1/8 Expediente Nº: EXP202105726 RESOLUCIÓN Nº: R/00466/2022 Vista la reclamación formulada el 15 de noviembre de 2021 ante esta Agencia por D. A.A.A. contra ING BANK N.V., SUCURSAL EN ESPAÑA, por no haber sido debidamente atendido su derecho de supresión. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante) presentó ante esta Agencia una reclamación contra ING BANK N.V., SUCURSAL EN ESPAÑA (en lo sucesivo, el reclamado) con NIF W0037986G por no haber sido debidamente atendido su derecho de supresión. Indica que previamente no se ha dirigido a la entidad responsable del tratamiento. El reclamante manifiesta haber sido estafado a través de un portal inmobiliario en internet, tras realizar una transferencia para la reserva de un piso, señalando que posteriormente han utilizado sus datos personales para abrir cuentas bancarias a su nombre y seguir estafando a terceras personas. Aporta copia de la denuncia inicial ante la Policía Nacional así como posteriores ampliaciones de dicha denuncia. El reclamante también ha presentado una reclamación a través de consumo a las entidades bancarias ya que, a pesar de que las cuentas bancarias utilizadas para la estafa están a su nombre, la entidad no les da acceso a ellas. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. El reclamado señaló que “La reclamación interpuesta por el Sr. A.A.A. ya fue resuelta por ING con anterioridad a la recepción de este requerimiento. Tras conocer los hechos, ING canceló la Cuenta Nómina y la Cuenta Naranja que figuraban a nombre del Sr. A.A.A. y se procedió al bloqueo de la tarjeta asociada a dicha cuenta, de forma inmediata. A su vez insertó la alerta explicada en el apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 tercero de estas alegaciones, para evitar que se pudiera hacer ninguna contratación a nombre del Sr. A.A.A. o con su DNI en el futuro. Asimismo, ING ha informado al Sr. A.A.A. de las gestiones realizadas, como se comprobará en apartados posteriores de estas alegaciones.” “(…) Si bien esta reclamación no versa sobre ninguna solicitud de ejercicio de derechos recogidos en los artículos 15 al 22 del RGPD, ING sí remitió al Sr. A.A.A. un email y un SMS informándole acerca de las acciones llevadas a cabo tras conocer los hechos ocurridos, en concreto la baja de las Cuentas Nómina y Naranja, como podrá comprobarse más adelante. El SMS fue enviado con fecha 22 de octubre de 2021 y el email con fecha 23 de octubre de 2021. Sin embargo, hemos verificado que dichos mensajes se enviaron a la dirección de email y teléfono móvil aportados por el tercero y no a los que el Sr. A.A.A. nos facilitó posteriormente como número y dirección de email de su titularidad. Por ese motivo, se le ha remitido nuevamente un mail, para informarle de las acciones realizadas. Se adjunta como Documento número 1.” El reclamado indica que uno de los pasos del proceso de contratación es que se aporte el IBAN de otra cuenta que tenga dada de alta en otra entidad bancaria distinta a ING, y que fue aportada “(…) copia del documento SEPA firmado por el que, supuestamente, el Sr. A.A.A. demuestra la titularidad del IBAN aportado, que se trata de una cuenta en Evo Bank que consta a su nombre.” A través de la página web online de ING, se efectuó la contratación a nombre del reclamante de una Cuenta Nómina acabada en "XXXX", una Cuenta Naranja acabada en "YYYY", y una tarjeta. ING verificó la identidad de la persona contratante mediante la aportación de una fotografía del DNI, verificación de la vida laboral a través de la información de la Tesorería General de la Seguridad Social, comprobación de la titularidad de otra cuenta bancaria abierta en otra entidad (EVO BANCO) distinta de ING, verificación de la posibilidad de acceso a esa cuenta al confirmar el cliente el importe de las dos transferencias realizadas por ING a dicha cuenta, para lo cual tuvo que acceder a la cuenta en esa entidad (EVO BANCO), revisar los importes transferidos y posteriormente acceder al área de cliente de ING e introducir los importes. Al tener conocimiento de los hechos a través de una llamada recibida del reclamante con fecha 20 de octubre de 2021, se le solicita la denuncia policial interpuesta, así como documentación adicional, incluida una copia de su DNI, documentación que facilitó en fecha 21 de octubre de 2021, procediéndose a cancelar las dos cuentas que tenía dadas de alta a su nombre y la tarjeta, a rescindir el contrato por fraude, y se insertó a su vez una alerta de fraude en los sistemas que garantiza que si se detectara una solicitud de contratación online o telefónica a nombre del reclamante, ésta no podría concluirse por estos canales, redirigiéndose a la persona solicitante a una oficina física para permitir su identificación física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 El 5 de octubre de 2021 el departamento de seguridad de EVO BANCO procedió al bloqueo de la cuenta abierta a nombre del reclamante, al detectar que podía haber habido un fraude en su apertura. El 26 de octubre el reclamante notificó a EVO BANCO que su identidad se había utilizado para abrir una cuenta a su nombre. En ese momento, el departamento de seguridad procedió a la cancelación definitiva de la cuenta. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 11 de febrero de 2022, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se informó a las partes que el plazo máximo para resolver el presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión a trámite, será de seis meses. El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. Dicha entidad formuló, en síntesis, que “En primer lugar, desde ING nos gustaría resaltar que no tenemos constancia de que el Sr. A.A.A. hubiera ejercitado un derecho de acceso sobre sus datos personales ante nosotros y así ya lo poníamos de manifiesto en las alegaciones al requerimiento de información (…)”. “En este sentido, únicamente nos consta una interacción con el Sr. A.A.A. donde nos solicita del certificado de titularidad de la cuenta bancaria que fue abierta a su nombre mediante la suplantación de tu identidad. En concreto, dicha petición fue realizada a través de una llamada de teléfono que el Sr. A.A.A. realizó al call center de ING el 20 de octubre de 2021, la cual está grabada, donde nos informó de la suplantación de su identidad en la apertura de la cuenta y nos solicitó dicho certificado de titularidad. La agente del call center que le atendió, además de realizar las gestiones necesarias para bloquear la cuenta y remitir el caso al departamento de Fraude de ING, como ya fue explicado en las alegaciones mencionadas, le informó de que era necesario que nos facilitara la denuncia y de que ING no podía darle información sobre el nombre de la persona que abrió la cuenta ni sobre los movimientos en la misma, ya que esa información solo podría ser facilitada a la Policía si así nos fuera requerida. En las transacciones efectuadas desde la Cuenta Nómina abierta a nombre del Sr. A.A.A. hemos verificado que se localizan, en el concepto de la operación, nombre y apellidos de terceras personas (…)” CUARTO: Examinadas las alegaciones presentadas por el reclamado, son objeto de traslado a la parte reclamante para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas, sin que conste en esta Agencia ninguna respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 11 de febrero de 2022, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. CUARTO: El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
- e)para la formulación, el ejercicio o la defensa de reclamaciones”. QUINTO: El artículo 12 del RGPD, Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado, establece en el punto 3 que “El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” SEXTO: En el supuesto aquí analizado, del examen de la documentación aportada, no ha quedado acreditado que el reclamante haya ejercitado el derecho de supresión ante la entidad. En la reclamación presentada ante esta Agencia, en el apartado “¿Ha remitido previamente esta cuestión a Delegado de Protección de Datos o a la entidad responsable del tratamiento?”, ha marcado la opción “No”., y además, no ha aportado prueba documental alguna que permita considerar que haya ejercitado su derecho. En consecuencia, procede desestimar la presente reclamación de derechos. No obstante lo anterior, durante la tramitación del presente procedimiento, la entidad reclamada ha señalado que “Tras conocer los hechos, ING canceló la Cuenta Nómina y la Cuenta Naranja que figuraban a nombre del Sr. A.A.A. y se procedió al bloqueo de la tarjeta asociada a dicha cuenta, de forma inmediata. A su vez insertó la alerta explicada en el apartado tercero de estas alegaciones, para evitar que se pudiera hacer ninguna contratación a nombre del Sr. A.A.A. o con su DNI en el futuro.” Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por D. A.A.A. contra ING BANK N.V., SUCURSAL EN ESPAÑA. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a ING BANK N.V., SUCURSAL EN ESPAÑA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1037-080921 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es