Resolución de la Agencia Española de Protección de Datos PS-00281-2017 de 05 de febrero de 2018

Cuestión

1 / 8

Procedimiento Nº PS/00281/2017

RESOLUCIÓN: R/02658/2017

En el procedimiento sancionador PS/281/2017, instruido por la Agencia Española

de Protección de Datos, a la entidad WONGA CONSUMER FINANCE SPAIN SLU

(anteriormente denominada TWICE LAMDA...

Contestacion

1/8

Procedimiento Nº PS/00281/2017

RESOLUCIÓN: R/02658/2017

En el procedimiento sancionador PS/281/2017, instruido por la Agencia Española

de Protección de Datos, a la entidad WONGA CONSUMER FINANCE SPAIN SLU

(anteriormente denominada TWICE LAMDA INVESTIMENS SL. (WONGA), vista la

denuncia presentada por C.C.C., y en base a los siguientes,

ANTECEDENTES

PRIMERO: Con fecha 13/07/16 tiene entrada en esta Agencia, denuncia de C.C.C.,

contra la entidad WONGA, por los siguientes hechos: ?Su identidad ha sido suplantada

en la contratación de un préstamo financiero. Derivado de dicho préstamo se ha

producido una deuda que ha motivado su inclusión en ficheros de solvencia patrimonial

y de crédito. Ha denunciado los hechos ante la Policía y ha remitido reclamación a la

entidad acreedora de dicha deuda?. La documentación aportada por el denunciante se

encuentra detallada tanto en el acuerdo de incoación del expediente como en la

propuesta de resolución.

S EGUNDO : A la vista de los hechos denunciados, en fase actuaciones previas, la

empresa WONGA, remite la información detallada tanto en el acuerdo de inicio del

expediente como en la propuesta de resolución

TERCERO: Con fecha 14/06/17, la Directora de la Agencia Española de Protección de

Datos acordó iniciar, procedimiento sancionador a la entidad WONGA, por presunta

infracción de los artículos 6.1 y 4.3) de la Ley Orgánica 15/1999, de 13 de diciembre, de

Protección de Datos de Carácter Personal, (en lo sucesivo LOPD), tipificadas como

grave en el artículo 44.3.b) y c) respectivamente, de dicha norma, pudiendo ser

sancionada con multa de 40.001 a 300.000 euros cada una, de acuerdo con el artículo

45.2 de dicha Ley Orgánica.

CUARTO: Notificado el acuerdo de inicio, la representación de la entidad denuncia,

mediante escrito de fecha 12/07/17, formuló alegaciones, cuyo contenido se encuentra

en el expediente sancionador y que en síntesis, ya se expusieron en la propuesta de

resolución.

QUINTO: Con fecha 21/07/17, se inició el período de práctica de pruebas, acordándose:

a).- dar por reproducidos a efectos probatorios la denuncia interpuesta por la

denunciante y su documentación, los documentos obtenidos y generados por los

Servicios de Inspección que forman parte del expediente E/6277/2015 y b).- dar por

reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/281/2017,

presentadas por la representación de la entidad denunciada.

En base a lo estipulado en el escrito de apertura de periodo de pruebas, con fecha

10/08/17 se requiere a la empresa EXPERIAN que envíe la información referente a la

inclusión de los datos personales del denunciante en el fichero de solvencia y crédito

BADEXCUG.

SEXTO: Con fecha 31/08/17, se recibe informe de EXPERIAN, a requerimiento de esta

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

2/8

Agencia, en cuyo punto nº 1.2 de ?Histórico de Actualizaciones de BADEXCUG?, aporta

como documento nº 4.- información relativa a la operación aportada por la entidad

WONGA: - ?Operación nº ***OP.1: Esta deuda se dio de alta el día 08/05/16 y se dio de

baja el 18/05/16 por proceso automático semanal de actualización de a datos?

SEPTIMO: Con fecha 05/09/17, se firma la propuesta de resolución en el sentido de que

por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad

WONGA, por infracción de los artículos 4.3) y 6.1) de la LOPD, tipificada como grave en

los artículos 44.3.c) y b) respectivamente, de dicha norma, con una multa de 50.000

(cincuenta mil euros) por cada una de las infracciones, dando un total de 100.000 (cien

mil euros), de conformidad con lo establecido en el artículo 45.2 y 4 de la citada Ley

Orgánica.

