1/19
Expediente N.º: EXP202410843
RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 3 de febrero de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a KVIKU SPAIN, S.L.
(en adelante, KVIKU). Notificado el acuerdo de inicio y tras analizar las alegaciones
presentadas, con fecha 3 de diciembre de 2025 se emitió la propuesta de resolución
que a continuación se transcribe:
<<
Expediente N.º: EXP202410843
PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Con fecha 6 de junio de 2024 se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a KVIKU
SPAIN, S.L. con NIF B09804295 (en adelante, KVIKU).
Los hechos que se pone en conocimiento de esta autoridad:
Quien reclama manifiesta que suscribió un préstamo con KVIKU. Añade que, al darse
cuenta de que las comisiones eran abusivas, contactó con KVIKU con el fin de
cancelación el contrato. Afirma que la entidad le ha requerido para poder tramitar la
solicitud de cancelación del préstamo, la aportación de "su foto con DNI a mano".
Junto a la reclamación aporta:
-Capturas de pantalla relativos al historial de préstamos, con la parte reclamada, así
como justificante de la transferencia realizada, en fecha 21 de mayo de 2024, relativa
al reembolso total efectuado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
2/19
-Capturas de pantalla de los mensajes de correo electrónico intercambiados con
KVIKU, relativos a las solicitudes de pagos pendientes.
-Respuestas relativas al modo de solicitar el reembolso anticipado.
-Mensaje relativo a la solicitud de reembolso.
-Comunicación de fecha 8 de mayo de 2024, relativa al pago realizado, así como
respuesta recibida en la que la parte reclamada indica lo siguiente: "Buenos días, aquí
es la respuesta a su solicitud (...): su foto con DNI a mano".
-Copia de la foto del DNI solicitada.
-Copia de mensajes de correos electrónicos posteriores, de fecha 17 y 18 de mayo de
2024, a través de los que el reclamante reitera la solicitud la cancelación del préstamo,
adjuntando dos archivos entre los que consta justificante de la transferencia realizada
del reembolso total y copia de distintas respuestas de la parte reclamada indicando,
por un lado, que está procesando su solicitud y, por otro lado, copia de una respuesta
genérica haciendo alusión a una cláusula del contrato.
-Mensajes de correo electrónicos de la parte reclamada, de fecha 23 y 27 de mayo de
2024, reclamando pagos pendientes.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a KVIKU, para que
procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las
acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
La notificación del traslado de la reclamación, que se practicó conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación
electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a
disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la
LPACAP en fecha 12/08/2024, como consta en el certificado que obra en el
expediente.
Aunque la notificación se practicó por medios electrónicos, a título informativo se envió
una copia por correo postal que fue notificada fehacientemente en fecha 21/08/2024.
En dicha notificación, se le recordaba a la parte reclamada su obligación de
relacionarse electrónicamente con la Administración, y se le informaban de los medios
de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría
exclusivamente por medios electrónicos.
Cabe señalar que no se recibió respuesta al escrito de traslado en el plazo de un mes
tal y como se establecía; no obstante, transcurrido aproximadamente un año desde su
notificación y fuera del plazo establecido, con fecha 10 de junio de 2025, KVIKU remite
contestación al mismo, en el que, en síntesis, manifestaba que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
3/19
1) KVIKU no ha podido proceder a la supresión de los datos personales del interesado,
toda vez que este no ha satisfecho la totalidad del préstamo otorgado.
2) KVIKU debe cumplir con lo establecido en la Ley de Prevención del Blanqueo de
Capitales y de la Financiación del Terrorismo, la cual obliga a las entidades financieras
a verificar de forma fehaciente la identidad de sus clientes mediante la presentación
del Documento Nacional.
3) En relación con las medidas adoptadas para evitar que se produzcan incidencias
similares no se ha adoptado ninguna medida, dado que no se ha producido ninguna
incidencia que lo justifique. La base legítima para el tratamiento de los datos
personales del interesado reside en la relación contractual existente entre las partes.
