E-03479-2021

1/15  Expediente Nº: E/03479/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES* De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: El reclamante 1 y el reclamante 2 con fecha 12 de noviembre de 2020 y 28 de enero de 2021 respectivamente interpusieron reclamación ante la Agencia Española de Protección de Datos. Ambas reclamaciones se dirigen contra CAIXABANK S.A. con CIF A08663619 (en adelante, la parte reclamada). En relación con el reclamante 1 su reclamación se basa en lo siguiente: Que la app impuesta a sus clientes por Caixabank (Caixabank Now) pretende acceder a datos que exceden de los necesarios para lo que se pretende que es autorizar pagos por internet así como la operativa bancaria habitual. Que la política de privacidad disponible en Google Play Store no concreta nada. Que el desarrollador no ha seguido los principios de privacidad desde el diseño y por defecto. Junto a su reclamación presenta como documentación relevante: Copia de las condiciones y licencia de uso y de aplicación de Caixabank con año de referencia 2016 y fecha de extracción 11 de noviembre de 2020 y en la que consta: “[…] 4. Geolocalización. Es posible que la Aplicación esté adaptada o disponga de funciones de geolocalización, con el fin de poder ofrecer los servicios a los que se accede a través de la misma. Por tanto, para la prestación de dichos servicios requerirá que tenga activada la función de geolocalización de su dispositivo móvil. […] POLÍTICA DE PRIVACIDAD Y TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 Tratamiento de datos de carácter personal en la aplicación CaixaBank […] Usted autoriza que CaixaBank realice una lectura de su huella, a través de la funcionalidad diseñada en esta aplicación a dicho efecto, con el fin de obtener un patrón biométrico a partir de un conjunto de puntos o detalles minuciosos de la misma, que quedará registrada en ficheros titularidad de la Entidad. CaixaBank podrá tratar los datos de carácter personal y el patrón biométrico con las siguientes finalidades: (

1. a)identificar al Usuario en esta aplicación (
2. b)validar y verificar sus datos identificativos cuando usted acceda desde otras aplicaciones o sitios de CaixaBank (
3. c)dar cumplimiento a la relación derivada de la contratación de productos y/o servicios CaixaBank (
4. d)verificar la corrección de la operativa dimanante de dicha contratación (
5. e)aplicar las medidas necesarias para el cumplimiento de lo establecido en la Ley 10/2010, de Prevención del Blanqueo de Capitales y de la Financiación de Terrorismo (
6. f)realizar análisis estadísticos sobre el uso de esta aplicación (
7. g)maximizar la seguridad en el uso de canales o aplicaciones de CaixaBank y/o en las operativas de productos y servicios, analizando posibles fraudes o suplantaciones de su identidad […] Acceso a la función de geolocalización del dispositivo El funcionamiento de esta aplicación requiere el acceso a la función de geolocalización de su dispositivo móvil para proporcionarle la ubicación de los cajeros automáticos más cercanos al mismo, así como para analizar y detectar supuestos de fraude o suplantación de su identidad en canales o aplicaciones de esta Entidad y/o en las operativas de productos y servicios. Si no desea que la aplicación acceda a sus datos de geolocalización con las finalidades indicadas, deberá desactivar dicha función en su dispositivo.” Captura de pantalla de dispositivo móvil donde consta que Caixabank necesita acceder a “identidad”, “contactos”, “Ubicación”, “fotos/multimedia”, “cámara”, “micrófono”,…y donde constan unas pestañas aparentemente desplegables en cada item pero no están desplegadas. Consta un único botón de “Aceptar”. En relación al reclamante 2, su reclamación se basa en lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 La app Caixabank Now, necesaria para acceder a su cuenta corriente, requiere la aceptación, sin posibilidad de rechazo, de unas condiciones entre las que figuran dar autorización a que la aplicación disponga de su ubicación, gps, a que sus datos sean cedidos a empresas que no forman parte del grupo CAIXABANK, a que puedan acceder a su historial de navegación fuera de la app para ofrecerle productos bancarios, a que puedan enviar sus datos a google y facebook para que estos emitan anuncios en sus plataformas conforme a su perfil, e incluso a recopilar y tratar datos en segundo plano. Asimismo, manifiesta que se le informa que "Las presentes Condiciones podrán ser modificadas por CaixaBank en cualquier momento, sin necesidad de preaviso o de notificación al Usuario. La nuevas Condiciones serán válidas desde el momento de su publicación, por lo que se recomienda al Usuario que periódicamente acceda y consulte las mismas con el fin de tener conocimiento de los cambios introducidos"; por lo que de aceptar esas condiciones otorgan al banco cualquier tipo de poder sobre sus datos personales y su uso, y no dispone de modo alguno de posibilidad de oponerse a dichos tratamientos en el momento descargar la app, debiendo obligatoriamente que