202302929

PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:

ANTECEDENTES

PRIMERO: Con fecha 23 de enero de 2023, A.A.A. (en adelante, la parte reclamante)
interpuso reclamación ante la Agencia Española de Protección de Datos.

La reclamación se dirige contra IDFINANCE SPAIN, S.A.U. con NIF A66487190 (en
adelante, la parte reclamada).

Los motivos en que basa la reclamación son los siguientes:

La parte reclamante, a través de su representante FACUA, presenta reclamación ante
esta Agencia por la negativa de la parte reclamada a suprimir sus datos personales de
sistemas comunes de información crediticia.

Señala que, en fecha 1 de diciembre de 2022, solicitó supresión de sus datos
personales ante la parte reclamada, aportando copia de la denuncia policial
presentada el 18 de mayo de 2020.

Recibe respuesta de la reclamada informando que no procede la supresión al existir
una deuda pendiente de pago.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/42

Junto a su reclamación aporta copia de la solicitud de supresión presentada por la
reclamante (en nombre propio) junto a la denuncia policial remitida a la parte
reclamada y respuesta de 22 de diciembre de 2022 en la que le informan que no
procede la supresión por existir un préstamo impagado y en la que requieren la
denuncia policial que ya aporta la reclamante en su solicitud de supresión.

La parte reclamante presenta, además:

 Autorización a FACUA para su representación.

 Certificado de socio de FACUA de la parte reclamante.

 Copias de DNI de reclamante y de secretario de FACUA Córdoba.

 Denuncia de 18 de mayo de 2020 en la Comisaría de Córdoba-Este de la
Policía Nacional en la que la parte reclamante declara: haber recibido en su
buzón, dos días antes, una carta de la parte reclamada reclamando una deuda
por un préstamo; no reconocer la deuda; no haber realizado ninguna
contratación con la mencionada empresa.

 Carta de FACUA, actuando en representación de la parte reclamante, de 20 de
septiembre de 2022, dirigida a la parte reclamada, ***EMAIL.1, ***EMAIL.2 y
***EMAIL.3, con asunto “***ASUNTO.1” en la que solicita a la parte reclamada
la remisión de la información relativa a la formalización del contrato y su
aceptación, y que en caso de no disponer de la misma procedan al archivo de
la reclamación de la deuda y a la cancelación de los datos de la parte
reclamante.

 Correo electrónico de FACUA, actuando en representación de la parte
reclamante, enviado el 21 de septiembre de 2022 a ***EMAIL.1, ***EMAIL.2 y
***EMAIL.3, indicando que adjunta la reclamación de su representada. Adjunto
al correo se envía un archivo de 1,5 MB denominado “***ARCHIVO.1”.

 Carta de la parte reclamante, con fecha 1 de diciembre de 2022, dirigida a la
parte reclamada y a los correos electrónicos ***EMAIL.1, ***EMAIL.2 y
***EMAIL.3, en la que expone que no tiene relación con la parte reclamada y
que viene siendo molestada por la misma desde hace dos años, que interpuso
denuncia en la policía el 20 de mayo de 2020, que ha reclamado a través de
FACUA solicitando la documentación del supuesto contrato pero no ha recibido
respuesta a la misma, y por la que solicita la supresión de sus datos
personales, el archivo de cualquier expediente de gestión de cobro y la
comunicación de la supresión de sus datos a otros responsables de
tratamiento.

 Correo electrónico de la parte reclamante el 1 de diciembre de 2022 a las
12:18, en el que reenvía a FACUA un correo remitido a las 11:17 a ***EMAIL.1
solicitando sea atendido su derecho de supresión.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/42

 Correo electrónico de la parte reclamante a FACUA el 1 de diciembre de 2022
a las 12:43, en el que reenvía los correos remitidos a las 11:42 a ***EMAIL.3 y
a las 11:17 a ***EMAIL.1 con un adjunto de 3,0 MB “***ARCHIVO.2”

 Correo electrónico de la parte reclamante el 23 de diciembre de 2022, en el
que reenvía a FACUA correo de respuesta desde ***EMAIL.1, de 22 de
diciembre, y en el que la parte reclamada contesta al enviado a su vez el 1 de
diciembre a las 11:17 por la parte reclamante (idéntico al reenviado en la Parte
5 anterior). En la contestación, el DPD de la parte reclamada comunica a la
parte reclamante no poder atender su derecho de supresión por la existencia
de una deuda pendiente, e indica que en caso de tener sospechas de haber
sido víctima de un proceso de suplantación de identidad debe remitirles copia
de denuncia presentada ante la policía.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 13 de marzo de 2023, se dio traslado a IDFINANCE SPAIN
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 23 de marzo de 2023 como
consta en el acuse de recibo que obra en el expediente.

Con fecha 23 de abril de 2023 se recibe en esta Agencia escrito de respuesta,
indicando que los datos personales fueron obtenidos directamente de la reclamante en
el momento que se formalizó el préstamo a través de la web de la entidad utilizándose
como método para su identificación en el momento de la contratación un sistema de
verificación de la identidad reforzada a través del proveedor "DEYDE Calidad de
Datos, S.L." (en adelante, "DEYDE") mediante el cual el sistema, cuando recibe una
solicitud, automáticamente envía a DEYDE el nombre y apellidos y número del DNI.

De esta forma DEYDE comprueba en la base de datos de la Agencia Estatal de
Administración Tributaria (AEAT) que efectivamente esos datos coinciden con la
información que tienen en la mencionada base de datos.

En este caso, la comprobación por DEYDE verificó la coincidencia entre la información
facilitada a IDFINANCE y la que le consta a la AEAT por lo que IDFINANCE dio por
válida dicha verificación en fecha 09/03/2020 (12:09:46).

Junto a su respuesta aporta además los siguientes documentos:

 PROCEDIMIENTO GESTION ASNEF
 CONTRATO, CERTIFICADO Y CUADRO AMORTIZACIONES
 PROCEDIMIENTO SOLICITUD PRÉSTAMO

TERCERO: Con fecha 23 de abril de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/42

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, se solicita información a:
 LA DIRECCIÓN GENERAL DE LA POLICÍA
 DEYDE CALIDAD DE DATOS S.L
 BANCO BILBAO VIZCAYA ARGENTARIA, S.A.
 XFERA MÓVILES S.A.
 ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE SOLVENCIA Y CRÉDITO, S.L.,
 IDFINANCE SPAIN, S.A.U.

Estas actuaciones de investigación permiten constatar los siguientes extremos:

La presente reclamación proporciona, como datos del reclamado, “MONEYMAN (ID
FINANCE SPAIN)”.

La parte reclamada es responsable del sitio web ***URL.1.

ACTUACIONES ANTE LA DIRECCIÓN GENERAL DE LA POLICÍA

El 31 de mayo de 2023 se solicita colaboración a la DIRECCIÓN GENERAL DE LA
POLICÍA, que con fecha 13 de junio manifestó, a través de su Delegado de Protección
de Datos, la imposibilidad legal de la remisión de la información solicitada.

Al solicitar a la parte reclamada los datos objeto del tratamiento que constan en sus
sistemas y origen de éstos, la parte reclamada manifiesta en que:

“Las categorías de datos personales que constan en nuestros sistemas son los
siguientes:

- Datos identificativos: nombre, apellidos, Documento Nacional de Identidad, ID
Borrower (ID asignada al solicitante por parte del sistema), IP´s.
- Datos de contacto: Dirección, teléfono, correo electrónico
- Circunstancias personales: estado civil, fecha de nacimiento, situación familiar, sexo.
- Datos de empleo: régimen de contratación, empleador y departamento.
- Datos económicos y financieros: Ingresos, IBAN bancario.
- Datos relacionados con las solicitudes de crédito: importes, tipos de interés a aplicar
en caso de ser el crédito aprobado, plazos de devolución y, en su caso, importe de la
deuda.”

En la lista anterior no se menciona que en sus sistemas se guarde ninguna imagen del
DNI de la parte reclamante.

Al solicitar que proporcione la lista de los datos personales que su sistema almacena
cuando se registra un nuevo cliente y copia de los datos e imágenes guardados por la
aplicación cuando se registró la parte reclamante, la parte reclamada manifiesta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/42

“Adjuntamos como ANEXO IX mediante certificado el listado de los datos que nuestro
sistema almacena cuando se registra un nuevo cliente, así como copia de los
mismos”.

La parte reclamada aporta documento, en el que manifiesta:

“Los datos facilitados por nuestro/a cliente/a el pasado día ***FECHA.2 cuando el/la
Sr./a. A.A.A. solicitó un préstamo a través de nuestra página web, sobre los que el/la
mismo/a ratificó su veracidad, son los que constan a continuación;

Nombre: A.A.A.
Primer apellido: A.A.A.
Segundo apellido: A.A.A.
DNI/NIE: ***NIF.1
Fecha de nacimiento: ***FECHA.1
Dirección: ***DIRECCIÓN.1
Teléfonos en los que se ha contactado al titular: +***TELÉFONO.1,+***TELÉFONO.2
Teléfonos facilitados por el titular sin contacto con el mismo: +***TELÉFONO.2
Dirección de email: ***EMAIL.4”

Los siguientes datos de interés se extraen de la solicitud de este/a mismo/a cliente/a
para poder proceder con su reclamación;

Dirección IP de acceso: ***IP.1
Fecha de solictud del préstamo: ***FECHA.2
Importe solicitado: 000.0 €
Fecha de devolución acordada: ***FECHA.3
Importe debido a fecha de redacción de este documento: 000.0 €
Importe suma de intereses adeudados a fecha de redacción de este
documento:000.0€”

La parte reclamada no indica que conserve ninguna certificación de titularidad
bancaria.

Sin embargo, al solicitar a la parte reclamada la acreditación del medio utilizado para
identificar a la persona afectada en el momento de la contratación, la parte reclamada
manifiesta:

“En la fecha de solicitud del préstamo IDFINANCE aplicó al caso concreto un sistema
de verificación de la identidad reforzada a través del proveedor “DEYDE Calidad de
Datos, S.L.” (en adelante, “DEYDE”) mediante el cual el sistema, cuando recibe una
solicitud, automáticamente envía a DEYDE el nombre y apellidos y número del DNI.
De esta forma DEYDE comprueba en la base de datos de la Agencia Tributaria
Española que efectivamente esos datos coinciden con la información que tienen en la
mencionada base de datos. En este caso, la comprobación por DEYDE verificó la
coincidencia entre la información facilitada a IDFINANCE y la que le consta a la
Agencia Tributaria Española por lo que IDFINANCE dio por válida dicha verificación.

