İspanya Veri Koruma Otoritesi (AEPD) — gdprhub/aepd-spain-exp202304146

1/28

Expediente N.º: EXP202304146

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO:

A.A.A. (en adelante, la parte reclamante) con fecha 8 de febrero de 2023 interpuso
reclamación ante la Agencia Española de Protección de Datos. La reclamación se
dirige contra WENANCE LENDING DE ESPAÑA, S.A. con NIF A67194746 (en
adelante, la parte reclamada, WELP o WENANCE). Los motivos en que basa la
reclamación son los siguientes:

La parte reclamante manifiesta que WENANCE le imputa una deuda que no le
corresponde, ya que procede de la contratación de un préstamo realizado de manera
presuntamente fraudulenta. La contratación del crédito se habría producido el 21 de
agosto de 2020.

Junto a la notificación se aporta un burofax dirigido por la parte reclamante a
WENANCE, de fecha 12 de agosto de 2022, mediante el cual le comunica que no
reconoce la deuda, ni haber contratado crédito alguno con la parte reclamada;
asimismo le requiere para que deje de tratar sus datos en lo sucesivo. Se deduce que
el burofax fue remitido por la parte reclamante al haber recibido alguna notificación o
requerimiento de pago del crédito celebrado.

A dicho burofax la parte reclamante adjunta dos denuncias que interpuso ante la
Policía Nacional por estos hechos (presentadas en octubre y diciembre de 2020). En la
primera de ellas se contienen hechos que podrían explicar una posible suplantación de
la identidad de la parte reclamante:

“En fecha 21 de agosto [de 2020] vi en la página milanuncios una oferta de trabajo.
Que en el anuncio daban el teléfono ***TELÉFONO.1 para contactar.

La declarante contacta con este número, indicándole que debía enviar un Selfie suyo
con la foto del DNI por delante y por detrás. Que la declarante lo hace y no vuelve a
recibir respuesta.

Que en el día de la fecha [06/10/2020] su madre ha recibido una llamada en la que
una Aseguradora financiera le dice que debe 200 euros más intereses de un préstamo
que había pedido.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/28

Que la declarante llama por teléfono a dicha empresa al ***TELÉFONO.2, quien le
informa de su préstamo, manifestando que debe 319 euros y que tiene que devolverlo.
Y que hay asociada en el Banco Santander, pero no está a su nombre.

Que la declarante se pone en contacto por e-mail cobranzas “welp.es” desde donde le
aportan la captura del contrato, que aporta a las presentes”.

Además, la parte reclamante aporta un documento denominado “Ejercicio del derecho
de supresión” dirigido a la parte reclamada con fecha 02/02/2023.

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a WENANCE, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 31/03/2023 como consta en el
acuse de recibo que obra en el expediente.

Con fecha 04/05/2023 se recibe en esta Agencia escrito de respuesta indicando lo
siguiente:

- La reclamante contrató efectivamente un préstamo con WENANCE con fecha
de 21 de agosto de 2020. Aporta copia del mismo.

- En su momento, solicitó supresión de sus datos personales, pero esta no pudo
aceptarse por encontrarse vigente la ejecución del contrato

- Afirma que considera “inverosímil” la versión de la reclamante, por varias
razones:

o Resulta imposible, a su juicio, que el mismo día que dio sus datos a un
tercero, este abriera una cuenta corriente en el Banco Santander (para
el ingreso del importe del crédito).

o WENANCE solo admite el envío del importe del crédito solicitado en
cuentas bancarias con más de tres meses de antigüedad

o WENANCE realiza, a través de su proveedor de servicios de pago, un
ingreso previo para comprobar la titularidad de la cuenta bancaria

o Aparte, reseña que la parte reclamante aporta una denuncia de octubre
de 2020, pero sin embargo se extraña de que dos años y medio
después no exista ninguna querella ni ningún tipo de investigación
judicial
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/28

Aporta un ejemplar de contrato que estaría firmado electrónicamente, a través de
remisión del mismo a una dirección de correo electrónico y posterior confirmación a
través de clave enviada por SMS al teléfono móvil. La dirección e-mail que consta es:
***EMAIL.1. y la línea telefónica de contacto para el envío del SMS: ***TELÉFONO.1

TERCERO: Con fecha 8 de mayo de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento, en esencia, de los siguientes extremos:

Fecha en la que tuvieron lugar los hechos reclamados:

- Apertura del préstamo presuntamente fraudulento: 21/08/2020
- Fechas de denuncias policiales: 06/10/20 y 16/12/2020
- Fecha de presentación del burofax para derecho de supresión ante
WENANCE: 12/08/2022.

RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN

Analizada la evidencia de firma electrónica del contrato aportado por la parte
reclamada, se observa que:

- Es un certificado emitido por el tercero de confianza LLEIDANETWORKS
Serveis Telemàtics S.A. (en adelante ***URL.1), que es un prestador de
servicios electrónicos de confianza cualificado conforme lo establecido en el
Reglamento eIDAS para toda la Unión Europea y proporciona el Servicio
cualificado de entrega electrónica certificada, según consta publicado en la web
del Ministerio de Asuntos Económicos y Transformación Digital.

- El CIF de WELP que se presenta en el certificado es incorrecto. En el
certificado se muestra: Welp.es (A12345678), cuando el CIF real de WELP es
A67194746. Se solicitará más adelante el contrato entre WELP y ***URL.1 y se
confirmará que existe realmente un contrato entre ellos para entrega
electrónica certificada, aunque en dicho contrato el CIF también contiene un
error tipográfico: A97194746 en vez de A67194746.

- Las evidencias de firma especificadas en el certificado son las siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/28

 2020-08-21 09:01:37 UTC-3: Ha enviado un EMAIL de tipo inicio de proceso
certificado al correo electrónico ***EMAIL.1.
 2020-08-21 09:03:00 UTC-3: Ha enviado un SMS de tipo notificación de OTP
certificado al teléfono ***TELÉFONO.1.
 2020-08-21 09:03:26 UTC-3: Ha recibido una petición HTTPS desde la IP ***IP.1
correspondiente al evento de firma.

- Analizando las evidencias proporcionadas junto a los datos anteriores, se
percibe que:

 El email de inicio del proceso se ha originado en UTC-3 y en el pie de firma del
contrato consta Buenos Aires, Argentina. (Aclaración del inspector: Este origen es
común en los certificados de comunicaciones electrónicas con WELP emitidos por
***URL.1.)
 Los datos donde se envía el mail con la documentación y el SMS con el código de
firma del contrato son: ***EMAIL.1 y ***TELÉFONO.1.
Este número de teléfono coincide con el teléfono que consta en la denuncia
presentada ante la policía por la parte reclamante, teléfono con el que
presuntamente contactó para enviar las fotos y solicitar el empleo.
 Los datos que constan en la Orden de domiciliación de adeudo directo SEPA como
Deudor son:

o Nombre y apellidos: A.A.A.
o Domicilio: Calle ***DIRECCIÓN.1
o Entidad bancaria: BANCO SANTANDER
o IBAN: ***IBAN.1
(Número de cuenta donde se recibió el préstamo, cuyo titular es
supuestamente la parte reclamante)

Trámite de requerimiento a la parte reclamante

Con fecha 16 de junio de 2023 se solicita a la parte reclamante información adicional
para recabar aclaraciones sobre la fecha y los datos aportados para la oferta de
trabajo, sobre el medio utilizado para aportar dichos datos y sobre los resultados
obtenidos de cualquier investigación relacionada con el asunto, originada por la
presentación de las denuncias policiales. No ha sido recibida contestación de la parte
reclamante.

