1/11 Expediente N.º: EXP202210727 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fechas 30 de agosto y 24 de septiembre de 2022, se presentaron dos reclamaciones ante la Agencia Española de Protección de Datos contra el BANCO BILBAO VIZCAYA ARGENTARIA, S.A., (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que, en fecha 6 de septiembre de 2021, un tercero modificó, de forma fraudulenta, los datos relativos al domicilio de la cuenta titularidad de su madre (en la que la parte reclamante figuraba como autorizado), así como la solicitud de una segunda tarjeta asociada a dicha cuenta (que no fue solicitada por la parte reclamante ni por la madre de este) y el posterior uso fraudulento de dicha tarjeta en cajeros automáticos. En fecha 5 de octubre de 2021, puso los hechos en conocimiento de la parte reclamada, solicitando, en numerosas ocasiones conocer el modo y la identidad del tercero que modificó los datos del domicilio asociado a la cuenta bancaria, así como la identidad del solicitante de la segunda tarjeta, sin éxito, puesto que, en fecha 18 de mayo y 21 de enero de 2022, la parte reclamada manifiesta que la dirección controvertida fue proporcionada por la parte reclamante a la hora de dar de alta el contrato relativo a la tarjeta, en fecha 6 de septiembre de 2021, como así consta en el documento denominado "Política de Protección de datos y Declaración de Actividad Económica", todo ello "con la correcta inserción de sus claves personales" añadiendo que "se envió una comunicación a su correo electrónico validado en la que se adjuntaba la información precontractual y el contrato de la tarjeta para su revisión ante de la firma y un SMS a su teléfono móvil validado, informando del PIN de la tarjeta (...). En el caso que nos plantea y siguiendo los criterios de buenas prácticas exigibles a las entidades, en BBVA hemos actuado ajustándonos plenamente a dichos criterios". Asimismo, en relación con los cargos no reconocidos realizados con la tarjeta controvertida, recibe respuesta, en fecha 28 de febrero de 2002, indicando que "con carácter puntual" habían procedido a atender su solicitud de manera favorable, solicitando que facilitase un número de cuenta para proceder al abono. Por otra parte, manifiesta que su madre, en fecha 24 de mayo de 2022, solicitó a la parte reclamada (a través de la dirección derechosprotecciondatos@bbva.com) conocer "la fecha en que solicitó y qué día canceló" la tarjeta controvertida, recibiendo respuesta (en fecha 3 y 28 de junio de 2022) indicando lo siguiente: "Sentimos informarle que no hemos podido gestionar su solicitud, ya que el objeto de la misma queda excluido del ejercicio de derechos recogidos por la LOPD", indicando otros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 canales a los que dirigirse, entre los que figuraba el Servicio de Atención al Cliente, constando respuesta de dicho departamento, de fecha 29 de julio de 2022, indicando que "respecto al contrato de la tarjeta indicada, lamentamos comunicarle que, a pesar de los esfuerzos realizados, no ha sido posible la localización de dicha documentación". Junto a la reclamación se aporta: -Poder notarial de representación con fecha 29 de agosto de
- Respecto al uso fraudulento de la tarjeta de crédito y cargos en cuenta - Primera hoja del documento “Política de Protección de Datos Personales y Declaración de Actividad Económica” en el que figura su domicilio cambiado y el teléfono para mensajería SMS y dirección de correo de contacto que se comprueba que corresponden a la parte reclamante (documento 1). - Comunicación a la entidad a través de banca móvil de petición de cita por el cambio de domicilio por desconocidos y del uso fraudulento de tarjeta bancaria con fecha de 4 de octubre de 2021 (documento 5). - Comunicación a la parte reclamante remitida por la reclamada con fecha de 26 de enero de 2022 informando a la primera de que se había trasladado la documentación al departamento de fraude (documento 6). - Respuesta con fecha de 28 de febrero de 2022 del departamento de Atención al Cliente remitida a la parte reclamante informándola de que se había decidido resolver su caso de forma favorable (documento 10). - Comunicación con fecha de 17 de agosto de 2022 remitida a la parte reclamante informándola de que se había accedido a hacer efectiva la indemnización solicitada por ésta (documento 25). Respecto al derecho de