PS-00002-2015

1/39 Procedimiento Nº PS/00002/2015 RESOLUCIÓN: R/01848/2015 En el procedimiento sancionador PS/00002/2015, instruido por la Agencia Española de Protección de Datos a la entidad CAIXA CARD 1 Establecimiento Financiero de Crédito, S.A., vista la denuncia presentada por D. A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16/04/2014, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que denuncia que los datos personales contenidos en su tarjeta de crédito con tecnología contactless de “La Caixa”, relativos a nombre del titular, el banco emisor, el número de cuenta y la fecha de caducidad, pueden ser accedidos de forma sencilla y a distancia. A la denuncia se anexa:  Capturas de pantalla de una posible demostración de interceptación del Nombre del Titular, parte del número de la tarjeta y fecha de caducidad de una tarjeta Visa de La Caixa.  Un documento titulado “Consulta relativa a la posible responsabilidad legal en el uso de chips RFID en tarjetas de pago bancarias”, fechado el 22/01/2014, sin firmar y sin mención sobre sus autores. Posteriormente, en correo electrónico de fecha 29/10/2014, el denunciante facilita el nombre y apellidos de dos personas a las que atribuye el documento. SEGUNDO: A la vista de los hechos denunciados, en fase previa de investigación, por los Servicios de Inspección de esta Agencia se llevaron a cabo las siguientes actuaciones: 1. Con fecha 03/06/2014 se solicitó a “La Caixa” una tarjeta de crédito con tecnología contactless, configurada con los datos de un usuario ficticio. 2. Con fecha 20/06/2014, el funcionario actuante mantuvo una conversación telefónica con una persona perteneciente a la Asesoría Jurídica de Caixabank, solicitada por éste, en la que el mismo comunicó que tenían preparada para remitir a la AEPD una tarjeta de crédito contactless con un usuario ficticio, con un crédito obligatorio y que de forma inmediata la habían bloqueado para su uso. Solicitó que cuando ya no fuese necesaria para realizar más actuaciones se avisase a Caixabank para su eliminación de la base de datos de clientes. 3. Con fecha de entrada en el registro de la AEPD de 24/06/2014 se recibió respuesta de la entidad Caixabank, S.A. (en lo sucesivo CAIXABANK) en los siguiente términos: a. Que CAIXABANK es la comercializadora, en calidad de agente, de los productos y servicios de CAIXACARD 1, EFC, S.A.U., el establecimiento financiero de crédito de su grupo, emisor de las tarjetas de crédito, débito y prepago (en lo sucesivo CAIXACARD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/39 b. La tarjeta de prueba la ha solicitado CAIXABANK a CAIXACARD y se adjunta en la respuesta, con las siguientes características: i.Tarjeta de crédito: Limite 300 euros. ii.Tecnología Contactlees: Operativa c. Emitida a usuario ficticio. La tarjeta ha sido emitida con los siguientes datos ficticios: i.Nombre y apellidos del titular: "ES PERSONA FICTICIA " ii.NIF del Titular: "***NIF.1" iii.Fecha de nacimiento titular: 01/01/1960 iv.Sexo Titular: hombre v.Cuenta de cargo asociada: ***CTA.1 d. Al objeto de atender con rigurosidad la solicitud recibida, se ha procedido al alta en la base de datos de CAIXACARD de un cliente inexistente, así como la asignación a la tarjeta emitida de un límite de crédito de 300 euros (mínimo imprescindible para la emisión del instrumento). e. Dada la excepcionalidad de esta situación, se ha procedido al bloqueo de la tarjeta. f. Esta situación de bloqueo no afecta a las funcionalidades técnicas operativas del instrumento, en especial las relativas a la tecnología contactless, que permanecen totalmente operativas, pero si se iniciara un intento de pago con ella, tras realizar las comunicaciones entre la tarjeta y el datafono o TPV del comercio de manera normal, y la remisión de la información de la operación concreta por el TPV del comercio al centro autorizador, este denegaría el pago. g. El producto se ha dado de alta en la base de datos de CAIXACARD. Como no corresponde a ningún cliente real, solicitan que se comunique la conclusión de las pruebas a la mayor brevedad posible, a los efectos de poder dar de baja tanto al titular ficticio como el instrumento de pago. 4. Con fecha 07/07/2014, por los Servicios de Inspección se realizaron las siguientes pruebas: - Se instalaron en un móvil Samsung GT- I8160P con versión de Android 4.1.2 las aplicaciones CardTest, NFC Smartcard y NFC Taginfo - Se configuró el Smartphone para habilitar NFC, Adroid Beam y S Beam - Con una tarjeta de prueba se comprobó que las tres aplicaciones anteriores funcionan correctamente. - Se realizó una prueba para leer las etiquetas NFC de la tarjeta proporcionada por CAIXABANK, comprobando que la tecnología contacless no parece operativa en dicha tarjeta. 5. Con fecha 07/07/2014 se reiteró a CAIXABANK que remitiera una tarjeta de prueba con tecnología contactless. Con fecha 24/07/2014 se recibió escrito de CAIXABANK (reiterado el 30/07/2014), que acompaña una nueva tarjeta con tecnología Contacless y en el que se manifiesta: En contestación a su escrito de fecha 7 de julio de 2014 por el que, al objeto de aclarar los términos de una denuncia presentada ante esa Agencia, nos solicitan que les hagamos llegar “una tarjeta de crédito de La Caixa con tecnología contactless” cúmplenos remitirles la siguiente información: PRIMERA.- Les reiteramos que Caixabank, S.A., es la comercializadora, en calidad de agente, de los productos y servicios de CAIXA CARD1 EFC, S.A.U., el Establecimiento Financiero de Crédito de su grupo, emisor de las tarjetas de crédito, débito y prepago (en adelante CaixaCard). Por ello, en atención a esta circunstancia, a raíz de su petición, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/39 hemos solicitado a CaixaCard la confección de la tarjeta por ustedes solicitada, que mediante la presente, y adjunta a este escrito, les hacemos llegar. SEGUNDA.- En relación a la manifestación realizada en su escrito, en la que aseveran que la primera tarjeta remitida por esta Entidad no estaba activada, cúmplenos informarles que, previamente a su envío, se realizaron pruebas a la tarjeta en cuestión, que resultaron en un funcionamiento normal de la misma. Adjuntamos como Anexo 1 a este escrito copia de las transacciones de prueba realizadas previas al envío. TERCERA.- Sin perjuicio de lo anterior atendiendo a su petición, se ha confeccionado una nueva tarjeta con las siguientes características: - Tarjeta de crédito: Limite 300 euros. - Tecnología Contactlees: Operativa - Emitida a usuario ficticio. La tarjeta ha .sido emitida con los siguientes datos ficticios: • Nombre y apellidos del titular: “ES PERSONA FICTICIA” • NIF del Titular: “***NIF.1” • Fecha de nacimiento titular: 01/01/1960 • Sexo Titular: hombre • Cuenta de cargo asociada: ***CTA.1 De manera previa a su envío, se han realizado pruebas de funcionamiento a la tarjeta que han arrojado resultados operativos normales. Adjuntamos a este escrito, como Anexo II copia de las transacciones de prueba realizadas previas al envío. CUARTA.- La nueva tarjeta se ha asignado al mismo cliente inexistente que la anterior, compartiendo con aquella un límite de crédito de 300 euros (mínimo imprescindible para la emisión del instrumento), procediéndose al bloqueo de la tarjeta. Esta situación de bloqueo no afecta a las funcionalidades técnicas operativas del instrumento, en especial las relativas a la tecnología contactless, que permanecen totalmente operativas. Por ello si en su serie de pruebas necesitaran realizar un simulacro de compra en un Terminal Punto de Venta (TPV), podrían procesarlo, ya que tras realizar las comunicaciones entre la tarjeta y el TPV del comercio de manera normal, y la remisión de la información de la operación concreta por el TPV del comercio al centro autorizador, este denegaría el pago, no cargándose ninguna cantidad al crédito de la tarjeta. QUINTA.- De nuevo, dada la excepcionalidad del hecho de tener registrado un producto en la base de datos de CaixaCard, que no corresponde a ningún cliente real, les rogamos que nos comuniquen la conclusión de las pruebas a la mayor brevedad posible, a los efectos de poder dar de baja tanto al titular ficticio como el instrumento de pago, mediante correo electrónico dirigido a la dirección…”. 