E-07590-2014

1/7 Expediente Nº: E/07590/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CAIXABANK, S.A. en virtud de denuncia presentada por CONSUMIDORES EN RED y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 19 de noviembre de 2014 tiene entrada en esta Agencia un escrito de CONSUMIDORES EN RED en el que declara: La entidad financiera denunciada tiene en la actualidad a disposición de los usuarios aplicaciones móviles a través de las cuales ofrecen los habituales servicios de banca a distancia a sus clientes, pudiendo disponer éstos de una amplia operatividad desde cualquier dispositivo con conexión a internet. Por medio de éstas aplicaciones que el usuario puede instalarse en su dispositivo móvil de forma gratuita, se puede acceder a prácticamente los mismos servicios que las entidades bancarias ofrecen a través de su correspondiente portal de banca on line. La instalación de las mismas requiere que el éste otorgue su conformidad a una serie de permisos relacionados con el acceso que dicha aplicación puede tener a determinada información del dispositivo móvil del cliente que, a juicio de EnRed, colisionan frontalmente con los derechos legalmente reconocidos sobre la protección de los datos personales de los clientes. El usuario debe acceder a otorgar los permisos que solicita la aplicación para su instalación o posterior actualización, siendo condición sine qua non para hacer uso de la mencionada herramienta y no opción potestativa. La entidad denunciada omite información relativa a la explicación acerca de para qué se solicita la información requerida. Incluso, al usuario no se le aporta la menor información sobre cómo van a ser recopilados, utilizados o divulgados los datos a los que la aplicación tiene acceso ni por cuánto tiempo. La única información adicional que se aporta en relación a la información previa acerca de los permisos que la aplicación solicita, lo es a través de un enlace y no a contenido propio de cada entidad, sino a la información genérica que sobre permisos Google Play pone a disposición de los usuarios que utilizan el sistema operativo android en su dispositivo. Omiten igualmente los titulares de las aplicaciones denunciadas información relativa a los derechos de acceso, rectificación, cancelación u oposición que al usuario le asisten. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Se ha comprobado por la Inspección de Datos que Caixa Bank, S.A. (en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 adelante la Caixa) tiene a disposición de sus clientes una aplicación para dispositivos móviles denominada “la Caixa” que permite ser instalada de manera gratuita. Al pulsar el botón de instalación el usuario es informado, previamente a su confirmar la instalación, mediante una ventana emergente de lo siguiente: “Esta aplicación puede acceder a: Historial de aplicaciones y dispositivo Permite que la aplicación vea uno o varios de estos datos: información sobre la actividad del dispositivo, las aplicaciones que se están ejecutando, el historial de navegación y los marcadores Ubicación Usa la ubicación del dispositivo Teléfono Usa una o varias de estas funciones: teléfono, registro de llamadas. Es posible que se apliquen cargos. Fotos/archivos multimedia/archivos Utiliza uno o varios archivos del dispositivo, como imágenes, vídeos o audio, o del almacenamiento externo del dispositivo Cámara Utiliza las cámaras del dispositivo Información sobre la conexión Wi-Fi Permite que la aplicación vea información sobre la conexión a redes Wi-Fi (por ejemplo, si está habilitada la conexión Wi-Fi y los nombres de los dispositivos Wi-Fi conectados).” También se informa de la identidad del titular de la aplicación (la Caixa) y ofrece un enlace a la página web del mismo (www.lacaixa.es). Una vez instalada la aplicación es necesario aceptar las condiciones de uso para acceder a la aplicación. Una vez que se accede aparece una pantalla la con un menú en forma de iconos que permite el acceso a información sobre aplicaciones de la Caixa, productos de la Caixa y oficinas y a la opción “línea abierta”. Esta última permite el acceso a la banca on-line de la Caixa, por lo que se requiere la introducción los datos de acceso (usuario y PIN). El acceso al servicio Oficinas está accesible al público en general ya sean clientes o no clientes de la entidad. El acceso a este servicio requiere el acceso al recurso del terminal ”Ubicación”. Las condiciones de uso de la aplicación incluyen la cláusula relativa a geolocalización siguiente: “Es posible que la Aplicación esté adaptada o disponga de funciones de geolocalización, con el fin de poder ofrecer los servicios a los que se accede a través de la misma. Por tanto, para la prestación de dichos servicios requerirá que tenga activada la función de geolocalización de su dispositivo móvil.”
