1/32 Expediente Nº: EXP202401230 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de julio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ONEY SERVICIOS FINANCIEROS EFC, S.A. (en adelante, ONEY), mediante el Acuerdo que se transcribe: << ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de noviembre de 2023 se interpone reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ONEY SERVICIOS FINANCIEROS EFC, S.A. con NIF A83113324 (en adelante, ONEY). La reclamación hace referencia a los siguientes hechos: - El reclamante dice haber sido víctima de un fraude como consecuencia de una presunta falta "de la diligencia debida en la custodia de mis datos" por parte de la entidad financiera ONEY, con la que tiene contratada una tarjeta de pago vinculada al comercio LEROY MERLIN, y un préstamo personal vinculados a una sola cuenta corriente que se gestionan vía app de ONEY, señalando que alguien ha usurpado su identidad y que el sistema de seguridad de ONEY ha fallado al permitir que un tercero/s accediera/n a su cuenta con dicha entidad y modificaran datos. En concreto, describe que fue víctima de un intento de fraude vía 'vishing' a través de una llamada telefónica realizada desde el número de atención al cliente de ONEY, en la que se suplantaba la identidad de ONEY y se le instaba a facilitar un código de verificación que recibiría en su dispositivo móvil. Asegura que no lo hizo, y que colgó. Que por su profesión tiene conocimientos de ciberseguridad y fue consciente de que estaba siendo objeto de un fraude. - Manifiesta que 12/14 semanas después de ese intento infructuoso de obtener sus credenciales, el 31/10/23 accedió a su cuenta web y al tratar de consultar el PIN de su tarjeta, la operación le fue denegada, accedió a su perfil y descubrió que se habían modificado varios datos (teléfono móvil, teléfono fijo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/32 el dispositivo vinculado, el correo electrónico, la dirección postal, y el número de cuenta asociada a la tarjeta) sin que le hubiera llegado ningún SMS que le solicitase un código cuando se realizaron. Descubrió también que ya no había solo una cuenta vinculada, si no que había dos, la suya propia que seguía estando vinculada al préstamo, pero habían introducido una nueva cuenta vinculada para la tarjeta. Y por último, señala que trató de modificar los datos de nuevo sin éxito: "Traté de cambiar los datos, pero me pedía un código de verificación que no llegaba a mi teléfono, lo hice una y otra vez pero no llegaba. Comprobé entonces que el dispositivo vinculado ya no era el mío". - Que siendo festivo el 1/11 no pudo contactar con ONEY hasta el 2/11 con ONEY y le informaron de que “la dirección física era de ***LOCALIDAD.1, y que habían pedido una tarjeta nueva para enviar a esa dirección”, y que en dicha llamada le bloquearon tanto esta tarjeta nueva que había sido solicitada sin su autorización, como la posibilidad de solicitar la emisión de nuevas tarjetas a través del área privada. Posteriormente a ello, ONEY le está reclamando el impago de varios recibos que no le corresponden. - Además de la normativa de protección de datos, el reclamante entiende que la entidad vulnera el artículo 68 del Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, específicamente en cuanto a la autenticación, que muy claramente dispone (art. 68.1) que los proveedores de servicios de pago aplicarán la autenticación reforzada de clientes, en la forma, con el contenido y con las excepciones previstas en la correspondiente norma técnica aprobada por la Comisión Europea, cuando el ordenante:
- a)acceda a su cuenta de pago en línea;
- b)inicie una operación de pago electrónico y,
- c)realice por un canal remoto cualquier acción que pueda entrañar un riesgo de fraude en el pago u otros abusos. Y que el apartado 3 del mismo precepto obliga a los proveedores de servicios de pago a contar «con medidas de seguridad adecuadas para proteger la confidencialidad y la integridad de las credenciales de seguridad personalizadas de los usuarios de los servicios de pago» Junto con su reclamación, se aporta: - Copia de la denuncia que presentó ante la policía (donde consta que los hechos acaecieron el 31-10-23 y no el 1-11-23 como señala la reclamación). Y dos capturas de pantalla de la app de ONEY, una con la ficha de cliente y otra en la que se señala cual es el dispositivo vinculado y un mensaje que indica la posibilidad de vincular otro dispositivo. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada con fecha de 23/01/24, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/32 Públicas (en adelante, LPACAP), fue recogido en fecha 23/01/2024, como consta en el acuse de recibo que obra en el expediente. TERCERO. Con fecha 15/02/2024, A.A.A. presenta escrito de respuesta al traslado en nombre y representación de la empresa reclamada, en el que se indica, en síntesis, lo siguiente: - Primera. Relación jurídica existente entre ONEY y el reclamante. No es controvertido que el reclamante es cliente de Oney desde hace años, habiendo contratado una tarjeta de crédito de Leroy Merlín y un préstamo personal con éste. - Segunda. - Contenido y alcance de la reclamación del cliente.Que el hecho de que el propio reclamante reconozca que cuando recibió la llamada del supuesto número de atención al cliente de ONEY fue “un intento infructuoso de obtención ilícita de sus credenciales” supone un racional relevante de que Oney no es responsable de lo sucedido, sino que esa responsabilidad sería de un tercero que, de mala fe y a sabiendas, habría suplantado su identidad, desconociendo la reclamada exactamente de qué manera, pero desde luego de forma ajena a cualquier tipo de vulnerabilidad o acción u omisión. Se niega que se produjera tal llamada desde el número de atención al cliente de ONEY, y se apunta a la posibilidad de que el cliente fuera víctima de una estafa a través de la cual un tercero pudiera obtener sus credenciales para acceder a la cuenta de ONEY y cambiar sus datos personales desde la misma, tales como el Vishing, técnicas varias de ingeniería social como replicar la voz mediante inteligencia artificial, entre otras muchas posibilidades. En especial, se mantiene que es muy posible que se haya utilizado la técnica del “SMI Swapping” en este caso, porque ello permitiría explicar cómo el defraudador ha podido acceder a su área privada cuando la entidad requiere doble factor de autenticación, pues mediante esta técnica el defraudador duplica la SIM del usuario y puede recibir los mensajes OTP remitidos por la aplicación de acceso a la cuenta. Por tanto, debería este disponer de sus credenciales de acceso, además de haber duplicado su tarjeta SIM. En cualquier caso, ONEY indica que el reclamante no ha acreditado que no le haya proporcionado sus credenciales al defraudador, sin que aporte ninguna prueba al respecto, más allá de citar que dispone de conocimientos de ciberseguridad. Para poder imputar responsabilidad a la reclamada, se requiere de acreditación de dolo o culpa, sin que quepa aplicar la responsabilidad objetiva si no se prueba que la reclamada ha incumplido con alguna obligación o medida que debiera adoptar. - Tercera. Procedimiento de rectificación de datos en el área privada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/32 Señalan que el procedimiento implementado por ONEY para modificar los datos o el número de teléfono de un cliente dentro del área privada de nuestra web o App, pasa necesariamente por dos pasos: o Primeramente, solicitar al cliente y que este proporcione determinada información personal, confidencial, entre la que se encuentra su DNI, su fecha de nacimiento y los cuatro últimos dígitos de alguna de sus tarjetas de Oney en vigor. Área privada a la que se accede con una clave de usuario y una contraseña personalizados, único, personal, intransferible y solamente conocido por el cliente (o por cualquier tercero a quien este se lo pudiera proporcionar, consciente o inconscientemente). Así pues, para que un tercero pueda acceder a la cuenta de ONEY debe conocer todos estos datos, sin que ONEY los proporcione nunca por teléfono ni por cualquier otra vía, dado que los operarios de atención al cliente ni siquiera tienen acceso a esta información por motivos de seguridad. No se tiene constancia alguna de haber sufrido ninguna brecha de seguridad que haya comprometido en modo alguno los datos de sus clientes o hubiera proporcionado acceso indebido o ilícito a dichos datos por terceros. La mejor prueba de ello según la reclamada es que no se ha recibido ninguna otra reclamación de ninguno de los más de un millón de clientes de la entidad que hubiera tenido su causa en una modificación ilícita o inconsentida de sus datos obrantes en el área privada de ONEY. o