E-00993-2018

1/9 Expediente Nº: E/00993/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad WALLAPOP S.L. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26/01/2018, tuvo entrada en esta Agencia escrito de D./Dña. A.A.A. (en lo sucesivo el denunciante), en el que denuncia a WALLAPOP S.L. (en lo sucesivo WALLAPOP) por los siguientes hechos: en el que denuncia

1. Como usuario de la plataforma web WALLAPOP, en Enero 2018 ha efectuado una transacción de venta de un objeto de segunda mano con otro usuario de la plataforma, pero han tardado excesivamente en transferirle el importe de la misma (más de lo que se especifica en los términos y condiciones del servicio)
2. Ha reclamado ante WALLAPOP a través del canal de chat ofrecido desde la web, y en el transcurso del diálogo le ha sido remitido un justificante de pago correspondiente a otra transacción, con un usuario que no es aquél con quien él efectuó la suya.
3. En el justificante de pago figuran datos bancarios (número de cuenta) que él entiende que deberían ser confidenciales.
4. Ha revisado la política de privacidad que se puede encontrar en el portal web, y ha descubierto que el pago en WALLAPOP se realiza a través de una empresa domiciliada en Luxemburgo, MANGOPAY, a quien ceden los datos bancarios de comprador y vendedor para llevar a cabo el pago.
5. Estima que la cesión y gestión de los datos bancarios no se hace con la suficiente seguridad, puesto que él ha podido recibir un recibo donde se revela el número de cuenta de una persona que no conoce.
6. Adicionalmente, observa que la política de privacidad establece que el usuario, al darse de alta, acepta la cesión de sus datos personales a terceras sociedades ajenas a WALLAPOP con la finalidad de recibir comunicaciones comerciales de los productos y servicios ofrecidos por aquéllas. No se ofrece la opción de rechazar esta cesión, ni se informa de este extremo en el momento de darse de alta en la plataforma web. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: En la parte inferior de la web de la plataforma WALLAPOP se pueden encontrar secciones con las “Condiciones de Uso” y la “Política de Privacidad”, entre otros. En la URL https://es.wallapop.com/toc se encuentran las “Condiciones de Uso”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 En la URL https://es.wallapop.com/priv se encuentra la “Política de Privacidad”. WALLAPOP S.L. ha remitido a petición de la AEPD la siguiente información pertinente a los efectos de la investigación:  Los usuarios comprador y vendedor se ponen de acuerdo en el precio del producto a través de WALLAPOP. Una vez que el usuario vendedor ha enviado el paquete, en el caso de que no haya introducido antes la cuenta bancaria se le piden los datos de su cuenta bancaria a través de MANGOPAY. o El usuario vendedor introduce su cuenta bancaria (número de cuenta: IBAN y SWIFT). Las cuentas bancarias se asocian a un usuario WALLAPOP (identificado con su correo electrónico) y pueden no coincidir con el titular de la cuenta porque el usuario vendedor puede darse el caso que no tenga cuenta bancaria con IBAN y SWIFT, e introduzca la cuenta de un familiar/amigo. o El usuario comprador facilita los datos de la tarjeta bancaria, que siempre aparece encriptada para WALLAPOP.  En una primera contestación, respondieron que estos datos de cuentas y tarjetas los recaba y guarda MANGOPAY (no WALLAPOP) durante el tiempo que dura la actividad del usuario en la plataforma web. Afirmaron que WALLAPOP no almacena ningún dato bancario de los usuarios. Sin embargo, en una segunda contestación, matizaron que: o Sus servidores almacenan los datos de pago pero no se muestran en la interfaz de consulta para atención al cliente. Es una información a la que se podría llegar únicamente a través de consultas directamente desde backend. En la base de datos de WALLAPOP tienen el IBAN guardado, pero no los datos de las tarjetas. La información sobre la tarjeta va directa y cifrada a MANGOPAY. MANGOPAY envía a WALLAPOP únicamente un “token” para poder vincular el pago a la transacción. Sin embargo, WALLAPOP no almacena el número de tarjeta ni el “token”, únicamente el identificador del pago en MANGOPAY. o El IBAN, al no ser considerado un dato sensible (similar a un teléfono), sí que lo almacenan, siempre que el usuario continúe su actividad en WALLAPOP y no se oponga al tratamiento. WALLAPOP utiliza protocolo HTTPS para enviar el dato de IBAN a MANGOPAY a través de una API.  