acceso y autoría del cambio de domicilio y contratación de la tarjeta en controversia - Solicitudes dirigidas a la entidad, con fechas 16 de diciembre de 2021 y 3 de enero de 2022, para que le facilitaran todas las notificaciones comunicaciones enviadas a través de la app del teléfono móvil durante el año 2021, copia de todos los mensajes enviados por SMS y copia de todos los mensajes de correo enviados, al teléfono y dirección de correo electrónico informados a la entidad (documento 2 y 3). - Solicitudes de información, con fechas 19 de enero, 9 de febrero, 24 de marzo, 20 de abril y 16 de agosto de 2022, sobre el autor, el momento y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 procedimiento para la obtención de la tarjeta de crédito fraudulenta (documento 4, 7, 12, 14, 16 y 24). - Comunicación, con fecha de 21 de enero de 2022 remitida por la parte reclamada a la parte reclamante informando a esta de que el cambio de domicilio y contratación de la tarjeta controvertida, se realizó el 6 de septiembre de 2021 a través de la banca a distancia web con la correcta inserción de sus claves personales y que así mismo, se envió una comunicación a su correo electrónico validado en la entidad, en la que se adjuntaba la información precontractual y el contrato de la tarjeta, para su revisión antes de la firma, y un SMS a su teléfono móvil validado, informando del PIN de la tarjeta (documento 11). - Ejercicio de derecho de acceso a sus datos personales con fecha de 24 de marzo de 2022 (documento 12). - Escrito con fecha 20 de abril de 2022 informando a la parte reclamante que sus datos se encuentran bloqueados en virtud de lo establecido en el artículo 15 se encuentran debidamente bloqueados de conformidad con lo establecido en el artículo 15 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) y el artículo 17 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (Reglamento General de Protección de datos, en adelante, RGPD), al no mantener actualmente relación contractual con BBVA. No obstante, únicamente con el fin de atender su solicitud, proporcionan los datos que fueron objeto de tratamiento y todos los aspectos establecidos en el artículo 15 del RGPD (documento 15). Entre los productos contratados figura, además de la tarjeta controvertida, una tarjeta AQUA CREDITO, con número de contrato ***CONTRATO.1, que la parte reclamante no reconoce y de la que solicita, con fecha de 13 de julio de 2022, el contrato de ésta (documento 21). - Respuesta del Servicio de Atención al Cliente, con fecha 29 de julio de 2022 correspondiente la solicitud de la parte reclamante acerca de la fecha de solicitud y cancelación de la tarjeta de bancaria AQUA CREDITO con número de contrato ***CONTRATO.1 manifestando "respecto al contrato de la tarjeta indicada, lamentamos comunicarle que, a pesar de los esfuerzos realizados, no ha sido posible la localización de dicha documentación" (documento 22). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14 de octubre de 2022, como consta en el certificado que obra en el expediente. Con fecha 22 de noviembre de 2022 se recibe en esta Agencia, escrito de contestación, en el que manifiestan que la solicitud de cambio de domicilio fue realizada por la parte reclamante, con fecha 6 de septiembre de 2021, y que la contratación de la nueva tarjeta se produjo mediante la firma digital del contrato. Incluyen extracto del certificado de la entidad de certificación digital cualificada CAMERFIRMA en el que se puede apreciar la firma digital del contrato de la tarjeta bajo solicitud de la parte reclamante. Incluyen en este escrito captura de pantalla de los registros relativos a la reclamante del mes de septiembre de 2021 obrantes en sus sistemas y en la que consta, el envío por correo electrónico el 6 de septiembre de 2021 del contrato a firmar digitalmente por la parte reclamante a su dirección de correo electrónico y el envío por SMS al teléfono de la parte reclamante del PIN de la tarjeta contratada, y con fecha de 8 de septiembre, el envío de la tarjeta al domicilio. Respecto a las diferentes solicitudes de información remitidas por la reclamante a la entidad reclamada en relación con el cambio de domicilio y la contratación de la tarjeta controvertida, la entidad reclamada manifiesta que todas fueron atendidas. Sobre la tarjeta AQUA CREDITO, que no se corresponde la tarjeta con el que realizaron las operaciones