Adicionalmente, si el proceso de rectificación de la cuenta asociada al perfil de un cliente en el área privada se realiza por web o App, el sistema siempre requiere la introducción, además de todo lo anterior, de una validación OTP (código numérico de un solo uso) que se envía al teléfono móvil proporcionado por el cliente y que este debe introducir. Esto es lo que se conoce como un procedimiento de doble factor de autenticación. Por otra parte, y sin perjuicio de que se entiende que el sistema establecido es adecuado al riesgo, se informa de que: “se está revisando internamente el procedimiento de acceso y rectificación de los datos del área privada, así como las medidas de seguridad implementadas en ambos procesos, y que, para el caso de que se encuentren vulnerabilidades, se procederá a reforzar la seguridad del sistema, con el fin de aportar un mayor nivel de seguridad, si ello fuera necesario tras la revisión interna que del sistema se está llevando a cabo. En cualquier caso, en el transcurso de esas investigaciones, se ha decidido, preventivamente, bloquear temporalmente la opción para que un cliente pueda modificar el teléfono móvil por la APP y por la Web, a través de su área privada y eliminar la posibilidad de generar una nueva contraseña a través de la web (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/32 - Cuarta. Respuesta dada al cliente. Por último, se pone en conocimiento de esta Agencia que con fecha 2 de febrero de 2024 se envió al cliente la respuesta que se adjunta al escrito como Documento nº 1. CUARTO: Con fecha 27 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación y se le notificó dicha admisión al reclamante con fecha de 28 de febrero. QUINTO: Con fecha de 5 de abril de 2024, se recibe nuevo escrito del reclamante en el que se amplía la reclamación, haciendo constar que ONEY le ha incluido como moroso en su informe a la CIRBE (central de información de riesgos del Banco de España), y que ha sido conocedor de ello porque le han denegado un préstamo en Cetelem. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Dentro de la fase de actuaciones previas de investigación, se practican las siguientes actuaciones: - Con fecha de 13-11-24 se remite requerimiento de información durante la fase de investigación a la entidad reclamada, solicitando “adjuntar las evidencias (documentos, grabaciones, información registrada en sistemas de información, dirección IP del dispositivo desde donde se hizo el cambio, nº de teléfono al cual se envió el código OTP y certificación de dicho envío, etc.) que acrediten las acciones realizadas durante la solicitud del cambio de los datos personales del reclamante y las fechas en que se ejecutaron”, o cualquier otra información que se estime relevante. - En fecha 20 de noviembre de 2024 se recibe contestación de ONEY, reiterando todo lo dicho en su respuesta al traslado realizado por esta Agencia, y añadiendo lo siguiente: o "En primer lugar, debemos poner de manifiesto, que el cambio de teléfono móvil del reclamante se produce desde la página web de Oney entrando en el área privada. Para realizarlo, el cliente entró en el área privada y “clicó” en “¿has olvidado tu contraseña?”. En el momento que el reclamante entra en el apartado anteriormente indicado, el cliente debe introducir su número de DNI para solicitar una nueva contraseña y pasar el “captcha” correspondiente, tras lo cual aparece la siguiente pantalla: Elige como recuperar tu contraseña: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/32 a. Te enviaremos un SMS a tu tfno móvil: Teléfono (…). Enviar SMS. b. Te enviaremos un enlace de recuperación a tu correo electrónico: Email: (…), ENVIAR EMAIL. c. Si no reconoces los datos, pulsa en el siguiente botón para establecer un nuevo número de teléfono móvil para establecer la contraseña. NO RECONOZCO LOS DATOS. En el caso que nos ocupa, el cliente “clicó” en la parte “no reconozco los datos”. Al pulsar en ese apartado, se inicia un proceso de confirmación de la identidad del cliente. Se solicitan los siguientes datos: 1. Fecha de nacimiento 2. Cuatro últimos dígitos de alguna de sus tarjetas de Oney. En este caso, los cuatro últimos dígitos de la tarjeta LM. “Por lo tanto, como pueden comprobar, es necesario conocer la fecha de nacimiento del reclamante y los cuatro últimos dígitos de la tarjeta. En el caso que nos ocupa, el reclamante no ha mencionado en ningún momento que su tarjeta haya sido robada o pérdida, por lo que entendemos que el reclamante facilitó, en algún momento, los datos de su tarjeta a los supuestos defraudadores.” o Una vez confirmada la identidad con los datos anteriormente indicados, se solicita un número nuevo de teléfono que es confirmado a través de un código OTP que se envía por SMS al terminal. Verificado ese código OTP, se le pide al cliente que introduzca su nueva contraseña y se finaliza el proceso de rectificación. Una vez se ha modificado la contraseña, el cliente puede volver a entrar en el área privada con su DNI o NIE y su nueva contraseña. En el presente supuesto, se hace constar de forma literal que: “Los hechos anteriormente indicados se producen el 12 de octubre de 2023 a las 17:14:01. En este caso, se cambia el número de teléfono existente (***TELÉFONO.1), por el número de teléfono ***TELÉFONO.2. Indican que el número al que se envió el código OTP fue ***TELÉFONO.2. o C/ Jorge Juan, 6 28001 – Madrid Una vez se ha entrado en el área privada el 12 de octubre de 2023 siguiendo los pasos antedichos, desde la misma se procede a modificar varios datos que se detallan en el escrito: (
- i)el 12 de octubre de 2023, a las 17:20:06, se procede a modificar el número de cuenta solo para el contrato de tarjeta Leroy Merlin; (
- ii)posteriormente, en la misma fecha, se modifica el número de teléfono en ambas cuentas al número ***TELÉFONO.3, (iii) el 14 de octubre de 2023, se procede a modificar el número de teléfono móvil nuevamente por el siguiente: ***TELÉFONO.4, en el contrato de tarjeta y contrato de préstamo personal, así como el correo electrónico por el siguiente: ***EMAIL.1, para ambos contratos, y la dirección se modifica dos veces en ambas cuentas; (
- iv)el 31 de octubre de 2023, a las 08:39:40, se procede a www.aepd.es sedeaepd.gob.es 7/32 modificar nuevamente, la dirección para ambos contratos; ya añadir un teléfono fijo, el ***TELÉFONO.5, y a modificar de nuevo el correo electrónico por el siguiente: ***EMAIL.2, y se solicitó a través de la web de Oney la renovación de la tarjeta Leroy Merlin, con envío a la dirección de ***LOCALIDAD.1 que fue modificada el mismo 31 de octubre. En este caso, aunque la tarjeta fue emitida, dado que nuestros sistemas realizan un filtro previo sobre la dirección, se revisó que la misma era incorrecta y no se procedió a su envío por dirección incorrecta, lo que internamente se llama NPAI. Se aporta un fichero adjunto donde se contiene la traza técnica de lo indicado anteriormente. Se adjunta también un pantallazo donde pueden comprobar que la tarjeta solicitada el 31 de octubre se marcó como NPAI por lo que, no fue enviada al cliente. o Una vez el cliente revisó que los datos no eran correctos y que, a consecuencia del cambio de cuenta bancaria en los sistemas, los recibos del reclamante resultaban impagados, inició el proceso de reclamación que ahora nos ocupa: “En resumen, el único perjuicio que sufrió el reclamante fue la inclusión de sus datos en el fichero de morosidad, dado que los recibos no se estaban atendiendo al cobro por un cambio de cuenta no reconocido por su parte. El hecho de que se solicitase una tarjeta no supuso ningún perjuicio para el cliente, dado que dicha tarjeta nunca llegó a enviarse. Tampoco ha sufrido el reclamante perjuicio patrimonial alguno como consecuencia de esta rectificación de datos. Desde que el cliente se pone en contacto con la entidad, Oney procede a eliminarlo de los ficheros de morosidad de manera inmediata, a establecer con el reclamante un plan de pagos sin intereses por los perjuicios causados por el cambio de cuenta no reconocido e, incluso, a modificar sus sistemas para evitar que otros clientes se pudieran ver afectados por un caso similar en el futuro”. o Según la reclamada, está aplicando un “sistema de doble verificación se basa en algo que el cliente sabe (su fecha de nacimiento) y algo que solo debería estar en posesión de él (los últimos cuatro dígitos de su tarjeta), lo que crea una barrera significativa para los atacantes.” Entienden que solicitar la fecha de nacimiento del cliente y los cuatro últimos dígitos de su tarjeta como parte del proceso de validación de identidad constituye una medida de seguridad altamente eficaz para prevenir fraudes en los procesos de rectificación de datos, ya que: “la fecha de nacimiento es