En el caso que un usuario solicite a WALLAPOP comprobante bancario de la operación (como ha sido el caso de la denuncia), WALLAPOP entra en un interfaz de MANGOPAY donde puede descargar los recibos generados de los pagos efectuados. C/ Jorge Juan, 6 28001 – Madrid o El acceso a esta interfaz es manual. Disponen de un backoffice donde pueden ver todas las transacciones, y desde ahí hacer click y abrir directamente el interfaz de MANGOPAY para la transacción en cuestión. o Los justificantes se eliminan regularmente de los ordenadores de los agentes de atención al cliente, ya que una vez descargados para ser adjuntados no se le da ningún otro uso. www.agpd.es sedeagpd.gob.es 3/9  Aportan algunas impresiones de pantalla de la interfaz de MANGOPAY que utilizan en WALLAPOP. En ella, señalan donde hacen click para abrir MANGOPAY (han borrado la información del “buyer” o comprador para no compartir sus datos, pero desde esa parte también se puede acceder a MANGOPAY). De hecho, se puede acceder haciendo click en el identificador del pago, MangopayID (primera línea de la captura), que conduce al pago, o desde el seller (abriendo información de MANGOPAY del vendedor y descargando desde ahí el resguardo de pago), o el comprador (viendo sus transacciones de pago). o Desde la interfaz de MANGOPAY se pueden visualizar las cuentas bancarias introducidas por los usuarios (sin cifrar) y sus tarjetas de pago (cifradas). También vemos el nombre de usuario, que es el mismo que el nombre de usuario en WALLAPOP (a no ser que el usuario introduzca una cuenta bancaria, en cuyo caso MANGOPAY sustituye el nombre de usuario por el nombre del titular de la cuenta bancaria). o Adjuntan varias capturas de usuario con rol Manager de Customer Service en MANGOPAY, donde se pueden ver las pantallas de User Details, Credit Cards, Transactions y Bank Accounts. Esencialmente esas son las pantallas con las que trabajan los miembros del equipo. o A nivel de permisos, la mayoría del equipo tiene permiso de solo lectura, excepto la Manager de Customer Service y dos empleados más que tienen permisos para poder realizar reembolsos. A nivel de consulta de datos, todos ven lo mismo. o Todos los componentes del equipo de Customer Service han recibido formación en cuanto al uso de MANGOPAY y conocen y aplican la Ley de Protección de Datos (no ofrecer información de cuentas a no ser que sea el titular de la misma el que nos contacte). Afirman tener cláusula de confidencialidad y secreto profesional firmado por el equipo de WALLAPOP.  WALLAPOP facilita impresiones de pantalla con la reclamación del denunciante. o El primer chat fue iniciado el 21/01/2018 (según se puede deducir) por el denunciante, que reclama el ingreso del importe. Desde WALLAPOP le contestan con una respuesta genérica. o El segundo chat también fue iniciado el 21/01/2018 por el denunciante, con la misma reclamación. WALLAPOP le envía el justificante erróneo. o El tercer chat fue iniciado el 22/01/2018 por el denunciante, continuado por él el 25/01/
7. WALLAPOP le entrega el 30/01/2018 el justificante correcto. Respecto al justificante de pago correspondiente a otra transacción, aducen que fue un error humano. Aventuran que éste ha consistido, probablemente, en tener abierta más de una ventana con diferentes transacciones y descargar el documento incorrecto. Por error se adjuntó el justificante de un caso anterior. WALLAPOP entiende que revelar la información de la cuenta bancaria de otro usuario no tiene la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 gravedad que tendría revelar los datos de su tarjeta bancaria. Por esta razón WALLAPOP no tiene acceso a los comprobantes de tarjetas bancarias, y los comprobantes que genera MANGOPAY para WALLAPOP son información cifrada.  