E-06669-2017

1/8 Expediente Nº: E/06669/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad WIZINK BANK, S.A., en virtud de la denuncia presentada por D.ª D.D.D. y en consideración a los siguientes, HECHOS PRIMERO: Con fecha 03/10/2017, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) un escrito de D.ª D.D.D., (en lo sucesivo la denunciante) en el que expone que WIZINK BANK, S.A., (en adelante, WIZINK o la denunciada) ha tratado sus datos personales sin su consentimiento vinculados a la emisión a su nombre de una tarjeta de crédito que no ha solicitado. Añade que el 20/09/2017 recibió una carta de WIZINK referente a una tarjeta de crédito que ella no había contratado, motivo por el que se puso en contacto telefónico con la entidad que no le ofreció una solución satisfactoria. Anexa copia de la siguiente documentación: - Su DNI. El domicilio que consta en este documento, el mismo que figura en su escrito de denuncia, es A.A.A.. - Carta de WIZINK, que lleva fecha de 04/09/2017 -la denunciante manifiesta que la recibió el 20/09/2017,- a su nombre y dirigida a la siguiente dirección postal: “***DIRECCIÓN.1”. El escrito incluye la indicación “Solicitud Nº de referencia ***REF.1” y el siguiente texto: “Te informamos que tu solicitud de tarjeta de crédito ha sido anulada porque estamos revisando otra a tu nombre. Pronto te confirmaremos si es aprobada”. Denuncia presentada por la denunciante en la Comandancia de la Guardia Civil de C.C.C. el 22/09/2017, relativa a los siguientes hechos: Que el 20/09/2017 recibe una carta del banco virtual Wizink Bank informándole de que anulan una solicitud de tarjeta de crédito debido a que están revisando otra solicitud a su nombre. Que en ningún momento ha solicitado una tarjeta de crédito a esa entidad financiera. Que se puso en contacto con la entidad para que anularan la tarjeta y le informaran de cómo había sido solicitada pero no obtuvo información ni tampoco cancelaron la solicitud de la tarjeta, indicando que esta gestión no podía hacerse telefónicamente - SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a realizar actuaciones de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 <<RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN 1. WIZINK manifiesta que la denunciante no es cliente de la entidad. - Aporta en prueba de lo manifestado una impresión de pantalla del “sistema de clientes” con el resultado obtenido tras efectuar búsqueda por el NIF M.M.M. del que es titular la denunciante. 2. WIZINK manifiesta que a nombre de la denunciante figuran dos “solicitudes” de tarjeta de crédito que se recibieron a través del canal internet. Indica que: - El 23/08/2017 se recibe una primera solicitud con datos personales que coinciden con los de la denunciante. Añade: “Se inicia proceso de contratación, pero no llega a ser firmada por la solicitante”. - El 01/09/2017 se recibe la segunda solicitud con los mismos datos que la primera. Esta solicitud se cancela por la entidad al encontrarse aún en proceso interno la primera solicitud. Se remite entonces a la denunciante la carta que adjunta a su denuncia. - Aporta en prueba de lo manifestado dos capturas de pantalla relativas a ambas solicitudes, de fecha 23/08/2017 y 01/09/2017 identificadas con las referencias, respectivamente, ***REF.1 y ***REF.2. En la documentación constan además del nombre, apellidos y NIF de la denunciante, los siguientes datos: *El número de hijos, “0” *Estado civil, “s” * Año y mes desde el que reside en la vivienda, “2015” y “5” * El teléfono particular fijo, “ K.K.K.” * El teléfono particular móvil, “ L.L.L.” * La dirección electrónica ***EMAIL.1 * El tipo de empleo, “I” * Los ingresos anuales brutos, “30000” * Nombre de la empresa, “***EMPRESA.1 * El año desde el que trabaja en ella, “ N.N.N.” * Teléfono fijo del empleo, “ K.K.K.” * Los datos bancarios “IBAN F.F.F.. * El nombre del titular de la cuenta, E.E.E. * Dirección personal del titular de la cuenta de domiciliación bancaria “Av. C.C.C.. 3. Dice aportar “documentación informática acreditativa de las solicitudes que recibió a través del canal de internet” (documento anexo “Doc.3 Internet”). El examen de dicho documento revela que no se facilita información sobre la IP desde la que se accedió al formulario de solicitud del sitio web de WIZINK para contratar la tarjeta de crédito. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 El documento aportado es un volcado de los datos que se incorporaron en las solicitudes (documento número 2, “solicitudes”) en el formato xmlns. 4. Aporta un certificado emitido por LLEIDA NETWORKS, Serveis Telemátics, S.A., como tercero de confianza. - Versa sobre el envío realizado en fecha 24/08/2017 a las 13:08 GMT+2, de un mensaje remitido por H.H.H. a la dirección de destino ***EMAIL.1. Se indica que el código 410226 corresponde a la razón social WIZINK BANK, S.A. -Consta entregado el mismo día a las 13:09GMT+2. Como “asunto” del mensaje figura esta leyenda: “Firma ahora tu solicitud de tarjeta WiZink Oro”. - Como documento adjunto al email remitido figuraba el documento “Solicitud de tarjeta de crédito de WIZINK que lleva la referencia ***REF.2”. En dicho documento constan todos los datos personales reflejados en las solicitudes aportadas como documento número 2. - Facilita copia del mensaje que LLEIDA NETWORKS remite al solicitante de la tarjeta que dice así: “¡Hola María! Tu solicitud de tarjeta está preaprobada y solo te queda firmarla y enviarnos algunos documentos. El proceso de firma electrónica es rápido, cómodo, seguro y vale igual que la firma manuscrita”. En el documento existe un recuadro con esta indicación: “Pincha aquí y firma tu contrato”. Seguidamente indica: “Ten a mano tu móvil, ya que durante el proceso recibirás un SMS con un código de seguridad para firmar tu contrato”. - El “Anexo técnico del envío” informa de:

1. a)Los detalles de “cabecera del correo”. Figura la dirección electrónica de envío - I.I.I.-, la dirección de destino – J.J.J. - y la fecha y hora, el 24/08/2017 a las 13:08:42 +0200.