una información que, si bien puede ser accesible en algunos casos, rara vez es utilizada de manera aislada en fraudes debido a su relativamente bajo nivel de exclusividad. Sin embargo, cuando se combina con los últimos cuatro dígitos de la tarjeta de crédito o débito, esta combinación se vuelve un identificador mucho más robusto y difícil de falsificar”, y de acuerdo con su criterio, “aunque los últimos cuatro dígitos de la tarjeta son visibles para el usuario, no suelen ser parte de la información que circula en fuentes no oficiales o en bases de datos comprometidas, lo que reduce el riesgo de que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/32 alguien pueda acceder a estos datos sin ser el titular real de la cuenta del área privada”. o Aunque la entidad considera que las medidas de seguridad implementadas en el proceso de rectificación de datos eran ya robustas y suficientes para mitigar los riesgos de fraude, se ha decidido ir más allá, manifestando una mayor responsabilidad activa en la protección de los datos de sus clientes y la entidad ha decidido reforzar las medidas de seguridad: “Desde el 21 de mayo de 2024, se ha modificado el proceso establecido, y actualmente, si el cliente desea acceder al apartado “no reconozco mis datos”, con el objetivo de prevenir fraudes externos, se le solicita que se presente de forma presencial en la tienda Alcampo o Leroy Merlin más cercana para verificar su identidad. Aunque las medidas previas ya se consideraban suficientes para garantizar la seguridad, la entidad ha optado por adoptar este procedimiento adicional como un refuerzo, a pesar de que esto, lógicamente, puede impactar en la agilidad de los procesos y en la experiencia del cliente. Sin embargo, esta decisión responde a la necesidad de priorizar la protección frente a posibles fraudes, por encima de la rapidez en los trámites”. - Con fecha de 25 de noviembre de 2024, se expide Diligencia para hacer constar que como resultado de la consulta realizada en la página web https://numeracionyoperadores.cnmc.es/portabilidad/movil, la operadora del número de teléfono ***TELÉFONO.2 (al que según la reclamada se remitió el código OTP), es la entidad XFERA MÓVILES S.A UNIPERSONAL (en adelante, XFERA), y le remite un requerimiento de información con dicha fecha al objeto de que informe sobre la titularidad de dicha línea de teléfono. - Por otra parte, con fecha de 26 de noviembre de 2024, se remite un nuevo requerimiento de aclaración a ONEY, en el que se indica que: “En su escrito de fecha 20/11/2024 en contestación a requerimiento de esta Agencia, se adjunta un detalle cronológico de eventos, en el cual aparecen mezclados desordenadamente sucesos en octubre y noviembre, los cuales este inspector entiende que algunos de estos datos se encuentran errados”, y “Se solicita que en el plazo de CINCO DÍAS HÁBILES envíe la información corregida”. - Con fecha de 26 de noviembre de 2024, se expide así mismo Diligencia para hacer constar que la operadora que aparece en la dirección web https://numeracionyoperadores.cnmc.es/portabilidad/movil respecto al número de teléfono ***TELÉFONO.3 es también XFERA, y respecto al número ***TELÉFONO.4 es DIGI SPAIN TELECOM. - Con fecha de 27 de noviembre de 2024, ONEY contesta al requerimiento y señala que, efectivamente había un error de transcripción y que: “Por lo tanto, lo informado en la página 5 del documento de alegaciones, donde se hace referencia al 14 de noviembre de 2024, debe entenderse referenciado al 14 de octubre de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/32 - Finalmente, el 13 de diciembre de 2024, XFERA contesta al requerimiento de información de la inspección, señalando que “La línea se encontraba a nombre de B.B.B., con pasaporte de Colombia número ***PASAPORTE.1. La línea en cuestión se trata de una línea en modalidad prepago, por lo que no tiene asociado domicilio de instalación”. SÉPTIMO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ONEY es una empresa de tamaño grande constituida en el año 2001, y con un volumen de negocios de 40.019.000 € en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/32 El nombre, apellidos, DNI, lugar de nacimiento u origen, dirección de correo electrónico, número de teléfono fijo y móvil, domicilio y número de cuenta/ tarjeta de una persona física se consideran datos personales cuyo tratamiento se somete al régimen previsto en el RGPD, así como a sus disposiciones de desarrollo, de acuerdo con lo previsto en el artículo 4. 1, 2, y 7 el RGPD, que dispone lo siguiente: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;(…) 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (…)” En el presente supuesto, consta que la reclamada es la responsable del tratamiento de los siguientes datos personales del reclamante que se hallaban registrados en dicha área privada de cliente, de acuerdo con lo previsto en el artículo 4.1 del RGPD: - Así pues, por una parte, en su escrito de 20-11-24, la entidad reclamada señala que con fecha de 12 de octubre de 2023, un tercero accedió al área privada de la cuenta web del reclamante. De acuerdo con la captura de pantalla aportada con la reclamación, se observa que la ficha de cliente del área privada contenía, el nombre y apellidos del reclamante, que aparece visible íntegramente, y los siguientes datos personales del mismo que aparecen parcialmente enmascarados: Lugar de nacimiento: ESPAÑA DNI: (…) Teléfono móvil: (…) Email:_(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/32 Teléfono Fijo: (…) Dirección: (…) - A su vez, la reclamada reconoce también y aporta evidencias de que con fechas de 12 de octubre, 14 de octubre y 31 de octubre el presunto suplantador modificó varias veces los datos personales del reclamante como el número de cuenta bancaria asociada a los contratos, el número de teléfono móvil y el fijo, así como el domicilio. En concreto, la reclamada hace referencia en su escrito de 20-11-24 a que se registraron en la cuenta las siguientes modificaciones: (
- i)el 12 de octubre de 2023, a las 17:20:06, se procede a modificar el número de cuenta solo para el contrato de tarjeta Leroy Merlin; (
- ii)posteriormente, en la misma fecha, se modifica el número de teléfono en ambas cuentas por el número ***TELÉFONO.3, (iii) el 14 de octubre de 2023, se procede a modificar el número de teléfono móvil nuevamente por el siguiente: ***TELÉFONO.4, en el contrato de tarjeta y el contrato de préstamo personal, así como el correo electrónico por el siguiente: ***EMAIL.1, para ambos contratos, y la dirección se modifica dos veces en ambas cuentas; (
- iv)el 31 de octubre de 2023, a las 08:39:40, se procede a modificar nuevamente, la dirección para ambos contratos; ya añadir un teléfono fijo, el ***TELÉFONO.5, y a modificar de nuevo el correo electrónico por el siguiente: ***EMAIL.2, y se solicitó a través de la web de ONEY la renovación de la tarjeta Leroy Merlin, con envío a la dirección de ***LOCALIDAD.1 que fue modificada el mismo 31 de octubre. Estas modificaciones se acreditan por la misma mediante la aportación de un fichero de “trazas técnicas del sistema”. Manifiesta también el reclamante en la denuncia que interpone ante la Dirección General de Policía, que perdió la disposición sobre los datos personales que se hallaban en su cuenta, señalando que se percató de la posible suplantación de identidad porque el 31/10/23 intentó consultar el PIN de su tarjeta en su cuenta web y al introducir los últimos 4 dígitos de su tarjeta bancaria se le denegó la operación porque eran erróneos, motivo por el que entró en el perfil y comprobó que se habían modificado varios datos y se había vinculado una nueva cuenta y solicitado una nueva tarjeta, sin que él hubiera sido consciente de ello ni haber recibido ningún SMS en su número de teléfono. Y el sistema no le permitió volver a cambiar los datos porque le “pedía un código de verificación que no llegaba a mi teléfono, lo hice una y otra vez, pero no llegaba. Comprobé entonces que el dispositivo vinculado ya no era el mío". - Por último, la entidad reclamada señala que al área privada web de ONEY podía accederse y ser modificados los datos personales de los dos servicios de pago que el reclamante tenía contratados con ONEY. Mediante la misma, se contenía y podía gestionar la información de los pagos realizados con la tarjeta de LEROY MERLIN, y los del préstamo personal solicitado por el reclamante, estando ambos asociados a una o dos cuentas bancarias, que podían ser objeto de modificación. Pudiéndose desde este acceso solicitar nuevas tarjetas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/32 asociadas a las cuentas bancarias del reclamante. Y la propia reclamada señala que esto sucedió el 31 de octubre de 2023, en que “se solicitó a través de