Adjuntamos como ANEXO IV la verificación de la identidad de la Reclamante.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/42

La parte reclamada aporta una imagen donde aparece la fecha de registro de la parte
reclamante en Moneyman (9 de marzo de 2020) y menciones a “Deyde-Passport",
pero no aparece ningún dato que permita asociar la información a la parte reclamante,
aunque la cifra que aparece en la última línea “***FECHA.2 12:25:14: Money sent;
payment order XXXXXXX; Unnax XXXXXXX”, aparece también en el contrato, pág. 9,
y en la denuncia.

Las manifestaciones de DEYDE CALIDAD DE DATOS S.L. sobre el contrato de
servicio firmado con la parte reclamada con su adenda, y la copia del mismo contrato
proporcionada posteriormente por la parte reclamada como con su adenda, describen
el servicio prestado como comprobación de la correspondencia entre un nombre y un
NIF en contraste con el censo de la AEAT.

ACTUACIONES ANTE DEYDE CALIDAD DE DATOS S.L.

DEYDE CALIDAD DE DATOS S.L. manifiesta:

“En ningún caso DEYDE ofrece ni comercializa MyDataQ_ID Validation como un
sistema de verificación de identidad, ni las funciones que realiza pueden considerarse
englobadas en este concepto ya que sólo reciben un nombre y un documento de
identidad, sin tener acceso a otros datos que permitieran realizar validación de
identidad alguna. Es decir, que la finalidad de dicho servicio es verificar que el usuario
está censado en la Agencia Tributaria.

Asimismo, el producto no accede a ninguna base de datos de la Agencia Tributaria,
sólo proporciona un servicio incluido en su sede electrónica.

Así se recoge de forma expresa en el contrato firmado entre DEYDE e ID FINANCE.

[…]
Entendemos que el dato de A.A.A. con NIF ***NIF.1 debió ser enviado hace más de
18 meses, ya que actualmente no tenemos constancia de él ni en nuestros sistemas
de producción, que tienen datos de los últimos 20 días, ni en el sistema de backup que
contiene información de 18 meses anteriores.

Si hemos podido comprobar que, a 1 de junio de 2023, el servicio nos indica que esos
datos están censados en la Agencia Tributaria.”

Es decir, manifiesta que, al ser contrastados con el censo de la AEAT, existe
coincidencia entre el nombre y el NIF proporcionados.

Siguiendo el siguiente enlace, se puede consultar más información sobre este servicio:

***URL.2.

La parte reclamada manifiesta que “Los datos fueron obtenidos directamente de la
interesada en el momento que se formalizó el préstamo” y que aporta “el contrato
suscrito por la Reclamante como ANEXO II” y el “procedimiento actual de solicitud de
préstamo como ANEXO III”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/42

La parte reclamada manifiesta que el procedimiento seguido para la verificación de la
identidad de la parte reclamante consistió en la comprobación de coincidencia entre
nombre y número de DNI/NIF a través del mencionado servicio de la Agencia
Tributaria y, según se deduce y se explica más adelante, debió incluir una llamada
telefónica y el envío de imágenes del DNI a través de una página web cuya URL fue
proporcionada mediante mensajes SMS.

El procedimiento aportado no se corresponde con las anteriores manifestaciones, ya
que incluye la verificación mediante aportación de imágenes del DNI y fotografía
“selfie” a través de una app de la parte reclamante, mientras que en los SMS que la
parte reclamada manifiesta haber enviado en el proceso de registro, y que se analizan
más adelante, no se menciona el envío de ningún “selfie”.

La parte reclamada no ha manifestado tratar imágenes de la parte la parte reclamante.

El documento incluye un contrato junto con un certificado de deuda emitido por la
propia parte y un cuadro de amortización. Sin embargo dicho documento no contiene
la firma electrónica de la parte reclamante, ni aparece su firma manuscrita en ninguna
de sus páginas.

En la página 1, se detallan la identidad y datos de contacto de la parte reclamante, y
menciona:

“La cuenta bancaria facilitada por el titular para el ingreso de la cantidad de préstamo
y de la que afirma ser titular y responsable es ***CUENTA.1”.

Se solicita a la parte reclamada la información de que disponía su empresa sobre la
relación entre la parte reclamante y la cuenta en la que se ingresó el dinero del
préstamo, y sobre si realizó antes del ingreso o ha realizado posteriormente algún
procedimiento de comprobación de la titularidad de la cuenta, y su resultado.

En su respuesta, la parte reclamada manifiesta:

“La información que disponía Moneyman sobre la relación entre la reclamante y la
cuenta en la que se ingresa el dinero se basa en el documento, emitido por la entidad
BBVA (Banco Bilbao Vizcaya Argentaria, S.A.), aportado por la misma reclamante en
el proceso de suscripción del préstamo. En el mismo se indica que la titularidad de la
cuenta en la que se realiza el ingreso pertenece a la reclamante. Adjuntamos
documento como ANEXO 1. Ya que, el certificado aportado fue emitido por el BBVA
(con firma electrónica en el bajo del certificado) y los datos obtenidos directamente por
la reclamante, estos fueron considerados exactos.”

Se aporta documento que aparenta ser una certificación de la entidad bancaria
atribuyendo la titularidad de la cuenta ***CUENTA.1 a la parte reclamante.

El documento incluye un logotipo y sello de la entidad bancaria, pero no la firma de la
entidad.

El pie de página del certificado especifica lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/42

“Este documento ha sido generado en formato digital y se ha firmado
electrónicamente, lo que conforme a la Ley 59/2003 de Firma Electrónica permite:
Identificar al firmante de manera inequívoca, teniendo la firma electrónica respecto de
los datos consignados el mismo valor que la firma manuscrita cuando se consigna en
papel.

Asegurar la integridad del documento firmado.

Si está consultando una copia impresa del certificado, puede comprobar su
autenticidad contrastándolo con la versión digital del mismo, en el que se puede
comprobar la firma en el panel de firmas.

(…).

Número de serie: XXXXXXXXXXXXX

Fecha de Certificación (hora GMT): XXXXXXXXX”

Sin embargo, se ha podido verificar que el documento aportado no se encuentra
firmado electrónicamente; la información que aparece en el pie de página tampoco
permite verificar su autenticidad.

ACTUACIONES ANTE BANCO BILBAO VIZCAYA ARGENTARIA, S.A.

BANCO BILBAO VIZCAYA ARGENTARIA, S.A. manifiesta que la titularidad de la
cuenta ***CUENTA.1 corresponde a una persona diferente a la parte reclamante.

La parte reclamada manifiesta:

“Adjuntamos como ANEXO IV la verificación de la identidad de la Reclamante”, y
aporta la imagen [6]. En esa imagen no aparece ningún dato que permita asociar la
información a la parte reclamante. Sólo se puede asociar esta imagen al resto de la
documentación por la cifra que aparece al pie, 00000000, que aparece también en el
contrato y en la denuncia.

Al solicitarse que proporcione la lista de los datos personales que su sistema
almacena cuando se registra un nuevo cliente y copia de los datos e imágenes
guardados por la aplicación cuando se registró la parte reclamante, la parte reclamada
manifiesta:

“Adjuntamos como ANEXO IX mediante certificado el listado de los datos que nuestro
sistema almacena cuando se registra un nuevo cliente, así como copia de los
mismos”.

En dicho documento, figuran, entre otros datos personales de la parte reclamada, la
numeración +***TELÉFONO.2 (en adelante, Numeración_1).

ACTUACIONES ANTE XFERA MÓVILES S.A.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/42

XFERA MÓVILES S.A. manifiesta que entre el 3 de marzo y el 1 de agosto de 2020 la
Numeración_1 corresponde a una persona diferente a la parte reclamante. La persona
titular de la línea tampoco coincide con la titular de la cuenta bancaria.

Al solicitar que acredite, en su caso, los SMS enviados a la reclamante para el alta y
para la solicitud del préstamo, la parte reclamada manifiesta:

“Adjuntamos como ANEXO X la acreditación de los SMS enviados a la reclamante
para el alta y la solicitud del préstamo”

Dicho documento contiene una tabla que contiene 14 registros de envío de SMS el 9
de marzo de 2020 entre las 12:06 y las 12:25 a la Numeración_1.

Como ya se ha mencionado, la parte reclamante no era titular de la Numeración_1, y
no ha sido acreditado que la parte reclamante pudiera leer los mensajes enviados a
Numeración_1.

Las tablas del documento son tablas Excel con información, entre otra, relativa a la
fecha y hora, numeración de destino y contenido de varios SMS. Esta información ha
sido aportada por la parte reclamada, pero no ha quedado acreditada por un tercero.

Los SMS de la tabla, con fecha 9 de marzo de 2020 entre las 09:12 y las 12:25 siguen
la siguiente secuencia:

- “Tu codigo de confirmacion de Moneyman.es 8872 de confirmacion”

- “Te hemos enviado la información normalizada de crédito al consumo y los
términos y condiciones de tu préstamo. Por favor léelos con atención.
Moneyman.”

- “Ultimo paso para recibir tu dinero! Llama ya al XXXXXXXX para terminar.”

- “MONEYMAN: pendiente de enviar DNI/NIE por ambas caras. Click en
https://***URL.1/ para subirlos. Gracias.”

(Este SMS se aparece nueve veces consecutivas).

- “Tu dinero esta de camino! Ya hemos emitido la orden de pago por la cantidad
solicitada en prestamo de 200.00 euros.”

- “Te hemos enviado la informacion normalizada de credito al consumo y los
terminos y condiciones de tu prestamo. Por favor leelos con atencion.
Moneyman.”

De la secuencia se deduce que durante el proceso de registro debió producirse una
llamada telefónica, seguida del envío de imágenes del DNI por ambas caras, a través
del enlace ***URL.1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/42

Al preguntar por la recepción de alguna imagen de documento de identidad de la parte
reclamante, la parte reclamada manifiesta que recibió una fotografía de documento de
identidad durante el proceso de registro y aporta la imagen.

