E-04251-2020

1/6  Procedimiento Nº: E/04251/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A. (en adelante, la reclamante) tiene entrada con fecha 8 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO SANTANDER, S.A., con NIF A39000013 (en adelante, el reclamado). La reclamante manifiesta, que el reclamado le ha abierto una cuenta bancaría la denominada 123 sin su conocimiento ni autorización. Que sus datos los ha obtenido de otra cuenta que tiene en la misma entidad bancaria. Añade, que el número de cuenta bancaria que han abierto sin su autorización es la ***CUENTA.1 y el número de tarjeta debito asociada a esta cuenta es la ***TARJETA.1, y que desde el mes de julio está sufriendo, entre otros, problemas como bloqueo del dinero, movimientos de dinero de su tarjeta de crédito a su cuenta con la consiguiente generación de comisiones. Señala, que ha interpuesto varias reclamaciones, aún sin resolver. Aporta copia de documento con logotipo del reclamado del 10 de septiembre de 2019 con los números de sus cuentas personales y tarjetas de débito a nombre de la reclamante donde constan, entre otras, la cuenta 123 y tarjeta asociada abiertas sin su autorización. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: El 13 de enero de 2020, el reclamado manifiesta: 1.Que no tienen constancia de haberse formulado reclamación alguna por la reclamante. 2.Que se suscribió un contrato de cuenta corriente y tarjeta de débito oro 1,2,3 a nombre de la reclamante con fecha 28 de julio de 2019 a las 15:54h desde el canal internet. Aporta copia de correo electrónico de dicha contratación: “La contratación se realizó el domingo 28 de julio de 2019 a las 15:54 horas desde el canal internet” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Aporta copia de contrato nº ***CONTRATO.1 por la cuenta 1 2 3 y tarjeta débito oro 123 a nombre del reclamante fechado a 28 de julio de

1. 3.Que no consta que la reclamante haya formulado denuncia alguna ante la autoridad competente poniendo de manifiesto la sustracción de sus claves de banca electrónica. 4.Que, si como señala la reclamante, ella no ha dado su consentimiento a ese contrato, ello solo puede ser consecuencia de que alguien haya accedido con sus claves de la banca electrónica, cuya custodia es de su responsabilidad. 5.Que en relación con los movimientos que manifiesta la reclamante se han producido en sus cuentas sin su consentimiento, el reclamado es igualmente ajeno a los mismos y resultan de una operativa de la reclamante o quien actúe por ella. Que recibió comunicación de una entidad financiera donde esta entidad solicita la retención de fondos en cuenta de la reclamante para cubrir un perjuicio que denunciaba, lo que no se llegó a producir ante la inexistencia de fondos en su cuenta. Se aporta copia de correo electrónico de fecha 22 de noviembre de 2019 remitido por “Compensación-Factoría de Transformación de Operaciones y Servicios” dirigido a ***EMAIL.1 con el asunto “OPERACIONES FRAUDULENTAS” donde se manifiesta: a. Que entre el 17 de septiembre de 2019 y el 21 de octubre de 2019 se abonaron en la cuenta de su entidad de la clienta un número elevado de remesas de recibos de titulares distintos (entre ellas la propia clienta y empresas de su socio), b. Que la clienta ha dispuesto de parte de los fondos y a partir del 5 de noviembre de 2019 han llegado devueltos todos los recibos generándose un descubierto. c. Que parte de los fondos han sido dispuestos por transferencia a su entidad, siendo el beneficiario la propia clienta. d. Que se trata de una operación presuntamente fraudulenta y que los fondos han sido dispuestos por transferencia, solicitan la retención de fondos. e. Consta en el texto del correo electrónico que la cuenta ordenante es la ***CUENTA.2 y la cuenta beneficiaria es una cuenta de la reclamante en BANCO SANTANDER distinta a la cuenta que está siendo reclamada. Con fecha 19/06/2020, el reclamado, remite a esta Agencia la siguiente información y manifestaciones: 1.Que se aporta procedimiento de contratación de cuenta y tarjeta 123 por canal internet incluyendo autenticación inicial de usuario y firma electrónica del contrato. Se aporta el procedimiento general simulado de contratación de cuenta más tarjeta de débito en el que consta al final de la contratación la necesidad de introducir 4 posiciones de la firma electrónica. Se aporta copia de “Contrato Cuenta 123 y Tarjeta débito oro 123” a nombre de la reclamante y fechado a 28/07/2019 en relación al número de cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 ***CUENTA.1 y con número de contrato nº ***CONTRATO.
