1/13 Procedimiento Nº PS/00126/2018 RESOLUCIÓN: R/01674/2018 En el procedimiento sancionador PS/00126/2018, instruido por la Agencia Española de Protección de Datos a la entidad BANKINTER CONSUMER FINANCE, S.A., vista la denuncia presentada por Dña. A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 02/08/2017 tuvo entrada en esta Agencia denuncia de Dña. A.A.A. (en lo sucesivo la denunciante) en la que pone de manifiesto los siguientes hechos: Que BANKINTER CONSUMER FINANCE, S.A. (en lo sucesivo BANKINTER) ha utilizado los datos personales de la denunciante sin su consentimiento para realizar la contratación de una tarjeta de crédito. Que BANKINTER ha incluido en el fichero de solvencia patrimonial ASNEFEQUIFAX una deuda de la denunciante por valor de 270 € debido a cargos en esa tarjeta de crédito. Que la denunciante solicita a BANKINTER que le den de baja en el fichero de solvencia patrimonial ASNEF-EQUIFAX el 18/04/2017. BANKINTER procede a darle de baja en dicho fichero. Que el 20/07/2017 la denunciante descubre que vuelve a tener inscrita una deuda en el fichero ASNEF-EQUIFAX. Contacta con BANKINTER para que procedan a dar de baja esa deuda, pero no obtiene respuesta de BANKINTER y los datos siguen permaneciendo en el fichero ASNEF-EQUIFAX a la fecha de presentación de la denuncia. Y, entre otra, anexa la siguiente documentación: Información de crédito de ASNEF-EQUIFAX en la que se observa que ENTIDAD MICROCREDITO ha inscrito una deuda de la denunciante por valor de 270 euros el 21/03/2017, y que todavía se podía visualizar el 18/04/2017. Atestado de 17/04/2017 en el que la denunciante pone en conocimiento de la policía la contratación fraudulenta de una tarjeta de crédito “BANKINTER CAR”. En dicho atestado, la denunciante manifiesta sus sospechas de que una persona, a la cual facilitó su DNI y su nómina. Copia de correo electrónico, de 18/04/2017, de la denunciante hacia el servicio de atención al cliente de BANKINTER solicitando su baja en el fichero ASNEFEQUIFAX. Contestación al anterior correo electrónico por parte de BANKINTER el 20/04/2017. En esta contestación, indican que proceden a paralizar las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 gestiones de recobro hasta que se resuelva su incidencia, y a cancelar los datos del fichero ASNEF. Información de crédito de ASNEF-EQUIFAX en la que se observa que ENTIDAD MICROCREDITO ha inscrito una deuda de la denunciante por valor de 270 euros el 31/05/2017, y que todavía se podía visualizar el 02/08/2017. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a BANKINTER teniendo conocimiento de los siguientes hechos conforme al informe de actuaciones de investigación E/5456/2017 que se trascribe: “RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La empresa EQUIFAX IBERICA, SL en su escrito de fecha de registro 02/10/2017 (número de registro 309427/2017) ha remitido información relativa al denunciante de la que se desprende: Respecto del fichero ASNEF: No consta información Respecto del fichero de NOTIFICACIONES: Constan cuatro notificaciones emitidas a nombre del denunciante, con fechas de emisión 07/03/2017, 22/03/2017, 17/05/2017 y 31/05/2017, por un importe de 270,00 euros y siendo la entidad informante FERRATUM BANK PLC. Respecto del fichero HISTÓRICO DE CONSULTAS: Constan 38 consultas realizadas en los 6 meses anteriores al 02/10/2017. Respecto del fichero de bajas, FOTOCLI: Constan dos bajas asociadas a las notificaciones citadas en el apartado anterior para una operación con fechas baja 20/04/2017 y 07/09/2017 en ASNEF. Adjunta correo remitido por la denunciante solicitando a EQUIFAX su baja en el fichero ASNEF debido a una suplantación de identidad el 01/09/2017. También adjunta contestación de EQUIFAX el 12/09/2017 informando a la denunciante de que se ha dado de baja su inscripción en el fichero ASNEF. La empresa EXPERIAN BUREAU DE CREDITO, SA en su escrito de fecha de registro 13/10/2017 (número de registro 322228/2017) ha remitido información relativa al denunciante de la que se desprende: Respecto del fichero BADEXCUG: No existen notificaciones ni operaciones impagadas del NIF de la denunciante en ninguno de sus ficheros. La empresa BANKINTER CONSUMER FINANCE en su escrito de fecha de registro 17/11/2017 (número de registro 361539/2017) ha remitido información relativa al denunciante de la que se desprende: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 SOBRE LOS DATOS PERSONALES DEL DENUNCIANTE QUE CONSTAN EN LOS SISTEMAS DEL DENUNCIADO Respecto de los datos personales del denunciante que constan los extractos de la tarjeta de crédito. Consta el nombre, apellidos y DNI de la denunciante y una dirección de contacto distinta a la que figura en su DNI y en el contrato. También constan, asociados al denunciante, un número de cuenta bancaria. SOBRE LA CONTRATACION Respecto de los productos que constan de alta a su nombre: Consta el alta del producto denominado TARJETA BANKINTER CARD ORO a nombre del denunciante con fecha de alta 24/11/2016 y fecha de cancelación 13/09/2017. La venta se formalizó a través de internet, con fecha 16/11/2016. Aportan copia del contrato suscrito. La validación de la identidad del contratante y el proceso de firma digital del contrato se realizó a través de una URL propiedad de LLEIDA.NET. Aportan el contrato. En los lugares reservados a la firma del solicitante, aparecen los textos “FIRMA 1”, “FIRMA 2” y “FIRMA 3”. No se aporta fotocopia del DNI, ni evidencia de que haya habido firma por parte de la denunciante. SOBRE LAS COMUNICACIONES CON EL AFECTADO Y ACCIONES EMPRENDIDAS POR LA ENTIDAD CONTACTOS: Respecto de las comunicaciones y contactos que han existido entre esa entidad y el cliente, aportan la siguiente información: - Incidencia presentada por la denunciante el 18/04/2017 solicitando la baja de sus datos en el fichero ASNEF vía correo electrónico. - Un correo electrónico del 20/04/2017 indicando que paralizan la gestión del recobro y que están gestionando la cancelación de los datos del fichero ASNEF. - Dos cartas del 24/04/2017 indicando que se van a tramitar sus incidencias presentadas el 18/04/2017 y el 20/04/2017. - Otra carta del 26/04/2017, dirigida a ***DIRECCION.1 (que es la dirección que aparece en el DNI de la denunciante) solicitándole que remita copia de su DNI y copia del formulario cuya firma difiere de la de su DNI. - Cartas de impagos dirigidas a ***DIRECCION.2 (que es una dirección distinta a la que tiene la denunciante en su DNI y a la que consta en el contrato que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 adjunta BANKINTER CONSUMER FINANCE en su respuesta) de los días 17/01/2017, 24/07/2017, 13/02/2017, 09/03/2017 y 20/03/2017. - Otra carta del 15/05/2017 dirigida a ***DIRECCION.2, en la que se indica que, si la situación de impago supera los 90 días, le podrán incluir en los ficheros de ASNEF y EXPERIAN. - Otra carta del 06/07/2017 indicando que sus datos, en ese momento, no figuran en ningún fichero de solvencia. La carta tiene como dirección del destinatario ***DIRECCION.2. - Otra carta de 13/09/2017 indicando que se ha procedido a la cancelación de la tarjeta y de la deuda pendiente de la misma. SOBRE LOS POSIBLES IMPAGOS Se han emitido extractos desde 31/01/2017 y los cargos que se encuentran pendientes de pago son las de todos los meses desde el 03/01/2017 hasta el 0208/2017. Aportan extractos de la tarjeta de crédito de todos los meses desde el 31/01/2017 hasta el 31/08/2017. Bankinter Consumer Finances manifiesta que la deuda contraída se encuentra condonada a 13/09/2017. La empresa LLEIDANETWORKS SERVEIS TELEMATICS SA, en su escrito de fecha de registro 22/02/2018 (número de registro 064058/2018) ha remitido, entre otra, la siguiente información relativa a esta investigación: SOBRE EL SERVICIO QUE LE PRESTAN A BANKINTER CONSUMER FINANCE, S.A. (son manifestaciones; no se