1/6 Procedimiento Nº: PS/00299/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: PRIMERO: Dña. A.A.A., D. B.B.B., D. C.C.C., Dña. D.D.D., Dña. E.E.E. (en adelante, reclamantes) con fechas 08/10/2019, 21/11/2019, 21/11/2019, 03/12/2019 y13/01/2020 respectivamente interpusieron reclamaciones ante la Agencia Española de Protección de Datos. Los escritos se dirigen contra ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G (en adelante, el reclamado). Los motivos en que basan sus reclamaciones son, básicamente que al intentar instalar la app de ING BANK en sus dispositivos móviles se solicita de forma obligatoria el acceso a los datos del dispositivo lo que conlleva que la entidad pueda tener acceso a datos de terceros y no solo a los propios. SEGUNDO: Tras la recepción de las reclamaciones, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 27/11/2019 fue trasladada al reclamado la reclamación presentada para su análisis y se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha el reclamado respondía que no se habían aportado los datos de la reclamante siendo dicha información necesaria para proceder al análisis de la reclamación y proceder a su resolución. Reiterado el requerimiento el 21/01/2020 el reclamado señalaba que al descargar la aplicación se solicita al cliente permiso para acceder a su ubicación; este permiso no es obligatorio por lo que si no se concede la descarga puede continuar; solo en aquellos casos en los que el cliente quiera hacer uso de un servicio que requiera conocer su ubicación (localización de un cajero) el permiso será necesario; en cuanto al acceso al almacenamiento del dispositivo del cliente se señala que la redacción de este no ha sido realizada por ING sino por el propio sistema operativo del dispositivo móvil; el acceso se requiere no con la intención a todo lo que el usuario almacena en su dispositivo sino exclusivamente a la contraseña que forzosamente se almacena en el dispositivo y que permite verificar la identidad del usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 TERCERO: Con fecha 23 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 5.1.
- c)del RGPD, artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. CUARTO: Con fecha 8 de mayo de 2021 se formuló propuesta de resolución, proponiendo lo siguiente: Que por la Directora de la Agencia Española de Protección de Datos se sancione a ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5
- a)del RGPD una multa de 50.000€ (cincuenta mil euros). Que por la Directora de la Agencia Española de Protección de Datos se sancione a ING BANK N.V., SUCURSAL EN ESPAÑA, con NIF W0037986G, por una infracción del artículo 13 del RGPD, tipificada en el artículo 83.5
- b)del RGPD una multa de 50.000€ (cincuenta mil euros). QUINTO: Con fecha 31 de mayo de 2021, se presentan alegaciones a dicha propuesta de resolución por parte del reclamado manifestando que: “Los permisos solicitados están asociados a funcionalidades ofrecidas en la aplicación para las que son necesarios, que no se tratan datos de terceros sin que el usuario así lo decida de forma totalmente libre e incondicionada y que la información facilitada a los usuarios fue transparente, estaba a su disposición con anterioridad a descargar la aplicación y cumplía con todos los requisitos exigidos por la normativa de protección de datos”. (…) “El acceso a los archivos es para facilitar las gestiones de los usuarios y mejorar la experiencia en la aplicación.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La aplicación de la entidad reclamada solicita de forma obligatoria el acceso a los datos de los dispositivos móviles donde se instala lo que conlleva que la entidad pueda tener acceso a datos de terceros y no facilita la información requerida en materia de protección de datos - artículo 13 RGPD - cuando se descarga la aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 SEGUNDO: La entidad reclamada alega que la aplicación no accede a ninguna información contenida en los dispositivos móviles de sus clientes, salvo que el usuario así lo requiera, bien por realizar alguna actividad que conlleve su identificación mediante contraseñas o bien porque realice alguna gestión para la cual desee poner a disposición de la entidad reclamada alguna información o documento albergado en su terminal. TERCERO: Con fecha 31 de mayo de 2021, se presentan alegaciones a la propuesta de resolución acreditando que los permisos solicitados están asociados a funcionalidades ofrecidas en la aplicación, no tratándose datos de terceros sin que el usuario así lo decida de forma totalmente libre e incondicionada. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 5, Principios relativos al tratamiento, establece que: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)
- f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” III En segundo lugar, el artículo 13 del RGPD determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. IV En el presente caso, tras el estudio de las alegaciones presentadas, se considera que la conducta del reclamado no vulnera el artículo 5 del RGPD, que regula los principios relativos al tratamiento, materializado en que los datos de carácter personal que son requeridos para poner en funcionamiento la aplicación, tras acreditarse que no es necesaria para la instalación de la aplicación el acceso a los datos personales almacenados por los usuarios en el dispositivo. En relación con el artículo 13 del RGPD, a través de las alegaciones de 31 de mayo de 2021, se ha constatado que el reclamado informa debidamente al reclamante sobre los accesos, los cuales están bien informados sobre las condiciones de uso de la aplicación, explicando la necesidad de acceso y su finalidad. V Por lo tanto, tras tener conocimiento de estos hechos, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es