Se concluye de lo anterior que la verificación de la identidad llevada a cabo durante el
proceso de alta del usuario con los datos de la parte reclamante consistió en la
comprobación de la coincidencia de su nombre, apellidos y documento de identidad
con los que constan en el censo de la Agencia Tributaria, el envío de mensajes SMS a
la Numeración_1, una llamada telefónica, la aceptación de un certificado carente de la
firma electrónica que el propio texto consignado en el mismo cita contener en su
versión electrónica de titularidad de cuenta bancaria, y la recepción de una imagen del
DNI de la parte reclamante.

En relación con las notificaciones enviadas por la parte reclamada, y el consentimiento
de la reclamante para el tratamiento de sus datos personales y para la inscripción de
los mismos en sistemas de información crediticia se ha tenido conocimiento de lo
siguiente:

La parte reclamante manifiesta que nunca solicitó un crédito a través de la parte
reclamante y declara que “no reconoce tal deuda dado que no ha realizado ninguna
contratación con tal empresa”.

Al solicitar a la parte reclamada la documentación acreditativa del origen de la deuda
que motivó la inclusión de los datos personales de la persona afectada en los sistemas
de información crediticia, la parte reclamada manifiesta que aporta un contrato junto
con un certificado de deuda emitido por la propia parte reclamada y un cuadro de
amortización. Ni el documento recibido contiene la firma electrónica de la parte
reclamante, ni aparece su firma manuscrita en ninguna de sus páginas.

Al solicitar de nuevo a la parte reclamada acreditación de la aceptación de la parte
reclamante, de la deuda, el contrato y sus cláusulas, la parte reclamada manifiesta:

“Adjuntamos como ANEXO II el certificado donde se acredita la aceptación de la
política de privacidad y la aceptación de los Términos y Condiciones del contrato de
préstamo el día 9 de marzo de 2020.

También adjuntamos como ANEXO III las comunicaciones enviadas el día 9 de marzo
de 2020 en las que se aprecia la formalización del préstamo por parte de la
reclamante.”

Como ANEXO II aporta un certificado emitido por la propia parte reclamada de
aceptación de condiciones desde una determinada dirección IP el 9 de marzo de 2020
a las 12:09.

Como ANEXO III aporta la tabla que contiene 14 registros de envío de SMS el 9 de
marzo de 2020 entre las 12:06 y las 12:25 a la Numeración_1. Como ya se ha
mencionado anteriormente, la parte reclamante no era titular de la Numeración_1, y no
ha sido acreditado que la parte reclamante pudiera leer los mensajes enviados a
Numeración_1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/42

La parte reclamante también declara que el 16 de mayo de 2020 “recibe en su buzón
una notificación de la empresa reclamada […] en la que se le requiere el impago de
312,80 euros. Figura como referencia el contrato de préstamo nº 0000000”.

Al solicitar a la parte reclamada copia de la referida notificación, ésta manifiesta no
tener constancia de ese envío, y aporta, como prueba de la recepción de las
notificaciones de requerimiento de pago a la parte reclamada, la tabla referente a dos
SMS enviados los días 14 y 17 de mayo de 2020 a la Numeración_1.

La tabla es similar a las tablas antes referidas y como ya se ha mencionado
anteriormente la parte reclamante no era titular de la Numeración_1.

Además, el documento aportado por la parte reclamada incluye las condiciones
generales de contratación; el artículo “18.- Notificaciones” del mismo indica:

“Las notificaciones entre las partes que deban realizarse como consecuencia de lo
previsto en las presentes Condiciones Generales o del contrato de Préstamo se
realizarán por escrito y serán válidas si se efectúan por correo certificado con acuse
de recibo, o e-mail en los domicilios mencionados a continuación por cada una de las
Partes:

Prestatario: la indicada en la solicitud del Préstamo […]”

Por tanto, a pesar de que ha quedado acreditado que la parte reclamante recibió una
notificación en su domicilio, la parte reclamada manifiesta que ésta se realizó a través
de SMS a la Numeración_1, y no ha acreditado que la misma se realizara de acuerdo
con las condiciones generales, que según sus manifestaciones fueron aceptadas por
ambas partes.

La parte reclamada también manifiesta:

“Adjuntamos como ANEXO XI el certificado expedido por la empresa en el que se
acredita que la reclamante aceptó el tratamiento de sus datos personales por parte de
IDFINANCE SPAIN, S.A.U.”

Como ANEXO XI aporta una certificación de la propia parte reclamada.

La parte reclamante manifiesta haber sido incluida de manera improcedente en el
fichero de solvencia patrimonial ASNEF EQUIFAX.

Al preguntar a la parte reclamada por la información en el contrato acerca de la
posibilidad de inclusión en sistemas de información crediticia, ésta manifiesta:

“La posibilidad de la inclusión en caso de impago en los sistemas de información
crediticia se informa en la cláusula 16.1 a) de las CGC el contrato adjunto en el
ANEXO II y en punto 3 del Formulario de Información Normalizada europea sobre
crédito al consumo (información precontractual) y que se encuentra al final del
contrato adjuntado.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/42

Como ANEXO II aporta el contrato donde en el artículo “16.- Protección de datos de
carácter personal” (pág. 6) indica:

“16.1. Con el consentimiento del Solicitante del Préstamo, independientemente de la
Decisión del Préstamo, el Prestatario se declara informado, consiente y autoriza
expresamente al Prestamista:

(a) A recabar información relativa a sus antecedentes crediticios y posiciones de riesgo
de entidades prestadoras de servicios de información sobre solvencia patrimonial y
crédito […].

El Prestatario queda informado que, en caso de impago en el término previsto para
ello, y habiendo cumplido los requisitos legales necesarios y comunicaciones
pertinentes, sus Dato Personales podrán ser comunicados al Servicio de Crédito de
Asnef-Equifax, con domicilio en C/ Albasanz, 16, 28037, Madrid.”

Por otra parte, en la página 4, se indica que el artículo 13.3 indica:

“Si en el plazo de treinta (30) días desde el vencimiento de la deuda adquirida, esta no
hubiera sido satisfecha por el Prestatario, habiendo sido notificada previamente a éste,
el Prestamista tendrá derecho a comunicar los datos del Prestatario a ficheros de
información sobre solvencia patrimonial y crédito, concurriendo en todo caso los
requisitos exigidos para la inclusión de datos.”

Al solicitar información sobre el procedimiento de inclusión de sus clientes en sistemas
de información crediticia, la parte reclamada manifiesta:

“4. Collections

Una vez que el préstamo expira sin que se produzca el pago el sistema cambia el
estatus del préstamo (Loan ID) ha expirado (“Expired”) y se inicia el procedimiento
automático de notificación y “Collection”.

El sistema envía SMSs e Emails automatizados notificando que no se ha recibido el
pago de la deuda expirada e indicando facilidades de pago.

Las notificaciones de inclusión en sistemas de información crediticia por impago de
deuda, no se envían hasta el día 30 (DPD30) o 45 (DPD45), desde la fecha de
vencimiento.

Se adjunta como ANEXO IV con el procedimiento automático de Collections y los
mensajes que se envían.”

La parte reclamada en el ANEXO IV aporta documento que contiene una descripción
de las variables, requisitos y notificaciones a enviar, relacionadas con el sistema de
notificaciones, “Collections”, empleado para el envío de notificaciones de impago a sus
clientes, por correo electrónico y SMS, de forma automática.

La parte reclamada también manifiesta:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/42

“De acuerdo con lo solicitado, adjuntamos como ANEXO V la notificación realizada
mediante SMS a la reclamante del vencimiento de su deuda y su inminente inclusión
en los sistemas de información crediticia” y aporta como ANEXO V la tabla con
información sobre dos SMS enviados a la Numeración_1 los días 14 y 17 de mayo de
2020.

Como ya se ha comentado anteriormente, la parte reclamada no ha acreditado que la
parte reclamante pudiera leer los SMS enviados a la Numeración_1. Además, el envío
de SMS no está considerado como medio de comunicación.

La parte reclamada manifiesta:

“En fecha 23 de enero de 2023 se recibe correo de FACUA Córdoba, como se indicó
en la contestación de fecha 23 de marzo de 2023 al primer requerimiento recibido de
la AEPD, en el que se nos traslada la denuncia ante la policía por suplantación de
identidad presentada por la reclamante.

Es en ese momento cuando esta entidad tiene conocimiento de la denuncia
presentada y procede a aplicar las medidas establecidas para casos de fraude (1º-
bloqueo de los datos de la reclamante en nuestros sistemas, 2º paralizar la
reclamación de la deuda (manteniendo los datos bloqueados y limitados en el
tratamiento dado que pueden ser requeridos por las autoridades competentes para la
investigación de los hechos.) y 3º dar de baja los datos de la reclamante de los
ficheros de solvencia patrimonial).

Así se indica a FACUA en el correo de contestación a su requerimiento de
información, que se adjunta como ANEXO 4.

Desde ese momento así se han mantenido los datos hasta el esclarecimiento de los
hechos por la policía.”

Como ANEXO 4 proporciona el documento firmado el 6 de febrero de 2023, en el que
responde a la parte reclamante:

“Que, teniendo en cuenta el contenido de la Reclamación y la documentación
aportada, ID FINANCE SPAIN ha procedido:

1) al bloqueo de los datos de la reclamante en nuestro sistema asíí́ como

2) a paralizar la reclamación de la deuda. Los datos están bloqueados y limitados en
el tratamiento dado que pueden ser requeridos por las autoridades competentes para
la investigación de los hechos.

3) Se ha procedido a eliminar los datos de la Sra. A.A.A. del fichero de solvencia
patrimonial (ASNEF EQUIFAX)”

ACTUACIONES ANTE ASNEF-EQUIFAX SERVICIOS DE INFORMACIÓN SOBRE
SOLVENCIA Y CRÉDITO, S.L.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/42

Por otra parte, ASNEF-EQUIFAX, SERVICIOS DE INFORMACIÓN SOBRE
SOLVENCIA Y CRÉDITO, S.L., proporciona las inscripciones de la parte reclamante
en sus registros tras la solicitud de la parte reclamada, con fechas de alta y baja:

- 29 de mayo de 2020 (alta) y 8 de junio de 2020 (baja).
- 10 de julio de 2020 (alta) y 30 de enero de 2023 (baja).
- 15 de abril de 2023 (alta) y 16 de abril de 2023 (baja).

También aporta los envíos de las notificaciones de alta a la parte reclamante, por
correo postal ordinario al domicilio de la parte reclamante, con fechas 29 de mayo de
2020, 10 de julio 2020 y 15 de abril de 2023.