aceptar tales tratamientos en conjunto, obligando a ceder todos mis datos, presentes y los futuros que quieran sin poder oponerme a ello, y sin posibilidad de acceder a mi cuenta bancaria ni hacer ningún tipo de operación (pago hipoteca, recibos luz, seguros, etc)” Junto a su reclamación, aporta como documentación relevante: Copia de las condiciones y licencia de uso y de aplicación de Caixabank en la que consta, a fecha de referencia año 2021: “Condiciones y licencia de uso Los términos y condiciones que se indican a continuación regulan el acceso y el uso dela presente aplicación (en adelante la “Aplicación” o la “App”) de CaixaBank[…] 4. Geolocalización. Es posible que la Aplicación esté adaptada o disponga de funciones de geolocalización, con el fin de poder ofrecer los servicios a los que se accede a través de la misma. Por tanto, para la prestación de dichos servicios requerirá que tenga activada la función de geolocalización de su dispositivo móvil. Encontrará la información detallada del tratamiento de sus datos de geolocalización enel apartado POLITICA DE PRIVACIDAD Y TRATAMIENTO DE DATOSPERSONALES / Información sobre el tratamiento de datos de geolocalización, que encontrará a continuación de estos términos y condiciones. […] 7. Modificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 Las presentes Condiciones podrán ser modificadas por CaixaBank en cualquier momento, sin necesidad de preaviso o de notificación al Usuario. La nuevas Condiciones serán válidas desde el momento de su publicación, por lo que se recomienda al Usuario que periódicamente acceda y consulte las mismas con el fin de tener conocimiento de los cambios introducidos. […] Tratamientos basados en el consentimiento • Analizar sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle • Comunicarle la oferta comercial de productos y servicios del Grupo CaixaBank por los canales que haya seleccionado • Ceder sus datos a empresas que no forman parte del Grupo CaixaBank • Usar biometría para identificarle como cliente y para la firma de documentación • Aplicarle condiciones personales en contratos en cotitularidad Estos tratamientos se realizan únicamente si usted nos ha dado el consentimiento para ello. Puede consultar y gestionar sus consentimientos en todo momento en esta Aplicación, en el apartado de Configuración y Mi Perfil. […] Información sobre el tratamiento de datos de geolocalización La información de geolocalización se captura en el momento en que el usuario realiza el login (o acceso) en la Aplicación, siempre que el usuario tenga activada la ubicación en su dispositivo. La información que se captura es la ubicación geográfica del dispositivo que está utilizando la Aplicación. La geolocalización se recoge por el dispositivo únicamente si esta activada en el dispositivo, y se puede configurar en todo momento accediendo a Ajustes>Geolocalización Esta Aplicación utiliza los datos de la geolocalización en los dispositivos móviles para las siguientes finalidades: […] Información sobre el uso de elementos recopilatorios de información de navegación y de hábitos de navegación Mediante el uso de SDK (Software Development Kit), esta Aplicación recoge y trata información de la navegación del usuario (por ejemplo, que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 navegación se realice sin errores, estadísticas de uso, qué pantallas y/o páginas visita, tipología de dispositivo utilizado) con la finalidad de ofrecer determinadas funcionalidades (mejora de la aplicación y sus funcionalidades o prevención del fraude en las operativas y también para mostrarle un contenido acorde a sus preferencias y hábitos de navegación, tanto dentro como fuera de la Aplicación. Para ofrecerle dicho contenido acorde a sus preferencias, se elaboran perfiles basados en su información de navegación, que pueden ser compartidos con terceros (por ejemplo, Google o Facebook) para que le muestren también fuera de la Aplicación productos y servicios de CaixaBank. Únicamente si nos ha dado su consentimiento para que tratemos sus datos con las siguientes finalidades: ○ para analizar sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle, y ○ para comunicarle la oferta comercial de productos y servicios por los canales que haya seleccionado utilizaremos su información de navegación (entre otros datos suyos) para configurarle o diseñarle una oferta de productos y servicios ajustados a sus preferencias y hábitos de navegación y poner a su disposición la oferta comercial de productos y servicios del Grupo CaixaBank. Puede consultar y gestionar sus consentimientos en todo momento en el apartado de Configuración y Mi Perfil – Autorizaciones Comerciales. […]” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 28 de enero de 2021 y el 9 de marzo de 2021, se llevaron a cabo respectivamente, los traslados de dichas reclamaciones a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La entidad reclamada da respuesta a ambos traslados, indicando lo siguiente: CaixaBank ha procedido recientemente a incorporar un procedimiento de