Requerimiento al BANCO SANTANDER

Con fecha 16 de junio de 2023 se remite un requerimiento de información a BANCO
SANTANDER en el que se le solicita, entre otros temas, los datos de la parte
reclamante de los que disponen en sus sistemas, información sobre todos los
contratos formalizados con la parte reclamante, así como los datos de identificación y
contacto del titular de la cuenta bancaria ***CUENTA.1 y su fecha de alta y baja.
(Recuérdese que esta cuenta bancaria es aquella a la que WELP remitió el importe
del crédito concedido).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/28

BANCO SANTANDER envía su escrito de contestación con fecha 26 de junio de 2023,
en el que manifiesta que:

1.- El titular de la cuenta bancaria ***CUENTA.1 corresponde con la clienta B.B.B.,
DNI ***NIF.1, como única interviniente/titular con fecha de alta 20/08/2020 y baja
15/01/2021.
Aporta captura de pantalla de los contratos de la clienta B.B.B. junto con sus fechas
de alta y baja.

Se observa por lo tanto que la cuenta receptora del importe del crédito no es de
titularidad de la parte reclamante.

2.- Aporta el siguiente detalle de la clienta B.B.B.:

- Email: ***EMAIL.2
- Teléfono: ***TELÉFONO.3
- Domicilio: Calle ***DIRECCIÓN.2.
- Clienta desde el 14 de abril de 2020.

3.- Aporta el siguiente detalle de la parte reclamante:

- Email: ***EMAIL.1
- Teléfono: ***TELÉFONO.1
- Domicilio: Calle ***DIRECCIÓN.1.
- Clienta desde el 30 de junio de 2021.

4.- Aporta los contratos activos de la parte reclamante. Entre ellos figura una cuenta
corriente cuya numeración no coincide con los datos facilitados por WELP.

Requerimiento de información a WELP.

Con fecha 16 de junio de 2023 se remite un requerimiento de información a WELP en
el que se le solicita, entre otros temas, los datos de la parte reclamante de los que
disponen en sus sistemas, información sobre todos los contratos formalizados con la
parte reclamante, así como la descripción detallada del procedimiento para la
contratación de este préstamo bancario y copia de los contactos mantenidos con la
parte reclamante y de las reclamaciones recibidas por la misma en relación con los
hechos denunciados.

WELP envía su escrito de alegaciones con fecha 26 de junio de 2023 y lo amplía con
fecha 3 de julio de 2023, juntos con los que remite la siguiente documentación:

1.- Primer escrito de respuesta al requerimiento.

2.- Acuerdo de designación de DPO de WELP.

3.- “Conjunto Documental”: Documento que engloba la siguiente documentación:

1- Datos de la parte reclamante:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/28

2- Relación de todos los productos contratados.
3- Procedimiento de contratación de préstamos bancarios de WELP.
4- Procedimiento de contratación del préstamo origen de la reclamación.
5- Anexo de Validación del Agente, que validó la documentación de forma
manual.
6- Documentación recabada en la formalización del contrato para verificar la
identidad de la parte reclamante.
7- Documentos donde constan registros y comunicaciones recibidas por la
parte reclamante. Págs.
8- Contrato suscrito entre WELP y ***URL.1.

4.- Vídeo con los audios de las comunicaciones mantenidas entre la parte reclamante
y WENANCE en octubre de 2020.

5.- Segundo escrito de respuesta al requerimiento.

6.- Certificado de BANCO SANTANDER con fecha 28 de junio de 2023, emisión del
importe del préstamo a la cuenta de la beneficiaria “A.A.A.”, ***CUENTA.1.

Punto 1.- Solicitados los datos de la parte reclamante de los que disponen en sus
sistemas, WELP remite capturas de pantalla de los distintos sistemas donde constan
los datos y/o información relativa a la parte reclamante Es reseñable la siguiente
información:

Correo electrónico: ***EMAIL.1 y ***TELÉFONO.1.

Teléfonos: (…). Este último número de teléfono coincide con el que consta en los
sistemas de SANTANDER.

IBAN: ***CUENTA.1.

Casos (incidencias) con fechas 06/10/2020, 06/10/2020, 07/10/2020, 21/01/2021 y
21/06/2021.

Captura de incidencia, con el texto “Soy A.A.A. con Dni ***NIF.1 y me pongo en
contacto con ustedes porque tengo que denunciar que han suplantado mi identidad,
firmando un contrato con ustedes y la policía me ha solicitado que les pida un
justificante donde figure la deuda que está a mi nombre y el teléfono desde donde se
ha realizado para proceder a la denuncia, me gustaría que me lo falicitaran. Muchas
gracias”

Justificante de transferencia con fecha 21/08/2020 a favor de ***NIF.1 CONCEPTO
Welp - 235212

También aporta el contrato firmado (similar al aportado en la respuesta al traslado) y
capturas de pantalla con información sobre dicho contrato.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/28

Punto 2.- Respecto a los productos contratados por la parte reclamante, WELP
muestra Préstamo Welp Bronce SI Full de cantidad 200€ con fecha de suscripción
21/08/2020.

Punto 3.- Requerido el Procedimiento de contratación de préstamos bancarios, la parte
reclamada indica:

I. Solicitud del préstamo

El préstamo se solicitaba online. La solicitud podía realizarse por cualquier persona
física con conexión a internet y acceso a la página que reuniera los siguientes
requisitos:
a. Ser residente legal en España.
b. Ser mayor de edad.
c. Tener una cuenta bancaria a nombre del titular que pide el préstamo.
d. Demostrar ingresos recurrentes.
e. Contar con un número de teléfono.
f. Disponer de una dirección de correo electrónico.

II. Clasificación de la solicitud y solicitud de documentación
Dentro de las operaciones habituales de Wenance, cuando la solicitud del préstamo al
consumo era de un valor inferior a mil euros (1.000€), de acuerdo con el Manual de
Prevención de Blanqueo de Capitales y Financiación del Terrorismo interno de
Wenance y, concretamente, con su Política de Aceptación de Clientes de fecha 18 de
enero de 2019, correspondía aplicar medidas simplificadas de diligencia debida, tal y
como se establecía en el artículo 16 h) del Real Decreto 304/2014, de 5 de mayo, por
el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del
blanqueo de capitales y de la financiación del terrorismo, el cual estipulaba lo
siguiente:
«Los sujetos obligados podrán aplicar, en función del riesgo, medidas
simplificadas de diligencia debida respecto de los siguientes productos u
operaciones:
h) Los contratos de crédito al consumo por importe inferior a 2.500 euros
siempre que el reembolso se realice exclusivamente mediante cargo en una
cuenta corriente abierta a nombre del deudor en una entidad de crédito
domiciliada en la Unión Europea o en países terceros equivalentes»
Así, conforme a lo anterior, Wenance realizaba las siguientes comprobaciones para
dichos préstamos:
a) completar un formulario de solicitud en el que proporcionaban la siguiente
información personal:
1. Nombre y apellidos.
2. Número de identificación (DNI/NIE).
3. Fecha de nacimiento.
4. Domicilio.
5. Ingresos.
6. Teléfono.
7. Correo electrónico.
8. Número de cuenta bancaria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/28

b) Posteriormente, si los clientes cumplían los requisitos, debían enviar la
siguiente documentación, la cual sería posteriormente verificada por un agente
del departamento de Ventas:
1. Foto del DNI/NIE, tanto la parte delantera como la trasera.
2. Selfie sosteniendo el documento de identidad en la mano.
3. Justificante de ingresos.
4. Justificante de titularidad de la cuenta bancaria.