OCTAVO: Notificada la propuesta de resolución, la representación de la entidad

WONGA remite escrito, en el plazo concedido para ello, en las que, en síntesis, alega:

a).- La Propuesta de Resolución propone la imposición de una sanción sobre la

base de una presunta infracción de los artículos 4.3) y 6.1) de la LOPD, sin motivación

alguna, comportando una fragante vulneración del principio de seguridad jurídica y

defiende que, respecto al artículo 6.1), la entidad WONGA fue engañada a pesar de

haber aplicado toda la diligencia exigible y en base a eso y además avalado por

innumerables sentencias de la AN, la AEPD debe considerar este hecho y no apreciar

culpabilidad alguna, tal y como ha ocurrido ya en otras ocasiones, incluido algún caso

en el que se ha visto involucrada la entidad WONGA,

Exige por tanto, a esta Agencia que explique los motivos por los que ahora, la

Propuesta de Resolución se aparta del criterio seguido en asuntos similares, ya que una

sanción en los términos propuestos generaría una inseguridad jurídica gravísima y

contraria a los preceptos establecidos en la CE, y que de no tomarse en consideración,

denotarían un claro cambio de criterio de la AEPD respecto a los casos de suplantación

de identidad y verificación de la identidad del usuario, con el consiguiente perjuicio.

b).- La Propuesta de Resolución no adolece únicamente de una vulneración de

los principios de confianza legítima, buena fe, igualdad y seguridad jurídica, si no que

incurre también en un claro vicio de falta de motivación.

c).- Se reiteran en lo expuesto en las alegaciones de 12/07/17. Defienden que, a

pesar de todo lo expuesto y de los documentos acreditativos aportados en el citado

escrito de alegaciones, en la Propuesta de Resolución se incluye como único

Fundamento de Derecho para imputar a Wonga una infracción del artículo 4.3 de la

LOPD que: ?según informe de EXPERIAN BUREAU, los datos de C.C.C. fueron

incluidos en el fichero BADEXCUG por la entidad WONGA con numero ***OP.1 el día

08/05/16 y dados de baja el 18/05/16? y que las alegaciones vertidas por Wonga en el

escrito de fecha 12/07/17 han sido contempladas por la Agencia como meras

alegaciones de parte, sin tomar en consideración que las mismas se sustentaban en la

prueba documental aportada junto con dicho escrito, aportando ahora un Dictamen

Pericial emitido por la empresa Masandrada Consulting S.L.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

3/8

En dicho Dictamen Pericial se describen técnica y pormenorizadamente las

acciones registradas en los sistemas informáticos de Wonga donde acredita que la

orden de baja fue emitida por Wonga el 04/05/17 ejecutada por Experian el 15/05/16, sin

que esta parte conozca los motivos de la tardía ejecución de la orden por dicha

empresa.

d).- No discuten la eventual inclusión de los datos del C.C.C. en el fichero

Badexcug, sino que lo que acreditan es que dicha inclusión no se realizó a instancias de

Wonga, puesto que lo que esta entidad ordenó fue la eliminación de los mismos. Dicha

inclusión pudo producirse por un error de Experian o, por el retraso de Experian en

ejecutar la orden emitida por Wonga, circunstancia que en absoluto puede imputarse a

ésta, sin embargo no consta que se haya realizado una mínima investigación

encaminada a esclarecer los motivos de la inclusión, ni la responsabilidad de la misma.

En este sentido, los documentos aportados por Wonga a lo largo del

procedimiento, y en especial el Dictamen Pericial que se aporta ahora analizan

pormenorizadamente todo el proceso de comunicación de Wonga con Experian,

mientras que el informe presentado por Experian únicamente acredita un resultado

(derivado de su propia actuación de procesamiento de los datos comunicados), la

inclusión de los datos en el fichero de Badexcug, pero no analiza el proceso que dio

lugar a dicho resultado ni, por tanto, quién es responsable del mismo.

