1/5 Expediente Nº: E/00221/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad HP PRINTING AND COMPUTING SOLUTIONS SLU en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de enero de 2018, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que manifiesta lo siguiente: La empresa HP PRINTING AND COMPUTING SOLUTIONS SLU (en lo sucesivo el denunciado) utiliza datos bancarios (tarjeta) facilitados en una compra realizada a través de su web en Internet que fue cancelada, para efectuar ventas posteriores no autorizadas. Esto constituye una utilización errónea de los datos bancarios, lo cual supone una pérdida del control de los mismos. La línea de hechos fue la siguiente: o El 15/09/2017 el denunciante hace una compra de un ordenador portátil a través de la web de HP. o Dicha compra fue cancelada automáticamente por la compañía. El denunciante recibe el 18/09/2017 un correo electrónico con el aviso de dicha cancelación. o Se le aplica un cargo con fecha 26/10/2017 en la tarjeta de crédito facilitada en el proceso de compra. Con fecha 07/11/2017 el denunciante recibe una factura de HP relativa a una compra, con el mismo identificador de pedido que la compra que fue cancelada. o Ha intentado que le devuelvan el importe cargado en su tarjeta por vía telefónica el 22/11/2017, sin éxito. Aporta la siguiente documentación: Correo electrónico de aviso procedente de HP, con fecha 18/09/2017, donde comunican al denunciante que “su pedido no ha podido ser completado de forma correcta, por lo que han tenido que cancelarlo”. Como motivo se aduce “Error del Sistema”, ya que según se puede leer, no han podido verificar algunos de los datos personales proporcionados en el momento de haberse realizado el pedido. Factura del denunciado a nombre del denunciante, con fecha 07/11/2017 e identificación ***IDENTIFICACION.1, relativa al pedido web de código ***COD.
- El importe es 449,65 euros (incluye un descuento por cupón electrónico, de 65,58 euros) y el objeto facturado es un portátil HP modelo 2CU40EA (descripción “HP Laptop 17 –ak006ns-Spain”). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 Cruce de correos del denunciante con personal de Atención al Cliente de HP, comenzando el 09/01/2018 y terminando el 01/02/
- Documento del denunciado (denominado Crédito) a nombre del denunciante, con fecha 02/02/2018 e identificación ***IDENTIFICACION.2, relativa al pedido web de código ***COD.
- Los datos que se pueden observar en dicho documento son los mismos que los de la factura anterior. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. Solicitada información al denunciado, se tiene conocimiento de los siguientes extremos: El 15/09/2017, el denunciante utilizó el sistema de ventas en línea del denunciado (Tienda Online HP Store) y adquirió un ordenador bajo el número de orden ***ORDEN.1, que generó una factura con número ***FACT.1 y se entregó de forma normal. Para la realización de la orden se utilizó un cupón de descuento. Aportan: o Factura a nombre del denunciante, con fecha 19/09/2017 e identificación ***FACT.1, relativa al pedido web de código ***ORDEN.
- El importe es 449,65 euros (incluye un descuento por cupón electrónico, de 65,58 euros) y el objeto facturado es un portátil HP modelo 2CU40EA (descripción “HP Laptop 17 –ak006ns-Spain”) o Albarán de entrega a nombre del denunciante y firmado, con fecha de entrega 19/09/2017 hora 14:
- Minutos después, el denunciante decidió realizar una segunda compra en la tienda Online, con lo que se generó la cuestionada transacción ***COD.
- Al intentar generarse una segunda orden por el mismo producto en la misma fecha, los protocolos antifraude dentro de los sistemas de HP se activaron y se canceló la orden, generando a continuación el correo de cancelación que el denunciante aporta en la denuncia. La información de la transacción, incluyendo los datos bancarios, se mantienen como parte de los mismos protocolos antifraude, por si surge la necesidad de realizar alguna investigación posterior por parte de las instituciones financieras y como práctica normal de la industria (adjuntan la norma de seguridad de datos de la Industria de las Tarjetas de Pago, PCI). Tras recibir el correo enviado el 18/09/2017 (con el aviso cancelación de la transacción ***COD.1) el denunciante llamó al Call Center a fin de realizar la compra del segundo ordenador con las condiciones de descuento de la compra original (ya que el cupón había expirado). El agente que respondió la llamada confirmó que la orden anterior, de código ***COD.1, había sido cancelada y extendió las mismas condiciones de descuento para una nueva orden bajo el número ***ORDEN.
