AI-00359-2024

1/8  Expediente N.º: EXP202313731 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 11 de agosto de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A. con NIF A48265169 (en adelante, BBVA o la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta en su reclamación que se ha suplantado su identidad en una contratación para abrir una cuenta online con el BBVA y estafar alquilando villas de lujo a terceros. Junto a su reclamación aporta: -escrito dirigido a reclamaciones SAC del BBVA, de fecha 20 de diciembre de 2022, con el siguiente contenido: “necesito que miréis las cámaras de seguridad de estas fechas porque me está parando la policía en el aeropuerto.” -reclamación dirigida a BBVA el 1 de junio de 2023, con el siguiente contenido: “(…) Creo que ya había contactado con ustedes hace seis meses sin respuesta. Me han hecho una usurpación de identidad y me han dicho que he de contactar con vosotros, en la oficina de ***DIRECCIÓN.1, me quedo alucinada, no habéis hecho nada y yo sigo denunciada por estafa, adjunto envío las denuncias y a ver si hacéis algo. He visto que mi correo electrónico, que es este (…) no es el mismo de la cuenta on-line, que me preguntó la mujer de la oficina, ahí tenéis el delincuente, vosotros sois más culpables que los propios delincuentes por dar tarjetas a personas no reales y en persona, la chica a la que llamé de oficina on-line me dijo que la tarjeta la dieron desde el banco, ya han pasado dos años de los movimientos y yo me enteré hace 7 meses que erais vosotros del BBVA. Espero que hagáis algo, veo que las bandas organizadas lo tienen muy fácil, xq yo necesito esas grabaciones conforme no soy yo, y 21.000 euros es mucho dinero.” -denuncias policiales de 9 de noviembre de 2022 y de 29 de mayo de 2023, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 -demanda judicial contra BBVA presentada el 12 de julio de 2023, con el siguiente contenido: “denuncio una usurpación de identidad, no quieren mirar las cámaras de seguridad, y han dado una tarjeta bancaria con mi nombre a alguien que no soy yo, sacando en una semana 21.000 euros, haciendo estafas de alquileres fraudulentos en las islas Baleares han ido al cajero en ***OFICINA.1, ***DIRECCIÓN.1, me he presentado allí y me han tratado a patadas, y no han aceptado ni las denuncias, a cuenta on-line sigue abierta y estoy denunciada por estafa, no tengo domicilio fijo, entraron en Barcelona en calle junto al comercio, antes de estas fechas, y en la ducha, estando ausente de la habitación me cogieron el móvil (…)” - nueva reclamación ante BBVA de 11 de julio de 2023, con el motivo “usurpación de identidad”. -reclamación ante el Banco de España en fecha 11 de julio de 2023 por una usurpación de identidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a BBVA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En la contestación presentada por BBVA se pone de manifiesto que, tras la reclamación interpuesta por la parte reclamante, por una contratación de una cuenta bancaria en BBVA con suplantación de identidad, el pasado 30 de octubre y 6 de noviembre de 2023, el SAC comunicó por escrito a la parte reclamante la decisión acordada por BBVA, a la dirección que facilitó la parte reclamante, y en ella se le informa que, desde que se tuvo conocimiento de estos hechos el día 11 de julio de 2023, se tomaron las actuaciones necesarias para la cancelación de los productos, estando a fecha actual sin posiciones activas en la entidad. En relación con la solicitud de supresión y borrado de los datos personales, se le comunicó el 30 de octubre de 2023 que los datos se encuentran debidamente bloqueados al no mantener actualmente relación contractual con BBVA procediendo a la supresión de los mismos una vez que finalice el plazo al que el banco está obligado a mantenerlos bloqueados. En relación con la supuesta contratación fraudulenta de una cuenta bancaria, BBVA manifestaba que procedió a cancelar los productos una vez que la parte reclamante lo puso en su conocimiento, aportando la pertinente denuncia policial y el resto de documentación requerida. Sin embargo, manifestaba que la contratación se realizó en fecha 18 de mayo de 2021, siguiendo el método de identificación ***SISTEMA.1, denominado “(…)” vigente hasta septiembre de

