E-07588-2014

1/8 Expediente Nº: E/07588/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANCO SANTANDER, S.A. en virtud de denuncia presentada por CONSUMIDORES EN RED y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 19 de noviembre de 2014 tiene entrada en esta Agencia un escrito de CONSUMIDORES EN RED en el que declara: La entidad financiera denunciada tiene en la actualidad a disposición de los usuarios aplicaciones móviles a través de las cuales ofrecen los habituales servicios de banca a distancia a sus clientes, pudiendo disponer éstos de una amplia operatividad desde cualquier dispositivo con conexión a internet. Por medio de éstas aplicaciones que el usuario puede instalarse en su dispositivo móvil de forma gratuita, se puede acceder a prácticamente los mismos servicios que las entidades bancarias ofrecen a través de su correspondiente portal de banca on line. La instalación de las mismas requiere que el éste otorgue su conformidad a una serie de permisos relacionados con el acceso que dicha aplicación puede tener a determinada información del dispositivo móvil del cliente que, a juicio de EnRed, colisionan frontalmente con los derechos legalmente reconocidos sobre la protección de los datos personales de los clientes. El usuario debe acceder a otorgar los permisos que solicita la aplicación para su instalación o posterior actualización, siendo condición sine qua non para hacer uso de la mencionada herramienta y no opción potestativa. La entidad denunciada omite información relativa a la explicación acerca de para qué se solicita la información requerida. Incluso, al usuario no se le aporta la menor información sobre cómo van a ser recopilados, utilizados o divulgados los datos a los que la aplicación tiene acceso ni por cuánto tiempo. La única información adicional que se aporta en relación a la información previa acerca de los permisos que la aplicación solicita, lo es a través de un enlace y no a contenido propio de cada entidad, sino a la información genérica que sobre permisos Google Play pone a disposición de los usuarios que utilizan el sistema operativo android en su dispositivo. Omiten igualmente los titulares de las aplicaciones denunciadas información relativa a los derechos de acceso, rectificación, cancelación u oposición que al usuario le asisten. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 Se ha comprobado por la Inspección de Datos que Banco Santander, S.A. (en adelante BANCO SANTANDER) tiene a disposición del público una aplicación para dispositivos móviles denominada “Santander” que permite ser instalada de manera gratuita en dichos dispositivos. Al pulsar el botón de instalación el usuario es informado, previamente a la confirmación de la instalación, mediante una ventana emergente que la Aplicación necesita acceder a los siguientes recursos del dispositivo: “Ubicación Usa la ubicación del dispositivo SMS Usa una o varias de estas funciones: SMS, MMS. Es posible que se apliquen cargos. Fotos/archivos multimedia/archivos Utiliza uno o varios archivos del dispositivo, como imágenes, vídeos o o del almacenamiento externo del dispositivo audio, Información sobre la conexión Wi-Fi Permite que la aplicación vea información sobre la conexión a redes Wi-Fi (por ejemplo, si está habilitada la conexión Wi-Fi y los nombres de los dispositivos Wi-Fi conectados). ID de dispositivo y datos de llamada Permite que la aplicación determine el número de teléfono y los ID del dispositivo, si una llamada está activa y el número remoto conectado por una llamada También se informa, previo a la descarga, de la identidad del titular de la aplicación (Banco Santander) y ofrece un enlace a la página web del mismo (www.bancosantander.es). No se informa de la función específica a la que se accede, la finalidad para la que se accede ni el tratamiento que se hace de la misma. Una vez instalada la aplicación y se accede a ella, se muestra una pantalla con un menú en forma de iconos que permite el acceso a información sobre oficinas y cajeros de la entidad, productos de BANCO SANTANDER, Contacto y a la opción “ENTRAR en la banca móvil”. Esta última permite el acceso a la banca on-line de BANCO DE SANTANDER, por lo que se requiere la introducción los datos de acceso (DNI y clave de acceso). El acceso a los servicios Oficinas y Cajeros, Productos y Contacto están accesibles al público en general ya sean clientes o no clientes de la entidad. El acceso a estos servicios requiere el acceso a los siguientes recursos del terminal: ”Ubicación” para identificar cajeros próximos “ID de dispositivo y datos de llamada” la aplicación ofrece la posibilidad de llamar a los teléfonos de atención al cliente e información directamente desde la aplicación utilizando números de teléfono que contiene la misma aplicación. “Información sobre la conexión Wi-Fi”, El acceso a estos servicios requiere tener conexión a internet y por tanto acceder al estado de la conexión. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8

1. Mediante escrito de fecha de salida 3 de febrero de 2015, se ha requerido a BANCO SANTANDER información sobre las finalidades para las que la aplicación requiere el acceso a las distintas funcionalidades del terminal, los tratamientos que se realizan con los datos recabados y la información que se ofrece al usuario sobre dichos tratamientos, teniendo entrada con fecha 24 de febrero de 2015 un escrito del representante de la entidad en el que manifiestan lo siguiente:
2. Para acceder a la banca on-line de BANCO DE SANTANDER, es requisito previo la firma del contrato “multicanal” y aceptar las condiciones particulares y generales del servicio. Aportan copia del modelo de contrato y de las condiciones particulares y generales. Consta en las condiciones particulares que el contrato es de aplicación a banca telefónica, por internet y dispositivos móviles.