4) En cuanto a la solicitud de una imagen del interesado con su DNI en mano, si la
Agencia Española de Protección de Datos (AEPD) considera que dicha práctica no se
ajusta a la normativa vigente en materia de protección de datos y requiere
expresamente su cese, esta entidad procederá a su eliminación.
TERCERO: Con fecha 6 de septiembre de 2024, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la reclamación.
CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
KVIKU SPAIN, S.L. es una PYME (Microempresa), constituida en el año 2022 con un
capital social de 3.000 euros, de la que no se dispone de información de su cuenta de
resultados.
QUINTO: Con fecha 3 de febrero de 2025, la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo
5.1.c) del RGPD, tipificada en el Artículo 83.5 del RGPD.
SEXTO: Notificado el citado Acuerdo de Inicio conforme a lo establecido en la
LPACAP, y siendo obligatoria en este caso la notificación por medios electrónicos no
consta que la interesada accediera a su contenido. De acuerdo con la normativa
aplicable, cuando la notificación electrónica sea obligatoria, se entenderá rechazada
una vez transcurridos diez días naturales desde su puesta a disposición sin que se
haya accedido a su contenido.
SÉPTIMO: Se acompaña como anexo relación de documentos obrantes en el
procedimiento.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
4/19
PRIMERO: Las partes, KVIKU y el reclamante, mantienen un contrato de préstamo
identificado con el número (...).
SEGUNDO: Para tramitar la cancelación de un préstamo, la entidad KVIKU requiere al
reclamante la aportación de una fotografía en la que aparezca sosteniendo su DNI,
con el fin de verificar su identidad.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Contestación al escrito con fecha 10 de junio de 2025 de respuesta al traslado de la
reclamación
En respuesta al escrito presentado con fecha 10 de junio de 2025 por la entidad
reclamada se debe señalar lo siguiente:
Sobre no atender el derecho de supresión de datos personales del interesado:
Según el reclamado el derecho de supresión no puede ser atendido, dado que las
partes mantienen un contrato de préstamo en vigor y la conservación de los datos
resulta necesaria para su ejecución. Conforme al artículo 17.3.b) del RGPD, el
responsable del tratamiento podrá denegar la supresión cuando el tratamiento sea
necesario para el cumplimiento de una obligación legal. Asimismo, el artículo 6.1.b) del
RGPD legitima el tratamiento de los datos personales cuando sea necesario para la
ejecución de un contrato en el que el interesado es parte.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
5/19
En este sentido, esta Agencia desea señalar que no es objeto del presente
procedimiento la no atención de una solicitud de supresión de datos personales.
Cumplimiento de la normativa sectorial. Principio de minimización de datos:
La entidad alega que debe ajustarse a su normativa sectorial, en concreto, la Ley de
Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo.
Al respecto, esta Agencia desea señalar que la normativa sectorial aplicable no resulta
contraria ni incompatible con los principios establecidos en la legislación de protección
de datos. Por el contrario, ambos marcos normativos pueden y deben aplicarse de
forma concurrente, sin que el cumplimiento de uno excluya o impida el cumplimiento
del otro.
En este sentido, el RGPD tiene carácter transversal y se aplica a todos los
tratamientos de datos personales, con independencia del sector, salvo previsión
expresa en contrario. La normativa sectorial no exime del respeto a los principios
fundamentales del tratamiento, en particular los de licitud, lealtad, transparencia,
minimización y limitación de la finalidad. Por ello, la entidad está obligada a adoptar las
medidas necesarias para compatibilizar las exigencias de su regulación sectorial con
el pleno cumplimiento de la normativa de protección de datos, sin que pueda invocarse
una supuesta incompatibilidad que no existe.
Pues bien, la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y
de la financiación del terrorismo (en lo sucesivo LPBC) impone a los sujetos obligados,
en este caso la parte reclamada, como medida de diligencia debida la obligación de
identificar a las personas que pretendan establecer con ellos relaciones de negocio o
intervenir en cualesquiera operaciones.
