E-10188-2018

1/6 Expediente Nº: E/10188/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ING BANK NV, SUCURSAL EN ESPAÑA, en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 26/04/2018 tiene entrada en la Agencia Española de Protección de Datos un escrito de D. A.A.A. (en adelante, el denunciante) en el que expone que la entidad financiera ING BANK NV, SUCURSAL EN ESPAÑA (en lo sucesivo, ING o la denunciada), ha comunicado a un tercero sus datos personales sin su consentimiento. La conducta de ING que a juicio del denunciante vulnera la LOPD consistió en que, después de que en abril de 2018 hubiera recibido en su cuenta corriente en ING diversas transferencias de las que él no era beneficiario y respecto a las cuales ordenó a la denunciada su devolución, en vez de generar la devolución solicitada, “sin mi autorización lo que han hecho es transferir de mi cuenta a la cuenta de destino poniéndome como ordenante, es decir, le han facilitado sin mi autorización mis datos a un tercero”. En prueba de lo manifestado aporta varias capturas de pantalla obtenidas de la aplicación para clientes de ING que informan de que en fecha 25/04/2018 el denunciante ordena transferir diversas cuantías. En el documento figuran como datos del ordenante el nombre y dos apellidos del denunciante y como cuenta de origen de la transferencia los veinte dígitos de su cuenta corriente en ING. Las capturas de pantalla que aporta se refieren a dos transferencias de las que el denunciante es el ordenante: una por importe de 50 euros de la que es beneficiario “MEGAJUEGOS” y otra por importe de 20 euros cuyo beneficiario es B.B.B. El denunciante explica que en ocasiones anteriores había recibido transferencias en su cuenta bancaria cuyo beneficiario no era él sino otra persona y solicitó a ING que procediera a la devolución, actuando en tales casos la denunciada de forma distinta y respetuosa con la LOPD. Aporta a tal fin capturas de pantalla de la aplicación de clientes de la denunciada relativa a dos transferencias de fechas 08/02/2018 y 10/02/2018 en las que consta que la entidad ING hizo una “apunte bancario que reza devolución de transferencia” indicando en los detalles “como ordenante la persona que hizo la transferencia original”, de tal manera que sus datos personales no se cedieron al tercero. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones encaminadas al esclarecimiento de los hechos. En fecha 13/06/2018 se notifica a ING un requerimiento informativo al que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 denunciada responde en escrito que tiene entrada en este organismo el 30/07/

1. - La entidad manifiesta que el 08/02/2018 su cliente, actual denunciante, solicitó telefónicamente “la devolución de una transferencia recibida el mismo día en su cuenta Naranja por importe de 34 euros”. Y añade que “…el departamento responsable de la tramitación procedió a solicitar a la entidad ordenante la devolución de la misma conforme a lo requerido por el reclamante”. - Expone que el 24/04/2018 el denunciante contactó de nuevo por vía telefónica con el SAC de la compañía y solicitó la devolución de tres transferencias “lo que motivó la apertura de tres incidencias en el sistema de gestión de reclamaciones de ING” en las que se constan los siguientes datos relativos a dichas transferencias: “Fecha de emisión 07/04/2018 11/04/2018 19/04/2018 - Importe 45 € 50€ 20€ Concepto Far Cry 5 PSA GOC Ref 4329874 RDR Segunda Mano Vibo” En relación a la solicitud de devolución de estas tres transferencias ING manifiesta que el denunciante contacto con el SAC en fecha 25/04/2018 “a través del chat on line” interesándose por el estado de tramitación de las incidencias abiertas en el que se puso en su conocimiento que al haber realizado la solicitud de devolución de las transferencias “fuera de plazo” se encontraban “trabajando para poder devolverlas”. Se facilita una transcripción de la conversación mantenida a través del chat entre el denunciante y una trabajadora de ING. El denunciante dice: “abrí ayer unas incidencias para devolver transferencias bancarias pero veo que aún siguen sin procesarse podría arrojarme algo más de luz…” La empleada responde: “Según reviso los expedientes sigues en gestión”. “Se ha solicitado la devolución a origen fuera de plazo, veo que una transferencia es del día 7 de abril, otra del 11 y del 19 de abril, estamos trabajando para poder devolverlas, pero no podría confirmarte en este momento”. “El plazo para devolver una transferencia a origen sería de dos días sin contar la fecha de recepción”. ING expone en su escrito de respuesta al requerimiento informativo que a diferencia de la primera devolución solicitada, en este segundo caso habían transcurrido más de tres días desde la emisión cuando el cliente solicita la devolución de la transferencia, “plazo en el que el banco beneficiario de una transferencia debe enviar el mensaje de devolución al banco de origen, de acuerdo con la regulación establecida en el “SEPA credit transfer scheme rulebook” o “esquema de transferencia SEPA” (CT-01.04R)” Añade la denunciada que la citada normativa es de aplicación a todas las entidades bancarias que operan en la eurozona por lo que resultaba imposible que se devolviera a origen la transferencia a través de mecanismo de ficheros de intercambio entre entidades. Teniendo en cuenta el interés mostrado por el cliente en agilizar el trámite se acudió al mecanismo de OMF (ordenes de movimientos de fondo o transferencias urgentes) que se caracteriza, entre otras cuestiones, porque los abonos se ingresan en la cuenta del beneficiario  - - C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 - en el mismo día en el que la operación se ordena. En este caso, “el Banco de España envía los datos de la cuenta de cargo a la entidad de la cuenta beneficiaria de la misma forma que ocurre con las transferencias ordinarias”. En fecha 26/04/2018, el denunciante contacta con ING pues al haberse reflejado en su cuenta la orden de transferencia ha comprobado que sus datos figuran como ordenante de la transferencia por lo que formula una queja contra la entidad pues no ha autorizado la comunicación de sus datos personales a terceros. TERCERO: Los hechos objeto de la presente denuncia quedan sometidos a las disposiciones de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y normas reglamentarias de desarrollo. La comunicación de los datos personales del denunciante a terceros a raíz de que ING los hiciera constar, en calidad de ordenante, en una transferencia a través de la cual se articuló la devolución de los importes que se habían transferido previamente a su cuenta corriente y de los que él no era el beneficiario -conducta en la que se concreta la denuncia- aconteció el 25/04/
2. Así pues, todo indica que el tratamiento de los datos personales del afectado que ING llevó a cabo y en el que se materializa la pretendida conducta infractora, aconteció antes de la aplicación efectiva del Reglamento (UE) 2016/679 que data del 25/05/
3. FUNDAMENTOS DE DERECHO I De conformidad con lo establecido en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos. II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 11 de la LOPD, bajo la rúbrica “Comunicación de datos” establece: 1.Los datos de carácter personal objeto de tratamiento sólo podrán ser comunicados a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado.