3. Con respecto a la información facilitada a los usuarios de la aplicación en los términos establecidos por el art. 5 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, la duodécima de las condiciones particulares del contrato, relativa a protección de datos de carácter personal establece lo siguiente: “PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL. El Cliente, en el caso de ser persona física queda informado de que sus datos personales, a los que el Banco tenga acceso como consecuencia de consultas, transacciones, operaciones, solicitud de contrato, contratación de productos y servicios que tengan lugar por cualquier medio, o de procesos informáticos respecto de datos ya registrados, se incorporan al correspondiente fichero del Banco, autorizando a éste al tratamiento de los mismos para su utilización en relación con el desenvolvimiento de este contrato, el desarrollo de acciones comerciales (por medio de correo postal, teléfono, fax, SMS, correo electrónico y cualquier medio telemático, sean de carácter general o adaptadas a sus características personales, para la oferta y contratación con el cliente de los productos y servicios del propio Banco, perdurando su autorización, en relación con este último supuesto, incluso una vez concluida su relación con el Banco, en tanto no sea revocada. Igualmente los interesados autorizan la comunicación o cesión de los mencionados datos a las Sociedades pertenecientes al Grupo Santander con el mismo objeto. Asimismo, el interesado queda informado de que dicha cesión se produce en este mismo momento a las Sociedades cuya denominación social se indica en documento unido a este contrato, que declara recibir el interesado, en el que se expresa el tipo de actividad que aquellas desarrollan. En el caso de cesiones posteriores a favor de otras Sociedades del Grupo, las partes convienen que el Banco comunique tales cesiones al interesado en la forma habitual utilizada para informarle de los productos que tenga contratados con el Banco. Los datos que el cliente facilita o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 pueda facilitar al Banco relativos a sus productos en otras entidades o a eventuales necesidades financieras futuras serán incorporados igualmente al fichero del Banco autorizando el cliente al mismo a su tratamiento con el objeto de que el Banco pueda ofrecerle sus productos o servicios. El interesado queda informado de su derecho de oposición, acceso, rectificación y cancelación, respecto de sus datos personales en los términos previstos en la Ley, pudiendo ejercitar este derecho por escrito mediante carta dirigida al Servicio de Reclamaciones y Atención al Cliente, Gran Vía Santander, Gran Vía de Hortaleza, 3, Edificio La Magdalena, planta baja, 28033 Madrid . La entrega de los datos solicitados en relación con el presente documento es obligatoria, siendo responsable del fichero Banco Santander, S.A., con domicilio a estos efectos en la dirección antes indicada.”
4. Manifiestan que la aplicación no guarda nada de la información relativa a las funcionalidades del terminal a las que accede, ya que esta aplicación se utiliza como medio de visualización y tratamiento de la información del cliente del mismo modo que funcionan otros canales, no almacena ninguna información adicional.
5. En cuanto al permiso requerido para acceder a “Ubicación” manifiestan que este permiso se requiere para que funcione el localizador de oficinas y cajeros de la aplicación. Exactamente es necesario para poder localizar al cliente y mostrarle las oficinas / cajeros más cercanos a su posición.
6. En cuanto al permiso requerido para acceder a “SMS” manifiestan que la seguridad definida por el banco para realizar una transferencia eventual requiere que el cliente introduzca su firma electrónica y un código de seguridad Alfanumérica enviada a su teléfono móvil mediante SMS. Para facilitar esta operativa la aplicación accede a este SMS y captura el código de seguridad para evitar al cliente introducirlo y sólo necesitar su autorización. Consta en la cuarta de las condiciones generales del contrato del servicio multicanal que “para la ejecución por el Banco de las órdenes de transferencia a través de Banca por Internet, el Cliente deberá confirmar la operación mediante la introducción de la clave que reciba del Banco, bien mediante mensaje SMS en el teléfono móvil designado a estos efectos por el Cliente o bien mediante cualquier otro medio (en adelante, clave OTP-SMS).”
7. En cuanto al permiso requerido para acceder a “Fotos/archivos multimedia/archivos” manifiestan que la aplicación permite almacenar una foto con el detalle de un movimiento de cuenta o tarjeta y el detalle de la cuente para que el cliente pueda hacer una copia de los mismos.
8. En cuanto al permiso requerido para acceder a “Información sobre la conexión Wi-Fi” manifiestan que la aplicación requiere conexión a internet para poder funcionar por eso se comprueba C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 que el dispositivo que intenta acceder disponga de conexión wifi o red de datos. En caso contrario se le informa de la necesidad de conexión para que funcione la aplicación.