III. Validación
Una vez recibida la documentación, el Agente del departamento de Ventas validaba
que los datos proporcionados por el cliente coincidieran con la documentación
facilitada.
Además, verificaba que el cliente fuera el titular de la cuenta bancaria, que el DNI/NIE
estuviera vigente y que la foto selfie coincidiera con la foto del DNI/NIE, (…).
Si el cliente cumplía todos los requisitos, la solicitud de préstamo quedaba aprobada.

IV. Contratación
Posteriormente, el cliente recibía por correo electrónico el contrato para su firma y se
le enviaba una clave a través de SMS para proceder con la firma del contrato.
Una vez que se realizaba la firma del contrato, se emitía por el departamento de
operaciones una orden de transferencia a la cuenta indicada de forma manual y se
depositaba la cantidad solicitada.

Punto 4.- Respecto a la contratación del préstamo de la parte reclamante, WELP
refiere que se solicitó online y se aplicaron medidas simplificadas puesto que no
superaba los mil euros:
a) cumplimentado el formulario de solicitud e indicando los datos personales.
b) Remitiendo la siguiente documentación:
1. Foto del DNI/NIE, tanto la parte delantera como la trasera.
2. Selfie sosteniendo el documento de identidad en la mano.
3. Justificante de ingresos y copia de la última nómina.
4. Comprobante de titularidad de la cuenta bancaria.

“El préstamo fue preaprobado y la documentación fue verificada por C.C.C., una ex
agente del departamento de Ventas, quien cotejó que los datos proporcionados por el
cliente coincidieran con la documentación adjuntada. Además, verificó que los datos
del DNI coincidieran con los reflejados en la cuenta bancaria. Asimismo, verificó que el
DNI estuviera vigente y que la foto selfie coincidiera con la foto del DNI/NIE.”

Punto 5.- Con relación a los mecanismos y medidas de seguridad utilizadas por WELP
para asegurar la autenticidad de los datos aportados por el cliente, la parte reclamada
refiere un listado de medidas, teniendo en cuenta lo explicado en los puntos anteriores
respecto del procedimiento aplicable:
“a) Solicitud de fotocopia de D.N.I.
b) Solicitud de fotografía sujetando el documento, a fin de hacer un cotejo entre
el sujeto solicitante y el portador.
c) Solicitud de la última nómina y de recibo bancario de cobro, para cotejar
manualmente que los datos obrantes en éstos correspondían con los de la
titular del D.N.I.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/28

d) Llamada de teléfono al número que constaba para comprobar su
funcionamiento.
e) Validación de toda la documentación de forma manual por la agente a cargo
en dicho momento. “
Para esta validación, WELP aporta copia del Anexo de Validación del Agente
(DOC#2.5) en la que en la Nota 2 se aprecia: “doc ok 21/08/2020 15:53 por
C.C.C.” y “datos ok 21/08/2020 16:33 por D.D.D..”
“f) Solicitud de doble factor de autenticación entre el email proporcionado y el
teléfono, a fin de mitigar el riesgo de falseamiento en la firma del contrato.
g) Transferencia manual del importe del préstamo a la cuenta del cliente.”

Punto 6.- Solicitada la documentación aportada para la formalización del contrato,
WELP remite una foto del anverso y una foto del reverso del DNI de la parte
reclamante, una foto de la parte reclamante portando el DNI, un justificante de
ingresos y una copia de la última nómina.

Tanto el justificante de ingresos aportado para la formalización del contrato como la
copia de la última nómina están incluidos en el (DOC#2.6) y en ellos se especifica el
número de cuenta ***CUENTA.1, cuenta que se ha comprobado que no pertenece a la
parte reclamante. Estos documentos podrían ser imágenes de los documentos
originales enviados por la parte reclamante en los que se ha modificado
posteriormente el número de cuenta, antes de su envío para la contratación del
préstamo.

La parte reclamada no ha facilitado el comprobante de titularidad de la cuenta bancaria
que supuestamente había sido verificado por la ex agente departamento de Ventas
C.C.C..

Punto 7.- Requerida la información sobre las comprobaciones realizadas por Unnax
para verificar la correspondencia de los datos de la cuenta corriente con los datos
facilitados en el proceso de solicitud del préstamo, WELP explica que “Tras sucesivas
comprobaciones por parte de WENANCE, se ha comprobado que, en la fecha de
contratación del préstamo por parte de Dña. A.A.A., el servicio de comprobación no
era realizado por UNNAX REGULATORY SERVICES, E.D.E, S.L. (UNNAX ), sino de
manera manual, conforme a lo indicado en los puntos 3 a 5”.

Punto 8.- Con relación a los contactos mantenidos con la parte reclamante, WELP
facilita documentos donde constan registros y comunicaciones recibidas por la parte
reclamante y un vídeo con los audios de las comunicaciones mantenidas entre la parte
reclamante y WELP en octubre de 2020.

Se comprueba que el intercambio de correos se ha realizado entre las direcciones
***EMAIL.1 y ***EMAIL.3.

En este intercambio de correos se aprecia que, ante la solicitud de la parte reclamante
de un justificante donde figure la deuda que está a su nombre y el teléfono desde
donde se ha realizado para proceder a la denuncia, WELP facilita el cuadro de
amortización del préstamo. Posteriormente, la parte reclamante remite a WELP copia
de la denuncia policial, atestado 14741/20.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/28

WELP no indica ninguna respuesta al burofax presentado por la parte reclamante con
fecha 12 de agosto de 2022.

El vídeo facilitado consta de cuatro audios, grabaciones de las llamadas efectuadas
por la parte reclamante o por su madre. La información más relevante de las llamadas
es la siguiente:

 Audio 1 (06/10/22):
Llamada de la madre de la parte reclamante a WELP.
Reclama que WELP ha llamado a su teléfono (de la madre, E.E.E.), insiste que nunca
han pedido un préstamo y solicita que borren todos los datos de su hija.

 Audio 2 (06/10/22):
WELP informa de que hay un comprobante de una transferencia. WELP pregunta si la
cuenta que termina en 3689 pertenece a la parte reclamante.
La parte reclamante confirma que no tiene ninguna cuenta en Banco Santander: (…).
En el minuto 7:54, WELP indica: "Tiene que denunciar porque alguien tiene sus datos.
Vamos a rastrear el teléfono de quien lo hizo porque tenemos una llamada de
comprobación".