No se discute que se haya producido una eventual inclusión errónea de los datos

del C.C.C. en el fichero Badexcug. Sin embargo, Wonga ha aportado todas las pruebas

a su alcance para acreditar que no es responsable de dicha inclusión, sin que las

mismas hayan sido desvirtuadas en el marco del presente procedimiento sancionador,

lo cual determina la aplicación del principio in dubio pro reo.

e).- No obstante, de forma subsidiaria, y sólo para el improbable supuesto en

que la Agencia no estimase las alegaciones formuladas hacen referencia a la necesaria

aplicación del principio de proporcionalidad al concurrir los requisitos necesarios para su

preceptiva aplicación contemplados en el artículo 45,5 de la LOPD

Por último se solicita que se acuerde el archivo de las actuaciones sobre la base

de que no cabe reproche alguno a las actuaciones de Wonga ni debe ser considerado

como responsable de la comunicación de los datos del C.C.C. al fichero Badexcug de

Experian, dando lugar a un supuesto de ausencia total de culpabilidad,

Subsidiariamente, se aplique el artículo 45.5 de la LOPD o subsidiariamente, de

no apreciar que se reúnen las circunstancias del precitado artículo 45.5, de conformidad

con lo previsto en el artículo 45,4 se gradúe la cuantía de la sanción, imponiendo el

importe mínimo correspondiente a las sanciones graves.

HECHOS PROBADOS

a).- Existe una notificación de inclusión en ASNEF, referenciada e individualizada a

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

4/8

nombre del denunciante, en la dirección A.A.A., con referencia a una situación de

incumplimiento con la entidad WONGA, alta el 05/04/16 y saldo impagado de 416,50

euros.

b).- Existe una denuncia interpuesta ante la Policía Nacional el 19/04/16 alegando no

haber realizado dicha operación.

c).- Existe una carta certificada que se envía el 25/04/16, a WONGA denunciando

los hechos y adjuntando copia de la denuncia ante la Policía Nacional.

d).- Existe una carta expedida por WONGA (sin fechar), de contestación a dicha

reclamación, donde se le solicita que aporte documentación adicional y se le especifica

que la cuenta creada a su nombre ha sido temporalmente suspendida y se ha procedido

a dar de baja sus datos de los ficheros solvencia mientras dura la investigación.

e).- WONGA manifiesta que, el mismo día en que se recibe la carta, se paralizan las

acciones de recobro, procede al bloqueo de los datos personales del denunciante y le

solicita información adicional a fin de poder investigar el caso de posible fraude,

procediéndose a dar de baja sus datos del fichero de solvencia.

f).- La copia del contrato de préstamo (sin firmar) consta como peticionario el

denunciante junto con la copia de su DNI y un recibo de domiciliación bancaria.

g).- Existe impresión del fichero ASNEF, a fecha 05/05/16, en el que consta que los

datos del denunciante no están incluidos en el mismo.

h).- Existe una notificación de inclusión en BADEXCUG de fecha 10/05/16 sin

referenciar e individualizada a nombre del denunciante, con referencia a una situación

de incumplimiento con WONGA, de fecha de alta el 08/05/16 y saldo impagado de

416,50 euros.

i).- Respecto al requerimiento previo de pago, se constata que:

? Existe carta, de número de referencia ***NREF.1 fechada a 07/03/2016, que

remite la entidad denunciada al denunciante advirtiéndole advierte de que sus

datos podrían incluirse en ficheros de solvencia patrimonial y de crédito de

mantenerse la situación de impago en el plazo de 20 días.

? Existe certificado expedido por SERVINFORM, S.A. de la generación, impresión

y puesta en el servicio de envíos postales con fecha 08/03/16 de la carta de

requerimiento de pago con número de referencia ***NREF.1 dirigida al

denunciante a su dirección.

? Existe copia del documento acreditativo del gestor postal Correos de referencia

?***NREF.2? en el que figura la remisión de 106 cartas con fecha 08/03/16 en

nombre de EQUIFAX IBERICA, S.L. sin individualizar una referencia a la carta al

denunciante, y validado por el gestor postal.