Queda acreditado que la reclamada mantuvo inscrita a la parte reclamante en
sistemas de información crediticia durante los tres periodos arriba mencionados, el
último de los cuales es posterior al 6 de febrero de 2023, fecha de su respuesta a la
parte reclamante, en la que le comunica el bloqueo de sus datos.

ACTUACIONES ANTE IDFINANCE
En relación con las acciones adoptadas por IDFINANCE ante las solicitudes de la
parte reclamante relacionadas con sus derechos sobre el tratamiento de sus datos
personales:

La parte reclamante solicitó a la reclamada la atención de su derecho a la supresión
de sus datos personales y a la eliminación de los mismos de los ficheros de solvencia
patrimonial, el día 21 de septiembre de 2022, a través de su representante legal
FACUA, enviando la carta a tres direcciones de correo electrónico de la parte
reclamada (***EMAIL.1, ***EMAIL.2 y ***EMAIL.3).

Esta solicitud no obtuvo respuesta ni fue atendida.

La parte reclamada no ha comunicado la Agencia Española de Protección de Datos, a
fecha de elaboración de este informe, datos de identificación de su Delegado de
Protección de Datos.

Al solicitar a la parte reclamada que “aporte informe o resumen de las actuaciones
llevadas a cabo por el Delegado de Protección de Datos de su empresa respecto de la
solicitud, por parte de la reclamante, de supresión de sus datos personales”, la parte
reclamada realiza diferentes manifestaciones:

“En relación con las actuaciones llevadas a cabo por el Delegado de protección de
Datos respecto a la supresión de los datos personales de la reclamante, se procedió
de acuerdo con el procedimiento interno para la gestión de derechos de los
interesados.”

En la respuesta a la solicitud de información sobre el motivo para no responder al
correo de la representante legal de la parte reclamante, la reclamada manifiesta:

“[…] debido a cambios de personal en el departamento Legal de Moneyman, el correo
enviado por FACUA el 21 de septiembre de 2022, el buzón al que llegó dicho correo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/42

quedó sin gestión, sin que el personal que reemplazó al responsable de dicho buzón
conociera del mensaje sin responder.”

Queda acreditado que la parte reclamada no atendió adecuadamente a la solicitud de
supresión de datos de la parte reclamante, ya que no respondió al correo electrónico
enviado por parte de FACUA como su representante legal el día 21 de septiembre de
2022.

La parte reclamante solicitó de nuevo a la reclamada la atención de su derecho a la
supresión de sus datos personales y la eliminación de los mismos de los ficheros de
solvencia patrimonial, el día 1 de diciembre de 2022, enviando la carta a dos
direcciones de correo electrónico de la parte reclamada (***EMAIL.1 e ***EMAIL.3).

La parte reclamada también manifiesta que “se procedió de acuerdo con el
procedimiento interno para la gestión de derechos de los interesados”, y aporta
documento, en el que entre otros establece un plazo de un mes para la supresión o
comunicación en contra al afectado, la necesidad de comunicar inmediatamente las
solicitudes al DPD, quien debe comprobar si cumple algunos requisitos (nombre y
apellidos, si aporta fotocopia del DNI o similar, si expresa su solicitud, domicilio, fecha),
y que el DPD debe solicitar la subsanación de los mismos en su caso.

Al solicitar más información sobre la atención a los derechos de la parte reclamante, la
reclamada manifiesta:

“En fecha 22 de diciembre de 2022, se respondió al ejercicio de derechos presentado
por la reclamante en fecha 1 de diciembre de 2022, tal y como se puede apreciar en el
documento adjunto como ANEXO 3.”

Como ANEXO 3 proporciona el correo electrónico enviado el día 22 de diciembre
desde ***EMAIL.1 a ***EMAIL.4, en respuesta a la parte reclamante, en el que le
indica que:

“no puede proceder a la supresión de sus datos personales en nuestra base de datos
por tener un préstamo impagado” y que “si Ud. sospecha que ha podido ser víctima de
una suplantación de identidad le recomendamos que denuncie los hechos ante la
policía y nos remita la denuncia para que podamos tomar las medidas oportunas”.

Asimismo, señala lo siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/42

investigación de los hechos.) y 3º dar de baja los datos de la reclamante de los
ficheros de solvencia patrimonial).

Así se indica a FACUA en el correo de contestación a su requerimiento de
información, que se adjunta como ANEXO 4.”

Como ANEXO 4 proporciona correo electrónico firmado el 6 de febrero de 2023 en el
que, como ya se ha explicado en el apartado anterior, comunica a la parte reclamante
que atiende sus derechos.

Sin embargo, como ya se ha establecido, la parte reclamada inscribió de nuevo a la
parte reclamante en ASNEF-EQUIFAX entre el 15 y el 16 de abril de 2023.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
ID FINANCE SPAIN, S.A.U. es una gran empresa constituida en el año 2015, cuyo
objeto social es la concesión de préstamos o créditos no hipotecarios a cualquier
persona, con una cantidad de empleados de 146 personas, y una cifra de negocios de
178.771.000 € en el año 2022.

QUINTO: Con fecha 19 de abril de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 17 del RGPD, Artículo 6 del
RGPD y Artículo 37 del RGPD, tipificada en el Artículo 83.4.a) del RGPD, Artículo
83.5.b) del RGPD y Artículo 83.5.a) del RGPD.

SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó dos
alegaciones, una primera en relación con el agravante de la posible infracción del
derecho de supresión de los datos y una segunda sobre la tipificación y calificación de
la supuesta infracción del artículo 6 del RGPD.

En relación a su primera alegación, ha manifestado lo siguiente:

“En cuanto a la agravante de negligencia en el tratamiento de los datos, la AEPD
considera que es de aplicación ya que, “(…) a pesar de que en respuesta
proporcionada con fecha 6 de febrero de 2023 se indica haber atendido la solicitud de
la reclamante, la inclusión nuevamente en un momento posterior en el fichero de
solvencia patrimonial parece acreditar no fue así”.

No obstante, esta parte considera que no resulta de aplicación puesto que, en ningún
momento, ID Finance comunicó a la Reclamante la supresión de sus datos, sino el
bloqueo de los mismos en el sistema de ID Finance; paralizar la reclamación de la
deuda; y eliminar los datos del fichero de solvencia patrimonial, pero en ningún caso
se comunica la supresión definitiva de los datos (pág. 346 del expediente completo
facilitado por parte de la AEPD).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/42

Ello es así porque en este caso, no se puede llevar a cabo la supresión de los datos
definitiva al seguir abierta la investigación policial, en la cual pueden solicitar
información a ID Finance, y todavía no se ha acreditado la existencia de un delito de
suplantación de identidad.

Por tanto, ID Finance considera que la aplicación de esta agravante no tiene cabida.

Además, la AEPD justifica también para la agravante el hecho de que los datos se
volvieran a comunicar a ASNEF-EQUIFAX en un momento posterior, indicando que no
se atendió correctamente la solicitud, pero ello no es cierto, ya que al día siguiente de
dicha comunicación de los datos a ASNEF-EQUIFAX, se volvieron a dar de baja, con
lo cual, no se ha vulnerado ningún derecho de la Reclamante. Es más, esos datos
nunca llegaron a publicarse ya que de acuerdo con el art. 20.1.c de la LOPGDD,
deben transcurrir 30 días antes de publicarlos.

Asimismo, en la reclamación realizada por la Reclamante, ésta no pone de manifiesto
en ningún momento esta circunstancia, de manera que esta parte considera que, si
bien hubo un fallo informático como se ha venido alegando en los escritos anteriores
presentados ante la AEPD, no es objeto de la presente reclamación.

Así pues, si bien es cierto que ID Finance erró al no percatarse de que la Reclamante
había facilitado copia de la denuncia en su petición de 1 de diciembre de 2022, la
persona trabajadora de ID Finance que atendió la solicitud contestó dentro de plazo,
argumentando los motivos de la denegación del derecho, facilitando un enlace directo
a la página web de la AEPD, informando del derecho a formular la reclamación que
estimara oportuna y proponiendo que en caso de que considerara que había una
suplantación de identidad, aportara denuncia para poder dar de baja sus datos (pág.
351 y 352 del expediente completo de la AEPD). Cuando el 23 de enero de 2023
recibe copia de la denuncia, ID Finance procede a darle de baja de ASNEF-EQUIFAX
el 30 de enero de 2023 y comunicárselo a la Reclamante en fecha 6 de febrero de
2023, lo cual era el fin perseguido por la Reclamante, todo ello dentro del plazo de un
mes establecido por el RGPD.

Todo ello acredita la transparencia y buena fe de ID Finance, acciones totalmente
contrarias a las de obstrucción a los derechos de protección de datos de las personas.

18/42

realización de tratamientos de datos personales, como se ha venido alegando en las
alegaciones anteriores presentadas, ya que el tratamiento de datos objeto de
supuestas suplantaciones de identidad no es el tratamiento de datos principal de la
actividad de ID Finance.”

En su segunda alegación la parte reclamada manifiesta lo siguiente:

“En relación a la tipificación y calificación de la supuesta infracción del artículo 6 del
RGPD, de acuerdo con la información a la que ha podido acceder esta parte tras la
revisión completa del expediente, la AEPD solicitó a la Dirección General de la Policía
(en adelante, la “Policía”) información sobre las “Diligencias y/o investigaciones
llevadas a cabo para el esclarecimiento de los hechos denunciados por A.A.A., con
DNI ***NIF.1. Según nos consta, presentó una denuncia en la dependencia de
CÓRDOBA ESTE el día 18/05/2020 ante el instructor 115476 (atestado número
6224/20)” (pág. 106 del expediente completo facilitado por la AEPD), con el fin de
valorar la licitud del tratamiento de los datos de la Reclamante según el art. 6 del
RGPD.

Así pues, queda acreditado que la Policía no facilita ninguna información acerca de la
investigación que se está llevando a cabo por su parte. A pesar de ello, la AEPD, en el
presente procedimiento sancionador, da por hecho que efectivamente la Reclamante
ha sido víctima de una suplantación de identidad con la denuncia aportada, lo cual no
se puede presuponer al corresponder dicha valoración a la policía y, en todo caso, a
un juez.