 Audio 3 (07/10/22):
WELP proporciona el correo donde la parte reclamante tiene que enviar la denuncia

 Audio 4 (08/10/22):
La parte reclamante informa que han puesto denuncia a policía y han enviado la
denuncia por correo a ***EMAIL.3.
En el minuto 14:06, la parte reclamante pregunta: “Esto, como ya está denunciado, no
habrá ningún problema, ¿no?” a lo que WELP responde: “No, ahora el problema lo
tiene la persona que hizo el crédito.”

Punto 9.- WELP amplía su escrito de alegaciones aportando un certificado de BANCO
SANTANDER con fecha 28 de junio de 2023, donde se hace constar la emisión del
importe del préstamo a la cuenta de la beneficiaria “A.A.A.”, ***CUENTA.1. (DOC#4)

WELP indica que “el anterior certificado es pertinente a los efectos de demostrar la
verificación de autenticidad de la cuenta realizado por WENANCE. Esto porque, en
tanto el proceso se realizó hace 2 años y no es posible consultar la verificación
manual que realizo el agente adscrito a la cuenta, más allá de los documentos ya
proporcionados que constan en el sistema informático de WENANCE, mediante el
presente certificado se permite acreditar, a fecha de hoy, que la cuenta dada de alta en
la solicitud del préstamo está asociada a la solicitante del mismo y que fue a quien se
realizó la transferencia por el importe del préstamo.”

Se ha comprobado que este documento es un certificado emitido y firmado por
SANTANDER y en él se reflejan los datos que se especificaron a la hora de realizar la
transferencia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/28

El Artículo 59 (Identificadores únicos incorrectos) del Real Decreto-ley 19/2018, de 23
de noviembre, de servicios de pago y otras medidas urgentes en materia financiera (en
adelante, RDLSP) establece que:
“1. Cuando una orden de pago se ejecute de acuerdo con el identificador único, se
considerará correctamente ejecutada en relación con el beneficiario especificado en
dicho identificador.”

El extracto de la memoria de reclamaciones 2020 del Banco de España con relación al
Identificador Único indica:
“La normativa de servicios de pago señala que el identificador único consiste en una
combinación de letras, números o signos especificados por el proveedor de servicios
de pago al usuario de dichos servicios, que este último debe proporcionar a fin de
identificar de forma inequívoca al otro usuario del servicio de pago o la cuenta de pago
de ese otro usuario en una operación de pago, y que vendría dado por el número de
cuenta (IBAN) facilitado para la ejecución de la orden de pago.
Así, de conformidad con lo establecido en el artículo 59 del RDLSP, cuando una orden
de pago se ejecute conforme al identificador único, dicha orden se considerará
correctamente ejecutada en relación con el beneficiario indicado en dicho identificador,
no siendo responsable el proveedor de servicios de pago de la no ejecución o
ejecución defectuosa de la operación cuando el identificador único que le hubiera
facilitado el usuario fuera incorrecto. No obstante, en esos casos se exige que la
entidad proveedora de servicios de pago del ordenante de la operación realice
esfuerzos razonables para recuperar los fondos, pudiendo repercutir por dichas
gestiones los gastos de recuperación que se hubieran convenido en el contrato marco.
La normativa de servicios de pago tampoco establece el deber de las entidades de
comprobar que el nombre del beneficiario se corresponde con el del titular del número
de cuenta de destino de la transferencia ni otros datos adicionales, más allá de la
coincidencia del IBAN beneficiario con el indicado en la orden de pago.”

Por lo tanto, el certificado facilitado por WELP no permite acreditar la titularidad de la
cuenta bancaria.

Se graban en el sistema SIGRID, como objetos asociados, la normativa RDLSP y el
extracto de la memoria de reclamaciones 2020 del Banco de España con relación al
Identificador Único.

Deducciones del informe de inspección sobre las afirmaciones de la parte reclamada.

Como resumen, se muestran las afirmaciones efectuadas por la parte reclamada y que
se han comprobado contradichas:

.- “En fin, que es imposible que con una mera foto de la reclamante con el DNI se haya
abierto una cuenta bancaria online en el mismo día que se facilita dicha foto.”

La cuenta bancaria estaba previamente creada y se ha confirmado que la titularidad de
la cuenta no es de la parte reclamante.

.- “A mayor abundamiento, mi representado, también como obligado bajo la normativa
de Prevención del Blanqueo de Capitales, según tiene registrado en su manual de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/28

prevención del blanqueo y como parte de su política de riesgos, sólo admite la
contratación de préstamos con personas con cuentas bancarias que tengan una
antigüedad, mínima, de 3 meses.”

Se ha comprobado que la cuenta se creó con fecha 20 de agosto de 2020, un día
antes de la contratación del préstamo objeto de la reclamación.

.- “Lo anterior es también evidente, pues realiza, a través del proveedor de pagos,
debidamente acreditado bajo la directiva PSD2, Unnax un ingreso en la cuenta
corriente del solicitante (previo permiso) para comprobar si los datos de la cuenta
corriente se corresponden con los facilitados en el proceso de solicitud (DNI, nombre y
apellidos, dirección, etc.) y para analizar los gastos, ingresos, etc. De cara a analizar
la solvencia del solicitante.”

La parte reclamada reconoce que la validación para verificar la correspondencia de los
datos de la cuenta corriente con los datos facilitados en el proceso de solicitud del
préstamo fue manual: “Tras sucesivas comprobaciones por parte de WENANCE, se ha
comprobado que, en la fecha de contratación del préstamo por parte de Dña. A.A.A.,
el servicio de comprobación no era realizado por UNNAX REGULATORY SERVICES,
E.D.E, S.L. (UNNAX), sino de manera manual, […]”.

.- “Por último (y no por ello menos importante), la reclamante aporta una denuncia de
octubre de 2020. ¿Dos años y medio después no existe ninguna querella? ¿Ningún
tipo de investigación judicial? Estamos hablando de que se recibieron 200 € en la
cuenta corriente ***CUENTA.1, la cual figura a nombre de la reclamante.”

La cuenta corriente no figura a nombre de la parte reclamante.
Además, se ha comprobado que, en las grabaciones aportadas, WELP indica a la
parte reclamante que van a realizar acciones internas: "Tiene que denunciar porque
alguien tiene sus datos. Vamos a rastrear el teléfono de quien lo hizo porque tenemos
una llamada de comprobación".
WELP también tranquiliza a la parte reclamante: “Esto, como ya está denunciado, no
habrá ningún problema, ¿no?” a lo que WELP responde: “No, ahora el problema lo
tiene la persona que hizo el crédito.”

.- “[…] mediante el presente certificado se permite acreditar, a fecha de hoy, que la
cuenta dada de alta en la solicitud del préstamo está asociada a la solicitante del
mismo y que fue a quien se realizó la transferencia por el importe del préstamo.”

Se ha comprobado que este documento es un certificado emitido y firmado por
SANTANDER y en él se reflejan los datos que se especificaron a la hora de realizar la
transferencia, pero no permite acreditar la titularidad de la cuenta bancaria.

CONCLUSIONES

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/28

Reclamación de deuda originada por la contratación de un préstamo realizado de
manera presuntamente fraudulenta.

