E-07346-2020

1/4  Procedimiento Nº: E/07346/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 5 de febrero de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra BANCO BILBAO VIZCAYA ARGENTARIA, S.A., BANCO SANTANDER, S.A., BANKIA, S.A., (en adelante, los reclamados). Los motivos en que basa la reclamación son el tratamiento sin consentimiento de sus datos personales para la apertura de cuentas bancarias suplantando su identidad, así como no responder BANKIA a su solicitud de acceso. Junto a la reclamación aporta la siguiente documentación: - Contratos de cuentas corrientes abiertas a su nombre en las entidades reclamadas. Movimientos efectuados en las referidas cuentas. - Citaciones judiciales en relación con presuntos delitos cometidos en los que se utilizaron las mencionadas cuentas bancarias. - Solicitud de acceso efectuada ante BANKIA. SEGUNDO: Con fecha 21 de septiembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: - Respecto de BANKIA: - En fecha 25 de febrero de 2019, de manera telemática se contrataron una cuenta corriente (CuentaOn) y una tarjeta de débito. En el momento del alta, en el que se recaban los datos personales del nuevo cliente a través de la firma del documento denominado “Tratamiento de Datos Personales” (TDP), se facilitó como número de teléfono móvil el ***TELÉFONO.1 y el correo electrónico ***EMAIL.

1. Para poder formalizar el alta de cliente del reclamante a través del proceso de “Onboarding” disponible en la web de BANKIA, además de aportar el documento identificativo (copia de su DNI) se requirió la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 verificación de su identidad mediante identificación por cuenta externa (SEPA), eso es, facilitando el IBAN de una cuenta de la que fuera titular en otra entidad (en este caso CAIXABANK), tras lo cual se procedió a la comprobación de la identidad mediante la realización de un adeudo SEPA en dicha cuenta, que confirmó que el reclamante era titular de la cuenta facilitada para su identificación. El proceso finalizó correctamente, activándose la cuenta el 25 de febrero de
2. - A requerimiento del Juzgado de Primera Instancia e Instrucción nº 2 de ***LOCALIDAD.1 se bloqueó y remitió el importe del saldo total en la cuenta. - Con fecha 10 de diciembre de 2020 se remitió información al reclamante, adjuntando la documentación sobre el derecho de acceso que fue emitida el 15 de noviembre de 2019 (y no recibida por éste), y la actualizada a fecha 10 de diciembre de 2020, donde puede verse que en esta última no hay productos financieros contratados a nombre del reclamante, estando además sus datos bloqueados. - Respecto de BANCO DE SANTANDER: - En fecha 27 de febrero de 2019 se formalizaron online a nombre del reclamante un contrato de cuenta, de tarjeta y de servicio multicanal, siendo la documentación aportada en su momento para la apertura de los contratos, con la firma digitalizada, la declaración de no realizar actividad económica, el impreso de Declaración del Cliente, copia del DNI, el documento de gestión de consentimiento y, como forma de refuerzo para la seguridad y medida de contraste procedente de una fuente externa, una orden de trasferencia desde otra cuenta abierta a su nombre en otra entidad (Banco Popular) a la nueva cuenta de Banco de Santander. - Respecto de BBVA: - En fecha 25 de febrero de 2019 se formalizó online a nombre del reclamante mediante firma electrónica el “Contrato Cuenta Online Go” y la “Declaración de Actividad Económica y Política de protección de Datos Personales”. Dicha cuenta corriente fue cancelada en fecha 27 de mayo de
3. - En fecha 10 de marzo de 2019 se suscribe online a nombre del reclamante mediante firma electrónica el “Contrato Multicanal” junto con el “Anexo de Servicios Contrato Multicanal”. - En fecha 11 de marzo de 2019 se suscribe online a nombre del reclamante mediante firma electrónica el documento “Información Precontractual Tarjeta Virtual BBVA” y un “Contrato Tarjeta VISA Virtual BBVA”. Tras tener conocimiento de la presunta usurpación de la identidad del reclamante se dieron instrucciones para que el contrato sea fuera anulado, restableciendo su situación previa a la usurpación sufrida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En este caso, teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 5 de febrero de 2020, a tenor de lo dispuesto en el apartado 5 del artículo 65 de la LOPDGDD, procede su tramitación con arreglo a lo dispuesto en el Título VIII de la citada norma. Este Título VIII dispone en su artículo 68.1, referido al acuerdo de inicio del procedimiento para el ejercicio de la potestad sancionadora que, concluidas, en su caso, las actuaciones previas de investigación, corresponderá a la Presidencia de la Agencia Española de Protección de Datos, cuando así proceda, dictar acuerdo de inicio de procedimiento para el ejercicio de la potestad sancionadora. Efectuadas actuaciones de inspección y una vez analizadas las razones expuestas y la documentación acreditativa de la contratación aportada por BANKIA, BBVA y BANCO DE SANTANDER, esta Agencia considera, de acuerdo con la doctrina de la Audiencia Nacional, recogida entre otras en su Sentencia de 29 de abril de 2010, que argumenta que “la cuestión no es dilucidar si la recurrente trató los datos de carácter personal de la denunciante sin su consentimiento, como si empleó o no una diligencia razonable a la hora de tratar de identificar a la persona con quien suscribió el contrato”, que el reclamado ha actuado con una diligencia normalmente exigible en una operación de servicios como los contratados, sin que se aprecie una infracción en el ámbito competencial de la Agencia Española de Protección de Datos, señalando además que, en el caso de BANKIA y BBVA, o bien los contratos se encontraban cancelados con anterioridad a la reclamación, o bien los datos personales fueron suprimidos, permaneciendo bloqueados, tras su conocimiento, no procediendo, en consecuencia, la apertura de un procedimiento sancionador. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es