ha podido realizar una verificación al no disponer de un fichero electrónico que contiene lo que denominan “Certificado Unificado”) 1. LLEIDANETWORKS SERVEIS TELEMATICS SA, para una contratación en concreto, recibe los siguientes datos: NIF, dirección de correo electrónico y número de teléfono del solicitante de la tarjeta; identificador único del contrato; nombre/s del documento/s que se va a firmar; y documento/s en formato PDF. 2. Durante el proceso de firma, se realizan las siguientes comprobaciones: a. Tener acceso al correo electrónico: se le envía un correo a la dirección facilitada por BANKINTER con un enlace a un servicio de LLEIDA.NET, al cual tiene que acceder el contratante para proceder a la firma del contrato. b. Tener acceso al teléfono móvil: A la vez que el correo, LLEIDA.NET envía al teléfono del contratante facilitado por BANKINTER un SMS que contiene un código (“One Time Password”) c. Conocer el NIF: el enlace que se envió por correo al contratante, dirige a una página en la que se informa al usuario de lo que va a firmar, y, para poder continuar con la firma del contrato, hay que introducir el NIF del contratante. d. El contratante puede visualizar el contrato en ese momento. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 e. Tener el DNI y el teléfono del contratante: Después de haber introducido el NIF, hay que anexar una imagen del DNI y el código (“One Time Password”) que se hubo enviado anteriormente vía SMS al teléfono móvil. f. En este momento, BANKINTER puede verificar la documentación adjuntada en la plataforma que le ofrece LLEIDA.NET g. Una vez validada la documentación por BANKINTER, se genera un certificado de firma del contrato, que LLEIDA.NET denomina “Certificado Unificado” 3. El “Certificado Unificado” contiene las siguientes evidencias del proceso de firma descrito en el punto anterior: a. Certificado emitido por LLEIDA.NET que acredita la fecha y hora del envío y recepción del correo electrónico enviado. b. Certificado emitido por LLEIDA.NET que acredita la fecha y hora del envío y recepción del SMS. c. Certificado emitido por LLEIDA.NET que contiene la dirección IP desde la que se ha introducido el código “One Time Password” en la web de LLEIDA.NET (durante el proceso de firma que se ha explicado en el punto anterior). d. Imagen del DNI que se ha subido durante el proceso de firma explicado en el punto anterior. e. Contrato, que, en los huecos que estarían dedicados para la firma manuscrita, se escribe “FIRMA 1”, “FIRMA 2”, “FIRMA 3”…, al que se le incluye un identificador único al margen. f. Este certificado está firmado electrónicamente con una firma basada en certificado digital cuyo titular es LLEIDA.NET REGISTERED COMMUNICATIONS SERVICE, y con sellado de tiempo de la autoridad de certificación de Camerfirma. Aportan como anexo el contenido de este certificado unificado del contrato que consta como firmado por la denunciante para la compra de una tarjeta de crédito BANKINTERCARD en formato papel; motivo por el cual no se ha podido verificar la firma electrónica ni constatar la validez del certificado electrónico que la sustenta.” TERCERO: Con fecha 24 de abril de 2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a BANKINTER, por presunta infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 28.000 euros, de acuerdo con el artículo 45.1, 4 y 5 de dicha Ley Orgánica, sin perjuicio de lo que resulte de la instrucción sin perjuicio de lo que resulte de la instrucción. CUARTO: Notificado el acuerdo de inicio, BANKINTER formuló las siguientes alegaciones que en síntesis señalan que: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 - cuenta con un contrato de tarjeta de crédito debidamente firmado a través de un proceso de firma digital con intervención de tercero de confianza en el que se identificó a la solicitante de la tarjeta y se recabó su consentimiento contractual. - Nunca dio de alta a la denunciante en