1/6 Expediente N.º: EXP202206596 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 10 de mayo de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra CAIXABANK, S.A. con NIF A08663619 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que un tercero ha hecho uso de sus datos personales para llevar a cabo la contratación de un préstamo, así como la apertura de una cuenta corriente asociada, sin su consentimiento. Aporta denuncia policial, reclamación ante la OMIC y reclamación ante la entidad bancaria reclamada. Documentación relevante aportada por la parte reclamante: La reclamación consta de dos entradas casi idénticas que serán explicadas más adelante. En ellas se aporta: .- 26 de octubre de 2021: Denuncia policial. (Págs. 18 y 17, desordenadas). .- 26-27 de octubre de 2021: Envío de correo electrónico a la parte reclamada en el que se remite la denuncia policial. (Pág. 10) .- 11 de noviembre de 2021: Intercambio de Correos desde la Policía Nacional. La Policía envía a la parte reclamante una copia del DNI "fraudulento" y el número de cuenta. (Pág. 11) .- 30 de noviembre de 2021: Denuncia presentada ante OMIC contra Bankia, tras denuncia policial. Escrito duplicado (Págs. 8 y 9) .- 30 de noviembre de 2021: Fecha de traslado a Bankia de la reclamación ante OMIC (Demanda 13L026/665/2021/1-IM0) (Pág. 19) .- 13 de diciembre de 2021: Fecha de entrega del traslado a la parte reclamada .- 16 de febrero de 2022: Fecha de salida de comunicación de demanda 13L026/665/2021/1-IM0 al servicio de atención al cliente de la parte reclamada. En este escrito se les insta a acreditar lo que se les solicitaba en la comunicación recogida el 13 de diciembre de 2021. (Pág. 22) .- 08 de abril de 2022: Remisión desde OMIC a Banco de España, solicitando información. (Pág. 3) .- 05 de mayo de 2022: Petición de archivo de actuaciones desde OMIC al Banco de España. (Entrada 2, Pág. 23) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 10 de junio de 2022, como consta en el certificado que obra en el expediente. Con fecha 18 de julio de 2022, tras pedir ampliación de plazo para presentar contestación, se recibe en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente: .- Que en sus sistemas consta un cliente llamado A.A.A. (el segundo apellido de la parte reclamante es ***A), con número de DNI igual al número de DNI que aporta la parte reclamante en su reclamación (***NIF.1). .- Aportan copia digitalizada del Documento Nacional de Identidad con el que el cliente, A.A.A. procedió a la contratación de determinados productos en BANKIA, ahora CAIXABANK. Estudiando los DNIs se percibe que existen ciertas coincidencias y diferencias entre ellos: **- En el anverso coinciden tanto el número de documento como nombre, primer apellido y fecha de nacimiento. El segundo apellido es casi idéntico, simplemente añadiendo una “S”. **- En el reverso, sólo coincide la provincia tanto del lugar de nacimiento como del domicilio. .- Que se ha cursado la baja de dicho DNI en los sistemas de información crediticia y se ha informado a la parte reclamante en este sentido. TERCERO: Con fecha 10 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 17 de abril de 2023 se realiza un requerimiento de información a la parte reclamada solicitándole información sobre todos los datos obrantes en su entidad asociados a la parte reclamante, así como la relación de todos los productos contratados en Bankia, ahora CaixaBank, a nombre de la parte reclamante desde el 1 de enero de 2018. La parte reclamada proporciona toda esta información en las alegaciones que remite a esta Agencia con fecha 12 de mayo de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 En el documento Doc_1 facilitado por la parte reclamada se observa que, salvo el número de DNI, el nombre y el primer apellido, el resto de los datos personales asociados a la parte reclamante que se encuentran en sus sistemas no coinciden con los datos reales de la parte reclamante. Respecto a la fecha de alta de los productos contratados, se percibe que todos se contrataron durante el año 2018. .- Doc 2.1 Préstamo ***REFERENCIA.1 Cuenta vinculada: ***REFERENCIA.2 Situación: cancelado Constitución: 20 de julio de 2018 .- Doc 2.2 Cuenta corriente ***REFERENCIA.2. CCC de dicha cuenta: ***REFERENCIA.3 Apertura: 22 de enero de 2018 .- Doc 2.3 Tarjeta de débito ***REFERENCIA.4 asociada a la cuenta ***REFERENCIA.2, pendiente de activar. Alta: 22 de enero de 2018 .- Doc 2.4 Banca digital ***REFERENCIA.5 Alta: 22 de enero de 2018 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
- a)la seudonimización y el cifrado de datos personales;
- b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
- c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
- d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Legitimación del tratamiento Por su parte, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Conclusión Refiere el reclamante que, sin su participación ni consentimiento, un tercero hizo uso de sus datos personales para llevar a cabo la contratación de un préstamo, así como la apertura de una cuenta corriente asociada. La entidad reclamada ha aportado la documentación que se acompañó para realizar los contratos objeto de reclamación, que se produjo en el año 2018; informó que las cuotas fueron pagadas hasta el momento en que se efectuó la reclamación de pago por parte de la entidad reclamada; así como acompaño escrito de la OMIC solicitando al Banco de España, de fecha 5 de mayo de 2022, el archivo de las actuaciones ya que, por la entidad reclamada, se había resuelto satisfactoriamente a favor de la parte reclamante Por lo tanto, en base a lo indicado en los párrafos anteriores, puede considerarse que el tratamiento de los datos de la parte reclamante se produjo de forma lícita, en principio, ya que se había formalizado un contrato entre reclamante y reclamado. Si las medidas de seguridad que se aplicaron por Bankia en la contratación (actualmente, la entidad reclamada) no fueron las adecuadas, la posible infracción estaría prescrita ya que se contrató en el año 2018 y al tratarse de una infracción grave, la misma, de haberse producido, prescribió en 2020, con anterioridad a la presentación de la reclamación. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CAIXABANK, S.A., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es