? Existe certificado expedido por EQUIFAX IBERICA, S.L. a fecha 13/12/16 que

acredita que no consta que el requerimiento previo de pago de referencia

***NREF.1 haya sido devuelto.

j).- En su escrito de respuesta a la solicitud de información manifiesta que el alta en

ASNEF de la deuda asociada al denunciante se produjo a 05/04/16, transcurridos los 20

días indicados en el requerimiento previo de pago.

k).- En su escrito de respuesta a la solicitud de información manifiesta que los datos

se dieron de baja a fecha 28/04/16 tras recibir la comunicación del denunciante en la

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

5/8

que manifestaba no haber contratado préstamo alguno con TWICE LAMDA

INVESTMENTS S.L. Señala también que los datos no han vuelto a ser dados de alta por

haber confirmado la entidad el caso de fraude. Adjunta impresión de pantalla de consulta

a las bases de datos de la entidad que refiere las fechas de alta y baja señaladas.

l).- El informe de EXPERIAN BOREAU DE CRÉDITO indica que la operación

aportada por la entidad WONGA, con número ***OP.1, es dada alta el día 08/05/16 y

dada de baja el 18/05/16, por proceso automático semanal de actualización de a datos.

FUNDAMENTOS DE DERECHO

I

Es competente para resolver este procedimiento la Directora de la Agencia

Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.g),

en relación con el artículo 36 de la LOPD.

II

La valoración conjunta de la prueba documental obrante en el procedimiento trae

a conocimiento de la AEPD una visión de la actuación denunciada a WONGA, que ha

quedado reflejada en los hechos declarados probados arriba relatados.

WONGA, es la persona jurídica responsable de dichos hechos. Responsabilidad

circunscrita, por razones de competencia relacionados con los artículos 4.3 y 6.1 de la

LOPD, donde se establece la necesidad de que los datos personales que se recojan en

cualquier fichero sean tratados previo consentimiento expreso del interesado y además

sean exactos y respondan, en todo momento, a la situación actual de los afectados,

siendo los responsables de los ficheros quienes responden del cumplimiento de esta

obligación.

En el caso que nos ocupa, tal y como reconoce la propia entidad WONGA, no es

la primera vez que la empresa es denunciada por fallos en los protocolos de actuación

respecto a la seguridad de los datos personales, su verificación y la lucha contra la

usurpación de la identidad y que anteriormente habían solucionado este problema de

una posible sanción por parte de la AEPD, con la aplicación de una diligencia debida a

la hora de cancelar y bloquear la duda y eliminar la inclusión de los datos personales en

los ficheros de solvencia. No obstante, aunque la representación de la entidad WONGA

pretenda identificar todos los casos por igual, incluidos las innumerables sentencias

expuestas en las alegaciones de la AN, el caso que nos ocupa no tiene ninguna

semejanza los expuestos en las alegaciones, ya que en éste, existe una utilización de

los datos personales del denunciante sin su consentimiento expreso el día 08/05/16 para

su alta en el fichero BADEXCUG, después de que la entidad WONGA recibiera la

denuncia de usurpación de identidad en la contratación de un crédito, el 25/04/16,

actuación que por sí sola vulnera los principios recogidos en el artículo 6.1 de la LOPD.

Por otra parte, de toda la documentación obrante en el expediente se desprende

que, WONGA dio orden de inclusión de los datos del denunciante en el fichero ASNEF

con fecha de alta el 05/04/16. Que el día 25/04/16, cuando recibe la denuncia del

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

6/8

C.C.C. procede a dar de baja los datos en el fichero ASNEF, el 28/04/16 (3 días

después de recibir la denuncia). Respecto del fichero BADEXCUG señalar que no

existe ningún alta el 05/04/16 o fechas próximas a ésta tal y como defiende la entidad

WONGA, sino que la fecha de alta es el 08/05/16 (un mes después de la fecha de alta

en ASNEF y 13 días después de recibir la denuncia.

Los datos de denunciante son dados de baja el 18/05/16 del fichero

BADEXCUG, por lo que estuvieron incluidos en dicho fichero durante 11 días cuando la

empresa conocía de la existencia de la denuncia interpuesta por el C.C.C. unos días

antes de su alta.