6. Con fecha 04/08/2014 se realizaron las siguientes pruebas: - Se utilizó el móvil Samsung GT- I8160P con versión de Android 4.1.2 y con las aplicaciones CardTest, NFC Smartcard y NFC Taginfo con la misma configuración que en la prueba del 07/07/2014. - Se configuró el Smartphone para habilitar NFC, Adroid Beam y S Beam - Con una tarjeta de prueba se comprobó que las tres aplicaciones anteriores funcionan correctamente. - Se realizó una prueba para leer las etiquetas NFC de la tarjeta proporcionada por CAIXABANK, comprobando que la tecnología contacless no parece operativa en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/39 dicha tarjeta. 7. Con fecha 12/08/2014 se solicitó a CAIXABANK que proporcionase la siguiente información: a. Identificación de los protocolos y aplicaciones de comunicación contactless que se utilizan en las tarjetas de CAIXABANK. b. Diferencias entre los protocolos y aplicaciones contactless utilizados por los distintos tipos de tarjetas distribuidas a los clientes de CAIXABANK. c. Sustituciones, modificaciones o adaptaciones introducidas en los protocolos y aplicaciones utilizados en las tarjetas contactless utilizadas por CAIXABANK. d. Requisitos para que un terminal externo pueda acceder a la información almacenada en la tarjeta en los distintos protocolos y aplicaciones anteriores. e. Información detallada del procedimiento de intercambio de información entre la tarjeta contactless y un lector NFC en las distintas aplicaciones. Detallar la información que se transmite no cifrada a través de la comunicación contactless, especificando con precisión aquella relativa a la identificación de los usuarios, a los números de cuenta de los mismos o a cualquier otra información de carácter personal. f. Resultados de las auditorías de seguridad e informes de impacto previo sobre la privacidad realizados por la entidad a las comunicaciones y servicios implementados con tarjetas con tecnología contactless. 8. Al no recibirse contestación a la solicitud de información anteriormente citada, de la que se tiene constancia de su recepción el 18/08/2014, se reiteró la solicitud de información el 10/10/2014, con acuse de recibo el día 15/10/2014. 9. Al no recibirse contestación a la reiteración de información, con fecha de 05/11/2014 la inspección actuante contactó con la Asesoría Jurídica de CAIXABANK para reclamar la documentación solicitada. La misma persona con la que se mantuvo la conversación telefónica reseñada en el apartado 2 anterior manifestó que la documentación se había remitido a la AEPD en dos envíos y por correo electrónico el contenido de uno de ellos. 10. En la carta de respuesta a la información requerida, recibida el 04/11/2014, CAIXABANK manifestó: a. Identificación de los protocolos y aplicaciones de comunicación contactless que se utilizan en las tarjetas de CAIXABANK. i.En primer lugar indicar a la Agencia que las tarjetas de pago interesadas, si bien comercializadas por CAIXABANK, son emitidas por Caixacard 1, EFC, S.A.U. ("CaixaCard”), filial de CAIXABANK íntegramente participada por ella, a la que transmitió, en fecha 28/12/2012, el negocio de tarjetas de pago. Sin perjuicio de lo anterior, se traslada la información obtenida de CAIXACARD, en relación a la presente solicitud de información. Identifica, a continuación los protocolos y aplicaciones utilizados para las comunicaciones de las tarjetas contactless, todos ellos implementados en virtud de los estándares técnicos definidos y certificados por las propias marcas (VISA,MasterCard, American Express…) e ISO/IEC, resultando dichos estándares comunes y obligados para todo el sector:  Protocolo T=CL, RF tipo A.  Aplicaciones Visa vsdc 2.7.1 y vsdc 2.8.1F  EMV Contactless Specifícatíons for Payment Systems. Book D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/39 b. c. d. e. C/ Jorge Juan, 6 28001 – Madrid EMV Contactless Communicatión Protocol Specification.  ISO/IEG 14443-1. Identification cards - Contactless integrated círcuit(

1. s)cards – Proximity cards - Part 1: Physical characteristícs.  ISO/IEC 14443-2. Identification cards -Contactless integrated circuít(
2. s)cards- Proximity cards -Part2; Radio frequency power and signal interface.  ISO/IEC 14443-3. Identification cards -Contactless integrated circuit(
3. s)cards – Proximity cards-Part 3: Initialization and anticollision.  ISO/ÍEC14443-4. Identification cards -Contactless integrated circuit(
4. s)cards-Proximity cards –Part 4: Transmission protocol Diferencias entre los protocolos y aplicaciones contactless utilizados por los distintos tipos de tarjetas distribuidas a los clientes de CAIXABANK. Diferencias entre los protocolos Los protocolos de comunicaciones de tarjetas contactless no han sufrido ninguna variación desde el inicio de su implantación. Diferencia entre aplicaciones En cuanto a las aplicaciones existen dos versiones de las aplicaciones (en relación a las tarjetas contactless de la marca VISA), ello en virtud de las versiones sucesivamente desarrolladas por dicha marca:  VCPS 2.2, para vsdc 2.7.1  VCPS 2.1.1 para vsdc 2.8.1F En relación a las diferencias entre las versiones citadas, se remite a la respuesta facilitada en el apartado
5. e)posterior. Sustituciones, modificaciones o adaptaciones introducidas en los protocolos y aplicaciones utilizados en las tarjetas contactless utilizadas por CAIXABANK. El emisor de las tarjetas contactless CAIXACARD, no ha realizado ningún cambio en relación a los protocolos, aplicaciones, o estándares, entera y exclusivamente definidos por las marcas. Requisitos para que un terminal externo pueda acceder a la información almacenada en la tarjeta en los distintos protocolos y aplicaciones anteriores. Requisitos que podrían capacitar a un terminal externo para acceder a determinada información almacenada en la tarjeta:  Dispositivo lector expresamente programado para leer información con el protocolo EMV Contactless/NFC  Ubicación del citado dispositivo a una distancia concreta (entre cinco centímetros y un metro en función de la potencia del mismo).  Únicamente pueden realizar transacciones los terminales homologados y certificados, qué tienen las claves necesarias para ello. Información detallada del procedimiento de intercambio de información entre la tarjeta contactless y un lector NFC en las distintas aplicaciones. Detallar la información que se transmite no cifrada a través de la comunicación contactless, especificando con precisión aquella relativa a la identificación de los usuarios, a los números de cuenta de los mismos o a cualquier otra información de carácter personal. El procedimiento de intercambio de información entre la tarjeta y el dispositivo de lectura genuino se encuentra detallado en los estándares que se han indicado en el apartado