WALLAPOP aporta el comprobante de pago que debió haber entregado al denunciante. Se observa que tiene fecha 25/01/2018, a nombre de B.B.B., por importe de 15 euros, identificación de transacción ***ID.1 y, al igual que en el comprobante erróneo, se puede observar en la parte inferior un número de cuenta bancaria en formato IBAN y un código SWIFT, bajo el epígrafe “Método de pago”.  WALLAPOP también aporta el contrato con LEETCHI CORP., empresa incorporada en Luxemburgo con id. B173459, fechado a 19/05/2015 y firmado en el área correspondiente a WALLAPOP. En el artículo 22 se establece que LEETCHI CORP es encargado del tratamiento de datos por cuenta de WALLAPOP. En la URL https://es.wallapop.com/faq se menciona en su apartado núm. 20 lo siguiente: “wallapop envíos es una nueva funcionalidad que te permitirá enviar y recibir tus compras o ventas de wallapop a través de un servicio de mensajería. Por el momento esta funcionalidad solo está disponible a través de la aplicación. Te ofrecemos este servicio para mejorar tu experiencia y dar un plus de seguridad en las compraventas a distancia dentro de la app. A partir de ahora, cuando quieras comprar o vender un producto a una persona que vive lejos de ti, solo tendrás que preocuparte de pagar (si eres comprador) o empaquetar el envío (si eres vendedor). ¡De lo demás nos encargamos nosotros! Los envíos se gestionan a través de Correos. La aplicación te proporcionará un número de seguimiento para el envío, para que puedas llevar tu paquete a Correos y el paquete esté localizado en todo momento. El comprador recibirá el paquete el la dirección que haya proporcionado en el momento del pago.” El inspector que suscribe ha realizado el siguiente examen de la aplicación móvil WALLAPOP:  El inspector se descarga la aplicación móvil WALLAPOP del Play Store de Android y la instala en un terminal móvil de la Subdirección General de Inspección, de marca Samsung y modelo Galaxy A
8.  Al instalar, abrir la aplicación móvil e identificarse con una cuenta, en el submenú de la izquierda que se despliega al presionar sobre el icono con tres líneas horizontales de la esquina izquierda de la barra superior, se observa una entrada marcada como “Ayuda”, que conduce a una pantalla donde se enumeran las distintas secciones de información. Éstas se corresponden con las secciones homólogas que se observan en la interfaz web de la plataforma: Términos de Uso, Política de Privacidad y Preguntas Frecuentes, entre otras. Se comprueba que la información que se puede consultar a través de la aplicación móvil de WALLAPOP es la misma que a través del interfaz web, en lo relativo a Términos de Uso y Política de Privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9  Se observa que se puede acceder a la sección de introducción de datos de cuenta o tarjeta bancaria a través de la entrada “Envíos” del submenú de la izquierda (se ha comprobado que en la aplicación web no existe la entrada “Envíos. o Se observa en la esquina superior derecha un icono con la letra “i” (información), el cual conduce a un carrusel de 4 pantallas donde se describen algunos servicios que proporciona WALLAPOP. No se observa ningún logotipo ni ninguna mención a MANGOPAY, ni tampoco los términos y condiciones de uso o contratación con MANGOPAY a los que se alude en las “Condiciones de Uso” de WALLAPOP. o Si se presiona en el botón “Añadir tarjeta”, se navega a un formulario donde se permite introducir nombre y apellidos, número de tarjeta, mes y año de caducidad, así como el código de verificación (CVV) o Si se presiona en el botón “Añadir cuenta”, se abre un formulario donde se solicita nombre y apellidos, así como un código IBAN de cuenta bancaria.  