4. El consentimiento exigido en el apartado anterior no será preciso: a) Cuando la cesión está autorizada en una ley. b) Cuando se trate de datos recogidos de fuentes accesibles al público. c) Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique. (…) Paralelamente deben tomarse en consideración las disposiciones de la Ley 16/2009 de Servicios de Pago (que traspuso la Directiva 2007/64/CE de Servicios de Pago) -norma actualmente derogada por el Real Decreto-Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera- y el Reglamento (CE) 260/2012 por el que se establecen requisitos técnicos y empresariales para las transferencias y los adeudos domiciliados en euros. La Ley 16/2009 - vigente cuando acontecieron los hechos que nos ocupan- puso los cimientos para asentar las bases comunes en la regulación de la prestación de servicios de pago dentro de nuestro ordenamiento jurídico, transponiendo el contenido de la Directiva 2007/64/CE, del Parlamento Europeo y del Consejo, de 13 de noviembre de 2007, sobre servicios de pago en el mercado interior -por la que se modificaban las Directivas 97/7/CE, 2002/65/CE, 2005/60/CE y 2006/48/CE y por la que se derogaba la Directiva 97/5/CE- y facilitó considerablemente la aplicación operativa de los instrumentos de pago en euros dentro de la zona única de pagos, la Single Euro Payments Area o SEPA. La zona única de pagos en euros (SEPA, por su acrónimo en inglés) es el área en el que ciudadanos, empresas y otros agentes económicos pueden efectuar y recibir pagos en euros en Europa, dentro y fuera de las fronteras nacionales, en las mismas condiciones y con los mismos derechos y obligaciones, independientemente del lugar en que se encuentren De acuerdo con la normativa SEPA la “devolución de una transferencia” tiene lugar cuando la transferencia se desvía de la tramitación normal después de una Liquidación interbancaria, y el Banco Beneficiario la envía al Banco Ordenante porque la transferencia no se puede tramitar por razones válidas, tales como número de cuenta erróneo o cuenta cerrada, con la consecuencia de que no se puede abonar el importe en la cuenta del Beneficiario basándose en la información que contiene el mensaje de transferencia original. Según el esquema de transferencias SEPA el plazo para efectuar la devolución es de tres días, plazo en el que el banco beneficiario deberá enviar al banco ordenante el mensaje de devolución. En el supuesto que nos ocupa ha quedado acreditado que el denunciante se puso en contacto telefónico con ING comunicándole que había recibido tres transferencias en su cuenta de las que él no era el beneficiario en fecha 24/04/
5. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Asimismo consta acreditado que las tres transferencias que se hicieron a la cuenta bancaria del denunciante son de fecha 19, 11 y 7 de abril por importes, respectivamente, de 20 €, 50€ y 45€. Por lo que atañe a las dos primeras transferencias sabemos que el beneficiario era, respectivamente, B.B.B., y MEGAJUEGOS. Así las cosas, la comunicación de los datos del denunciante por ING en el marco de la transferencia efectuada, mediante la cual se devuelven a quien ordenó inicialmente la transferencia los importes transferidos, está amparada en la normativa SEPA y en la Ley 16/2009 vigente en fecha 24/04/2018, por lo que no era preciso recabar el consentimiento del denunciante al amparo del artículo 11.2.a) de la LOPD. Se añade a lo expuesto que la competencia de la AEPD se ciñe a las cuestiones directamente relacionadas con el derecho fundamental a la protección de datos de carácter personal por lo que quedan fuera de su ámbito competencial la valoración y el pronunciamiento sobre la adecuación o no de la actuación de ING a la normativa bancaria que sea de obligado cumplimiento para esas entidades. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
6. PROCEDER AL ARCHIVO de las presentes actuaciones.
7. NOTIFICAR la presente Resolución a ING BANK NV, SUCURSAL EN ESPAÑA, con NIF W0037986G y al denunciante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 66 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es