2. Mediante escrito de fecha de salida 4 de febrero de 2015, se ha requerido a la Caixa información sobre las finalidades para las que la aplicación requiere el acceso a las distintas funcionalidades del terminal, los tratamientos que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 realizan con los datos recabados y la información que se ofrece al usuario sobre dichos tratamientos, teniendo entrada con fecha 3 de marzo de 2015 un escrito de la Caixa en el que manifiestan lo siguiente:
3. Con respecto a la información facilitada a los usuarios de dicha aplicación, en los términos referidos en el Art. 5 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, manifiestan que la App de “la Caixa” es una aplicación de software que, instalada en un dispositivo móvil, facilita al usuario el acceso a diferentes URL’s, que alojan servicios de la Entidad. Así, una vez descargada en el dispositivo móvil, el usuario accede a la pantalla en la que figuran 4 iconos: “Línea Abierta”, “Apps”, “Productos” y “Oficinas”. Aportan el literal de la URL (página web) que aloja el servicio de banca on Line móvil de la Entidad (Funcionalidad ‘Línea Abierta). Ya en el entorno de dicha URL el usuario podrá acceder, si así lo desea, previa introducción de sus claves personales, al mencionado servicio de banca on line. También aportan los literales de las URLs correspondientes a “Apps”, “Productos” y “oficinas”, que respectivamente permiten el acceso al catálogo de aplicaciones de la Caixa, al catálogo de productos de la Caixa y a la red de oficinas. Esta última requiere la apertura del mapa del sistema operativo.
4. En cuanto al permiso requerido para acceder a “Historial de aplicaciones y dispositivo” manifiestan que la App de “la Caixa” accede única y exclusivamente a la información de procesos que se encuentran en ejecución en el dispositivo. La finalidad de dicho acceso es la de detectar si la App se encuentra en ejecución y, en tal caso, permitir devolver al usuario al punto en el que se encontraba en el momento anterior a abandonar la aplicación.
5. En cuanto al permiso requerido para acceder a “Ubicación” manifiestan que la funcionalidad de localización de Oficinas de la App de “la Caíxa” requiere del permiso ubicación del dispositivo a los efectos de mostrar al usuario, en el mapa que proporciona el sistema operativo, la/s oficina/s de la Entidad más cercana/s a la ubicación del dispositivo. El permiso es solicitado por la funcionalidad de la App con la única finalidad de facilitar al usuario dicha información y se utiliza exclusivamente durante el lapso de tiempo durante el cual la misma está siendo facilitada.
6. En cuanto al permiso requerido para acceder a “Teléfono” manifiestan que por motivos comerciales, la versión actual App de “la Caixa” no incluye funcionalidades que utilicen el permiso “Teléfono”. Cuando en versiones anteriores, la App de “la Caixa” ha incluido funcionalidades que sí que utilizaban dicho permiso, el mismo tenía como única finalidad la de abrir la aplicación de teléfono del dispositivo con la particularidad de incorporar ya marcado el número de teléfono de la oficina de la Entidad requerida por el usuario, de manera que el mismo no tenía que teclearlo. La aplicación no realizaba la llamada sino que, una vez abierta la aplicación del teléfono era, en todo caso, el usuario quien realizaba o no la correspondiente llamada.
7. En cuanto al permiso requerido para acceder a “Fotos/archivos multimedia/archivos” manifiestan que la única finalidad de este permiso es la de abrir el mapa de Google y mostrar sobre el mismo la localización de las oficinas de la Entidad más cercanas a la ubicación del dispositivo. No se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 realiza ningún tratamiento adicional al de información ni se accede a ningún archivo.
8. En cuanto al permiso requerido para acceder a “Cámara” manifiestan que por motivos comerciales, la versión actual App de “la Caixa” no incluye funcionalidades que utilicen este permiso. En versiones anteriores la App de “la Caixa” ha incluido la funcionalidad “Realidad Aumentada” que sí que utilizaba el mencionado permiso. Dicha funcionalidad consistía en plasmar sobre la imagen obtenida a través del visor de la cámara del teléfono las oficinas de la Entidad y, en consecuencia, el permiso se utilizaba a los solos efectos de proceder a “pintar” sobre dicha imagen las mencionadas oficinas. Cerrada la funcionalidad, la App no utilizaba la cámara del dispositivo ni guardaba imagen alguna.
9. En cuanto al permiso requerido para acceder a “Información sobre la conexión Wi-Fi” manifiestan que la App de “la Caixa” utiliza este permiso para acceder al valor de la dirección MAC (Media Access Control) que identifica la antena de Wi-Fi del dispositivo para, de manera disociada, comprobar que la versión de la App que está siendo utilizada es legítima.
10. En el escrito de fecha de entrada 6 de agosto de 2015, el representante de La Caixa pone de manifiesto lo siguiente:
11. En cuanto al permiso requerido para acceder a “Información sobre la conexión Wi-Fi” manifiesta que actualmente la aplicación ya no utiliza esta función, no obstante en la versión anterior la dirección MAC obtenida se sometía a una operación matemática en base a la cual se obtenía un valor univoco, que se conservaba en los repositorios de la Entidad por el intervalo dé entre una conexión y otra, a los únicos efectos de comprobar la legitimidad de la aplicación.
12. Actualmente se están corrigiendo las distintas versiones de la App para no solicitar los permisos que ya no se utilizan.
