AI-00338-2024

1/7  Expediente N.º: EXP202406602 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: En fecha 31 de marzo de 2024, se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G (en adelante, ING BANK o parte reclamada). Los hechos que se ponen en conocimiento de esta Autoridad son: La parte reclamante manifiesta que, pese a que ya no tenía productos financieros con la parte reclamada, accedió con su clave personal a la web de clientes, autenticándose para ello con su usuario (DNI), fecha de nacimiento y contraseña. No obstante, ante el olvido de la contraseña, afirma que el sistema le facilitó como opción enviar un código de desbloqueo a un número de teléfono móvil, pero indica que dicho número mostrado en el mensaje que aparecía en pantalla como parte del proceso, no era de su titularidad. Por ello, solicitó en su lugar, que se le enviara la clave de acceso a su dirección postal. En ese momento, se le mostró una pantalla que adjunta en su reclamación, con el siguiente texto: "A.A.A., en unos días recibirás un nuevo código de desbloqueo por carta en tu dirección en la provincia de ***LOCALIDAD.1", pese a que la parte reclamante no se llama A.A.A. ni vive en ***LOCALIDAD.1. La parte reclamante manifiesta que alguien (que no tiene su DNI ni tampoco sus datos) ha suplantado su identidad para acceder a su cuenta y modificar todos los datos de su perfil. Junto a la reclamación aporta tres capturas de pantalla relativas al proceso de recuperación de la clave de seguridad. En una de ellas, constan las distintas opciones para recuperar la clave de seguridad, en otra consta el texto indicado por el reclamante: "A.A.A., en unos días recibirás un nuevo código de desbloqueo por carta en tu dirección en la provincia de ***LOCALIDAD.1" y en otra, relacionada con el código de desbloqueo, se aprecian los cuatro últimos dígitos de un número de teléfono (los cinco primeros dígitos enmascarados con asteriscos). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ING BANK, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 13/05/2024, como consta en el acuse de recibo que obra en el expediente. En fecha 10 de junio de 2024, se recibe en esta Agencia escrito de respuesta señalando, entre otros aspectos, los siguientes: “(…) ING ha llevado a cabo las investigaciones oportunas para averiguar el porqué de estos hechos y ha podido concluir que los mismos no se han producido por una suplantación de identidad del Sr. B.B.B. o como consecuencia de un fallo en las medidas de seguridad o procesos de ING como éste indica, (…). (…). Una vez hechas estas aclaraciones, a continuación, se exponen las causas que consideramos son las responsables de que estos hechos hayan tenido lugar en relación con el Sr. B.B.B.. En primer lugar, nos gustaría destacar que, de acuerdo con la información de la que disponemos, el Sr. B.B.B. dejó de ser cliente de ING y se produjo el bloqueo de sus datos personales. (…) En este caso, Sr. B.B.B. olvidó su contraseña de acceso e inició el proceso de recuperación de pin y dado que sus datos se encuentran bloqueados en el sistema, éste no localizó el DNI introducido en nuestro sistema de clientes, por lo que le consideró como un “no cliente”. (…): - (…). - (…). (…). (…). (…) (…) (…). TERCERO: En fecha 30 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. El 16 de septiembre de 2024, en el marco de las actuaciones previas de investigación, se llevó a cabo un requerimiento de información que fue notificado ese mismo día a la parte reclamada. El 26 de septiembre de 2024, se recibe respuesta de ING BANK por la que, en primer lugar, acredita documentalmente que los datos de la parte reclamante se encontraban bloqueados en el momento de los hechos. (…). Por último, se acredita la modificación del sistema de (…) a fecha de 10 de julio de 2024. (…). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Principio de exactitud El artículo 5.1
3. d)del RGPD señala que los datos personales serán: “
4. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»).” III Derecho de supresión El artículo 17.1 del RGPD consagra: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
5. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
6. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
7. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
8. d)los datos personales hayan sido tratados ilícitamente;
9. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
10. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1 (…)” Asimismo, el artículo 32 de la LOPDGDD señala que: “1. El responsable del tratamiento estará obligado a bloquear los datos cuando proceda a su rectificación o supresión. 2. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. Transcurrido ese plazo deberá procederse a la destrucción de los datos. 3. Los datos bloqueados no podrán ser tratados para ninguna finalidad distinta de la señalada en el apartado anterior. 4. Cuando para el cumplimiento de esta obligación, la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, se procederá a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita acreditar la autenticidad de la misma, la fecha del bloqueo y la no manipulación de los datos durante el mismo. 5. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, podrán fijar excepciones a la obligación de bloqueo establecida en este artículo, en los supuestos en que, atendida la naturaleza de los datos o el hecho de que se refieran a un número particularmente elevado de afectados, su mera conservación, incluso bloqueados, pudiera generar un riesgo elevado para los derechos de los afectados, así como en aquellos casos en los que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 conservación de los datos bloqueados pudiera desproporcionado para el responsable del tratamiento”. IV Conclusión implicar un coste La reciente STJUE de 24 de septiembre de 2024, en el asunto C-768/2021, señala (el subrayado es de la AEPD): “37 A este respecto, ha de señalarse que el RGPD deja a la autoridad de control un margen de apreciación en cuanto a la manera en que debe subsanar la deficiencia constatada, puesto que el artículo 58, apartado 2, del mismo confiere a dicha autoridad la facultad de adoptar diversas medidas correctoras. Así, el Tribunal de Justicia ya ha declarado que la elección del medio adecuado y necesario corresponde a la autoridad de control, que debe realizar tal elección tomando en consideración todas las circunstancias del caso concreto y cumpliendo con toda la diligencia requerida su misión consistente en velar por el pleno respeto del RGPD (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C-311/18, EU:C:2020:559, apartado 112). 38 Sin embargo, este margen de apreciación está limitado por la necesidad de garantizar un nivel coherente y elevado de protección de los datos personales mediante una aplicación rigurosa de las normas, como se desprende de los considerandos 7 y 10 del RGPD … 41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora, aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. 44 La interpretación según la cual la autoridad de control, cuando constata una violación de la seguridad de datos personales, no está obligada a adoptar en todos los casos una medida correctora con arreglo al artículo 58, apartado 2, del RGPD se ve corroborada por los objetivos perseguidos por este artículo 58, apartado 2, y por el artículo 83 de dicho Reglamento, respectivamente. 45 Por lo que respecta al objetivo perseguido por el artículo 58, apartado 2, del RGPD, del considerando 129 de este se desprende que esta disposición tiene por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 objeto garantizar la conformidad del tratamiento de datos personales con dicho Reglamento y la regularización de las situaciones de incumplimiento de este para que se ajusten al Derecho de la Unión, mediante la intervención de las autoridades de control nacionales (sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C-46/23, EU:C:2024:239, apartado 40). 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.”. El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En el presente caso, los hechos que impulsaron el inicio de actuaciones previas de investigación conforme al artículo 67 de la LOPDGDD se referían a un sistema de (…). Además, en el caso particular de la parte reclamante, sus datos personales, en tanto que antiguo cliente de la entidad, tenían que encontrarse bloqueados, lo que planteaba dudas sobre una adecuada implementación del artículo 17 del RGPD en relación con el artículo 32 de la LOPDGDD. No obstante, ING BANK, en mayo de 2024, cuando la parte reclamada tuvo conocimiento de los hechos que dieron lugar a la reclamación, así como ante la posibilidad de que su sistema (…) pudiera incumplir la normativa en materia de protección de datos, inició actuaciones para proceder a la sustitución de este. De esta manera, apenas 2 meses más tarde, en julio de 2024 había instaurado un nuevo sistema en sustitución del anterior, por el que no se vinculan datos inexactos (…). Además, debe subrayarse que las mencionadas actuaciones de la parte reclamada se produjeron con carácter previo a la recepción del requerimiento de información en el marco de las actuaciones previas de investigación y a raíz de las actuaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 traslado realizadas por esta Agencia conforme a lo previsto en el artículo 65.4 de la LOPDGDD. Sin olvidar que, en contestación a las actuaciones de traslado, la parte reclamada ya manifestó su intención de realizar las modificaciones señaladas, que implementó con celeridad y diligencia, en consonancia con el principio de responsabilidad proactiva previsto en el artículo 5.2 del RGPD, que debe guiar toda actuación del responsable del tratamiento Por otra parte, ha quedado acreditado que los datos personales de la parte reclamante se encontraban bloqueados en el momento de los hechos. En consecuencia, de conformidad con la citada STJUE y atendiendo a las singulares circunstancias que conforman este caso, en particular, la desaparición del sistema (…) objeto de investigación, esta Agencia considera que no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. Por tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es