la web de Oney la renovación de la tarjeta Leroy Merlin, con envío a la dirección de ***LOCALIDAD.1 que fue modificada el mismo 31 de octubre. En este caso, aunque la tarjeta fue emitida, dado que nuestros sistemas realizan un filtro previo sobre la dirección, se revisó que la misma era incorrecta y no se procedió a su envío por dirección incorrecta, lo que internamente se llama NPAI.” Por tanto, y pese a que es cierto que no se produjo un perjuicio económico al reclamante al remitir la tarjeta, consta que la misma no fue remitida debido a que se aplicó un filtro de detección de dirección incorrecta que impidió enviar la tarjeta al domicilio registrado, y no porque se hubiera detectado que la misma no coincidía con la del reclamante, ni se hubiera aplicado ningún mecanismo de detección de que pudiera concurrir una posible suplantación. De lo expuesto se deduce que se han realizado las siguientes operaciones de tratamiento de estos datos personales del reclamante contenidas en el artículo 4.2 del RGPD: - Por una parte, ha existido un acceso no autorizado de un tercero a los datos personales del reclamante que constaban en dicha cuenta: por una persona que no tenía autorización para conocer los datos personales del reclamante contenidos en dicha área privada del cliente web, que quedaron expuestos y visibles. - Y por otra, se han alterado varias veces los datos personales contenidos en la misma por la persona o personas que accedieron a la cuenta sin autorización, habiendo perdido su titular la disposición de los datos personales que habían sido rectificados (al no poder recibir el código OTP en su número de teléfono). En consecuencia, de acuerdo con lo establecido en el artículo 4, apartados 1, 2 y 7 del RGPD, de las evidencias obrantes en el procedimiento se deduce que la empresa reclamada, como titular del área privada del cliente de su página web, es la responsable del tratamiento de los datos personales de los clientes cuyos datos se contienen y gestionan o modifican a través de la misma, habiendo fijado los fines y medios de estas operaciones de tratamiento de acuerdo con lo previsto en el artículo 4.7 del RGPD, decidiendo cómo se puede acceder a dicha cuenta (incluso en los supuestos en los que se desconoce la contraseña de acceso y no se reconocen los datos), y cómo se pueden rectificar los datos personales contenidos en la misma. Siendo esta empresa la responsable de proteger la confidencialidad e integridad de los datos personales que se contienen en dicha cuenta web. En consecuencia, como responsable del tratamiento, la entidad reclamada ONEY es también la presunta responsable frente a la que debe dirigirse el presente procedimiento sancionador de acuerdo con lo previsto en el artículo 70. 1
- a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
- a)Los responsables de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/32 tratamientos.
- b)Los encargados de los tratamientos.
- c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
- d)Las entidades de certificación.
- e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. IV Incumplimiento del Artículo 5.1.
- f)del RGPD El artículo 5.1.
- f)“Principios relativos al tratamiento” del RGPD establece que: “1. Los datos personales serán: (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).” El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, existen evidencias de que primero se produjo una brecha de confidencialidad de los datos personales del reclamante que se contenían en el área privada de la cuenta/aplicación web de la entidad reclamada al producirse una presunta suplantación de identidad el 12 de octubre de 2023 por la que un tercero accedió a la cuenta del reclamante sin autorización, y posteriormente, varias brechas de integridad de los datos personales que se produjeron entre el 12 y el 31 de octubre de 2023, cuando el suplantador o los suplantadores modificaron varios de los datos personales del reclamante, a los que se ha hecho referencia en los antecedentes de hecho y fundamento de derecho anterior. En el presente supuesto, se reconoce por la reclamada que: - Con fecha de 12 de octubre de 2023, consta registrado en su sistema que una persona no identificada accedió al área privada web del reclamante generando una nueva contraseña. Se manifiesta que la entidad aplica un sistema de doble autenticación en estos casos para proteger la seguridad del acceso no autorizado a las cuentas. Y que el acceso no autorizado se produjo, tras introducir el número de DNI del reclamante, marcar “he olvidado la contraseña”, y “no reconozco los datos”, y que el sistema le requirió como proceso de validación de identidad que introdujera la fecha de nacimiento y últimos 4 dígitos de la tarjeta bancaria del reclamante, y al introducir los mismos el sistema le permitió solicitar el envío de un sms al número de teléfono que este indicó (que no coincidía con el registrado en el área de cliente) un código OTP. Tras introducir el código OTP, el sistema permitió a su solicitante generar una nueva contraseña y acceder al área privada del reclamante, donde se hallaban los datos personales del mismo, así como los relativos a las operaciones de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/32 pago contratadas por este con la reclamada (tarjeta de compra LEROY MERLIN y contrato de préstamo personal). - Así mismo, se reconoce también por la reclamada que, tras el acceso no autorizado del 12 de octubre de 2023, se registraron múltiples modificaciones de los datos personales que constaban en el área privada web del reclamante (algunos de ellos como el teléfono, correo electrónico y domicilio se modificaron más de dos o tres veces en dos días), e incluso se solicitó la renovación de la tarjeta a nombre del reclamante para remitirla a un nuevo domicilio, y se generó una nueva cuenta vinculada. Todo ello sin que conste que la empresa tuviera instalado procedimientos o alertas que le permitieran detectar por si sola los accesos o modificaciones ilícitos, puesto que hasta la llamada del reclamante el 2-11-23 no se detectó: (
- i)que se había producido un acceso a dicha cuenta por una persona no autorizada; (
- ii)ni que se habían producido múltiples cambios en la misma de los mismos datos en pocos días (ejemplo, en 2 días se cambió el número de teléfono 3 veces). En el presente supuesto, la reclamada apunta a que se ha producido una posible suplantación de identidad de la que ha sido víctima el reclamante, por la que un tercero ha obtenido sus credenciales de acceso al área privada de forma ilícita, señalando que: “Ello, por si mismo, genera un indicio racional relevante de que Oney no es responsable de lo sucedido, sino que esa responsabilidad sería de un tercero que, de mala fe y a sabiendas, habría suplantado su identidad, desconocemos exactamente de qué manera, pero desde luego de forma ajena a cualquier tipo de vulnerabilidad o acción u omisión que le pueda ser imputable a mi representada”. Y se dedican varias páginas de su escrito a señalar las posibles vías por las que el presunto suplantador podría haber obtenido estas credenciales. Al respecto de esta cuestión, cabe aclarar que es cierto que únicamente puede imputarse responsabilidad administrativa a la empresa reclamada por incumplir la normativa de protección de datos personales si se acredita que el acceso y alteración de datos personales no autorizadas fue posible debido al dolo o negligencia de esta. Y descartada la concurrencia de dolo, concurrirá negligencia de ONEY si se acredita que la misma ha incumplido su obligación de proteger la confidencialidad e integridad de los datos personales de esta área privada web, por no haber adoptado todas medidas adecuadas al nivel de riesgo concurrente para el tratamiento concreto de que se trate. Ahora bien, no cabe dilucidar en este procedimiento ni posibles responsabilidades penales derivadas de la suplantación, que han sido denunciadas por el reclamante ante la autoridad competente y corresponderían en su caso al presunto suplantador o suplantadores, ni tampoco se hará referencia a las posibles responsabilidades civiles que podrían reclamarse en caso de haberse producido los daños y perjuicios a los que el reclamante alude y que la reclamada niega. Esta administración no tiene competencia para determinar ninguna de estas responsabilidades, por lo que no va a entrar a analizar las manifestaciones realizadas al respecto de esta cuestión por el reclamante y reclamado, que deberán dirimir sus discrepancias en otros foros, centrándose el objeto de este procedimiento en determinar si se ha incumplido esta obligación de proteger la confidencialidad e integridad de los datos personales objeto de tratamiento al objeto de determinar si concurre una infracción del artículo 5.1.
