E-04887-2013

1/7 Expediente Nº: E/04887/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ING DIRECT NV SUCURSAL EN ESPAÑA en virtud de una denuncia presentada por Dª. D.D.D. y en base a los siguientes HECHOS PRIMERO: Con fecha de 16 de mayo de 2013 tiene entrada en esta Agencia un escrito de Dª D.D.D. (en adelante la denunciante) en el que declara que su hija menor de edad está recibiendo mensajes en su teléfono móvil procedentes de ING DIRECT NV, SUCURSAL EN ESPAÑA (en adelante ING DIRECT ) y destinados a otra persona. Indica que ha comunicado este hecho varias veces por teléfono y por correo electrónico a la entidad. Aporta copia de los mensajes recibidos, en los que se reflejan compras realizadas mediante tarjeta de crédito y retiradas de efectivo de cajeros. También aporta copia del correo electrónico remitido a la entidad donde pone de manifiesto el problema y el acuse de recibo del mismo que le fue emitido por ING DIRECT. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: • Se ha solicitado a ING DIRECT documentación acreditativa del origen del número de teléfono donde se reciben los mensajes, aportando esta entidad copia de un formulario de alta de interviniente en cuenta, de fecha 17/01/2007, donde figura dicho número de teléfono como teléfono de contacto de un determinado cliente. • Los representantes de ING DIRECT han manifestado además, a las cuestiones planteadas por esta Agencia, lo siguiente: “Por lo que se refiere a la gestión de los datos personales de los clientes y de conformidad con lo pactado en el Contrato de Prestación de Servicios aceptado por todos los clientes de ING DIRECT como condición necesaria para operar con esta Entidad, procede señalar, con carácter previo a la contestación de la primera de las consultas formuladas por la Agencia que todos los clientes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 ING DIRECT han aceptado la obligación contenida en la estipulación 8 del citado contrato (que se adjunta como documento número 2 de este escrito) que determina literalmente: Los Intervinientes se comprometen a que todos los datos personales que faciliten a ING DIRECT durante su relación contractual y comercial serán correctos, completos, exactos y puestos al día y que en todo momento responderán a su situación actual. De este modo, los Intervinientes se obligan a comunicar a ING DIRECT cualquier modificación en sus datos personales con carácter inmediato. En especial, los Intervinientes se comprometen a comunicar de forma inmediata a ING DIRECT cualquier cambio en su domicilio, dirección de correo electrónico y teléfonos de contacto, de forma que los citados datos figuren permanentemente actualizados en los ficheros de ING DIRECT Teniendo en cuenta lo anterior y en tanto no se notifique un cambio en los mencionados datos, los Intervinientes aceptan la plena validez y eficacia de cualquier notificación remitida por ING DIRECT a la dirección física o electrónica o al teléfono del Interviniente que figure en los ficheros del Banco.(...) Los Intervinientes autorizan que ING DIRECT utilice su número de teléfono móvil y su correo electrónico para informarles puntualmente sobre cualquier aspecto relacionado con sus productos financieros. De esta manera, en la operativa de ING DIRECT, existe una presunción de calidad y de que los datos de carácter personal suministrados por los clientes son exactos y actualizados y responden con veracidad a la situación actual del afectado que solo puede ser enervada cuando existan pruebas justificadas de su incorrección. Sólo en ese caso y aún sin contar con el consentimiento del propio cliente que, en su día, facilitó el número de móvil E.E.E., se ha podido proceder a la modificación del dato personal, un vez que en esta Entidad se ha recibido la documentación suficiente acreditativa del error y en la confianza de la identificación del denunciante que habrá hecho preceptivamente esta Agencia ya que dicha identificación nunca se ha realizado ante esta entidad, puesto que D D.D.D. ni es cliente ni aportó dato de identidad en sus comunicaciones. Con fecha de 15 de enero de 2014, a la vista de la denuncia interpuesta ante la Agencia Española de Protección de Datos y a fin de solucionar interinamente el incidente, mientras se verificaba con la clienta afectada, Dña. A.A.A., la veracidad de sus datos asociados, se procedió a dar de baja el teléfono E.E.E. de la base de datos REDSYS, para evitar que pudieran producirse nuevas comunicaciones a dicho número a la espera de realizarse la efectiva localización y el contacto con Dña. A.A.A..” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 • Aportan impresión de pantalla de los sistemas de información de la entidad donde se aprecia que ya no consta el número de teléfono en cuestión. Aportan también información sobre la corrección del número, indicando que se produjo un contacto con la clienta afectada el 16/01/2014 en el que confirmó que el número de teléfono en cuestión había dejado de ser de su titularidad y que, sin embargo, no había procedido a solicitar la baja del mismo. La clienta afectada procedió a dar de baja, a través de Internet, el teléfono móvil tanto en el sistema de alarmas de su tarjeta financiera como en los datos personales que constan en el área personal. • Sobre los contactos mantenidos con la entidad por la denunciante, así como las acciones emprendidas para corregir el error, los representantes de ING DIRECT han manifestado lo siguiente : “Respecto a la segunda de las cuestiones formuladas por la Agencia, es conveniente precisar que las comunicaciones con Dña. D.D.D. se han producido por teléfono y mediante correos electrónicos enviados por la denunciante al buzón de información general de ING DIRECT, sin que en ningún momento esta entidad haya podido tener certeza o prueba de la veracidad de los hechos ahora denunciados y de la identidad de la reclamante, al no figurar como cliente y no haber aportado documento identificativo suficiente. No obstante, y a pesar de que la reclamación no aportaba justificación suficiente del cambio de titularidad de respecto del número E.E.E. y de la identidad de la reclamante, esta Entidad solicitó a su dienta Dña. A.A.A. por los medios de comunicación habitualmente utilizados por ING DIRECT, que procediera — en cumplimiento de sus obligaciones contractuales — a actualizar sus datos personales, si ello fuera procedente. Lamentablemente, tras haber cursado de forma diligente por parte de ING DIRECT reiteradas comunicaciones con Dña. A.A.A. y a falta de prueba suficiente que pudiera enervar la presunción de veracidad de los datos suministrados por la dienta, esta Entidad no estaba legitimada para modificar el número móvil asociado a una tarjeta comercial sin el consentimiento de la dienta titular, no sólo por evidentes razones de seguridad en el uso de los medios de pago facilitados por ING DIRECT sino, sobre todo y precisamente, por una cuestión de protección de datos personales de Dña. A.A.A.. Solo tras la denuncia ante esta Agencia, en la confianza de que este organismo había identificado correctamente a la denunciante y a la vista de la nueva documentación aportada, esta Entidad ha estado en condiciones legítimas para actuar sobre el sistema de alertas de tarjetas del proveedor externo (REDSYS) de manera preventiva y supeditada a la comprobación de los hechos denunciados que específicamente se produjo el 16 de enero de

1. A continuación se detalla cronológicamente el registro de los contactos telefónicos y correos electrónicos de Dña. D.D.D. con ING DIRECT, así como de las acciones emprendidas por la Entidad como consecuencia de los mismos, de las que constan registros escritos: Con fecha 9 de enero de 2013 se recibió comunicación telefónica sin identificación veraz de la comunicante, informando que recibía erróneamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 SMS en un teléfono móvil presuntamente de su titularidad. Comprobada la reclamación, se verificó que el teléfono móvil indicado correspondía a la clienta Dña. A.A.A.. Con fecha 17 de enero de 2013 se abrió incidencia desde el Departamento de Calidad de ING DIRECT y se intentó localizar a la dienta asociada al número de teléfono en cuestión pero no resultó posible, por lo que se procedió a enviar un mail informativo al correo que figura en la base de datos: “Estimada Sra. A.A.A.: Le rogamos que actualice el número de teléfono móvil que nos ha facilitado. Puede hacerlo a través de su área personal en nuestra página web o telefónicamente llamando al teléfono de Atención al Cliente: 901****** .Reciba un cordial saludo, ING DIRECT Atención al cliente 901****************” Con fecha 26 de abril de 2013, Dña. D.D.D. se pone en contacto telefónico con el Servicio de Atención al Cliente informando de nuevo al citado Servicio de que está recibiendo mensajes de ING DIRECT en el teléfono móvil de su hija. En el trascurso de esta llamada, el gestor correspondiente informó a Dña. D.D.D. de que se iba a proceder a intentar localizar a la dienta en cuestión y solicitarle que modificase en su área personal el número de teléfono asociado a sus datos personales. Dicho gestor le informó además de que