El artículo 7.3 LPBC impide a los sujetos obligados establecer relaciones de negocio o
ejecutar operaciones cuando no puedan aplicar las anteriores medidas de diligencia
Por tanto, la parte reclamada debe identificar a las personas que realicen una
operación de cancelación anticipada de préstamo.
Las operaciones no presenciales exigen las medidas de diligencia debida para la
identificación del cliente establecidas en el art. 12 de la LPBC y art. 21 del Real
Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la LPBC,
que disponen lo siguiente:
Art. 12 LPBC Relaciones de negocio y operaciones no presenciales
1. Los sujetos obligados podrán establecer relaciones de negocio o ejecutar
operaciones a través de medios telefónicos, electrónicos o telemáticos con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
6/19
clientes que no se encuentren físicamente presentes, siempre que concurra
alguna de las siguientes circunstancias:
a) La identidad del cliente quede acreditada mediante la firma electrónica
cualificada regulada en el Reglamento (UE) n.° 910/2014 del Parlamento
Europeo y del Consejo, de 23 de julio de 2014, relativo a la identificación
electrónica y los servicios de confianza para las transacciones electrónicas en
el mercado interior y por la que se deroga la Directiva 1999/93/CE. En este
caso no será necesaria la obtención de la copia del documento, si bien será
preceptiva la conservación de los datos de identificación que justifiquen la
validez del procedimiento. En el resto de casos, cuando la firma electrónica
utilizada no reuniese los requisitos de la firma electrónica cualificada seguirá
siendo preceptiva la obtención en un mes de una copia del documento de
identificación.
b) El primer ingreso proceda de una cuenta a nombre del mismo cliente abierta
en una entidad domiciliada en España, en la Unión Europea o en países
terceros equivalentes.
c) Se verifiquen los requisitos que se determinen reglamentariamente.
En todo caso, en el plazo de un mes desde el establecimiento de la relación de
negocio, los sujetos obligados deberán obtener de estos clientes una copia de
los documentos necesarios para practicar la diligencia debida.
Cuando se aprecien discrepancias entre los datos facilitados por el cliente y
otra información accesible o en poder del sujeto obligado, será preceptivo
proceder a la identificación presencial.
Los sujetos obligados adoptarán medidas adicionales de diligencia debida
cuando en el curso de la relación de negocio aprecien riesgos superiores al
riesgo promedio.
2. Los sujetos obligados establecerán políticas y procedimientos para afrontar
los riesgos específicos asociados con las relaciones de negocio y operaciones
no presenciales.
Artículo 21. Requisitos en las relaciones de negocio y operaciones no
presenciales.
1. Los sujetos obligados podrán establecer relaciones de negocio o ejecutar
operaciones a través de medios telefónicos, electrónicos o telemáticos con
clientes que no se encuentren físicamente presentes, siempre que concurra
alguna de las siguientes circunstancias:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
7/19
a) La identidad del cliente quede acreditada de conformidad con lo dispuesto
en la normativa aplicable sobre firma electrónica.
b) La identidad del cliente quede acreditada mediante copia del documento de
identidad, de los establecidos en el artículo 6, que corresponda, siempre que
dicha copia esté expedida por un fedatario público.
c) El primer ingreso proceda de una cuenta a nombre del mismo cliente abierta
en una entidad domiciliada en España, en la Unión Europea o en países
terceros equivalentes.
d) La identidad del cliente quede acreditada mediante el empleo de otros
procedimientos seguros de identificación de clientes en operaciones no
presenciales, siempre que tales procedimientos hayan sido previamente
autorizados por el Servicio Ejecutivo de la Comisión de Prevención del
Blanqueo de Capitales e Infracciones Monetarias (en adelante, Servicio
Ejecutivo de la Comisión).
En todo caso, en el plazo de un mes desde el establecimiento de la relación de
negocios no presencial, los sujetos obligados deberán obtener de estos
clientes una copia de los documentos necesarios para practicar la diligencia
debida.