autenticación reforzada, consistente en verificar las operaciones de pago online realizadas por nuestros clientes a través de la banca digital de CaixaBankNow (accesible tanto en la aplicación móvil CaixaBankNow com en la web CaixaBankNow). Mediante el citado procedimiento, CaixaBank verifica dos de los tres factores de conocimiento (1/ algo que sólo conoce el cliente: contraseña o password, y 2/ algo que sólo posee el cliente: un teléfono móvil o un ordenador), ello a través de la banca digital de CaixaBankNow; además, para reforzar el procedimiento de verificación, una vez el cliente entra en la banca digital de CaixaBankNow para confirmar la operación, CaixaBank le informa sobre el importe de la compra y los datos del comercio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 (transacciones electrónicas de compra online con tarjeta), para la oportuna comprobación que los datos son los correctos, de manera previa a la completa finalización de la operación. Este es un hecho objetivo recogido y publicitado incluso por el Banco de España en su Portal del Cliente Bancario (clientebancario.bde.es), en el que informa de esta circunstancia en los siguientes términos: “Autenticación reforzada para luchar contra el fraude en el comercio electrónico (05/01/2021) Es posible que durante estos días hayas recibido una comunicación de tu banco relacionada con los pagos por internet y no sepas bien a qué se debe. La razón es que a partir del 1 de enero las entidades, los comercios y los consumidores que realicen operaciones a través de medios electrónicos deben adaptarse a los mecanismos que la regulación europea de servicios de pagos establece para reforzar la seguridad, la transparencia y la eficiencia de los servicios de este tipo de pagos. Estas medidas son la autenticación reforzada, a la que ya se estaban adaptando la mayoría de las entidades. La autenticación reforzada trata de asegurar la identidad de quien paga. Así cuando realices compras con un comercio que opere en internet desde la Unión Europea, deberás identificarte con al menos dos elementos a elegir entre:  Algo que sabes, como una contraseña  Algo que tiente, como un teléfono móvil  Algo únicamente tuyo, como tu huella dactilar o el reconocimiento facial” TERCERO: Con fecha 22 de marzo de 2021, y 12 de mayo de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite ambas reclamaciones presentadas por el reclamante 1 y el reclamante 2. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 22 de noviembre de 2021 se comprueba que: En la política de privacidad de la aplicación de Caixabank ubicada en: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 ***URL.1 consta lo siguiente: “[…] 7. Modificación Las presentes Condiciones podrán ser modificadas por CaixaBank en cualquier momento, sin necesidad de preaviso o de notificación al Usuario. Las presentes condiciones se mostrarán al Usuario a través de la Aplicación para su aceptación. SI Usted no está de acuerdo, puede desinstalar la Aplicación. […] La geolocalización se recoge por el dispositivo únicamente si esta activada en el dispositivo, y se puede configurar en todo momento accediendo a Ajustes>Geolocalización Esta Aplicación utiliza los datos de la geolocalización en los dispositivos móviles para las siguientes finalidades: • Tratamiento basado en su consentimiento. Únicamente si nos ha dado su consentimiento para que tratemos sus datos con las siguientes finalidades: Para analizar sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle, y para comunicarle la oferta comercial de productos y servicios por los canales que haya seleccionado. […] Puede consultar y gestionar sus consentimientos en todo momento en esta Aplicación, en el apartado de Configuración y Mi Perfil — Autorizaciones Comerciales. […] Información sobre el uso de elementos recopilatorios de información de navegación y de hábitos de navegación. […] Únicamente si nos ha dado su consentimiento para que tratemos sus datos con las siguientes finalidades: Para analizar sus datos para la elaboración de perfiles que nos ayuden a ofrecerle productos que creemos que pueden interesarle, y para comunicarle la oferta comercial de productos y servicios por los canales que haya seleccionado utilizaremos su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 información de navegación (entre otros datos suyos) para configurarle o diseñarle una oferta de productos y servicios ajustados a sus preferencias y hábitos de navegación y poner a su disposición la oferta comercial de productos y servicios del Grupo CaixaBank. […]” Con fecha 20/12/2021, CAIXABANK S.A. remite a esta Agencia la siguiente información y manifestaciones: 1. Que en relación a los permisos concedidos a la aplicación sobre el acceso a recursos y datos del dispositivo, manifiesta y aporta las siguientes capturas de pantalla: a. Durante el proceso de descarga, instalación y primera ejecución de la aplicación en versión Android 5.1 o anterior: i. Consta una pantalla con información sobre los permisos que requiere la aplicación. ii. En relación al permiso