1/4 Expediente Nº: E/02008/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas [de oficio] por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A. y el portal web WWW. INSTANTOR. COM, en virtud de denuncia presentada por Don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de febrero de 2015, tuvo entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante) en el que denuncia de manera sucinta lo siguiente: “Les envío un enlace de Internet de una Entidad que presta sus servicios a las Entidades financieras…la cual accede a las cuentas de los clientes que van a pedir un servicio financiero y sin haber solicitado permiso al cliente para tal uso, vulnerando todo lo concerniente a la LOPD. En la página web que les indico más adelante, aparecen todas las Entidades financieras que tienen contratatados sus servcios con la Entidad Sueca… Valórenlo ustedes mismos y juzgen si vulnera o no la LOPD”—folio nº 1--. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Los representantes de Banco Santander manifiestan en relación a como la entidad Instantor recaba información sobre transacciones bancarias de sus clientes: 1. Banco Santander no facilita datos de sus clientes a Instantor ni ha suscrito ningún acuerdo o convenio de colaboración con la citada entidad. El logo que figura en la página web www.instantor.com no ha sido facilitado por Banco Santander y no es el logo oficial del banco. 2. Instantor es lo que se conoce como agregador bancario. Estas entidades disponen de una página web a la que se conectan los clientes y reciben información sobre el estado de sus cuentas, préstamos, tarjetas, etc así como en qué tipo de productos o servicios se han derivado los gastos. Para ello el usuario debe aportar de forma voluntaria al agregador bancario sus claves de acceso de los bancos con los que trabaja. Periódicamente (típicamente una vez por día) el agregador accede a los bancos en los que tiene cuentas su cliente y recaba toda la información disponible. Para ello esta entidad debe desarrollar un motor adaptado al portal de cada entidad bancaria con objeto de lanzar las peticiones y recabar la información. La información recabada de todas las cuentas del cliente se agrega y se le presenta al interesado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 3. Habitualmente los agregadores lanzan accesos masivos de todos los clientes que han facilitado las claves pudiendo provocar la saturación en los servidores de la entidad bancaria. De este modo, hasta el año 2013, cuando se detectaban estos accesos masivos se consideraba un ataque y se bloqueaba la dirección IP origen. A pesar de ello, el agregador habitualmente cambiaba la IP e intentaba continuar con las descargas. 4. En octubre de 2013 Securpay (Seguridad de Pagos por Internet) y EBA (Asociación Europea de Banca) emitieron una normativa que definía la figura de los agregadores y los equiparaba a proveedores de servicios financieros, estando sometidos a la auditorías y controles. Posteriormente, en febrero de 2014 estos organismos emitieron una normativa de seguridad también aplicable a estos agregadores bancarios. De este modo, desde 2013, no se impiden los accesos de los agregadores bancarios al estar legalmente reconocidos, pero el hecho de que un cliente del banco facilite sus claves de acceso a un tercero se considera una vulneración de las medidas de seguridad que contractualmente acepta el cliente al solicitar el acceso de banca electrónica. Cuando se denuncia un fraude en el acceso a las cuentas de un cliente, siempre se pregunta si se han cedido las claves a un tercero, y hasta la fecha no se ha detectado fraude cometido desde un agregador. En los dos últimos años no se han detectado peticiones masivas procedentes de un agregador, por lo que es posible que la actividad de estas entidades esté decayendo en España. 5. En España hay diversas entidades que ofrecen los servicios de agregador financiero, entre las que se encuentra FINTONIC y MYVALUE. 6. Se constata que el dominio web instantor.com se encuentra habilitado socialmente en Estocolmo (Suecia). FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 II En el presente caso, se procede a examinar la reclamación de fecha de entrada en esta Agencia 16/02/2015 en dónde el afectado pone en conocimiento los siguientes “hechos” por considerarlos contrarios al marco de la LOPD: “Les envío un enlace de Internet de una Entidad que presta sus servicios a las Entidades financieras…la cual accede a las cuentas de los clientes que van a pedir un servicio financiero y sin haber solicitado permiso al cliente para tal uso, vulnerando todo lo concerniente a la LOPD”—folio nº 1--. Antes de entrar en el fondo del asunto matizar que el enlace de Internet al que se refiere el afectado en su denuncia ante esta Agencia se trata de la dirección web— www.instantor.com--; este se trata de un agregador bancario cuya finalidad con carácter general consiste “en un servicio que tiene como objetivo cubrir las necesidades de información de los clientes, que hasta ahora tienen que realizar varias consultas individualizadas para conseguir los detalles de todas sus cuentas bancarias”. El sector financiero es el principal cliente de las tecnologías de la información y la comunicación, ofreciendo nuevas variables de desarrollo de Internet por tipología de servicios y como medio de comunicación lo que obligará a transformar y/o adaptar modelos de negocio con un firme posicionamiento en servicios. Con relación a estos “nuevos” servicios cabe señalar que son objeto de regulación comunitaria, que ha de cumplir con los parámetros vigentes en materia de LOPD, así como, que están sujetas a las preceptivas auditorias y controles. Examinada la documentación contenida en la dirección web objeto de denuncia, se constata que el interesado en el servicio puede enviar un mail a la siguiente dirección ....@instantor.com a efectos de recibir información acerca del funcionamiento del servicio. Cabe indicar que con motivo de la denuncia presentada por parte del Servicio de Inspección de esta Agencia se procede en fecha 12/12/13 y 10/02/2014 a levantar Acta de Inspección E/2008/2015/I-1 en dónde se constata lo siguiente: “Banco Santander no facilita datos de sus clientes a Instantor ni ha suscrito ningún acuerdo o convenio de colaboración con la citada entidad. El logo que figura en la página web www.instantor.com no ha sido facilitado por Banco Santander y no es el logo oficial del banco” En cuanto al agregador bancario reseñado en su escrito, se debe reseñar que el art. 2.1 LOPD, dispone en lo relativo a su ámbito de aplicación lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito (…)”. En el presente caso cabe indicar que la Entidad en cuestión se encuentra en territorio de la Unión Europea (en concreto en el Estado miembro de Suecia), sin que exista constancia de que la misma posea un establecimiento en territorio español, por lo que en dicho punto la cuestión planteada excedería del ámbito competencial de esta Agencia. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al denunciante Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es