13. Aportan copia del contrato de prestación del servicio “Linea Abierta” de La Caixa y de las condiciones generales y particulares que incluye en la cláusula 12 información sobre protección de datos de carácter personal en la que se informa de los derechos de acceso, rectificación, cancelación y oposición. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 II En relación con los hechos denunciados y las comprobaciones realizadas por esta Agencia Española de Protección de Datos, debe señalarse, en primer lugar, que las aplicaciones para dispositivos/terminales móviles objeto de denuncia, son una extensión o ampliación de los servicios que el cliente /usuario tiene contratados con su entidad financiera, por lo que la información objeto de tratamiento estará amparada en la dispensa del consentimiento de acuerdo con el apartado segundo del artículo 6 de la LOPD, que determina que no es necesario el consentimiento del titular de los datos, cuando éstos sean necesarios para el desarrollo de una relación contractual. Teniendo en cuenta lo anterior, debe señalarse en segundo lugar que la información que exige el artículo 5 de la LOPD, se encuentra inserta en los contratos de servicio o producto que cada entidad financiera mantiene con sus clientes y en el caso analizado, con los usuarios de las aplicaciones, así como en las principales páginas web de cada entidad en los enlaces dedicados a mostrar la Política de Privacidad y Protección de Datos. Es decir, los usuarios conocen la información relativa al tratamiento de sus datos que realizan las entidades cuando le prestan su servicio de banca, ya sea a través de los canales tradicionales ya sea a través de lo que se denomina Banca Electronica. Ahora bien, respecto de los permisos que las aplicaciones solicitan al usuario del dispositivo en el que se van a instalar y la información ofrecida por la entidad responsable del servicio de descarga (ya sea Google Inc., a través del servicio Google Play, ya sea Apple Inc., a través del Servicio Apple Store) y de acuerdo con la información obtenida durante las Actuaciones Previas de Inspección en relación con la denuncia planteada, debe indicarse que los permisos que el usuario otorga a la aplicación en cuestión, son necesarios para el correcto funcionamiento de la misma. Por otro lado, respecto de la información recopilada en el uso de las funcionalidades de la aplicación, al abrigo de los permisos que el usuario previamente otorga, no resulta acreditado que CAIXABANK, S.A., recopile y almacene dato alguno que haga necesaria información adicional a la ofrecida inicialmente en el momento de la contratación de los servicios de la entidad financiera, tal como se expone en el Fundamento de Derecho III. Asimismo, la descarga y uso de este tipo de aplicaciones de banca on-line responde a la voluntad del usuario que decida libremente utilizarlo, por lo que no resulta exigible su instalación y uso para ser cliente de productos y servicios financieros. Es decir, la utilización de estos servicios no conlleva de facto naturaleza de un Contrato de Adhesión, en la que una parte puede estar en condiciones objetivas de inferioridad por la imposición de cláusulas generales de la contratación y que suelen ser de obligada aceptación para ostentar la cualidad de consumidor o usuario de un determinado servicio, sino que en el caso analizado es el usuario el que decide utilizar dicho medio sin perjuicio de poder seguir utilizando los canales tradicionales sin mermar (dependiendo de la percepción y conocimientos técnicos que se tenga) su expectativa de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Cuestión distinta es que en la mayoría de ocasiones el usuario medio no tiene conocimientos informático-técnicos para entender plenamente la finalidad de un determinado permiso (ni puede exigírsele), sirva a modo de ejemplo que cuando una aplicación del estilo de las analizadas solicita el acceso a la galería o a la carpeta de archivos del terminal, a priori, puede parecer excesivo dada la finalidad de la aplicación que no es otra que el ofrecimiento de servicios de banca on-line. Sin embargo la finalidad de dicho permiso no es otra que la posibilidad de poder descargar un extracto bancario en un determinado formato y luego poder acceder a dicha información. ( p. e., descarga de un resguardo de un pago en formato .jpg o pdf.) . Igualmente ocurre con los permisos relativos a la geolocalización, cuya finalidad no es otra que buscar una determinada oficina bancaria o cajero que se encuentre cercano a la ubicación física del usuario. Véase el punto 2.3 a 2.7 y 3.1 del antecedente segundo de la presente resolución. III En conclusión, no resulta acreditada vulneración del derecho de información que ostentan los titulares de los datos personales objeto de tratamiento, ya que la información que se ofrece a través los contratos cliente-Entidad financiera, cumple con el art. 5 de la LOPD, sin perjuicio de que sería deseable que las entidades que ofrecen servicios a través de una determinada aplicación adecuen el lenguaje de la información ofrecida al usuario que no tiene por qué conocer cuestiones técnicas determinadas, para así garantizar una expectativa razonable de privacidad del ciudadano al usar dichos servicios y no perciba que el uso de las posibilidades que ofrece el estado actual de la tecnología en estos casos, implique un determinado riesgo o una conculcación de su privacidad. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
14. PROCEDER AL ARCHIVO de las presentes actuaciones.
15. NOTIFICAR la presente Resolución a CAIXABANK, S.A. y a CONSUMIDORES EN RED. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es