2. Los criterios para la acreditación de la identidad del cliente en relación con
los sujetos obligados sometidos a la Ley 13/2011, de 27 de mayo, de
regulación del juego, y en su normativa de desarrollo, se determinarán en el
proceso de concesión de licencias generales por la Dirección General de
Ordenación del Juego, previo informe favorable del Servicio Ejecutivo de la
Comisión
La normativa de prevención del blanqueo de capitales establece una obligación de
identificación, pero no ha previsto la identificación de los clientes a través del sistema
empleado por la parte reclamada.
Por tanto, en el caso que nos ocupa, debe rechazarse esta alegación, por cuanto la
parte reclamada habría establecido un procedimiento de identificación en operaciones
de cancelación de préstamos con unos requisitos que no se amparan en la normativa
sectorial. Por ello, la utilización de medios adicionales a los expresamente previstos en
la ley debe respetar el principio de minimización de datos (artículo 5.1.c del RGPD).
Por consiguiente, la verificación de identidad en este tipo de operaciones debe
realizarse empleando únicamente los datos estrictamente necesarios para la finalidad
perseguida. En este caso, existen medios menos intrusivos para cumplir con la
normativa de prevención del blanqueo de capitales, como la aportación de la copia del
DNI expedida por un fedatario público, o la firma electrónica, o al ser el reclamante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
8/19
cliente la verificación mediante sistemas de identificación ya habilitados por la entidad,
que permiten acreditar la identidad del reclamante sin necesidad de recabar una
fotografía sosteniendo el documento de identidad, medida que resulta más invasiva y
que la parte reclamada no ha justificado su necesidad.
Las Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y
por defecto establecen lo siguiente: el responsable del tratamiento debe verificar si los
fines perseguidos pueden alcanzarse tratando una menor cantidad de datos
personales, utilizando datos menos detallados o agregados, o incluso sin tratar datos
personales en absoluto. Esta verificación debe realizarse antes de iniciar cualquier
tratamiento, aunque también puede llevarse a cabo en cualquier momento del ciclo de
vida del tratamiento.
Medidas Correctivas a implementar en caso de infracción:
Cabe señalar que de confirmarse la infracción, tal y como se indica en el Fundamento
de Derecho Séptimo la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso del Artículo 5.1.c) del
RGPD, de acuerdo con lo establecido en el citado artículo 58.2.d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…” Por ello, nos remitimos al citado Fundamento de Derecho
Séptimo
III
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que KVIKU
realiza, entre otros tratamientos, la recogida y conservación de datos personales de
personas físicas: nombre y apellidos, DNI, correo electrónico, datos financieros.
KVIKU realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del
RGPD.
IV
Obligación incumplida. Minimización de datos
La letra c) del artículo 5.1 del RGPD propugna:
"1. Los datos personales serán:
(…)
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los
que son tratados («minimización de datos»);"
Cabe traer a colación las consideraciones acerca del principio de minimización de
datos realizadas por el Comité Europeo de Protección de Datos (CEPD) en las
Directrices 4/2019, “relativas al artículo 25, Protección de datos desde el diseño y por
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
9/19
defecto”, versión 2.0, de fecha 20/10/2020, adoptadas en cumplimiento de la función
que el artículo 70 del RGPD le encomienda de garantizar su aplicación coherente.
En el apartado 74 de dichas directrices se establece que:
“En primer lugar, los responsables del tratamiento deben determinar si tienen siquiera
necesidad de tratar datos personales para sus fines pertinentes. El responsable debe
verificar si se pueden alcanzar los fines pertinentes tratando menos datos personales,
o utilizando datos personales menos detallados o agregados, o sin tener que tratar
datos personales en modo alguno. Dicha verificación debe tener lugar antes de
cualquier tratamiento, pero también puede llevarse a cabo en cualquier momento
durante el ciclo de tratamiento.”