1. BBVA explicaba que, con este procedimiento, la verificación del cliente está integrada por tres acciones de verificación, que fueron calificadas por un operador o agente que procedió a determinar que no existían dudas razonables acerca de la identidad de la persona que pretendía abrir la cuenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 Asimismo, se informaba de que la tarjeta vinculada a la cuenta bancaria se envió mediante correo postal. TERCERO: Con fecha 11 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En fecha 21 de noviembre de 2023 se dictó resolución de archivo de actuaciones por parte de la Directora de la Agencia. Los motivos en los que se fundamentaba la resolución de archivo eran que la reclamación había sido debidamente atendida, en la medida en que BBVA procedió a la efectiva cancelación de las cuentas y al bloqueo de sus datos personales. QUINTO: En fecha 12 de diciembre de 2023, la parte reclamante presenta escrito en el que plantea que, en el supuesto de la suplantación de identidad, no se han mirado las cámaras del cajero automático, ni se ha revisado la videollamada con que se hizo la cuenta on-line. Adjunta a su escrito una denuncia ante la policía municipal de Bilbao, de fecha 11 de noviembre de 2023, y otra de fecha 5 de diciembre de
2. SEXTO: En fecha 30 de mayo de 2024 se envía comunicación al BBVA, dándole audiencia en recurso de reposición, comunicación que ha sido recibida por el BBVA el 30 de mayo de
3. SÉPTIMO: En fecha 13 de junio de 2024 se recibe en esta Agencia escrito de contestación de BBVA en el que pone de manifiesto: “Respecto de las cámaras de seguridad del cajero automático, esta parte, en primer lugar, quiere manifestar que tal petición es la primera vez que se traslada a BBVA por parte de la parte reclamante pues en su primera reclamación no hacía mención ni petición respecto de las mismas. En cualquier caso, se desconoce a qué cajero se refiere la parte reclamante y, además, cabe resaltar que las disposiciones de efectivo a las que hace referencia son de hace nada más y nada menos que tres años según la documental que adjunta la parte reclamante, por lo que a todas luces no se conservan las mismas. Del mismo modo entiende esta parte que si la parte reclamante lo que pretende es encontrar a los responsables de los hechos reclamados, sea dicho con el debido respeto, el cauce adecuado no es a través de la presente reclamación ante la AEPD sino a través de la denuncia que en su día interpuso ante la Policía Nacional. Lo que si puede manifestar esta representación es que no ha recibido oficio de la Policía Nacional en la que se requiera la grabación de cajero automático alguno por lo que no se ha procedido a gestionar dicha petición la cual únicamente podría haber sido gestionada y tramitada por dicho cauce y, además, como ya avanzamos, resultaría infructuosa al haber transcurrido más de tres años desde los hechos reclamados. Respecto de la video llamada con la que se hizo la cuenta online, esta representación se reafirma en que el procedimiento para la apertura de la cuenta online a nombre de la reclamante fue el método de identificación ***SISTEMA.1 vigente hasta septiembre de 2021, denominado (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 En dicho procedimiento NO se efectúa ninguna video llamada con la persona interesada en la apertura de la cuenta, sino que las fases son: - (…) - (…) - (…). Como ya se expuso en la contestación al traslado de la reclamación, mi representada cumplió de manera escrupulosa con dicho procedimiento en el que, insistimos, no mediaba video llamada alguna por parte del contratante de la cuenta bancaria por lo que esta parte desconoce a qué video llamada se refiere la reclamante.” OCTAVO: En fecha 3 de septiembre de 2024, por la Directora de la Agencia Española de Protección de Datos, se procedió a estimar el recurso potestativo de reposición presentado por la parte reclamante, fundamentándolo en que BBVA: - no había acreditado ni la existencia de relación contractual con la parte reclamante que otorgaría licitud al tratamiento de sus datos personales referidos a la cuenta corriente y tarjeta de débito, por cuanto no ha aportado prueba acreditativa de la contratación de ninguna de ellas, -ni la adopción de medidas suficientes para garantizar la seguridad de los datos personales en cuanto a acreditar la identidad del titular de dichos productos. Esto habida cuenta que, si bien aportó copia del DNI de la parte reclamante, no acreditó la realización de comprobaciones ulteriores en tal sentido, ya que solo aportó una autorización para verificar la titularidad de la cuenta en otra entidad bancaria, sin aportar el resultado de tal verificación. NOVENO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Primero. (…). La solicitud de alta como cliente se realizó el 18 de mayo de 2021 a través de la página web de BBVA. Este proceso de alta se realizó mediante un procedimiento dividido en siete etapas: acceso, datos de contacto, método identificativo, actividad económica, datos personales, contrato y firma, e identificación.
