Madrid, 14 ene (.).- El Tribunal Supremo ha confirmado la sanción impuesta por la Agencia de Protección de Datos (APD) a una empresa por conceder un microcrédito a una persona que había suplantado la personalidad de otra, al entender que no actuó con la diligencia necesaria para verificar la identidad del cliente.
La sala de lo contencioso ha avalado la sanción de 80.000 euros impuesta a la empresa por la APD -y ratificada después por la Audiencia Nacional- a Dineo, por haber concedido un microcrédito online a un cliente que aportó el DNI de otra persona.
Para el Supremo, la intervención fraudulenta de un tercero que suplanta la identidad de otra persona no excluye la infracción de la empresa por falta de consentimiento inequívoco para el tratamiento de datos personales que exige la Ley de Protección de Datos, porque la intervención fraudulenta de un tercero no implica que la empresa contratante haya actuado con diligencia.
El dinero del crédito no se devolvió, y Dineo incluyó al titular del DNI suplantado en una lista de morosos; este denunció los hechos a la APD, que concluyó que Dineo había incurrido en dos infracciones graves de la Ley de Protección de Datos.
Una de ellas fue tratar datos personales sin recabar el consentimiento de las personas afectadas, y la otra vulnerar la exigencia de exactitud y veracidad de los datos, al haber incorporado en sus sistemas informáticos los datos del denunciante y dando traslado de ellos al fichero de solvencia patrimonial Asnef.
El nombre del denunciante figuraba en la lista de morosos asociado a una deuda de 161 euros, deuda que no era cierta, vencida ni exigible ya que el denunciante no había contratado el microcrédito.
La única comprobación que realizó Dineo sobre el DNI fue confirmar, mediante un algoritmo, que se trataba de un DNI real, y ello implica que "en cualquier caso en el que un tercero utilice indebidamente un DNI sustraído o extraviado para realizar una compra o solicitar un crédito on line, siempre se consumaría el tratamiento inconsentido de los datos personales del titular del documento, aunque éste hubiese denunciado en su día ante las autoridades su pérdida o sustracción".
No obstante, prosigue la sentencia, de todo ello no cabe concluir que sea la empresa la responsable de impedir que se produzca un hecho ilícito o delictivo como es el uso fraudulento de un DNI por parte de quien no es su titular.
"Pero sí es exigible la como diligencia necesaria para que no se le pueda reprochar el incumplimiento de sus obligaciones en materia de protección de datos de carácter personal, así como la implantación de medidas de control tendentes a verificar que la persona que pretende contratar es quien dice ser, esto es, que coincide con el titular del DNI aportado", añade.