6. a)asociados a la norma. ISO/ICE 14443-X y EMV Contactless Specifications for Payment Systems. La información no cifrada que se envía, en cada una de las aplicaciones y www.agpd.es sedeagpd.gob.es 6/39 f. de acuerdo con los estándares que las definen es la siguiente: VCPS 2.0.2 para vsdc 2.7.1  PAN  Nombre del titular  Fecha de caducidad  Código de Servicio  CVV dinámico y otros datos EMV VCPS 2.1.1 para vsdc 2.8.1F  PAN  Fecha de caducidad  Código de Servicio  CVV dinámico y otros datos EMV Resultados de las auditorías de seguridad e informes de impacto previo sobre la privacidad realizados por la entidad a las comunicaciones y servicios implementados con tarjetas con tecnología contactless. Adjuntamos, de acuerdo con su solicitud:  Informe de Auditoría de Plataforma, emitido en fecha 17/07/2012, así como  (actualización revisión) Informe de Seguridad informática, emitido en fecha 25/09/2014. 11. PAN es el acrónimo de Primary Account Number, está definido en el estándar ISO/IEC 7812-1 y es el número que viene impreso y/o estampado en altorrelieve en los plásticos de las tarjetas de pago. 12. Con fecha 04/11/2014, se recibió la carta descrita en los puntos anteriores así como dos informes adjuntos, de auditoría de seguridad, fechados en 2014 y 2012. 13. El primero titulado “Informe de Seguridad Informática Num. RS****** – Informe Ejecutivo – Actualización revisión de seguridad de tarjetas de pago contactless”, fechado el 25/09/2014, con membrete de “CaixaBank”, lista de distribución, entre otros, a “Caixa Card”, y referencia de archivo “CaixaBank, S.A. “la Caixa” 9722 – Gestió de Seguretat Informática. (C/............1) – Barcelona”, realizado por Incita Security. En dicho informe se manifiesta lo siguiente: a. Que el informe es la actualización de la auditoría de seguridad, que se incluye como segundo informe, realizada en 2012. b. “En septiembre de 2014 se ha finalizado la verificación de un cambio mediante el cual se soluciona uno de los puntos reflejados en el informe original (posibilidad de lectura en claro de los datos de nombre del titular de la tarjeta). Con motivo de esta acción se ha procedido a la actualización del informe”. c. Las pruebas de la presente revisión se realizaron en junio de 2014. d. Que la revisión de seguridad que se refleja en el informe del 2014 tiene el propósito, entre otros, de determinar “la interceptación de los datos que pueda contener la tarjeta”. e. Que el protocolo que utilizan la tarjetas contactless “no tiene controles que impidan a un atacante la lectura de algunos de los datos contenidos en la tarjeta” y que “no establece ningún control de autenticación para que la tarjeta verifique que está hablando con un TPV válido, posibilitando que la información contenida en la tarjeta pueda ser consultada” y que “no implementa cifrado de comunicaciones, por lo que con el hardware adecuado, un atacante potencial que se encuentre a unos pocos centímetros de un TPV podría llegar a interceptar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/39 comunicaciones establecidas”. En relación con la ausencia de cifrado en las comunicaciones se indica “no existen recomendaciones, pues el funcionamiento de los pagos contactless viene determinado por el estándar EMV, por lo que el problema se hereda del propio estándar”. Añade que “según el estándar de obligado cumplimiento PCI DSS algunos de los datos transmitidos en la comunicación NFC deberían ir cifrados. Por ello su transmisión en claro debería provocar el incumplimiento de dicho estándar. Visa y Mastercard colaboran en las definiciones, tanto del estándar PCI DSS como el protocolo de comunicación EMV, lo que genera una contradicción pues sus propios protocolos parecen no cumplir con su estándar”. En el resumen de vulnerabilidades, se indica que la ausencia de cifrado en las comunicaciones es asumida por CAIXACARD “por ser inherente a la tecnología y por el análisis del fraude que revela la imposibilidad actual de que ocurra”. f. Que los datos que se transmiten entre tarjeta y lector en las tarjetas de 2014 son: PAN, fecha de caducidad (datos que son visibles en el frontal de las tarjetas) y otros datos de configuración del protocolo. Estos datos pueden obtenerse interrogando una tarjeta o interceptando una comunicación. g. Que en el informe de 2012 referenciado, se señalaba que uno de los problemas de seguridad detectados de las tarjetas contacless realizadas con anterioridad era la “posibilidad de lectura en claro de los datos del Nombre del Titular de la tarjeta”. h. Que en el primer semestre de 2014, EMV (Europay Mastercard Visa) publicó un cambio en el protocolo que evita que el Nombre del Titular aparezca en texto claro. En relación a este cambio, se hizo una actualización de las tarjetas que “ha verificado la implementación de una mejora que evita que el Nombre del titular de la tarjeta se pueda capturar por parte de un lector NFC”. i. Que ante la evidencia de la lectura del Nombre del Titular en las tarjetas anteriores a 2014, y a pesar de que el informe de auditoría recomienda “acelerar la renovación anticipada del parque de tarjetas” la acción acordada ha sido “renovación por vencimiento u otras causas que puedan suceder”. El riesgo que de este fallo se pudiera derivar se acordó que lo asumiera CAIXACARD. j. Que el alcance de la comunicación puede ser de “hasta medio metro en dispositivos pasivos y caso 2 metros en dispositivos activos” k. “La posibilidad de operar mediante contactless sin la necesidad de introducir el PIN permiten que realicen transacciones sin la intervención del usuario” (hasta 20 euros). Hay un limitador de transacciones fijado internamente en la tarjeta que impide realizar transacciones indefinidas. l. “Los datos leídos de la tarjeta () podrían ser utilizados para realizar compras en algunos comercios online que no pidan el CVV2”. 14. El segundo titulado “Informe de Auditoría de Plataforma (Pago con Targetas (sic) Contactless) ref: 727-022-IAP – Sistema de Gestión de Seguridad de la Información” fechado el 17/07/2012, con membrete de “La Caixa” y realizado por Internet Security Auditors. En dicho informe se manifiesta: a. Las pruebas se realizaron sobre tarjetas VISA Classic con tecnología contactless. b. Concluyen que “el nivel de seguridad en este punto es Medio-Bajo”. c. Se transmite sin cifrado, en texto claro: i.El nombre del propietario de la tarjeta. ii.El PAN iii.La fecha de caducidad d. Que es posible obtener dicha información simulando un TPV a distancias de hasta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/39 2 metros con el material adecuado. No se establecen garantías para determinar si la comunicación se establece con un TPV auténtico. 15. Con fecha 01/12/2014 se ha accedido al área de cliente de CAIXABANK, en el área de contratación de tarjetas y se ha descargado el “Contrato de productos y servicios de Tarjetas” que establece que el contratante es: CaixaCard 1, Establecimiento Financiero de Crédito, S.A.U. En dicho contrato no se incluye ninguna información específica sobre la tecnología Contacless que utilizan las tarjetas para su funcionamiento (identificación por radiofrecuencia o RFID). TERCERO: Con fecha 21/01/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a CAIXACARD, por la presunta infracción del artículo 9 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
7. h)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, CAIXACARD presentó escrito de alegaciones en el que solicita el archivo del procedimiento de acuerdo con las consideraciones siguientes: . Las pruebas realizadas por los Servicios de Inspección para testear la operatividad de las tarjetas aportadas por la entidad no fueron las idóneas, al no utilizar los protocolos y aplicaciones definidos e implementados por las marcas. . La apertura del procedimiento se acuerda sin haber probado la realidad de un acceso no autorizado a datos de carácter personal, con evidente conculcación del principio de presunción de inocencia. . No se cumple el tipo establecido en el artículo 44.3.h de la LOPD, considerando que CAIXACARD no es la responsable de la seguridad de los datos de carácter personal identificativos de la tarjeta. Este dispositivo no es un fichero, ni un local, programa o equipo que esté en poder del responsable del tratamiento, sino que se trata de un instrumento de pago que obra en posesión del titular de los datos para operar en el tráfico económico, para lo que deberá contener los datos de dicho titular, el cual conoce sus características y decide usarlo o no. . Para servir como instrumento válido de pago, la tarjeta debe informar al receptor de los pagos el PAN, el nombre del titular, la identificación del emisor y la caducidad de la tarjeta (o lo que es lo mismo, identificación del titular e identificación del emisor). Sin el acceso a los citados datos identificativos, el titular no podría ser identificado por el receptor de los pagos y las transacciones no podrían llevarse a cabo. Además, el usuario interesado en poseer una tarjeta conoce que dicho instrumento incorpora su identificación, lo que legitima el uso y acredita su lícita titularidad. En este caso, la comunicación de datos que supone la utilización de la tarjeta se ajusta al supuesto contemplado en el artículo 11.2.