de geolocalización, aporta capturas de pantalla donde una pantalla con el texto: “¿Nos permites acceder a tu geolocalización? El permiso de ubicación solo lo utilizamos si autorizas a la aplicación, y nos permites acceder a los datos de geolocalización para: […] Los datos de ubicación solo se recogen si la geolocalización está activada en el dispositivo, […]. Este permiso se puede configurar en todo momento desde tu teléfono accediendo a Ajustes>Geolocalización.” Y consta un único botón de “Continuar”. b. Durante el proceso de descarga, instalación y primera ejecución de la aplicación en versión Android 6 o posterior: i. En relación al permiso de geolocalización, aporta capturas de pantalla donde consta que consta una pantalla con el texto: “¿Quieres permitir que CaixaBankNow acceda a la ubicación de ese dispositivo?”. Y consta un botón de “Denegar” y otro de “Permitir”. Y consta un único botón de “Continuar”. c. Para el sistema operativo Android y cualquier versión, se aporta captura de pantalla donde consta la forma de revocar los permisos al acceso a recursos y datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 del dispositivo desde Ajustes del dispositivo, siendo éstos “Almacén”, “Cámara”, “Contactos”, “Micrófono”, “Teléfono”, “Ubicación”. d. Durante el proceso de descarga, instalación y primera ejecución de la aplicación en sistema operativo iOS: i. En relación al permiso de geolocalización, aporta capturas de pantalla donde consta que consta una pantalla con el texto: “¿Permitir que la app CaixaBank use tu ubicación? Conociendo tu ubicación podremos protegerte frente posibles fraudes desde cualquier lugar”. Y consta un botón de “Permitir una vez” , otro de “Permitir al usarse la app” y otro de “No permitir”. Y consta un único botón de “Continuar”. e. Para el sistema operativo iOS, se aporta captura de pantalla donde consta la forma de revocar consentimientos al acceso a recursos y datos del dispositivo, siendo éstos “Localización”, “Cámara”, “Contactos”, “Micrófono”, “Fotos”, “Datos móviles”, entre otros. f. Que en la versión Android 5.1. o anterior, el usuario no puede en tiempo de descarga e instalación aceptar o denegar de manera individualizada los permisos a los recursos que la app puede llegar a utilizar. Que el propio sistema operativo no tiene habilitada dicha acción. g. Que en la versión Android 6 o posterior y en dispositivos iOS los permisos siempre se solicitan de manera previa a la utilización del recurso. Los permisos se solicitan cuando el usuario va a utilizar una funcionalidad de la misma que requiere el acceso al recurso. Por tanto, no se solicitan en tiempo de descarga. Aporta capturas de pantalla donde consta la petición individualizada de permiso a recursos como ubicación, grabación de audio y video, fotos y archivos, audio, contactos, ubicación para dispositivos Android y permisos de cámara, fotos, micrófono, reconocimiento de voz, contactos, calendario para el caso de dispositivos iOS. h. Que los permisos de acceso a recursos, incluida la ubicación, se solicitan con finalidad de ejecución contractual y no afectan a los tratamientos basados en consentimiento, con la excepción del permiso de ubicación, el cual, aunque se conceda, no se tratará con finalidad comercial, si no se ha consentido al tratamiento con finalidad comercial. 2. En relación a la forma de otorgar consentimientos y a la forma de revocarlos, manifiesta y aporta las siguientes capturas de pantalla: a. Que la aplicación Now no es un canal para el alta de clientes y por tanto el usuario que se descarga la aplicación, ya es cliente y ya ha pasado por el proceso de captación de consentimientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 b. Que desde la aplicación sí se pueden modificar o revocar los consentimientos otorgados por otros canales. Aporta capturas de pantalla donde consta la forma de modificar los consentimientos relativos a los tratamientos de actividad comercial siguientes: “Analizar tus datos para la elaboración de perfiles que nos ayuden a ofrecerte productos que creemos que pueden interesarte” “Oferta comercial de productos y servicios por los canales seleccionados” “Cesión de datos a empresas que no forman parte del grupo CaixaBank” 3. Que en relación al tratamiento de datos de navegación, e instalación de a. Se aportan capturas de pantalla de la aplicación en versión iOS donde consta que en el proceso de descarga, instalación y hasta la primera ejecución de la aplicación incluida, consta exclusivamente una mensaje informativo con el texto: “Información. Tus datos y privacidad son nuestra prioridad. Por eso, queremos explicarte que, para que sigas disfrutando de una experiencia personalizada con CaixBank y poder personalizar nuestras ofertas y publicidad incluso fuera de la aplicación, necesitamos elaborar perfiles basados en tu información y hábitos de navegación y compartimos con los terceros que muestren nuestras ofertas. También puedes modificar la configuración en cualquier momento accediendo a ‘Configuración’ dentro de mi perfil. Más información. Puedes