9. En cuanto al permiso requerido para acceder a “ID de dispositivo y datos de llamada” manifiestan que la aplicación ofrece la posibilidad de llamar con los teléfonos de atención al cliente directamente desde la aplicación. Al pulsar sobre los números de teléfono les mostrará la pantalla de llamada del teléfono con el número introducido. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 II En relación con los hechos denunciados y las comprobaciones realizadas por esta Agencia Española de Protección de Datos, debe señalarse, en primer lugar, que las aplicaciones para dispositivos/terminales móviles objeto de denuncia, son una extensión o ampliación de los servicios que el cliente /usuario tiene contratados con su entidad financiera, por lo que la información objeto de tratamiento estará amparada en la dispensa del consentimiento de acuerdo con el apartado segundo del artículo 6 de la LOPD, que determina que no es necesario el consentimiento del titular de los datos, cuando éstos sean necesarios para el desarrollo de una relación contractual. Teniendo en cuenta lo anterior, debe señalarse en segundo lugar que la información que exige el artículo 5 de la LOPD, se encuentra inserta en los contratos de servicio o producto que cada entidad financiera mantiene con sus clientes y en el caso analizado, con los usuarios de las aplicaciones, así como en las principales páginas web de cada entidad en los enlaces dedicados a mostrar la Política de Privacidad y Protección de Datos. Es decir, los usuarios conocen la información relativa al tratamiento de sus datos que realizan las entidades cuando le prestan su servicio de banca, ya sea a través de los canales tradicionales ya sea a través de lo que se denomina Banca Electronica. Ahora bien, respecto de los permisos que las aplicaciones solicitan al usuario del dispositivo en el que se van a instalar y la información ofrecida por la entidad responsable del servicio de descarga (ya sea Google Inc., a través del servicio Google Play, ya sea Apple Inc., a través del Servicio Apple Store) y de acuerdo con la información obtenida durante las Actuaciones Previas de Inspección en relación con la denuncia planteada, debe indicarse que los permisos que el usuario otorga a la aplicación en cuestión, son necesarios para el correcto funcionamiento de la misma. Y respecto de la información recopilada en el uso de las funcionalidades de la aplicación, al abrigo de los permisos que el usuario previamente otorga, tal como se pone de manifiesto en el puntos 3 del Antecedente Segundo de la presente resolución, no resulta acreditado que BANCO SANTANDER, S.A., recopile y almacene dato alguno que haga necesaria información adicional a la ofrecida inicialmente en el momento de la contratación de los servicios de la entidad financiera, tal como se expone en el Fundamento de Derecho III. Asimismo, la descarga y uso de este tipo de aplicaciones de banca on-line responde a la voluntad del usuario que decida libremente utilizarlo, por lo que no resulta exigible su instalación y uso para ser cliente de productos y servicios financieros. Es decir, la utilización de estos servicios no conlleva de facto naturaleza de un Contrato de Adhesión, en la que una parte puede estar en condiciones objetivas de inferioridad por la imposición de cláusulas generales de la contratación y que suelen ser de obligada aceptación para ostentar la cualidad de consumidor o usuario de un determinado servicio, sino que en el caso analizado es el usuario el que decide utilizar dicho medio sin perjuicio de poder seguir utilizando los canales tradicionales sin mermar (dependiendo de la percepción y conocimientos técnicos que se tenga) su expectativa de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 Cuestión distinta es que en la mayoría de ocasiones el usuario medio no tiene conocimientos informático-técnicos para entender plenamente la finalidad de un determinado permiso (ni pueda exigírsele), sirva a modo de ejemplo que cuando una aplicación del estilo de las analizadas solicita el acceso a la galería o a la carpeta de archivos del terminal, a priori, puede parecer excesivo dada la finalidad de la aplicación que no es otra que el ofrecimiento de servicios de banca on-line. Sin embargo la finalidad de dicho permiso no es otra que la posibilidad de poder descargar un extracto bancario en un determinado formato y luego poder acceder a dicha información. ( p. e., descarga de un resguardo de un pago en formato .jpg o pdf.) . Igualmente ocurre con los permisos relativos a la geolocalización, cuya finalidad no es otra que buscar una determinada oficina bancaria o cajero que se encuentre cercano a la ubicación física del usuario. Véase los puntos 4 a 8 del antecedente segundo de la presente resolución. III En conclusión, no resulta acreditada vulneración del derecho de información que ostentan los titulares de los datos personales objeto de tratamiento, ya que la información que se ofrece a través los contratos cliente-Entidad financiera, cumple con el art. 5 de la LOPD, sin perjuicio de que sería deseable que las entidades que ofrecen servicios a través de una determinada aplicación adecuen el lenguaje de la información ofrecida al usuario que no tiene por qué conocer cuestiones técnicas determinadas, para así garantizar una expectativa razonable de privacidad del ciudadano al usar dichos servicios y no perciba que el uso de las posibilidades que ofrece el estado actual de la tecnología en estos casos, implique un determinado riesgo o una conculcación de su privacidad. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
10. PROCEDER AL ARCHIVO de las presentes actuaciones.
11. NOTIFICAR la presente Resolución a BANCO SANTANDER, S.A. y a CONSUMIDORES EN RED. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es