Cabe tener en cuenta que la presentación de una denuncia policial no implica la
veracidad de la información, ni tan siquiera la demostración del supuesto delito. No
obstante, la política interna de ID Finance, a modo de prudencia y como medida
cautelar, establece que cuando se reciba una denuncia policial por supuesta
suplantación de identidad, se den de baja los datos personales de ASNEF-EQUIFAX.

Por otro lado, en cuanto a la verificación del titular del número de teléfono aportado y
cuenta bancaria, la AEPD no puede negar que si ID Finance hubiese solicitado esta
información a las compañías correspondientes, en este caso, XFERA MÓVILES,
S.A.U. y el BANCO BILBAO VIZCAYA ARGENTARIA, S.A. (“BBVA”) éstas bajo ningún
concepto hubieran facilitado la información basándose, prudentemente, en la
normativa de protección de datos e indicando que dicha información debería
solicitarse al Juzgado, en todo caso, concretando el marco legal y la necesidad para
su valoración, lo cual resulta excesivo y desproporcionado para ID Finance.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/42

Por lo que, consideramos que antes de resolver el presente procedimiento y confirmar
la infracción del art. 6 del RGPD por parte de ID Finance y, en vista a que la AEPD
tiene a su disposición los datos identificativos de los titulares de la línea telefónica y de
la cuenta bancaria de BBVA, la citada Autoridad debería contactar con dichas
personas para solicitarles información al respecto a los efectos de confirmar la
existencia de la posible ilicitud del tratamiento. Por lo que, con la información
disponible hasta la fecha por parte de la AEPD sin haber contactado con las personas
detalladas en el expediente tras el oficio realizado a las entidades BBVA y XFERA
MÓVILES, S.A.U., esta parte considera que no queda acreditada la suplantación de
identidad de la reclamante, y por ende la ilicitud del tratamiento por parte de ID
FINANCE y su correspondiente propuesta de sanción.

De acuerdo con lo anterior, a continuación, se detallan los datos de las personas
informadas y que constan en el expediente a los efectos de que la AEPD pueda
culminar las investigaciones oportunas para esclarecer si se está ante un tratamiento
de datos ilícito, esto es, confirmar la vinculación entre la titular de la línea telefónica, la
titular de la cuenta bancaria y la Reclamante:

- Datos de la titular de la línea telefónica facilitados a la AEPD por XFERA
MÓVILES, S.A.U. el 10 de agosto de 2023 (pág. 326 y 327 del expediente completo
de la AEPD):

o NOMBRE: B.B.B.
o TIPO DOC: DNI o Nº DOC: 00000000

- Datos de la titular de la cuenta bancaria ES00 0000 0000 0000 0000 0000 del
BBVA facilitados a la AEPD por el BBVA el 7 de septiembre de 2023 (pág. 358 del
expediente completo de la AEPD).

o Titular: C.C.C. o Doc. Identificativo: 00000000 o Dirección postal actual
obrante en sistemas: Calle ***DIRECCIÓN.2.
o Dirección que obra en el DNI entregado a BBVA a los efectos:
***DIRECCIÓN.3.

Por tanto, la AEPD en este caso está proponiendo una sanción en base al art. 6 del
RGPD por unos hechos que todavía no han sido probados, es decir, entiende la
ilicitud del tratamiento sin haber averiguado previamente si realmente se están
tratando de forma ilícita los datos de la Reclamante.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/42

Por ello, esta parte considera, en estrictos términos de defensa, que la AEPD se
excede de su competencia al calificar las medidas de comprobación de la identidad
como insuficientes, cuando queda demostrado por la actividad de ID Finance y la
relación con sus clientes, que son excepcionales los casos en los cuales las medidas
aplicadas por la entidad no dan los resultados esperados.

Aun así, la propia AEPD en su Guía de “Gestión del riesgo y evaluación de impacto en
tratamientos de datos personales” reconoce que el riesgo cero no existe, e ID Finance
continuamente está adoptando mejoras en sus procedimientos para prevenir que se
den casos de suplantación de identidad.

IX. B.- RIESGOS ASUMIBLES (Guía de “Gestión del riesgo y evaluación de impacto
en tratamientos de datos personales” -Pág. 127)

“Como se ha señalado anteriormente, el nivel de “riesgo cero” no existe. Hay que
encontrar un compromiso entre el nivel de riesgo residual alcanzado y la viabilidad del
tratamiento, lo que significa tomar una decisión de cuándo un nivel de riesgo es
asumible”.

Así pues, esta parte considera que las agravantes impuestas son excesivas y no
corresponden a este caso en concreto puesto que no ha quedado acreditado por las
autoridades competentes en la materia que realmente estemos ante un caso de
suplantación de identidad.

A pesar de no haber quedado acreditada la existencia del delito de suplantación de
identidad por parte de la Reclamada o la AEPD, esta parte reitera que la política de ID
Finance es dar de baja los datos inmediatamente con la mera presentación de la
denuncia, puesto que ID Finance prefiere aumentar sus pérdidas, es decir, no
recuperar el capital prestado ni los intereses devengados, que perjudicar a alguien
que realmente haya sido víctima de un delito, soportando todos los perjuicios que ello
supone para la actividad de la propia entidad.

Adicionalmente, la AEPD sostiene como base para la agravante del art. 83.2. b del
RGPD que “Aunque la parte reclamada procedió al bloqueo de los datos personales
de la parte reclamante el 6 de febrero de 2023, tras la recepción de la copia de la
denuncia ante la Policía Nacional, donde denunciaba que había sido víctima de una
suplantación de identidad, entre los días 15 y 16 de abril de 2023, volvió a solicitar su
inscripción en ASNEF-EQUIFAX”.

Esta parte considera que la AEPD, en este caso, se ha extralimitado en el alcance de
su competencia sancionadora en proponer la imposición de la agravante relativa al
bloqueo de los datos, ya que no está conectada con la reclamación realizada por la
Reclamante, que se basa en el derecho de supresión de los datos para su baja de
ASNEF-EQUIFAX, y que en ningún momento ha puesto en conocimiento de la AEPD
este suceso originado por un error informático como ya se ha explicado en las
alegaciones anteriores realizadas por ID Finance, y al cual ningún tercero ha tenido
acceso de acuerdo con el art. 20.1.c de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/42

Ello quiere decir que no se ha causado ningún perjuicio real a la Reclamante puesto
que nadie ha tenido conocimiento de esta última inscripción, que justifique, en
cualquier caso, la magnitud de la cuantía de la sanción propuesta.

Aún así, cabe mencionar que ID Finance, a partir de este error, ha procedido a
implementar las medidas técnicas oportunas para arreglar este bug, fallo informático,
que afectó a la interesada pero, en cualquier caso, es muy importante tener en
cuenta, a la hora de graduar la posible sanción, que no se ha causado ningún
perjuicio puesto que ningún tercero ha tenido acceso a esta información.

Actualmente, los datos no están dados de alta en ASNEF y el perfil de la Reclamante
está bloqueado en los sistemas de ID Finance, de acuerdo con la política de accesos
de ID Finance (ver Anexo 1), de modo que únicamente los trabajadores con cierto
grado de responsabilidad y de determinados departamentos puedan visualizarlos, con
el fin de atender las posibles actuaciones policiales que se puedan dar.

Por otro lado, puesto que esta reclamación afecta a una única persona, esta parte
considera que tampoco se puede tomar en consideración la agravante del artículo
76.2 b) LOPDGDD respecto la vinculación de la actividad del infractor con la
realización de tratamientos de datos personales, como se ha venido alegando en las
alegaciones anteriores presentadas, ya que el tratamiento de datos objeto de
supuestas suplantaciones de identidad no es el tratamiento de datos principal de la
actividad de ID Finance.

Adicionalmente, como se está aplicando la misma agravante relacionada con la
vinculación de la actividad del supuesto infractor, tanto en la supuesta infracción del
art. 37.7, 17 y 6 del RGPD, ID Finance considera que se está juzgando repetidamente
por lo mismo, vulnerando el principio “non bis in ídem” de acuerdo con los criterios
jurisprudenciales establecidos.

Por todo ello, no queda acreditada la vulneración del artículo 6 del RGPD por parte de
ID Finance y, solicitamos, aun teniendo en cuenta el error humano inintencionado en
el que ha incurrido ID Finance, el archivo de las presentes actuaciones, con el
compromiso de mejorar todos los procesos oportunos para evitar que se den este tipo
de situaciones tan particulares.”

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: En fecha 1 de diciembre de 2022, la parte reclamante solicitó supresión de
sus datos personales ante la parte reclamada, aportando copia de la denuncia policial
presentada el 18 de mayo de 2020.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/42

En respuesta a dicha solicitud recibe respuesta de la parte reclamada informando que
no procede la supresión al existir una deuda pendiente de pago.

SEGUNDO: La parte reclamada respondió al ejercicio de derechos presentado por la
reclamante en fecha 1 de diciembre de 2022, mediante correo electrónico enviado el
día 22 de diciembre desde ***EMAIL.1 a ***EMAIL.4, en respuesta a la parte
reclamante, en el que le indica que:

Asimismo, la parte reclamada señala que en respuesta al requerimiento de la AEPD de
23 de marzo de 2023, el 23 de enero de 2023 cuando FACUA le traslada la denuncia
ante la policía por suplantación de identidad presentada por la reclamante, procede a
aplicar las medidas establecidas para casos de fraude (1º- bloqueo de los datos de la
reclamante en nuestros sistemas, 2º paralizar la reclamación de la deuda,
manteniendo los datos bloqueados y limitados en el tratamiento dado que pueden ser
requeridos por las autoridades competentes para la investigación de los hechos, y 3º
dar de baja los datos de la reclamante de los ficheros de solvencia patrimonial).

TERCERO: La parte reclamada inscribió de nuevo a la parte reclamante en ASNEF-
EQUIFAX entre el 15 y el 16 de abril de 2023.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47,
48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es
competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II
Cuestiones previas

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/42

En el presente supuesto, el 9 de marzo de 2020 fue abierta una cuenta de usuario a
través de web de la entidad reclamada, ***URL.1 , utilizando los datos personales de
la parte reclamante.

Para abrir dicha cuenta, y según información aportada por la parte reclamada sobre el
procedimiento seguido al efecto, se proporcionaron los datos personales de la
reclamante (nombre, DNI, dirección, una imagen de su DNI), un certificado bancario,
una numeración de teléfono móvil+***TELÉFONO.2 y un certificado de titularidad de
cuenta bancaria.

