1/7 Procedimiento Nº: E/03496/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 21 de diciembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra SIFT SCIENCE INC., (en adelante, el reclamado). El reclamante manifiesta que Intentó ejercer su derecho de acceso ante el reclamado, pero no lo logro, dado que al intentar de ejercerlo le surgieron bastantes problemas. Añade que el reclamado le declaró que la única manera de comprobar su identidad es cargar copias de su documento de identidad y una foto actual de su cara a través de una tercera parte, Berbix.com, indicando que responderían dentro de un plazo "normal" de 90 días, actualmente extendido hasta 150 días por razón de la carga de peticiones de ejercicio de derecho de acceso. Por otro lado, la única manera posible de enviar la comprobación de identidad a Berbix exige instalar un app móvil. El reclamante envió un correo electrónico a Sift, adjuntando un scan de su documento de identidad y lo rechazaron puesto que no se había realizado a través de Berbix. El afectado indica que instaló la app móvil de Berbix, pero al intentar cargar los scans de su documento de identidad, la app móvil de Berbix la rechazó. Le exigió hacer una nueva foto y la aceptó, pero unas dos o tres semanas después cuando (el 4/12/2019) recibió un correo electrónico de Sift diciendo que "We have been unable to validate your identity". En ese último correo electrónico de Sift, aparece el enlace: https://verify.berbix.com/v0/h/sift/CIACXQ6O .. para continuar/ intentar de nuevo el proceso de cargar copia del documento de identidad. A pinchar en este enlace, recibí el error: 400 Bad Request. Error: We could not verify the authenticity of your request. It appears that you might be using Brave Browser or a browser extension that rewrites HTTP headers. Disable Brave's Shield or your extension, and please try again. Reason: referer blocked SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 adelante LOPDGDD), con número de referencia E/00914/2020, se dio traslado de dicha reclamación al reclamado, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 31 de marzo de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: El reclamado ofrece servicios de detección y prevención de fraudes a empresas en línea, como plataformas de comercio electrónico. Su objetivo es hacer de Internet un lugar más seguro para que sus clientes, y usuarios, puedan interactuar y realizar transacciones de forma más segura. En la prestación de sus servicios, el reclamado actúa como responsable del tratamiento de los datos personales que procesa y responde a las solicitudes de acceso de conformidad con sus obligaciones en virtud del Reglamento General de Protección de Datos (RGPD) y la legislación aplicable. 1. Explicación del proceso de las solicitudes de acceso a los datos del reclamado. Como se explica en el Aviso de privacidad del servicio (publicado en el sitio web: www.sift.com/service-privacy), se ofrece un medio de ejercer el derecho de los interesados a acceder a los datos personales. Los interesados pueden solicitar el acceso a sus datos enviando un correo electrónico a privacy@sift.com. La entidad ha establecido una política escrita de gestión de las solicitudes de derechos de los interesados para atender debidamente dichas solicitudes. La mayoría de las solicitudes son atendidas por el equipo de atención al cliente del reclamado, mientras que las solicitudes más complejas son remitidas al departamento jurídico. Cuando se recibe una solicitud de acceso de un interesado, el reclamado envía un mensaje al interesado acusando recibo de la solicitud. Si el interesado confirma que es residente del EEE, Reino Unido o Suiza, el reclamado envía otro correo electrónico pidiéndole que complete un proceso de verificación de identidad (ID) a través de su proveedor de servicios externo, Berbix, Inc. Este correo electrónico incluye un enlace de verificación único para cada solicitud. A efectos de verificación de ID adicional, requieren que el interesado envíe un correo electrónico al reclamado desde la dirección de correo electrónico sobre la que está realizando la consulta. Si el interesado no completa el proceso de verificación de ID, el reclamado le avisa por correo electrónico y le da la oportunidad de volver a intentarlo. El enlace único es válido durante treinta
(30)días. Si el interesado completa con éxito el proceso de verificación de ID, el reclamado procesará la solicitud. Una vez que Sift haya buscado y cotejado los datos personales del solicitante, Sift envía por correo electrónico al interesado una copia de los datos proporcionando un enlace único a un archivo dentro de la cuenta segura de Dropbox del reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Por motivos de seguridad, el archivo de datos es cifrado y puesto a disposición durante catorce
(14)días. 2. El tiempo de respuesta a las solicitudes. El proceso de solicitudes está diseñado para asegurar que responden a las solicitudes de manera oportuna y cumplen con sus obligaciones en virtud del RGPD y la legislación aplicable. Envían un acuse de recibo inicial de la solicitud al interesado en el plazo de un
(1)día hábil y procuran dar una respuesta completa en el plazo de treinta
(30)días. 3. El papel de los terceros en el proceso de solicitudes. A fin de garantizar que las solicitudes se gestionen de manera segura y oportuna, el reclamado utiliza tres proveedores de servicios en el proceso de solicitudes de derechos. Zendesk, Inc., que es una plataforma de venta de entradas, para que puedan seguir, gestionar y procesar adecuadamente las solicitudes. Cuando un interesado envía un correo electrónico a privacy@sift.com, se crea automáticamente un ticket dentro de Zendesk. Dropbox, Inc. para entregar de forma segura una copia de los datos al interesado. Berbix, Inc., un servicio de verificación de ID de terceros, para verificar la identidad de los interesados. El reclamado no tiene una relación directa con los interesados, ya que éstos son usuarios de sus clientes. Por lo tanto, no pueden implementar métodos de verificación basados en exigir al interesado que se registre en su plataforma. Anteriormente utilizan métodos manuales para verificar las solicitudes de los interesados. Sin embargo, debido a la necesidad de evitar las solicitudes fraudulentas y al aumento significativo del número de solicitudes decidieron utilizar un proveedor de servicios de terceros para la verificación de la identidad. Dado que el reclamado ofrece servicios de detección y prevención de fraudes en línea, están familiarizados con los métodos que los estafadores pueden utilizar para hacerse pasar por otro interesado con el fin de presentar solicitudes fraudulentas, como el uso de documentos de identificación falsos o la descarga de imágenes estáticas de perfiles de redes sociales. Utilizando Berbix, pueden asegurar de que el interesado es quién afirma ser y no está usando credenciales robadas. Berbix tiene experiencia en la verificación de la legitimidad de muchos tipos de formularios de identificación emitidos por el gobierno. Además, el uso de Berbix les permite responder a un gran volumen de solicitudes de manera oportuna y limita la cantidad de datos personales que el reclamado recopila y procesa (en la actualidad direcciones de correo electrónico de los interesados, y determinados datos en línea y de transacciones). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Como parte del proceso de verificación de Berbix, los interesados toman una fotografía de su documento de identidad con fotografía expedido por el gobierno en el enlace web de Berbix y proporcionan dos “selfis”. Berbix utiliza estos datos únicamente para validar la identidad y procesar la solicitud, sin ningún otro propósito. Los datos se borran catorce
(14)días después de su tratamiento (para brindar más tiempo para las consultas de los clientes o para la resolución de problemas). Una vez que el interesado ha verificado satisfactoriamente su identidad, Berbix lo notifica y confirma el país de emisión del documento de identidad del interesado (para poder asegurar de que tramitan la solicitud de forma adecuada y de acuerdo con las obligaciones legales).
