AI-00295-2022

1/7  Expediente N.º: EXP202207416 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 17 de mayo de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra NOXVEL CORPORATE BANK (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Reclamación contra el responsable del sitio web https://noxvel-corporate.com/, aparentemente una entidad financiera. La reclamante cree que se trata de una estafa y manifiesta que se podría estar produciendo un uso fraudulento de los datos de los clientes. Expresamente hace mención de que no existe política de privacidad. Documentación relevante aportada por la parte reclamante: - Mensaje recibido por la reclamante en el que se le comunica que tiene que presentar una garantía bancaria para que le hagan un ingreso. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue devuelto por desconocido en fecha 15 de julio de 2022, como consta en el acuse de recibo que obra en el expediente. Se dio traslado al Banco de España para que informase sobre la parte reclamada y, con fecha 19 de julio de 2022, se recibe un escrito del delegado de protección de datos del Banco de España, en el que se le indica a la AEPD que “NOXVEL CORPORATE BANK parece ser una entidad financiera no registrada”. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha del 17 de noviembre de 2022, el inspector responsable de las actuaciones previas de investigación realiza una navegación en el sitio web https://noxvelcorporate.com, y obtiene la siguiente información: 1. Los datos de contacto que aparecen en el sitio web son el número de teléfono de España ***TELÉFONO.1, la dirección de correo electrónico “contact@noxvel-corporate.com” y la dirección postal “Carrer de Girona, 38, 08010 Barcelona, España”. Se realiza un requerimiento de información a Orange Espagne, S.A.U., (en adelante, ORANGE), acerca del operador del número de teléfono ***TELÉFONO.1 de acuerdo con la consulta realizada el día 17 de noviembre de 2022 en el “Registro de Numeración y Operadores de Telecomunicaciones” de la Comisión Nacional de los Mercados y la Competencia (https://numeracionyoperadores.cnmc.es/portabilidad/movil). El día 2 de diciembre de 2022, se presenta un escrito ante la AEPD en nombre de ORANGE como respuesta a este requerimiento de información, en el que informa de lo siguiente: La titularidad de la línea de teléfono ***TELÉFONO.1 es una línea de prepago a nombre de A.A.A. con DNI ***NIF.1 y domicilio en ***DIRECCIÓN.1. En fecha del 7 de diciembre de 2022, se realiza una llamada al teléfono ***TELÉFONO.1 obteniendo el siguiente resultado: Aparece una locución del buzón de voz de Orange indicando que se deje un mensaje. En fecha del 7 de diciembre de 2022, se remite un correo electrónico a contact@noxvel-corporate.com solicitando, entre otras cosas, el nombre de la empresa. Obteniendo los siguientes resultados: En fecha del 5 de mayo de 2023, se realiza una búsqueda en la cuenta desde la que se envió este correo electrónico obteniendo que no se ha recibido ningún correo electrónico en el que aparezca la palabra “noxvel”. En fecha del 14 de marzo de 2023, se solicita a HOSTING CONCEPTS BV (cuyo nombre comercial es “Openprovider”), empresa proveedora del dominio “noxvelcorporate.com”, la información “nombre, apellidos, NIF, dirección y datos de contacto del cliente que contrató el dominio "noxvel-corporate.com"”. El mismo 14 de marzo de 2023, HOSTING CONCEPTS BV contesta mediante un correo electrónico en el que se aporta la siguiente información: El contenido del correo electrónico es el siguiente: “Dear Requester, We have reviewed your request within our team and your request is approved. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 We can supply you with the following information of the registrant of the domain: noxvel-corporate.com Be aware that we work only with resellers and do not have direct contact with registrants / end customers. Therefore we have no further details (no payment details / no IP information) from registrants / endusers. ---FirstName (…) Last Name (…) Phone (space separated) ***TELÉFONO.2 Email ***EMAIL.1 Adress data StreetAddress ***DIRECCIÓN.2 Zipcode (…) City (…) State Corse Country FR” [Traducción no oficial: “Estimado Solicitante: Hemos revisado su solicitud dentro de nuestro equipo y su solicitud ha sido aprobada. Podemos proporcionarle la siguiente información del registrante del dominio: noxvel-corporate.com Tenga en cuenta que trabajamos solo con revendedores y no