Existe otra forma de introducir los datos bancarios, que es cuando se elige un objeto para comprar. Si este objeto ha sido configurado previamente por el vendedor como “para envío”, cuando se elige el objeto en cuestión, aparece una franja en la parte superior con un icono “i” y el siguiente texto: “Recíbelo en casa: Envío por +2,95€”, junto a un botón con el texto “Envíamelo”. Si se presiona dicho botón, se navega a una pantalla con el precio acompañado de un texto sobre el que se puede hacer click, “Cambiar precio”; un icono de tarjeta y otro texto sobre el que se puede hacer click, “Cambiar Tarjeta”, una franja que reza “Con Wallapop protect tu dinero estará seguro y el envío protegido”; campos vacíos para introducir la dirección de entrega, un teléfono de contacto, un desglose del importe a pagar, y finalmente un botón con el texto “Pagar ahora” seguido de la cantidad a abonar. Encima del botón se lee también “wallapop protect. Términos y condiciones”. o Si se hace click en “Cambiar tarjeta”, aparece el formulario para rellenar los datos de la tarjeta bancaria ya visitado en el apartado anterior o Si se presiona en la franja relativa a Wallapop Protect (o si se presiona en el icono “i” referido arriba) se abre una pantalla con scroll en la que se describen algunas características del servicio de envíos. El último texto, “¿Tienes más dudas?”, conduce a la sección de “Preguntas Frecuentes” de la aplicación móvil. o Si se pincha en “wallapop protect. Términos y condiciones” se navega al conocido texto de “Términos de Uso” FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III En primer lugar se ha de indicar en relación con la remisión al denunciante por parte del denunciado de un justificante de pago correspondiente a una transacción distinta a la suya lo siguiente: El artículo 10 de la LOPD establece que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero, o en su caso, con el responsable del mismo”. En el presente caso, el envío de un justificante erróneo al denunciante pudo haberse debido a un error humano cuando el empleado tuvo que elegir una de las muchas ventanas abiertas en el navegador. Al existir un paso manual en el procedimiento, éste es susceptible de provocar fallos de este tipo. Por lo demás, WALLAPOP asegura que existen cláusulas de confidencialidad y secreto profesional en los contratos de sus empleados habitual en empresas de este tipo y, además, éstos están formados en el uso de MANGOPAY y aplicación de la normativa de LOPD. A la luz de lo anterior hay que traer a colación la sentencia de la A.N. de Sentencia de 14/12/2006, que señalaba: «La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad ( SSTC 15/1999, de 4 de julio ; 76/1990, de 26 de abril ; y 246/1991, de 19 de diciembre ), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998, "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso ( artículo 25 de la Constitución ) o de las exigencias inherentes al Estado de Derecho". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 En esta misma línea, el Tribunal Supremo considera que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Y el grado de diligencia exigible habrá de determinarse en cada caso en atención a las circunstancias concurrentes, tales como el especial valor del bien jurídico protegido, la profesionalidad exigible al infractor, etc. Pues bien, la aplicación de la citada Doctrina al específico y singular caso enjuiciado en este procedimiento ha llevado a esta Sala a concluir que en la referida conducta de la actora reseñada en los hechos probados de la resolución originaria impugnada no concurre el citado elemento de culpabilidad a la hora de determinar si la misma ha incurrido en una falta del deber de secreto del artículo 10 de la Ley Orgánica 15/1999 que se le imputa, pues así se ha de entender cuando dicha recurrente incurre en el mero error de enviar al domicilio de un cliente el contrato suscrito con otro cliente, sin que se aprecie culpa, incluso en ese grado mínimo previsto en la referida Ley 30/1992, en lo que se refiere al dato esencial de revelar a un tercero los datos personales que la misma trata en sus ficheros de ese cliente titular de dicho contrato que ni siquiera fue quien la denunció, sino aquel otro, y, como arriba se ha expuesto, por otras razones. En consecuencia, no se aprecia falta de diligencia en la recurrente en lo que