modificar la configuración en cualquier momento accediendo aquí, así como obtener más detalles acerca de con quién compartimos información pulsando aquí.” Asimismo, consta un único botón de “Seguir navegando”. b. Se aportan capturas de pantalla de la aplicación en versión Android donde consta que, en el proceso de descarga, instalación y hasta la primera ejecución de la aplicación incluida, consta exclusivamente un mensaje informativo con el texto: “Información. Tus datos y privacidad son nuestra prioridad. Por eso, queremos explicarte que, para que sigas disfrutando de una experiencia personalizada con CaixaBank y poder personalizar nuestras ofertas y publicidad incluso fuera de la aplicación, necesitamos elaborar perfiles basados en tu información y hábitos de navegación y compartimos con los terceros que muestren nuestras ofertas. Más información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 Puedes modificar la configuración en cualquier momento accediendo aquí, así como obtener más detalles acerca de con quién compartimos información pulsando aquí.” Asimismo, consta un único botón de “Seguir navegando”. c. Se puede modificar el permiso para el tratamiento de datos de navegación e instalación de cookies desde el espacio de Configuración y Mi Perfil de la aplicación. Aporta capturas de pantalla de la aplicación donde consta un botón “Limitar seguimiento” que puede estar seleccionado o no y donde consta el texto informativo: “Si activas esta opción, podrías seguir recibiendo anuncios nuestros pero no estarán basados en tus intereses y navegación. Puedes optar por dejar de tener la mejor experiencia con anuncios personalizados fuera de la aplicación CaixaBank”. Adicionalmente, solo en dispositivos iOS, existe otra opción dentro del sistema operativo “Permitir rastreo”. d. Que no tratan datos de navegación si no se ha consentido el tratamiento de datos con finalidades comerciales, aunque se haya dado permiso para el seguimiento de navegación. FUNDAMENTOS DE DERECHO I De acuerdo con las funciones que el artículo 57.1 a),
8. f)y
9. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II En relación con las condiciones para el consentimiento, el artículo 7 del RGPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato." III En relación con la licitud del tratamiento de datos personales, el artículo 6.1 del RGPD establece lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 Lo dispuesto en la letra
16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En segundo lugar, el artículo 13 del RGPD en relación a la información que deberá facilitarse cuando los datos personales se obtengan del interesado, establece lo siguiente: “Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
17. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
18. b)los datos de contacto del delegado de protección de datos, en su caso;
19. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
20. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
21. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
22. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.” IV En el presente supuesto se presentan dos reclamaciones relativas a la aplicación de la entidad reclamada, alegando que mediante dicha aplicación se pretende acceder a datos que exceden de los necesarios para la operativa bancaria habitual. Además se indica también que la política de privacidad no se ajusta a la normativa de protección de datos. En este sentido ha de indicarse en primer lugar que, teniendo en cuenta la documentación e información aportada por la entidad reclamada, no se considera acreditado ningún incumplimiento en relación con la obtención de un consentimiento específico para cada tipo de tratamiento, tras incorporar dicha entidad un procedimiento de autenticación reforzada. Dicho procedimiento consiste en requerir a cada cliente que acceda a la aplicación mediante contraseña o password, y un teléfono móvil o un ordenador, siendo su seguridad reforzada con un segundo procedimiento de verificación, al ser informado sobre el importe de la compra y los datos del comercio, con carácter previo a que la operación finalice. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 En segundo lugar, tampoco se ha constatado, en relación con los aspectos reclamados, relativos a la política de privacidad que esta no sea acorde a lo establecido en la normativa de protección de datos de conformidad con el artículo 13 del RGPD, indicado en el fundamento de derecho III, tal y como se constata siguiendo este enlace ***URL.2. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción por parte de la entidad reclamada, en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante 1, reclamante 2 y CAIXABANK S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
23. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 ANEXO RECLAMANTE 1- A.A.A.  DNI - ***NIF.1  C/ ***DIRECCIÓN.1  ***EMAIL.1  ***TELÉFONO.1 RECLAMANTE 2- B.B.B. C/ Jorge Juan, 6 28001 – Madrid  DNI - ***NIF.2  C/ ***DIRECCIÓN.2  ***EMAIL.2  ***TELÉFONO.2 www.aepd.es sedeagpd.gob.es