4. Acceso. La usuaria accedió a la página web de BBVA, y seleccionó los productos a contratar. Para completar el alta, se debía proporcionar (…), o bien (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 A continuación, se eligió el tipo de tarjeta y se creó la clave de acceso. En este momento, se solicitó a la usuaria descargar y leer la política de Protección de Datos Personales, para poder continuar el proceso.
5. Datos de contacto. En el formulario utilizado para recoger los datos de contacto se recoge la finalidad del tratamiento que se debe ser aceptado por la usuaria para pasar al siguiente paso. Para continuar con el alta on-line, la usuaria proporcionó una (…).
6. Método identificativo. Para confirmar la identidad, la usuaria eligió el método (…). Para ello, la cliente proporcionó (…) y adjuntó (…). El proceso por el cual (…). En fecha 18 de mayo de 2021 se trasladó al BBVA (…). Aporta captura de pantalla para acreditar dicha circunstancia. Segundo. (…). BBVA utilizó (…). Tercero. (…). Tras completar el análisis, la gestión fue asignada a un agente del Back Office para finalizar la tarea. Los pasos requeridos se completaron de manera satisfactoria y se concluyó que no existían dudas razonables sobre la identidad del cliente. Cuarta. (…). BBVA aporta copia de todos los documentos, y se comprueba que están firmados mediante firma electrónica bajo solicitud a nombre de la parte reclamante el día 18 de mayo de 2021 mediante el canal de firma banca a distancia web al pie de la página. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "
7. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En el presente caso, la parte reclamante había manifestado que habían suplantado su identidad y habían dado de alta una cuenta bancaria on-line en el BBVA. En respuesta a las actuaciones de traslado se dictó una resolución de archivo en la medida en que, inicialmente, la reclamación había sido debidamente atendida, y BBVA procedió a la efectiva cancelación de las cuentas y al bloqueo de sus datos personales. La parte reclamante presentó recurso de reposición que se estimó fundamentándose en que BBVA no habría acreditado que hubiese realizado las comprobaciones suficientes para verificar la identidad de la persona que estaba efectuando la apertura de la cuenta online. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 Posteriormente se iniciaron actuaciones previas de investigación conforme a lo establecido en el artículo 57.1 y 58.2 del RGPD y de estas actuaciones se ha podido constatar que BBVA: - procedió a comprobar la verificación de la identidad de la parte reclamante, -procedió a confirmar la titularidad de la cuenta de la parte reclamante en otra entidad bancaria -ha acreditado la comprobación posterior de verificación de la autenticidad del documento identificativo aportado para la contratación de la cuenta on-line y la tarjeta de débito. -ha acreditado la calificación por un operador o agente para determinar que no existían dudas razonables acerca de la identidad de la persona que estaba realizando la contratación. -ha aportado copia firmada de los contratos de los productos contratados mediante la tramitación on-line. -BBVA ha cancelado la cuenta y ha bloqueado los datos personales de la parte reclamante conforme a la normativa de protección de datos. -En relación con las imágenes de las cámaras, BBVA manifiesta que la parte reclamante no concreta a qué cajero se está refiriendo cuando solicita las imágenes. Además, cuando la parte reclamante solicitó acceso a las mismas, ya había transcurrido el plazo previsto en la normativa para su eliminación y, por otro lado, no se ha recibido ningún requerimiento de las autoridades. III Conclusión En las actuaciones de investigación realizadas se han analizado las comprobaciones realizadas por el BBVA para verificar la identidad de la persona que realizó la contratación, y, asimismo, ha aportado los contratos de los productos (cuenta bancaria y tarjeta). Además, ha quedado acreditado que se tomaron las medidas adecuadas para la verificación de la identidad de la persona a cuyo nombre se realizaron las contrataciones, y se superaron las medidas de seguridad establecidas en la normativa. De igual forma, BBVA ha acreditado el bloqueo de la cuenta y su posterior cancelación tras la denuncia ante la policía. En consecuencia, de los hechos que figuran en el expediente no se desprenden indicios suficientes de vulneración de la normativa de protección de datos por la parte reclamada. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BANCO BILBAO VIZCAYA ARGENTARIA, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es