- Dicha orden fue entregada con normalidad. Aportan: o Factura a nombre del denunciante, con fecha 21/09/2017 e identificación ***IDENTIFICACION.3, relativa al pedido web de código ***ORDEN.
- El importe es 449,65 euros (incluye también el descuento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 por cupón electrónico, de 65,58 euros) y el objeto facturado es un nuevo portátil HP modelo 2CU40EA (descripción “HP Laptop 17 – ak006ns-Spain”) o Albarán de entrega a nombre del denunciante y firmado, con fecha de entrega 21/09/2017 hora 13:
- Destacan el hecho de que los tres pedidos realizados por el denunciante se refieren siempre al mismo producto, el ordenador portátil modelo 2CU40EA HP Laptop 17-ak006ns. Posteriormente, el 18/09/2017, debido a un error informático en los sistemas de HP, varias órdenes de compra cambiaron erróneamente de status (de retenida a cancelada, de cancelada a aceptada, etc.) La orden objeto de denuncia, de número ***COD.1 y originalmente cancelada por el sistema antifraude, estaba entre las afectadas. Debido a este error de sistemas, el 06/10/2017 la orden anteriormente considerada como cancelada fue procesada nuevamente. Debido a que no había coincidencia en la fecha de la orden anterior, el sistema antifraude aprobó la transacción y la orden fue procesada y entregada normalmente, con lo que se generó la factura de 07/11/2017 que el denunciante aporta en la denuncia (quieren aclarar que documento de fecha 02/02/2018 es una nota de crédito o reembolso de la factura original, no se trata de dos facturas independientes). Sin embargo, debido a un error humano en los procesos de HP y la confusión generada por el error informático antes mencionado, la devolución de los fondos indebidamente cargados al denunciante tardó más de lo necesario. Finalmente fueron reintegrados el día 06/02/
- o Aportan un comprobante de reembolso con fecha 06/02/2018 (fecha de valor 07/02/2018), asociado a una cantidad de importe 449,65 euros, que se habría devuelto a la cuenta del denunciante cuyo IBAN se muestra en el comprobante. o La subsanación de documentación por parte del denunciante tiene fecha de registro de entrada 09/02/2018, con lo que es posible que a día de presentación de la misma el denunciante aún no hubiese recibido la cantidad en su cuenta. Los datos personales del denunciante fueron provistos por él mismo al registrarse en el sistema de ventas en línea, el 15/09/
- En el momento del registro el cliente aceptó los Términos y Condiciones de utilización de la plataforma en línea, así como el aviso de privacidad que describe la recolección y uso de los datos personales, entre los que se encuentran la realización de operaciones comerciales y aplicación de procedimientos antifraude. Finalmente, afirman que el error de sistema ha sido adecuadamente corregido y el importe de la transacción ha sido devuelto. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 6.1 de la LOPD regula: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” En el presente caso, el denunciante alega la utilización de los datos de su tarjeta para una venta posterior sin su consentimiento. Solicitada ampliación de denuncia, remite copia de una cadena de correos cruzados con HP reclamando. Aporta identificación de la tarjeta en la que se realizó el cargo. HP indica que el documento de 02/02/2018 no es una nueva factura sino una nota de crédito o reembolso de factura original, no se trata de dos facturas independientes. En el presente caso, se trata de una cuestión de consumo y no de protección de datos ya que el segundo pedido, fue cancelado por iniciativa de la entidad y no del cliente, por lo que no se aprecia comportamiento contrario a la voluntad del denunciante. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 La empresa denunciada admite un error informático en sus sistemas, por el cual se reactivó la orden cancelada internamente por protocolo antifraude y se aplicó un cargo indebido contra la tarjeta del cliente. No obstante afirman haber corregido el error y haber devuelto el importe al denunciante. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente Resolución a HP PRINTING AND COMPUTING SOLUTIONS SLU y D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es