ningún fichero de solvencia patrimonial. QUINTO: En fecha 23/08/2018 se emitió propuesta de resolución en el sentido de archivar el procedimiento sancionador, sin que BANKINTER efectuara alegaciones a la misma. HECHOS PROBADOS PRIMERO: En fecha 02/08/2017 tuvo entrada en esta Agencia escrito de la denunciante en la que pone de manifiesto los siguientes hechos: Que BANKINTER ha utilizado sus datos personales sin su consentimiento para realizar la contratación de una tarjeta de crédito. Que BANKINTER ha incluido en el fichero de solvencia patrimonial ASNEFEQUIFAX una deuda por valor de 270 € debido a cargos en esa tarjeta de crédito. Que solicita a BANKINTER que le den de baja en el fichero de solvencia patrimonial ASNEF-EQUIFAX el 18/04/2017. BANKINTER procede a darle de baja en dicho fichero. Que el 20/07/2017 descubre que vuelve a tener inscrita una deuda en el fichero ASNEF-EQUIFAX. Contacta con BANKINTER para que procedan a dar de baja esa deuda, pero no obtiene respuesta de BANKINTER y los datos siguen permaneciendo en el fichero ASNEF-EQUIFAX a la fecha de presentación de la denuncia. SEGUNDO: La denunciante es titular del DNI ***DNI.1 en el que figura como su domicilio ***DIRECCION.1 y cuya fecha de validez es 25/05/2022. TERCERO: En fecha 17/04/2017 la denunciante presentó denuncia ante la Policía manifestando ser titular de la línea ***TELEFONO.1 y haber recibido en la misma una llamada reclamándole una deuda originada por el impago de cantidades dispuestas con una tarjeta de crédito contratada con BANKINTER. Niega haber contratado ninguna tarjeta de crédito, en la que figura como su domicilio ***DIRECCION.2 población que desconoce y en donde nunca ha estado, ni tener cuenta bancaria con dicha entidad. Puesta en contacto con BANKINTER se le informa que existe a su nombre una tarjeta BANKINTER CARD con la cual se han realizado varias compras debiendo una cantidad de 270 euros y que figura en la lista asnef desde el 21 de marzo de 2017. Sospecha de una persona de Guadalajara con la que se puso en contacto y a la que facilitó los datos de su DNI y su nómina. CUARTO: En los sistemas de BANKINTER constan los siguientes datos personales referidos a la denunciante asociados a la titularidad de una tarjeta de crédito “BANKINTER CARD ORO” nº XXXX-XXXX-XX-XXXXXXXX con fecha de alta 23/11/2016 y cancelación 13/09/2017: - C/ Jorge Juan, 6 28001 – Madrid Nombre y apellidos: A.A.A. www.agpd.es sedeagpd.gob.es 7/13 - NIF: ***DNI.1 - Fecha de alta tarjeta: 24/11/2016 - Sexo: Mujer - Fecha de nacimiento: 13/03/1964 - Estado civil: divorciado - Número de hijos: 0 - País de nacionalidad. España - País de residencia. España - Domicilio fiscal: ***DIRECCION.2 - Teléfonos: ***TELEFONO.2 / ***TELEFONO.3 - Email: ***EMAIL.1 - Dirección: ***DIRECCION.2 - Cuenta bancaria: ESYY YYYY YYYY YY YYYYYYYY - Empresa cuenta ajena: Club Internacional del Libro - Antigüedad en la empresa. 1999 QUINTO: La contratación de la tarjeta de crédito BANKINTER CARD ORO se efectuó a través de internet y BANKINTER aportó copia del contrato fechado el 16/11/2016 en el que figura el nombre y apellidos, DNI, fecha de nacimiento y domicilio de la denunciante (***DIRECCION.1), además de teléfono ***TELEFONO.3 (distinto del de la denunciante ***TELEFONO.1) y la dirección de correo electrónico ***EMAIL.1. En los lugares reservados a la firma del solicitante, aparecen los textos “FIRMA 1”, “FIRMA 2” y “FIRMA 3” en blanco. La validación de la identidad del contratante y el proceso de firma digital del contrato se realizó a través de una URL propiedad de LLEIDANETWORKS SERVEIS TELEMATICS S.A. (en lo sucesivo LLEIDA.NET) entidad que presta a BANKINTER el servicio “Connectaclick Pro” que permite la contratación telemática a través de una plataforma y un método de certificación de comunicaciones electrónicas (por SMS, correo electrónico y web) de LLEIDA.NET. El proceso de contratación online consta de los siguientes pasos: 