si el titular de los datos no los modificaba la Entidad no podía hacer nada. Con fecha de 26 de abril de 2013, el gestor encargado de ING DIRECT abrió nueva incidencia en el Sistema, registrando la llamada telefónica efectuada por Dña. D.D.D., y enviando una nueva alarma web al cliente: “ACTUALIZACIÓN DE DATOS DE CONTACTO Estimada Sra. A.A.A., Nos ponemos en contacto con usted para informarle que, tras realizar las verificaciones oportunas, hemos constatado que el número de teléfono móvil que consta actualmente asociado a sus datos es erróneo. Por favor, si aún no lo ha hecho, acceda a su área de clientes a través de www.ingdirect.es o Ilámenos al 901*****1, para actualizar sus datos de contacto. Reciba un cordial saludo, ING DIRECTc******” Con fecha 26 de abril 2013, ING DIRECT envió además un nuevo e-mail informativo a la dienta asociada al número de teléfono móvil, en el cual se le solicita la actualización de datos de contacto: “Estimada Sra. A.A.A., Nos ponemos en contacto con usted informarle de que, tras realizar las verificaciones oportunas, hemos constatado que el número de teléfono móvil que consta actualmente asociado a sus datos es erróneo. Por favor, si aún no lo ha hecho, acceda a su área de clientes a s de www.ingdirect.es o llámenos al 901*****1, para actualizar sus datos de contacto. Reciba un cordial saludo, ING DIRECTc******” Con fecha 16 de enero de 2014, ING DIRECT, tras varios intentos, se puso finalmente en contacto efectivo con la clienta a través del teléfono de D. C.C.C., (…) cotitular de sus cuentas. En dicha llamada se verificó el error en los datos de teléfono móvil y se le solicitó a la dienta la modificación y actualización de los mismos produciéndose la misma en los términos indicados en el apartado anterior de este escrito.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 4 de la Ley Orgánica 15/1999, referente a la “calidad de los datos”, dispone: “
2. Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
3. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos.
4. Los datos de carácter personal serán exactos y puestos al día de forma que responsan con veracidad a la situación actual del afectado.
5. Si los datos de carácter personal registrados resultaran ser inexactos, en todo o en parte, o incompletos, serán cancelados y sustituidos de oficio por los correspondientes datos rectificados o completados, sin perjuicio de las facultades que a los afectados reconoce el artículo
6. (…)”. (El subrayado es de la Agencia Española de Protección de Datos) Por su parte, el artículo 8.5 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, señala lo siguiente: “
7. Los datos de carácter personal serán exactos y puestos al día de forma que respondan con veracidad a la situación actual del afectado. Si los datos fueran recogidos directamente del afectado, se considerarán exactos los facilitados por éste.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 III En el supuesto que nos ocupa, la denunciante manifiesta que su hija menor de edad recibe mensajes con información sobre movimientos bancarios en su teléfono móvil procedentes de ING DIRECT destinados a un tercero. De las actuaciones previas de investigación practicadas por esta Agencia se ha podido comprobar que el teléfono móvil receptor de los mensajes consta como teléfono de contacto de una cliente de esta entidad, Dª A.A.A.. En concreto, se constata la existencia de un formulario de alta de interviniente en la cuenta nómina de dicha clienta, de fecha 17 de enero de 2007, en el que se incluye como cotitular a Dª A.A.A. con número de teléfono de contacto el E.E.E., motivo por el cual ING DIRECT remitía SMS sobre los movimiento bancarios a este teléfono. Por otro lado, la denunciante se puso en contacto con ING DIRECT para que procedieran a la cancelación de este dato (número de teléfono), no obstante no acreditó su identidad conforme a los requisitos establecidos en el artículo 25 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, ni aportó documentación que acreditara la titularidad sobre esta línea. En cualquier caso, ING intentó ponerse en contacto con la clienta, quien, finalmente, procedió a la corrección del número de línea. A la vista de las consideraciones precedentes debe concluirse que no existe en la actuación de ING DIRECT vulneración de la normativa en materia de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
8. PROCEDER AL ARCHIVO de las presentes actuaciones.
9. NOTIFICAR la presente Resolución a ESPAÑA y a Dª. D.D.D.. ING DIRECT NV SUCURSAL EN De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es