8. c)de la LOPD. . El titular del instrumento es convenientemente advertido, en el contrato que suscribe, que adquiere la condición de responsable de la conservación y uso correcto de a tarjeta, por lo que debe ser el titular del instrumento el responsable de adoptar aquellas medidas adecuadas para evitar alteración, pérdida, tratamiento o acceso no autorizado. . Las características descritas son equiparables a las de otros instrumentos sin funcionalidades inalámbricas, pero de naturaleza jurídico mercantil similar. Así, otras tarjetas de crédito y débito, sin tecnología Contactless, llevan impreso en su anverso, tanto el PAN de la tarjeta, como el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/39 nombre y apellidos de su titular, que cualquier persona puede leer a una distancia similar a la que transmite su información la tecnología Contactless, y esto nunca ha sido cuestionado como un déficit en la aplicación de medidas de seguridad del instrumento en cuestión. De hecho algo así sonaría ridículo, ya que es evidente que para poder pagar, hay que enseñar la tarjeta, y comprobar con otro documento la identidad de quien opera con ella. Este ejemplo se puede extrapolar a multitud de instrumentos. . Subsidiariamente, añade que las tarjetas Contactless incorporan medidas para garantizar la seguridad de los datos que incorporan y transmiten, cumpliendo con la normativa vigente, que toma en consideración los siguientes factores: (
9. i)El estado de la técnica, para acomodar las medidas de seguridad a los dispositivos o procedimientos que resulten aptos tanto para salvaguardar como para quebrar dichas medidas, (
10. ii)La naturaleza de los datos almacenados (en este caso, el nombre y número PAN de la tarjeta), con especial atención a los datos considerados sensibles, (iii) Los riesgos a que están expuestos, en base a una posible quiebra de seguridad por acción humana o bien por el medio físico o natural (en este caso, los inherentes a una posible interceptación). Así, las medidas de seguridad a adoptar deben ser configuradas y/o implementadas teniendo en cuenta las circunstancias referidas. De hecho dada la evolución del estado de la tecnología, y para evitar la posibilidad de fraudes económico, que no vulneraciones de la normativa sobre protección de datos, se modificaron los protocolos de comunicación de las tarjetas, restringiendo los datos que estas comunican. Estos cambios en la definición de las tarjetas, se reflejan en las diferentes versiones que los informes internos realizados sobre los instrumentos, aunque estos informes en ningún caso se referían a posibles problemas derivados de incumplimientos o vulnerabilidades en materia de protección de datos, sino a la seguridad frente al fraude. QUINTO: Con fecha 14/04/2015, se inició el período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la denuncia interpuesta y su documentación, los documentos que integran el expediente de investigación previa E/03311/2014, incluido el Informe de Actuaciones Previas de Inspección emitido, y por presentadas las alegaciones al acuerdo de inicio formuladas por CAIXACARD. SEXTO: Con fecha 16/04/2015, tuvo entrada en esta Agencia un correo electrónico del denunciante en el que advierte que dispone de varias tarjetas canceladas, que pueden leerse y permiten comprobar los hechos denunciados. SEPTIMO: Con fecha 20/04/2015, dentro del período de práctica de prueba, el instructor del procedimiento acordó requerir al denunciante para que aportase a las actuaciones las tarjetas de crédito con tecnología contactless que obran en su poder, a fin de que puedan ser examinadas por la Inspección de Datos en relación con las cuestiones suscitadas en el citado procedimiento, así como copia de la documentación formalizada para la contratación de las tarjetas que se remitan. En respuesta a este requerimiento, con fecha 04/05/2015 se recibe fax del denunciante en el que informa que ha remitido tres tarjetas con tecnología contactless emitidas a su nombre, ya canceladas, y aporta los contratos suscritos con CAIXABANK ELECTRONIC MONEY EDE, S.L. y CAIXACARD. Asimismo, aportó copia de una carta fechada el 26/10/2012, por la que se le comunica que a partir del 28/12/2012 será CAIXACARD ´la que preste todos los servicios relacionados con las tarjetas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/39 Por otra parte, con fecha 05/05/2015 se recibe correo electrónico del denunciante, en el que realiza diversos comentarios sobre el análisis de las tarjetas. OCTAVO: Mediante escrito de 02/05/2015, presentado el día 5 siguiente, el denunciante se persona en el procedimiento. NOVENO: Con fecha 05/05/2015, se recibieron las tres tarjetas de crédito requeridas al denunciante durante la fase de prueba. Estas tarjetas fueron examinadas por los Servicios de Inspección de la Agencia Española de Protección de Datos, que en fecha 12/05/2015 informaron sobre las pruebas realizadas: - “Se han instalado en un móvil LG-Leon 4G LTE con versión de Android 5.0.1 la aplicación EMV Analyzer. Se ha configurado el Smartphone para habilitar NFC y Android Beam. Con una tarjeta de prueba se ha comprobado que la aplicación anterior funciona correctamente. Se ha realizado una prueba para leer la información de las tarjetas de crédito/débito de CAIXABANK proporcionadas por el denunciante. La información que se ha capturado con la aplicación del teléfono móvil y que se muestra en la pantalla del mismo ha sido la siguiente: o De la tarjeta Visa Gold de CaixaBank nº ***CTA.2  Tipo de tarjeta: Visa debit/credit  Número de cuenta: ***CTA.2  Fecha de expiración: 31/10/17  Titular: A.A.A. o De la tarjeta Visa Electrón de CaixaBank nº ***CTA.3  Tipo de tarjeta: Visa electrón  Número de cuenta: ***CTA.3  Fecha de expiración: 31/12/17  Titular: A.A.A. o De la tarjeta Visa Money Electrón de CaixaBank nº ***CTA.4  Tipo de tarjeta: Visa electrón  Número de cuenta: ***CTA.4  Fecha de expiración: 31/12/17  Titular: A.A.A.”. DÉCIMO: Con fecha 20/05/2015, la entidad CAIXACARD tomó vista de las actuaciones. DECIMOPRIMERO: Con fecha 29/05/2015, se recibió un escrito del denunciante en el que señala que son dos las entidades que bajo la marca “La Caixa” proporcionan tarjetas de crédito, CAIXACARD y Caixabank Electronic Money Ede, S.L. Añade que la distribución de las tarjetas se realiza mediante correo postal; que en una nota de prensa la segunda entidad citada asegura tener más de cuatro millones de tarjetas en circulación; y que las tarjetas aportadas pueden leerse a distancia mediante el empleo de las aplicaciones que indica, obteniendo los detalles relativos al tipo de tarjeta, número, fecha de caducidad y titular. Aporta impresión de pantalla de una nota de prensa de 03/07/2014, en idioma inglés, obtenida de la web lacaixa.es, apartado “Sala de Prensa”, en la que se indica que la entidad tiene cuatro millones de contactless. DECIMOSEGUNDO: Con fecha 12/06/2015, se emitió propuesta de resolución en el sentido de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/39 que por el Director de la AEPD se sancione a la entidad CAIXACARD con multa de 80.000 euros (ochenta mil euros), por la infracción del artículo 9 de la LOPD, tipificada como grave en el artículo 44.3.
11. h)de la citada Ley Orgánica, y de conformidad con lo establecido en los apartados 2 y 4 del artículo 45 de la misma. Notificada la propuesta, la entidad CAIXACARD presentó escrito de alegaciones en el que solicita que se declare la no existencia de infracción o responsabilidad por parte de CAIXACARD o, subsidiariamente, la no existencia de infracción respecto de las tarjetas emitidas a partir de la versión VCPS 2.1.1 del primer semestre de 2014. Ello en base a las consideraciones siguientes: 1. Se conculca el principio de tipicidad, considerando que el dispositivo sobre el que se declaran no aplicadas las medidas de seguridad no se trata de un fichero, ni local, programa o equipo que esté en poder del responsable del tratamiento, por lo que el supuesto no se ajusta al tipo de infracción establecido en el artículo 44.3.