2. En el contrato consta una marca de agua con el texto “Documento firmado electrónicamente”. 2.Que la autenticación de usuario en banca digital consta en la solicitud del NIF y clave de acceso, que es personal e intransferible, y que para la contratación se solicita 4 posiciones de la firma electrónica, la cual también es personal e intransferible. 3.Que la contratación se realizó con fecha 28/07/2019 a las 15:
3. Se aporta captura de pantalla donde consta el nombre y apellidos de la reclamante junto a su número de DNI, en el campo “Número persona” el código ***CÓDIGO.1, en el campo “NRO.CONTRATO” el número ***CONTRATO.1, en el campo “FECHA ALTA” la fecha 28/07/2019 y consta asimismo el código “***CÓDIGO.2” que según manifiestan corresponde al canal internet. Se aporta captura de pantalla donde consta asociado al código ***CÓDIGO.1, según manifiestan, la fecha 28/07/2019 y la operación, entre otras, con nombre “Se ha visto Alta de cuenta” a las 3:54 PM. 4.Que la contratación de la cuenta se realizó con fecha 28/07/2019 a las 15:54 h y desde la IP ***IP.
4. 5.Que en el periodo desde julio a noviembre de 2019 se aportan las direcciones IP origen, fechas y horas desde la que se accedió al canal internet autenticado como la reclamante, detallando operaciones realizadas. Se aporta listado para el cliente con código ***CÓDIGO.1 donde consta una tabla con, entre otras, las columnas de fecha y hora, cliente (***CÓDIGO.1), y dirección IP entre las fechas 01/07/2019 hasta la fecha 29/11/
5. Que consta en relación con la fecha 28/07/2019 varias ocurrencias de la IP ***IP.1 a las horas 12:38:38, 15:44:54, 15:45:12, 15:49:57, 16:02:10, entre otras. Que la IP citada consta asimismo con anterioridad a la fecha 28/07/2019, en las fechas 11/07/2019, 21/07/2019, 25/07/2019, 26/07/2019, 27/07/
6. Se aporta fichero de operaciones donde consta el número cliente ***CÓDIGO.1 y donde constan diversas fechas, direcciones IPS y diversos importes solicitados. Que la cuenta no ha tenido ningún movimiento y la tarjeta, que se dio de alta con fecha 01/08/2019, tampoco ha tenido movimientos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “
7. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV En el presente caso, la reclamante presenta reclamación contra el reclamado, por una presunta vulneración del artículo 6 del RGPD en relación con la licitud del tratamiento de sus datos personales porque se han utilizado sus datos personales sin su consentimiento para la contratación de una cuenta bancaria. De la documentación obrante en el expediente se desprende ausencia del elemento subjetivo de culpabilidad necesario en la actuación del reclamado para ejercer la potestad sancionadora. En este sentido, el reclamado acredita la contratación de la cuenta bancaria, por parte de la reclamante, aportando el contrato de cuenta y tarjeta 123 por canal internet incluyendo autenticación inicial de usuario y firma electrónica del contrato. Todas estas actuaciones indican el cumplimiento de una diligencia razonable por parte del reclamado. En consecuencia, procede el archivo de las presentes actuaciones previas de investigación al no advertir incumplimiento alguno de la normativa de protección de datos, puesto que los hechos constatados no evidencian conducta subsumible en el catálogo de infracciones previstas y sancionadas en dicha normativa. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es