controvertidas, manifiestan que informaron, con fecha de 29 de julio de 2022, a la parte reclamante que no había sido posible la localización de la documentación relativa a esta tarjeta” e informan de los contratos que figuran en su base de datos de tarjetas bancarias a nombre de la parte reclamante. Finalizan indicando que el propio reclamante relató en correo con fecha 26 de enero de 2022 remitido a su entidad, que “el día 6 de septiembre 2021 y hacia mediodía tuve dificultades para abrir la app BBVA en el teléfono y tuve que incorporar varias veces las claves mandadas por SMS en dicha app. Una vez dentro de la app una ventanita, dentro de ella, me pidió nombre y domicilio del titular de la cuenta. Y finalmente se abrió.” Incluyen en este escrito captura de pantalla del referido correo electrónico. Y anexan la siguiente documentación relevante no proporcionada por la parte reclamante: - Carta con fecha 22 de noviembre de 2022 dirigida a la parte reclamante resumiendo todas las gestiones realizadas a petición de ésta las respuestas remitidas (documento 1) - Carta con fecha 27 de octubre de 2022 dirigida a la parte reclamante informándola del traslado de esta Agencia de su reclamación y facilitando unas recomendaciones de seguridad para evitar el fraude bancario (documento 14). TERCERO: Con fecha 30 de noviembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Sobre la posible suplantación de identidad Solicitada a la parte reclamada por los protocolos de seguridad y procedimientos para la modificación de datos personales incluidos los datos de validación de operaciones y contratación de tarjetas y documentación detallada de la acreditación de identidad del actuante en el cambio de domicilio de la reclamante y solicitud de tarjeta bancaria en controversia AHORA con nº de contrato ***CONTRATO.2: validación de claves, método de firma de doble factor acreditando datos del envío, firma de validación, medidas adicionales si las hubiera habido, etc. para las operaciones indicadas, con fecha de 3 y 24 de mayo de 2023 se recibe en esta Agencia escrito de alegaciones y adjuntos. En el escrito de alegaciones, consta captura de pantalla del histórico de las claves enviadas al número de teléfono validado del reclamante (OTP-SMS) para validar cada una de las operaciones: cambio de domicilio, solicitud de tarjeta y cambio del límite de disponibilidad en cajeros de la tarjeta, que en principio era de 1.000 euros. En el documento adjunto 1, sobre el análisis de evidencias de las operaciones controvertidas, presentan captura de pantalla de las trazas existentes en sus sistemas constatando que el cambio de domicilio se realizó el 6 de septiembre de 2021 a las 13:42:01h y la solicitud de tarjeta unos minutos después a las 13:47:00h, y cambio de límite de la tarjeta a las 13:48:18, siendo todas peticiones realizadas desde la IP ***IP.1 asociada al proveedor ORANGE ESPAGNE S.A.U., y mediante autenticación en la plataforma BBVA NET a través de banca a distancia empleando el usuario y contraseña personales de la parte reclamante. Adicionalmente, en documento explicativo EXP202210727_resto_documentos.pdf, recibido en esta Agencia el 24 de marzo de 2023, constan las firmas digitales realizadas desde el número de teléfono de la parte reclamante certificadas por la entidad CAMERFIRMA para todas las operaciones controvertidas: cambio de domicilio, firma del contrato de la tarjeta y ampliación de límite. De lo anterior se desprende que el que realizó estas operaciones debía conocer las credenciales de banca a distancia de la parte reclamante además de tener acceso a los mensajes de texto SMS de su número de teléfono y tal vez al buzón de correo electrónico. Respecto a la realización de las firmas digitales de las operaciones mediante claves enviadas por SMS solo pudo haber sido posible teniendo acceso al número de teléfono de la parte reclamante, bien porque con anterioridad a la firma se hubiera solicitado a la operadora de ese número un intercambio de tarjeta SIM (SIM swapping), bien porque se hubiera solicitado un duplicado SIM o eSIM para ese número a la operadora, o bien porque se hubiera intervenido el terminal del reclamante y se hubiera programado un reenvío de SMS. La primera opción se ha descartado porque implicaría la perdida de línea por parte del reclamante y en ninguno de sus escritos ha manifestado este hecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 