Se ha evidenciado la existencia de una transferencia desde WELP a la cuenta
beneficiaria del préstamo.

Se ha confirmado que la cuenta beneficiaria del préstamo no pertenece a la parte
reclamante sino a otra persona (B.B.B. DNI ***NIF.2) con fecha de alta 20/08/2020 y
baja 15/01/2021. La cuenta se creó con fecha 20 de agosto de 2020, un día antes de
la contratación del préstamo objeto de la reclamación.

Se ha comprobado que la dirección de correo electrónico y el teléfono con los que se
contrató el préstamo y que constan en las bases de datos de WELP no coinciden con
la dirección de correo electrónico y el teléfono que tiene SANTANDER en sus bases
de datos y que ha usado la parte reclamante para ponerse en contacto con WELP.

Se ha constatado que WELP era conocedor de la presunta contratación fraudulenta
desde el día 6 de octubre de 2020.

WELP no ha aportado el comprobante de titularidad de la cuenta bancaria que
supuestamente tenía que haber revisado manualmente para la contratación del
préstamo.

Solicitada la copia de los contactos mantenidos con la parte reclamante en relación
con los hechos denunciados, WELP no indica ninguna respuesta al burofax
presentado por la parte reclamante con fecha 12 de agosto de 2022, aunque en la
respuesta al traslado explicaba que la parte reclamante solicitó el derecho de
supresión de los datos, no pudiendo ser concedido por tener un contrato activo e
impagado entre las partes.

Se ha constatado que, en las grabaciones aportadas, la parte reclamante pide que se
eliminen todos los datos relativos a este préstamo.
En las grabaciones se avisa que WELP iba a rastrear el teléfono desde el que se hizo
la contratación, aconseja a la parte reclamante que denuncie y la tranquiliza
informándole que una vez denunciado ya no habrá ningún problema.

La parte reclamante no ha recibido la notificación del requerimiento (por vía postal) a
fecha de firma de este informe, pero es evidente que ella proporcionó mucha
información (fotos de DNI, selfie con el DNI, nómina y justificante de transferencia de
nómina).

Se ha demostrado que las afirmaciones aportadas por la parte reclamada en sus
alegaciones al traslado no son correctas.

Se ha comprobado que el certificado de SANTANDER presentado por la parte
reclamada, para acreditar que la cuenta dada de alta en la solicitud del préstamo está
asociada a la solicitante del mismo, refleja los datos que se especificaron a la hora de
realizar la transferencia, pero no permite acreditar la titularidad de la cuenta bancaria.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/28

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
WENANCE LENDING DE ESPAÑA, S.A. es una empresa constituida en el año 2018,
y con un (…).

SEXTO: Con fecha 20 de julio de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
por la presunta infracción del Artículo 12 del RGPD y Artículo 6.1 del RGPD, tipificada
en el Artículo 83.5 del RGPD.

SÉPTIMO: Consta fehacientemente la recepción por el interesado del citado acuerdo
de inicio, que ha sido notificado conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP). Transcurrido el plazo otorgado para
la formulación de alegaciones, se ha constatado que no se ha recibido alegación
alguna por la parte reclamada.

El artículo 64.2.f) de la LPACAP -disposición de la que se informó a la parte reclamada
en el acuerdo de apertura del procedimiento- establece que si no se efectúan
alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando
éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada,
podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de
inicio del expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría
imponerse. Por ello, tomando en consideración que la parte reclamada no ha
formulado alegaciones al acuerdo de inicio del expediente y en atención a lo
establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es
considerado en el presente caso propuesta de resolución.

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO. La parte reclamante declara que en fecha 21 de agosto de 2020 vio en la
página web “milanuncios” una oferta de trabajo. En el anuncio se daba el teléfono
***TELÉFONO.1 para contactar. Tras contactar con ese número, la parte reclamante
afirma haber enviado un selfie suyo con la foto del anverso y reverso del DNI.

SEGUNDO. Con fecha de 21/08/2020, WENANCE celebró un contrato de crédito al
consumo, en el que, como tomador del préstamo figuran los siguientes datos:

“1. Datos del cliente
Nombre y apellidos: A.A.A.
Fecha de nacimiento: XXXXXX
Domicilio: ***DIRECCIÓN.1
Teléfono móvil: ***TELÉFONO.1
Correo electrónico: ***EMAIL.1
NIF/NIE: ***NIF.1

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/28

TERCERO. La formalización de la celebración del contrato al que se refiere el hecho
probado anterior se realizó a través del siguiente procedimiento:

Conforme a los datos que aparecen en el certificado expedido por “la operadora de
telecomunicaciones LLEIDANETWORKS Serveis Telemàtics S.A. en calidad de
prestador de servicios de confianza se siguieron los siguientes pasos para la
celebración del contrato por vía electrónica:

- (…).

CUARTO. El importe de crédito fue depositado en la cuenta corriente con código
***CUENTA.1. Conforme certificado del Banco Santander que consta en el expediente:

1.- El titular de la cuenta bancaria ***CUENTA.1 corresponde con la clienta B.B.B.,
DNI ***NIF.2, (…).

2.- Se aporta el siguiente detalle de la clienta B.B.B.:
- Email: ***EMAIL.2
- Teléfono: ***TELÉFONO.2
- Domicilio: ***DIRECCIÓN.2.
- Clienta desde XXXXXXXXX

Con ello queda acreditado que el importe del crédito fue depositado en una cuenta
bancaria de titularidad de persona diferente a la parte reclamante.

QUINTO. El procedimiento de otorgamiento del crédito establecido por la parte
reclamada, en función de la cuantía del mismo, era el siguiente:

a) Cumplimentación del formulario de solicitud indicando los datos personales.
b) Remisión la siguiente documentación:

a. Foto del DNI/NIE, tanto la parte delantera como la trasera.
b. Selfie sosteniendo el documento de identidad en la mano.
c. Justificante de ingresos y copia de la última nómina.
d. Comprobante de titularidad de la cuenta bancaria.

SEXTO: La parte reclamada no ha facilitado el comprobante de titularidad de la cuenta
bancaria que supuestamente habría sido verificado por la ex agente departamento de
Ventas.

SÉPTIMO. En relación con la comprobación de la titularidad de la cuenta bancaria en
que debía ingresarse el importe del crédito solicitado, la parte reclamada afirmó tener
contratado un proveedor de pagos, debidamente acreditado bajo la directiva PSD2,
Unnax un ingreso en la cuenta corriente del solicitante (previo permiso) para
comprobar si los datos de la cuenta corriente se corresponden con los facilitados en el
proceso de solicitud (DNI, nombre y apellidos, dirección, etc.) y para analizar los
gastos, ingresos, etc. De cara a analizar la solvencia del solicitante. No obstante, con
posterioridad afirma que tras sucesivas comprobaciones por parte de WENANCE, se
ha comprobado que, en la fecha de contratación del préstamo por parte de Dña.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/28

A.A.A., el servicio de comprobación no era realizado por UNNAX REGULATORY
SERVICES, E.D.E, S.L. (UNNAX), sino de manera manual.