Y en su apartado 76, estas Directrices 4/2019 indican que pueden ser “Elementos
esenciales desde el diseño y por defecto con respecto a la minimización de datos”
entre otros, los siguientes:
Evitación de datos: Se evitará todo tratamiento de datos personales cuando
ello sea posible para cumplir la finalidad pertinente.
Limitación: Se limitará la cantidad de datos personales recogidos a lo
estrictamente necesario para el fin previsto.
Limitación de acceso: Se configurará el tratamiento de datos de manera que se
minimice el número de personas que necesiten acceder a datos personales
para desempeñar sus funciones, y se limitará el acceso en consecuencia.
Pertinencia: Los datos personales deben ser pertinentes para el tratamiento en
cuestión, y el responsable del tratamiento deberá poder acreditar dicha
pertinencia.
Necesidad: Cada categoría de datos personales será necesaria para los fines
especificados y solo deberá ser objeto de tratamiento si no es posible cumplir
la finalidad por otros medios.”
Por otro lado, la STJUE de 4 de octubre de 2024, en el asunto C-446/21, establece
que “En tercer lugar, por lo que respecta al hecho de que los datos personales a los
que se refiere el litigio principal se recojan, se agreguen, se analicen y se traten con el
fin de proponer publicidad específica, sin distinción en función de la naturaleza de
dichos datos, es importante recordar que el Tribunal de Justicia ya ha declarado que,
teniendo en cuenta el principio de minimización de datos establecido en el artículo 5,
apartado 1, letra c), del RGPD, el responsable del tratamiento no puede proceder, de
manera generalizada e indiferenciada, a la recogida de datos personales y que debe
abstenerse de recoger datos que no sean estrictamente necesarios en relación con los
fines del tratamiento [sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests
(Tratamiento de datos personales con fines fiscales), C 175/20, EU:C:2022:124,
apartado 74]”.
El citado principio de minimización tiene como fin garantizar que únicamente se traten
estrictamente necesarios para alcanzar el propósito legítimo del tratamiento, evitando
el tratamiento excesivo o desproporcionado de datos personales. Su objetivo principal
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
10/19
es proteger los derechos y libertades de las personas físicas, reduciendo los riesgos
asociados al tratamiento innecesario de datos personales.
En el presente caso, de la reclamación presentada se desprende que KVIKU habría
solicitado la foto de quien reclama con el DNI en la mano para cancelar un préstamo.
Sin embargo, el tratamiento de los datos personales del reclamante que realiza KVIKU
para poner fin a sus servicios debe estar presidido por los principios que relaciona el
artículo 5 del RGPD y en especial el denominado “Principio de minimización de datos”
previsto, en concreto, en el artículo 5.1.c. RGPD que exige que no se soliciten datos
innecesarios para acreditar la identidad real del interesado.
En definitiva, la obligación de identificación puede cumplirse sin necesidad de solicitar
una fotografía de la parte reclamante con el DNI en la mano, pues existen otras
alternativas igualmente válidas y de menor riesgo para los derechos y libertades de las
personas que permiten realizar esta comprobación de una forma igualmente eficaz y
menos intrusiva.
Vistas las circunstancias concurrentes, se entiende que el requerimiento de la entrega
de una foto del reclamante con el documento de identidad en la mano para cancelar
un préstamo previamente contratado supone un tratamiento excesivo de datos
personales, puesto que éstos son inadecuados, no pertinentes y no necesarios para el
fin específico del tratamiento de que se trata.
Por tanto, de conformidad con los hechos probados den esta propuesta de
procedimiento sancionador, se considera que los hechos conocidos son constitutivos
de una infracción, imputable a KVIKU, por vulneración del artículo transcrito
anteriormente.
V
Tipificación de la infracción del artículo 5.1.c) del RGPD y calificación a efectos de
prescripción
El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:
"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;
b) los derechos de los interesados a tenor de los artículos 12 a 22;
c) las transferencias de datos personales a un destinatario en un tercer país o una
organización internacional a tenor de los artículos 44 a 49;
d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con
arreglo al capítulo IX;
e) el incumplimiento de una resolución o de una limitación temporal o definitiva del
tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control
con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del
artículo 58, apartado 1."