Las actuaciones de investigación han permitido acreditar que la parte reclamante no
era titular del número de teléfono móvil+***TELÉFONO.2 (en adelante, Numeración_1)
ni de la cuenta bancaria utilizada en el procedimiento de apertura de la cuenta de
usuario indicada.

Empleando el usuario creado, se solicitó un préstamo; la parte reclamada aceptó el
trámite el 9 de marzo de 2020 como consta en los SMS enviados a la Numeración_1.

Durante el proceso de registro, la verificación de la identidad de usuario de la web de
la parte reclamada se basó en la comparación, a través de una tercera empresa, de
nombre y NIF de la parte reclamante con los existentes en el censo de la Agencia
Tributaria y la recepción de una imagen del DNI por ambas caras en respuesta a las
solicitudes enviadas por SMS a la Numeración_1. La parte reclamada dio así por
comprobada la identidad del solicitante.

Siguiendo sus procedimientos internos en caso de impago, la parte reclamada envió
diferentes SMS de notificación y reclamación de la deuda a la Numeración_1 los días
14, 17 y 20 de mayo de 2020, dando así por comunicada la deuda, y avisada la
inscripción en sistemas de información crediticia, a la parte reclamante.

La parte reclamante denuncia, el 18 de mayo de 2020 ante la Policía Nacional, haber
recibido dos días antes en su buzón una carta de la parte reclamada, reclamando una
deuda por un préstamo. En la denuncia manifiesta no reconocer la deuda y no haber
realizado ninguna contratación con la mencionada empresa.

La reclamada inscribió a la parte reclamante en ASNEF-EQUIFAX, en la que consta de
alta en los periodos 29 de mayo a 8 de junio de 2020, 10 de julio de 2020 a 30 de
enero de 2023, y 15 a 16 de abril de 2023.

La parte reclamada manifiesta que cuentan con el consentimiento de la parte
reclamante al tratamiento de sus datos personales y la autorización para su posible
inscripción en sistemas de información crediticia basándose en
- un contrato en el que no consta ninguna firma de la parte reclamante
- comunicaciones mediante SMS a la Numeración_1
- respuestas desde una dirección IP sin acreditar su relación con la parte
reclamante, y
- un certificado de titularidad de cuenta cuya información ha resultado refutada
tras consultar a la entidad bancaria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/42

La parte reclamada no recoge, en la lista de datos personales que manifiesta tratar,
copias de imágenes de DNI.

Ha quedado probado que la reclamada realizó el tratamiento de los datos de la parte
reclamante, a la que inscribió en sistemas de información crediticia durante tres
periodos entre los años 2020 y 2023.

Como representante legal de la parte reclamante, FACUA Córdoba envió el 12 de
septiembre de 2022 un correo electrónico a la reclamada solicitando la supresión de
los datos personales de su representada. Esta solicitud no recibió respuesta. La parte
reclamada atribuye esa falta de respuesta a un error involuntario por su parte.

La parte reclamante envió el 1 de diciembre de 2022 un correo electrónico a la
reclamada solicitando de nuevo la supresión de sus datos personales y recibió el 22
de diciembre respuesta de la reclamada, que considera la supresión improcedente por
existir una deuda pendiente e insta a la parte reclamante a denunciar la suplantación
de identidad y remitir copia de la denuncia.

El 23 de enero de 2023 la parte reclamante solicitó de nuevo a supresión de sus datos
a la reclamada y presentó reclamación ante la Agencia Española de Protección de
Datos.

La parte reclamada manifiesta que procedió al bloqueo de los datos el 6 de febrero de
2023, tras la recepción de la copia de la denuncia ante la Policía Nacional. Sin
embargo, inscribió de nuevo a la parte reclamante en ASNEF-EQUIFAX entre los días
15 y 16 de abril de 2023.

III

Alegaciones al acuerdo de inicio

La parte reclamada en su defensa ha realizado afirmaciones cuestionando la
infracción del artículo 6 del RGPD, así como el agravante relativo a la negligencia en
sus actuaciones.

En respuesta a tales manifestaciones la AEPD ha de indicar que tales afirmaciones
son en cierta medida contradictorias, ya que por un lado afirma que su actuación ha
sido diligente pues ha dado de baja los datos personales de la parte reclamante, de
conformidad con el procedimiento establecido en estos casos, cuando en marzo de
2023, a través de FACUA, tuvo conocimiento de la denuncia presentada por la parte
reclamante, por suplantación de identidad al no reconocer la deuda que la parte
reclamada le exige.

Sin embargo, pese a indicarse que se ha procedido a la baja en el fichero de solvencia
patrimonial a requerimiento de la entidad reclamada, la AEPD ha constatado que los
datos de la parte reclamante fueron nuevamente dados de alta en los ficheros de
solvencia patrimonial en abril de 2023 a solicitud de la parte reclamada.

Por otro lado, la entidad reclamada afirma en un primer momento que esta nueva
inclusión se ha debido a un fallo técnico, pero seguidamente dice que en realidad sólo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/42

se bloquearon los datos y que nunca se dio orden de baja, ya que no se ha acreditado
que dicha suplantación de identidad se haya producido.

La AEPD considera que la actuación de la entidad reclamada ha sido negligente y que
existe una clara vulneración del artículo 6 del RGPD, pues los datos de la parte
reclamante han sido incluidos en un fichero de solvencia de manera ilícita ya que la
parte reclamada ha realizado un tratamiento de datos personales pese a no
encontrarse en ninguno de los supuestos que legitiman dicho tratamiento de datos
personales.

La entidad reclamada alega un interés legítimo basado en que la parte reclamada es la
titular de la deuda. Sin embargo, la titularidad de la deuda objeto de inclusión en el
fichero de solvencia patrimonial no puede considerarse cierta, tras presentarse
denuncia en marzo de 2023 ante la policía, por la parte reclamante, por suplantación
de identidad, y ante la asociación de consumidores FACUA. Tales hechos evidencian
que la parte reclamante no ha reconocido dicha deuda, y que cuestiona la misma pues
no tiene ningún contrato firmado con la entidad reclamada.

Por tanto, si la titularidad de la deuda objeto de inclusión en el fichero de solvencia
patrimonial no puede acreditarse por la parte reclamada, ésta no puede solicitar su
inclusión en ningún fichero de solvencia patrimonial hasta que no se acredite que la
parte reclamante es el titular de dicha deuda.

De manera que solicitar la inclusión de los datos personales de la parte reclamante en
un fichero de solvencia patrimonial por una deuda cuya titularidad ha sido cuestionada
y la entidad reclamada no ha podido acreditar, supone una clara infracción del artículo
6 del RGPD, pues se está realizando un tratamiento ilícito de datos personales.

Tales hechos se encuentran agravados con una falta de diligencia por la entidad
reclamada, ya que pese a haber sido informada por FACUA de que la parte reclamante
no reconoce la deuda, no ha procedido a dar de baja la inscripción en el fichero de
solvencia patrimonial de los datos de la parte reclamante.

Artículo 6 del RGPD

El RGPD en su artículo 4.11 define el consentimiento del interesado como “toda
manifestación de voluntad libre, específica, informada e inequívoca por la que el
interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el
tratamiento de datos personales que le conciernen”.

En relación con la licitud del tratamiento de datos de carácter personal, el artículo 6.1
del RGPD, establece lo siguiente:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/42

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
En relación con los sistemas de información crediticia, hemos de acudir al artículo 20
de la LOPDGDD, destacando su apartado b), donde se establece lo siguiente:
“1. Salvo prueba en contrario, se presumirá lícito el tratamiento de datos personales
relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por
sistemas comunes de información crediticia cuando se cumplan los siguientes
requisitos:
a) Que los datos hayan sido facilitados por el acreedor o por quien actúe por su cuenta
o interés.
b) Que los datos se refieran a deudas ciertas, vencidas y exigibles, cuya existencia o
cuantía no hubiese sido objeto de reclamación administrativa o judicial por el deudor o
mediante un procedimiento alternativo de resolución de disputas vinculante entre las
partes.
c) Que el acreedor haya informado al afectado en el contrato o en el momento de
requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con
indicación de aquéllos en los que participe.
La entidad que mantenga el sistema de información crediticia con datos relativos al
incumplimiento de obligaciones dinerarias, financieras o de crédito deberá notificar al
afectado la inclusión de tales datos y le informará sobre la posibilidad de ejercitar los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 dentro
de los treinta días siguientes a la notificación de la deuda al sistema, permaneciendo
bloqueados los datos durante ese plazo.
d) Que los datos únicamente se mantengan en el sistema mientras persista el
incumplimiento, con el límite máximo de cinco años desde la fecha de vencimiento de
la obligación dineraria, financiera o de crédito.
e) Que los datos referidos a un deudor determinado solamente puedan ser
consultados cuando quien consulte el sistema mantuviese una relación contractual
con el afectado que implique el abono de una cuantía pecuniaria o este le hubiera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/42

solicitado la celebración de un contrato que suponga financiación, pago aplazado o
facturación periódica, como sucede, entre otros supuestos, en los previstos en la
legislación de contratos de crédito al consumo y de contratos de crédito inmobiliario.
Cuando se hubiera ejercitado ante el sistema el derecho a la limitación del tratamiento
de los datos impugnando su exactitud conforme a lo previsto en el artículo 18.1.a) del
Reglamento (UE) 2016/679, el sistema informará a quienes pudieran consultarlo con
arreglo al párrafo anterior acerca de la mera existencia de dicha circunstancia, sin
facilitar los datos concretos respecto de los que se hubiera ejercitado el derecho, en
tanto se resuelve sobre la solicitud del afectado.
f) Que, en el caso de que se denegase la solicitud de celebración del contrato, o éste
no llegara a celebrarse, como consecuencia de la consulta efectuada, quien haya
consultado el sistema informe al afectado del resultado de dicha consulta.

2. Las entidades que mantengan el sistema y las acreedoras, respecto del tratamiento
de los datos referidos a sus deudores, tendrán la condición de corresponsables del
tratamiento de los datos, siendo de aplicación lo establecido por el artículo 26 del
Reglamento (UE) 2016/679.

Corresponderá al acreedor garantizar que concurren los requisitos exigidos para la
inclusión en el sistema de la deuda, respondiendo de su inexistencia o inexactitud.

