AI-00319-2022

1/6  Expediente N.º: EXP202105601 IMI Reference: A56ID 349459- Case Register 454008 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: A.A.A., (en adelante, la parte reclamante) con fecha 14 de septiembre de 2021 interpuso reclamación ante la autoridad de protección de datos de Baja Sajonia. La reclamación se dirige contra OPEN BANK, S.A. con NIF A28021079 (en adelante, OPENBANK). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que quiso hacer una transferencia desde su banco alemán a OPENBANK en España. Después de enviar la documentación necesaria OPENBANK le solicitó documentación adicional con datos personales, acerca del origen del dinero sobre el que hacía la transferencia. La parte reclamante manifiesta que habría probado el origen del dinero mediante correos electrónicos enviados a OPENBANK. La parte reclamante adjunta copia de los correos electrónicos que intercambia con OPENBANK. En este intercambio de correos entre las partes se observan comunicaciones que van desde los correos en los que OPENBANK solicitaba a la parte reclamante que aportara documentación que acreditara el origen del dinero sobre el que hacía las transferencias, las contestaciones de la parte reclamante hacia OPENBANK, acuses de recibo de dichos correos, así como consultas y escritos en los que la parte reclamante manifiesta su disconformidad con el trato recibido por el banco, y en el que presenta una queja por el trato recibido por el mismo, y el acuse de recibo del mismo. Estos correos son: - Email de fecha 25 de agosto de 2021, 21:10, desde ***EMAIL.1 a ***EMAIL.2 en el que se adjuntaban anexos de confirmación de pagos. - Email de fecha 25 de agosto de 2021, 21:10, desde ***EMAIL.1 a ***EMAIL.2 en el que se adjuntaban anexos de confirmación de pagos. - Dos Emails de fecha 25 de agosto de 2021 desde noreply@openbank.com a ***EMAIL.

1. - Email de fecha 25 de agosto de 2021, 21:20, desde ***EMAIL.2 a ***EMAIL.
2. - Email de fecha 25 de agosto de 2021, 21:15, desde ***EMAIL.2 a ***EMAIL.
3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 - Email de fecha 30 de agosto de 2021, 09:22, desde ***EMAIL.2 a ***EMAIL.
4. - Email de fecha 03 de septiembre de 2021, 15:22, desde ***EMAIL.2 a ***EMAIL.1., - Email de fecha 03 de septiembre de 2021, 17:56 desde ***EMAIL.1 a ***EMAIL.2 con siete capturas de pantalla. - Email de fecha 03 de septiembre de 2021, 17:59, desde noreply@openbank.com a ***EMAIL.
5. - Email de fecha 05 de septiembre de 2021, 12:05, desde ***EMAIL.2 a ***EMAIL.
6. - Email de fecha 10 de septiembre de 2021, 12:44, desde ***EMAIL.1 a ***EMAIL.2 - Email de fecha 10 de septiembre de 2021, 12:45, desde noreply@openbank.com a ***EMAIL.
7. - Email de fecha 14 de septiembre de 2021, 08:51, desde ***EMAIL.2 a ***EMAIL.
8. - Email de fecha 27 de septiembre de 2021, 10:06, desde ***EMAIL.3 a ***EMAIL.
9. - Email de fecha 14 de diciembre de 2021, 00:51, desde ***EMAIL.4 - Email de fecha 14 de diciembre de 2021, 00:56, desde noreply@openbank.com. - Email de fecha 28 de diciembre de 2021, 10:04, desde ***EMAIL.
10. - Email de fecha 28 de diciembre de 2021, 12:04, desde ‘***EMAIL.4 - Email de fecha 28 de diciembre de 2021, 12:59, desde ‘***EMAIL.4 - Email de fecha 30 de diciembre de 2021, 14:27, desde ‘***EMAIL.4 - Email de fecha 24 de enero de 2022, 18:12, desde incidencias@openbank.es. - Email de fecha 26 de enero de 2022, 15:44, desde Santander reclamaciones. - Listado de llamadas telefónicas. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 14 de diciembre de 2021, esta Agencia se declaró autoridad principal en el presente asunto. El traslado de esta cuestión se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 como autoridad de control principal, dado que “OPENBANK” tiene su sede social y establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad alemana de Baja Sajonia, las autoridades alemanas de Renania-Palatinado, Renania del Norte-Westfalia, Brandemburgo, Hesse, Berlín, así como la de Países Bajos, todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en los territorios de estas autoridades de control se ven sustancialmente afectados, o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 6 de septiembre de 2022, de conformidad con el artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 16 de diciembre de 2022, la Directora de la AEPD adoptó un proyecto de decisión de archivo de las actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 13 de enero de 2023 se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.4 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en el artículo 60.8 del RGPD y según lo dispuesto en el artículo 47 y 48 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que OPENBANK realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, fecha de nacimiento y correo electrónico, entre otros tratamientos. OPENBANK realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que OPENBANK está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo
11. En el caso examinado, como se ha expuesto, OPENBANK tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 6.1.c) del RGPD regula la licitud del tratamiento. III Licitud del tratamiento El Artículo 6.1 “Licitud del tratamiento” del RGPD establece: “El tratamiento solo será licito si se cumple al menos una de las siguientes condiciones: (…) c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. (…)”. En el presente caso, la parte reclamante manifiesta que, al intentar realizar una transferencia, OPENBANK le ha solicitado documentación adicional con datos personales, que entiende que no debería haber solicitado. En este sentido, la actividad bancaria de OPENBANK se encuentra sujeta a la legislación española, y dentro de ella se encuentra la Ley 10/2010, de 28 de abril, de prevención de blanqueo de capitales y de la financiación del terrorismo. El artículo 5 de esta Ley establece que los sujetos obligados deberán conocer, como medida de diligencia debida, el propósito e índole de la relación de negocios, y “…en particular, los sujetos obligados recabarán de sus clientes información a fin de conocer la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 naturaleza de su actividad profesional o empresarial y adoptarán medidas dirigidas a comprobar razonablemente la veracidad de dicha información. Tales medidas consistirán en el establecimiento y aplicación de procedimientos de verificación de las actividades declaradas por los clientes. Dichos procedimientos tendrán en cuenta el diferente nivel de riesgo y se basarán en la obtención de los clientes de documentos que guarden relación con la actividad declarada o en la obtención de información sobre ella ajena al propio cliente”. Asimismo, según el artículo 7, los sujetos obligados aplicarán cada una de las medidas de diligencia debida y podrán determinar el grado de aplicación de las medidas en función del riesgo y dependiendo del tipo de cliente, relación de negocios, producto u operación. Además, este artículo recoge que, cuando concurran indicios de blanqueo de capitales o de financiación del terrorismo, aplicarán las medidas de diligencia debida con independencia de cualquier excepción, exención o umbral, o cuando existan dudas sobre la veracidad o adecuación de los datos obtenidos con anterioridad. En este caso, y en base a la información proporcionada, no existen indicios suficientes para entender que la información solicitada no se fuera a tratar de conformidad con la legislación española relativa a la prevención de banqueo de capitales, o que no se fuera a conservar con las debidas medidas de seguridad. Además, de acuerdo con la legislación española basta con que la entidad financiera tenga dudas sobre la veracidad de la información proporcionada para que pueda solicitar la información que considere oportuna. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a OPEN BANK, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-091222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es