Conforme a lo anterior, se requiere a la operadora de este número móvil que informara de si se había solicitado duplicado SIM o eSIM del número de teléfono móvil del reclamante entre el 1 de enero de 2021 y 30 de septiembre de 2021, y en su caso, descripción pormenorizada del procedimiento empleado, identificación del solicitante y copia de la documentación requerida para la acreditación de la identidad. En respuesta a este requerimiento, con fecha de 7 de junio de 2023 se recibe en esta Agencia escrito remitido por esta entidad manifestando que tras consultar con el Grupo de Análisis y Riesgos han concluido que no constan duplicados de SIM, ni desvío de llamadas, ni multiSIM en los sistemas internos. En este sentido, han determinado que no constan indicios de activaciones irregulares ni acciones ilegítimas. Con objeto de determinar si el terminal móvil de la parte reclamante había sido recientemente manipulado por terceros, última posibilidad de que terceros pudieran disponer de los mensajes SMS, se solicita a la parte reclamante que informase a esta Agencia de si el terminal móvil fue extraviado y recuperado, o llevado a realizar mantenimiento a algún comercio con anterioridad a los hechos relatados que tuvieron lugar en septiembre de
- Así mismo, también se le solicitó copia de la denuncia realizada ante la Policía con número de referencia ***REFERENCIA.1 por si existiera alguna información adicional que pudiera esclarecer los hechos. Aunque la notificación fue recogida por el propio reclamante con fecha de 25 de mayo de 2023, a fecha de este informe no se ha recibido respuesta alguna. No se ha podido por tanto determinar cómo y quién pudo tener acceso al número de teléfono de la parte reclamante para la realización de las firmas de las operaciones controvertidas. Respecto al ejercicio de derecho de acceso realizado por la parte reclamante En lo relativo a las múltiples solicitudes dirigidas a la parte reclamada, siendo la primera de ellas el 19 de enero de 2022 según la documentación presentada, del origen, cómo y cuándo se produjo el cambio de su domicilio, la parte reclamada remite contestación a la parte reclamante con fecha de 21 de enero de 2022 según consta en la documentación aportada por el propio reclamante (documento 11). En lo relativo al derecho de acceso a sus datos personales ejercido por la reclamante con fecha de 24 de marzo de 2022, la reclamada dio contestación con fecha de 20 de abril de 2022 informando a la parte reclamante de los datos que fueron objeto de tratamiento y todos los aspectos establecidos en el artículo 15 del RGPD (documento 15) señalando que sus datos se encontraban bloqueados al no tener relación contractual con la parte reclamada y que se realizaba el tratamiento únicamente con el fin de atender su solicitud. Respecto a las medidas de seguridad exigibles para la acreditación de la identidad Como ya se ha mencionado anteriormente, en los registros de la entidad reclamada consta que las operaciones fueron realizadas mediante autenticación con las claves personales y firmas acreditadas por la entidad de certificación cualificada CAMERFIRMA. Además, tanto el contrato como las OTP-SMS fueron enviadas a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 medios de comunicación validados en la entidad reclamada y que se ha comprobado que corresponden a la parte reclamante. Respecto a la tarjeta AQUA CREDITO con número de contrato ***CONTRATO.1 que la parte reclamante no reconoce, y de la que la parte reclamada manifiesta no encontrar la documentación relativa a esa tarjeta, en octubre de 2020 la entidad bancaria lanzó una campaña sobre la primera tarjeta con código de verificación dinámico y numeración de tarjeta ocultos con el objetivo de paliar el posible fraude dando un paso más a lo establecido en la Directiva Europea que regula los servicios de pago (PSD2). Según manifiesta el propio reclamante en correo electrónico remitido a la parte reclamante el 16 de agosto de 2022 (documento 24) la entidad le ofreció en junio de 2021 el cambio de su tarjeta de AHORA por la tarjeta AQUA debido a la mayor seguridad. En relación a esto, aunque la entidad no encuentra la documentación sobre esta tarjeta, en el documento en el que dan acceso a sus datos personales consta esta tarjeta (documento 15). Sobre la diligencia de la parte reclamada relativa las cantidades retiradas y su