La parte reclamada no aporta documentación alguna sobre dicha comprobación.

OCTAVO. La parte reclamada afirma disponer de un mecanismo para evitar el fraude,
consistente en exigir como requisito que la cuenta bancaria en la que se realiza el
ingreso tenga una antigüedad superior a tres meses. Dicho requisito no fue cumplido,
ya que conforme a la documentación que obra en el expediente las fechas son las
siguientes:

- Fecha de apertura de la cuenta receptora en el Banco Santander: 20/08/2020

- Fecha de celebración del contrato de préstamo: 21/08/2020

- Fecha de ingreso de la cantidad en la cuenta bancaria: 21/08/2020

NOVENO. Consta un burofax dirigido por la parte reclamante a WENANCE, de fecha
12 de agosto de 2022, mediante el cual le comunica que no reconoce la deuda, ni
haber contratado crédito alguno con la parte reclamada; asimismo le requiere para que
deje de tratar sus datos en lo sucesivo.

WENANCE reconoce haberlo recibido, indicando que la supresión no pudo aceptarse
por encontrarse vigente la ejecución del contrato, a su juicio. Conforme se hace
constar en el informe de actuaciones previas de investigación, solicitada la copia de
los contactos mantenidos con la parte reclamante en relación con los hechos
denunciados, WELP no indica ninguna respuesta al burofax presentado por la parte
reclamante con fecha 12 de agosto de 2022.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/28

II.
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que WENANCE
LENDING DE ESPAÑA, S.A. realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD: «Responsable del tratamiento» o «responsable»: la persona
física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con
otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los
Estados miembros determina.

III
Disposiciones aplicables

El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los
datos personales, precepto que dispone:

“1. Los datos personales serán:
a) tratados de manera lícita, leal y transparente con el interesado (<<licitud, lealtad y
transparencia>>)
[...]

El apartado 2 del artículo 5 del RGPD establece que “El responsable del tratamiento
será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de
demostrarlo (<<responsabilidad proactiva>>)”

El artículo 6 del RGPD bajo la rúbrica “Licitud del tratamiento” concreta en su apartado
1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito:

“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/28

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”

IV
Obligación incumplida

Se atribuye a la parte reclamada en este acuerdo de inicio una infracción del artículo
6.1. del RGPD.

La documentación que obra en el expediente ofrece evidencias de que WENANCE
trató los datos personales de la parte reclamante (nombre, apellidos, domicilio, fecha
de nacimiento, nº DNI) sin que concurriera ninguno de los fundamentos de licitud del
tratamiento establecidos en el artículo 6.1. del RGPD. En efecto, como se desarrollará
más adelante, la parte reclamada no ha aportado documentación ni información que
permita constatar que el crédito fuera efectivamente contratado por la parte
reclamante.

El Considerando 40 del RGPD señala sobre esa cuestión:

“Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la
necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.”

Obra en el expediente administrativo un contrato de crédito al consumo,
correspondientes, en cuyas condiciones particulares figuran como “datos del cliente”
los siguientes:

“1. Datos del cliente
Nombre y apellidos: A.A.A.
Fecha de nacimiento: XXXXXXX
Domicilio: ***DIRECCIÓN.1
Teléfono móvil: ***TELÉFONO.1
Correo electrónico: ***EMAIL.1
NIF/NIE: ***NIF.1

La reclamante ha negado haber otorgado su consentimiento a esas contrataciones y
haber facilitado sus datos personales a WENANCE. Ha presentado denuncia ante las
Fuerzas y Cuerpos de Seguridad y ha ejercido su derecho de supresión frente a la
parte reclamada.

Como se detallará posteriormente, WENANCE no realizó las actuaciones necesarias
para asegurarse de que quien contrataba el crédito era realmente la parte reclamante.
Además, tampoco se aseguró de manera adecuada de que el importe del crédito era
recibido por quien constaba como tomadora del préstamo

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/28

Debe tenerse en cuenta que, en virtud del principio de responsabilidad proactiva
(artículo 5.2 del RGPD), que obliga al responsable del tratamiento de datos personales
a cumplir los principios que lo presiden, por lo que aquí interesa, el principio de licitud,
y a poder acreditar su cumplimiento, incumbe al responsable la carga de la prueba de
que el tratamiento que efectuó de los datos personales de la parte reclamante estaba
amparado en alguna de las circunstancias de licitud previstas en el artículo 6.1 del
RGPD.

En el supuesto que nos ocupa, el elemento de la culpabilidad, necesario para que
nazca responsabilidad sancionadora, resulta de la falta de diligencia demostrada por la
parte reclamada en el cumplimiento del artículo 6.1 del RGPD.

Como se ha visto en los antecedentes de la reclamación y posteriores alegaciones en
la fase de actuaciones previas de investigación, los argumentos esgrimidos por la
parte reclamada son básicamente los siguientes:

- Celebración del contrato de préstamos y confirmación del mismo a través de un
sistema certificado de firma electrónica

WENANCE aporta un contrato de crédito al consumo. En él figuran aparentemente los
datos de la parte reclamante. Conforme a los datos que aparecen en el certificado
expedido por “la operadora de telecomunicaciones LLEIDANETWORKS Serveis
Telemàtics S.A. en calidad de prestador de servicios de confianza se siguieron los
siguientes pasos para la celebración del contrato por vía electrónica:

(…).

Existe una apariencia de contrato válidamente celebrado. No obstante, como se afirma
en el informe de actuaciones previas de investigación, analizando las evidencias
proporcionadas junto a los datos anteriores, se percibe que:

- Los datos donde se envía el mail con la documentación y el SMS con el código
de firma del contrato son: ***EMAIL.1 y ***TELÉFONO.1.

- Este número de teléfono coincide con el teléfono que consta en la denuncia
presentada ante la policía por la parte reclamante, teléfono con el que
presuntamente contactó para enviar las fotos y solicitar el crédito.

- Sin embargo, esos datos de contacto no coinciden con los que la propia parte
reclamante proporcionó al BANCO SANTANDER (recordemos que ella misma
era también cliente de dicha entidad bancaria). Ni con el número telefónico de
la parte reclamante que se incluye en la denuncia.

En todo caso, la celebración del contrato por vía electrónica únicamente presupone
que el presunto suplantador habría obtenido y facilitado dichos datos de contacto (e-
mail y teléfono para la confirmación de la contratación), siendo necesario que, bien en
el momento de la petición de la contratación, bien en el de la remisión del importe

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/28

concedido, se asegurase la parte reclamada de que coincidieran el peticionario del
crédito con el titular de la cuenta bancario de destino.

- Aseguramiento de la titularidad de la cuenta de destino

Conforme a las alegaciones de la parte reclamada, esta disponía de un doble
mecanismo para asegurarse de que la cantidad del crédito solicitada fuera recibida en
una cuenta bancaria de titularidad de quien realmente la solicitaba. Dichos
mecanismos eran los siguientes:

- Realización de un ingreso previo, de manera que se constatase dicha
titularidad.
- Necesidad de que la cuenta bancaria en que se deposita la cantidad tuviera
una antigüedad mínima de tres meses.