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
11/19
Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:
"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679."
VI
Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
12/19
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
corresponde la imposición de multa, además de la adopción de medidas.
La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con los hechos probados den esta propuesta de procedimiento
sancionador, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.
Con carácter previo, se estima que concurren las circunstancias siguientes:
• La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido (artículo 83.2, letra a), del RGPD):
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
13/19
A este respecto, conviene remarcar que el número de afectados es elevado, aun
cuando únicamente se haya recibido una reclamación, puesto que afecta a la
totalidad de los clientes de la parte reclamada que quieran realizar una operación
de cancelación de un préstamo.
• La intencionalidad o negligencia en la infracción: (artículo 83.2, letra b),
del RGPD): La entidad actuó de forma negligente al solicitar una fotografía del
reclamante sosteniendo su DNI sin valorar adecuadamente que esta práctica
podía resultar excesiva y contraria al principio de minimización de datos.
• Las categorías de los datos de carácter personal afectados por la
infracción (artículo 83.2, letra g), del RGPD):
El tratamiento afecta a la fotografía del reclamante junto su DNI. La obtención de
ambas imágenes ocasiona riesgos adicionales de suplantación.
Como criterio de graduación del artículo 76.2 de la LOPDGDD, aplicado como
agravante:
La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD):
Esta circunstancia resulta aplicable a una entidad financiera dedicada a la
concesión de préstamos online, ya que su actividad principal está
intrínsecamente vinculada al tratamiento intensivo de datos personales. Este
tipo de entidades gestionan información identificativa, financiera y patrimonial
de personas físicas, lo cual exige un cumplimiento riguroso de la normativa de
protección de datos debido a los riesgos elevados que supone para los
derechos y libertades de dichas personas.
En consecuencia, el incumplimiento de la normativa en este contexto reviste
una mayor gravedad al no ser el tratamiento de datos una característica
accesoria, sino un aspecto central en la actividad de la entidad reclamada,
justificando la concurrencia de esta circunstancia en el marco del
procedimiento sancionador.
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con los hechos probados de que se dispone en el presente momento de
propuesta de resolución del procedimiento sancionador, se considera que el balance
de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la
LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.c) del RGPD, permite proponer una sanción de multa administrativa de
10.000,00 euros.
VII
Medidas correctivas
La resolución que se dicte podrá establecer las medidas correctivas que la entidad
infractora deberá adoptar para poner fin al incumplimiento de la legislación de
protección de datos personales, en este caso del Artículo 5.1.c) del RGPD, de acuerdo
con lo establecido en el citado artículo 58.2.d) del RGPD, según el cual cada autoridad
de control podrá “ordenar al responsable o encargado del tratamiento que las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
14/19
operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento,
cuando proceda, de una determinada manera y dentro de un plazo especificado…”
Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.
En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.
No obstante, en este caso, con independencia de lo anterior, de conformidad con los
hechos probados de que se dispone en el presente momento de propuesta de
procedimiento sancionador, se propone que en la resolución que se adopte se requiera
a KVIKU para que, en el plazo de UN MES, a contar desde la fecha de ejecutividad de
la resolución finalizadora de este procedimiento, adopte las medidas siguientes:
-Acredite haber adoptado medidas para que la acreditación de identidad en los
procedimientos de cancelación de préstamos se realice mediante opciones que
garanticen el cumplimiento del artículo 5.1 c del RGPD.
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.
