E-07591-2014

1/7 Expediente Nº: E/07591/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad BANKIA, S.A. en virtud de denuncia presentada por CONSUMIDORES EN RED y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 19 de noviembre de 2014 tiene entrada en esta Agencia un escrito de CONSUMIDORES EN RED en el que declara: La entidad financiera denunciada tiene en la actualidad a disposición de los usuarios aplicaciones móviles a través de las cuales ofrecen los habituales servicios de banca a distancia a sus clientes, pudiendo disponer éstos de una amplia operatividad desde cualquier dispositivo con conexión a internet. Por medio de éstas aplicaciones que el usuario puede instalarse en su dispositivo móvil de forma gratuita, se puede acceder a prácticamente los mismos servicios que las entidades bancarias ofrecen a través de su correspondiente portal de banca on line. La instalación de las mismas requiere que el éste otorgue su conformidad a una serie de permisos relacionados con el acceso que dicha aplicación puede tener a determinada información del dispositivo móvil del cliente que, a juicio de EnRed, colisionan frontalmente con los derechos legalmente reconocidos sobre la protección de los datos personales de los clientes. El usuario debe acceder a otorgar los permisos que solicita la aplicación para su instalación o posterior actualización, siendo condición sine qua non para hacer uso de la mencionada herramienta y no opción potestativa. La entidad denunciada omite información relativa a la explicación acerca de para qué se solicita la información requerida. Incluso, al usuario no se le aporta la menor información sobre cómo van a ser recopilados, utilizados o divulgados los datos a los que la aplicación tiene acceso ni por cuánto tiempo. La única información adicional que se aporta en relación a la información previa acerca de los permisos que la aplicación solicita, lo es a través de un enlace y no a contenido propio de cada entidad, sino a la información genérica que sobre permisos Google Play pone a disposición de los usuarios que utilizan el sistema operativo android en su dispositivo. Omiten igualmente los titulares de las aplicaciones denunciadas información relativa a los derechos de acceso, rectificación, cancelación u oposición que al usuario le asisten. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha comprobado por la Inspección de Datos que Bankia, S.A. (en adelante BANKIA) tiene a disposición del público una aplicación para dispositivos móviles denominada “Bankia” que permite ser instalada de manera gratuita en dichos dispositivos. Al pulsar el botón de instalación el usuario es informado, previamente a la confirmación de la instalación, mediante una ventana emergente que la Aplicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 necesita acceder a los siguientes recursos del dispositivo: Ubicación Usa la ubicación del dispositivo Fotos/archivos multimedia/archivos Utiliza uno o varios archivos del dispositivo, como imágenes, vídeos o almacenamiento externo del dispositivo audio, o del ID de dispositivo y datos de llamada Permite que la aplicación determine el número de teléfono y los ID del dispositivo, si una llamada está activa y el número remoto conectado por una llamada También se informa, previo a la descarga, de la identidad del titular de la aplicación (BANKIA) y ofrece un enlace a la página web del mismo (m.bankia.es). Una vez instalada la aplicación y se accede a ella, se muestra un menú que permite el acceso a información sobre Noticias, Productos, Bankia en redes sociales, portales Bankia, Mercados, Entradas y Buscador de Oficinas y Cajeros. También muestra un botón denominado “Oficina Móvil” que permite el acceso a la banca on-line de BANKIA, por lo que se requiere la introducción los datos de acceso (DNI y clave de acceso). Dispone además de un icono con la letra “i” que enlaza con el “Aviso Legal” con el siguiente contenido: “Esta aplicación ha sido creada por Bankia S.A., en lo sucesivo Bankia, con carácter informativo y para uso personal Bankia, con domicilio social en calle Pintor Sorolla N°8, 4600? Valencia, y CIF A14010342, se halla inscrito en el registro mercantil de Valencia, Tomo 9.341, libro 6.623, Folio 104, Hoja V-17.274. Bankia es una entidad de crédito registrada en el Banco de España y sujeta a su supervisión. El hecho de acceder a esta aplicación implica el conocimiento y aceptación de los términos y condiciones establecidos por Bankia S.A., por lo que le recomendamos que lea atentamente su contenido en el siguiente enlace Aviso Legal.” Este último enlace (Aviso Legal) redirige al Aviso Legal de la página web de BANKIA (www.bankia.

