Agencia Espanola Proteccion Datos (AEPD) har utfärdat en sanktionsavgift på 2 400 euro mot Kviku Spain SL för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att AEPD tagit emot ett klagomål från en privatperson som tagit emot SMS, e-post och dokument som gav intryck av att ett lån hade beviljats, trots att personen aldrig haft någon relation till företaget. Den klagande misstänkte därför att det rörde sig om identitetsstöld. Kviku svarade att den aktuella låneansökan hade avslagits och att de uppgifter som behandlats hade samlats in via ett digitalt formulär med den klagandes samtycke.
AEPD:s granskning visade att Kviku behandlat personuppgifter utan att kunna styrka ett giltigt samtycke eller annan rättslig grund. Kviku hade därför behandlat den klagandes personuppgifter i strid med artikel 6.1 GDPR. De loggar och interna dokument som Kviku presenterade, bland annat en skärmdump, ansågs inte utgöra tillräcklig bevisning för att samtycke lämnats på ett sätt som uppfyller kraven på att vara fritt, informerat och uttryckligt.
Sanktionsavgiften uppgick ursprungligen till 4 000 euro, men sänktes till 2 400 euro efter att Kviku Spain gjort en omgående betalning och erkänt sitt ansvar för överträdelsen.