La Agencia Espa\u00f1ola de Protecci\u00f3n de Datos (en adelante, \u201cAEPD\u201d) ha sancionado a una entidad financiera por una infracci\u00f3n del art\u00edculo 6.1 del Reglamento General de Protecci\u00f3n de Datos (en adelante, \u201cRGPD\u201d), relativa a la falta de legitimaci\u00f3n para el tratamiento de datos personales al no haber acreditado la existencia de un consentimiento v\u00e1lido ni una relaci\u00f3n contractual leg\u00edtima con el afectado.<\/p>\n
El procedimiento se inici\u00f3 a ra\u00edz de una reclamaci\u00f3n presentada por un ciudadano, quien manifest\u00f3 haber sido incluido en ficheros de solvencia patrimonial por una deuda derivada de una tarjeta de cr\u00e9dito que nunca hab\u00eda solicitado ni contratado. El reclamante tuvo conocimiento de la situaci\u00f3n al serle denegada una operaci\u00f3n de financiaci\u00f3n por otra entidad, constatando que un tercero hab\u00eda suplantado su identidad utilizando sus datos personales para contratar el producto financiero de forma fraudulenta.<\/p>\n
En el an\u00e1lisis, la AEPD constata que la entidad financiera no despleg\u00f3 la diligencia debida en el momento de la contrataci\u00f3n para verificar la identidad del solicitante. La AEPD recuerda que, para que el tratamiento de datos sea l\u00edcito, debe basarse en una de las causas previstas en el art\u00edculo 6 del RGPD. En este caso, al haberse producido una suplantaci\u00f3n de identidad, no exist\u00eda un contrato real ni una manifestaci\u00f3n de voluntad del afectado, lo que determina la ilicitud del tratamiento de sus datos y de su posterior comunicaci\u00f3n a los ficheros de morosidad.<\/p>\n
La AEPD se\u00f1ala que la carga de la prueba sobre la licitud del tratamiento recae sobre el responsable, quien debe implementar medidas de verificaci\u00f3n de identidad robustas para evitar contrataciones fraudulentas.<\/p>\n
La AEPD fundamenta la sanci\u00f3n en los siguientes extremos:<\/p>\n
Con esta resoluci\u00f3n, la AEPD reitera que las entidades financieras tienen una responsabilidad proactiva en la validaci\u00f3n de la identidad de sus clientes, y que el riesgo de suplantaci\u00f3n de identidad debe ser mitigado por el responsable del tratamiento mediante controles efectivos, so pena de incurrir en infracciones graves por tratamiento de datos sin consentimiento.<\/p>\n","protected":false},"excerpt":{"rendered":"