La representación de la empresa no niega los expuesto anteriormente, la

inclusión de los datos del C.C.C. en el fichero BADEXCUG después de conocer la

existencia de la denuncia pero se defiende diciendo que podría ser debido a un error en

el tratamiento de los datos por la empresa EXPERIAN e indica que WONGA actuó con

la debida diligencia, incluso aportando un informe pericial de empresa ajena.

La conclusión es que, los datos del C.C.C. fueron incluidos en el fichero

BADEXCUG de tal forma que vulneraron lo establecido en el artículo 4.3 de la LOPD.

Que el responsable del tratamiento de dichos datos fue la empresa WONGA y que

EXPERIAN certifica que, a instancia de ésta los datos fueron incluidos en el fichero

BADEXCUG, sin que por parte WONGA se presente prueba en contra de esta

afirmación, por lo que, la presunción de inocencia esgrimida por la representación de la

entidad WONGA queda sin efecto en este caso.

III

El artículo 45 de la LOPD, distingue la división de las infracciones, su cuantía y

su graduación atendiendo a diferentes argumentos. Se indica además que, el órgano

sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase

de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la

considerada en el caso de que se trate. Para ello es necesario la concurrencia de, o bien

una cualificada disminución de la culpabilidad del imputado, o bien de la antijuridicidad

del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita.

Tras las evidencias obtenidas en las diferentes fases del procedimiento, no

procede, en este caso considerar ninguna de las circunstancias especificadas en el

artículo 45.5 para su aplicación en ambas infracciones.

Además, se considera que procede graduar, para ambas infracciones, la sanción

a imponer de acuerdo con los siguientes criterios agravantes que establece el artículo

45.4 de la LOPD:

? El carácter continuado de ambas infracciones, al haber tratado los datos del

denunciante sin consentimiento después de conocer la denuncia por usurpación

de la identidad para notificar su alta en el fichero BADEXCUF y haber sido

incluidos en dicho fichero desde el 08/05/16 hasta el 18/05/16. (apartado 4.a).

? Por la vinculación de la actividad del infractor con la realización de tratamientos

de carácter personal (apartado 4.c),

? Por el grado de intencionalidad en la comisión de los hechos, al no tener

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

7/8

justificado su inclusión en el fichero de solvencia BADEXCUG (apartado 4.f),

Vistos los preceptos citados y demás de general aplicación, la Directora de la

Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a la entidad WONGA una sanción de 50.000 (cincuenta mil

euros) por una infracción del artículo 4.3 de la LOPD, en relación con la inclusión del os

datos personales en los ficheros de solvencia y crédito, según el art. 29.4 de la LOPD, y

los artículos 38.1 c) 39 y 43, del RLOPD, tipificada como GRAVE en el artículo 44.3 c)

de la citada Ley.

Imponer además, una sanción de 50.000 (cincuenta mil euros), por una

infracción del artículo 6.1 de la LOPD en relación con tratamiento de los datos sin el

consentimiento del afectado, pues se han sido tratados en los ficheros de la entidad

desde el 25/04/16, fecha de conocimiento de la denuncia, hasta el 18/05/16, fecha en

que fueron definitivamente borrados de los ficheros de solvencia.

Ambas infracciones dan como resultado una sanción conjunta de 100.000 (cien

mil euros).

SEGUNDO: NOTIFICAR la presente resolución a WONGA CONSUMER FINANCE

SPAIN SLU.

TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una

vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo

98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de

las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68

del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29

de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su

ingreso en la cuenta restringida B.B.B., abierta a nombre de la Agencia Española de

Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a

su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se

encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el

pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se

encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago

será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD,

en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de

medidas fiscales, administrativas y del orden social, la presente Resolución se hará

pública, una vez haya sido notificada a los interesados. La publicación se realizará

conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia

Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a

lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el

Real Decreto 1720/2007, de 21 diciembre.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

8/8

Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la

LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley

39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones

Públicas, los interesados podrán interponer, potestativamente, recurso de reposición

ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes

a contar desde el día siguiente a la notificación de esta resolución, o, directamente

recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la

disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción

Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a

la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es