3. La presunción a la que se refiere el apartado 1 de este artículo no ampara los
supuestos en que la información crediticia fuese asociada por la entidad que
mantuviera el sistema a informaciones adicionales a las contempladas en dicho
apartado, relacionadas con el deudor y obtenidas de otras fuentes, a fin de llevar a
cabo un perfilado del mismo, en particular mediante la aplicación de técnicas de
calificación crediticia.”
V

Tipificación y calificación de la infracción del artículo 6 del RGPD

De confirmarse, la citada infracción del artículo 6 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/42

5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679. (…)”

Se considera que, los hechos denunciados, suponen una infracción del artículo 6.1 del
RGPD. En este sentido, y de acuerdo con la información disponible tras las
actuaciones de investigación realizadas, la parte reclamante no contrató deuda alguna
con la parte reclamada, por lo que el presupuesto que motivó el tratamiento de datos
personales de la parte reclamante y su inscripción en el fichero de solvencia
patrimonial no ha quedado justificado. En este sentido, se aprecia la inexistencia de
una base legitimadora del tratamiento de datos personales realizado y, por lo tanto,
una presunta infracción del artículo 6 del RGPD.

Por otro lado, aunque la parte reclamada afirma haber bloqueado los datos de la
reclamante el 6 de febrero de 2023, tras tener conocimiento de la denuncia presentada
por la parte reclamante ante la Policía Nacional por suplantación de identidad, se ha
constatado que la parte reclamada volvió a incluir los datos de la parte reclamante en
el fichero de solvencia ASNEF-EQUIFAX, los días 15 y 16 de abril de 2023,
circunstancia que demuestra que continuaba el tratamiento de los datos personales de
la parte reclamante

Artículo 17 del RGPD

El artículo 17 del RGPD, en relación con el derecho de supresión («el derecho al
olvido») establece lo siguiente:

“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes:

a) los datos personales ya no sean necesarios en relación con los fines para los que
fueron recogidos o tratados de otro modo;

b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad
con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se
base en otro fundamento jurídico;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/42

c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no
prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al
tratamiento con arreglo al artículo 21, apartado 2;

d) los datos personales hayan sido tratados ilícitamente; e) los datos personales
deban suprimirse para el cumplimiento de una obligación legal establecida en el
Derecho de la Unión o de los Estados miembros que se aplique al responsable del
tratamiento;

f) los datos personales se hayan obtenido en relación con la oferta de servicios de la
sociedad de la información mencionados en el artículo 8, apartado 1.

2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo
dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento,
teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará
medidas razonables, incluidas medidas técnicas, con miras a informar a los
responsables que estén tratando los datos personales de la solicitud del interesado de
supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de
los mismos.

3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:

a) para ejercer el derecho a la libertad de expresión e información;

b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos
impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al
responsable del tratamiento, o para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable;

c) por razones de interés público en el ámbito de la salud pública de conformidad con
el artículo 9, apartado 2, letras h) e i), y apartado 3;

d) con fines de archivo en interés público, fines de investigación científica o histórica o
fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que
el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar
gravemente el logro de los objetivos de dicho tratamiento, o

e) para la formulación, el ejercicio o la defensa de reclamaciones.”

VII
Tipificación y calificación del artículo 17 del RGPD

De confirmarse, la citada infracción del artículo 17 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/42

volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)”

Se considera que los hechos denunciados suponen una infracción del artículo 17 del
RGPD, relativo al derecho de supresión de datos personales, por cuanto la primera
solicitud, realizada por FACUA en nombre de la reclamante en septiembre de 2022 no
fue respondida debido a lo que la parte reclamada califica como un “error involuntario”.

Ejercido de nuevo su derecho por la parte reclamante, actuando en nombre propio,
recibe una respuesta en la que se le comunica la existencia de una deuda que impide
que puedan suprimirse sus datos del fichero de solvencia patrimonial. En dicha
respuesta, se le requiere que aporte, en su caso, denuncia policial que hubiera
presentado en caso de sospechase haber sido víctima de un fraude; un documento
que ya había sido aportado por la parte reclamante en la solicitud a la que se estaba
dando respuesta. Finalmente, la parte reclamante presenta una nueva solicitud, a
través de su representante, que es objeto de respuesta y en la que se indica que se ha
procedido al bloqueo de sus datos.

No obstante, tal y como demuestra el hecho de que, con posterioridad a esa respuesta
y, por lo tanto, al presunto bloqueo de los datos personales de la reclamante, sus
datos fueron de nuevo incorporados al fichero de solvencia patrimonial, el derecho a la
supresión de sus datos personales no fue efectivamente satisfecho.

Por lo tanto, nos encontramos ante la vulneración reiterada del derecho de supresión
ejercido por la parte reclamante.

VIII

Artículo 37.7 del RGPD

El artículo 37 del RGPD, relativo a la designación del delegado de protección de datos
establece lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/42

“1. El responsable y el encargado del tratamiento designarán un delegado de
protección de datos siempre que:

a) el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los
tribunales que actúen en ejercicio de su función judicial;

b) las actividades principales del responsable o del encargado consistan en
operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines,
requieran una observación habitual y sistemática de interesados a gran escala, o

c) las actividades principales del responsable o del encargado consistan en el
tratamiento a gran escala de categorías especiales de datos personales con arreglo al
artículo 9 y de datos relativos a condenas e infracciones penales a que se refiere el
artículo 10.

2. Un grupo empresarial podrá nombrar un único delegado de protección de datos
siempre que sea fácilmente accesible desde cada establecimiento.

3. Cuando el responsable o el encargado del tratamiento sea una autoridad u
organismo público, se podrá designar un único delegado de protección de datos para
varias de estas autoridades u organismos, teniendo en cuenta su estructura
organizativa y tamaño.

4. En casos distintos de los contemplados en el apartado 1, el responsable o el
encargado del tratamiento o las asociaciones y otros organismos que representen a
categorías de responsables o encargados podrán designar un delegado de protección
de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados
miembros.

El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y
otros organismos que representen a responsables o encargados.

5. El delegado de protección de datos será designado atendiendo a sus cualidades
profesionales y, en particular, a sus conocimientos especializados del Derecho y la
práctica en materia de protección de datos y a su capacidad para desempeñar las
funciones indicadas en el artículo 39.

6. El delegado de protección de datos podrá formar parte de la plantilla del
responsable o del encargado del tratamiento o desempeñar sus funciones en el marco
de un contrato de servicios.

7. El responsable o el encargado del tratamiento publicarán los datos de contacto del
delegado de protección de datos y los comunicarán a la autoridad de control.”

En relación con el precepto anteriormente indicado, el artículo 34 de la LOPDGDD,
relativo a la designación de un delegado de protección de datos, establece lo
siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/42

“1. Los responsables y encargados del tratamiento deberán designar un delegado de
protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento
(UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:

a) Los colegios profesionales y sus consejos generales.

b) Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles
establecidos en la legislación reguladora del derecho a la educación, así como las
Universidades públicas y privadas.

c) Las entidades que exploten redes y presten servicios de comunicaciones
electrónicas conforme a lo dispuesto en su legislación específica, cuando traten
habitual y sistemáticamente datos personales a gran escala.

d) Los prestadores de servicios de la sociedad de la información cuando elaboren a
gran escala perfiles de los usuarios del servicio.

e) Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de
ordenación, supervisión y solvencia de entidades de crédito.

f) Los establecimientos financieros de crédito.

g) Las entidades aseguradoras y reaseguradoras.

h) Las empresas de servicios de inversión, reguladas por la legislación del Mercado de
Valores.

i) Los distribuidores y comercializadores de energía eléctrica y los distribuidores y
comercializadores de gas natural.

j) Las entidades responsables de ficheros comunes para la evaluación de la solvencia
patrimonial y crédito o de los ficheros comunes para la gestión y prevención del
fraude, incluyendo a los responsables de los ficheros regulados por la legislación de
prevención del blanqueo de capitales y de la financiación del terrorismo.

k) Las entidades que desarrollen actividades de publicidad y prospección comercial,
incluyendo las de investigación comercial y de mercados, cuando lleven a cabo
tratamientos basados en las preferencias de los afectados o realicen actividades que
impliquen la elaboración de perfiles de los mismos.

l) Los centros sanitarios legalmente obligados al mantenimiento de las historias
clínicas de los pacientes.

Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al
mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título
individual.

m) Las entidades que tengan como uno de sus objetos la emisión de informes
comerciales que puedan referirse a personas físicas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/42

n) Los operadores que desarrollen la actividad de juego a través de canales
electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de
regulación del juego.

ñ) Las empresas de seguridad privada.

o) Las federaciones deportivas cuando traten datos de menores de edad.

2. Los responsables o encargados del tratamiento no incluidos en el párrafo anterior
podrán designar de manera voluntaria un delegado de protección de datos, que
quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la
presente ley orgánica.

3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez
días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades
autonómicas de protección de datos, las designaciones, nombramientos y ceses de
los delegados de protección de datos tanto en los supuestos en que se encuentren
obligadas a su designación como en el caso en que sea voluntaria.

4. La Agencia Española de Protección de Datos y las autoridades autonómicas de
protección de datos mantendrán, en el ámbito de sus respectivas competencias, una
lista actualizada de delegados de protección de datos que será accesible por medios
electrónicos.

5. En el cumplimiento de las obligaciones de este artículo los responsables y
encargados del tratamiento podrán establecer la dedicación completa o a tiempo
parcial del delegado, entre otros criterios, en función del volumen de los tratamientos,
la categoría especial de los datos tratados o de los riesgos para los derechos o
libertades de los interesados.”

Tipificación y calificación del artículo 37.7 del RGPD

De confirmarse, la citada infracción del artículo 37.7 del RGPD podría suponer la
comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la
rúbrica “Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a
39, 42 y 43; (…)”

A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/42

5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.

A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de
la LOPDGDD indica:

“Se consideran leves y prescribirán al año las restantes infracciones de carácter
meramente forma de los artículos mencionados en los apartados 4 y 5 del artículo 83
del Reglamento (UE) 2016/679 y en particular, los siguientes:

p) No publicar los datos de contacto del delegado de protección de datos o no
comunicarlos a la autoridad de protección de datos, cuando su nombramiento sea
exigible de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34
de esta Ley Orgánica.”