respecta a la conducta imputada de incumplimiento del deber de secreto, dado que sólo incurrió en ese error de enviar el contrato de un cliente a un domicilio que no era el suyo» IV En lo relativo a que WALLAPOP cede los datos bancarios de comprador y vendedora a MANGOPAY para llevar a cabo el pago, procede señalar que en los términos de uso WALLAPOP informa que no intermedia en la prestación de los servicios de pago electrónico y que “los usuarios que utilizan la plataforma Mangopay suscribirán un contrato con Mangopay en lo que respecta a servicios de pago, del cual no forma parte wallapop y que se regirá por los términos y condiciones de contratación con Mangopay”. S Sin embargo, existe un contrato de WALLAPOP con Leetchi Corp. (MANGOPAY) en el que se establece que MANGOPAY es la encargada de tratamiento en la prestación del servicio de pago con dinero electrónico. Sobre este particular debe señalarse que el acceso a los datos realizado por un encargado de tratamiento, contratado por el responsable del fichero, no constituye una cesión de datos y que tampoco es necesario que los responsables faciliten a los afectados información sobre sus encargados del tratamiento. V En cuanto a la Política de Privacidad, se establece que el usuario al darse de alta en la plataforma acepta el envío de comunicaciones comerciales relativas a productos y servicios, tanto de WALLAPOP como de terceros; la elaboración de perfiles basados en sus hábitos de consumo, navegación y utilización de la Página Web y/o de la Aplicación de WALLAPOP y la cesión de sus datos personales a terceras sociedades ajenas a WALLAPOP con la finalidad de recibir comunicaciones comerciales de los productos y/o servicios ofrecidos por aquéllas. No obstante, se hace referencia a la posibilidad del ejercicio de los derechos ARCO, en los términos establecidos en la LOPD y su Reglamento de desarrollo y, que para una mayor comodidad, le ofrece la posibilidad de ejercitar los derechos referidos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 a través de una dirección de correo electrónico, así como la posibilidad de dirigir reclamación ante la AGPD como consecuencia del tratamiento de sus datos personales realizado por parte de WALLAPOP. Así se indica que “…Para su mayor comodidad, y sin perjuicio de que se deban cumplir con determinados requisitos formales establecidos por la LOPD, Wallapop S.L. le ofrece la posibilidad de ejercer los derechos antes referidos a través del correo electrónico: administración@wallapop.com. Igualmente, le recordamos la posibilidad de dirigir una reclamación ante la Agencia Española de Protección de datos de carácter personal por el tratamiento de sus datos personales realizado por parte de Wallapop”. El ofrecimiento de una dirección de correo electrónico en un entorno on-line como el descrito para poder ejercitar la negativa al tratamiento de los datos de carácter personal con fines publicitarios resultaría adecuado cono lo señalado en el artículo 15 de la RLOPD, al obtenerse la posibilidad de ejercer la negativa en el momento de la contratación a través de un procedimiento similar o equivalente a la marcación de una casilla. Ahora bien, debe recordarse que para comunicaciones electrónicas el artículo 21.1 de la Ley 34/2002 de 18 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), dispone que estas solo podrán remitirse cuando “hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”, lo que implicaría la necesidad de obtener un consentimiento expreso con la marcación de una casilla, lo que no ocurre en el presente caso. Por ello los consentimientos obtenidos a través del procedimiento habilitado por WALLAPOP en su página web no se ajustarían a los requisitos previstos en la LSSI y no habilitarían para el envío de comunicaciones comerciales a través de medios electrónicos. A lo anterior, habría que añadir lo señalado por el Reglamento Europeo de Protección de Datos, tanto en el artículo 4, Definiciones, como en su Considerando 32 en relación con el consentimiento: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen” “