12. h)dela LOPD, según su propia literalidad. La propuesta de resolución realiza una interpretación analógica de la norma y la aplica a unos instrumentos de pago que no se encuentran en poder de la entidad emisora, sino del titular de los datos, y sobre el que el emisor no es responsable de aplicar lo establecido en el artículo citado. Para funcionar como instrumento de pago, la tarjeta necesita incorporar y transmitir la información del titular, y la comunicación de datos que se produce es fruto de la libre aceptación por el titular y portador de una relación jurídica cuyo desarrollo implica necesariamente esa comunicación. Además, en el contrato que suscribe, el titular está convenientemente advertido de que, una vez entregado el instrumento de pago, adquiere la condición de responsable de su conservación y uso correcto. 2. Aun considerando las tarjetas un equipo responsabilidad de la entidad, haciendo abstracción de lo indicado en el apartado anterior, CAIXACARD cumple las medidas de seguridad previstas en el artículo 92 del Reglamento de desarrollo de la LOPD: . Las tarjetas emitidas permiten identificar el tipo de información que contienen, ser inventariadas, y sólo pueden ser accesibles por el personal autorizado hasta su entrega al titular, que la activa. Atendiendo a la excepción incluida en el párrafo segundo del artículo 92 citado, a partir del momento en que el titular de la tarjeta la recibe y activa, pasa a estar a su entera disposición y se convierte en poseedor de la misma. CAIXACARD deja constancia de quién es el poseedor de la tarjeta, si está activada o no y qué uso le da, pero no pude delimitar el acceso a unos datos que tienen que ser accesibles por cualquier tercero con el que el titular desee realizar una transacción. . La salida de las tarjetas fuera de los locales bajo el control del responsable del fichero o tratamiento es vigilada por rígidos protocolos y es debidamente autorizada. Estas salidas de tarjetas están expresamente previstas y autorizadas en el documento de seguridad de la entidad. . En relación con lo establecido en el apartado 3 del mismo artículo 92, añade que en el traslado de las tarjetas y hasta su activación se adoptan medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información, considerando el sistema de envío implementado y que no es posible utilizarla hasta su activación por el titular. . Y sobre lo dispuesto en el apartado 4 del artículo 92 del Reglamento, indica que existen protocolos de destrucción de las tarjetas dirigidos a evitar el acceso a la información, de lo que se informa convenientemente al titular para que proceda a su destrucción cuando pretendan desechar las tarjetas no válidas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/39 . El apartado 5 del artículo 92 no se cumple porque las tarjetas no incorporan datos sensibles. Así, entiende que las medidas de seguridad se cumplen fielmente y que no pueden exigirse otras distintas a las expuestas, que ya han disminuido el riesgo en relación con la tecnología de pago anterior. No se ha producido vulneración de la normativa ni acceso ilegítimo alguno a datos de carácter personal de clientes de esta tecnología. 3. El artículo 9 de la LOPD se refiere a la adopción de medidas “habida cuenta el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos”. En primer término, advierte que la tarjeta transmite los mismos datos que desde hace más de veinte años las tarjetas enseñan en su anverso y lo que incorporan a su banda magnética y chips EMV, y añade que, en este caso, las medidas aplicadas a la tecnología Contactles es la idónea para garantizar la seguridad de los datos, habida cuenta: . No consta ningún caso de interceptación ilegítima de datos de una tarjeta motivada por la implementación de la tecnología Contactles y son públicos los casos de interceptación de datos de tarjetas que no la incorporan. De hecho, la reclamación que ha motivado el expediente no se plantea por un ciudadano preocupado, sino que tiene origen en un chantaje con finalidad económica. El denunciante intentó vender a CAIXACARD productos para la interceptación de las señales inalámbricas, tales como monederos, carteras, fundas, etc. . El estado de la tecnología no permite lecturas a distancia mayor de 5 cm. en equipos profesionales, o 1 cm. en aplicación de móvil (aporta acta notarial de una prueba realizada que así lo concluye). La posibilidad de interceptaciones entre 2 y 5 metros que se recoge en la propuesta no ha sido objeto de práctica de prueba ni de verificación por la AEPD. Por tanto, no es posible hacer una lectura sin ser descubierto por el poseedor de la tarjeta, ya sea con medios sencillos o avanzados, debido a que a poca distancia la conjunción de diferentes señales ofusca la información haciéndola inválida. Por otra parte, invoca la Sentencia de la Audiencia Nacional de 18/07/2007, según la cual no puede exigirse al responsable que impida el acceso ilegítimo a datos personales por un tercero cuando éste que accede hubiera cometido un delito, en ese caso el de violación de la correspondencia. Y el Gabinete Jurídico de la AEPD consideró conforme a derecho el acceso a los datos mediante lectores con tecnología inalámbrica a menos de un centímetro, incluso en casos de datos de nivel alto. . Los datos almacenados y emitidos por esta tecnología son el número de PAN, fecha de caducidad y, en la primera versión, el nombre del titular, que requieren medidas de nivel básico o medio. Entiende que la revelación del nombre de una persona de manera individual y acercándose a él hasta 5 cm. no debería considerarse un problema de privacidad relevante como para justificar este expediente, y que ha de tenerse en cuenta que los dispositivos no están conectados a redes de telecomunicaciones y que la tecnología Contactles no permite rastrear los movimientos del titular ni las actividades sobre las que previene la Comisión Europea en su recomendación y el Grupo de Trabajo del Artículo 29, cuyos temores son infundados en relación con este caso. . Los riesgos a los que están expuestos son nulos, ya que la posibilidad de registrar operación tras una interceptación está limitada para el cliente por contrato o por la garantía “CaixaProtec” que ofrece a sus clientes y que garantiza inmunidad frente a riesgos económicos. En el plano hipotético, el riesgo sería únicamente económico, sin que pudieran realizarse operaciones superiores a 20 euros (se pediría el PIN), en las inferiores a esa cantidad las actuaciones están garantizadas y mediante el compromiso “CaixaProtect” la entidad se hace cargo de cualquier C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/39 intento de disposición no autorizada de sus productos. . En definitiva, considera que la tecnología se adapta al estado de la técnica y es más protectora que las tecnologías con las que convive en el mismo dispositivo. 4. La responsabilidad de estos emisores de radiofrecuencia es de sus desarrolladores, en este caso, de VISA y MASTERCARD, que han hecho un ejercicio de privacidad desde el diseño y han ido mejorando los estándares según la evolución del “estado de la ciencia”. Estos desarrollan la tecnología, realizan los test de prevención del fraude y de seguridad de los datos y la venden a los operadores financieros cuando los resultados son óptimos. Los operadores financieros se obligan a cumplir los protocolos de seguridad de los citados desarrolladores, no pudiendo modificar ni el software ni el hardware de la tecnología implantada, que es propiedad de los desarrolladores. Para aclarar lo anterior, CAIXACARD transcribe la información que VISA ofrece en su web, en la URL “http://visaeurope.es/estandar-de-seguridad-tarjetas-de-pago”, como sigue: <<En 2004, Visa y MasterCard crearon un conjunto de procesos y requisitos de la industria -el Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago (PCI DSS, Payment Card Industry Data Security Standard, en sus siglas en inglés)-, apoyados por todos los sistemas internacionales de pago con tarjetas. En septiembre de 2006, el Consejo de Seguridad de los Estándares de la Industria de las Tarjetas de Pago (PCI Security Standards Council), organización de la que forman parte representantes de todas las compañías que participan en la industria de las tarjetas (entidades financieras, proveedores de servicios, fabricantes y comercios), se hizo cargo de este conjunto de normas. Por lo que dicho Consejo es ahora responsable de los estándares de seguridad y del desarrollo de la tecnología Contactles. El Consejo mantiene y distribuye el PCI DSS así como los estándares para el software de seguridad o los dispositivos para la introducción del PIN, de obligado cumplimiento para el resto de operadores del mercado. No obstante, Visa Europe continúa supervisando el cumplimiento de los estándares de seguridad de los datos y gestionando las iniciativas de validación para todas las tarjetas Visa emitidas en el mercado europeo. Recordemos que esto no lo dice CaixaCard, sino la propia Vis a través de su página web antedicha. El objetivo del PCI DSS es, (según indica VISA), garantizar que los datos sensibles de las cuentas de los titulares de tarjeta estén siempre seguros, para lo cual todas estas organizaciones deben cumplir con estos estándares, que protegen los datos de los titulares y minimizan sus propio riesgos financieros y de reputación. En consecuencia, el PCI DSS se aplica a todos los canales de pago, incluyendo las tiendas a pie de calle, los comercios online y las ventas por correo o telefónicas. Los programas de cumplimiento de Visa Europe validan el respeto y aplicación del PCI DSS>>. Según indica CAIXACARD en sus alegaciones, “los programas y procesos de seguridad impuesto por VISA son los siguientes: Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/39 . Crear y mantener una red segura Instalación y mantenimiento de un cortafuego para proteger los datos. Prohibición de utilizar valores “por defecto” (proveedor / fabricante) para las contraseñas del sistema y otros parámetros de seguridad . Proteger los datos de los titulares de tarjetas Protección de los datos almacenados Transferencia cifrada de datos sobre el titular de la tarjeta y otros datos personales en las redes públicas. . Mantener un programa de control de vulnerabilidades Instalación y actualización periódica de un antivirus. Desarrollo y uso de sistemas y aplicaciones seguros. . Implantar rígidas medidas de control de accesos Limitación del acceso a los datos, reservado únicamente lo estrictamente necesario Asignación de un identificador personal a cada persona que tenga acceso al sistema informático. Restricción del acceso físico a los datos de los titulares de tarjetas. Seguimiento y control del todos los accesos a los recursos de la red y a los datos de los titulares de tarjeta Realizar de forma regular tests de los sistemas y procesos de seguridad. . Control y prueba regular de las redes . Mantener una política de seguridad de la información Mantener una política de seguridad de la información El PCI DSS cubre todos los aspectos de la protección de los datos de las tarjetas de cualquier marca. Cumpliendo con el PCI DSS, las entidades financieras miembro de Visa, comercios y proveedores de Servicios no solamente cumplen con sus obligaciones para con el sistema de pagos, sino que también cumplen con la normativa europea de protección de datos, toda vez que los protocolos de seguridad implantados por los desarrolladores se han realizado sobre la base de lo dispuesto por el Consejo de Seguridad de los Estándares de la Industria de las Tarjetas de Pago”. En relación con lo anterior, añade CAIXACARD que en el primer semestre de 2014 los desarrolladores (VISA y MASTERCARD) modificaron los protocolos de seguridad para impedir el acceso de los receptores de radiofrecuencias al nombre de los titulares de las tarjetas, de modo que conforme se ha ido implantando la tecnología, en claro ejercicio de adaptación a la misma y de Privacidad desde el Diseño, se han perfeccionado también las medidas de seguridad implantadas por los desarrolladores en sus protocolos para proteger los datos de carácter personal de los titulares de las tarjetas. Actualmente, el desarrollo de la tecnología y las medidas de seguridad implantadas impiden a los receptores de radiofrecuencias acceder a datos personales de los titulares de la tarjeta, momento a partir del cual no puede resultar exigible ni para los desarrolladores, ni mucho menos para las entidades financieras que les compran esta tecnología para implantarla en sus tarjetas, ulteriores medidas de seguridad que, por otra parte, no podrían aplicar aunque quisieran por cuanto se obligan a cumplir los protocolos de los desarrolladores. 5. En lo que respecta a la evaluación del impacto que se exige imperativamente en la propuesta de resolución del presente sancionador, CAIXACARD señala que la misma nace de la recomendación de 12/05/2009, de la Comisión Europea, sobre la aplicación de los principios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/39 relativos a protección de datos y la intimidad, en las aplicaciones basadas en la identificación por radiofrecuencia. Según CAIXACARD, las consideraciones nacidas de la Comisión Europea y desarrolladas por el Grupo de trabajo del Artículo 29 con el apoyo de los representantes de la industria, se establecieron en forma de recomendaciones y opiniones para completar un derecho positivo que en su opinión no cubría en su totalidad las necesidades de la tecnología. Como tales recomendaciones, no son vinculantes, sino que permiten a las instituciones dar a conocer sus puntos de vista y sugerir una línea de actuación sin imponer obligaciones legales a quienes se dirige, por lo que no se puede sancionar ni a los desarrolladores de esta tecnología, ni mucho menos a quienes la incorporan en sus productos, por hipotéticos incumplimientos de unas recomendaciones que ni son vinculantes, ni forman parte de la normativa española de protección de datos. 6. Subsidiariamente, a partir de la versión VCPS 2.1.1 de las tarjetas no se transmiten datos de carácter personal en las mismas. Por tanto, una hipotética resolución que resolviera el incumplimiento de lo dispuesto en el artículo 9 de la LOPD sólo podría referirse a las tarjetas emitidas en el estándar previo a esta versión. Las tarjetas emitidas a partir de la versión 2.1.1 no contienen datos de carácter personal. En el primer semestre de 2014, Europay Mastercard Visa publicó un cambio en el protocolo que evitaba que el nombre del titular se emitiera por radiofrecuencia en las tarjetas Contactless y, desde que se produjo el cambio de protocolo llevado a cabo por VISA y MASTERCARD, los receptores de radiofrecuencia ya no pueden acceder a ningún dato de carácter personal de los titulares de las tarjetas, por cuanto el PAN, la fecha de caducidad y el código de verificación de la tarjeta no van asociados a ningún cliente, y por tanto no les resulta de aplicación la normativa de protección de datos. En ausencia de nombre, ninguno de los datos que se transmiten pueden ser considerados por si solos un datos de carácter personal. Todos ellos se refieren al dispositivo, no a su titular y la conexión entre los datos de identificación del dispositivo y la identidad de su titular solo consta en los sistemas del emisor, debidamente protegido. No hay forma de asociar el número de tarjeta, la fecha de caducidad o el banco emisor de la misma a ningún cliente concreto, salvo que se acceda ilegalmente a los sistemas informáticos de la Caixa, extremo que nunca se ha conseguido. Por lo tanto, a partir del segundo semestre de 2014, los datos a los que se accede a través de la tecnología Contactless, no son datos de carácter personal a los efectos de la aplicación de la normativa de protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/39 DECIMOTERCERO: Se accede a la web visaeurope.es para verificar la información publicada en la misma sobre el “Estándar de seguridad tarjetas de pago” y contrastar su contenido con el reseñado por CAIXACARD en su escrito de alegaciones a la propuesta de resolución, constatándose que el contenido reseñado por dicha entidad no coincide con el publicado en dicha web a fecha 13/07/2015. Actualmente, en dicha web se publica la siguiente información: <<Estándar de Seguridad de los Datos de la Industria de las Tarjetas de Pago En 2004, Visa y MasterCard crearon un conjunto de procesos y requisitos de la industria -el Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago (PCI DSS, Payment Card Industry Data Security Standard, en sus siglas en inglés), apoyados por todos los sistemas internacionales de pago con tarjetas. En septiembre de 2006, una organización independiente de la que forman parte representantes de todas las organizaciones que participan en la industria de las tarjetas (entidades financieras, proveedores de servicios, fabricantes y comercios), el Consejo de Seguridad de los Estándares de la Industria de las Tarjetas de Pago (PCI Security Standards Council), se hizo cargo de este conjunto de normas. El Consejo es ahora responsable de los estándares y de su desarrollo. El Consejo mantiene y distribuye el PCI DSS así como los estándares para software de seguridad o los dispositivos para la introducción del PIN. No obstante, Visa Europe continúa supervisando el cumplimiento de los estándares de seguridad de los datos y gestionando las iniciativas de validación para todas las tarjetas Visa emitidas en el mercado europeo. El objetivo del PCI DSS es garantizar que los datos sensibles de las cuentas de los titulares de tarjeta estén siempre seguros. Deben ser utilizados por cualquier organización que almacene, transmita o procese datos de cuentas de titulares de tarjetas o de transacciones realizadas con éstas. Todas estas organizaciones deben cumplir con estos estándares como mínimo, que protegen los datos de los titulares y minimizan sus propios riesgos financieros y de reputación. Cumplimiento del PCI DSS Todas las organizaciones que almacenan procesan o transmiten datos de los titulares de tarjetas Visa, incluyendo a las entidades financieras, comercios y proveedores de servicios deben cumplir con este estándar. El PCI DSS se aplica a todos los canales de pago, incluyendo las tiendas a pie de calle, los comercios online y las ventas por correo o telefónicas. Los programas de cumplimiento de Visa Europe validan el respeto y aplicación del PCI DSS. Estándar de Seguridad de Datos de la Industria de las Tarjetas de Pago . Crear y mantener una red segura Instalación y mantenimiento de un cortafuego para proteger los datos. Prohibición de utilizar valores “por defecto” (proveedor / fabricante) para las contraseñas del sistema y otros parámetros de seguridad . Proteger los datos de los titulares de tarjetas Protección de los datos almacenados Transferencia cifrada de datos sobre el titular de la tarjeta y otros datos personales en las redes públicas. . Mantener un programa de control de vulnerabilidades Instalación y actualización periódica de un antivirus. Desarrollo y uso de sistemas y aplicaciones seguros. . Implantar rígidas medidas de control de accesos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/39 Limitación del acceso a los datos, reservado únicamente lo estrictamente necesario Asignación de un identificador personal a cada persona que tenga acceso al sistema informático. Restricción del acceso físico a los datos de los titulares de tarjetas. Seguimiento y control del todos los accesos a los recursos de la red y a los datos de los titulares de tarjeta Realizar de forma regular tests de los sistemas y procesos de seguridad. . Control y prueba regular de las redes . Mantener una política de seguridad de la información Mantener una política de seguridad de la información El PCI DSS cubre todos los aspectos de la protección de los datos de las tarjetas de cualquier marca. Consiste en 12 requisitos básicos, categorizados de la siguiente forma: Cumpliendo con el PCI DSS, las entidades financieras miembro de Visa, comercios y proveedores de Servicios no sólo cumplen con sus obligaciones para con el sistema de pagos, sino que también ayudan a construir una cultura de seguridad que beneficia a todos. Validación de Cumplimiento Independientemente de la obligación de cumplir con el PCI DSS, las partes involucradas deben verificar y demostrar su grado de cumplimiento con el estándar. Es una función crítica que identifica y corrige las vulnerabilidades y protege a los clientes garantizando que se mantienen los niveles adecuados de seguridad de la información de los titulares de las tarjetas. Visa Europe ha definido y priorizado varios niveles de validación del cumplimiento basados en el volumen de transacciones y en la exposición y riesgo potencial que introducen en el sistema los comercios y proveedores de servicios>>. HECHOS PROBADOS 1. Con fecha de 16/04/2014, tuvo entrada en esta Agencia un escrito del denunciante, en el que pone de manifiesto que los datos personales contenidos en su tarjeta de crédito con tecnología contactless de “La Caixa”, relativos a nombre del titular, el banco emisor, el número de cuenta y la fecha de caducidad, pueden ser accedidos de forma sencilla y a distancia. 