restitución Respecto a la gestión por parte de la entidad reclamada en el rembolso de las cantidades retiradas desde cajeros fraudulentamente y su restitución, cabe precisar que la actividad de la AEPD en materia de reclamaciones no está orientada a la interpretación y apreciación de la diligencia exigible en el cumplimiento de este tipo de obligaciones derivada de una posible situación de fraude. No obstante, examinada la documentación presentada, se concluye que la parte reclamante recibió de la entidad reclamada los abonos correspondientes a las cantidades retiradas en cajeros de forma fraudulenta además de la cantidad solicitada en concepto de indemnización. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "
- El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.
- Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras c) y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX.
- La base del tratamiento indicado en el apartado 1, letras c) y e), deberá ser establecida por: a) el Derecho de la Unión, o b) el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.
- Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas: a) cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto; b) el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento; c) la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10; d) las posibles consecuencias para los interesados del tratamiento ulterior previsto; e) la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." III Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "
- Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
- Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.
- La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
- El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." IV Conclusión Con carácter previo cabe precisar que no consta en la documentación aportada por la parte reclamante el correo electrónico dirigido a la entidad reclamada, con fecha de 26 de enero de 2022, relatando que el día 6 de septiembre 2021 a mediodía tuvo dificultades para abrir la app BBVA en su teléfono móvil y tuvo que incorporar varias veces las claves mandadas por SMS en dicha app y que una vez dentro de la app, se abrió una ventanita en donde se le pidió el nombre y domicilio del titular de la cuenta para que finalmente se abriera. Datos estos de extremo interés ya que en este supuesto la parte reclamante podría ha sido víctima de algún tipo de falsificación de app o sitio web de la parte reclamada, o la instalación de software malicioso en su terminal móvil. De hecho, como se ha mencionado anteriormente, en la comunicación con fecha de 21 de enero de 2022 remitida por la parte reclamada a la parte reclamante informaba a ésta de que el cambio de domicilio y contratación de la tarjeta controvertida que se realizó el 6 de septiembre de 2021 a través de la banca a distancia web, fue con la correcta inserción de sus claves personales y que así mismo, se envió una comunicación a su correo electrónico validado en la entidad, en la que se adjuntaba la información precontractual y el contrato de la tarjeta, para su revisión antes de la firma, y un SMS a su teléfono móvil validado, informando del PIN de la tarjeta (documento 11) Todo apunta a que la parte reclamante fue víctima de una suplantación de la aplicación para móviles o sitio web, o de instalación de software malicioso, con el que algún tercero se hizo con sus claves y accedió a los mensajes SMS remitidos a la parte reclamante de forma que pudo cambiar su domicilio, solicitar la tarjeta bancaria controvertida y aumentar el límite de disposición en cajeros. En este sentido, se comprueba que la parte reclamada tomó las medidas razonables de seguridad al recabar la firma digital para cada una de las operaciones controvertidas desde el número de teléfono validado de la parte reclamante y a través de la entidad de certificación cualificada CAMERFIRMA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Las cantidades retiradas ilícitamente fueron restituidas por la entidad reclamada además del abono de la indemnización solicitada por la parte reclamante. Respecto al ejercicio de acceso a sus datos esta fue contestada en tiempo y forma facilitando los datos sujetos a dicho derecho conforme el artículo 15 del RGPD (sobre los productos contratados y declaraciones de actividades económicas). Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es