Ambas efectivamente son precauciones básicas. Mediante la primera se recibe la
constatación de la titularidad de la cuenta, de manera que se evite la remisión del
importe solicitado a quien no es el verdadero titular. Y mediante la segunda se evitan
supuestos en que se haya realizado la suplantación de la titularidad en la propia
cuenta bancaria, de modo que hasta que no hayan transcurrido tres meses desde la
apertura no se podrá recibir un crédito en ella. Este último aspecto es especialmente
importante, ya que, como se detalló en la narración fáctica, el crédito fue solicitado el
mismo día en que la reclamante había enviado sus datos a un tercero,
presumiblemente con intenciones defraudatorias en la actuación de este último.

Pues bien, ambas precauciones fueron negligentemente ignoradas por la parte
reclamante.

En relación con el envío de un ingreso previo para determinar la titularidad de la
cuenta corriente, (a través de su proveedor de servicios de pago), WENANCE ha
afirmado, en su contestación a la inspección, que “Tras sucesivas comprobaciones por
parte de WENANCE, se ha comprobado que, en la fecha de contratación del préstamo
por parte de Dña. A.A.A., el servicio de comprobación no era realizado por UNNAX
REGULATORY SERVICES, E.D.E, S.L.(UNNAX), sino de manera manual, conforme a
lo indicado en los puntos 3 a 5”.

Con ello, esta comprobación no fue realizada. Y lo que es más importante: de la
investigación llevada a cabo por esta Agencia, existen evidencias de que la cuenta
corriente de destino no era de titularidad de la parte reclamante sino de un tercero. En
efecto, conforme a la información suministrada por el Banco Santander a la
inspección:
´
“1.- El titular de la cuenta bancaria ***CUENTA.1 corresponde con la clienta
B.B.B., DNI ***NIF.2, como única interviniente/titular con fecha de alta
20/08/2020 y baja 15/01/2021.

Aporta captura de pantalla de los contratos de la clienta B.B.B. junto con sus
fechas de alta y baja.

2.- Aporta el siguiente detalle de la clienta B.B.B.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/28

- Email: ***EMAIL.2
- Teléfono: ***TELÉFONO.1
- Domicilio: ***DIRECCIÓN.2
- Clienta desde el XXXXXXXX”

La ausencia de controles, por lo tanto, permitió que el importe del crédito fuera
transferido a una persona distinta de la que afirmó contratar.

A este respecto, casi no es necesario rebatir la insuficiencia del certificado de
transferencia emitido a petición de WENANCE por el BANCO SANTANDER. En
efecto, lo único que acreditaría es que la petición de transferencia se realizó a favor de
la reclamante, y con destino a la cuenta corriente número ***CUENTA.1. Es decir,
como bien advierte el informe del inspector:

“La normativa de servicios de pago tampoco establece el deber de las entidades de
comprobar que el nombre del beneficiario se corresponde con el del titular del número
de cuenta de destino de la transferencia ni otros datos adicionales, más allá de la
coincidencia del IBAN beneficiario con el indicado en la orden de pago. Por lo tanto, el
certificado facilitado por WELP no permite acreditar la titularidad de la cuenta
bancaria.”

En cuanto al segundo mecanismo, esto es, la necesaria antigüedad de 3 meses en la
cuenta bancaria de destino del importe del préstamo, las fechas relevantes son las
siguientes:

- Contratación del crédito: 21/08/2020 (confirmado por la propia parte reclamada)

- Depósito del importe del préstamo (200€) en la cuenta bancaria: 21/08/2020
(confirmado por el certificado de transferencia emitido por el Banco Santander)

- Fecha de apertura de la cuenta de destino nº ***CUENTA.1.: 20/08/2020
(confirmado por certificado Banco Santander)

Con ello, queda constatado que la cuenta bancaria fue abierta tan solo un día antes de
la contratación del crédito y de la remisión a la misma del importe contratado. No se
cumplió la medida que la propia parte reclamada afirma tener implantada.

Es importante resaltar el necesario cumplimiento de medidas de seguridad como las
detalladas (pero no cumplidas) por la parte reclamante. En efecto, mediante la
comprobación de la titularidad de la cuenta corriente se habría evitado el envío del
importe a persona distinta de la que aparentemente había solicitado el crédito.

Y mediante la comprobación de la antigüedad de la cuenta se habría también evitado
este supuesto incluso aunque el suplantador hubiera (mediante la documentación
previamente obtenida) podido abrir una cuenta corriente a nombre de la reclamante,
ya que habría sido necesario esperar el período de tres meses.

Con la falta de medidas de la que existen evidencias que se produjo en la operativa de
la parte reclamada, el resultado fue no solo el tratamiento de datos sin legitimación
alguna por parte del responsable del tratamiento, sino que el resultado del impago por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/28

parte del suplantador ha derivado en la exigencia de responsabilidad a la propia parte
reclamante, a cuyo nombre figura el crédito indebidamente contratado. Ello aparte de
la posible inclusión en tratamientos de datos sobre solvencia patrimonial.

Por todo ellos se considera que WENANCE trató los datos personales de la parte
reclamación sin legitimación, ya que se contrató un crédito al consumo a su nombre
sin que esta hubiera dado su contestación, o solicitado el contrato, o concurriera
ninguna otra base de legitimación del artículo 6.1. del RGPD.

V
Tipificación y calificación de la infracción

De conformidad con las evidencias que constan en el expediente se considera
acreditado que el tratamiento de los datos personales de la reclamante efectuados por
WENANCE, que dio alta un contratos de crédito al consumo a su nombre, no estaba
amparado en ninguna de las bases jurídicas establecidas en el artículo 6.1 del RGPD.

Por tanto, los hechos conocidos son constitutivos de una infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5.a) del RGPD, precepto que previene:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”

A fin de determinar el plazo de prescripción de las infracciones se estará a lo dispuesto
en la LOPDGDD, que califica la infracción imputada a la reclamada de muy grave y fija
para ella un plazo de prescripción de tres años. El artículo 72.1.a) de la LOPDGDD
dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[...]
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.”

VI
Propuesta de sanción

Los poderes correctivos atribuidos a esta Agencia como autoridad de control se
relacionan en el artículo 58.2 del RGPD, apartados a) a j).

El precepto menciona entre ellos la potestad de imponer una multa administrativa con
arreglo al artículo 83 del RGPD (artículo 58.2. i). También, la potestad de ordenar al
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/28

responsable del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un
plazo especificado (artículo 58.2. d).

En el presente caso, se impone a WENANCE por la infracción del artículo 6.1 del
RGPD una sanción de multa administrativa conforme al artículo 58.2.i) del RGPD.

El artículo 83 del RGPD, “Condiciones generales para la imposición de multas
administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la
imposición de multas por las infracciones del presente Reglamento indicadas en los
apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad,
proporcionalidad y carácter disuasorio.

El principio de proporcionalidad exige una correlación entre la infracción y la sanción,
con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser
apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD determina la
técnica a seguir para lograr esa adecuación entre la sanción y la infracción cometida y
ofrece una relación de criterios o factores que deben ser tenidos en cuenta para
graduar la sanción.