2. La entidad CAIXACARD es el establecimiento financiero de crédito del “Grupo Caixabank” emisor de las tarjetas de crédito, débito y prepago. En el “Contrato de productos y servicios de Tarjetas” que suscriben los clientes se establece que “las tarjetas son los instrumentos de pago emitidos por CAIXACARD y de su propiedad”. En dicho contrato no se incluye ninguna información específica sobre la tecnología Contactless que utilizan las tarjetas para su funcionamiento (identificación por radiofrecuencia o RFID). 3. En respuesta al requerimiento de información de los Servicios de Inspección de la AEPD, la entidad CAIXACARD manifestó que para las comunicaciones de las tarjetas contactless se utilizan los protocolos y aplicaciones implementados en virtud de los estándares técnicos definidos y certificados por las propias marcas (VISA, MasterCard, American Express…) e ISO/IEC, resultando dichos estándares comunes y obligados para todo el sector. En relación a las tarjetas contactless de la marca VISA, CAIXACARD señaló que existen dos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/39 versiones de las aplicaciones sucesivamente desarrolladas por dicha marca: . VCPS 2.2, para vsdc 2.7.1 . VCPS 2.1.1 para vsdc 2.8.1F 4. Para la identificación de las tarjetas, las etiquetas RFID incorporadas a las mismas transmiten por radiofrecuencia, según la aplicación utilizada, la siguiente información: . VCPS 2.0.2 para vsdc 2.7.1 . PAN . Nombre del titular . Fecha de caducidad . Código de Servicio . CVV dinámico y otros datos EMV . VCPS 2.1.1 para vsdc 2.8.1F . PAN . Fecha de caducidad . Código de Servicio . CVV dinámico y otros datos EMV PAN es el acrónimo de Primary Account Number, definido en el estándar ISO/IEC 7812-1, y es el número que viene impreso y/o estampado en altorrelieve en los plásticos de las tarjetas de pago. 5. Consta incorporado a las actuaciones un Informe de Auditoría de Plataforma titulado “Informe de Auditoría de Plataforma (Pago con Targetas (sic) Contactless) ref: 727-022-IAP – Sistema de Gestión de Seguridad de la Información”, de fecha 17/07/2012, con membrete de “La Caixa”, en el que se indica lo siguiente: a. Las pruebas se realizaron sobre tarjetas VISA Classic con tecnología contactless. b. Concluyen que “el nivel de seguridad en este punto es Medio-Bajo”. c. Se transmite sin cifrado, en texto claro: i.El nombre del propietario de la tarjeta. ii.El PAN iii.La fecha de caducidad d. Que es posible obtener dicha información simulando un TPV a distancias de hasta 2 metros con el material adecuado. No se establecen garantías para determinar si la comunicación se establece con un TPV auténtico. 6. Consta incorporado a las actuaciones un informe titulado “Informe de Seguridad Informática Num. RS****** – Informe Ejecutivo – Actualización revisión de seguridad de tarjetas de pago contactless”, fechado el 25/09/2014, con membrete de “CaixaBank”, lista de distribución, entre otros, a “Caixa Card”, y referencia de archivo “CaixaBank, S.A. “la Caixa” 9722 – Gestió de Seguretat Informática, en el que se indica lo siguiente: . El informe es la actualización de la auditoría de seguridad realizada en 2012. . “En septiembre de 2014 se ha finalizado la verificación de un cambio mediante el cual se soluciona uno de los problemas de seguridad de las tarjetas contactless reflejados en el informe original (posibilidad de lectura en claro de los datos de nombre del titular de la tarjeta). Con motivo de esta acción se ha procedido a la actualización del informe”. . Las pruebas de la presente revisión se realizaron en junio de 2014. . La revisión de seguridad que se refleja en el informe del 2014 tiene el propósito, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/39 otros, de determinar “la interceptación de los datos que pueda contener la tarjeta”. . El protocolo que utilizan la tarjetas contactless “no tiene controles que impidan a un atacante la lectura de algunos de los datos contenidos en la tarjeta”, “no establece ningún control de autenticación para que la tarjeta verifique que está hablando con un TPV válido, posibilitando que la información contenida en la tarjeta pueda ser consultada” y “no implementa cifrado de comunicaciones, por lo que con el hardware adecuado, un atacante potencial que se encuentre a unos pocos centímetros de un TPV podría llegar a interceptar las comunicaciones establecidas”. En relación con la ausencia de cifrado en las comunicaciones “no existen recomendaciones, pues el funcionamiento de los pagos contactless viene determinado por el estándar EMV, por lo que el problema se hereda del propio estándar”. Añade que “según el estándar de obligado cumplimiento PCI DSS algunos de los datos transmitidos en la comunicación NFC deberían ir cifrados. Por ello su transmisión en claro debería provocar el incumplimiento de dicho estándar. Visa y Mastercard colaboran en las definiciones, tanto del estándar PCI DSS como el protocolo de comunicación EMV, lo que genera una contradicción pues sus propios protocolos parecen no cumplir con su estándar”. En el resumen de vulnerabilidades, se indica que la ausencia de cifrado en las comunicaciones es asumida por CAIXACARD “por ser inherente a la tecnología y por el análisis del fraude que revela la imposibilidad actual de que ocurra”. . Los datos que se transmiten entre tarjeta y lector en las tarjetas de 2014 son: PAN, fecha de caducidad (datos que son visibles en el frontal de las tarjetas) y otros datos de configuración del protocolo. Estos datos pueden obtenerse interrogando una tarjeta o interceptando una comunicación. . En el primer semestre de 2014, EMV (Europay Mastercard Visa) publicó un cambio en el protocolo que evita que el Nombre del Titular aparezca en texto claro. En relación a este cambio, se hizo una actualización de las tarjetas que “ha verificado la implementación de una mejora que evita que el Nombre del titular de la tarjeta se pueda capturar por parte de un lector NFC”. . Que ante la evidencia de la lectura del Nombre del Titular en las tarjetas anteriores a 2014, y a pesar de que el informe de auditoría recomienda “acelerar la renovación anticipada del parque de tarjetas” la acción acordada fue la “renovación por vencimiento u otras causas que puedan suceder”. Se acordó que el riesgo que pudiera derivarse de este fallo lo asumiera CAIXACARD. . El alcance de la comunicación puede ser de “hasta medio metro en dispositivos pasivos y caso 2 metros en dispositivos activos”. . “La posibilidad de operar mediante contactless sin la necesidad de introducir el PIN permiten que realicen transacciones sin la intervención del usuario” (hasta 20 euros). Hay un limitador de transacciones fijado internamente en la tarjeta que impide realizar transacciones indefinidas. . “Los datos leídos de la tarjeta () podrían ser utilizados para realizar compras en algunos comercios online que no pidan el CVV2”. 7. Con fecha 12/05/2015, los servicios de Inspección de la AEPD realizaron las comprobaciones que se indican a continuación sobre tres tarjetas de crédito emitidas por CAIXACARD a nombre del denunciante, con el resultado siguiente: - C/ Jorge Juan, 6 28001 – Madrid “Se han instalado en un móvil LG-Leon 4G LTE con versión de Android 5.0.1 la aplicación EMV Analyzer. Se ha configurado el Smartphone para habilitar NFC y Android Beam. Con una tarjeta de prueba se ha comprobado que la aplicación anterior funciona correctamente. www.agpd.es sedeagpd.gob.es 20/39 - Se ha realizado una prueba para leer la información de las tarjetas de crédito/débito de CAIXABANK proporcionadas por el denunciante. - La información que se ha capturado con la aplicación del teléfono móvil y que se muestra en la pantalla del mismo ha sido la siguiente: . De la tarjeta Visa Gold de CaixaBank nº ***CTA.2 . Tipo de tarjeta: Visa debit/credit . Número de cuenta: ***CTA.2 . Fecha de expiración: 31/10/17 . Titular: A.A.A. . De la tarjeta Visa Electrón de CaixaBank nº ***CTA.3 . Tipo de tarjeta: Visa electrón . Número de cuenta: ***CTA.3 . Fecha de expiración: 31/12/17 . Titular: A.A.A. . De la tarjeta Visa Money Electrón de CaixaBank nº ***CTA.4 . Tipo de tarjeta: Visa electrón . Número de cuenta: ***CTA.4 . Fecha de expiración: 31/12/17 . Titular: A.A.A.”. 8. En una nota de prensa insertada en el portal web lacaixa.es se informa que Caixabank tiene cuatro millones de contactless. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
13. g)en relación con el artículo 36 de la LOPD. II El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
14. a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/39 En este mismo sentido se pronuncia el artículo 2.