- f)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/32 Por lo que respecta a la responsabilidad administrativa, constan varias evidencias de que la reclamada podría no haber obrado con la diligencia exigible a un responsable del tratamiento, al no analizar bien los riesgos derivados de esta clase de tratamientos, y no arbitrar todas las medidas organizativas y técnicas que fueran necesarias para proteger los datos personales frente a posibles accesos y modificaciones de personas no autorizadas, toda vez que de los hechos reconocidos por la misma se deduce que cualquier persona que pueda obtener (de forma lícita o ilícita) los 3 datos personales del titular del área privada que se consideran por la misma como “credenciales de acceso” en este caso concreto (DNI, fecha de nacimiento y 4 últimos dígitos de la tarjeta), puede emplearlos para poder solicitar que se le remita un código OTP a un nuevo número de teléfono que se indique por el mismo, y puede no coincidir con el registrado en la cuenta, sin que el titular sea advertido de ello en ningún momento. Son evidencias de que el sistema no cumpliríaa con las medidas más esenciales de verificación de la identidad las siguientes: - Que la propia reclamada describe cuál es su procedimiento habitual para poder generar una nueva contraseña de acceso a la cuenta (aunque lo denomina “proceso de rectificación de datos personales” aporta unas capturas de pantalla de lo que sería el procedimiento de acceso a la cuenta en casos de olvido de contraseña). Y señala que el procedimiento o sistema de verificación funcionó tal y como estaba diseñado cuando se produjo el presunto acceso no autorizado al que se refiere este expediente, señalando expresamente que: “el cambio del teléfono móvil del reclamante se produjo, entrando en el área privada web de ONEY el 12 de octubre de 2023, tras clicar en “¿has olvidado tu contraseña?”, y posteriormente, marcó “no reconozco los datos””, para después explicar que se solicitó una nueva contraseña y para ello el sistema le pidió la fecha nacimiento y cuatro últimos dígitos de la tarjeta, y que al introducirse los mismos y verificar el sistema que eran correctos, se le requirió introducir un nuevo número de teléfono al que se le remitió un código OTP que le permitió generar una nueva contraseña y acceder al área web del reclamante. - Se ha confirmado durante las actuaciones previas de investigación que, efectivamente, el acceso se produjo por esta vía, y que el código OTP de autenticación de identidad se remitió al nuevo teléfono indicado por la persona que accedió dicho día a la cuenta (***TELÉFONO.2), y no al anterior que constaba registrado en el área privada del reclamante (***TELÉFONO.1), que no pudo conocer en ningún momento que este acceso se estaba produciendo. Así pues, ONEY indica expresamente que: “Los hechos anteriormente indicados se producen el 12 de octubre de 2023 a las 17:14:01. En este caso, se cambia el número de teléfono existente (***TELÉFONO.1), por el número de teléfono ***TELÉFONO.2”, y posteriormente indica la reclamada que: “el número al que se envió el código OTP fue ***TELÉFONO.2”. Y de acuerdo con el escrito de contestación de XFERA MÓVILES presentado el 13 de diciembre de 2024, operadora del número de teléfono ***TELÉFONO.2 (al que se remitió el código OTP), la titularidad de este número no corresponde al reclamante, sino a un tercero que no es el titular del área privada (“La línea se encontraba a nombre de B.B.B., con pasaporte de Colombia número ***PASAPORTE.1. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/32 línea en cuestión se trata de una línea en modalidad prepago, por lo que no tiene asociado domicilio de instalación”. Es un dato crucial en este supuesto el hecho de que el sistema diseñado por la reclamada remita el código OTP al nuevo número de teléfono que se introduce por la persona que intenta acceder sin contraseña, y no al anterior que se halla registrado en el sistema, sin que el sistema realice ninguna comprobación ni de que éste número coincida con el registrado ni de que sea titularidad o esté en posesión del titular de la cuenta, ya que tampoco solicita ningún tipo de verificación de titularidad de la línea al objeto de comprobar que no se trata de un acceso ilegítimo por suplantación. No cabe duda de que este no es un mecanismo de verificación de identidad que se pueda considerar “robusto y seguro” como señala la reclamada, que centra su argumentación en señalar que la posible suplantación de identidad no es su responsabilidad al haber adoptado medidas de seguridad suficientes, puesto que está aplicando un sistema de “doble factor de autenticación” para poder validar la identidad de la persona que pretenda acceder sin conocer la contraseña de usuario del reclamante, que consta de dos pasos: introducción de las credenciales de acceso de la cuenta para solicitar que se cree una nueva contraseña, y la introducción del código OTP de un solo uso que se le remite por SMS al nuevo número de teléfono que se indica. Así pues, señala que en este supuesto se aplicó correctamente el procedimiento de doble factor de autenticación, y que si un tercero suplantó la identidad del reclamante y pudo acceder al área privada web del reclamante el 12 de octubre de 2023, y modificar posteriormente sus datos personales en varias ocasiones no fue debido a la falta de adopción de medidas de seguridad del sistema, sino porque: (
- i)había obtenido -de alguna forma que se desconoce- el DNI, fecha de nacimiento y cuatro últimos dígitos de la tarjeta del reclamante; (
- ii)y el sistema del área privada diseñado por la reclamada le permitió generar una nueva contraseña recibiendo el código OTP de un solo uso en un “nuevo número de teléfono” que se recibió e introdujo por esa persona. Cabe aclarar que la reclamada parte de varias premisas erróneas que le llevan a creer que ha adoptado todas las medidas exigidas por el artículo 5.1.