En relación con los hechos constatados, se aprecia la concurrencia de los siguientes
factores que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de
la entidad infractora:

- Circunstancia del artículo 83.2.a) RGPD: a) la naturaleza, gravedad y duración
de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la
operación de tratamiento de que se trate así como el número de interesados
afectados y el nivel de los daños y perjuicios que hayan sufrido;

Debe ponerse de manifiesto la especial gravedad de la conducta infractora. En efecto,
la negligencia que concurre en este supuesto ha producido especial repercusión en la
esfera jurídica y la vida de la reclamante, toda vez que se ha visto obligada a
actuaciones como la necesaria interposición de dos denuncias ante las fuerzas y
cuerpos de seguridad; el ejercicio del derecho de supresión ante el reclamado, y
soportar acciones de recobro por una deuda de la que no era la verdadera titular. Todo
ello propiciado por el tratamiento sin legitimación llevado a cabo por la parte reclamada

- Circunstancia del artículo 83.2.k) RGPD: En relación con el artículo 76.2.b)
LOPDGDD: La evidente vinculación entre la actividad empresarial de la
reclamada y el tratamiento de datos personales.

WENANCE tiene como objeto social, entre otros, la prestación al público de servicios
financieros. La ejecución de los contratos que celebre con los consumidores en el
desarrollo de esa actividad le obliga a tratar numerosos datos de carácter personal de
sus clientes o, incluso, de terceros, desde datos identificativos -como el nombre,
apellidos y NIF-, datos bancarios para la domiciliación de cobros o pagos y la dirección
postal Esta característica de su actividad le obliga a extremar la diligencia en el

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/28

cumplimiento de las obligaciones que le impone la normativa de protección de datos
de carácter personal.

No se aprecia la concurrencia de circunstancias atenuantes.

De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, la infracción
del artículo 6.1 del RGPD atribuida a WENANCE se sanciona con la imposición de
una multa administrativa por importe de 70.000€ (SETENTA MIL euros)

VII
Ejercicio del derecho de supresión

Junto a la reclamación se adjuntaba un burofax dirigido a WENANCE, de fecha 12 de
agosto de 2022, mediante el cual le comunica que no reconoce la deuda, ni haber
contratado crédito alguno con la parte reclamada; asimismo le requiere para que deje
de tratar sus datos en lo sucesivo.

WENANCE reconoce haberlo recibido, indicando que la supresión no pudo aceptarse
por encontrarse vigente la ejecución del contrato, a su juicio.

Conforme se hace constar en el informe de actuaciones previas de investigación,
solicitada la copia de los contactos mantenidos con la parte reclamante en relación con
los hechos denunciados, WELP no indica ninguna respuesta al burofax presentado por
la parte reclamante con fecha 12 de agosto de 2022.

A este respecto, el artículo 17 del RGPD establece lo siguiente:

“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que
fueron recogidos o tratados de otro modo;

b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad
con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se
base en otro fundamento jurídico;

c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no
prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al
tratamiento con arreglo al artículo 21, apartado 2;

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal
establecida en el Derecho de la Unión o de los Estados miembros que se aplique al
responsable del tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/28

f) los datos personales se hayan obtenido en relación con la oferta de servicios de la
sociedad de la información mencionados en el artículo 8, apartado 1.”

En relación con el ejercicio de este derecho, los apartados 2 y 3 del artículo 12 del
RGPD establece lo siguiente:

“2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos
en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado
2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer
sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no
está en condiciones de identificar al interesado.

3. El responsable del tratamiento facilitará al interesado información relativa a sus
actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin
dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción
de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario,
teniendo en cuenta la complejidad y el número de solicitudes. El responsable
informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a
partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el
interesado presente la solicitud por medios electrónicos, la información se facilitará por
medios electrónicos cuando sea posible, a menos que el interesado solicite que se
facilite de otro modo.”

Conforme a la documentación obrante en el expediente se ha constatado que la parte
reclamada ha incumplido el artículo 12 del Reglamento ya que, con independencia de
los motivos de fondo alegados por ella en relación con la procedencia de atender el
derecho de supresión, debió contestar a la parte reclamante en el plazo de un mes en
relación con la solicitud de ejercicio del derecho de supresión.

VIII
Derecho de supresión. Tipificación de la infracción

De conformidad con las evidencias de las que se dispone en este expediente, se
acredita que la parte reclamante no contestó al ejercicio del derecho de supresión
conforme a lo establecido en el artículo 12 del RGPD

Por tanto, los hechos conocidos podrían ser constitutivos de una infracción del artículo
12 del RGPD, tipificada en el artículo 83.5.a) del RGPD, precepto que previene:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 Eur como máximo o, tratándose
de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
b) los derechos de los interesados a tenor de los artículos 12 a 22;

A fin de determinar el plazo de prescripción de las infracciones se estará a lo dispuesto
en la LOPDGDD, que califica la infracción imputada a la reclamada de muy grave y fija
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/28

para ella un plazo de prescripción de tres años. El artículo 72.1.de la LOPDGDD
dispone:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[...]
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los
derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.

IX
Propuesta de sanción

Los poderes correctivos atribuidos a esta Agencia como autoridad de control se
relacionan en el artículo 58.2 del RGPD, apartados a) a j).

El precepto menciona entre ellos la potestad de imponer una multa administrativa con
arreglo al artículo 83 del RGPD (artículo 58.2. i). También, la potestad de ordenar al
responsable del tratamiento que las operaciones de tratamiento se ajusten a las
disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un
plazo especificado (artículo 58.2. d).

En el presente caso se impone a WENANCE por la infracción del artículo 12 del RGPD
una sanción de multa administrativa conforme al artículo 58.2.i) del RGPD.

De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, la infracción
del artículo 12 del RGPD atribuida a WENANCE se sanciona con la imposición de una
multa administrativa por importe de 2.000€ (dos mil euros)

X
Adopción de medidas

Constatadas las infracciones, se acuerda imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/28

cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Se considera que debe ordenarse a la parte reclamada que proceda a contestar la
solicitud del derecho de supresión ejercido por la parte reclamante, en el plazo de un
mes desde la firmeza administrativa de esta resolución

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,

RESUELVE:

PRIMERO: IMPONER a WENANCE LENDING DE ESPAÑA, S.A., con NIF
A67194746, por una infracción del Artículo 6.1 del RGPD y una infracción del Artículo
12 del RGPD, tipificadas ambas en el Artículo 83.5 del RGPD,

- una multa de SETENTA MIL EUROS (70.000€) por la infracción del artículo 6.1
del RGPD
- una multa de DOS MIL EUROS (2.000€) por la infracción del artículo 12 del
RGPD

SEGUNDO: ORDENAR a WENANCE LENDING DE ESPAÑA, S.A., con NIF
A67194746, que en virtud del artículo 58.2.d) del RGPD, en el plazo de UN MES,
acredite haber procedido a la contestación de la solicitud del derecho de supresión
ejercido por la parte reclamante.

TERCERO: NOTIFICAR la presente resolución a WENANCE LENDING DE ESPAÑA,
S.A.. con NIF A67194746

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ESXX XXXX XXXX XXXX XXXX XXXX (BIC/Código SWIFT:
XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/28

la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-250923
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

AEPD (Spain) - EXP202304146

Karar metni