15. a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. En el presente caso, ha quedado acreditado que la información contenida en las tarjetas de crédito con tecnología contactless emitidas por CAIXACARD y la que transmite por radiofrecuencia para su identificación incluye datos de carácter personal relativos al titular respectivo de dichas tarjetas (los reseñados en el Hecho Probado Cuarto), incluido el nombre del titular hasta el año 2014. En relación con el número de la tarjeta de crédito, el Informe del Servicio Jurídico de la AEPD 127/2006 se refiere a su naturaleza de datos de carácter personal siempre y cuando aparezcan asociados a otros que permitan conocer la identidad de su titular. Por tanto, la emisión y utilización de las citadas tarjetas de crédito constituye un tratamiento de datos personales incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. En su escrito de alegaciones a la propuesta de resolución, CAIXACARD ha señalado que las tarjetas emitidas a partir del primer semestre de 2014 se modificó el protocolo aplicado por VISA y MASTERCARD, evitando que el nombre del titular se emitiera por radiofrecuencia en las tarjetas Contactless, de modo que ya no es posible acceder a ningún dato de carácter personal de los titulares de las tarjetas, por cuanto el PAN, la fecha de caducidad y el código de verificación de la tarjeta no van asociados a ningún cliente, y por tanto no les resulta de aplicación la normativa de protección de datos. Añade CAIXACARD que todos estos datos se refieren al dispositivo, no a su titular, y la conexión entre los datos de identificación del dispositivo y la identidad de su titular solo consta en los sistemas del emisor, debidamente protegido. Sin embargo, no es cierto que la información a la que se refiere CAIXACARD esté excluida del ámbito de aplicación de la LOPD y sus normas de desarrollo, por no ajustarse al concepto de datos de carácter personal. Tal como indica CAIXACARD, dicha información (PAN, la fecha de caducidad y el código de verificación de la tarjeta) están registrados en sus sistemas de información asociada a los datos identificativos de sus clientes y, por tanto, le es aplicable la citada normativa y, específicamente, las relativas a la seguridad de los datos. No cabe admitir que esta información no se ajuste al concepto de datos de carácter personal por el hecho de que el acceso indebido a la misma por parte de un tercero no permita a éste identificar al titular de la tarjeta. Lo determinante es si esa información pertenece a una persona identificada o identificable para la entidad responsable del fichero en el que dichos datos están registrados o para el responsable de su tratamiento. Anteriormente se citó el dictamen del Gabinete Jurídico de la AEPD127/2006, en el que se indica lo siguiente: “En primer lugar, la utilización del dato del número de la tarjeta de crédito de los afectados… supondrá un tratamiento de datos de carácter personal siempre y cuando aparezcan asociados a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/39 otros que permitan conocer la identidad de su titular…”. En definitiva, la emisión y utilización de las tarjetas de crédito emitidas por CAIXACARD con tecnología Contactles, ya se trate de las emitidas inicialmente como las emitidas a partir del primer semestre de 2014, constituye un tratamiento de datos personales incluido dentro del ámbito de aplicación establecido en la LOPD y sus normas de desarrollo. Sobre esta cuestión, el Grupo de trabajo del Artículo 29 (GT), órgano de carácter consultivo compuesto por representantes de las autoridades nacionales de protección de datos de los Estados miembros, el Supervisor Europeo de Protección de Datos y la Comisión Europea, facultado para examinar cualquier cuestión que esté relacionada con la aplicación de las directivas en materia de protección de datos para contribuir a la aplicación uniforme de las mismas, en su Dictamen 4/2007, sobre el concepto de datos personal, mantiene el criterio según el cual cuando un identificador único se asocia con una persona, entra en la definición de datos personales establecido en la Directiva 95/46/CE, del parlamento europeo y del consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. El valor interpretativo de los dictámenes, recomendaciones u opiniones del “Grupo de trabajo del Artículo 29”, ampliamente admitido por los Tribunales, resulta de las funciones atribuidas al mismo en el artículo 30 de la Directiva citada: “1. El Grupo tendrá por cometido:
16. a)estudiar toda cuestión relativa a la aplicación de las disposiciones nacionales tomadas para la aplicación de la presente Directiva con vistas a contribuir a su aplicación homogénea;
17. b)emitir un dictamen destinado a la Comisión sobre el nivel de protección existente dentro de la Comunidad y en los países terceros;
18. c)asesorar a la Comisión sobre cualquier proyecto de modificación de la presente Directiva, cualquier proyecto de medidas adicionales o específicas que deban adaptarse para salvaguardar los derechos y libertades de las personas físicas en lo que respecta al tratamiento de datos personales, así como sobre cualquier otro proyecto de medidas comunitarias que afecte a dichos derechos y libertades;
19. d)emitir un dictamen sobre los códigos de conducta elaborados a escala comunitaria. 2. Si el Grupo comprobaré la existencia de divergencias entre la legislación y la práctica de los Estados miembros que pudieren afectar a la equivalencia de la protección de las personas en lo que se refiere al tratamiento de datos personales en la Comunidad, informará de ello a la Comisión. 3. El Grupo podrá, por iniciativa propia, formular recomendaciones sobre cualquier asunto relacionado con la protección de las personas en lo que respecta al tratamiento de datos personales en la Comunidad. 4. Los dictámenes y recomendaciones del Grupo se transmitirán a la Comisión Y al Comité contemplado en el artículo 31. 5. La Comisión informará al Grupo del curso que haya dado a los dictámenes y recomendaciones. A tal efecto, elaborará un informe, que será transmitido asimismo al Parlamento Europeo y al Consejo. Dicho informe será publicado. 6. El Grupo elaborará un informe anual sobre la situación de la protección de las personas físicas en lo que respecta al tratamiento de datos personales en la Comunidad y en los países terceros, y lo transmitirá al Parlamento Europeo, al Consejo y a la Comisión. Dicho informe será publicado”. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/39 El Instituto Nacional de Tecnologías de la Información, actualmente Instituto Nacional de Ciberseguridad (INCIBE), y la Agencia Española de Protección de Datos (AEPD) elaboraron una Guía sobre seguridad y privacidad de la tecnología RFID, en la que describen su funcionamiento y usos, se analizan los riesgos que plantea y se formulan algunas recomendaciones para usuarios y proveedores. Según se indica en esta Guía, la identificación por radio frecuencia o RFID (Radio Frequency IDentification) es una tecnología que permite identificar automáticamente un objeto gracias a una onda emisora incorporada en el mismo que transmite por radiofrecuencia los datos identificativos del objeto, siendo esta identificación normalmente unívoca. Gracias a estas microemisoras o transpondedores (tags o etiquetas) el producto puede ser localizado a una distancia variable, desde pocos centímetros, hasta varios kilómetros, dependiendo de las características de los tags como pueden ser la frecuencia de la emisión, la antena o el tipo de chip que se use para cada aplicación específica. El funcionamiento de esta tecnología se basa en la señal de radio que genera la etiqueta RFID, en la que previamente se han grabado los datos identificativos del objeto al que está adherida. Un lector físico se encarga de recibir esta señal, transformarla en datos y transmitir dicha información a la aplicación informática específica que gestiona RFID (denominada middleware). Este subsistema de procesamiento de datos o middleware es un software que reside en un servidor y que sirve de intermediario entre el lector y las aplicaciones empresariales. Esta tecnología, considerando sus múltiples usos, plantea nuevos riesgos para la seguridad y nuevos retos para evitarlos, distintos según se trate de usuarios de la misma para optimizar sus procesos internos o entidades que ofrecen un servicio a particulares. En este caso, interesan los riesgos que puede implicar para la privacidad de las personas, cuando la información contenida en el dispositivo incluya datos de carácter personal, por la posibilidad de que la tecnología se use de forma maliciosa para acceder de forma fraudulenta a información personal de los usuarios del sistema, ya esté contenida en la etiqueta o asociada a ésta en el caso de accesos al sistema central para consultarla. El principal ataque que puede sufrir la privacidad del usuario mediante esta tecnología es el intento de lectura de la información personal y privada almacenada en un dispositivo RFID que se encuentra bajo su posesión. Teniendo en cuenta la existencia de programas y dispositivos que pueden permitir a terceros no autorizados el acceso a los datos personales contenidos en la tarjeta, deberá adoptarse un procedimiento que impida tales accesos. Por ello, las medidas para evitar los riesgos para la privacidad son una tarea prioritaria para las organizaciones y requieren de una correcta planificación del sistema de información. Como norma general se procurará no almacenar datos personales en las etiquetas, evitando así una buena parte de los riesgos. Considerando la problemática sobre la privacidad que plantea la tecnología RFID, la Comisión Europea aprobó una Recomendación sobre Privacidad en Comunicaciones RFID denominada “on the implementation of privacy and data protection principles in applications supported by radiofrequency identification SEC