- f)del RGPD: - Hay que señalar como cuestión previa, que el sistema no requiere introducir solo la fecha de nacimiento y los 4 últimos dígitos de la tarjeta como señala varias veces la reclamada, sino que para poder marcar “he olvidado la contraseña” era preciso conocer también el número de DNI del cliente según las capturas de pantalla aportadas, por lo que se entiende que el control del “primer paso” exigía conocer estos 3 datos. - La primera premisa errónea es entender que ha adoptado medidas suficientes frente a todos los riesgos concurrentes al requerir como primer paso la introducción de estos 3 datos del cliente, lo que según la reclamada es medida de seguridad suficiente porque deberían conocerse y poseerse únicamente por el titular. Es cierto que la reclamación se centró en imputar responsabilidad a la reclamada por haber posibilitado que el presunto suplantador obtuviera las credenciales de acceso -sin aportar evidencias de que exista una brecha de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/32 confidencialidad previa de sus sistemas o que fueran los agentes de la misma los que le hubieran proporcionado el dato- y que ello puede haber generado que la reclamada centrase, a su vez, su argumentario en negar su responsabilidad por proporcionar estas credenciales de acceso que eran necesarias para superar el primer paso o filtro del sistema, pero no lo es menos que ignoraba con ello que su responsabilidad va mucho más allá, y que el fallo esencial en este caso era el diseño de todo el sistema de verificación en sí mismo (y más del segundo filtro que del primero), que ofrece un nivel de protección muy débil frente a posibles intentos de suplantación de identidad. Lo que llama la atención a primera vista de esta argumentación es que la empresa reclamada no parece ser consciente de que el acceso y modificación de los datos personales contenidos en las áreas privadas de su web deben ser protegidos también frente a los riesgos generados en caso de posibles suplantaciones de identidad en las que los suplantadores obtienen datos personales que les permiten superar los filtros de los sistemas de verificación de identidad de las entidades. Máxime en supuestos como este en los que el primer filtro se supera con conocer únicamente 3 datos personales del titular que pueden obtenerse por diversas fuentes con relativa facilidad (DNI, fecha de nacimiento, y 4 últimos dígitos de la tarjeta), y que al introducirse permiten solicitar nuevas contraseñas de acceso mediante la remisión de un código a un nuevo número de teléfono en lugar de al anterior, como sucede en el supuesto presente. Lo que pone de manifiesto que la empresa no ha incluido este riesgo entre el análisis de riesgos que debe realizarse previamente a diseñar todo tratamiento. Y es que los servicios de pago ofrecidos electrónicamente (entre los que se incluyen los servicios electrónicos sobre información de cuentas, como es el supuesto presente) deben prestarse con la adecuada protección, gracias a la adopción de tecnologías que permitan garantizar una autenticación segura del usuario y minimizar el riesgo de fraude. El procedimiento de autenticación debe incluir, en general, mecanismos de supervisión de las operaciones para detectar los intentos de utilizar las credenciales de seguridad personalizadas del usuario de un servicio de electrónico de información sobre cuentas (y otros servicios de pago, en general) que hayan sido objeto de extravío, robo o apropiación indebida, y debe también asegurar que quien accede y modifica los datos personales es el usuario legítimo y está por lo tanto dando consentimiento al acceso a su información de cuenta y a la modificación de sus datos personales o solicitud de nuevos servicios de pago (como en este caso, en que se solicitó una nueva tarjeta de pago) mediante un uso normal de sus credenciales de seguridad personalizadas. Así pues, antes de decidir sobre la implantación del tratamiento de datos personales ante el que nos encontramos y decidir qué sistema de verificación de identidad se implanta, lo que siempre es exigible al responsable de un tratamiento de datos personales como el presente para cumplir con el artículo 5.1.
- f)del RGPD, es que analice todos los riesgos concurrentes previamente, y establezca en base a este análisis un adecuado sistema de autenticación que esté provisto de medidas de seguridad que protejan de forma adecuada todos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/32 los riesgos concurrentes para proteger los datos personales de los clientes, que podrá ser requerir un factor de doble autenticación, o podrán ser otras medidas de verificación y comprobación de la identidad dirigidas a asegurar que solo las personas autorizadas acceden a la cuenta web del titular y rectifican sus datos personales. - Por otra parte, la empresa reclamada cree erróneamente que está aplicando el “sistema de doble autenticación” al que se refiere la Directiva PSD2 (también denominado multi-factor o autenticación reforzada). La reclamada afirma que de acuerdo con la Directiva PSD2, la empresa tiene instalado un “sistema de doble verificación, que se basa en algo que el cliente sabe (su fecha de nacimiento) y algo que solo debería estar en posesión de él (los últimos cuatro dígitos de su tarjeta), lo que crea una barrera significativa para los atacantes.” Y argumenta que ello constituye una medida de seguridad altamente eficaz para prevenir fraudes en los procesos de rectificación de datos, ya que: “la fecha de nacimiento es una información que, si bien puede ser accesible en algunos casos, rara vez es utilizada de manera aislada en fraudes debido a su relativamente bajo nivel de exclusividad. Sin embargo, cuando se combina con los últimos cuatro dígitos de la tarjeta de crédito o débito, esta combinación se vuelve un identificador mucho más robusto y difícil de falsificar”, y de acuerdo con su criterio, “aunque los últimos cuatro dígitos de la tarjeta son visibles para el usuario, no suelen ser parte de la información que circula en fuentes no oficiales o en bases de datos comprometidas, lo que reduce el riesgo de que alguien pueda acceder a estos datos sin ser el titular real de la cuenta del área privada”. La Directiva PSD2 a la hace referencia la propia reclamada (que es la Directiva UE número 2015/2366 del Parlamento Europeo y del Consejo sobre servicios de pago 2), ha sido transpuesta al ordenamiento jurídico español por el Real Decreto-Ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera que cita el reclamante (en adelante, RDL19/18), que se complementa por las normas técnicas sobre autenticación reforzada aprobadas por el Reglamento Delegado (UE) 2018/389 de la Comisión de 27 de noviembre de 2017, que establece estándares comunes para su fijación. Ambas normas definen en qué consiste un sistema de doble factor de autenticación o “autenticación reforzada”, señalando lo siguiente: o El artículo 3. 5º del RD-Ley 19/2018 define en qué consiste sistema de al que se refiere la empresa reclamada: “5. Autenticación reforzada de cliente: la autenticación basada en la utilización de dos o más elementos categorizados como conocimiento (algo que solo conoce el usuario), posesión (algo que solo posee el usuario) e inherencia (algo que es el usuario), que son independientes –es decir, que la vulneración de uno no compromete la fiabilidad de los demás–, y concebida de manera que se proteja la confidencialidad de los datos de identificación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/32 o Y el artículo 4. 