A la vista de lo expuesto se procede a emitir la siguiente
PROPUESTA DE RESOLUCIÓN
Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
KVIKU SPAIN, S.L., con NIF B09804295, por una infracción del Artículo 5.1.c) del
RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 10.000,00 euros.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
15/19
Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a
KVIKU SPAIN, S.L., con NIF B09804295, que en virtud del artículo 58.2.d) del RGPD,
en el plazo máximo de un mes:
-Acredite haber adoptado medidas por las que la acreditación de identidad en los
procedimientos de cancelación de préstamos se realice mediante opciones que
garanticen el cumplimiento del artículo 5.1 c del RGPD.
Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le
informa de que podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta
reducción, la sanción quedaría establecida en 8.000,00 euros y su pago implicará la
terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes. La efectividad de esta reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
En caso de que optara por proceder al pago voluntario de la cantidad especificada
anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla
efectiva mediante su ingreso en la cuenta restringida nº IBAN: ES00-0000-0000-0000-
0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando
en el concepto el número de referencia del procedimiento que figura en el
encabezamiento de este documento y la causa, por pago voluntario, de reducción del
importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la
Subdirección General de Inspección para proceder a cerrar el expediente.
En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo
sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma
electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.es) y
de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará
constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el
procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de
correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y
que la falta de práctica de este aviso no impedirá que la notificación sea considerada
plenamente válida.
En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento
a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y
presentar los documentos e informaciones que considere pertinentes, de acuerdo con
el artículo 89.2 de la LPACAP.
926-250625
A.A.A.
INSPECTOR/INSTRUCTOR
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
16/19
ANEXO
Índice del expediente EXP202410843
06/06/2024 Reclamación de B.B.B.
01/08/2024 Traslado reclamación a KVIKU SPAIN, S.L.
12/08/2024 Reiteración a KVIKU SPAIN, S.L.
06/09/2024 Escrito a B.B.B.
04/02/2025 Acuerdo de inicio a KVIKU SPAIN, S.L.
15/02/2025 Escrito a B.B.B.
10/06/2025 Respuesta requerimiento de KVIKU SPAIN, S.L
>>
SEGUNDO: En fecha 9 de diciembre de 2025, KVIKU ha procedido al pago de la
sanción en la cuantía de 8.000,00 euros haciendo uso de la reducción prevista en la
propuesta de resolución transcrita anteriormente.
TERCERO: En la propuesta de resolución transcrita anteriormente se constataron los
hechos constitutivos de infracción, y se propuso que, por la Presidencia, se impusiera
al responsable la adopción de medidas adecuadas para ajustar su actuación a la
normativa, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según
el cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
17/19
II
Terminación del procedimiento
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”
III
Pago voluntario
De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en la
propuesta de resolución notificada se le permitía llevar a cabo el pago voluntario de la
sanción propuesta, lo que supondría la reducción de un 20% de su importe. Con la
aplicación de esta reducción, la sanción quedaría establecida en 8.000,00 euros y su
pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.
Tras la citada propuesta de resolución, y antes de que se dictase resolución por parte
de esta autoridad, KVIKU, en fecha 9 de diciembre de 2025, procedió a realizar el
pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado
3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la
sanción.
Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
18/19
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:
PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva de la propuesta de resolución transcrita en la
presente resolución.
La suma de las citadas cuantías arroja una cantidad total de 10.000,00 euros.
Tras haber procedido KVIKU SPAIN, S.L. al pago voluntario, aunque sin
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPCAP,
a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de
8.000,00 euros.
La efectividad de la citada reducción está condicionada, en todo caso, al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa.
SEGUNDO: DECLARAR la terminación del procedimiento EXP202410843, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
TERCERO: ORDENAR a KVIKU SPAIN, S.L. para que en el plazo de 1 mes desde
que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de
las medidas que se describen en los fundamentos de derecho de la propuesta de
resolución transcrita en la presente resolución.
CUARTO: NOTIFICAR la presente resolución a KVIKU SPAIN, S.L..
QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso
en vía administrativa, la presente resolución será firme en vía administrativa y
plenamente ejecutiva a partir de su notificación.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez la resolución haya sido
notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es
19/19
No obstante, conforme a lo previsto en el artículo 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.
1331-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es