2. b)Los detalles técnicos del dominio: Se informa de que el dominio de correo del destinatario “ ***EMAIL.1” estaba gestionado ese día y a esa hora por google.com.
3. c)Los detalles del registro del sistema 5. WIZINK manifiesta que no fue posible el contacto telefónico a través del número de móvil que se facilitó en la solicitud de tarjeta de crédito. 6. Aporta copia de la documentación que le remitió la Oficina Municipal de Consumo del Ayuntamiento de C.C.C., recibida el 06/10/2017, y de la respuesta que dio a la OMIC en escrito de fecha 10/10/2017. - Queda acreditado que la denunciante presentó reclamación por estos mismos hechos ante OMIC del Ayuntamiento de C.C.C. en fecha 26/09/2017. En el escrito de reclamación la pedía que WIZINK cancelara la solicitud de tarjeta de crédito y borrara de sus ficheros sus datos. - WIZINK responde a la OMIC en relación a la reclamación de la denunciante en los siguientes términos: Que la solicitud de tarjeta de crédito se hizo vía on line; que no se recibió documentación adicional por la reclamante; que no se formalizó contrato con esa entidad financiera; que se ha procedido a cancelar la solicitud. Respecto al “borrado de datos” afirma que “al no ser cliente de esta Entidad, sus datos no quedarán registrados como tal, ya que su solicitud ha sido denegada y será destruida”. >> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 6 de la LOPD, bajo la rúbrica “Consentimiento del afectado”, dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6,de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. El artículo 44.3.
5. b)LOPD tipifica como infracción grave “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a los dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. Por otra parte, el artículo 3 de la LOPD “ Definiciones” establece que a los efectos de esta Ley se entenderá por “
6. c)Tratamiento de Datos” “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. IV La denuncia que examinamos versa sobre el tratamiento de los datos personales de la denunciante efectuado por WIZINK sin su consentimiento que se habría concretado en la emisión de una tarjeta de crédito a su nombre. Pese a los rotundos términos de la denuncia, la documentación que obra en el expediente aportada por WIZINK nos permite afirmar que la entidad no llegó a tratar los datos de la denunciante en el sentido al que ésta alude en su escrito de denuncia. El tratamiento realizado por la denunciada consistió únicamente en acceder a los datos personales de la afectada que alguien incorporó al formulario de solicitud. El formulario es de libre acceso desde la página web de la compañía, de modo que los datos personales de la denunciante pudieron ser facilitados por cualquier persona que tuviera conocimiento de ellos y de este modo activar la petición de emisión de una tarjeta de crédito a su nombre. Los datos que se incluyeron en el formulario de solicitud de tarjeta que existe en la página web de WIZINK no pertenecen en su totalidad a la denunciante. Conciernen a la denunciante el nombre, los dos apellidos y el NIF, pero no el domicilio. El domicilio que constan en el formulario -avenida C.C.C.- no coincide con el que la denunciante ha facilitado a esta Agencia en su denuncia y es distinto también del que aparece en su DNI. Todo ello, sin perjuicio de que fue a esa dirección postal a la que WIZINK remitió una carta informativa dirigida a la denunciante –carta que sí recibió, pues será a raíz de su recepción cuando decida interponer sendas denuncias contra WIZINK ante la Policía y la AEPD-. La documentación que obra en el expediente nos ha permitido comprobar que el protocolo que WIZINK tiene implementado para la contratación electrónica –por lo que aquí interesa, para la contratación de tarjetas de crédito- es riguroso y ofrece las garantías necesarias para la salvaguarda del derecho fundamental a la protección de datos de carácter personal. A ese respecto, la documentación que obra en el expediente evidencia que para C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 que WIZINK considerase otorgado el consentimiento a la contratación de una tarjeta de crédito no bastaba con recibir una petición en tal sentido a través del formulario de su página web cumplimentado con datos personales del solicitante. En todo caso, era indispensable que el titular de los datos firmara el contrato a través de un proceso de firma electrónica, lo que en el supuesto que nos ocupa no llegó a