1º del Reglamento Delegado UE sobre normas técnicas de regulación de la “autenticación reforzada”, señala que: “1. Cuando los proveedores de servicios de pago apliquen la autenticación reforzada de clientes, de conformidad con el artículo 97, apartado 1, de la Directiva (UE) 2015/2366, la autenticación se basará en dos o más elementos categorizados como conocimiento, posesión e inherencia y tendrá como resultado la generación de un código de autenticación (…).” Por tanto, para que se considere que se aplica un sistema de doble autenticación es preciso que el sistema solicite 2 de los 3 de los factores siguientes, y que ello tenga como resultado la generación de un código de autenticación: A) Algo que sea el titular: para los casos en que se realice un proceso de autenticación mediante datos biométricos personales como la huella, voz, iris, reconocimiento facial…etc., lo que no sucede en este supuesto. A) Algo que solo conozca el titular: como podría ser el caso de los datos relativos a un PIN, contraseña o clave previamente creada por el mismo, requisito que no se exige en este sistema, que permite crear una nueva contraseña si no se recuerda la anterior. La reclamada manifiesta que se pide este factor de autenticación puesto que el dato de la fecha de nacimiento solo se conoce por el titular, sin que ello sea cierto, puesto que como la misma reconoce, este dato personal no solo se conoce por el titular, sino que se proporciona a menudo a diversos responsables de tratamiento, personas públicas o privadas e incluso puede circular en las redes sociales, siendo un dato relativamente fácil de obtener. B) Algo que esté en posesión del titular: sería algo físico o tangible que esté a su disposición, como por ejemplo una tarjeta de coordenadas, un token físico o el dispositivo móvil con el número de teléfono que el cliente haya registrado previamente (al que se envía un código OTP). En el presente supuesto, no se pide este factor de autenticación puesto que el sistema: (
- i)permite acceder a la cuenta sin conocer los datos de contacto anteriores; (
- ii)y en tal caso, genera un código OTP, pero no lo remite al número de teléfono indicado por el titular, sino al nuevo número de teléfono que se introduzca en el momento de la validación, que puede ser introducido libremente por el tercero suplantador. Sin que quepa aceptar que la tarjeta de crédito a la que alude la reclamada sea pedir algo que se posee, puesto que lo que en realidad se está solicitando son los 4 últimos números de esta, que son algo que se conoce por el cliente, y que, además, no se conoce solo por el cliente, ya que en muchas ocasiones son hasta visibles, como también señala la reclamada. De ello se deduce que no existe en este caso un “doble factor de autenticación” o sistema de autenticación reforzada puesto que -incluso realizando una interpretación favorable a la reclamada que entienda que la fecha de nacimiento y 4 últimos dígitos de la tarjeta bancaria del titular se consideren como “algo que solo conozca el titular”, lo que no es así-, ello implicaría que el sistema de verificación se supere con un solo factor de autenticación, sin que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/32 se requiera nada que esté en posesión del titular ni que sea el titular. Hay que considerar que este filtro se realiza solo en el “primer paso”, y que una vez superado, el” segundo paso” no requiere tampoco un factor de autenticación, puesto que el sistema permite remitir el código OTP a un dispositivo telefónico nuevo que no tiene por qué estar “en posesión del titular”. A mayor abundamiento, hay que pensar que el sistema sería altamente inseguro puesto que permitiría al presunto suplantador introducir un número nuevo: (
- i)sin notificar ni requerir la previa autorización del cambio de teléfono al titular de la cuenta, (
- ii)ni requerir justificación de la titularidad de este nuevo número a nombre del titular de la cuenta; (iii) ni realizar cualquier comprobación de alertas o conductas sospechosas que puedan detectar un intento de suplantación (como por ejemplo, las preguntas registradas previamente u otros métodos de comprobación existentes y aplicados en este tipo de sistemas); (
- iv)Constando además que no se detectó el posible fraude por la reclamada ni en el acceso ni al modificarse de forma reiterada varios datos personales en 2 días (tres veces el número de teléfono, dos veces el correo electrónico…etc.). Esta falta absoluta de medidas de comprobación y detección de posibles intentos fraudulentos incrementan exponencialmente las posibilidades de que se produzcan brechas de confidencialidad y/o de integridad de los datos personales del cliente, que pueden incluso involucrar a las terceras personas que puedan ser eventualmente propietarias de las tarjetas SIM del número que se introduce para poder habilitar el acceso, como bien señala la propia reclamada. Todos estos riesgos deben ser previstos, y reducidos, eliminados o mitigados por la entidad con las medidas técnicas y organizativas que sean necesarias para que se considere que no existe actuación negligente de la entidad en este tipo de supuestos. En definitiva, de las evidencias y normativa aplicable se deduce que no es cierto que la empresa reclamada esté requiriendo un sistema de doble factor de autenticación para acceder al área privada web de sus clientes y rectificar sus datos personales, y que tampoco ha acreditado que haya adoptado otras medidas que protejan adecuadamente la confidencialidad e integridad de los datos personales contenidos en el área privada web de sus clientes frente a todos los riesgos concurrentes en este tipo de tratamiento, uno de los cuales es, precisamente, el riesgo de que un suplantador de identidad que haya obtenido ilícitamente estos 3 datos del titular de una de sus cuentas -por cualquier fuente u origen-, pueda acceder al área privada web de éste, sin disponer de las credenciales de acceso (contraseñas) permitiéndole generar una nueva contraseña. A mayor abundamiento, cabe señalar que la empresa señala que está revisando sus procesos y que ha reforzado la seguridad del procedimiento aplicable en estos supuestos, señalando que: “Por otra parte, y sin perjuicio de que se entiende que el sistema establecido es adecuado al riesgo, se informa de que se está revisando internamente el procedimiento de acceso y rectificación de los datos del área privada, así como las medidas de seguridad implementadas en ambos procesos, y que, para el caso de que se encuentren vulnerabilidades, se procederá a reforzar la seguridad del sistema, con el fin de aportar un mayor nivel de seguridad, si ello fuera necesario tras la revisión interna que del sistema se está llevando a cabo. En cualquier caso, en el transcurso de esas investigaciones, se ha decidido, preventivamente, bloquear temporalmente la opción para que un cliente pueda modificar el teléfono móvil por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/32 APP y por la Web, a través de su área privada y eliminar la posibilidad de generar una nueva contraseña a través de la web(…)” Y se señala también que desde el 21 de mayo de 2024 se ha adoptado una medida presencial de verificación de identidad presencial en tienda “si el cliente desea acceder al apartado “no reconozco mis datos”, con el objetivo de prevenir fraudes externos”. Estas nuevas medidas correctivas se tienen en cuenta en el presente procedimiento, si bien no pueden considerarse a los efectos de eximir de la comisión de la infracción, que ya ha sido consumada, dado que dichas medidas no estaban vigentes en el momento en que se consumó la presunta infracción continuada a la que se refiere el presente procedimiento (entre el 12 de octubre de 2023 y el 2 de noviembre de 2023). En conclusión, de conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, por haber incumplido con su deber de proteger adecuadamente la confidencialidad e integridad de los datos personales de sus clientes en el área privada web, y en concreto, haber permitido la vulneración de confidencialidad e integridad de datos personales del reclamante. V Tipificación y calificación de la infracción a efectos de prescripción De conformidad con las evidencias de las que se dispone en este acuerdo de iniciación del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del Principio de Confidencialidad previsto en el artículo 5.1.
- f)del RGPD. En concreto, de confirmarse la realidad de los hechos denunciados, la citada infracción del artículo 5.1.