- Explicación de las medidas adoptadas para atender la solicitud del reclamante. Medidas adoptadas inicialmente El reclamante presentó una solicitud de acceso al reclamado el 10 de noviembre de
- Respondieron a la solicitud del reclamante el mismo día, para acusar recibo de la solicitud y proporcionar más información acerca de quiénes son y cómo gestionarían su solicitud. Como con todas las solicitudes de acceso a los datos que se reciben, también se envió al reclamante un enlace al Aviso de privacidad del servicio del reclamado que establece más información sobre los servicios ofrecidos y prácticas de tratamiento de datos. El 16 de noviembre de 2019, se pusieron en contacto con el reclamante para solicitarle que verificara su identidad mediante el proceso estándar de verificación de identidad por medio de Berbix. El mismo día, el reclamante respondió que estaba teniendo dificultades para verificar su identidad a través de Berbix y adjuntó una copia de su documento de identidad. No obstante el reclamado no verifica por si misma la identidad de los interesados ni acepta documentos de identificación al margen del proceso habitual. El 19 de noviembre de 2019, respondieron con sugerencias sobre la forma en que el reclamante podría verificar su identidad utilizando Berbix y explicaron que su información de verificación se trataría de forma segura y conveniente. De los interesados que han abierto el enlace único de Berbix, el 94,74 % ha completado con éxito el proceso de verificación; por lo tanto, se sospecha que se trata de un caso de fraude si un interesado no está dispuesto a colaborar con el reclamado en la utilización del servicio. No recibieron respuesta del reclamante, por lo que, el 13 de diciembre de 2019, volvieron a escribirle para informarle de que no habían podido validar su identidad y darle otra oportunidad de utilizar Berbix. No recibieron más correspondencia sobre este asunto hasta que recibieron el requerimiento de información de la Agencia Española de Protección de Datos en fecha 1 de junio de
- Medidas adoptadas desde el 1 de junio de 2020 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Al conocer la reclamación del reclamante a la AEPD, el departamento jurídico realizó una revisión de la solicitud del reclamante. Según la información proporcionada, han verificado con éxito la identidad del reclamante y le han dado acceso a sus datos. En consecuencia, enviaron un escrito al reclamante el 8 de junio de 2020 para explicarle los pasos que tendría que dar para acceder y descargar una copia de los datos. Según indican los representantes de la entidad han emprendido una investigación interna exhaustiva sobre este asunto y están en proceso de actualizar el proceso habitual de respuesta para garantizar que cualquier solicitud realizada fuera del procedimiento habitual de verificación se remita rápidamente al departamento jurídico del reclamado para determinar el curso de acción más adecuado. En esta ocasión, el equipo de atención al cliente siguió el proceso estándar al exigir que el reclamante utilizara el servicio de verificación de terceros, pero consideran que puede ser necesario adoptar un enfoque más flexible cuando las personas experimenten dificultades técnicas al utilizar el servicio o proporcionen suficiente información de identificación fuera del proceso estándar. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra el reclamado, por una presunta vulneración del artículo 13 de la LOPDGDD que establece que el derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del RGPD. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de la misma, a la entidad reclamada para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se solicitó al reclamado copia de la comunicación remitida por la misma al reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Por otro lado, se acusó recibo de la reclamación presentada por el reclamante, informándole además de su traslado a la entidad reclamada y del requerimiento hecho a ésta para que en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Una vez analizadas las razones expuestas por el reclamado, que obran en el expediente, se ha constatado que el 8 de junio de este año contestó la citada entidad al reclamante, en relación con su petición del ejercicio del derecho de acceso. Y, a estos efectos, realizaron una revisión de su solicitud y, le dieron acceso a sus datos. En consecuencia, le indicaron los pasos que tenía que dar para acceder y descargar una copia de sus datos. A mayor abundamiento, manifiestan los representantes de la entidad que han emprendido una investigación interna exhaustiva sobre este asunto y están en proceso de actualizar el proceso habitual de respuesta para garantizar que cualquier solicitud realizada fuera del procedimiento habitual de verificación se remita rápidamente al departamento jurídico del reclamado para determinar el curso de acción más adecuado. Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, al haberse resuelto la reclamación presentada. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es