1. es)en el que se recogen los términos y condiciones del Website que incluye la siguiente cláusula de protección de datos: “Los usuarios podrán ejercitar gratuitamente los derechos de revocación, acceso, rectificación, cancelación y oposición que procedan, acreditando su identidad a la dirección de correo electrónico protecciondedatos@bankia.com o al apartado de correos nº 61076 Madrid, 28080, indicando LOPD – derechos ARCO, conforme a la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal.” El acceso al servicio Buscador de Oficinas y Cajeros está accesible al público en general ya sean clientes o no clientes de la entidad. El acceso a este servicio requiere el acceso al recurso del terminal ”Ubicación” para identificar cajeros próximos 1. Mediante escrito de fecha de salida 4 de febrero de 2015, se ha requerido a BANKIA información sobre las finalidades para las que la aplicación requiere el acceso a las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 distintas funcionalidades del terminal, los tratamientos que se realizan con los datos recabados y la información que se ofrece al usuario sobre dichos tratamientos, teniendo entrada con fecha 19 de febrero de 2015 un escrito del representante de la entidad en el que manifiestan lo siguiente: 1. En la versión de Android, la propia aplicación contiene un icono marcado con “i” que redirige a la página web de BANKIA, a su aviso legal. En la versión del sistema operativo lOS se incluye en la propia tienda de aplicaciones una pestaña que indica “Política de privacidad”. Aportan impresiones de pantalla de ambos. 2. El acceso a la parte financiera de la aplicación (“Oficina internet”) requiere que el usuario sea cliente de BANKIA y, por tanto, haya autorizado el tratamiento de sus datos conforme cláusula LOPD que tenga firmada en cualquiera de los contratos que tenga con la Entidad. Aportan copia de los documentos que un cliente firmaría para contratar el servicio telemático y de prestación de servicios. Éste último incluye una cláusula de protección de datos en la que se informa al titular que la entidad tratará sus datos de carácter personal conforme a los consentimientos prestados por el titular en el documento Tratamiento de Datos Personales o equivalente y que podrá revocar en cualquier momento dichos consentimientos prestados a la entidad, así como ejercer sus derechos de acceso, rectificación, cancelación y oposición, dirigiendo su solicitud, por escrito, acreditando su identidad, a la dirección de correo electrónico protecciondedatos@bankia.com o al apartado de correos n 61076 Madrid 28080, indicando la referencia WPD-derechos ARCO. 3. BANKIA no almacena datos de ubicación, ni del móvil, ni de números de teléfono. Los permisos que se solicitan son para las siguientes finalidades: Ubicación: Los datos de ubicación se toman como referencia, sin ser almacenados, para localizar las oficinas y los cajeros más cercanos. Fotos/archivos multimedia/archivos: La aplicación, en su versión para el sistema operativo Android, permite ser instalada en la tarjeta SD o en la memoria interna del teléfono. Es una funcionalidad propia del sistema operativo y Android la incluye en los permisos como “acceso a Fotos y Multimedia”. ID de dispositivo y datos de llamada: Corresponde al permiso definido como “READ_PHONE_STATE”, y venia heredado de una librería externa que se utilizaba en la aplicación. Sin embargo, las funcionalidades de esta librería que requería tal permiso no se utilizaban, aunque por la arquitectura de Android no era posible incorporarla sin aplicar el permiso a la aplicación. En ningún momento la aplicación ha utilizado esta funcionalidad, sino otras facilitadas por el componente y por lo tanto no se ha almacenado esta información. Esta librería ya no se utiliza en la versión que se ha puesto a disposición de los usuarios desde el 16 de febrero de 2015, no se requiriere este permiso. 4. BANKIA no conserva información alguna relativa a las funciones anteriormente mencionadas. La información relativa a la localización siempre se envía mediante comunicación segura con el servidor y desligado de cualquier otro dato personal que identifique al cliente, por tanto disociado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 5. Los únicos datos personales que se manejan los datos económicos propios de la operativa bancaria. Cuyos mecanismos de comunicación son los mismos que los de la Oficinas internet de Bankia, y aplican, por tanto, las mismas condiciones para la seguridad, acceso, identificación y autentificación de usuarios. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 II En relación con los hechos denunciados y las comprobaciones realizadas por esta Agencia Española de Protección de Datos, debe señalarse, en primer lugar, que las aplicaciones para dispositivos/terminales móviles objeto de denuncia, son una extensión o ampliación de los servicios que el cliente /usuario tiene contratados con su entidad financiera, por lo que la información objeto de tratamiento estará amparada en la dispensa del consentimiento de acuerdo con el apartado segundo del artículo 6 de la LOPD, que determina que no es necesario el consentimiento del titular de los datos, cuando éstos sean necesarios para el desarrollo de una relación contractual. Teniendo en cuenta lo anterior, debe señalarse en segundo lugar que la información que exige el artículo 5 de la LOPD, se encuentra inserta en los contratos de servicio o producto que cada entidad financiera mantiene con sus clientes y en el caso analizado, con los usuarios de las aplicaciones, así como en las principales páginas web de cada entidad en los enlaces dedicados a mostrar la Política de Privacidad y Protección de Datos. Es decir, los usuarios conocen la información relativa al tratamiento de sus datos que realizan las entidades cuando le prestan su servicio de banca, ya sea a través de los canales tradicionales ya sea a través de lo que se denomina Banca Electronica. Ahora bien, respecto de los permisos que las aplicaciones solicitan al usuario del dispositivo en el que se van a instalar y la información ofrecida por la entidad responsable del servicio de descarga (ya sea Google Inc., a través del servicio Google Play, ya sea Apple Inc., a través del Servicio Apple Store) y de acuerdo con la información obtenida durante las Actuaciones Previas de Inspección en relación con la denuncia planteada debe indicarse que, los permisos que el usuario otorga a la aplicación en cuestión, son necesarios para el correcto funcionamiento de la misma. Y respecto de la información recopilada en el uso de las funcionalidades de la aplicación, al abrigo de los permisos que el usuario previamente otorga, tal como se pone de manifiesto en los puntos 3, 4 y 5 del Antecedente Segundo de la presente resolución, no resulta acreditado que BANKIA recopile y almacene dato alguno que haga necesaria información adicional a la ofrecida inicialmente en el momento de la contratación de los servicios de la entidad financiera, tal como se expone en el Fundamento de Derecho III. Asimismo, la descarga y uso de este tipo de aplicaciones de banca on-line responde a la voluntad del usuario que decida libremente utilizarlo, por lo que no resulta exigible su instalación y uso para ser cliente de productos y servicios financieros. Es decir, la utilización de estos servicios no conlleva de facto naturaleza de un Contrato de Adhesión, en la que una parte puede estar en condiciones objetivas de inferioridad por la imposición de cláusulas generales de la contratación y que suelen ser de obligada aceptación para ostentar la cualidad de consumidor o usuario de un determinado servicio, sino que en el caso analizado es el usuario el que decide utilizar dicho medio sin perjuicio de poder seguir utilizando los canales tradicionales sin mermar (dependiendo de la percepción y conocimientos técnicos que se tenga) su expectativa de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 Cuestión distinta es que en la mayoría de ocasiones el usuario medio no tiene conocimientos informático-técnicos para entender plenamente la finalidad de un determinado permiso (ni puede exigírsele), sirva a modo de ejemplo que cuando una aplicación del estilo de las analizadas solicita el acceso a la galería o a la carpeta de archivos del terminal, a priori, puede parecer excesivo dada la finalidad de la aplicación que no es otra que el ofrecimiento de servicios de banca on-line. Sin embargo la finalidad de dicho permiso no es otra que la posibilidad de poder descargar un extracto bancario en un determinado formato y luego poder acceder a dicha información. ( p. e., descarga de un resguardo de un pago en formato .jpg o pdf.) . Igualmente ocurre con los permisos relativos a la geolocalización, cuya finalidad no es otra que buscar una determinada oficina bancaria o cajero que se encuentre cercano a la ubicación física del usuario. Véase el punto 3 del antecedente segundo de la presente resolución. III En conclusión, no resulta acreditada vulneración del derecho de información que ostentan los titulares de los datos personales objeto de tratamiento, ya que la información que se ofrece a través los contratos cliente-Entidad financiera, cumple con el art. 5 de la LOPD, sin perjuicio de que sería deseable que las entidades que ofrecen servicios a través de una determinada aplicación adecuen el lenguaje de la información ofrecida al usuario que no tiene por qué conocer cuestiones técnicas determinadas, para así garantizar una expectativa razonable de privacidad del ciudadano al usar dichos servicios y no perciba que el uso de las posibilidades que ofrece el estado actual de la tecnología en estos casos, implique un determinado riesgo o una conculcación de su privacidad. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente CONSUMIDORES EN RED. Resolución a BANKIA, S.A. y a De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es