tenemos contacto directo con los solicitantes de registro/clientes finales. Por lo tanto, no tenemos más detalles (sin detalles de pago/sin información IP) de los solicitantes de registro/usuarios finales. ---Nombre (…) Apellido (…) Teléfono (con espacios separado) ***TELÉFONO.2 Correo electrónico ***EMAIL.1 Datos de la dirección StreetAddress ***DIRECCIÓN.2 Código postal (…) Ciudad (…) Estado Corse País FR”] En fecha del 16 de marzo de 2023, se remite un correo electrónico a la dirección ***EMAIL.1 solicitando la siguiente información sobre la persona o empresa que contrató el dominio “noxvel-corporate.com”: nombre, apellidos, NIF, dirección y datos de contacto, con el siguiente resultado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 No se ha recibido contestación a este correo electrónico. En fecha del 5 de mayo de 2023, se realiza una búsqueda de la dirección ***DIRECCIÓN.2 en el código postal (…) dentro del sitio web https://www.google.com/ maps obteniendo la siguiente información: No se ha hallado una calle con ese nombre en el código postal (…). En fecha del 15 de marzo de 2023 se solicita colaboración a la Commission Nationale de l'Informatique et des Libertés (en adelante, CNIL), autoridad de control de protección de datos personales de Francia, a través del “Sistema de Información del Mercado Interior” (IMI) para que requieran información sobre quién contrató el dominio “noxvel-corporate.com”, aportándoles los datos de contacto facilitados por HOSTING CONCEPTS BV el 14 de marzo de 2023. Se obtiene la siguiente información: Con fecha 31 de marzo de 2023, la CNIL contesta a través del Sistema IMI informando de que no puede llevar a cabo las actuaciones debido a que “We have done research and inform you that the site seems to no longer exist.” [Traducción no oficial: “Hemos investigado y le informamos que el sitio parece que ya no existe.”] En la fecha del 17 de mayo de 2023, se presentan escritos ante la AEPD en nombre del BANCO DE ESPAÑA, con números de registro de entrada REGAGE23e00031488532 y REGAGE23e00031656293, en el que se aporta, entre otra, la siguiente información: Respecto a NOXVEL CORPORATE BANK, que aparentaba ser una entidad financiera, presuntamente domiciliada en Barcelona y responsable del sitio web https:// noxvel-corporate.com/, se indica que “Trasladado su escrito al área competente, esta nos informa de que realizaron actuaciones de investigación para identificar los responsables de dicha página web, de cara a realizar las actuaciones supervisoras precisas. Estas investigaciones fueron infructuosas, no habiendo podido localizar a personas ni domicilios fiables a los que dirigir las actuaciones. Asimismo, el área nos informa de que, con posterioridad a dichas actuaciones, han observado que la citada página web ha dejado de estar operativa, por lo que se ha decidido archivar las actuaciones realizadas. En fecha del 17 de abril de 2023, se envía un requerimiento de información a A.A.A. con el objeto de averiguar la identidad del responsable del tratamiento de datos realizado a través del sitio web “https://noxvel-corporate.com/”, obteniendo la siguiente información: CORREOS aporta una prueba de entrega de que el requerimiento de información fue entregado a A.A.A. el día 26 de abril de 2023, si bien no se ha recibido respuesta en la AEPD a este requerimiento de información. En la fecha del 24 de mayo de 2023, se vuelve a enviar este requerimiento de información a A.A.A. CORREOS certifica la imposibilidad de entrega de este requerimiento, habiendo sido intentada la entrega con el resultado de “Ausente” el día 9 de junio de 2023 a las 10:04 horas y el día 14 de junio de 2023 a las 16:40 horas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 dejando aviso en el buzón. Esta notificación fue devuelta al origen por no haber sido retirada de la oficina de CORREOS el día 22 de junio de 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." III Conclusión Para poder identificar al responsable de la entidad que presuntamente infringe el artículo 13 de la LOPDGDD, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Tras efectuar las investigaciones reseñadas en los Hechos, no se ha podido determinar quién es el responsable de la entidad reclamada. Se ha podido determinar la titularidad de la línea de teléfono, pero no se ha obtenido información del responsable del envío del correo electrónico recibido por el reclamante. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es