AI-00074-2023

1/5  Expediente N.º: EXP202206310 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 6 de mayo de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: En fechas 19 de enero y 1 de febrero de 2022, realizó dos transferencias bancarias desde su cuenta de UNICAJA BANCO, S.A., a la cuenta su hijo (cuenta abierta en la entidad reclamada CAIXABANK, S.A.), pudiendo visualizar el destinatario numerosos datos personales del ordenante (parte reclamante), tales como el domicilio postal y el NIF. Manifiesta que tras contactar con su entidad bancaria esta indica que el error no proviene de la citada entidad, por lo que ha presentado reclamación ante la entidad reclamada, en fecha 3 de mayo de 2022. Aporta documentación relativa a las dos transferencias efectuadas y a los datos contenidos en ellas (en las que consta el sello de la entidad reclamada, de fecha 29 de abril de 2022). Asimismo, aporta copia de una resolución dictada por esta Agencia, relativa a una reclamación anterior, pero contra la entidad ordenante UNICAJA BANCO, S.A., por la que se inadmitía a trámite dicha reclamación a raíz de la falta de indicios racionales de existencia de infracción, todo ello en virtud de las alegaciones realizadas por la citada entidad, al indicar que: "El documento aportado por la reclamante en el que figuran los datos de su domicilio postal y NIF, no se ha generado en los sistemas de UNICAJA BANCO, ni la entidad lo ha elaborado o remitido". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7 de junio de 2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 5 de julio de 2022 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 .- Que las transferencias realizadas por la parte reclamante se realizan bajo la normativa interbancaria SEPA (Single Euro Payments Area, es decir, Zona Única de Pagos en Euros), cuyo objetivo es establecer instrumentos de pago, infraestructuras y estándares paneuropeos uniformes en toda Europa. .- Que, en España, las normas de funcionamiento del esquema de transferencias se recogen en el cuaderno interbancario 34.14. .- Que los mandatos SEPA siguen un procedimiento normalizado y común a todas las entidades de crédito. .- Que, tal como se especifica en el Cuaderno interbancario 34.14, “Los datos proporcionados por el ordenante para el beneficiario, serán trasladados íntegramente hasta llegar al beneficiario, siempre que sea posible.” .- Que, “Por tanto, esta información es mostrada por CaixaBank al beneficiario de la transferencia porque es remitida por la entidad emisora, de acuerdo a la normativa interbancaria que aplica la normativa SEPA.” TERCERO: Con fecha 6 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 17 de abril de 2023 se confirma en la página web de la Confederación Española de Cajas de Ahorros (CECA), https://www.ceca.es/sepa/, que “A través del European Payments Council (EPC) se han definido estos instrumentos SEPA, para transferencias y adeudos directos, junto con un conjunto de normas y estándares en formato ISO 20022 que deben ser respetados por las partes implicadas. Para ello, se definen los cuadernos SEPA de la serie de normas y procedimientos bancarios, que permiten la emisión de transferencias o de adeudos SEPA de conformidad con la normativa europea aplicable.” En esta página web se puede descargar el cuaderno Órdenes en formato ISO 20022 para emisión de transferencias y cheques en euros. Guía de implantación (noviembre 2019). En el cuaderno se establece que: “Esta guía de implantación y los mensajes en formato ISO 20022 que detalla han sido definidos por las entidades de crédito españolas a través de sus respectivas asociaciones, Asociación Española de Banca (AEB), Confederación Española de Cajas de Ahorros (CECA) y Unión Nacional de Cooperativas de Crédito (UNACC). Es, por tanto, una guía normalizada y común a todas aquellas entidades de crédito que presten los servicios a que esta guía se refiere.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 […] “Los datos proporcionados por el ordenante para el beneficiario serán trasladados íntegramente hasta llegar al beneficiario, siempre que sea posible. Por limitaciones técnicas de los formatos interbancarios, es posible que la entidad ordenante no pueda hacer llegar a la entidad del beneficiario la información completa proporcionada.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Principios relativos al tratamiento La letra
7. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" IV Conclusión La reclamación presentada tiene su origen en la exposición de datos personales del ordenante de una transferencia bancaria al destinatario de la misma. Se ha confirmado que las transferencias realizadas bajo la normativa interbancaria SEPA siguen un procedimiento normalizado y común a todas las entidades de crédito. En el Cuaderno donde se especifican las Órdenes en formato ISO 20022 para emisión de transferencias y cheques en euros, se establece que: “Los datos proporcionados por el ordenante para el beneficiario serán trasladados íntegramente hasta llegar al beneficiario, siempre que sea posible.” La parte reclamada ha alegado que la información es mostrada al beneficiario de la transferencia porque es remitida por la entidad emisora, de acuerdo con la normativa interbancaria que aplica la normativa SEPA. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es