producirse, y además que remitiera a la compañía la documentación que ésta le solicitase. Centrándonos en los hechos analizados se ha comprobado que WIZINK no llegó a formalizar ningún contrato de tarjeta de crédito a nombre de la denunciante y que los datos de la afectada no se incorporaron a sus sistemas informáticos como cliente de la entidad. La denunciada ha aportado un certificado expedido por el operador de comunicaciones electrónicas LLEIDANETWORKS Serveis Telematics, S.A., con el identificador E5018336-S -que es único en los registros del operador- que acredita que efectuó un envío con destino a la dirección electrónica ***EMAIL.1 , siendo remitente EMAIL CERTIFICADO de WiZink Bank, siendo la fecha y hora de envío el 24/08/2017 a las 13:08 GMT+2, y la fecha y hora de entrega el 24/08/2017 las 13:09 GMT +2. El mensaje versaba sobre el asunto “Firma ahora tu solicitud de tarjeta WiZinkOro”. El certificado se acompañaba de un Anexo Técnico de haber efectuado tal envío y de la entrega a los destinatarios, o a sus agentes electrónicos, de los mensajes remitidos. Se facilitan los detalles de cabecera del correo de 24/08/2017 y del servidor que gestionaba el dominio de correo destinatario. Se aporta también una impresión de pantalla del mensaje que se remitió a la dirección electrónica que se hizo constar en el formulario de solicitud de tarjeta ( ***EMAIL.1) en el que se indica: “¡Hola María! Tu solicitud de tarjeta está preaprobada y sólo te queda firmarla y enviarnos algunos documentos. El proceso de firma electrónica es rápido, cómodo, seguro y vale igual que la firma manuscrita”. A continuación aparece la leyenda “Pincha aquí y firma tu contrato”. Y añade: “Ten a mano tu móvil, ya que durante el proceso de firma recibirás un SMS con un código de seguridad para firmar tu contrato”. WIZINK ha explicado que la razón por la cual se remitió a la denunciante una carta –carta que originó que la denunciante interpusiera denuncia en la Policía- fue haber recibido una segunda solicitud de tarjeta (de fecha 01/09/2017) cuando aún se encontraba en proceso interno de gestión la primera solicitud. En definitiva, no existe indicio alguno de que la conducta sobre la que versa la denuncia hubiera llegado a producirse: que WIZINK hubiera emitido a nombre de la denunciante una tarjeta de crédito. Por otra parte, la cumplimentación del formulario no tiene más valor que el de ser una petición a una entidad de un producto determinado, solicitud que pudo hacer cualquier persona que conociera algunos de los datos personales de la afectada. La solicitud realizada mediante la cumplimentación del formulario que existía en la página web de la compañía fue un acto unilateral de quien facilitó los datos que concernían a la denunciante. Ahora bien, el tratamiento que WIZINK hizo de los datos que le fueron comunicados por esa vía fue plenamente respetuoso con las exigencias de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 normativa de protección de datos de carácter personal. Si bien la finalidad perseguida por quien cumplimentó el formulario era la contratación a nombre de la denunciante de la tarjeta WIZINK oro, sus datos en ningún caso llegaron a tratarse con tal finalidad dado que el solicitante no respondió a las medidas que la compañía tiene implantadas para recabar el consentimiento a la contratación y para la acreditación de la identidad de quien facilita como suyos determinados datos de carácter personal. Así pues, la conducta de WIZINK, concretada en haber accedido al contenido de los formularios de solicitud de tarjeta de crédito de su plataforma -formulario que, supuestamente, alguien cumplimentó sin el consentimiento de la afectada-, atendidas las circunstancias que concurren, no es subsumible en el tipo sancionador del artículo 44.3.
7. b)LOPD. Constatado que WIZINK no llegó a emitir ninguna tarjeta de crédito a nombre de la denunciante -pues el protocolo adoptado por la entidad para la contratación electrónica impidió que se estimase otorgado el consentimiento con la mera cumplimentación de un formulario de solicitud, único tratamiento que se ha realizado- , no se aprecia en los hechos que se someten a la valoración de esta Agencia indicios de vulneración de la normativa de protección de datos de carácter personal, debiendo por ello acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a WIZINK BANK, S.A., con NIF A81831067 y a D. ª D.D.D.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es