1º Una vez introducidos en su web por el cliente sus datos personales BANKINTER genera los documentos PDF que se deberán enviar a la firma del cliente y se contacta con la plataforma de LLEIDA.NET enviado los siguientes datos: NIF, dirección de correo electrónico y número de teléfono del solicitante de la tarjeta; identificador único del contrato; nombre/s del documento/s que se va a firmar; y documento/s en formato PDF. 2º Recibida de BANKINTER petición de firma y los datos citados LLEIDA.NET procede a efectuar el proceso de firma por el cliente que consta de los siguientes pasos: 2.1.a C/ Jorge Juan, 6 28001 – Madrid LLEIDA.NET en nombre de BANKINTER envía un correo electrónico certificado al firmante con un enlace para acceder a una página web alojada en un servidor propio de LLEIDA.NET y un texto explicativo del www.agpd.es sedeagpd.gob.es 8/13 proceso a seguir para la firma del contrato. La dirección de correo electrónico a la que se remite ese correo es la facilitada por BANKINTER en su petición de firma (en este caso ***EMAIL.1). 2.1.b LLEIDA.NET en nombre de BANKINTER envía un SMS al firmante en el cual se contiene un código OTP (One Time Password). El número de teléfono al que se remite ese SMS es el facilitado por BANKINTER en su petición de firma (en este caso ***TELEFONO.3 (distinto del de la denunciante ***TELEFONO.1). 2.2 Cuando el firmante recibe el correo electrónico y quiere empezar el proceso de firma debe hacer click en el botón verde del correo electrónico “comenzar proceso de firma”, abriéndose entonces una página web en la que se muestra un cuadro de texto para que el firmante introduzca su NIF como método de validación de la identidad de este. Si el NIF introducido no corresponde con el que BANKINTER facilitó a LLEIDA.NET cuando se inició el proceso de firma, no se pueden visualizar los documentos a firmar ni avanzar en el proceso de firma. 2.3 Una vez introducido correctamente el NIF el firmante pasa a la pantalla de firma donde el cliente puede: 2.3.1. Descargar y visualizar la solicitud. 2.3.2. Adjuntar un documento o una imagen con su NIF (en este caso se adjuntó como documento el NIF de la denunciante) 2.3.3. Introducir la OTP (One Time Password) recibida por SMS y firmar (en este caso la persona solicitante que aportó los datos personales de la denunciante y adjuntó como documento el NIF de esta procedió a la firma telemática de la solicitud de tarjeta de crédito) 3. Una vez finalizado el proceso de firma por el firmante BANKINTER puede comprobar la documentación adjunta desde la plataforma de LLEIDA.NET creada para BANKINTER a tal efecto, y caso de ser correcta (en este caso recordar que el firmante adjuntó el NIF de la denunciante), puede validarla, generándose automáticamente un certificado unificado de firma del contrato, en este caso fechado el 16/11/2016 a las 18:15:26 horas, certificado que incluye los siguientes certificados individuales: - certificado emitido por LLEIDA.NET que acredita el envío y recepción del correo electrónico enviado por LLEIDA.NET en nombre de BANKINTER. El certificado contiene el envío de un correo electrónico el 16/11/2015 (14:59) a la dirección ***EMAIL.1 con un ejemplar del contrato tarjeta de crédito BANKINTER CARD ORO con los datos personales de la denunciante, que fue entregado en dicha dirección electrónica el 16/11/2016 (15:00). - certificado emitido por LLEIDA.NET que acredita el envío y recepción del SMS enviado por LLEIDA.NET en nombre de BANKINTER. El certificado contiene el envío de un SMS el 16/11/2015 (14:59) a la línea ***TELEFONO.3 con el mensaje “Bankinter informa: La clave para firmar tu solicitud de tarjeta es 558791. Por favor, sigue las instrucciones que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13 vienen en el email que te hemos enviado e introduce esta clave en el punto 3, después de adjuntar tu DNI. Gracias”, que fue entregado en dicha línea telefónica el 16/11/2016 (14:59). - certificado emitido por LLEIDA.NET que contiene los datos de acceso por el firmante a la página web alojada en el servidor propio de LLEIDA.NET, indicando que, desde la dirección IP 88.6.210.159, se ha recibido una petición http correspondiente al evento provocado por la inclusión de la OTP (One Time Password) en la web acredita el envío y recepción del SMS enviado por LLEIDA.NET en nombre de BANKINTER. El certificado contiene el envío de un SMS el 16/11/2015 (14:59) a la línea ***TELEFONO.3 con el mensaje “Bankinter informa: La clave para firmar tu solicitud de tarjeta es 558791. Por favor, sigue las instrucciones que vienen en el email que te hemos enviado e introduce esta clave en el punto 3, después de adjuntar tu DNI. Gracias”, que fue entregado en dicha línea telefónica el 16/11/2016 (14:59). El certificado contiene, además: - Imagen del DNI que se ha subido durante el proceso de firma explicado en el punto anterior. - Contrato, que, en los huecos que estarían dedicados para la firma manuscrita, se escribe “FIRMA 1”, “FIRMA 2”, “FIRMA 3”…, al que se le incluye un identificador único al margen. Este certificado está firmado electrónicamente con una firma basada en certificado digital cuyo titular es LLEIDA.NET REGISTERED COMMUNICATIONS SERVICE, y con sellado de tiempo de la autoridad de certificación de Camerfirma. SEXTO: BANKINTER aportó grabación de voz de conversación mantenida en fecha 28/11/2016 con la persona solicitante de la tarjeta en la cual, previa verificación de su identidad solicitando datos personales de la denunciante (nombre y apellidos, DNI, fecha de nacimiento, dirección facilitada en la solicitud de la tarjeta), la interlocutora solicita el cambio de domicilio facilitado en la contratación (***DIRECCION.1) para que se le envíe la tarjeta, señalando que sea sustituido por el nuevo domicilio ***DIRECCION.2, argumentando para ello que ha cambiado su domicilio y que el anterior corresponde a una vivienda de su propiedad que ha arrendado SEPTIMO: BANKINTER emitió a la denunciante los siguientes recibos por el uso de la tarjeta de crédito: Recibo mes Fecha cargo Nominal Intereses Demora Comisión reclamación Total/mes pendiente 12/2016 03/01/2017 35,35 € 4,66 € 35 € 76,01 € 01/2017 02-02/2017 18,00 € 2,03 € 35 € 55,03 € 02/2017 02/03/2017 18,00 € 1,75 € 35 € 54,75 € 03/2017 04/04/2017 18,00 € 1,42 € 35 € 54,42 € C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 04/2017 02/05/2017 18,00 € 1,14 € 35 € 54,14 € 05/2017 02/06/2017 18,00 € 0,91 € 35 € 53,91 € 06/2017 04/07/2017 18,00 € 0,59 € 35 € 53,59 € 07/2017 02/08/2017 18,00 € 0,30 € 35 € 53,30 € Importe impagado 455,15 € Estos recibos impagados fueron regularizados en fecha 13/09/2017 al ser anulados tras resolver la reclamación 1874781 sobre suplantación de personalidad efectuada a BANKINTER por la denunciante. OCTAVO: Constan en el expediente cartas de requerimiento de pago de fechas 17/01, 24/01, 13/02, 09/03 y 20/03 del 2017 dirigidas por BANKINTER a la denunciante a la dirección ***DIRECCION.2. NOVENO: En BANKINTER constan dos reclamaciones efectuadas por la denunciante: - Incidencia 1874208: en fecha 18/04/2014 reclama la cancelación de sus datos en ficheros de solvencia, resolviendo BANKINTER en fecha 06/07/2017 informando que sus datos no figuran incluidos en ningún fichero de solvencia. - Incidencia 1874761: en fecha 20/04/2017 la denunciante reclama por la existencia de una suplantación de su identidad en la contratación a su nombre de una tarjeta de crédito BANKINTER CARD, resolviendo BANKINTER en fecha 13/09/2017 que se canceló la tarjeta, así como la deuda pendiente de la misma. DECIMO: En el fichero asnef no figura ninguna inclusión de los datos personales de la denunciante efectuada por BANKINTER. Constan dos inclusiones efectuadas por FERRATUM BANK PLC por importe de 270 €, de baja desde fecha 07/09/2017. UNDECIMO: En el fichero badexcug no figura ninguna inclusión de los datos personales de la denunciante. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a BANKINTER la vulneración del artículo 6.1 de la LOPD, que dispone lo siguiente: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa.” Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en el 6.1, estableciendo que “2. No será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11 (FJ. 7 primer párrafo)… “consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. En el presente caso la denunciante niega la existencia de una relación contractual con BAKINTER que eximiría a la entidad del requisito del consentimiento para el tratamiento de sus datos personales en la medida en que niega haber contratado la tarjeta de crédito BANKINTER CARD ORO que la entidad esgrime como relación contractual entre las partes que justifica el tratamiento sin consentimiento (art. 6.2 LOPD) Consta acreditado que en los sistemas de BANKINTER constan los siguientes datos personales asociados a la denunciante (y de los se reputa como ciertos el nombre y apellidos, DNI, y fecha de nacimiento) como titular de una tarjeta de crédito “BANKINTER CARD ORO” nº XXXX-XXXX-XX-XXXXXXXX con fecha de alta 23/11/2016 y cancelación 13/09/2017: - Nombre y apellidos: A.A.A. - NIF: ***DNI.1 - Fecha de alta tarjeta: 24/11/2016 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 - Sexo: Mujer - Fecha de nacimiento: 13/03/1964 - Estado civil: divorciado - Número de hijos: 0 - País de nacionalidad. España - País de residencia. España - Domicilio fiscal: ***DIRECCION.2 - Teléfonos: ***TELEFONO.2 / ***TELEFONO.3 - Email: ***EMAIL.1 - Dirección: ***DIRECCION.2 - Cuenta bancaria: ESYY YYYY YYYY YY YYYYYYYY - Empresa cuenta ajena: Club Internacional del Libro - Antigüedad en la empresa. 1999 Así pues, los datos personales de la denunciante fueron registrados en los ficheros de BANKINTER para la contratación y emisión de una tarjeta de crédito, emisión de facturas por la disposición de cantidades, y gestiones de cobro. La contratación de la referida tarjeta de crédito de efectuó por internet mediante un proceso de firma electrónica validada por un tercero de confianza (LLEIDA.NET) que certifica que el proceso de forma se efectuó con verificación de la identidad del contratante mediante el envío tanto de SMS como de correo electrónico al teléfono y email facilitado en la solicitud de tarjeta de crédito, adjuntando la documentación contractual y un código OTP (One Time Password) que debía ser introducido en el sistema para proseguir con la firma electrónica del contrato, adjuntando asimismo como documento el NIF de la denunciante para acreditar su identidad y que ha sido aportado por la entidad investigada. Por tanto, en el procedimiento sancionador se ha acreditado la utilización de un procedimiento de verificación de la identidad de la persona solicitante que cabe calificar de diligente. A ello cabe unir el hecho que BANKINTER atendió la reclamación efectuada por la denunciante anulando la tarjeta de crédito y la deuda asociada la misma por las disposiciones efectuadas, con anterioridad a la intervención de esta Agencia. Por tanto el tratamiento realizado por parte de BANKINTER se ajusta a lo establecido en el artículo 6 de la LOPD al concurrir en el procedimiento examinado el supuesto de existencia de relación contractual entre las partes, sin perjuicio que dicha relación pueda ser cuestiona en el orden jurisdiccional penal habida cuenta que la denunciante manifiesta y así denunció ante la Policía que alguien a quien facilitó sus datos personales y su DNI, podría haberlos utilizado para contratar con BANKINTER la referida tarjeta de crédito, suplantando por tanto su identidad. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador PS/00126/2018. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 SEGUNDO: NOTIFICAR la presente resolución a BANKINTER CONSUMER FINANCE, S.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es