Se considera que, los hechos denunciados, suponen una infracción del artículo 37.7
del RGPD, en relación con el artículo 34.1 f) de la LOPDGDD, relativos a la
designación del delegado de protección de datos y a su comunicación a la autoridad
de control , ya que se ha constatado a través de las actuaciones previas realizadas el
18/01/2024, que la parte reclamada hasta el momento de la realización de tales
actuaciones de investigación no había comunicado su Delegado de Protección de
Datos a la AEPD.

Por lo tanto, se considera que la parte reclamada habría incurrido en infracción de los
preceptos señalados al haber quedado acreditado que no consta que haya nombrado
a un delegado de protección de datos, publicado sus datos ni realizado la debida
comunicación a la AEPD de éstos.

Graduación de las sanciones

El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá
de todos los siguientes poderes correctivos indicados a continuación:

b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;

d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;

i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/42

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;

b) la intencionalidad o negligencia en la infracción;

c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;

d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;

e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;

f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;

g) las categorías de los datos de carácter personal afectados por la infracción;

h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;

i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;

j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,

k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/42

(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.

b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.

e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.

f) La afectación a los derechos de los menores.

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.

h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”

Sanción por la infracción del artículo 6 del RGPD.

De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción por cada
infracción, se procede a graduar la multa por la infracción del artículo 6 teniendo en
cuenta:

Como agravante:

Artículo 83.2.b) RGPD: “negligencia en el tratamiento de los datos” ya que realiza el
tratamiento de datos personales, solicitando la inclusión de los datos personales en
ficheros de solvencia patrimonial, sin contar con base legitimadora para dicho
tratamiento, teniendo en cuenta que la parte reclamante alega no haber contraído la
deuda al haber sido objeto de una presunta suplantación de identidad hechos que
denuncia ante la Policía.

Aunque la parte reclamada procedió al bloqueo de los datos personales de la parte
reclamante el 6 de febrero de 2023, tras la recepción de la copia de la denuncia ante la
Policía Nacional, donde denunciaba que había sido víctima de una suplantación de
identidad, entre los días 15 y 16 de abril de 2023, volvió a solicitar su inscripción en
ASNEF-EQUIFAX.

Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”. La actividad de la entidad reclamada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/42

exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad
reclamada realiza para el desarrollo de su actividad, un elevado volumen de
tratamiento de datos personales.

Considerando los factores expuestos, es decir, la negligencia en el tratamiento de
datos, la vinculación de la actividad del infractor con la realización de tratamientos de
datos personales y la reiteración en la comisión de la misma infracción por la entidad
reclamada, permiten que la valoración inicial de la cuantía de la multa sea de 100.000
€ por la infracción del artículo 6 del citado RGPD.

Sanción por la infracción del artículo 17 del RGPD

Como agravante:

Artículo 83.2.b) RGPD: “negligencia en el tratamiento de los datos” ya que la parte
reclamada pese a tener conocimiento de la solicitud de supresión de los datos
personales de la parte reclamada, no procede de forma efectiva a su supresión.

La negligencia en el tratamiento de los datos personales se deriva de los hechos que
constan en el expediente: la primera solicitud de supresión realizada por la parte
reclamante no fue atendida, la segunda fue respondida sin considerar la denuncia
realizada ante la policía que la parte reclamada indica fue remitida junto con la
solicitud de supresión y, finalmente, a pesar de que en respuesta proporcionada con
fecha 6 de febrero de 2023 se indica haber atendido la solicitud de la reclamante, la
inclusión nuevamente en un momento posterior en el fichero de solvencia patrimonial
parece acreditar no fue así.

Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”, ya que la actividad de la entidad
reclamada exige un continuo tratamiento de datos de carácter personal. Asimismo, la
entidad reclamada realiza para el desarrollo de su actividad, un elevado volumen de
tratamiento de datos personales.

Considerando los factores expuestos, es decir, la negligencia en el tratamiento de
datos, la vinculación de la actividad del infractor con la realización de tratamientos de
datos personales y la reiteración en la comisión de la misma infracción por la entidad
reclamada, permiten que la valoración inicial que alcanza la cuantía de la multa sea de
100.000 € por infracción del artículo 17 del RGPD, por adolecer de las medidas
necesarias para responder de forma eficiente ante el ejercicio de derecho de supresión
realizado por la parte reclamante.

Sanción por la infracción del artículo 37.7 del RGPD

38/42

cuenta:

Como agravante:

Artículo 83.2.b) RGPD: “negligencia en el tratamiento de los datos” ya que, pese a
tener conocimiento de la reclamación presentada por la parte reclamante ante la
AEPD, y haber realizado alegaciones en las que identifica las actuaciones llevadas a
cabo por su delegado de protección de datos, no consta el efectivo nombramiento de
éste ni la comunicación formal de sus datos por la parte reclamada a esta Agencia, lo
que demuestra una falta de diligencia por parte de la entidad reclamada.

Artículo 76.2 b) LOPDGDD: “La vinculación de la actividad del infractor con la
realización de tratamientos de datos personales”, ya que la actividad de la entidad
reclamada exige un continuo tratamiento de datos de carácter personal. Asimismo, la
entidad reclamada realiza para el desarrollo de su actividad, un elevado volumen de
tratamiento de datos personales.

Considerando los factores expuestos, es decir, la negligencia en el tratamiento de
datos, la vinculación de la actividad del infractor con la realización de tratamientos de
datos personales y la reiteración en la comisión de la misma infracción por la entidad
reclamada, permiten que la valoración inicial que alcanza la cuantía de la multa sea de
25.000 € por infracción del artículo 37.7 del RGPD en relación con el artículo 34.1 f) de
la LOPDGDD, por no haber comunicado los datos relativos al Delegado de Protección
de Datos de la entidad reclamada.

XI
Medidas

Como consecuencia de cada una de las infracciones indicadas, se acuerda imponer al
responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo
58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Medidas por el artículo 6 del RGPD

En relación con la infracción del artículo 6 del RGPD, las medidas consisten en
notificar en el plazo máximo de un mes desde la notificación de la resolución que se
adopte en el marco de este procedimiento sancionador la adopción de las siguientes
medidas:

 Certificación de que no consta inscripción, solicitada por la parte reclamante y
en relación con la deuda de la que es objeto el presente procedimiento, de los
datos personales de la parte reclamante en el fichero de solvencia patrimonial
ASNEF-EQUIFAX,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/42

 Mejoras efectivas en el procedimiento de comprobación de la identidad que
permitan verificar adecuadamente la identidad de los usuarios solicitantes de
créditos y que garanticen el cumplimiento del principio de minimización de
datos previsto en el artículo 5.1 c) del RGPD

Medidas por el artículo 17 del RGPD

En relación con la infracción del artículo 17 del RGPD, las medidas consisten en
notificar, en el plazo de un mes, desde la notificación de la resolución de este
procedimiento sancionador la adopción de las siguientes medidas:

 La aprobación de un procedimiento adecuado que garantice que no produce un
tratamiento de datos personales, después de haberse confirmado su supresión,
como consecuencia de un ejercicio de derecho de supresión.

 La aprobación de un procedimiento que garantice dar una respuesta ágil y
efectiva, de las solicitudes de ejercicio de derecho de supresión por parte de
sus clientes.

Medidas por el artículo 37.7 del RGPD en relación con el artículo 34.1 f) de LOPDGDD

En relación con la infracción del artículo 37.7 del RGPD en relación con el artículo 34.1
f) de LOPDGDD, las medidas consisten en notificar, en el plazo de un mes, desde la
resolución que se adopte del presente procedimiento sancionador, los datos del
delegado de protección de datos de la entidad reclamada a la AEPD.

Se advierte que no atender a los requerimientos de esta Agencia puede ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

A la vista de lo expuesto se procede a emitir la siguiente

PROPUESTA DE RESOLUCIÓN

Que por la Directora de la Agencia Española de Protección de Datos se sancione a
IDFINANCE SPAIN, S.A.U., con NIF A66487190, por las infracciones de los artículos
6, 17 y 37.7 del RGPD, tipificadas en el artículo 83.5.a), 83.5 b) y 83.4 a) del RGPD
con una sanción de 100.000€ por la infracción del artículo 6 del RGPD, 100.000€ por
la infracción del artículo 17 del RGPD, y 25.000€ por la infracción del artículo 37.7 del
RGPD en relación con el artículo 34.1 f) de la LOPDGDD, lo que implica una sanción
por un importe total de 225.000 euros (doscientos veinticinco mil euros).

Que por la Directora de la Agencia Española de Protección de Datos se ordene a
IDFINANCE SPAIN, S.A.U., con NIF A66487190, que en virtud del artículo 58.2.d) del
RGPD, en el plazo de un mes acredite desde la resolución que se adopte del presente
procedimiento sancionador, haber procedido al cumplimiento de las siguientes
medidas:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/42

 Certificación de que no consta inscripción, solicitada por la parte
reclamante y en relación con la deuda de la que es objeto el presente
procedimiento, de los datos personales de la parte reclamante en el fichero de
solvencia patrimonial ASNEF-EQUIFAX,

 La aprobación de un procedimiento adecuado que garantice que no
produce un tratamiento de datos personales, después de haberse confirmado su
supresión, como consecuencia de un ejercicio de derecho de supresión.

 La aprobación de un procedimiento que garantice dar una respuesta ágil y
efectiva, de las solicitudes de ejercicio de derecho de supresión por parte de sus
clientes.

 Notificar, los datos del delegado de protección de datos de la entidad
reclamada a la AEPD.

Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 180.000 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.

En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00 0000 0000 0000
0000 0000 (BIC/Código SWIFT: XXXXXXXXXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.

En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.

926-070623
B.B.B.
INSPECTOR/INSTRUCTOR
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/42

SEGUNDO: En fecha 5 de julio de 2024, la parte reclamada ha procedido al pago de
la sanción en la cuantía de 180000 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.

TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción, en relación con los hechos a los que se refiere la
propuesta de resolución.

CUARTO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Directora, se impusiera al
responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/42

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la terminación del procedimiento EXP202302929, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

SEGUNDO: ORDENAR a IDFINANCE SPAIN, S.A.U. para que en el plazo de 1 mes
desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la
adopción de las medidas que se describen en los fundamentos de derecho de la
propuesta de resolución transcrita en la presente resolución.

TERCERO: NOTIFICAR la presente resolución a IDFINANCE SPAIN, S.A.U..

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
1331-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

Kredi Kayıtlarının Silinmesi Talebi

Türkçe özet

Hukuki mesele

Sonuç

Karar metni