- f)del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone (el subrayado es nuestro): “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, cabe aplicar el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD, que indica (el subrayado es nuestro): “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/32
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Propuesta de Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/32 “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la infracción constatada, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procede la imposición de una sanción de multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, la condición de gran empresa y el volumen de negocio de la parte reclamada (40.019.000 € en el año 2023). Asimismo, atendiendo a la categorización de la infracción, de acuerdo con el artículo 83.5 del RGPD, la sanción que se imponga podrá ser de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. El 4% del volumen de negocio de 40.019.000 € euros es de 1.600.760 euros. Por ello, la sanción que se imponga necesariamente deberá oscilar entre 0 y 20.000.000 euros. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. En el presente supuesto se estima que concurren las circunstancias de graduación siguientes en virtud de las cuales se fija inicialmente la sanción: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/32 • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): La conducta en la que se concreta la naturaleza de infracción atribuida al reclamado afecta a un principio básico en materia de protección de datos, la confidencialidad de los datos personales, que está sancionado como se ha dicho, con multa de hasta 20 millones de euros o el 4% del volumen de negocios de la reclamada. Como circunstancias significativas para determinar la naturaleza y gravedad de la infracción se considera que consta que una tercera persona ha accedido a los datos personales del reclamante, y que además se han producido varias modificaciones de los datos personales del mismo, concurriendo una brecha de confidencialidad y varias de integridad que no fueron detectadas por la reclamada. Habiéndose acarreado al interesado una pérdida de disposición y control irremediable sobre sus datos personales, que detectó por sí mismo la suplantación producida al acceder a su cuenta el 31 de octubre de 2023, tratar de hacer una gestión y comprobar que no podía recibir el código OTP porque su número de teléfono y otros datos personales habían sido modificados. Así mismo, se considera también que la reclamada solo ha acreditado haber arbitrado la medida de seguridad que describe (introducir DNI, fecha de nacimiento y 4 dígitos de la tarjeta), y no que se arbitrasen medidas adicionales de comprobación de identidad ni de la titularidad o posesión del número de teléfono que se introducía para poder recibir el código OTP. Por último, se considera como duración de la infracción continuada cometida, entre las fechas de 12 de octubre y 2 de noviembre de 2023, desde que se produjo el primer acceso al área privada por el suplantador de identidad hasta que se detectó el mismo por el reclamante y se advirtió a la reclamada, bloqueando el mismo, si bien no consta acreditado que en la actualidad el reclamante pueda disponer de nuevo de su cuenta en el área web. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): Si bien no se aprecia intencionalidad por parte la empresa reclamada, como ya se ha dicho en el Fundamento de Derecho anterior, si se aprecia una grave negligencia en la actuación de ésta puesto, salvo que durante la instrucción demuestre lo contrario, existen evidencias de que la empresa no actuó con la diligencia exigible a un responsable del tratamiento puesto que: (
- i)no realizó un previo análisis de riesgos que tuviera en cuenta todos los riesgos concurrentes, (
- ii)ni analizó y adoptó todas las medidas organizativas y técnicas que eran necesarias para mitigar, reducir o eliminar los riesgos concurrentes, (iii) ni tampoco se informó adecuadamente de los requisitos que son necesarios para diseñar un adecuado sistema de autenticación reforzada o validación de identidad. Siendo las medidas de seguridad adoptadas para permitir el acceso a la cuenta y rectificación de datos personales de sus clientes claramente insuficientes para cumplir con el deber previsto en el artículo 5.1.
- f)del RGPD, habiendo posibilitado esta ausencia de diligencia debida el acceso ilegítimo y la alteración de datos personales del reclamante, además de poner en riesgo la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/32 confidencialidad e integridad de los datos personales de todos los clientes de su área privada web. Y constando, además, que no se habían adoptado medidas de comprobación o verificación que pudieran detectar la suplantación de identidad producida, mediante un posible servicio de alertas o verificación periódica, siendo el reclamante el que advirtió a la empresa reclamada de esta circunstancia. A propósito del grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), extrapolable al supuesto que nos ocupa, que indica que: “el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Las categorías de los datos de carácter personal afectados por la infracción Se considera el número y categoría de datos personales contenidos en el área privada y los datos que fueron modificados que se han mencionado en el Fundamento de Derecho III de cuestiones previas, teniendo en cuenta que dentro de los mismos pueden considerarse sensibles los datos financieros o bancarios. A este respecto, cabe recordar que el Comité Europeo de Protección de Datos, en sus Directrices 04/2022, sobre el cálculo de las multas administrativas contempladas en el RGPD, adoptadas el 24 de mayo de 2023 señala que 57. En cuanto al requisito de tener en cuenta las categorías de los datos personales afectados [artículo 83, apartado 2, letra g), del RGPD], el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado 26 (por ejemplo, datos de localización, datos sobre comunicaciones privadas, números de identificación nacionales o datos financieros, como resúmenes de operaciones o números de tarjetas de crédito)27.En general, cuantas más de estas categorías de datos estén implicadas o más sensibles sean los datos, más peso podrá atribuir la autoridad de control a este factor. La vinculación de la actividad del infractor con la realización de tratamientos de datos personales” (Artículo 76.2.
- b)de la LOPDGDD en relación con el artículo 83.2.k)) Dado que la entidad reclamada por su actividad crediticia está vinculada con la realización de un elevadísimo volumen de tratamientos de datos de carácter personal, dado que según el Informe Axesor su objeto social es “otras actividades crediticias” y de acuerdo con lo que consta en el expediente, tiene entre sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/32 actividades la gestión de tarjetas de pago de comercios y concesión de préstamos personales. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
- f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 150.000 € (CIENTO CINCUENTA MIL EUROS), por la supuesta infracción del artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5.
- a)de dicha norma. VII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
- f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a ONEY para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber adoptado las medidas siguientes: - El establecimiento de las medidas técnicas y organizativas de todo tipo que necesarias que sean necesarias para proteger la confidencialidad e integridad de los datos personales de los clientes que constan en el área privada web/app, frente a todos los riesgos concurrentes que se plantean, debiendo aportar un análisis de riesgos del tratamiento realizado, en el que se analicen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/32 de forma exhaustiva todos los riesgos para los derechos y libertades de los clientes, y se detallen las medidas adoptadas para mitigar, reducir o eliminar los riesgos concurrentes. - - La modificación de su sistema de autenticación para acceso a la cuenta online en caso de desconocer la contraseña de acceso al objeto de asegurar que solo el titular legítimo pueda acceder a la misma, y justifique los requisitos de autenticación aplicados para permitir la rectificación de datos personales desde la misma, y la solicitud de nuevos servicios de pago (como la renovación de la tarjeta, pagos o gestión de préstamos), al objeto de asegurar que se están ordenando por su titular. Acredite que el acceso y gestión del área privada del reclamante se halla en la actualidad bajo a exclusiva disposición de su titular/titulares. Se hace constar que se deberá acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino también para demostrar su cumplimiento antes las autoridades de control e interesados. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ONEY SERVICIOS FINANCIEROS EFC, S.A., con NIF A83113324, por la presunta infracción Artículo 5.1.
- f)del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a S.S.S. y, como secretaria, a R.R.R. indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/32 CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 150.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a ONEY SERVICIOS FINANCIEROS EFC, S.A., con NIF A83113324, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 120.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 120.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 90.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (120.000,00 euros o 90.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/32 Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 5 de agosto de 2025, ONEY ha procedido al pago de la sanción en la cuantía de 90.000,00 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. En el escrito de reconocimiento de responsabilidad presentado, ONEY entiende que, en lo que respecta al caso que nos ocupa, la sanción podría verse reducida apreciando una cualificada disminución de la culpabilidad del imputado, el volumen de los tratamientos afectados, los beneficios obtenidos, la no reincidencia, y los daños y perjuicios causados a los interesados, en este caso al reclamante. En relación con la manifestación efectuada, se recuerda lo señalado en el artículo 85.3 LPACAP: la efectividad de las reducciones queda condicionada al desistimiento o renuncia de cualquier acción -incluida la formulación de alegaciones- o recurso en vía administrativa contra la sanción. En este sentido, en fecha 21 de octubre de 2025, ONEY presenta escrito en el que manifiesta el reconocimiento expreso de la responsabilidad y la renuncia a acciones y recursos en vía administrativa. TERCERO: En el Acuerdo de inicio transcrito anteriormente, se señalaba que de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose recibido escrito mediante el que ONEY informa que ha adoptado las medidas necesarias para que no se vuelvan a producir los hechos determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad o licitud de las medidas adoptadas. Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/32 ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/32 Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 90.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, ONEY ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 150.000,00 euros. Tras haber procedido ONEY SERVICIOS FINANCIEROS EFC, S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 90.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202401230, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: NOTIFICAR la presente resolución a ONEY SERVICIOS FINANCIEROS EFC, S.A. CUARTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/32 recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1219-110925 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es